Microsoft AZ-305: Identidade, Governança e Conformidade — Guia de estudos

By Laurynas Brazys · 11 August 2026 · #microsoft #az-305 #certification #exam-prep #study-guide

Faz parte do Microsoft Azure Solutions Architect Expert AZ-305 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

Identidade, governança e conformidade no Azure dependem de um design coerente entre o Microsoft Entra ID (anteriormente Azure AD), barreiras de proteção (guardrails) orientadas por políticas e acesso de privilégio mínimo tanto nas camadas de usuários humanos quanto nas de cargas de trabalho (workloads). Uma solução bem arquitetada equilibra a elevação just-in-time para administradores, controles adaptativos baseados em risco para usuários, governança padronizada de recursos em escala e acesso externo simplificado para parceiros e consumidores, tudo isso sem sacrificar a agilidade operacional.

Acesso Privilegiado e Controles de Risco Adaptativos

O Privileged Identity Management (PIM) converte o acesso administrativo permanente em direitos auditáveis e com prazo determinado. Atribua funções privilegiadas como qualificadas (eligible) em vez de ativas para minimizar a exposição; os usuários devem ativar as funções qualificadas, o que geralmente aciona a autenticação multifator, o registro de um ticket/justificativa, fluxos de trabalho de aprovação opcionais e uma duração de ativação limitada. As configurações da função definem os aprovadores, os requisitos de MFA, de notificação e de ticket de incidente. Combine isso com grupos de acesso privilegiado para que as funções do Azure AD e as funções de recursos do Azure possam ser governadas pela associação a grupos, sujeita à ativação do PIM, produzindo um plano de controle único com auditoria abrangente. Use as revisões de acesso (access reviews) dentro do PIM para validar continuamente quem mantém atribuições qualificadas ou ativas para funções, grupos e aplicativos empresariais. As revisões podem aplicar resultados automaticamente e remover o acesso de quem não responder, permitindo um atestado periódico sem retrabalho manual.

O Identity Protection aplica detecção de risco baseada em machine learning a usuários e entradas (sign-ins). As políticas de risco de usuário avaliam a probabilidade de credencial comprometida e podem exigir uma alteração segura de senha ou bloquear o acesso até que seja corrigido; as políticas de risco de entrada analisam o contexto da sessão atual (viagem impossível, propriedades de entrada desconhecidas, IPs vinculados a malware) e podem exigir MFA ou bloquear tentativas arriscadas. Configure as correções para que riscos médios e altos acionem MFA ou redefinição de senha, enquanto riscos baixos podem ser apenas monitorados. Envie os sinais para o Conditional Access em vez de usar MFA por usuário; isso centraliza a aplicação, suporta exceções (contas de emergência, ou break-glass) e reduz o desvio administrativo (administrative drift).

O Conditional Access unifica as decisões sensíveis ao contexto. Localizações nomeadas (Named locations) permitem classificar intervalos como redes corporativas confiáveis ou geolocalizações que você bloqueia ou para as quais exige controles adicionais; utilize IPs confiáveis verificados e regras baseadas em país para mitigar geografias de alto risco. A conformidade de dispositivo (Device compliance) se integra ao Microsoft Intune para que você possa exigir um dispositivo em conformidade (compliant) ou um estado de ingresso híbrido no Azure AD (hybrid Azure AD joined) antes de conceder acesso a aplicativos sensíveis, e opcionalmente incorporar o risco do Defender for Endpoint. Restrições aplicadas por aplicativo (App-enforced restrictions) reduzem o risco de exfiltração de dados, retornando uma experiência web limitada no SharePoint Online e no Exchange Online que desabilita o download e a sincronização para dispositivos não gerenciados. Controles de sessão (Session controls) ajustam por quanto tempo as sessões persistem e com que frequência a reautenticação é necessária; defina a frequência de entrada para cargas de trabalho regulamentadas, desabilite sessões de navegador persistentes para quiosques compartilhados e use o Conditional Access App Control (via Defender for Cloud Apps) para monitorar e controlar atividades durante a sessão, como bloquear o download de arquivos sensíveis, mas permitindo a visualização no navegador. Combinados com políticas baseadas em risco, esses controles aplicam desafios adicionais (stepped-up challenges) apenas quando necessário, preservando a produtividade do usuário.

Identidade Externa e de Consumidor

O Azure AD B2C separa o IAM (Gerenciamento de Identidade e Acesso) de clientes do IAM da força de trabalho e fornece entrada escalável para aplicativos de consumidor. Fluxos de usuário integrados (Built-in user flows) cobrem cadastro/entrada, edição de perfil e redefinição de senha com configuração mínima. Quando você precisa de orquestração complexa — claims personalizadas, jornadas condicionais, comprovação de identidade ou enriquecimento de claims baseado em API REST — use políticas personalizadas (Identity Experience Framework). O B2C suporta muitos provedores de identidade: contas locais (e-mail ou telefone), provedores OpenID Connect e OAuth 2.0 (Microsoft, Google, Apple), provedores de identidade SAML 2.0 e federação empresarial. A personalização de tokens inclui a emissão de atributos personalizados, claims opcionais e transformação de claims para aplicativos downstream, o controle do tempo de vida dos tokens e a adição de conectores de API para validar ou enriquecer dados do usuário em pontos de decisão críticos.

Para colaboração B2B, o Entitlement Management padroniza a integração (onboarding) de usuários externos e minimiza a proliferação descontrolada. Pacotes de acesso (Access packages) encapsulam quem obtém acesso (grupos, aplicativos, sites do SharePoint), quem pode solicitá-lo e como ele é aprovado. Organizações conectadas (Connected organizations) formalizam a confiança com tenants parceiros, permitindo que seus usuários solicitem pacotes sem a necessidade de criar contas de convidado previamente. Políticas de ciclo de vida (Lifecycle policies) garantem que o acesso não permaneça indefinidamente: defina expirações, exija revisões de acesso periódicas, remova atribuições automaticamente na expiração ou falha na revisão e revogue o acesso de convidado residual se um usuário perder todas as suas atribuições. Este modelo se alinha ao privilégio mínimo e reduz o gerenciamento manual do ciclo de vida de convidados.

A publicação de aplicativos web internos para o exterior é melhor resolvida com o Azure AD Application Proxy. Conectores leves (lightweight connectors) instalados on-premises abrem apenas conexões de saída para o Azure, eliminando brechas de entrada no firewall. Agrupe conectores para obter escala e afinidade. Escolha a pré-autenticação do Azure AD para aplicar o Conditional Access antes que o tráfego chegue à sua rede; recorra ao modo Passthrough apenas para cenários de nicho. Para aplicativos legados que usam Integrated Windows Authentication, configure a Kerberos Constrained Delegation para que o conector possa obter um ticket Kerberos para o backend em nome do usuário, permitindo SSO transparente da nuvem para o ambiente on-premises.

Governança em Escala: Policy, Blueprints e Management Groups

O Azure Policy codifica as diretrizes de governança (guardrails). Uma definição de política (policy definition) usa condições e efeitos com parâmetros para que a mesma regra possa ser reutilizada em diferentes ambientes. Organize definições relacionadas em iniciativas (initiatives) para simplificar a atribuição e a geração de relatórios. Atribua políticas no escopo correto — grupo de gerenciamento (management group) para governança ampla, assinatura (subscription) para alinhamento de plataforma, grupo de recursos (resource group) para substituições locais — e conte com a herança para aplicar os controles nos níveis inferiores. Os principais efeitos (effects) incluem:

Deny para bloquear implantações não conformes
Audit para marcar recursos para relatórios de conformidade (compliance)
Append para adicionar propriedades como tags obrigatórias
Modify para alterar propriedades de recursos na criação/atualização
DeployIfNotExists para implantar ou configurar dependências automaticamente
AuditIfNotExists e Disabled para necessidades especializadas Use DeployIfNotExists e Modify em conjunto com tarefas de remediação (remediation tasks). Atribua uma identidade gerenciada (managed identity) na atribuição e conceda a ela as funções (roles) mínimas necessárias para realizar a remediação; acione trabalhos de remediação (remediation jobs) para corrigir desvios retroativamente. Use isenções (exemptions) com justificativas documentadas para lidar com exceções sem desabilitar a governança.

O Azure Blueprints empacota uma landing zone implantável e versionada. Os artefatos (artifacts) incluem atribuições de política, atribuições de função (role assignments), templates ARM/Bicep e a estrutura base de grupos de recursos. Na atribuição, parâmetros de entrada vinculam um blueprint versionado a um ambiente. Os modos de bloqueio de recursos (DoNotDelete ou ReadOnly) protegem os recursos fundamentais de alterações acidentais, impondo a separação entre as responsabilidades da plataforma e da carga de trabalho (workload).

Os Management Groups fornecem a hierarquia central para a governança em escala empresarial. Projete uma árvore clara — geralmente com plataforma, landing zones por linha de negócio ou região, e sandboxes — para que a herança de políticas e RBAC reflita os limites operacionais. O RBAC atribuído em um management group é herdado por todas as assinaturas e grupos de recursos filhos, minimizando atribuições de função repetitivas. Conflitos são resolvidos pela ordem de avaliação e pela semântica do efeito; um deny de uma política não pode ser sobreposto pelo RBAC. Use essa estrutura para aplicar padrões globais (baselines de segurança, tagueamento) nos níveis superiores, enquanto personaliza os níveis inferiores com iniciativas parametrizadas.

Permissões Avançadas e Federação de Identidade de Carga de Trabalho

O Microsoft Entra Permissions Management (CIEM) descobre identidades humanas e de máquina e suas permissões efetivas no Azure, AWS e Google Cloud. Ele constrói um grafo de permissões ciente da atividade para identificar combinações de privilégios não utilizadas, excessivas e tóxicas. Use os insights para dimensionar corretamente as funções (right-size), remover acessos inativos e impor o princípio do menor privilégio para service principals, identidades gerenciadas e usuários. O Access Explorer mostra quem pode fazer o quê e em qual recurso; fluxos de trabalho de remediação automatizados podem remover direitos desnecessários em escala, reduzindo o raio de impacto (blast radius) e satisfazendo auditorias de conformidade.

A Federação de Identidade de Carga de Trabalho (Workload Identity Federation) elimina segredos para cargas de trabalho que não são do Azure e que precisam chamar APIs do Azure. Em vez de armazenar client secrets no CI/CD, crie uma credencial federada em um registro de aplicativo/service principal que confia em um emissor externo específico (por exemplo, GitHub Actions OIDC) e restringe as declarações (claims) de sujeito (subject) e público (audience) (por exemplo, repositório, branch ou ambiente). A carga de trabalho externa troca seu token OIDC de curta duração por um token de acesso do Azure para assumir a identidade do service principal. Isso fornece credenciais efêmeras e com escopo definido, sem a sobrecarga de rotação de segredos e com limites de confiança granulares. Para Kubernetes, combine a federação com o Azure Workload Identity para que os pods recebam tokens OIDC projetados vinculados a contas de serviço (service accounts) que mapeiam para credenciais federadas, reduzindo ainda mais o gerenciamento de segredos.

Cenário de Problema Prático

A Starbucks precisa modernizar a identidade e a governança, ao mesmo tempo em que habilita o acesso seguro de parceiros e preserva o SSO para aplicativos on-premises. Eles operam múltiplas assinaturas do Azure em várias regiões, executam aplicativos legados SAP e de intranet on-premises usando Integrated Windows Authentication, desenvolvem aplicativos móveis para consumidores e usam o GitHub Actions para CI/CD.

Estabelecer uma hierarquia de grupos de gerenciamento e controles de linha de base

Crie uma hierarquia raiz com plataforma, landing zones por unidade de negócio e sandboxes. Atribua iniciativas do Azure Policy nos níveis superiores para marcação (tagging), restrições de região e linhas de base de segurança. Use o Azure Blueprints para implantar landing zones com atribuições de política, atribuições de função para as equipes de plataforma e estrutura de grupos de recursos já incorporadas. Bloqueios (Locks) no blueprint protegem os recursos de plataforma compartilhados. Escolhido para centralizar a governança e garantir ambientes consistentes e auditáveis.

Implementar administração de menor privilégio

Configure o PIM com atribuições elegíveis para funções do Azure AD e funções de recursos do Azure por meio de grupos de acesso privilegiado. Exija MFA, justificativa e aprovação para funções de alto impacto e limite a duração da ativação. Agende revisões de acesso trimestrais para grupos privilegiados e aplicativos empresariais com decisões de aplicação automática. Selecionado para minimizar privilégios permanentes e automatizar a atestação.

Impor acesso adaptativo baseado em risco

Habilite as políticas de risco de usuário e risco de entrada do Identity Protection para forçar a redefinição de senha para risco de usuário alto e exigir MFA para risco de entrada médio e alto. Crie políticas de Acesso Condicional (Conditional Access) usando localizações nomeadas (named locations) para confiar nos IPs de saída corporativos e restringir geografias de alto risco; exija dispositivos em conformidade (compliant) ou ingressados em modo híbrido (hybrid-joined) para aplicativos sensíveis; aplique restrições impostas pelo aplicativo ao SharePoint e Exchange para limitar downloads em dispositivos não gerenciados; e defina a frequência de entrada para 8 horas para cargas de trabalho financeiras. Essa combinação fornece segurança robusta sem atrito persistente.

Governar o acesso de parceiros externos

Use pacotes de acesso do Entitlement Management para fornecedores e consultores, incluindo Azure RBAC via grupos, aplicativos necessários e recursos do SharePoint. Configure organizações conectadas para os tenants dos parceiros e defina políticas de ciclo de vida com expiração de 90 dias e revisões de acesso recorrentes que removem automaticamente quem não responder. Escolhido para automatizar o onboarding/offboarding sem gerenciamento manual de convidados (guests).

Publicar aplicativos on-premises de forma segura

Implante conectores do Azure AD Application Proxy em dois data centers, coloque-os em grupos de conectores e configure a pré-autenticação do Azure AD. Habilite a Kerberos Constrained Delegation para os sites SAP e de intranet para preservar o SSO com IWA. Aplique o Acesso Condicional (Conditional Access) a esses aplicativos empresariais. Selecionado para evitar a dependência de VPN e estender os controles modernos para aplicativos legados.

Proteger aplicativos de consumidor

Implemente o Azure AD B2C com fluxos de usuário (user flows) integrados para login/inscrição e redefinição de senha, integrando IdPs sociais como Apple e Google. Para casos de uso de programas de fidelidade, adicione políticas personalizadas (custom policies) para chamar APIs REST para prova de identidade e enriquecer tokens com atributos personalizados. Escolhido para separar a identidade do consumidor da identidade da força de trabalho e escalar globalmente.

Dimensionar corretamente as permissões e remover segredos do CI/CD

Implante o Microsoft Entra Permissions Management para descobrir permissões excessivas para usuários, identidades gerenciadas e service principals em todas as nuvens e aplique o dimensionamento correto (rightsizing) baseado em atividade. Configure a Workload Identity Federation para o GitHub Actions criando credenciais federadas restritas à organização/repositório/branch da Starbucks e concedendo apenas as funções necessárias nas assinaturas de destino. Selecionado para eliminar segredos de longa duração e impor o princípio do menor privilégio continuamente.

Todos os domínios · Armazenamento de Dados e Soluções de Banco de Dados →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →