Microsoft MD-102: Cogerenciamento e Ambientes Híbridos — Guia de estudos

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Faz parte do Microsoft Endpoint Administrator Associate MD-102 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Hybrid Azure AD Join e Azure AD Connect

O Hybrid Azure AD join cria uma identidade de dispositivo única, representada tanto no AD local quanto no Azure AD. Ele é necessário para o SSO contínuo (seamless SSO), políticas de Acesso Condicional (Conditional Access) baseadas em dispositivo para computadores ingressados em domínio e para o registro no cogerenciamento usando credenciais de dispositivo. Os pré-requisitos incluem:

Uma floresta do AD local e um tenant do Azure AD.
O Azure AD Connect configurado para sincronizar objetos de dispositivo e as configurações de registro de dispositivo necessárias.
Saída de rede (egress) para os endpoints de registro de dispositivo do Azure AD e linha de visada (line-of-sight) para um controlador de domínio durante o registro inicial para Windows 10/11.
Configuração adequada de sufixo UPN e DNS para que os dispositivos possam se autenticar no Azure AD.

O Azure AD Connect é o mecanismo de sincronização entre o AD local e o Azure AD. Principais considerações de configuração:

Escopo e filtragem: Use a filtragem baseada em UO (OU) ou em atributos para incluir usuários, grupos e dispositivos que devem existir no Azure AD. Mantenha o escopo mínimo e bem definido.
Método de entrada:
- Sincronização de hash de senha (PHS): Os hashes são sincronizados em intervalos regulares. O Azure AD valida as entradas usando o hash sincronizado. Esta é a opção mais resiliente e de menor complexidade; ela suporta o logon único contínuo (seamless single sign-on) e fornece um fallback de autenticação na nuvem se a infraestrutura local estiver indisponível.
- Autenticação de passagem (PTA): Um agente leve (lightweight agent) instalado em um ou mais servidores valida as senhas diretamente no AD local em tempo real. Use o PTA se a política proibir o armazenamento de hashes de senha na nuvem ou se você precisar aplicar políticas de entrada locais. Implante vários agentes para alta disponibilidade.
- Federação (AD FS): Use apenas se você precisar de regras de declaração (claim rules) avançadas ou cenários de MFA com smartcard/terceiros não suportados pelo PHS/PTA. Isso introduz mais complexidade e dependências.
Registro de dispositivo: No Azure AD Connect, habilite o assistente de opções de dispositivo para configurar o Hybrid Azure AD join para sua floresta. Garanta que o ponto de conexão de serviço (SCP) esteja configurado no AD para que os dispositivos descubram o tenant do Azure AD. Pré-requisitos para sistemas operacionais de nível inferior (down-level) não são necessários para Windows 10/11.
Staging e HA: Considere o modo de preparo (staging mode) para servidores de backup e use exportação/importação para a configuração. Monitore a saúde da sincronização através do Azure AD Connect Health.

O hybrid join configurado corretamente garante que os dispositivos possam adquirir tokens de dispositivo do Azure AD, permitindo o registro automático no cogerenciamento e a aplicação de políticas baseadas na nuvem.

Precedência de políticas: Group Policy vs. Intune MDM

Quando Objetos de Política de Grupo (GPOs) e políticas de MDM do Intune visam a mesma configuração, a precedência padrão varia de acordo com a configuração e a implementação. Em geral, os GPOs tradicionais prevalecem para configurações sobrepostas baseadas em registro, porque são aplicados pelo mecanismo de Política de Grupo em intervalos de atualização. Para dar suporte ao gerenciamento moderno, o Windows 10 versão 1709 e posterior introduziu a política ControlPolicyConflict para dar preferência ao MDM para áreas de Policy CSP suportadas.

Práticas essenciais para gerenciar a precedência e evitar conflitos:

Estabeleça a propriedade por configuração. Não configure a mesma definição tanto no GPO quanto no Intune. Migre em blocos e desative (decommission) os GPOs assim que as políticas de MDM equivalentes estiverem em vigor.
Use o controle “MDM prevalece sobre GPO” quando disponível. Implante a configuração ControlPolicyConflict do Policy CSP (MDMWinsOverGP) via Intune para instruir o Windows a preferir o Policy CSP do MDM em vez do GPO para as categorias suportadas. Muitas configurações baseadas em ADMX expostas através dos Modelos Administrativos (Administrative Templates) do Intune honram esse controle, mas nem todas.
Prefira as políticas de segurança de Endpoint (Endpoint security policies) no Intune para Defender, Firewall e BitLocker, pois elas usam CSPs suportados com tratamento de conflitos e relatórios claros.
Valide com diagnósticos. Use o Relatório de Diagnóstico de MDM (MDM Diagnostic Report) integrado (ms-settings:workplace e, em seguida, Exportar) e o GPResult/Conjunto de Políticas Resultante (Resultant Set of Policy) para identificar sobreposições. Revise o relatório por configuração do Intune e as linhas de base de conformidade do ConfigMgr/GPO para detectar conflitos.
Sequencie a migração. Comece movendo a configuração de dispositivo que tem um mapeamento 1:1 de CSP, habilite a prevalência do MDM sobre o GPO para essas categorias, verifique o resultado e, em seguida, desvincule ou desabilite os GPOs correspondentes.

Para dispositivos cogerenciados, garanta também que as linhas de base de configuração do ConfigMgr ou as configurações do Endpoint Protection não estejam duplicando os mesmos controles que as políticas do Intune. Uma única fonte autoritativa por controle evita resultados imprevisíveis.

Anexação à nuvem: CMG e anexação de locatário

O Cloud Management Gateway (CMG) permite que o ConfigMgr gerencie clientes baseados na internet sem a necessidade de VPN. O CMG é executado no Azure como um serviço PaaS (preferencialmente em Virtual Machine Scale Sets) e atua como proxy para a comunicação do cliente com seu site local por meio do ponto de conexão do CMG. As funcionalidades incluem política de cliente, inventário de hardware/software, implantações de aplicativos, scripts, CMPivot e Software Updates quando os clientes estão configurados para gerenciamento baseado na internet. Requisitos principais e pontos de design:

Assinatura e grupo de recursos do Azure, com o site do ConfigMgr vinculado ao seu locatário (tenant) do Azure AD.
Certificados e autenticação: Use a autenticação do Azure AD para clientes quando seus dispositivos forem ingressados no Azure AD híbrido/Azure AD e seu site usar HTTP Avançado (Enhanced HTTP). Certificados de autenticação de cliente PKI continuam sendo suportados, mas aumentam a complexidade.
Funções locais (on-premises): Implante um ponto de conexão do CMG e garanta que o ponto de conexão de serviço esteja online para conectividade com a nuvem.
Custo e capacidade: Dimensione as instâncias para as conexões simultâneas e a taxa de transferência de conteúdo esperadas; monitore o uso para otimizar os custos.
Conteúdo: Use o CMG para verificação de políticas e atualizações. Para distribuição de conteúdo, combine com pontos de distribuição na nuvem ou habilite o conteúdo sobre o CMG, conforme suportado pela versão do seu site.

A anexação de locatário (tenant attach) expõe o inventário e as ações de dispositivos do ConfigMgr no centro de administração do Microsoft Intune sem exigir o cogerenciamento. Quando você habilita a opção “Fazer upload para o centro de administração do Microsoft Endpoint Manager”, os dispositivos aparecem em Dispositivos no portal do Intune com o ConfigMgr como a autoridade de gerenciamento. Você pode executar ações como:

Executar consultas do CMPivot e Scripts
Visualizar dados semelhantes ao Resource Explorer e a linha do tempo do dispositivo
Instalar aplicativos disponíveis do ConfigMgr
Iniciar ações do cliente (com base na versão e nas permissões)

A anexação de locatário integra o RBAC do Azure AD/Intune com o RBAC do ConfigMgr. Para clientes da internet, as ações em tempo real exigem o CMG; para clientes da intranet, as ações fluem através dos pontos de gerenciamento locais (on-premises). A anexação de locatário complementa o cogerenciamento, fornecendo um console unificado na nuvem e permitindo tarefas de helpdesk sem conceder acesso ao console do ConfigMgr.

Cenário de Problema Prático

A Contoso, Ltd. tem 5.000 dispositivos Windows 10/11 gerenciados pelo Configuration Manager em vários sites. O trabalho remoto aumentou, e muitos dispositivos raramente se conectam à VPN. A Contoso deseja aplicar o Acesso Condicional (Conditional Access) com base na conformidade do dispositivo, mover os controles de segurança para a nuvem e gerenciar dispositivos baseados na internet sem depender da VPN, evitando uma migração do tipo “big-bang”.

Estabelecer a base de identidade e de dispositivos

Habilite o ingresso híbrido no Azure AD (hybrid Azure AD join) via Azure AD Connect para todos os dispositivos ingressados no domínio e verifique os objetos de dispositivo no Azure AD. Escolha a Sincronização de Hash de Senha (Password Hash Synchronization) para um logon resiliente e de baixa manutenção e habilite o SSO Contínuo (Seamless SSO).
Por quê: O ingresso híbrido fornece a identidade do dispositivo no Azure AD e os tokens necessários para o registro automático no cogerenciamento e para o Acesso Condicional. O PHS simplifica as operações e oferece um fallback na nuvem.

Configurar o cogerenciamento com registro em fases

No ConfigMgr, execute o assistente de Cogerenciamento para conectar o site ao locatário do Azure AD e direcione uma coleção piloto para o registro automático de MDM no Intune.
Por quê: O cogerenciamento adiciona o canal de MDM do Intune sem a necessidade de recriar a imagem do sistema ou de ação do usuário, permitindo que a Contoso mova as cargas de trabalho gradualmente.

Mover a carga de trabalho de Políticas de conformidade para o Intune (Piloto → Todos)

Crie políticas de conformidade no Intune que reflitam as linhas de base da Contoso (criptografia, Defender, versões do SO) e habilite políticas de Acesso Condicional que exijam dispositivos em conformidade para o Microsoft 365.
Por quê: O Intune é a autoridade de conformidade que se integra ao Acesso Condicional do Azure AD; mover essa carga de trabalho habilita o controle de acesso seguro.

Implantar a segurança de ponto de extremidade via Intune; desativar o EP sobreposto do ConfigMgr

Crie políticas de segurança de ponto de extremidade para o Defender Antivirus, Firewall e BitLocker no Intune e mova a carga de trabalho de Proteção de ponto de extremidade (Endpoint protection) para o Intune para o piloto. Desabilite as configurações equivalentes de antimalware e BitLocker do ConfigMgr para a coleção piloto.
Por quê: A segurança de ponto de extremidade do Intune usa CSPs otimizados para o gerenciamento moderno e fornece relatórios claros e alinhamento com o CA (Acesso Condicional).

Migrar a configuração de dispositivos para o Intune com controle de conflitos

Crie perfis no Catálogo de Configurações (Settings Catalog) para restrições de dispositivo, Wi-Fi e certificados. Implante a política de controle MDMWinsOverGP onde for suportado, valide nos pilotos e, em seguida, desvincule as GPOs correspondentes.
Por quê: Garante uma transição de propriedade limpa e evita a rotatividade de políticas (policy churn) causada pela sobreposição de GPOs e MDM.

Implementar o Cloud Management Gateway

Implante o CMG usando a autenticação do Azure AD e o HTTP Avançado (Enhanced HTTP), e adicione um ponto de conexão do CMG. Verifique se os clientes baseados na internet recebem políticas, inventário e atualizações de software.
Por quê: O CMG fornece gerenciamento e atualizações do ConfigMgr pela internet para dispositivos que não usam VPN, mantendo a continuidade durante a migração.

Habilitar a anexação de locatário para operações unificadas

Configure a opção “Fazer upload para o centro de administração do Microsoft Endpoint Manager” para expor os dispositivos do ConfigMgr no portal do Intune. Conceda à equipe de helpdesk as funções apropriadas do Intune para executar o CMPivot e instalar aplicativos.
Por quê: A anexação de locatário consolida as ações do dia a dia em um console web, reduzindo a dependência do console completo do ConfigMgr e melhorando a solução de problemas remota.

Expandir as cargas de trabalho e desativar os controles legados

Mova as cargas de trabalho de Configuração de dispositivo e Aplicativos cliente para o Intune em fases. Para o Windows Update, avalie a mudança para o Windows Update for Business ou mantenha o Software Updates no ConfigMgr, onde o CMG for suficiente. Desative as GPOs e as linhas de base do ConfigMgr sobrepostas à medida que a propriedade for transferida.
Por quê: Uma abordagem em fases reduz o risco, mantém os dispositivos seguros durante todo o processo e se alinha com os objetivos “cloud-first” da Contoso, ao mesmo tempo que preserva as capacidades locais (on-premises) necessárias durante a transição.

← Identidade · Todos os domínios · Ciclo de Vida do Windows e Gerenciamento de Atualizações →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →