O primeiro bloco do domínio 1 do AZ-104 é "gerenciar usuários e grupos do Microsoft Entra". Ele inclui criar usuários e grupos, gerenciar suas propriedades, gerenciar licenças, gerenciar usuários externos e configurar a redefinição de senha por autoatendimento (SSPR), e no nosso banco de questões tem um peso grande, com 24 questões. Aparecem com frequência questões práticas como "a atribuição de licença falha com erro", "os novos vendedores devem receber automaticamente o grupo e a licença certos" ou "só podem ser convidados usuários do domínio da empresa parceira".
Este artigo percorre essas tarefas em ordem: formas de criar usuários e como restaurar os excluídos, tipos de grupo e regras de associação dinâmica, licenciamento baseado em grupo e erros de licença, convite de usuários externos e configurações de colaboração externa, configuração e licenciamento do SSPR, e as unidades administrativas que dividem o escopo de administração. Os conceitos básicos do Entra ID estão em Identidade e Governança.
---
Criando Usuários: Internos e Externos
As pessoas entram em uma empresa de duas formas: são contratadas e recebem o crachá de funcionário, ou vêm de um parceiro e recebem um crachá de visitante. O Entra ID também diferencia os usuários que você cria dentro da organização dos convidados que você traz de fora.
| Método | Resultado | Quando usar | |------|------|------| | Criar um novo usuário | Um usuário membro com UPN no domínio do seu locatário | Contas de funcionários | | Convidar um usuário externo | Um usuário convidado (B2B) que entra com a conta da própria organização | Contatos de parceiros e clientes | | Operações em massa (CSV) | Criar, convidar ou excluir muitos usuários de uma vez | Integrar um lote de novos funcionários | | Sincronizar do ambiente local | Usuários cujas contas do AD são sincronizadas com o Entra ID | Ambientes híbridos |
Três propriedades de usuário aparecem muito no exame. O local de uso precisa estar definido antes de atribuir uma licença; atributos como departamento, cargo e país alimentam as regras de grupos dinâmicos; e o gerente (manager) é usado em organogramas e fluxos de aprovação.
Um usuário excluído não some na hora; a conta fica suspensa por 30 dias. Nesse período você pode restaurá-la com todas as propriedades. Depois de 30 dias, ou após uma exclusão permanente, não há como recuperar.
Dica para o exame: "Trazer de volta um usuário excluído por engano ontem, com suas associações a grupos" significa restaurá-lo em Usuários excluídos no Centro de administração do Entra. Criar uma conta nova gera outro objeto, e as permissões antigas não vêm junto.
---
Tipos de Grupo e Tipos de Associação
Os grupos variam em dois eixos: para que servem e como os membros são definidos.
| Eixo | Tipo | Características | |------|------|------| | Tipo de grupo | Grupo de segurança | Gerencia o acesso a recursos (RBAC, atribuição de apps, licenças); usuários e dispositivos podem ser membros | | Tipo de grupo | Grupo do Microsoft 365 | Para colaboração com caixa de correio, site de equipe e calendário compartilhados; só usuários | | Associação | Atribuída | Um administrador ou proprietário adiciona e remove membros diretamente | | Associação | Usuário dinâmico | Membros entram e saem automaticamente por uma regra de atributos de usuário | | Associação | Dispositivo dinâmico | Membros entram e saem automaticamente por uma regra de atributos de dispositivo; só grupos de segurança |
Uma regra de grupo dinâmico é uma expressão que compara atributos de usuário. Por exemplo, torna membro todo usuário cujo departamento é Sales e cujo país é Korea. Quando o departamento de um usuário muda, a regra é reavaliada e o usuário sai do grupo automaticamente.
Cada usuário em um grupo dinâmico precisa de uma licença do Microsoft Entra ID P1 (ou Intune for Education) Não é possível adicionar ou remover membros de um grupo dinâmico manualmente Uma mesma regra não pode misturar usuários e dispositivos, e regras de dispositivo só podem usar atributos do dispositivo Um locatário pode ter até 15.000 grupos dinâmicos
Dica para o exame: "Adicionar um diretor ao grupo dinâmico como exceção" é um requisito impossível. Altere a regra ou crie um grupo atribuído separado. Se você precisa de "um grupo com dispositivos como membros", ele tem que ser um grupo de segurança, não um grupo do Microsoft 365.
---
Gerenciando Licenças: Local de Uso e Licenciamento Baseado em Grupo
Você pode atribuir uma licença diretamente a cada usuário ou atribuí-la a um grupo para que todos os membros a recebam. Combine o licenciamento baseado em grupo com um grupo dinâmico, e basta mudar um atributo do usuário para que o grupo e a licença acompanhem automaticamente.
!Mude um atributo do usuário e o grupo dinâmico e a licença baseada em grupo acompanham automaticamente
Alguns serviços da Microsoft não estão disponíveis em todos os países, então o local de uso do usuário precisa estar definido antes de atribuir uma licença No licenciamento baseado em grupo, usuários sem local de uso herdam o local do locatário O licenciamento baseado em grupo não suporta grupos aninhados, então usuários de um grupo dentro do grupo não recebem a licença A documentação atual da Microsoft orienta atribuir licenças a grupos em Cobrança > Licenças no Centro de administração do Microsoft 365 (o Microsoft Graph PowerShell também funciona) Atribuições diretas e por grupo podem coexistir, e uma licença atribuída por grupo é retirada automaticamente quando o usuário sai do grupo
O licenciamento baseado em grupo não mostra erros na hora; ele os registra no objeto do usuário. Os erros típicos são:
| Erro | Causa | Correção | |------|------|------| | Licenças insuficientes | Foram compradas menos licenças do que membros do grupo | Comprar mais licenças ou limpar a associação | | Planos de serviço conflitantes | Um serviço se sobrepõe a outra licença que o usuário já tem | Desabilitar o plano de serviço sobreposto na atribuição | | Outros produtos dependem desta licença | Remoção de um serviço que outro produto precisa | Resolver a dependência primeiro | | Local de uso não permitido | Local de uso ausente ou em um país onde o serviço não está disponível | Corrigir o local de uso do usuário |
Dica para o exame: Quando a questão diz "não é possível atribuir licença ao usuário", a primeira propriedade a verificar é o local de uso. "Licenças foram atribuídas a um grupo aninhado, mas alguns usuários não receberam" acontece porque grupos aninhados não são suportados.
---
Gerenciando Usuários Externos (Convidados B2B)
Quando você convida um usuário externo, ele entra nos seus apps e recursos com a conta da própria organização ou com uma conta pessoal. Um objeto com tipo de usuário Convidado aparece no seu locatário, e a pessoa só consegue entrar depois de aceitar (resgatar) o convite. Quem pode convidar e o que os convidados podem ver é definido nas configurações de colaboração externa.
| Configuração | Opções | Pistas na questão | |------|------|------| | Acesso de usuários convidados | Mesmo acesso dos membros · acesso limitado (padrão) · só os próprios objetos (mais restritivo) | "Convidados não podem ver a lista de outros usuários" | | Configurações de convite | Qualquer pessoa · membros e funções de administrador específicas · só funções de administrador específicas · ninguém | "Funcionários comuns não convidam; só pessoas designadas" | | Restrições de colaboração | Permitir só domínios específicos ou bloquear domínios específicos | "Convites só para o parceiro contoso.com" | | Configurações de acesso entre locatários | Permissões B2B de entrada e saída por organização, confiar no MFA do locatário parceiro | "Aceitar o MFA que a empresa parceira já fez" |
Dica para o exame: "Só alguns funcionários específicos podem convidar convidados" significa definir as configurações de convite como "só usuários atribuídos a funções de administrador específicas" e dar a esses funcionários a função Guest Inviter. Um requisito de permitir ou bloquear por domínio é uma restrição de colaboração.
---
Redefinição de Senha por Autoatendimento (SSPR)
O SSPR permite que usuários que esqueceram a senha a redefinam sem o suporte técnico. Para responder às questões é preciso conhecer tanto as configurações quanto o licenciamento.
| Configuração | O que cobre | |------|------| | Escopo | Nenhum · Selecionado (um grupo) · Todos | | Métodos de autenticação | Escolher quais permitir: notificação ou código do Authenticator, e-mail, celular, telefone comercial, perguntas de segurança | | Número de métodos exigidos | 1 ou 2 para redefinir | | Registro | Exigir registro na entrada e definir de quanto em quanto tempo os dados são reconfirmados | | Notificações | Avisar usuários e administradores quando uma senha é redefinida | | Write-back local | Grava no AD local a nova senha de um usuário sincronizado |
Contas de administrador sempre têm o SSPR habilitado com uma política separada de duas portas que exige dois dados de autenticação e proíbe perguntas de segurança; ela não pode ser alterada O Microsoft Entra ID Free permite só a alteração de senha de usuários na nuvem; a redefinição exige Microsoft 365 Business Standard ou superior, ou P1 ou P2 O write-back local exige P1 ou P2, ou Microsoft 365 Business Premium As perguntas de segurança devem ser desativadas no SSPR em março de 2027
Dica para o exame: "Testar o SSPR primeiro com a equipe de vendas" significa definir o escopo como Selecionado e escolher o grupo da equipe de vendas. O centro de administração permite só um grupo, mas suporta grupos aninhados, então para várias equipes você escolhe um grupo pai que tenha como membros os grupos de cada equipe.
---
Dividindo o Escopo de Administração com Unidades Administrativas
Em uma empresa com filiais pelo país, é um problema se o suporte de São Paulo puder redefinir senhas de funcionários de Recife. As unidades administrativas re