Microsoft AZ-140: Identidade, Acesso e Governança — Guia de estudos

By Laurynas Brazys · 12 August 2026 · #microsoft #az-140 #certification #exam-prep #study-guide

Faz parte do Microsoft Azure Virtual Desktop Specialty AZ-140 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

Identidade, acesso e governança definem como usuários, dispositivos e automação interagem com os recursos do Azure Virtual Desktop. Um design robusto alinha o Microsoft Entra ID como o plano de controle de identidade, aplica permissões de privilégio mínimo com o Azure RBAC no escopo dos recursos do AVD, impõe o acesso condicional e a autenticação multifator e operacionaliza a automação com identidades gerenciadas. Decisões como se os hosts de sessão serão ingressados no Microsoft Entra ou ingressados no Microsoft Entra híbrido determinam requisitos subsequentes para DNS, autenticação, armazenamento de perfis e comportamento do Acesso Condicional.

Design de Identidade e Diretório

Tenants, usuários e grupos do Microsoft Entra ID
- O plano de controle do AVD é nativo do Microsoft Entra ID. Os usuários devem existir no tenant que possui os recursos do AVD ou ser usuários convidados B2B com as atribuições apropriadas.
- Use grupos de segurança do Microsoft Entra — estáticos ou dinâmicos — para atribuições de grupos de aplicativos e para administração baseada em função. Evite grupos aninhados para atribuições de função do AVD; o Azure RBAC não avalia a associação aninhada para atribuições de função.
Atribuição baseada em grupo para grupos de aplicativos do AVD
- Os usuários recebem permissão para aplicativos remotos ou desktops ao serem atribuídos, individualmente ou em grupo, ao grupo de aplicativos. No momento da autorização, o Azure aplica uma atribuição de função de Desktop Virtualization User no escopo do grupo de aplicativos para essas entidades.
- Prefira atribuições de grupo em vez de usuários individuais para simplificar o gerenciamento do ciclo de vida e as revisões de acesso. Use grupos dinâmicos baseados em atributos de usuário ou departamento para mapear usuários para os grupos de aplicativos de RemoteApp ou Desktop corretos.
Hosts de sessão ingressados no Microsoft Entra versus ingressados no Microsoft Entra híbrido
- Ingressado no Microsoft Entra: Sem comunicação direta com controladores de domínio tradicionais. Ideal para implantações que priorizam a nuvem. Suporta autenticação moderna e SSO para a sessão com o Microsoft Entra ID. Para o FSLogix, use o Azure Files com o Microsoft Entra Kerberos para que os hosts se autentiquem nos perfis sem o AD DS.
- Ingressado no Microsoft Entra híbrido (ingressado no domínio do AD DS e registrado no Entra ID): Necessário se você precisar usar Group Policy existente, Kerberos/NTLM local ou destinos SMB que exigem o AD DS. Garanta que o DNS da VNET aponte para controladores de domínio que possam resolver e atender ao domínio. Se estiver usando o Azure AD DS (domínio gerenciado), defina os servidores DNS da VNET para os IPs do domínio gerenciado antes de ingressar os hosts de sessão no domínio.
Identidade híbrida, Microsoft Entra Connect, sincronização de hash de senha e SSO contínuo
- Use o Microsoft Entra Connect para sincronizar identidades de usuário do AD DS. A sincronização de hash de senha é o método de login mais simples e resiliente e suporta o Acesso Condicional do lado da nuvem.
- Habilite o SSO Contínuo para que dispositivos corporativos na rede interna possam obter single sign-on baseado em Kerberos para o Entra ID sem solicitar credenciais. Isso melhora a experiência do usuário ao iniciar o AVD a partir de redes gerenciadas, ao mesmo tempo que permite a aplicação do Acesso Condicional.

Controle de Acesso e Privilégio Mínimo

Funções RBAC do Azure internas para o AVD
- Desktop Virtualization Administrator: Controle administrativo total sobre os recursos do AVD.
- Desktop Virtualization Contributor: Gerencia os recursos do AVD sem conceder acesso aos usuários finais.
- Desktop Virtualization Reader: Visualiza os recursos do AVD.
- Desktop Virtualization Host Pool Contributor: Gerencia as configurações do pool de hosts e as chaves de registro; não tem controle total sobre outros recursos do AVD.
- Desktop Virtualization Workspace Contributor: Publica ou remove grupos de aplicativos de um workspace.
- Desktop Virtualization Application Group Contributor: Gerencia as propriedades do grupo de aplicativos e os aplicativos publicados; não concede acesso ao usuário.
- Desktop Virtualization Session Host Operator: Orientado para help desk; visualiza hosts de sessão, sessões de usuário, envia mensagens, desconecta ou faz logoff de sessões.
- Desktop Virtualization User: Atribuído a usuários/grupos no escopo do grupo de aplicativos para autorizar o início de sessões.
Escopos e padrões de atribuição de função
- Defina o escopo das permissões da forma mais restrita possível:
  - Atribua a função Desktop Virtualization User a usuários/grupos apenas no escopo do grupo de aplicativos.
  - Atribua a função Application Group Contributor ao grupo de aplicativos; Workspace Contributor ao workspace; Host Pool Contributor ao pool de hosts.
  - Atribua a função Virtual Machine Contributor e funções relacionadas de computação/armazenamento/rede no grupo de recursos que contém as VMs do host de sessão se a equipe operacional precisar gerenciar a energia, os tamanhos ou as interfaces de rede dos guests.
- Grupos de recursos separados para objetos do plano de controle (workspaces, pools de hosts, grupos de aplicativos) e para as VMs do host de sessão melhoram a definição de escopo e a auditabilidade.
Identidades gerenciadas, entidades de serviço e automação delegada
- Prefira identidades gerenciadas atribuídas pelo sistema ou pelo usuário para o autoescalonamento do AVD e para runbooks operacionais. Conceda apenas as funções necessárias, no escopo mínimo, para manipular os recursos de destino (por exemplo, Virtual Machine Contributor no grupo de recursos do host de sessão e Desktop Virtualization Contributor no pool de hosts).
- Use entidades de serviço com credenciais de certificado para pipelines de DevOps que publicam grupos de aplicativos ou atualizam propriedades de RDP. Restrinja suas permissões aos recursos específicos do AVD que eles gerenciam.
Privileged Identity Management e acesso de emergência
- Use o Microsoft Entra Privileged Identity Management tanto para funções do Azure RBAC quanto para funções do Microsoft Entra. Torne as funções de alto risco, como Desktop Virtualization Administrator e Subscription Owner, qualificadas (eligible) e exija MFA, aprovações e justificativa.
- Mantenha pelo menos duas contas de acesso de emergência (break-glass) do tipo Global Administrator, excluídas do Acesso Condicional e do PIM, armazenadas offline, testadas periodicamente e usadas apenas para recuperação.

Exemplos curtos para escopo de função:

# End-user entitlement to one application group
az role assignment create \
  --assignee <groupObjectId> \
  --role "Desktop Virtualization User" \
  --scope /subscriptions/<subId>/resourceGroups/rg-avd-control/providers/Microsoft.DesktopVirtualization/applicationGroups/ag-fin-remoteapps

# Help-desk session operations on a host pool
az role assignment create \
  --assignee <helpdeskGroupId> \
  --role "Desktop Virtualization Session Host Operator" \
  --scope /subscriptions/<subId>/resourceGroups/rg-avd-control/providers/Microsoft.DesktopVirtualization/hostPools/hp-fin

Considerações de Identidade Operacional para Hosts

DNS e ingresso no domínio
- Para hosts ingressados no AD DS ou Azure AD DS, defina os servidores DNS da VNET para os IPs dos controladores de domínio ou IPs do domínio gerenciado antes do provisionamento. Sem o DNS correto, o ingresso no domínio falhará, e o FSLogix, as GPOs e o Kerberos se tornarão inoperantes.
- Para hosts ingressados no Microsoft Entra, você não precisa do DNS do AD DS; no entanto, os destinos SMB de perfil ainda exigem capacidade de autenticação moderna (Microsoft Entra Kerberos com Azure Files).
Chaves de registro e scale-out
- Adicionar hosts de sessão novos ou existentes a um pool de hosts requer uma chave de registro válida. Limite o tempo de vida da chave e defina o escopo da implantação da extensão da VM apenas para o recurso do pool de hosts.
Iniciar VM ao Conectar e autoscale
- Para recursos de autoscale que desalocam/alocam VMs, atribua à identidade gerenciada do plano de escalonamento a função de Virtual Machine Contributor no grupo de recursos da VM do host e Desktop Virtualization Contributor no pool de hosts. Evite conceder direitos em nível de assinatura.
Revisões de acesso e ciclo de vida de direitos
- Implemente revisões de acesso periódicas para os grupos do Entra que são atribuídos a grupos de aplicativos. Integre com o Entitlement Management quando o acesso a aplicativos abranger múltiplos grupos de aplicativos ou recursos.
Auditoria
- Monitore os logs de entrada e de auditoria do Microsoft Entra para acesso a aplicativos do AVD, e os Logs de Atividade do Azure para alterações nos recursos do AVD. Transmita para o Log Analytics ou um SIEM com alertas para atividades anômalas (por exemplo, logoffs de sessão em massa ou atribuições de função inesperadas).

Cenário de Problema Prático

A Tailwind Traders está habilitando o acesso remoto seguro a aplicativos de linha de negócio via Azure Virtual Desktop para 3.000 usuários. Eles têm uma floresta do AD on-premises sincronizada com o Microsoft Entra ID com sincronização de hash de senha e Seamless SSO. Eles modernizarão com hosts de sessão ingressados no Microsoft Entra para pools totalmente novos, enquanto mantêm um pool híbrido legado que requer GPOs. Eles devem impor MFA resistente a phishing, permitir acesso apenas de dispositivos em conformidade quando fora do ambiente local, delegar operações de sessão para o help desk e executar o autoscale com o mínimo de privilégios.

