Microsoft AZ-104: Azure Active Directory e Gerenciamento de Identidade — Guia de estudos

By Laurynas Brazys · 6 August 2026 · #microsoft #az-104 #certification #exam-prep #study-guide

Faz parte do Microsoft Azure Administrator Associate AZ-104 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

O Azure Active Directory (Azure AD) é o plano de controle de identidade para os serviços de nuvem da Microsoft. Um tenant é um diretório de identidade dedicado e confiável que contém usuários, grupos, aplicativos, dispositivos e políticas. Uma assinatura é um contêiner de faturamento para recursos do Azure e está associada a exatamente um tenant do Azure AD para identidade e acesso; um único tenant pode conter várias assinaturas. As atribuições de função para recursos do Azure (Azure RBAC) vêm do tenant associado à assinatura. Os usuários se autenticam em seu tenant de origem e podem receber acesso a recursos em qualquer assinatura que confie nesse tenant. Políticas de governança de identidade e segurança (por exemplo, Acesso Condicional) são aplicadas na camada do tenant e determinam como as identidades consomem serviços entre as assinaturas.

Identidades, Grupos e Licenciamento

As contas de usuário do Azure AD se enquadram em três categorias que influenciam o ciclo de vida, a autenticação e a administração:

Usuários somente na nuvem são criados e gerenciados no Azure AD. Suas credenciais residem apenas no tenant, e a redefinição de senha é tratada pelo Azure AD (SSPR).
Usuários sincronizados se originam no Active Directory on-premises e são sincronizados via Azure AD Connect. O ciclo de vida de suas identidades é gerenciado on-premises. Com a Sincronização de Hash de Senha (PHS), o Azure AD armazena um hash do hash da senha on-premises; com a Autenticação de Passagem Direta (PTA) ou federação, a validação da senha ocorre on-premises. Com o writeback de senha habilitado (Azure AD Premium + Azure AD Connect), o SSPR e a opção “Alterar senha” na nuvem podem atualizar o AD on-premises.
Usuários convidados (colaboração B2B) são identidades externas representadas como userType=Guest. Eles se autenticam com seu provedor de identidade de origem (outro Azure AD, conta da Microsoft ou senha de uso único) e recebem acesso por meio de grupos, atribuições de aplicativos ou RBAC. O convite resulta em um processo de resgate que o convidado conclui antes de acessar os recursos.

Grupos fornecem autorização e licenciamento escaláveis. A associação atribuída é gerenciada explicitamente. A associação dinâmica (Azure AD Premium P1) avalia regras com base em atributos de usuário ou dispositivo e mantém automaticamente a associação quase em tempo real, ideal para cenários de tipo de funcionário, departamento ou conformidade de dispositivo. O licenciamento baseado em grupo atribui SKUs de produto (por exemplo, Microsoft 365 E5, Azure AD Premium) a grupos de segurança; o Azure AD calcula a atribuição de licença efetiva, respeita as desativações de planos de serviço e expõe conflitos. Grupos dinâmicos funcionam bem com o licenciamento baseado em grupo para licenciar automaticamente populações com base em atributos.

Identidade Híbrida com o Azure AD Connect

O Azure AD Connect estabelece padrões de sincronização de identidade e de login para ambientes híbridos:

Sincronização de Hash de Senha (PHS): Sincroniza um hash criptográfico do hash das senhas on-premises para o Azure AD. O Azure AD realiza a autenticação, permitindo alta disponibilidade sem conectividade de entrada para a rede corporativa, e suporta o SSO Contínuo. O PHS é a opção mais simples e resiliente, sendo recomendada para a maioria das organizações.
Autenticação de Passagem Direta (PTA): Agentes leves validam senhas em tempo real no AD on-premises por meio de uma conexão TLS 443 de saída. Suporta o SSO Contínuo e preserva as dependências de políticas de login on-premises sem a necessidade de implantar uma federação. Implante múltiplos agentes para alta disponibilidade.
Federação (ex: AD FS): A autenticação ocorre em um STS gerenciado pelo cliente com emissão de declarações (claims) e restrições opcionais de smartcard/Kerberos. Adiciona complexidade e custo operacional e agora é reservada para requisitos de declarações (claims) e login de nicho. Muitas organizações estão migrando da federação para PHS/PTA.

