Criar uma revisão de acesso de grupos e aplicativos no Microsoft Entra ID

O acesso a grupos e aplicativos para funcionários e convidados muda ao longo do tempo. Para reduzir os riscos associados às atribuições de acesso obsoletas, os administradores podem usar o Microsoft Entra ID para criar revisões de acesso para membros do grupo ou acesso a aplicativos.

Os proprietários do grupo de segurança e do Microsoft 365 também podem usar o Microsoft Entra ID para criar revisões de acesso para membros do grupo, desde que o usuário com, no mínimo, a função de Administrador de Governança de Identidade habilite a configuração por meio do painel Configurações de Revisões de Acesso. Para obter mais informações sobre esses cenários, confira Gerenciar revisões de acesso.

Assista a um vídeo curto que fala sobre a habilitação de revisões de acesso.

Este artigo descreve como criar uma ou mais revisões de acesso para membros do grupo ou acesso ao aplicativo.

• Para revisar as atribuições do pacote de acesso, confira configurar uma revisão de acesso no gerenciamento de direitos.
• Para revisar o recurso do Azure ou as funções do Microsoft Entra, confira Crie uma revisão de acesso de recurso do Azure e de funções do Microsoft Entra no Privileged Identity Management.
• Para revisões do PIM para grupos, confira Criar uma revisão de acesso do PIM para Grupos.

Pré-requisitos

• Licenças do Microsoft Entra ID P2 ou do Microsoft Entra ID Governance.
• Revisar usuários inativos ou com recomendações de afiliação de usuário a grupo exige uma licença do Microsoft Entra ID Governance.
• Administrador global ou administrador de governança de identidade para criar revisões em grupos ou aplicativos.
• Os usuários devem ser, pelo menos, um Administrador de Funções Com Privilégios para criar revisões em grupos atribuíveis a funções. Para obter mais informações, confira Usar grupos do Microsoft Entra para gerenciar atribuições de função.
• Proprietário de grupo de segurança e do Microsoft 365.

Para obter mais informações, confira Requisitos de licença.

Se você estiver revisando o acesso a um aplicativo, antes de criar a revisão, confira o artigo sobre como preparar uma revisão de acesso de usuários a um aplicativo para garantir que o aplicativo seja integrado ao Microsoft Entra ID no seu locatário.

Criar uma revisão de acesso de etapa única

Escopo

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

2. Navegue até Governança de identidade>Revisões de Acesso.

3. Selecione Nova revisão de acesso para criar uma revisão de acesso.

   

4. Na caixa Selecionar o que revisar, selecione qual recurso você deseja revisar.

   

5. Caso tenha selecionado Equipes + Grupos, você tem duas opções:

   • Todos os Grupos do Microsoft 365 com usuários convidados: selecione esta opção se deseja criar revisões recorrentes em todos os usuários convidados em todos os grupos do Microsoft Teams e do Microsoft 365 na organização. Grupos dinâmicos e grupos atribuíveis a funções não estão incluídos. Você também pode optar por excluir grupos individuais ao escolher Selecionar grupos para excluir.

   • Selecionar Equipes + Grupos: selecione esta opção se deseja especificar um conjunto finito de equipes ou grupos para revisar. Uma lista de grupos para escolher aparece à direita.

     

6. Caso tenha selecionado Aplicativos, escolha um ou mais aplicativos.

   

7. Agora você pode selecionar um escopo para a revisão. As opções são:

   • Somente usuários convidados: essa opção limita a revisão de acesso somente aos usuários convidados B2B do Microsoft Entra no seu diretório.
   • Todos: essa opção tem como escopo a revisão de acesso para todos os objetos de usuário associados ao recurso.

   Observação

   Se você selecionou Todos os grupos do Microsoft 365 com usuários convidados, a única opção é revisar Somente usuários convidados.

8. Ou, se estiver realizando uma revisão de associação de grupo, poderá criar revisões de acesso apenas para os usuários inativos do grupo. Na seção Escopo dos usuários, marque a caixa ao lado de Usuários inativos (no nível do locatário). Se você marcar a caixa, o escopo da revisão se concentrará apenas nos usuários inativos, aqueles que não se conectaram de forma interativa ou não interativa ao locatário. Em seguida, especifique os Dias inativos com muitos dias inativos até 730 dias (dois anos). Os usuários do grupo inativos pelo número especificado de dias são os únicos na revisão.

   Observação

   Os usuários criados recentemente não são afetados ao configurar o tempo de inatividade. A revisão de acesso verificará se um usuário foi criado no período configurado e desconsiderará os usuários que não existam há pelo menos esse período. Por exemplo, se você definir o tempo de inatividade como 90 dias e um usuário convidado tiver sido criado ou convidado há menos de 90 dias, o usuário convidado não estará no escopo da revisão de acesso. Isso garante que um usuário possa entrar pelo menos uma vez antes de ser removido.

9. Selecione Avançar: Revisões.

Avançar: Revisões

1. Você pode criar uma revisão de etapa única ou de várias etapas. Para uma revisão de etapa única, continue aqui. Para criar uma revisão de acesso de várias etapas, siga os passos em Criar uma revisão de acesso de várias etapas

2. Na seção Especificar revisores, na caixa Selecionar revisores, escolha uma ou mais pessoas para tomar decisões nas revisões de acesso. Você pode escolher:

   • Proprietários do grupo: essa opção só estará disponível quando você fizer uma revisão em uma equipe ou grupo.
   • Usuários ou grupos selecionados
   • Os usuários revisam seu próprio acesso
   • Gerentes dos usuários

   Se você escolher Gerentes de usuários ou Proprietários do grupo, também poderá especificar um revisor de fallback. Os revisores de fallback são solicitados a fazer uma revisão quando o usuário não tem nenhum gerente especificado no diretório ou se o grupo não tem um proprietário.

   Observação

   Em uma revisão de acesso de equipe ou grupo, somente os proprietários do grupo (no momento em que uma revisão é iniciada) são considerados revisores. Durante uma revisão, se a lista de proprietários do grupo for atualizada, os novos proprietários do grupo não serão considerados revisores, e os proprietários de grupos antigos ainda serão considerados revisores. No entanto, no caso de uma revisão recorrente, todas as alterações na lista de proprietários do grupo serão consideradas na próxima instância dessa revisão.

   Importante

   Para revisões de acesso do PIM para Grupos (preview), ao selecionar o proprietário do grupo como revisor, é obrigatório atribuir pelo menos um revisor de fallback. A revisão atribuirá apenas proprietários ativos como revisores. Proprietários qualificados não estão incluídos. Se não houver proprietários ativos quando a revisão começar, os revisores de fallback serão atribuídos à revisão.

   

3. Na seção Especificar recorrência da revisão, especifique as seguintes seleções:

   • Duração (em dias): por quanto tempo uma revisão fica aberta para entrada de revisores.

   • Data de início: quando a série de revisões começa.

   • Data de término: quando a série de revisões termina. Você pode especificar que Nunca termina. Você também pode selecionar Terminar em uma data específica ou Terminar após um número de ocorrências.

     

4. Selecione Avançar: Configurações.

Você especifica a data de início, mas o horário de início pode variar algumas horas com base no processamento do sistema.

Avançar: Configurações

1. Em Configurações após a conclusão, você pode especificar o que acontece após o fim da revisão.

   

   • Aplicar resultados automaticamente ao recurso: marque esta caixa de seleção se quiser que o acesso de usuários negados seja removido automaticamente após o fim da duração da revisão. Se a opção estiver desabilitada, você terá que aplicar manualmente os resultados quando a revisão terminar. Para saber mais sobre como aplicar os resultados da revisão, confira Gerenciar revisões de acesso.

   • Se os revisores não responderem: use essa opção para especificar o que acontece com os usuários não revisados por nenhum revisor dentro do período de revisão. Essa configuração não afeta os usuários que foram revisados por um revisor. A lista suspensa mostra as seguintes opções:

     • Sem alteração: deixa o acesso de um usuário inalterado.
     • Remover acesso: remove o acesso de um usuário.
     • Aprovar acesso: aprova o acesso do usuário.
     • Aceitar recomendações: aceita a recomendação do sistema para negar ou aprovar o acesso contínuo do usuário.

     Aviso

     Caso as configurações Se os revisores não responderem estiverem definidas como Remover acesso ou Aceitar recomendações e a opção Aplicar resultados automaticamente ao recurso estiver habilitada, todo o acesso a esse recurso poderá ser revogado se os revisores não responderem.

   • Ação a ser aplicada a usuários convidados negados: essa opção só estará disponível se o escopo da revisão de acesso incluir apenas usuários convidados, para especificar o que acontecerá com eles se forem negados por um revisor ou pela configuração Se os revisores não responderem.

     • Remover a associação do usuário do recurso: essa opção removerá o acesso de um usuário convidado negado ao grupo ou ao aplicativo que está sendo revisado. Ele ainda pode entrar no locatário e não perderá nenhum outro acesso.
     • Bloquear a entrada do usuário por 30 dias e removê-lo do locatário: essa opção bloqueará a entrada de usuários convidados negados no locatário, independentemente de terem acesso a outros recursos. Se essa ação tiver sido realizada erroneamente, os administradores poderão reativar o acesso do usuário convidado dentro de 30 dias após a desativação desse usuário. Se nenhuma ação for realizada quanto ao usuário convidado desabilitado após 30 dias, ele será excluído do locatário.

   Para saber mais sobre as melhores práticas para remover usuários convidados que não têm mais acesso aos recursos na organização, confira Usar o Microsoft Entra ID Governance para fazer uma revisão e a remoção de usuários externos que não têm mais acesso a recursos.

   Observação

   A ação a ser aplicada a usuários convidados negados não é configurável nas revisões com um escopo que não contém apenas usuários convidados. Também não é configurável em revisões de Todos os Grupos do Microsoft 365 com usuários convidados. Quando não configurável, a opção padrão de remover a associação de um usuário do recurso é utilizada em usuários negados.

2. Use a opção Ao final da revisão, enviar uma notificação a para enviar notificações a outros usuários ou grupos com atualizações de conclusão. Esse recurso permite que os stakeholders que não sejam o criador da revisão recebam atualizações sobre o progresso da revisão. Para usar esse recurso, escolha Selecionar Usuários ou Grupos e adicione mais um usuário ou grupo que deve receber o status de conclusão.

3. Na seção Habilitar auxiliares da decisão de revisão, escolha se deseja que o revisor receba recomendações durante o processo de revisão:

   1. Se você selecionar Nenhuma entrada dentro de 30 dias, os usuários que tiverem entrado durante o período anterior de 30 dias serão recomendados para aprovação. Os usuários que não entraram nos últimos 30 dias são recomendados para negação. Este intervalo de 30 dias independe de as entradas serem interativas ou não. A última data de entrada do usuário especificado também será exibida com a recomendação.
   2. Se você selecionar Afiliação de usuário a grupo, os revisores recebem a recomendação de aprovar ou negar o acesso dos usuários com base na distância média deles na estrutura de relatórios da organização. Os usuários que estão distantes de todos os outros usuários dentro do grupo são considerados como tendo "baixa afiliação" e receberão uma recomendação de negação nas revisões de acesso ao grupo.

   Observação

   Se você criar uma revisão de acesso com base em aplicativos, suas recomendações serão baseadas no período de intervalo de 30 dias, dependendo de quando o usuário entrou pela última vez no aplicativo em vez do locatário.

   

4. Na seção Configurações avançadas, você poderá escolher as seguintes configurações:

   • Justificativa necessária: marque essa caixa de seleção para exigir que o revisor forneça um motivo para aprovação ou negação.

   • Notificações por email: marque essa caixa de seleção para que o Microsoft Entra ID envie notificações por email aos revisores quando uma revisão de acesso for iniciada e aos administradores quando uma revisão for finalizada.