Decidir modelos de ingresso de host e DNS
- Ação: Implantar um novo pool de hosts compartilhado com Windows 11 Enterprise multi-session ingressado no Microsoft Entra para a maioria dos usuários; manter um pool menor com ingresso híbrido para um aplicativo que requer GPO.
- Por quê: O ingresso no Entra reduz a dependência de controladores de domínio e simplifica o Acesso Condicional. O pool legado preserva as GPOs necessárias. Para o pool híbrido, o DNS da VNET é definido para os IPs dos DCs on-premises acessíveis via VPN para garantir o ingresso no domínio e o Kerberos.
Armazenamento de perfil com autenticação moderna
- Ação: Usar o Azure Files com Microsoft Entra Kerberos para o FSLogix no pool com ingresso no Entra. Configurar permissões em nível de compartilhamento e de arquivo para usuários e identidades gerenciadas do host de sessão.
- Por quê: Habilita o acesso SMB sem domínio usando o Entra ID, eliminando a dependência do AD DS para perfis no pool cloud-first.
Direitos baseados em grupo
- Ação: Criar grupos de segurança do Entra por persona (por exemplo, grp-tt-hr-remoteapps, grp-tt-sales-desktop). Atribuir esses grupos aos grupos de aplicativos apropriados; evite grupos aninhados.
- Por quê: Centraliza o controle de acesso e habilita as revisões de acesso. Atribuições diretas de grupo são avaliadas de forma confiável pelo RBAC do Azure para o AVD.
Acesso Condicional com forças de autenticação
- Ação: Criar políticas direcionadas ao Azure Virtual Desktop e ao Azure Virtual Desktop Azure Resource Manager:
  - Exigir a força de autenticação “MFA resistente a phishing”.
  - Para locais fora dos escritórios confiáveis, exigir também que o dispositivo seja marcado como em conformidade.
  - Definir a frequência de entrada para 12 horas para os usuários finais.
  - Excluir duas contas de emergência (break-glass) e a identidade gerenciada do autoscale.
- Por quê: Impõe fatores fortes e acesso por dispositivos gerenciados sem prompts excessivos, e evita o bloqueio de identidades de emergência ou de carga de trabalho.
Delegar operações com o mínimo de privilégios
- Ação: Atribuir funções nos escopos mínimos:
  - Desktop Virtualization User aos grupos de direitos nos escopos de seus grupos de aplicativos.
  - Desktop Virtualization Session Host Operator ao grupo de help desk em cada pool de hosts.
  - Desktop Virtualization Workspace Contributor à equipe de publicação de aplicativos no workspace.
  - Virtual Machine Contributor à equipe de operações apenas no grupo de recursos do host de sessão.
- Por quê: Alinha as responsabilidades aos escopos que eles gerenciam, evitando privilégios excessivos no nível da assinatura.
Configurar o autoscale com uma identidade gerenciada
- Ação: Habilitar o autoscale no pool de hosts com uma identidade gerenciada atribuída pelo usuário. Conceder a ela a função Virtual Machine Contributor no grupo de recursos do host de sessão e Desktop Virtualization Contributor no pool de hosts. Exemplo:

az role assignment create --assignee <miObjectId> --role "Virtual Machine Contributor" --scope /subscriptions/<sub>/resourceGroups/rg-tt-avd-hosts
az role assignment create --assignee <miObjectId> --role "Desktop Virtualization Contributor" --scope /subscriptions/<sub>/resourceGroups/rg-tt-avd-control/providers/Microsoft.DesktopVirtualization/hostPools/hp-tt-prod

Por quê: O Autoscale pode iniciar e parar VMs e atualizar as métricas do pool de hosts sem privilégios amplos.

Proteger a administração com PIM e contas de emergência (break-glass)
- Ação: Integrar as funções RBAC administrativas ao Microsoft Entra PIM com fluxos de trabalho de aprovação e MFA. Manter duas contas de emergência (break-glass) de Administrador Global excluídas do Acesso Condicional e do PIM.
- Por quê: Reduz o privilégio permanente e garante a recuperabilidade em caso de configuração incorreta do Acesso Condicional ou dos serviços de identidade.
Monitorar e revisar o acesso periodicamente
- Ação: Transmitir os logs de entrada do Entra e os Logs de Atividade do Azure para o Log Analytics. Executar revisões de acesso trimestrais para os grupos atribuídos aos grupos de aplicativos e para as funções de operador de help desk.
- Por quê: Sustenta o princípio do menor privilégio ao longo do tempo e detecta anomalias como aumentos inesperados em entradas negadas no AVD ou terminações de sessão em massa.

Essa abordagem combina uma identidade cloud-first com escopo preciso e políticas de acesso fortes, equilibra a experiência do usuário com a segurança e garante que as operações e a automação recebam apenas os direitos necessários.

← Arquitetura e Design de Serviço do Azure Virtual Desktop · Todos os domínios · Rede →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →