Revogar o acesso do usuário na ID do Microsoft Entra

Os cenários que podem exigir que um administrador revogue todo o acesso de um usuário incluem contas comprometidas, demissão de funcionários e outras ameaças internas. Dependendo da complexidade do ambiente, os administradores podem executar várias etapas para garantir que o acesso seja revogado. Em alguns cenários, pode haver um período entre a inicialização da revogação de acesso e a revogação efetiva do acesso.

Para reduzir os riscos, você deve entender como os tokens funcionam. Há muitos tipos de tokens, que se enquadram em um dos padrões mencionados nas seções a seguir.

Tokens de acesso e tokens de atualização

Tokens de acesso e tokens de atualização são frequentemente usados com aplicativos cliente densos e são usados em aplicativos baseados em navegador, como aplicativos de página única.

• Quando os usuários se autenticam na ID do Microsoft Entra, parte do Microsoft Entra, as diretivas de autorização são avaliadas para determinar se o usuário pode receber acesso a um recurso específico.

• Se autorizado, a ID do Microsoft Entra emite um token de acesso e um token de atualização para o recurso.

• Os tokens de acesso emitidos pela ID do Microsoft Entra por padrão duram 1 hora. Se o protocolo de autenticação permitir, o aplicativo poderá reautenticar silenciosamente o usuário passando o token de atualização para a ID do Microsoft Entra quando o token de acesso expirar.

Em seguida, a ID do Microsoft Entra reavalia suas diretivas de autorização. Se o usuário ainda estiver autorizado, a ID do Microsoft Entra emitirá um novo token de acesso e atualizará o token.

Os tokens de acesso poderão ser uma preocupação de segurança se o acesso precisar ser revogado em um tempo menor do que o tempo de vida do token, que geralmente é de uma hora. Por esse motivo, a Microsoft está trabalhando ativamente para levar a Avaliação contínua de acesso aos aplicativos do Office 365, o que ajuda a garantir a invalidação de tokens de acesso quase em tempo real.

Tokens de sessão (cookies)

A maioria dos aplicativos baseados em navegador usa tokens de sessão, em vez de tokens de acesso e de atualização.

• Quando um usuário abre um navegador e se autentica em um aplicativo via ID do Microsoft Entra, o usuário recebe dois tokens de sessão. Um da ID do Microsoft Entra e outro do aplicativo.

• Quando um aplicativo emite o próprio token de sessão, o acesso ao aplicativo é regido pela sessão do aplicativo. Neste ponto, o usuário é afetado apenas pelas políticas de autorização das quais o aplicativo está ciente.

• As políticas de autorização da ID do Microsoft Entra são reavaliadas com a mesma frequência com que o aplicativo envia o usuário de volta para a ID do Microsoft Entra. A reavaliação costuma ocorrer silenciosamente, embora a frequência dependa de como o aplicativo é configurado. É possível que o aplicativo nunca envie o usuário de volta para a ID do Microsoft Entra, desde que o token de sessão seja válido.

• Para que um token de sessão seja revogado, o aplicativo deverá revogar o acesso com base nas próprias políticas de autorização. a ID do Microsoft Entra não pode revogar diretamente um token de sessão emitido por um aplicativo.

Revogar o acesso de um usuário no ambiente híbrido

Para um ambiente híbrido com o Active Directory local sincronizado com a ID do Microsoft Entra, a Microsoft recomenda que os administradores de TI executem as seguintes ações. Se você tiver um ambiente somente do Microsoft Entra, vá para a seção Ambiente do Microsoft Entra.

Ambiente do Active Directory local

Como administrador no Active Directory, conecte-se à sua rede local, abra o PowerShell e execute as seguintes ações:

1. Desabilite o usuário no Active Directory. Veja Disable-ADAccount.

   Disable-ADAccount -Identity johndoe  
   

2. Redefina a senha do usuário duas vezes no Active Directory. Veja set-ADAccountPassword.

   Observação

   O motivo para alterar a senha de um usuário duas vezes é reduzir o risco de Pass-the-Hash, especialmente se houver atrasos na replicação de senha local. Se você puder presumir com segurança que essa conta não está comprometida, poderá redefinir a senha apenas uma vez.

   Importante

   Não use as senhas de exemplo nos cmdlets a seguir. Altere as senhas para uma cadeia de caracteres aleatória.

   Set-ADAccountPassword -Identity johndoe -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "p@ssw0rd1" -Force)
   Set-ADAccountPassword -Identity johndoe -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "p@ssw0rd2" -Force)
   

Ambiente Microsoft Entra

Como administrador na ID do Microsoft Entra, abra o PowerShell, execute o Connect-MgGraph e execute as seguintes ações:

1. Desative o usuário na ID do Microsoft Entra. Consulte Update-MgUser.

   $User = Get-MgUser -Search UserPrincipalName:'johndoe@contoso.com' -ConsistencyLevel eventual
   Update-MgUser -UserId $User.Id -AccountEnabled:$false
   

2. Revogue os tokens de atualização da ID do Microsoft Entra do usuário. Consulte Revoke-MgUserSignInSession.

   Revoke-MgUserSignInSession -UserId $User.Id
   

3. Desabilite os dispositivos do usuário. Consulte Get-MgUserRegisteredDevice.

   $Device = Get-MgUserRegisteredDevice -UserId $User.Id 
   Update-MgDevice -DeviceId $Device.Id -AccountEnabled:$false
   

Quando o acesso é revogado

Depois que os administradores tiverem seguido as etapas acima, o usuário não poderá obter novos tokens para nenhum aplicativo vinculado à ID do Microsoft Entra. O tempo decorrido entre a revogação e o usuário que está perdendo o acesso depende de como o aplicativo está concedendo acesso:

• Para aplicativos que usam tokens de acesso, o usuário perde o acesso quando o token de acesso expira.

• Para aplicativos que usam tokens de sessão, as sessões são encerradas assim que o token expira. Se o estado desabilitado do usuário for sincronizado com o aplicativo, o aplicativo poderá revogar automaticamente as sessões do usuário se estiver configurado para fazer isso. O tempo necessário depende da frequência de sincronização entre o aplicativo e a ID do Microsoft Entra.

Práticas recomendadas

• Implante uma solução automatizada de provisionamento e desprovisionamento. O desprovisionamento de usuários de aplicativos é uma forma eficaz de revogar o acesso, especialmente para aplicativos que usam tokens de sessão ou permitem que os usuários entrem diretamente sem um token do Microsoft Entra ou do Windows Server AD. Desenvolva um processo para também desprovisionar usuários para aplicativos que não dão suporte ao provisionamento e desprovisionamento automáticos. Certifique-se de que os aplicativos revoguem seus tokens de sessão e parem de aceitar os tokens de acesso à Microsoft Entra, mesmo que eles ainda sejam válidos.

  • Use o provisionamento de aplicativos do Microsoft Entra. Normalmente, o provisionamento de aplicativos do Microsoft Entra é executado automaticamente a cada 20 a 40 minutos. Configure o provisionamento do Microsoft Entra para desprovisionar ou desativar usuários em aplicativos SaaS e locais. Se você estava usando o Microsoft Identity Manager para automatizar o desprovisionamento de usuários de aplicativos locais, poderá usar o provisionamento de aplicativos do Microsoft Entra para alcançar aplicativos locais com um banco de dados SQL, servidor de diretório não AD ou outros conectores.

  • Para aplicativos locais que usam o Windows Server AD, é possível configurar Fluxos de Trabalho do Ciclo de Vida do Microsoft Entra para atualizar os usuários no AD (versão prévia) quando os funcionários saírem.

  • Identifique e desenvolva um processo para aplicativos que exigem desprovisionamento manual, como a criação automatizada de tíquetes do ServiceNow com o Gerenciamento de Direitos do Microsoft Entra para abrir um tíquete quando os funcionários perderem o acesso. Certifique-se de que os administradores e proprietários de aplicativos possam executar rapidamente as tarefas manuais necessárias para desprovisionar o usuário desses aplicativos quando necessário.

• Gerencie seus dispositivos e aplicativos com o Microsoft Intune. Os dispositivos gerenciados pelo Intune podem ser redefinidos para as configurações de fábrica. Se o dispositivo não for gerenciado, você poderá apagar os dados corporativos dos aplicativos gerenciados. Esses processos são eficazes para remover dados potencialmente confidenciais dos dispositivos dos usuários finais. No entanto, para que qualquer processo seja disparado, o dispositivo deverá estar conectado à Internet. Se o dispositivo estiver offline, ele ainda terá acesso a qualquer dado armazenado localmente.

• Use o Microsoft Defender for Cloud Apps para bloquear o download de dados quando apropriado. Se os dados só puderem ser acessados online, as organizações poderão monitorar sessões e realizar a imposição de políticas em tempo real.

• Use a Avaliação contínua de acesso (CAE) no Microsoft Entra ID. A CAE permite que os administradores revoguem os tokens de sessão e tokens de acesso para aplicativos compatíveis com a CAE.

Próximas etapas

• Práticas de acesso seguro para administradores do Microsoft Entra
• Adicionar ou atualizar informações de perfil do usuário
• Remover ou Excluir um funcionário antigo