A sincronização é executada por um agendador (ciclo padrão de 30 minutos). Use

undefined

para enviar imediatamente alterações recentes, como novos usuários, associações a grupos e atualizações de atributos. Execute

undefined

apenas na primeira vez ou para alterações de topologia/esquema (ele realiza uma importação, sincronização e exportação completas e é mais lento). Forçar a replicação do AD, reiniciar o NetLogon ou manipular o Catálogo Global não aciona uma exportação do Azure AD Connect; o método suportado é o ciclo de sincronização do PowerShell ou operações do Synchronization Service Manager. Defina o escopo da sincronização com filtragem de UO e atributos. Para a integração do writeback de senha e do SSPR com o ambiente on-premises, habilite o recurso de writeback no Azure AD Connect e conceda as permissões on-premises necessárias.

Decisões de Acesso: Conditional Access, MFA, SSPR e Identity Protection

O Conditional Access (Azure AD Premium P1/P2) avalia sinais e impõe controles em tempo real no momento do login e da emissão de tokens. Uma política tem como alvo usuários, grupos ou funções de diretório; aplicativos em nuvem ou ações de usuário; e condições como risco de login, plataforma do dispositivo, aplicativos cliente (legados vs. modernos) e localizações. As localizações nomeadas (Named locations) marcam faixas de IP ou países/regiões confiáveis e permitem uma lógica explícita de inclusão/exclusão. Os controles de concessão (Grant controls) impõem requisitos como:

Exigir autenticação multifator
Exigir que o dispositivo seja marcado como em conformidade (compliant) (Intune)
Exigir dispositivo ingressado no Hybrid Azure AD
Exigir política de proteção de aplicativo, aplicativos cliente aprovados ou Termos de Uso Os controles de sessão (Session controls) governam a frequência de login, sessões de navegador persistentes ou restrições impostas por aplicativos. Quando o requisito é “Administradores Globais devem usar MFA e um dispositivo confiável a partir de localizações não confiáveis”, defina como alvo a função de diretório Global Administrator, use uma condição para localizações que exclua as redes confiáveis nomeadas e configure os controles de concessão para exigir MFA mais um dispositivo em conformidade (compliant) ou um dispositivo ingressado no Hybrid Azure AD. Isso não é resolvido ativando o MFA por usuário ou modificando apenas os controles de sessão.

A autenticação multifator pode ser imposta por meio de:

MFA por usuário (Per-user MFA): Um estado legado e de baixa granularidade de ativação/desativação no objeto do usuário. Carece de fatores contextuais e geralmente é substituído pelos requisitos do Conditional Access.
MFA do Conditional Access: A abordagem moderna e recomendada. Exige MFA apenas sob condições especificadas (por exemplo, logins de alto risco, redes não confiáveis, funções privilegiadas).
Self-Service Password Reset (SSPR): Métodos de autenticação e registro configuráveis, com writeback de senha opcional para o ambiente on-premises. O registro combinado unifica a configuração do MFA e do SSPR. Defina políticas de registro, métodos (por exemplo, Microsoft Authenticator, FIDO2, SMS/voz conforme permitido) e configurações de bloqueio/notificação. Os modelos de consumo legados do Azure MFA (Per Authentication vs. Per Enabled User usando provedores de MFA clássicos) não podem ser trocados diretamente; você deve implantar um novo provedor e reatribuir — simplesmente “mudar o modelo” pelo portal ou CLI não é suportado.

O Azure AD Identity Protection (Azure AD Premium P2) detecta e responde a riscos usando telemetria, como credenciais vazadas, viagens atípicas, IPs vinculados a malware e propriedades de login não familiares:

O risco do usuário (User risk) estima a probabilidade de uma identidade ser comprometida ao longo do tempo, acionando políticas como “Exigir alteração de senha para risco médio e superior”.
O risco de login (Sign-in risk) estima a probabilidade de um login específico ser mal-intencionado, permitindo controles como “Exigir MFA para risco médio e superior”. As políticas de risco podem remediar ou bloquear automaticamente. Integre com o Conditional Access aproveitando o risco como uma condição e priorizando métodos de MFA resilientes.

Funções Administrativas e Governança B2B

As funções administrativas delimitam o controle dentro do Azure AD e devem seguir o princípio do privilégio mínimo:

Global Administrator tem autoridade total sobre identidade, segurança e licenças. Use com moderação, proteja com Conditional Access e MFA, e considere o Privileged Identity Management (PIM) para elevação just-in-time e revisões de acesso.
User Administrator pode criar e gerenciar usuários e grupos, redefinir senhas de não administradores e gerenciar alguns atributos do diretório. Delimite ainda mais usando Unidades Administrativas para limitar o raio de impacto a departamentos ou regiões específicas.
Funções personalizadas (Azure AD Premium) permitem conjuntos de permissões refinadas em objetos do diretório; atribua a usuários ou grupos, opcionalmente com escopo definido para Unidades Administrativas.

A colaboração B2B permite que usuários externos acessem aplicativos e recursos sem duplicar identidades. O processo inclui:

Convite: Um usuário interno ou uma automação convida por e-mail ou URL de resgate direto, opcionalmente exigindo Termos de Uso.
Resgate: O convidado se autentica com sua identidade de origem. Se indisponível, uma senha de uso único pode ser usada. O resgate bem-sucedido cria ou confirma o objeto de convidado no tenant de recurso.
Autorização: Conceda acesso através de grupos do Azure AD, atribuições de aplicativos ou Azure RBAC em assinaturas/grupos de recursos. Use o licenciamento baseado em grupo se o convidado precisar de serviços licenciados.
Governança: Use o Access Reviews (Azure AD Premium P2) para atestar periodicamente a necessidade contínua de acesso de convidado, remover automaticamente convidados inativos e auditar decisões. Configure as definições de colaboração externa e as políticas de acesso entre tenants para equilibrar colaboração e risco. Aplique o Conditional Access a convidados, usando locais nomeados e requisitos de MFA apropriados ao risco externo.

Cenário de Problema Prático

A Contoso Ltd. tem uma implantação de identidade híbrida e precisa reduzir o risco do acesso privilegiado ao mesmo tempo em que integra os usuários de um parceiro a aplicativos específicos. O administrador do Azure tem a tarefa de impor MFA e confiança de dispositivo para Global Administrators de redes não confiáveis, acelerar a sincronização de usuários do ambiente local para a nuvem durante uma fusão e governar o acesso de convidados do parceiro a um site do SharePoint Online e a um aplicativo de linha de negócios interno.

Abordagem passo a passo:

Modelar identidades e confiança

Associe todas as assinaturas do Azure ao tenant da Contoso para centralizar a governança de identidade. Crie um grupo de recursos dedicado e grupos de segurança do Azure AD para o acesso a aplicativos. Isso garante um plano de política único e simplifica o direcionamento do Conditional Access.

Otimizar o logon híbrido e a sincronização

Configure o Azure AD Connect com Password Hash Synchronization e Seamless SSO para simplicidade e resiliência. Implante agentes de PTA apenas se controles regulatórios exigirem a validação de senha no ambiente local. Use a filtragem de UO para delimitar os contêineres de usuários da fusão. Para disponibilidade urgente de usuários, execute

undefined

. O PHS fornece disponibilidade operada pela Microsoft e reduz a dependência do ambiente local; o ciclo delta garante a exportação oportuna sem uma sincronização completa pesada.

Impor controles de acesso privilegiado

Crie uma política de Conditional Access visando a função de Global Administrator. Condições: inclua todos os locais, exclua intervalos de IP corporativos confiáveis e nomeados. Controles de concessão: exigir autenticação multifator e exigir que o dispositivo seja marcado como em conformidade (ou exigir ingresso no Azure AD híbrido). Isso atende ao requisito de “MFA + dispositivo confiável de locais não confiáveis” precisamente no momento do logon. Use o PIM para tornar as atribuições de Global Administrator just-in-time e exigir aprovação mais MFA, reduzindo o privilégio permanente.

Padronizar MFA e SSPR

Desabilite os estados legados de MFA por usuário e confie no Conditional Access para impor o MFA contextualmente. Habilite o registro combinado e o SSPR com write-back de senha para que usuários sincronizados possam redefinir suas senhas tanto na nuvem quanto no ambiente local. Isso melhora a experiência do usuário e garante a conformidade. Evite tentar trocar os modelos de consumo de MFA legados existentes, pois isso não é suportado.

Integrar usuários parceiros com B2B e governar o acesso

Convide identidades de parceiros como convidados para o tenant da Contoso e atribua-os a um grupo de segurança mapeado para o site do SharePoint e o aplicativo. Aplique um Access Review ao grupo de convidados com uma recorrência de 90 dias e remoção automática para quem não responder. Aplique uma política de Conditional Access a convidados exigindo MFA fora dos intervalos de IP nomeados do parceiro. O B2B evita a duplicação de contas, aproveita a autenticação do parceiro e o Access Reviews fornece governança do ciclo de vida com resultados auditáveis.

Por que usar estes serviços:

Azure AD Connect com PHS fornece a menor carga operacional com segurança robusta; a sincronização delta garante o provisionamento rápido.
Os controles de concessão do Conditional Access impõem diretamente o MFA e a confiança do dispositivo, algo que os controles de sessão e o MFA por usuário não podem garantir.
O SSPR com write-back fecha o ciclo para identidades sincronizadas, reduzindo a carga do helpdesk e alinhando-se com a conformidade.
A colaboração B2B mais o Access Reviews

Todos os domínios · Assinaturas do Azure →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →