ExamRoll
Portuguese (Brazil)
EnglishFrenchSpanishDeutschPortuguese (Brazil)ItalianDutchPolishRussianTurkishJapaneseKoreanChinese SimplifiedChinese TraditionalPortuguese (Portugal)CzechIndonesianSlovakThaiVietnameseSwedish
Passe no seu exame →

Microsoft AZ-900: Identidade, Acesso e Segurança — Guia de estudos

By Laurynas Brazys · · #microsoft #az-900 #certification #exam-prep #study-guide

Faz parte do Microsoft Azure AZ-900 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Identidade, acesso e segurança no Azure se concentram no Microsoft Entra ID para gerenciamento de identidades, no Azure RBAC e no Privileged Identity Management para autorização, e em controles de plataforma que protegem segredos e reforçam a segurança das cargas de trabalho. Autenticação forte e políticas baseadas em risco reduzem a apropriação de contas, enquanto o armazenamento centralizado de segredos e as proteções na borda da rede fecham caminhos de ataque comuns. O gerenciamento contínuo da postura de segurança impulsiona a remediação de configurações incorretas em escala. Um design coeso conecta esses elementos: identidades autoritativas sincronizadas do ambiente local (on-premises) ou gerenciadas na nuvem; políticas de acesso aplicáveis vinculadas ao risco do dispositivo e da sessão; funções de privilégio mínimo com elevação just-in-time; segredos e chaves isolados do código da aplicação; e defesas em camadas que incluem firewalls de aplicação, mitigação de DDoS e recomendações baseadas em ameaças. O resultado é um ambiente defensável e auditável, alinhado às necessidades de negócio e regulatórias.

Microsoft Entra ID: usuários, grupos e sincronização híbrida

O Microsoft Entra ID é o serviço de identidade na nuvem para usuários, dispositivos, aplicações e service principals. Os usuários podem ser exclusivamente da nuvem (cloud-only) ou sincronizados de diretórios locais (on-premises). Grupos organizam o acesso, com suporte para grupos de segurança e grupos do Microsoft 365. A associação a grupos dinâmicos simplifica o ciclo de vida ao preencher automaticamente os grupos com base em atributos de usuário ou dispositivo (por exemplo, todos os usuários no departamento = Finanças), permitindo um escopo claro de acesso a aplicativos e políticas sem atualizações manuais. Organizações híbridas conectam seu Active Directory local usando o Microsoft Entra Connect. A sincronização de hash de senha (Password hash synchronization) é o método de login mais simples e resiliente, fornecendo autenticação na nuvem com hashes derivados do ambiente local e sincronizados de acordo com uma programação. A autenticação de passagem (Pass-through authentication) mantém a validação de senha no ambiente local por meio de agentes leves (lightweight agents) quando restrições regulatórias ou de política o exigem, e pode ser combinada com o Seamless SSO para experiências de intranet. Para ambientes grandes ou distribuídos, o Microsoft Entra Cloud Sync oferece uma abordagem leve baseada em agente com suporte a múltiplas florestas (multi-forest) e operações simplificadas. Licenciamento baseado em grupo, atribuições de aplicativos e atribuições de função são construídos sobre esses primitivos. Usuários externos podem ser convidados usando o acesso entre locatários (cross-tenant access ou colaboração B2B) enquanto se aplicam políticas de Acesso Condicional (Conditional Access), revisões de acesso e políticas de ciclo de vida para reduzir o risco de convidados inativos. Logs de login, auditoria e provisionamento fornecem rastreabilidade e podem ser exportados para um workspace do Log Analytics ou SIEM para retenção e análise.

Autenticação e controles de risco: MFA, Acesso Condicional, sem senha, SSPR, Identity Protection e revisões de acesso

A autenticação forte começa com a autenticação multifator (MFA) e evolui para métodos sem senha e resistentes a phishing. Microsoft Authenticator, SMS/voz, chaves de segurança FIDO2, Windows Hello for Business e autenticação baseada em certificado cobrem um espectro de garantia e usabilidade. O Acesso Condicional é o mecanismo de políticas que vincula o risco do usuário, dispositivo, aplicativo, localização e sessão a decisões que concedem, desafiam ou bloqueiam o acesso. Os padrões principais incluem exigir MFA para todos os usuários interativos, bloquear protocolos legados, impor o uso de dispositivos compatíveis ou com ingresso híbrido para aplicativos de alto valor e usar o risco de entrada para acionar uma autenticação step-up. A Redefinição de Senha por Autoatendimento (SSPR) reduz a carga do helpdesk, permitindo que os usuários redefinam ou alterem senhas com os métodos de autenticação configurados. Em configurações híbridas, o writeback de senha atualiza o AD on-premises de forma segura. A combinação de SSPR e MFA oferece um portal unificado e um registro convergente, otimizando a integração e a recuperação do usuário. As políticas devem especificar métodos seguros, número mínimo de métodos e prazos para registro. O Microsoft Entra ID Protection adiciona a detecção automatizada de usuários de risco e entradas de risco. As políticas de risco podem exigir automaticamente a alteração da senha em caso de alto risco do usuário ou impor MFA para risco de entrada médio ou superior, reduzindo o tempo de permanência de contas comprometidas. Os administradores triam as detecções de risco e confirmam, dispensam ou remediam eventos, enquanto a integração com o Acesso Condicional torna o risco um controle de primeira classe. As revisões de acesso fornecem recertificação periódica e automatizada do acesso de usuários, grupos, aplicativos e funções privilegiadas — essencial para contas de convidado e grupos de alto risco — e podem impor resultados automaticamente quando os revisores não respondem.

