Uma assinatura do Azure contém um aplicativo personalizado (Application1) desenvolvido por uma empresa externa (Fabrikam, Ltd.). Os desenvolvedores da Fabrikam receberam acesso baseado em função aos componentes do Application1. Proponha uma solução de baixo desenvolvimento que: (1) envie ao gerente dos desenvolvedores um e-mail mensal listando as permissões de acesso ao Application1 e (2) revogue automaticamente qualquer permissão que o gerente não confirmar. O que você deve recomendar?

A criação de uma revisão de acesso no Azure AD é a solução ideal. As revisões de acesso permitem que você revise as permissões de acesso a recursos, como aplicativos, de forma periódica. Elas podem ser configuradas para enviar notificações aos revisores (neste caso, o gerente dos desenvolvedores) e, se as permissões não forem confirmadas dentro de um prazo, podem ser automaticamente revogadas. Isso atende a ambos os requisitos com baixo esforço de desenvolvimento. As outras opções não são adequadas: Um runbook do Azure Automation com Get-AzRoleAssignment listaria as permissões, mas não forneceria o mecanismo de revisão e revogação automática. O Privileged Identity Management (PIM) é para gerenciar acesso just-in-time e não para revisões periódicas de permissões de aplicativos. Um runbook com Get-AzureADUserAppRoleAssignment também listaria permissões, mas não ofereceria o fluxo de trabalho de revisão e revogação automática.