   • Lembretes: marque essa caixa de seleção para que o Microsoft Entra ID envie lembretes de revisões de acesso em andamento para todos os revisores. Os revisores recebem os lembretes na metade da revisão, independentemente de já terem concluído a revisão ou não.

   • Conteúdo adicional para email do revisor: o conteúdo do email enviado aos revisores é gerado automaticamente com base nos detalhes da revisão, como nome da revisão, nome do recurso e data de conclusão. Se você precisar comunicar mais informações, poderá especificar detalhes como instruções ou informações de contato na caixa de diálogo. As informações inseridas são incluídas no convite, e os emails de lembrete são enviados aos revisores atribuídos. A seção realçada na imagem a seguir mostra onde essas informações são exibidas.

     

5. Selecione Avançar: Revisar + Criar.

   

Avançar: Revisar + Criar

1. Dê um nome à revisão de acesso. Opcionalmente, forneça uma descrição à revisão. O nome e a descrição são mostrados aos revisores.

2. Revise as informações e selecione Criar.

Criar uma revisão de acesso de várias etapas

Uma revisão de várias etapa permite que o administrador defina dois ou três conjuntos de revisores para concluir uma revisão após a outra. Em uma revisão de etapa única, todos os revisores tomam uma decisão dentro do mesmo período, e a decisão tomada pelo último revisor é aplicada. Em uma revisão de várias etapas, dois ou três conjuntos independentes de revisores tomam, cada um, uma decisão dentro de suas próprias etapas. As etapas são sequenciais, e a próxima não acontecerá até que uma decisão seja registrada na etapa anterior. As revisões de várias etapas podem ser usadas para reduzir a carga dos revisores em etapas posteriores, permitir o escalonamento de revisores ou fazer com que os grupos independentes de revisores concordem com as decisões.

1. Depois de selecionar o recurso e o escopo da revisão, vá para a guia Revisões.

2. Selecione a caixa de seleção ao lado de Revisão de várias etapas.

3. Em Revisão da primeira etapa, selecione os revisores no menu suspenso ao lado de Selecionar revisores.

4. Se você selecionar Proprietários do grupo ou Gerentes de usuários, terá a opção de adicionar um revisor de fallback. Para adicionar um fallback, escolha Selecionar revisores de fallback e adicione os usuários que deseja para serem os revisores de fallback.

   

5. Adicione a duração da primeira etapa. Para adicionar a duração, insira um número no campo ao lado de Duração da etapa (em dias). Esse é o número de dias que você deseja que a primeira etapa seja aberta aos revisores da primeira etapa para tomar decisões.

6. Em Revisão da segunda etapa, selecione os revisores no menu suspenso ao lado de Selecionar revisores. Esses revisores serão solicitados a revisar após o término da primeira etapa de revisão.

7. Adicione quaisquer revisores de fallback, se necessário.

8. Adicione a duração da segunda etapa.

9. Por padrão, você verá duas etapas ao criar uma revisão de várias etapas. No entanto, você pode adicionar até três etapas. Se você quiser adicionar uma terceira etapa, selecione + Adicionar uma etapa e preencha os campos obrigatórios.

10. Você pode permitir que revisores da 2º e da 3º etapa vejam as decisões tomadas nas etapas anteriores. Se você quiser permitir que eles vejam as decisões tomadas anteriormente, selecione a caixa ao lado de Mostrar decisões de etapas anteriores para revisores de etapas posteriores em Revelar resultados da revisão. Deixe a caixa desmarcada para desabilitar essa configuração se desejar que os revisores revisem de forma independente.

    

11. A duração de cada recorrência é definida como a soma dos dias de duração que você especificou em cada etapa.

12. Especifique a Recorrência da revisão, a Data de início e a Data de término da revisão. O tipo de recorrência deve ter, pelo menos, a mesma duração total da recorrência (ou seja, a duração máxima de uma recorrência de revisão semanal é de 7 dias).

13. Para especificar quais revisões continuarão em cada etapa, selecione uma ou várias das seguintes opções ao lado de Especificar avaliações para a próxima etapa :

    1. Revisões aprovadas: somente as revisões que foram aprovadas passam para a próxima etapa.
    2. Revisões negadas: somente as revisões que foram negadas passam para a próxima etapa.
    3. Revisões não avaliadas: somente as revisões que não foram avaliadas passarão para a próxima etapa.
    4. Revisões marcadas como "Não sei": somente as revisões marcadas como "Não sei" passarão para a próxima etapa.
    5. Todas: todas passarão para a próxima etapa caso queira que todas as etapas de revisores tomem uma decisão.

14. Continue na guia Configurações, conclua o restante das configurações e crie a revisão. Siga as instruções em Avançar: Configurações.

Incluir usuários e equipes de conexão direta de B2B acessando os canais compartilhados do Teams nas revisões de acesso

Você pode criar revisões de acesso para usuários de conexão direta de B2B por meio de canais compartilhados no Microsoft Teams. À medida que você colabora externamente, pode usar as revisões de acesso do Microsoft Entra para garantir que o acesso externo aos canais compartilhados permaneça atualizado. Usuários externos nos canais compartilhados são chamados de usuários de conexão direta de B2B. Para saber mais sobre os canais compartilhados do Teams e os usuários de conexão direta de B2B, leia o artigo Conexão direta de B2B.

Quando você cria uma revisão de acesso em uma equipe com canais compartilhados, os revisores podem analisar a necessidade contínua de acesso desses usuários externos e do Teams nos canais compartilhados. Você pode revisar o acesso dos usuários de conexão de B2B, outros usuários de colaboração B2B com suporte e usuários internos que não são B2B na mesma revisão.

Usuários e equipes de conexão direta de B2B estão incluídos nas revisões de acesso do Grupo do Microsoft 365 habilitado pelo Teams do qual os canais compartilhados fazem parte. Para criar a revisão, você deve ter pelo menos a função de Administrador de Usuário ou Administrador de Governança de Identidade.

Use as seguintes instruções para criar uma revisão de acesso em uma equipe com canais compartilhados:

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

2. Navegue até Governança de identidade>Revisões de Acesso.

3. Selecione + Nova revisão de acesso.

4. Selecione Equipes + Grupos e Selecionar equipes + grupos para definir o Escopo da revisão. Os usuários e as equipes de conexão direta de B2B não estão incluídos nas revisões de Todos os Grupos do Microsoft 365 com usuários convidados.

5. Selecione uma equipe que tenha canais compartilhados com um ou mais usuários de conexão direta de B2B ou o Teams.

6. Defina o Escopo.

   

   • Escolha Todos os usuários para incluir:
     • Todos os usuários internos
     • Usuários de colaboração B2B que são membros da equipe
     • Usuários de conexão direta de B2B
     • Equipes com acesso aos canais compartilhados
   • Ou escolha Somente usuários convidados para incluir usuários de conexão direta de B2B e o Teams, além de usuários de colaboração B2B.

7. Continue na guia Revisões. Selecione um revisor para concluir a revisão e especifique a Duração e a Recorrência da revisão.

   Observação

   • Se você definir Selecionar revisores como Usuários revisam o próprio acesso ou Gerentes de usuários, os usuários de conexão direta de B2B e o Teams não poderão revisar o próprio acesso no seu locatário. O proprietário da equipe em revisão receberá um email solicitando que o proprietário revise o usuário de conexão direta de B2B e o Teams.
   • Se você selecionar Gerentes de usuários, um revisor de fallback selecionado revisará todos os usuários sem um gerente no locatário inicial. Isso inclui usuários de conexão direta de B2B e o Teams sem um gerente.

8. Acesse a guia Configurações e defina configurações adicionais. Em seguida, acesse a guia Revisar e Criar para iniciar sua revisão de acesso. Para obter informações mais detalhadas sobre como criar uma revisão e definições de configuração, confira Criar uma revisão de acesso de etapa única.

Permitir que os proprietários do grupo criem e gerenciem revisões de acesso dos grupos

1. Entre no centro de administração do Microsoft Entra como, no mínimo, Administrador de Governança de Identidade.

2. Navegue até Governança de identidade>Revisões de Acesso>Configurações.

3. Na página Delegar quem pode criar e gerenciar revisões de acesso, defina Os proprietários do grupo podem criar e gerenciar revisões de acesso para os próprio grupos como Sim.

   

   Observação

   Por padrão, a configuração é definida como Não. Para permitir que os proprietários do grupo criem e gerenciem revisões de acesso, altere a configuração para Sim.

Criar uma revisão de acesso programaticamente

Você também pode criar uma revisão de acesso usando o Microsoft Graph ou o PowerShell.

Para criar uma revisão de acesso usando o Graph, chame a API do Graph para criar uma definição de agendamento de revisão de acesso. O chamador deve ser um usuário em uma função apropriada com um aplicativo que tenha a permissão AccessReview.ReadWrite.All delegada ou um aplicativo com a permissão de aplicativo AccessReview.ReadWrite.All. Para obter mais informações, confira a Visão geral das APIs de revisão de acesso e os tutoriais sobre como revisar membros de um grupo de segurança ou revisar convidados em Grupos do Microsoft 365.

Você também pode criar uma revisão de acesso no PowerShell com o cmdlet New-MgIdentityGovernanceAccessReviewDefinition do módulo cmdlets do PowerShell do Microsoft Graph para Governança de Identidade. Para obter mais informações, confira os exemplos.

Quando uma revisão de acesso é iniciada

Depois que você especificar as configurações de uma revisão de acesso e criá-la, ela aparecerá na sua lista com um indicador de seu status.

Por padrão, o Microsoft Entra ID envia um email aos revisores logo após o início de uma revisão avulsa ou de uma recorrência de uma revisão recorrente. Se você optar pelo não envio do email pelo Microsoft Entra ID, certifique-se de informar aos revisores que eles devem concluir uma revisão de acesso pendente. Você pode mostrar a eles as instruções de como revisar o acesso a grupos ou aplicativos. Se a revisão for para que os convidados revisem o próprio acesso, mostre a eles as instruções sobre como revisar o próprio acesso a grupos ou aplicativos.

Se você atribuiu convidados como revisores e eles não aceitaram o convite para o locatário, eles não receberão um email de avaliações de acesso. Eles devem primeiro aceitar o convite antes que possam começar a revisar.

Atualizar a revisão de acesso

Depois que uma ou mais revisões de acesso tiverem começado, talvez convenha modificar ou atualizar as configurações de suas revisões de acesso existentes. Considere estes cenários comuns:

• Atualizar configurações ou revisores: se uma revisão de acesso for recorrente, haverá configurações separadas em Atual e em Série. A atualização das configurações ou dos revisores em Atual aplica apenas alterações à revisão de acesso atual. Atualizar as configurações em Série atualiza as configurações de todas as recorrências futuras.

  

• Adicionar e remover revisores: ao atualizar as revisões de acesso, você pode optar por adicionar um revisor de fallback além do revisor primário. Os revisores primários podem ser removidos quando você atualiza uma revisão de acesso. Os revisores de fallback não são removíveis, por padrão.

  Observação

  Os revisores de fallback só podem ser adicionados quando o tipo de revisor é um gerente ou proprietário do grupo. Os revisores primários podem ser adicionados quando o tipo de revisor é o usuário selecionado.

• Lembrar os revisores: ao atualizar as revisões de acesso, você pode optar por habilitar a opção de Lembretes em Configurações avançadas. Em seguida, os usuários recebem uma notificação por email no meio do período de revisão, independentemente de terem concluído a revisão ou não.

  

Próximas etapas

• Concluir uma revisão de acesso de grupos ou aplicativos
• Criar uma revisão de acesso do PIM para Grupos (preview)
• Examinar acesso a grupos ou aplicativos
• Examinar o acesso por si mesmo a grupos ou aplicativos
• Crie uma revisão de acesso de recurso do Azure e de funções do Microsoft Entra no PIM