Microsoft MD-102: Identidade, Acesso e Acesso Condicional — Guia de estudos

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Faz parte do Microsoft Endpoint Administrator Associate MD-102 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Microsoft, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

Identidade, Acesso e Acesso Condicional no Microsoft 365 estabelece como usuários, dispositivos e aplicativos são autenticados e autorizados para acessar recursos corporativos. O Acesso Condicional (CA) do Azure AD avalia sinais como o estado do usuário e do dispositivo, localização e risco para impor controles como MFA, dispositivo em conformidade, proteção de aplicativo e restrições de sessão. Políticas baseadas em risco do Azure AD Identity Protection automatizam a remediação para usuários comprometidos e entradas de risco. Tokens de Atualização Primários (PRTs) proporcionam single sign-on transparente em dispositivos ingressados no Azure AD, enquanto o Enterprise State Roaming preserva experiências de usuário produtivas entre dispositivos. O Privileged Identity Management impõe elevação just-in-time para administradores. Por fim, uma estratégia bem estruturada de grupos do Azure AD é fundamental para o direcionamento preciso tanto no Intune quanto no Acesso Condicional.

Acesso Condicional: condições, controles de concessão, localizações nomeadas e estratégia de MFA

O Acesso Condicional avalia condições e aplica controles de concessão/sessão para produzir uma decisão de sim/não na emissão do token. As políticas de CA são avaliadas após a autenticação primária e antes que um token de acesso seja emitido.

Condições-chave que você deve dominar:

• Usuário e grupo: Define o escopo de quem a política visa. Use a lógica de inclusão/exclusão para pilotar e para isolar contas de emergência (break-glass).
• Aplicativos ou ações na nuvem: Seleciona aplicativos específicos (ex: Exchange Online, SharePoint Online, aplicativos empresariais personalizados) ou ações do usuário (registrar informações de segurança).
• Plataforma do dispositivo e estado do dispositivo: Filtra por sistema operacional e exige conformidade do dispositivo ou ingresso híbrido no Azure AD para atender aos requisitos de dispositivo Zero Trust. A conformidade do dispositivo é sinalizada pelo Intune e requer que o dispositivo seja avaliado e marcado como em conformidade.
• Localizações: Usa localizações nomeadas para incluir/excluir por país/região ou intervalos de IP. Marque a saída de rede confiável como “confiável” para relaxar os controles quando apropriado.
• Aplicativos cliente: Distingue clientes de autenticação moderna (navegador, clientes modernos do Office) de protocolos legados (IMAP/POP/SMTP/ActiveSync básico). Para bloquear apenas a autenticação legada, permitindo a autenticação moderna, use a condição de Aplicativos cliente mais um controle de concessão de Bloqueio para clientes legados.
• Risco de entrada e risco do usuário: Ingere sinais de risco do Identity Protection para acionar decisões de step-up ou bloqueio no momento da entrada ou com base no comprometimento da conta.

Controles de concessão definem o que deve ser satisfeito para o acesso:

• Exigir autenticação multifator
• Exigir que o dispositivo seja marcado como em conformidade
• Exigir dispositivo ingressado no Azure AD híbrido
• Exigir alteração de senha (remediação de risco)
• Exigir termos de uso
• Exigir aplicativo cliente aprovado e/ou política de proteção de aplicativo (para MAM sem registro/enrollment)

Controles de sessão moldam o comportamento pós-autenticação:

• Frequência de entrada e sessão de navegador persistente
• Conditional Access App Control (via Microsoft Defender for Cloud Apps) para inspeção de sessão em tempo real
• Desabilitar padrões de resiliência onde alta garantia é necessária

Melhores práticas do ciclo de vida da política:

• Comece com o modo somente relatório para validar o impacto
• Use modelos de política para cenários comuns (ex: bloquear autenticação legada, proteger funções de administrador)
• Sempre inclua contas de acesso de emergência que não são afetadas pelo CA
• Combine “exigir conformidade do dispositivo” com políticas de conformidade do Intune para impor verificações de SO, criptografia, antivírus e jailbreak/root

Localizações nomeadas e intervalos de IP confiáveis:

• Localizações nomeadas podem ser países/regiões (com base em IP-para-geolocalização) ou intervalos CIDR IPv4/IPv6 específicos. Marcar uma localização nomeada como confiável permite usá-la como uma exclusão ou para relaxar controles (ex: dispensar MFA em escritórios confiáveis). Apenas IPs de saída públicos são eficazes; IPs privados com NAT não são visíveis externamente.
• O Identity Protection pode tratar localizações nomeadas confiáveis como de menor risco para detecções de entrada não familiar. Mantenha uma lista oficial de IPs de saída corporativos e mantenha-a atualizada para evitar falsos positivos.

Estratégia de MFA — MFA por usuário vs. MFA por Acesso Condicional:

• O MFA por usuário (legado) impõe estaticamente o MFA no objeto do usuário e suporta “ignorar MFA para IPs confiáveis” apenas através de suas configurações clássicas. Ele carece de avaliação contextual e direcionamento granular, e entra em conflito com os prompts do CA.
• O MFA via Acesso Condicional é a abordagem recomendada. Ele aplica o MFA com base em condições como sensibilidade do aplicativo, estado do dispositivo e risco. Ele se integra com o Identity Protection para prompts baseados em risco e suporta clientes de autenticação moderna.
• Orientações de migração: Desabilite/defina como “Desabilitado” o MFA por usuário, implemente políticas de MFA baseadas em CA e confie na política centralizada de Métodos de Autenticação para registro e imposição de métodos (ex: Authenticator, FIDO2, SMS). Use o MFA preferido pelo sistema e a correspondência de número (number matching) para fortalecer as aprovações por push.

Identity Protection, risco de usuário e de entrada, e o papel do PRT no SSO contínuo

O Azure AD Identity Protection (AIP) calcula o risco probabilístico com machine learning e a inteligência de ameaças da Microsoft:

• O risco de entrada avalia cada autenticação em tempo real (por exemplo, propriedades de entrada desconhecidas, viagem atípica, IP vinculado a malware, IP anônimo).
• O risco de usuário reflete a probabilidade de uma identidade estar comprometida (por exemplo, credenciais vazadas, entradas anômalas repetidas).

Políticas:

• Política de risco de entrada: Para risco de entrada médio/alto, aplique “Exigir MFA” ou “Bloquear acesso”. Isso é ideal para ‘step-up’ no momento de autenticações arriscadas.
• Política de risco de usuário: Para risco de usuário médio/alto, aplique “Exigir alteração de senha” ou “Bloquear acesso”. Isso remedia identidades comprometidas forçando uma redefinição de senha segura via SSPR/MFA.
• Integrações: Configure políticas de Acesso Condicional (CA) com condições de “Risco de entrada” ou “Risco de usuário” para um controle preciso por aplicativo. Exclua contas de emergência (break-glass). Use locais confiáveis nomeados para reduzir falsos positivos.
• Licenciamento e auditoria: O Identity Protection requer o Azure AD Premium P2. Use o fluxo de trabalho de detecção e investigação de riscos para confirmar, dispensar ou remediar riscos, e exporte os logs para um SIEM.

Primary Refresh Token (PRT) e SSO contínuo em dispositivos ingressados no Azure AD:

• O PRT é um refresh token vinculado ao dispositivo e com escopo de usuário, emitido durante a entrada no dispositivo (ingressado no Azure AD ou ingressado no Azure AD híbrido). Ele reside na pilha de credenciais do sistema operacional e é protegido pelo TPM quando disponível.
• O PRT habilita o SSO para aplicativos integrados ao Azure AD por meio do Web Account Manager (WAM) e da MSAL, eliminando prompts repetidos. Quando a entrada inicial satisfez a MFA, o PRT carrega uma declaração (claim) de MFA que pode atender à exigência de “exigir MFA” do Acesso Condicional sem um novo prompt, até que a frequência de entrada expire ou a política mude.
• Renovação e segurança: O PRT é renovado periodicamente e pode ser desafiado com um nonce para confirmar a presença do dispositivo. Revogar o registro do dispositivo ou desabilitar o usuário invalida a emissão de tokens subsequentes.
• Relação com o SSO Contínuo: O Azure AD Seamless SSO (baseado em Kerberos via Azure AD Connect) beneficia principalmente máquinas ingressadas em domínio na rede corporativa que usam PHS/PTA. Dispositivos ingressados no Azure AD dependem do PRT para SSO; você não precisa do Seamless SSO para que dispositivos AADJ obtenham SSO para recursos na nuvem.

Enterprise State Roaming, PIM e estratégia de grupos para direcionamento preciso

Enterprise State Roaming (ESR):

• O ESR sincroniza configurações do Windows e de certos aplicativos compatíveis para usuários do Azure AD entre dispositivos ingressados no Azure AD e ingressados no Azure AD híbrido. Exemplos incluem personalização, idioma e algumas configurações de aplicativos do Windows; não inclui documentos ou arquivos arbitrários.
• Habilite o ESR nas configurações do tenant do Azure AD e defina o escopo para todos os usuários ou para usuários selecionados. Os dados são criptografados em trânsito e em repouso no Azure; as chaves têm escopo de tenant. O ESR reduz o tempo de reconfiguração durante a substituição de dispositivos ou o provisionamento com o Autopilot e complementa, mas não substitui, soluções de gerenciamento de perfil.

Privileged Identity Management (PIM) para acesso administrativo just-in-time:

• O PIM (Azure AD P2) torna os usuários elegíveis em vez de permanentemente atribuídos a funções privilegiadas (por exemplo, Global Administrator, Intune Administrator, Security Administrator) ou a grupos de acesso privilegiado (PAGs).
• A ativação pode exigir MFA, justificativa, números de ticket e aprovação, e pode ser limitada no tempo com início/fim forçados. Ele gera registros de auditoria imutáveis e alertas para ativações excessivas.
• Use o PIM para reduzir privilégios permanentes, limitar o raio de impacto (blast radius) e atender à conformidade. Para o Intune, torne os administradores elegíveis para a função de Intune Administrator ou para um PAG ao qual seja concedido um RBAC do Intune com escopo. Exija aprovação para funções de alto impacto e limite a ativação ao horário de trabalho.

Grupos do Azure AD para direcionamento no Intune e no Acesso Condicional (CA):

• Grupos atribuídos: Membros estáticos, ideais para projetos piloto e quando os atributos são insuficientes. Administrativamente simples e determinísticos.
• Grupos de usuários dinâmicos: Membros calculados a partir de atributos do usuário (por exemplo, department, usageLocation, jobTitle). Ideal para políticas com escopo de usuário, atribuições de aplicativos e governança de licenças. Requer o Azure AD Premium P1.
• Grupos de dispositivos dinâmicos: Membros baseados em atributos do dispositivo (por exemplo, deviceOSType, deviceOwnership, enrollmentProfileName, deviceCategory). Ideal para políticas com escopo de dispositivo e implantações de aplicativos.
• Diretrizes de direcionamento do Intune:
  • Use grupos de usuários para políticas baseadas em usuário (por exemplo, políticas de proteção de aplicativos, atribuições de aplicativos do Office) e grupos de dispositivos para perfis baseados em dispositivo (por exemplo, configuração, conformidade).
  • Prefira filtros de dispositivo do Intune para um escopo de alta precisão em atribuições de “Todos os dispositivos” para reduzir a proliferação de grupos (group sprawl) e atrasos na avaliação.
  • Para o Acesso Condicional, defina o escopo das políticas para usuários e identidades de carga de trabalho; use filtros de dispositivo dentro do Acesso Condicional quando precisar restringir a aplicação por propriedades do dispositivo e exija “dispositivo em conformidade” ou “ingressado híbrido” para impor a postura do dispositivo.
• Boas práticas (Hygiene): Evite usar grupos aninhados que causam atrasos imprevisíveis na avaliação dinâmica. Monitore o processamento de membros e projete exclusões de fallback para contas de emergência (break-glass) ou de serviço.

Juntando tudo: padrões de acesso modernos e seguros

Um padrão robusto para endpoints cloud-first:

• Bloquear autenticação legada usando uma política de AC com a condição de aplicativos Cliente (Client apps) no escopo de protocolos legados e um controle de concessão de Bloqueio (Block).
• Impor MFA baseado em AC com escopo de política por sensibilidade (por exemplo, exigir MFA para Exchange/SharePoint e todos os portais de administração). Eliminar o MFA por usuário para evitar conflitos.
• Exigir conformidade do dispositivo para plataformas de desktop com controles de sessão para frequência de login. Para BYOD móvel, exigir aplicativos cliente aprovados e políticas de proteção de aplicativos sem registro (enrollment).
• Aproveitar o Identity Protection: exigir MFA para risco de login médio, bloquear risco de login alto e exigir alteração de senha para risco de usuário médio/alto.
• Usar locais nomeados (named locations) para reduzir o atrito em redes corporativas confiáveis, enquanto ainda impõe a conformidade do dispositivo e os controles de sessão conforme necessário.
• Garantir que dispositivos ingressados no Azure AD (Azure AD joined) obtenham um PRT para SSO contínuo, suportado pela conformidade do Intune e sinais do Defender for Endpoint, quando aplicável.
• Governar o acesso de administrador com o PIM e executar revisões de acesso periódicas.

Cenário de Problema Prático

A Fabrikam, Inc. está implementando laptops Windows 11 ingressados no Azure AD com gerenciamento do Intune para uma força de trabalho global. A segurança exige o bloqueio da autenticação legada, a imposição de MFA com base no risco, a obrigatoriedade de dispositivos em conformidade para acesso ao Microsoft 365, a habilitação do SSO e a minimização do atrito para o usuário com prompts frequentes. Os administradores devem elevar seus privilégios apenas quando necessário. Os usuários devem manter a personalização da área de trabalho em novos dispositivos.

1. Implementar a linha de base do Acesso Condicional

• Criar uma política de AC “Bloquear autenticação legada”: direcionar a todos os usuários, excluir duas contas de emergência (break-glass), direcionar a todos os aplicativos de nuvem, definir aplicativos Cliente (Client apps) para protocolos legados e conceder Bloqueio (Block). Por quê: Isso bloqueia precisamente apenas os protocolos legados, preservando o acesso por autenticação moderna.

2. Exigir MFA e conformidade do dispositivo para o Microsoft 365

• Criar uma política de AC “Acesso ao M365 requer dispositivo em conformidade ou MAM”: direcionar a todos os usuários, incluir Exchange Online e SharePoint Online, exigir que o dispositivo seja marcado como em conformidade para Windows/macOS; para iOS/Android, exigir aplicativo cliente aprovado e política de proteção de aplicativo. Definir a frequência de login do controle de sessão para 14 dias. Por quê: Equilibra segurança e usabilidade, impondo Zero Trust em endpoints gerenciados e MAM para BYOD sem registro (enrollment).

3. Habilitar proteção baseada em risco com o Identity Protection

• Configurar política de risco de login (Sign-in risk): para médio e superior, exigir MFA; para alto, bloquear o acesso.
• Configurar política de risco de usuário (User risk): para médio e superior, exigir alteração de senha usando SSPR+MFA. Por quê: Automatiza a remediação em tempo real e de comprometimento de conta para reduzir o tempo de resposta a incidentes.

4. Estabelecer locais nomeados (named locations)

• Definir intervalos de IP nomeados para o datacenter e escritórios regionais da Fabrikam e marcá-los como confiáveis. Por quê: Diminui os prompts de MFA desnecessários de pontos de egresso conhecidos e melhora a precisão do sinal de risco.

5. Garantir SSO contínuo via PRT em dispositivos ingressados no Azure AD

• Registrar dispositivos com o Windows Autopilot (ingresso no Azure AD) e Intune. Verificar a emissão do PRT usando dsregcmd /status e garantir que a sincronização de tempo e o TPM estejam íntegros. Por quê: O PRT fornece SSO vinculado ao dispositivo, satisfaz as declarações de MFA do AC quando aplicável e elimina prompts repetidos.

6. Configurar conformidade e direcionamento do Intune com grupos do Azure AD

• Criar grupos de dispositivos dinâmicos por plataforma e propriedade (ownership) e aplicar políticas de conformidade (criptografia, SO mínimo, status do Defender). Usar filtros de dispositivo do Intune para refinar as atribuições de “Todos os dispositivos” para perfis de configuração e aplicativos Win32. Por quê: Garante que apenas dispositivos em conformidade recebam acesso, minimizando a proliferação de grupos e o atraso na avaliação.

7. Governar o acesso privilegiado com o PIM

• Tornar o Helpdesk elegível para as funções de Operador de Help Desk do Intune (Intune Help Desk Operator) e Gerente de Segurança de Endpoint (Endpoint Security Manager); tornar a equipe de Cloud Ops elegível para Administrador do Intune (Intune Administrator). Exigir MFA, justificativa e janelas de ativação de 4 horas com aprovação para funções de maior privilégio. Por quê: Reduz o privilégio permanente, impõe o princípio do menor privilégio e fornece ativações auditáveis.

8. Habilitar o Enterprise State Roaming (ESR)

• Ativar o ESR para todos os usuários do Azure AD. Comunicar quais configurações são sincronizadas (roam) e validar a sincronização em dispositivos piloto. Por quê: Preserva a personalização do usuário entre substituições de dispositivos, melhorando a produtividade durante eventos do ciclo de vida.

Este design usa o Acesso Condicional para imposição contextual, o Identity Protection para remediação automatizada de riscos, o PRT para SSO sem atrito em dispositivos ingressados no Azure AD, o Intune e grupos dinâmicos para direcionamento preciso de políticas, o PIM para administração just-in-time e o ESR para uma experiência de usuário consistente — tudo alinhado com o Zero Trust e a eficiência operacional.

← Segurança de Endpoint e Microsoft Defender · Todos os domínios · Cogerenciamento e Ambientes Híbridos →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →

Navegar Microsoft →