Quatro passos para uma base de identidade sólida com o Microsoft Entra ID

O gerenciamento de acesso a aplicativos e dados não pode mais depender das estratégias tradicionais de limite de segurança de rede, como redes de perímetro e firewalls, devido à rápida movimentação de aplicativos para a nuvem. Agora, as organizações devem confiar em sua solução de identidade para controlar quem e o que tem acesso aos aplicativos e dados da organização. Mais organizações estão permitindo que os funcionários tragam seus próprios dispositivos para o trabalho e usem seus dispositivos de qualquer lugar de onde possam se conectar à Internet. Garantir que esses dispositivos sejam compatíveis e seguros tornou-se uma consideração importante na solução de identidade que uma organização escolhe implementar. No ambiente de trabalho digital de hoje, a identidade é o principal plano de controle de qualquer organização que se move para a nuvem.

Ao adotar uma solução de identidade híbrida Microsoft Entra, as organizações obtêm acesso a recursos premium que liberam a produtividade por meio de automação, delegação, autoatendimento e recursos de logon único. Ele permite que os funcionários acessem os recursos da empresa de onde quer que precisem fazer seu trabalho, permitindo que as equipes de TI controlem esse acesso e garantam que as pessoas certas tenham o acesso certo aos recursos certos no momento certo para estabelecer uma produtividade segura.

Com base em nossos aprendizados, esta lista de verificação de práticas recomendadas ajuda você a implantar rapidamente as ações recomendadas para construir uma base de identidade sólida em sua organização:

• Ligue-se facilmente a aplicações
• Estabeleça uma identidade para cada usuário automaticamente
• Capacite seus usuários com segurança
• Operacionalize seus insights

Passo 1 - Ligue-se facilmente a aplicações

Ao conectar seus aplicativos com o Microsoft Entra ID, você pode melhorar a produtividade e a segurança do usuário final habilitando o logon único (SSO) e executando o provisionamento automático do usuário. Ao gerenciar seus aplicativos em um único lugar, o Microsoft Entra ID, você pode minimizar a sobrecarga administrativa e obter um único ponto de controle para suas políticas de segurança e conformidade.

Esta seção aborda suas opções para gerenciar o acesso do usuário a aplicativos, habilitar o acesso remoto seguro a aplicativos internos e os benefícios de migrar seus aplicativos para o Microsoft Entra ID.

Disponibilize aplicações aos seus utilizadores sem problemas

O Microsoft Entra ID permite que os administradores adicionem aplicativos à galeria de aplicativos do Microsoft Entra no centro de administração do Microsoft Entra . Adicionar aplicativos à galeria de aplicativos Enterprise facilita a configuração de aplicativos para usar o Microsoft Entra ID como seu provedor de identidade. Ele também permite gerenciar o acesso do usuário ao aplicativo com políticas de Acesso Condicional e configurar o logon único (SSO) para aplicativos para que os usuários não precisem digitar suas senhas repetidamente e sejam automaticamente conectados em aplicativos locais e baseados em nuvem.

Depois que os aplicativos são integrados à galeria do Microsoft Entra, os usuários podem ver os aplicativos atribuídos a eles e pesquisar e solicitar outros aplicativos conforme necessário. O Microsoft Entra ID fornece vários métodos para os usuários acessarem seus aplicativos:

• Portal As Minhas Aplicações
• Iniciador de aplicações do Microsoft 365
• Início de sessão direto em aplicações federadas
• Links de logon direto

Para saber mais sobre o acesso do usuário aos aplicativos, consulte Etapa 3.

Migrar aplicativos dos Serviços de Federação do Ative Directory para o Microsoft Entra ID

A migração da configuração de logon único dos Serviços de Federação do Ative Directory (ADFS) para o Microsoft Entra ID permite recursos adicionais de segurança, gerenciamento mais consistente e colaboração. Para obter os melhores resultados, recomendamos que você migre seus aplicativos do AD FS para o Microsoft Entra ID. Trazer a autenticação e autorização do seu aplicativo para o Microsoft Entra ID oferece os seguintes benefícios:

• Gestão de custos
• Gestão do risco
• Aumento da produtividade
• Abordar a conformidade e a governança

Habilite o acesso remoto seguro a aplicativos

O proxy de aplicativo Microsoft Entra fornece uma solução simples para que as organizações publiquem aplicativos locais na nuvem para usuários remotos que precisam acessar aplicativos internos de forma segura. Após o logon único no Microsoft Entra ID, os usuários podem acessar aplicativos locais e na nuvem por meio de URLs externas ou do portal Meus Aplicativos.

O proxy de aplicativo Microsoft Entra oferece os seguintes benefícios:

• Estendendo a ID do Microsoft Entra para recursos locais
  • Segurança e proteção em escala de nuvem
  • Recursos como Acesso Condicional e Autenticação Multifator que são fáceis de habilitar
• Nenhum componente necessário na rede de perímetro, como VPN e soluções tradicionais de proxy reverso
• Não são necessárias ligações de entrada
• Logon único (SSO) entre dispositivos, recursos e aplicativos na nuvem e no local
• Capacita os usuários finais a serem produtivos a qualquer hora e em qualquer lugar

Descubra o Shadow IT com o Microsoft Defender for Cloud Apps

Nas empresas modernas, os departamentos de TI muitas vezes não estão cientes de todos os aplicativos em nuvem que são usados pelos usuários para fazer seu trabalho. Quando os administradores de TI são questionados sobre quantos aplicativos na nuvem eles acham que seus funcionários usam, em média, eles dizem 30 ou 40. Na realidade, a média é de mais de 1.000 aplicativos separados sendo usados por funcionários em sua organização. 80% dos funcionários usam aplicativos não sancionados que ninguém analisou e podem não estar em conformidade com suas políticas de segurança e conformidade.

O Microsoft Defender for Cloud Apps pode ajudá-lo a identificar aplicativos úteis que são populares entre os usuários que a TI pode sancionar e integrar ao Microsoft Entra ID para que os usuários se beneficiem de recursos como SSO e Acesso Condicional.

"O Defender for Cloud Apps ajuda-nos a garantir que os nossos colaboradores estão a utilizar corretamente as nossas aplicações na nuvem e SaaS, de forma a suportar as políticas de segurança fundamentais que ajudam a proteger a Accenture." --- John Blasi, Diretor Geral, Segurança da Informação, Accenture

Além de detetar a TI sombra, o Microsoft Defender for Cloud Apps também pode determinar o nível de risco dos aplicativos, impedir o acesso não autorizado a dados corporativos, possíveis vazamentos de dados e outros riscos de segurança inerentes aos aplicativos.

Etapa 2 - Estabeleça uma identidade para cada usuário automaticamente

Reunir diretórios locais e baseados em nuvem em uma solução de identidade híbrida do Microsoft Entra permite que você reutilize seu investimento existente no Ative Directory local provisionando suas identidades existentes na nuvem. A solução sincroniza identidades locais com o Microsoft Entra ID, enquanto a TI mantém o Ative Directory local em execução com quaisquer soluções de governança existentes como a principal fonte de verdade para identidades. A solução de identidade híbrida Microsoft Entra da Microsoft abrange recursos locais e baseados em nuvem, criando uma identidade de usuário comum para autenticação e autorização para todos os recursos, independentemente de sua localização.

Integre seus diretórios locais com o Microsoft Entra ID para tornar seus usuários mais produtivos. Impeça que os usuários usem várias contas em aplicativos e serviços fornecendo uma identidade comum para acessar recursos locais e na nuvem. O uso de várias contas é um ponto problemático tanto para os usuários finais quanto para a TI. Do ponto de vista do utilizador final, ter várias contas significa ter de se lembrar de várias palavras-passe. Para evitar isso, muitos usuários reutilizam a mesma senha para cada conta, o que é ruim do ponto de vista da segurança. Do ponto de vista das TI, a reutilização conduz frequentemente a mais redefinições de palavras-passe e a custos de helpdesk, juntamente com as reclamações dos utilizadores finais.

O Microsoft Entra Connect é a ferramenta usada para sincronizar suas identidades locais com o ID do Microsoft Entra, que pode ser usado para acessar aplicativos integrados. Quando as identidades estiverem no Microsoft Entra ID, elas poderão ser provisionadas para aplicativos SaaS como Salesforce ou Concur.

Nesta seção, listamos recomendações para fornecer alta disponibilidade, autenticação moderna para a nuvem e reduzir sua pegada local.

Configurar um servidor de preparo para o Microsoft Entra Connect e mantê-lo atualizado

O Microsoft Entra Connect desempenha um papel fundamental no processo de provisionamento. Se o servidor que executa o Microsoft Entra Connect ficar offline por qualquer motivo, as alterações no local não serão atualizadas na nuvem e causarão problemas de acesso aos usuários. É importante definir uma estratégia de failover que permita aos administradores retomar rapidamente a sincronização depois que o servidor Microsoft Entra Connect ficar offline.

Para fornecer alta disponibilidade no caso de seu servidor principal do Microsoft Entra Connect ficar offline, é recomendável implantar um servidor de preparo separado para o Microsoft Entra Connect. Com um servidor no modo de teste, pode fazer alterações à configuração e pré-visualizá-las antes de tornar o servidor ativo. Também lhe permite executar importações completas e sincronizações completas para verificar que todas as alterações são as previstas antes de as fazer no ambiente de produção. A implantação de um servidor de preparo permite que o administrador o "promova" para a produção por meio de uma simples opção de configuração. Ter um servidor em espera configurado no modo de preparo também permite que você introduza um novo servidor se desativar o antigo.

Ativar autenticação na nuvem

As organizações com Ative Directory local devem estender seu diretório para o Microsoft Entra ID usando o Microsoft Entra Connect e configurar o método de autenticação apropriado. Escolher o método de autenticação correto para sua organização é o primeiro passo em sua jornada de mover aplicativos para a nuvem. É um componente crítico, pois controla o acesso a todos os dados e recursos da nuvem.

O método mais simples e recomendado para habilitar a autenticação na nuvem para objetos de diretório locais no Microsoft Entra ID é a Sincronização de Hash de Senha (PHS). Como alternativa, algumas organizações podem considerar habilitar a Autenticação de Passagem (PTA).

Quer escolha PHS ou PTA, não se esqueça de considerar o SSO para permitir que os utilizadores acedam a aplicações sem introduzir constantemente o seu nome de utilizador e palavra-passe. O SSO pode ser obtido usando dispositivos associados híbridos do Microsoft Entra ou do Microsoft Entra, mantendo o acesso aos recursos locais. Para dispositivos que não podem ser associados ao Microsoft Entra, o logon único contínuo (SSO contínuo) ajuda a fornecer esses recursos. Sem logon único, os usuários devem lembrar senhas específicas do aplicativo e entrar em cada aplicativo. Da mesma forma, a equipe de TI precisa criar e atualizar contas de usuário para cada aplicativo, como Microsoft 365, Box e Salesforce. Os usuários precisam se lembrar de suas senhas, além de gastar o tempo para entrar em cada aplicativo. Fornecer um mecanismo de logon único padronizado para toda a empresa é crucial para a melhor experiência do usuário, redução de riscos, capacidade de relatório e governança.

Para organizações que já usam o AD FS ou outro provedor de autenticação local, mudar para o Microsoft Entra ID como seu provedor de identidade pode reduzir a complexidade e melhorar a disponibilidade. A menos que você tenha casos de uso específicos para usar a federação, recomendamos migrar da autenticação federada para PHS ou PTA. Ao fazer isso, você pode aproveitar os benefícios de uma pegada local reduzida e a flexibilidade que a nuvem oferece com experiências de usuário aprimoradas. Para obter mais informações, consulte Migrar da federação para a sincronização de hash de senha para o Microsoft Entra ID.

Habilitar o desprovisionamento automático de contas

Habilitar o provisionamento e o desprovisionamento automatizados para seus aplicativos é a melhor estratégia para controlar o ciclo de vida das identidades em vários sistemas. O Microsoft Entra ID oferece suporte ao provisionamento e desprovisionamento automatizados e baseados em políticas de contas de usuário para vários aplicativos SaaS populares, como ServiceNow e Salesforce, e outros que implementam o protocolo SCIM 2.0. Ao contrário das soluções de provisionamento tradicionais, que exigem código personalizado ou upload manual de arquivos CSV, o serviço de provisionamento é hospedado na nuvem e apresenta conectores pré-integrados que podem ser configurados e gerenciados usando o centro de administração do Microsoft Entra. Um dos principais benefícios do desprovisionamento automático é que ele ajuda a proteger sua organização, removendo instantaneamente as identidades dos usuários dos principais aplicativos SaaS quando eles saem da organização.

Para saber mais sobre o provisionamento automático de conta de usuário e como ele funciona, consulte Automatizar o provisionamento e o desprovisionamento de usuários para aplicativos SaaS com o Microsoft Entra ID.

Etapa 3 - Capacite seus usuários com segurança

No ambiente de trabalho digital de hoje, é importante equilibrar segurança e produtividade. No entanto, os usuários finais muitas vezes reprimem medidas de segurança que diminuem sua produtividade e acesso a aplicativos. Para ajudar a resolver isso, o Microsoft Entra ID fornece recursos de autoatendimento que permitem que os usuários permaneçam produtivos enquanto minimizam a sobrecarga administrativa.

Esta seção lista recomendações para remover o atrito de sua organização, capacitando seus usuários enquanto permanece vigilante.

Habilitar a redefinição de senha de autoatendimento para todos os usuários

A redefinição de senha de autoatendimento (SSPR) do Azure oferece um meio simples para os administradores de TI permitirem que os usuários redefina e desbloqueiem suas senhas ou contas sem a intervenção do administrador. O sistema inclui relatórios detalhados que controlam quando os utilizadores acedem ao sistema, juntamente com notificações para o alertar quanto a utilizações indevidas ou abusos.

Por padrão, o Microsoft Entra ID desbloqueia contas quando executa uma redefinição de senha. No entanto, ao habilitar a integração do Microsoft Entra Connect localmente, você também pode separar essas duas operações, que permitem que os usuários desbloqueiem suas contas sem precisar redefinir a senha.

Certifique-se de que todos os usuários estejam registrados para MFA e SSPR

O Azure fornece relatórios que são usados pelas organizações para garantir que os usuários estejam registrados para MFA e SSPR. Os usuários que não se registraram podem precisar ser instruídos sobre o processo.

O relatório de entradas de MFA inclui informações sobre o uso de MFA e fornece informações sobre como a MFA está funcionando em sua organização. Ter acesso à atividade de entrada (e auditorias e deteções de risco) para o Microsoft Entra ID é crucial para a solução de problemas, análise de uso e investigações forenses.

Da mesma forma, o relatório de Gerenciamento de Senhas de Autoatendimento pode ser usado para determinar quem se registrou (ou não) no SSPR.

Gerenciamento de aplicativos de autoatendimento

Antes que os usuários possam descobrir aplicativos automaticamente a partir do painel de acesso, você precisa habilitar o acesso de aplicativo de autoatendimento a todos os aplicativos que deseja permitir que os usuários descubram automaticamente e solicitem acesso a eles. Opcionalmente, o pedido pode exigir aprovação antes de o acesso ser concedido.

Gestão de grupos self-service

A atribuição de usuários a aplicativos é melhor mapeada ao usar grupos, porque eles permitem grande flexibilidade e capacidade de gerenciar em escala:

• Grupos dinâmicos de membros
• Delegação a proprietários de aplicativos

O Microsoft Entra ID fornece a capacidade de gerenciar o acesso a recursos usando grupos de segurança e grupos do Microsoft 365. Esses grupos são gerenciados por um proprietário de grupo que pode aprovar ou negar solicitações de associação e delegar o controle de grupos dinâmicos de associação baseados em atributos. O recurso de gerenciamento de grupo de autoatendimento economiza tempo ao permitir que os proprietários de grupos aos quais não é atribuída uma função administrativa criem e gerenciem grupos sem precisar depender de administradores para lidar com suas solicitações.

Etapa 4 - Operacionalizar seus insights

A auditoria e o registro de eventos relacionados à segurança e alertas relacionados são componentes essenciais de uma estratégia eficiente para garantir que os usuários permaneçam produtivos e sua organização esteja segura. Os registos e relatórios de segurança podem ajudar a responder a perguntas como:

• Você está usando o que está pagando?
• Há algo suspeito ou malicioso acontecendo no meu inquilino?
• Quem foi afetado durante um incidente de segurança?

Os logs e relatórios de segurança fornecem um registro eletrônico de atividades e ajudam a detetar padrões que podem indicar tentativas ou ataques bem-sucedidos. Você pode usar a auditoria para monitorar a atividade do usuário, documentar a conformidade regulamentar, fazer análises forenses e muito mais. Os alertas fornecem notificações de eventos de segurança.

Atribuir funções de administrador menos privilegiadas para operações

Ao pensar sobre sua abordagem às operações, há alguns níveis de administração a considerar. O primeiro nível coloca o fardo da administração sobre o(s) seu(s) administrador(es) de identidade híbrida. Usar sempre a função de Administrador de Identidade Híbrida pode ser apropriado para empresas menores. Mas para organizações maiores com pessoal de help desk e administradores responsáveis por tarefas específicas, atribuir a função de Administrador de Identidade Híbrida pode ser um risco de segurança, uma vez que fornece a esses indivíduos a capacidade de gerenciar tarefas que estão além de suas capacidades.

Neste caso, deve considerar o próximo nível de administração. Usando o Microsoft Entra ID, você pode designar os usuários finais como "administradores limitados" que podem gerenciar tarefas em funções menos privilegiadas. Por exemplo, você pode atribuir ao pessoal do suporte técnico a função de leitor de segurança para fornecer a eles a capacidade de gerenciar recursos relacionados à segurança com acesso somente leitura. Ou talvez faça sentido atribuir a função de administrador de autenticação a indivíduos para dar-lhes a capacidade de redefinir credenciais que não sejam de senha ou ler e configurar o Azure Service Health.

Para saber mais, consulte Permissões de função de administrador no Microsoft Entra ID.

Monitorar componentes híbridos (Microsoft Entra Connect Sync, AD FS) usando o Microsoft Entra Connect Health

O Microsoft Entra Connect e o AD FS são componentes críticos que podem potencialmente interromper o gerenciamento e a autenticação do ciclo de vida e, em última análise, levar a interrupções. Portanto, você deve implantar o Microsoft Entra Connect Health para monitoramento e relatórios desses componentes.

Para saber mais, leia Monitorar o AD FS usando o Microsoft Entra Connect Health.

Usar o Azure Monitor para coletar logs de dados para análise

O Azure Monitor é um portal de monitoramento unificado para todos os logs do Microsoft Entra, que fornece insights profundos, análises avançadas e aprendizado de máquina inteligente. Com o Azure Monitor, você pode consumir métricas e logs dentro do portal e por meio de APIs para obter mais visibilidade sobre o estado e o desempenho de seus recursos. Ele permite uma única experiência de painel de vidro dentro do portal, ao mesmo tempo em que permite uma ampla gama de integrações de produtos por meio de APIs e opções de exportação de dados que suportam sistemas SIEM tradicionais de terceiros. O Azure Monitor também lhe dá a capacidade de configurar regras de alerta para ser notificado ou para executar ações automatizadas em problemas que afetam os seus recursos.

Crie dashboards personalizados para a sua liderança e para o seu dia a dia

As organizações que não têm uma solução SIEM podem usar pastas de trabalho do Azure Monitor para o Microsoft Entra ID. A integração contém pastas de trabalho e modelos pré-criados para ajudá-lo a entender como seus usuários adotam e usam os recursos do Microsoft Entra, o que permite obter informações sobre todas as atividades dentro do seu diretório. Você também pode criar suas próprias pastas de trabalho e compartilhar com sua equipe de liderança para relatar as atividades do dia-a-dia. As pastas de trabalho são uma ótima maneira de monitorar sua empresa e ver todas as suas métricas mais importantes rapidamente.

Entenda seus drivers de chamada de suporte

Ao implementar uma solução de identidade híbrida, conforme descrito neste artigo, você deve notar uma redução nas chamadas de suporte. Problemas comuns, como senhas esquecidas e bloqueios de conta, são atenuados pela implementação da redefinição de senha de autoatendimento do Azure, enquanto habilitar o acesso a aplicativos de autoatendimento permite que os usuários descubram e solicitem acesso a aplicativos sem depender de sua equipe de TI.

Se você não observar uma redução nas chamadas de suporte, recomendamos que analise os drivers de chamada de suporte na tentativa de confirmar se o SSPR ou o acesso ao aplicativo de autoatendimento foi configurado corretamente ou se há outros novos problemas que podem ser sistematicamente resolvidos.

"Em nossa jornada de transformação digital, precisávamos de um provedor confiável de gerenciamento de identidade e acesso para facilitar a integração perfeita, mas segura, entre nós, parceiros e provedores de serviços em nuvem, para um ecossistema eficaz; O Microsoft Entra ID foi a melhor opção, oferecendo-nos as capacidades e a visibilidade necessárias que nos permitiram detetar e responder a riscos." --- Yazan Almasri, Diretor Global de Segurança da Informação, Aramex

Monitore seu uso de aplicativos para gerar insights

Além de descobrir o Shadow IT, monitorar o uso de aplicativos em toda a sua organização usando o Microsoft Defender for Cloud Apps pode ajudar sua organização à medida que você se move para aproveitar ao máximo a promessa de aplicativos em nuvem. Pode ajudar a mantê-lo no controlo dos seus ativos através de uma melhor visibilidade da atividade e aumentar a proteção de dados críticos em aplicações na nuvem. Monitorar o uso de aplicativos em sua organização usando o Defender for Cloud Apps pode ajudá-lo a responder às seguintes perguntas:

• Em quais aplicativos não autorizados os funcionários estão usando para armazenar dados?
• Onde e quando os dados confidenciais estão sendo armazenados na nuvem?
• Quem está acessando dados confidenciais na nuvem?

"Com o Defender for Cloud Apps, podemos detetar rapidamente anomalias e tomar medidas." --- Eric LePenske, Gerente Sênior, Segurança da Informação, Accenture

Resumo

Há muitos aspetos na implementação de uma solução de identidade híbrida, mas esta lista de verificação de quatro etapas ajuda você a realizar rapidamente uma infraestrutura de identidade que permite que os usuários sejam mais produtivos e seguros.

• Ligue-se facilmente a aplicações
• Estabeleça uma identidade para cada usuário automaticamente
• Capacite seus usuários com segurança
• Operacionalize seus insights

Esperamos que este documento seja um roteiro útil para estabelecer uma base de identidade sólida para a sua organização.

Lista de verificação de identidade

Recomendamos que você imprima a lista de verificação a seguir para referência ao iniciar sua jornada para uma base de identidade mais sólida em sua organização.

Hoje

Próximas duas semanas

Próximo mês

Próximos três meses

Próximos passos

Saiba como você pode aumentar sua postura segura usando os recursos do Microsoft Entra ID e esta lista de verificação de cinco etapas - Cinco etapas para proteger sua infraestrutura de identidade.

Saiba como os recursos de identidade no Microsoft Entra ID podem ajudá-lo a acelerar sua transição para o gerenciamento governado pela nuvem, fornecendo as soluções e os recursos que permitem que as organizações adotem e movam rapidamente mais de seu gerenciamento de identidades de sistemas locais tradicionais para o Microsoft Entra ID - How Microsoft Entra ID Deliver Cloud Governed Management for on-premises Workloads.