Autorização com Azure RBAC e Privileged Identity Management (PIM)

O controle de acesso baseado em função (RBAC) do Azure governa quem pode realizar quais ações em quais recursos no plano de gerenciamento. As atribuições são feitas em um escopo — grupo de gerenciamento, assinatura, grupo de recursos ou recurso — e são herdadas para baixo. Funções internas como Owner, Contributor, Reader e funções mais granulares como Virtual Machine Contributor, Key Vault Administrator ou Storage Blob Data Reader oferecem opções de privilégio mínimo. Funções personalizadas refinam ainda mais as permissões usando ações específicas do Azure Resource Manager quando as funções internas são amplas demais. Um design de autorização eficaz segmenta as cargas de trabalho em grupos de recursos alinhados aos limites da aplicação, atribui a função Reader por padrão e eleva os direitos de contribuição apenas onde necessário. A atribuição de função baseada em grupo simplifica o gerenciamento do ciclo de vida, e os logs de atividade combinados com os alertas do Azure Monitor fornecem supervisão sobre as alterações nas atribuições de função. Para cenários do plano de dados (por exemplo, dados de blob do Storage ou segredos do Key Vault), use as funções de acesso a dados correspondentes em vez de funções de gerenciamento amplas. O Privileged Identity Management (PIM) adiciona elevação just-in-time e com limite de tempo tanto para funções do Azure RBAC quanto para funções de diretório do Microsoft Entra. Os usuários são Elegíveis para uma função e devem ativá-la — com MFA, aprovações, números de ticket e justificativa — antes de realizar tarefas privilegiadas. O PIM impõe início/fim da atribuição, limita o acesso permanente e registra o histórico de ativação. As revisões de acesso dentro do PIM garantem que a elegibilidade e as atribuições permanentes não se desviem, e os alertas sinalizam configurações de risco, como Global Administrator permanente ou Owner em assinaturas.

Segredos, chaves e certificados com o Azure Key Vault

O Azure Key Vault centraliza o armazenamento de segredos de aplicação, certificados e chaves criptográficas para remover credenciais do código e de templates. Segredos como connection strings e chaves de API são recuperados por TLS usando os SDKs do Azure ou REST, enquanto os certificados suportam importação, geração e renovação automática por meio de autoridades de certificação (CAs) integradas. As chaves habilitam a criptografia em repouso (encryption-at-rest) e operações criptográficas, incluindo a criptografia de envelope (envelope encryption) para dados de aplicação e chaves gerenciadas pelo cliente (customer-managed keys) para serviços como Azure Storage, SQL Database e Disk Encryption Sets. O acesso ao Key Vault é aplicado em dois planos. O plano de gerenciamento (management plane) usa o Azure RBAC para controlar quem pode configurar o cofre (vault). O plano de dados (data plane) pode usar o Azure RBAC moderno para o Key Vault ou as políticas de acesso legadas (access policies); novas implantações devem preferir o Azure RBAC para consistência e auditoria. A exclusão reversível (soft delete) e a proteção contra limpeza (purge protection) são habilitadas por padrão para evitar perdas acidentais ou maliciosas, e os pontos de extremidade privados (private endpoints) com regras de firewall restringem o acesso à rede. As identidades gerenciadas (managed identities) para recursos do Azure eliminam credenciais incorporadas ao conceder às cargas de trabalho (workloads) acesso a segredos com base em identidade. Para uma garantia maior, o Azure Key Vault Managed HSM fornece HSMs single-tenant, validados pelo FIPS 140-2 Nível 3, para operações de chave com capacidade dedicada e separação estrita de funções. A higiene operacional inclui o versionamento de segredos, políticas de rotação, rotação automática de certificados e a exportação de logs de diagnóstico para um SIEM. Atribua funções de plano de dados restritas, como Key Vault Secrets User ou Key Vault Crypto Officer, para minimizar o raio de impacto (blast radius).

Postura de segurança, Defender for Cloud, Secure Score, WAF e proteções contra DDoS

O Microsoft Defender for Cloud oferece gerenciamento da postura de segurança na nuvem (CSPM) e proteção de cargas de trabalho (workload protection) no Azure, em ambientes multicloud e híbridos. Ele avalia continuamente os recursos em relação aos padrões de segurança, gera um Secure Score com recomendações priorizadas e usa o Azure Policy para governança em escala. A habilitação dos planos do Defender adiciona detecção de ameaças e proteções para servidores, contêineres, bancos de dados, armazenamento, Key Vault e serviços de PaaS, incluindo EDR baseado em agente em servidores e detecção de ameaças no Kubernetes. O painel de Conformidade Regulatória (Regulatory Compliance) mapeia controles para frameworks como ISO 27001, NIST e CIS, acelerando as auditorias. Na borda da rede e da aplicação, o Azure fornece mitigação nativa de DDoS e um web application firewall (WAF). O DDoS Protection é habilitado por rede virtual (virtual network), cria perfis do tráfego normal automaticamente e mitiga ataques volumétricos e de protocolo contra IPs públicos. O SKU IP Protection tem um custo-benefício interessante para ambientes menores com poucos pontos de extremidade públicos, enquanto o Network Protection (Standard) cobre todos os IPs públicos em uma VNet protegida e inclui proteção de custos e suporte de Resposta Rápida (Rapid Response). O WAF opera na Camada 7 no Azure Application Gateway (regional) ou no Azure Front Door (global), com conjuntos de regras gerenciadas, pontuação de anomalias (anomaly scoring), proteção contra bots e regras personalizadas. Execute o WAF no modo de prevenção (prevention mode) para bloquear ativamente e combine-o com origens privadas e acesso Zero Trust para defesa em profundidade (defense in depth). Combine esses serviços para uma defesa em camadas: DDoS para absorver inundações de tráfego, WAF para deter o OWASP Top 10 e padrões de abuso, NSGs e Azure Firewall para restringir os fluxos leste-oeste e norte-sul, e o Defender for Cloud para fechar lacunas de configuração e detectar ameaças. Envie os diagnósticos do WAF, DDoS e logs de recursos para o Log Analytics ou Microsoft Sentinel para correlação e resposta.

Problema Prático: Implementação híbrida segura da Contoso Retail com acesso baseado em risco e defesas em camadas

Cenário: A Contoso Retail opera 120 lojas com uma floresta AD on-premises e está lançando uma nova plataforma de e-commerce baseada no Azure. Os funcionários acessarão portais de administração internos a partir de dispositivos corporativos, enquanto fornecedores e agências de marketing precisam de acesso de convidado. A empresa precisa reduzir os chamados de helpdesk relacionados a senhas, impor login resistente a phishing para administradores, proteger segredos de aplicação e suportar picos de tráfego sazonais e campanhas de ataque — tudo isso mantendo as evidências de auditoria para os controles do PCI DSS.

Desafio: Projetar uma arquitetura de segurança focada em identidade que preserve as identidades existentes, imponha acesso adaptativo, remova segredos do código, minimize privilégios permanentes e implemente proteções de borda de rede para um front-end web acessível globalmente.

Abordagem Recomendada:

  1. Implantar o Microsoft Entra Connect com sincronização de hash de senha e Seamless SSO. Configurar um servidor de preparo (staging) para rollback e sincronizar OUs selecionadas para limitar o escopo.
  2. Criar grupos de segurança dinâmicos para Finanças, Operações de Loja e Administradores com base em atributos on-prem; usar atribuições de aplicativos e licenciamento baseados em grupo.
  3. Habilitar o Acesso Condicional: exigir MFA para todos os usuários; bloquear autenticação legada; exigir dispositivos em conformidade (compliant) ou com ingresso híbrido (hybrid-joined) para portais de administração; impor desafio de MFA baseado em risco de login e bloquear o acesso de países onde a Contoso não tem presença.
  4. Implementar o login sem senha (passwordless) para usuários privilegiados usando chaves de segurança FIDO2 e o Windows Hello for Business; obrigar o uso de correspondência de número (number-matching) para o push do Authenticator até que a transição para o passwordless seja completa.
  5. Habilitar o SSPR com write-back de senha e exigir dois métodos seguros para redefinição; unificar o registro com o de MFA para reduzir o atrito para o usuário.
  6. Ativar as políticas de risco de usuário e risco de login do Microsoft Entra ID Protection para exigir automaticamente a alteração de senha em caso de alto risco de usuário e aplicar um desafio para logins de risco médio ou superior.
  7. Implementar Revisões de Acesso (Access Reviews) para usuários convidados em grupos de parceiros e para todas as funções qualificadas para o PIM, com aplicação automática de decisões de remoção em caso de não resposta.
  8. Implementar o Azure RBAC com o princípio do menor privilégio no nível do grupo de recursos por aplicação; atribuir via grupos. Usar alertas do log de atividades para alterações de atribuição de função.
  9. Integrar as assinaturas ao PIM; tornar as atribuições de Owner e Contributor como Qualificadas (Eligible) com aprovação, MFA e janelas de ativação de 4 horas; exigir número de ticket e justificativa.
  10. Provisionar o Azure Key Vault com endpoints privados e Azure RBAC para acesso ao plano de dados. Armazenar segredos de aplicação e certificados; habilitar políticas de rotação; conceder à identidade gerenciada atribuída pelo sistema do aplicativo web acesso de leitura aos segredos necessários.
  11. Posicionar o Azure Front Door Standard com WAF em modo de prevenção à frente do site de e-commerce, com uma política de WAF usando o conjunto de regras gerenciadas mais recente e geofiltragem; restringir o acesso à origem via endpoints privados ou IPs públicos com acesso bloqueado.
  12. Habilitar o DDoS Network Protection na VNet de produção que hospeda os IPs públicos para APIs e gateways; configurar diagnóstico e alertas.
  13. Ativar os planos do Microsoft Defender for Cloud para Servidores, Contêineres, App Service, SQL e Key Vault. Usar as ações de melhoria do Secure Score para corrigir a falta de MFA nas assinaturas, o acesso a armazenamento público e o TLS fraco no App Gateway.
  14. Transmitir os alertas de login e auditoria do Entra, WAF, DDoS e Defender para um workspace do Log Analytics e para o Microsoft Sentinel para detecção e resposta. Criar playbooks para desabilitar tokens e forçar a redefinição de senha em caso de comprometimento de conta confirmado.

Justificativa do Azure: Este projeto preserva a autoridade de identidade on-premises ao mesmo tempo que habilita um login resiliente na nuvem com a sincronização de hash de senha. O Acesso Condicional e o Identity Protection transformam o MFA estático em uma imposição adaptativa e orientada a riscos, enquanto o login sem senha (passwordless) remove o phishing de senha do caminho privilegiado. O RBAC com atribuições de grupo e o PIM eliminam direitos de administrador permanentes e fornecem auditabilidade completa. O Key Vault e as identidades gerenciadas removem segredos do código e dos pipelines. O Azure Front Door WAF e o DDoS Protection estabelecem uma defesa de borda em camadas para uma presença global, e o Defender for Cloud com o Secure Score impulsiona o fortalecimento contínuo (hardening) e a detecção de ameaças em todos os serviços de computação e dados.

← Armazenamento e Bancos de Dados · Todos os domínios · Gerenciamento de Custos e Economia de Serviços →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →

Pass the whole exam — not just this question

You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.

Passe no seu exame →

Navegar Microsoft →

Related guides

Acesso completo

Uma assinatura. Todos os exames.

Todo plano desbloqueia pesquisa ilimitada de respostas, testes práticos, explicações de AI e a biblioteca completa de recursos — em mais de 20 idiomas.

Mensal
€24.87
Just €0.83/day
Tudo incluído:
  • ✓Pesquisa ilimitada de respostas
  • ✓Testes práticos ilimitados
  • ✓Explicações com AI
  • ✓Biblioteca completa de recursos
  • ✓Mais de 20 idiomas
  • ✓Atualizações semanais de conteúdo
  • ✓Recompensas e indicações
  • ✓Suporte prioritário
Iniciar teste grátis

*Não é necessário cartão de crédito

Mais popular
6 meses
€119.87
Just €0.66/daySave 20%
Tudo incluído:
  • ✓Pesquisa ilimitada de respostas
  • ✓Testes práticos ilimitados
  • ✓Explicações com AI
  • ✓Biblioteca completa de recursos
  • ✓Mais de 20 idiomas
  • ✓Atualizações semanais de conteúdo
  • ✓Recompensas e indicações
  • ✓Suporte prioritário
Iniciar teste grátis

*Não é necessário cartão de crédito

Melhor custo-benefício
12 meses
€179.87
Just €0.49/daySave 40%
Tudo incluído:
  • ✓Pesquisa ilimitada de respostas
  • ✓Testes práticos ilimitados
  • ✓Explicações com AI
  • ✓Biblioteca completa de recursos
  • ✓Mais de 20 idiomas
  • ✓Atualizações semanais de conteúdo
  • ✓Recompensas e indicações
  • ✓Suporte prioritário
Iniciar teste grátis

*Não é necessário cartão de crédito

✓ Plano gratuito incluído · ✓ Cancele a qualquer momento · ✓ Todos os planos desbloqueiam o produto completo