A área de "identidade, acesso e segurança" do conteúdo do exame AZ-900 vai além dos temas mais discutidos, como MFA e acesso condicional. Ela também lista quatro conceitos que quase não aparecem nos bancos de questões, mas estão escritos claramente no conteúdo oficial: o modelo de defesa em profundidade, a autenticação sem senha, as identidades externas e o Microsoft Entra Domain Services.
Este artigo é o complemento de segurança da nossa série de análises aprofundadas do AZ-900. Aprenda primeiro os fundamentos, como a diferença entre autenticação e autorização, MFA, RBAC e Confiança Zero, em Identidade, Acesso e Segurança. Aqui completamos, até o nível que o exame exige, os quatro itens que aquele artigo só mencionou de passagem.
---
Os quatro objetivos do exame cobertos aqui
Os quatro itens pertencem ao domínio 2 (Descrever a arquitetura e os serviços do Azure) do conteúdo oficial revisado em 20 de julho de 2026. É o domínio de maior peso, então até uma ou duas questões sobre esses temas podem decidir se você passa da nota de corte.
| Item | Redação oficial do objetivo (em inglês) | Resumo em uma linha | |------|------|------| | Defesa em profundidade | Describe the purpose of the defense-in-depth model | Empilhar a segurança em camadas para que, se uma cair, a próxima resista | | Autenticação sem senha | Describe authentication methods in Azure, including ... passwordless | Entrar com um dispositivo confiável mais biometria ou PIN em vez de uma senha | | Identidades externas | Describe external identities in Azure | Permitir que parceiros e clientes entrem nos seus aplicativos com as próprias contas | | Microsoft Entra Domain Services | Describe directory services in Azure, including ... Microsoft Entra Domain Services | Um domínio gerenciado que você usa sem operar os controladores de domínio |
---
Defesa em profundidade
Um castelo medieval nunca era defendido por uma única muralha. Depois do fosso havia uma muralha, depois da muralha havia guardas no portão e, lá no fundo, uma câmara do tesouro. Mesmo quando os invasores rompiam uma camada, a seguinte ganhava tempo e, enquanto isso, o alarme soava. A defesa em profundidade leva exatamente essa ideia para a segurança na nuvem.
O Microsoft Learn a descreve como uma estrutura com os dados que precisam ser protegidos no centro, cercados por sete camadas de fora para dentro.
| Camada (fora → dentro) | O que protege | Medidas típicas | |------|------|------| | 1. Segurança física | Os prédios dos datacenters e o hardware | Controle de acesso nos datacenters da Microsoft | | 2. Identidade e acesso | O acesso à infraestrutura e o controle de alterações | Microsoft Entra ID, SSO, MFA, auditoria de entradas e alterações | | 3. Perímetro | Ataques de rede em grande escala | Azure DDoS Protection, firewalls de perímetro | | 4. Rede | A comunicação entre recursos | Grupos de segurança de rede (NSG), negar por padrão, acesso de entrada restrito | | 5. Computação | O acesso às máquinas virtuais | Acesso restrito às VMs, patches e proteção de pontos de extremidade | | 6. Aplicativo | As vulnerabilidades de segurança dos aplicativos | Desenvolvimento seguro, segredos guardados no Azure Key Vault | | 7. Dados | Os dados do negócio e dos clientes | Criptografia em repouso e em trânsito, gerenciamento de chaves com o Key Vault |
!As sete camadas da defesa em profundidade
Por que empilhar várias camadas?
Se você depende de uma única camada, tudo fica exposto no momento em que ela cai. Com várias camadas, o ataque fica mais lento, e os alertas gerados em cada camada dão tempo para a equipe de segurança responder, de forma automática ou manual. O que os invasores buscam no fim são os dados do centro, então cada camada externa existe para alongar o tempo necessário para chegar até eles.
Defesa em profundidade vs Confiança Zero
Esses dois conceitos costumam aparecer juntos, então vale conhecer a diferença.
| Categoria | Defesa em profundidade | Confiança Zero | |------|------|------| | Ideia central | Empilhar proteções em várias camadas | Não confiar em nada por padrão e verificar sempre | | Foco | Onde colocar cada controle (estrutura) | Como decidir se o acesso é permitido (princípios) | | Frase típica | "Se uma camada cair, a próxima impede o ataque" | "Verificar explicitamente, usar o privilégio mínimo, presumir a violação" |
Dica para o exame: "A camada que filtra ataques DDoS" → perímetro. "Permitir somente a comunicação necessária entre sub-redes" → rede. "A camada mais interna" → dados. Desde que você lembre com firmeza que a segurança física é a camada mais externa e os dados a mais interna, dá para deduzir o resto pelos nomes.
---
Autenticação sem senha
A MFA deixa a entrada mais segura ao adicionar um fator à senha, mas a senha continua lá. Ela ainda pode ser esquecida ou vazada. A autenticação sem senha elimina a senha por completo e faz a entrada com um dispositivo confiável combinado com um sinal biométrico ou um PIN. É como deixar de digitar o código da portaria do seu prédio e, em vez disso, aproximar um celular cadastrado e ler a sua digital.
Os três fatores de autenticação da MFA
Para entender a entrada sem senha, lembre primeiro as três categorias de fatores de autenticação.
| Categoria | Significado | Exemplos | |------|------|------| | Algo que você sabe | Uma informação que o usuário lembra | Uma senha, uma pergunta de segurança | | Algo que você tem | Um dispositivo que o usuário carrega | Um código enviado ao celular, uma chave de segurança | | Algo que você é | Um sinal biométrico do usuário | Uma impressão digital, o reconhecimento facial |
A autenticação sem senha combina "algo que você tem" (um dispositivo cadastrado) com "algo que você é" (biometria) ou com um PIN que só funciona naquele dispositivo. Depois do cadastro inicial, o usuário nunca digita uma senha.
As três opções compatíveis com o Microsoft Entra ID
| Método | Como entrar | Melhor uso | |------|------|------| | Windows Hello para Empresas | Biometria ou PIN vinculados àquele PC | Profissionais com o próprio PC Windows dedicado | | Aplicativo Microsoft Authenticator | Conferir o número da tela em uma notificação do celular e confirmar com biometria ou PIN | Usuários com celular iOS ou Android | | Chaves de segurança FIDO2 | Uma chave de hardware USB, NFC ou Bluetooth | Contas que precisam de entrada resistente a phishing, ambientes em que é difícil usar celulares pessoais |
O FIDO2 é um padrão aberto baseado na especificação Web Authentication (WebAuthn). A documentação recente da Microsoft também chama as credenciais baseadas em FIDO2 de passkeys (chaves de acesso), então trate os dois termos como parte da mesma família.
Dica para o exame: "Eliminar totalmente a digitação de senhas" → autenticação sem senha. "Adicionar uma aprovação no celular à senha" → MFA. As questões também gostam de destacar que as credenciais do Windows Hello para Empresas ficam vinculadas àquele PC, então ninguém mais consegue usá-las de outro dispositivo.
---
Identidades externas
Criar uma conta corporativa para cada pessoa de fora acumula uma quantidade sem fim de contas e senhas para gerenciar. As identidades externas permitem que usuários externos entrem nos seus aplicativos com contas que já têm: uma conta de trabalho de outra empresa, uma identidade digital emitida pelo governo ou uma conta social como Google ou Facebook. É como conferir o documento de um visitante e entregar um crachá de visitante, em vez de imprimir um novo crachá de funcionário.
Os papéis se dividem. O provedor de identidade externo cuida da entrada (autenticação), e você gerencia o que eles podem fazer nos seus aplicativos (autorização) com o Microsoft Entra ID.
| Recurso | Para quem | Como aparece no seu diretório | Cenário típico | |------|------|------|------| | Colaboração B2B | Parceiros e colaboradores externos | Normalmente como usuários convidados | Os funcionários de um fornecedor acessam o seu aplicativo com as contas da própria empresa | | Conexão direta B2B | Outro locatário do Microsoft Entra | Não aparece no seu diretório | Estabelecer confiança bidirecional e colaborar em canais compartilhados do Teams | | Microsoft Entra External ID para clientes | Consumidores e clientes | Um locatário externo, separado do dos funcionários | Cadastrar-se em um aplicativo de compras com uma conta do Google (o papel que o Azure AD B2C cumpria antes) |
Continuar gerenciando o acesso de convidados
Depois que os convidados entram, a limpeza importa. Com as revisões de acesso do Microsoft Entra ID, os próprios convidados ou um responsável podem confirmar se o acesso ainda é necessário, e você pode remover o acesso dos convidados que não precisam mais dele.
Dica para o exame: identidades externas se confundem facilmente com SSO. SSO significa entrar uma vez para usar vários aplicativos; identidades externas significam pessoas de fora cruzando o limite de um locatário com as próprias contas. "Usuários externos entram com as próprias credenciais" → identidades externas (colaboração B2B).
---
Microsoft Entra Domain Services
Muitos aplicativos de negócio antigos não conseguem usar a autenticação moderna e dependem do ingresso no domínio ou da autenticação Kerberos de um Active Directory local. Levar esses aplicativos para o Azure significa precisar de controladores de domínio também na nuvem, e montar, aplicar patches e fazer backup desses servidores por conta própria é um peso. O Microsoft Entra Domain Services permite alugar esses recursos de domínio como um serviço gerenciado. É como alugar um escritório que já inclui a administração do prédio, em vez de instalar servidores na sua própria sala.
Ele oferece ingresso no domínio, política de grupo, LDAP e autenticação Kerberos/NTLM, sem controladores de domínio para você implantar ou gerenciar.
Como funciona?
Quando você cria um domínio gerenciado e escolhe um nome de domínio exclusivo, dois controladores de domínio