> ## Content Index
> Fetch the complete content index at: https://www.azurebrasil.cloud/llms.txt
> Use this file to discover other available public pages before exploring further.

# Gerenciando identidade e acesso no Azure: RBAC avançado, Entra ID e PIM na prática
- URL: https://www.azurebrasil.cloud/blog/gerenciando-identidade-e-acesso-no-azure-rbac-avancado-entra-id-e-pim-na-pratica/
- Published: 2025-05-19T14:56:53.000Z
- Updated: 2025-05-19T17:00:30.000Z
- Author: Ricardo Martins

## **Introdução**

Em ambientes de nuvem, a gestão de identidade e acesso (IAM) é um dos pilares de segurança mais críticos. No Azure, esse controle é baseado em uma combinação de:

- Entra ID
- RBAC (Role-Based Access Control)
- PIM (Privileged Identity Management)
- Grupos, políticas e escopos hierárquicos (management groups, subscriptions, RGs)

Este artigo apresenta uma abordagem técnica e prática para provisionar, auditar e automatizar acesso seguro e minimamente privilegiado, aplicando os princípios do Zero Trust e conformidade com normas como ISO 27001, NIST e LGPD.

## **Pilares da gestão de acesso no Azure**

![](https://storage.ghost.io/c/00/52/0052dced-0017-4d07-b190-1f5c48e0ab59/content/images/2025/05/Editor-_-Mermaid-Chart-2025-05-19-144632-3.png)

### **1\. Entra ID: Base de identidade**

O Entra ID é o serviço de diretório central que gerencia usuários, grupos, dispositivos e aplicações.

### Identidades típicas:

- Usuários internos e externos (B2B)
- Grupos de segurança ou M365
- Entidades de serviço (Service Principals)
- Identidades gerenciadas (Managed Identity)

Integre o Entra ID com **SSO, MFA e Conditional Access** para aumentar a segurança.

## **2\. RBAC no Azure: controle por função e escopo**

O **RBAC (Role-Based Access Control)** define **quem pode fazer o quê, onde**.

| Elemento            | Descrição                                                                      |
| ------------------- | ------------------------------------------------------------------------------ |
| **Role Definition** | Permissões atribuídas (ex: Reader, Contributor, Owner)                         |
| **Assignment**      | Ligação entre a função, o escopo e o usuário                                   |
| **Scope**           | Nível onde o controle se aplica (Management Group, Subscription, RG, Resource) |

Exemplo via CLI: atribuir `Reader` a um grupo

```bash
az role assignment create \
  --assignee "<group-object-id>" \
  --role "Reader" \
  --scope "/subscriptions/<sub-id>/resourceGroups/rg-producao"
```

Use **grupos ao invés de usuários individuais** para facilitar a governança.

## **3\. Privileged Identity Management (PIM): acesso just-in-time**

O **PIM** permite conceder **acesso privilegiado temporário sob demanda**, com:

- Aprovação manual
- Notificações e justificativas
- Duração e expiração configuráveis
- Log de auditoria completo

**Exemplo de uso:**

- Um engenheiro precisa de acesso **Contributor** por 1 hora para corrigir um incidente em produção
- Ele **ativa a permissão no PIM**, com justificativa
- Após 1 hora, o acesso é **removido automaticamente**

**Como ativar o PIM:**

- Azure Portal → Azure AD → PIM
- Escolha o escopo: Azure AD ou Azure Resource
- Configure elegibilidade, aprovação, MFA e expiração

**PIM aplica o princípio do menor privilégio (Least Privilege Access)** com controle real.

## **4\. Organizando acesso com Management Groups**

Utilize **Management Groups** para definir políticas e RBAC em larga escala.

**Estrutura recomendada:**

![](https://storage.ghost.io/c/00/52/0052dced-0017-4d07-b190-1f5c48e0ab59/content/images/2025/05/Editor-_-Mermaid-Chart-2025-05-19-145220.png)

Atribua RBAC no nível do **Management Group** e ele será herdado pelas **subscriptions e RGs** abaixo.

## **5\. Melhores práticas para gestão de acesso**

- Evite permissões diretas para usuários
- Utilize grupos do Azure AD com RBAC
- Habilite PIM para funções privilegiadas (Owner, Contributor)
- Implemente MFA obrigatório com Conditional Access
- Use Managed Identity para aplicações ao invés de secrets
- Audite alterações com Azure Activity Logs + Log Analytics
- Habilite alertas com Defender for Cloud para alterações de RBAC

## Referências oficiais

- [Visão geral do Azure RBAC](https://learn.microsoft.com/en-us/azure/role-based-access-control/overview?ref=azurebrasil.cloud)
- [Privileged Identity Management (PIM)](https://learn.microsoft.com/en-us/azure/active-directory/privileged-identity-management/pim-configure?ref=azurebrasil.cloud)
- [Entra ID Conditional Access](https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/?ref=azurebrasil.cloud)
- [Entra ID Roles vs. Azure RBAC](https://learn.microsoft.com/en-us/azure/role-based-access-control/rbac-and-directory-admin-roles?ref=azurebrasil.cloud)

## Conclusão

Controlar o acesso no Azure vai muito além de "criar um usuário com permissão X". É preciso ter um modelo que seja:

- Seguro (menor privilégio, JIT, MFA)
- Auditável (logs, justificativas, aprovações)
- Automatizável (grupos, templates, RBAC por escopo)
- Escalável (multi-subscription, multi-ambiente)

PIM + Entra ID + RBAC avançado formam a base ideal de identidade em ambientes corporativos seguros e modernos.