Além de MFA e acesso condicional, o conteúdo oficial do domínio 2 do SC-900 (25–30%) lista como itens separados "métodos de autenticação", "recursos de proteção e gerenciamento de senhas", "identidade híbrida" e "tipos de identidades, incluindo identidades de carga de trabalho". A revisão de outubro de 2026 cita explicitamente as identidades de carga de trabalho, e na identidade híbrida o Microsoft Entra Cloud Sync substituiu o Azure AD Connect dos materiais antigos como ferramenta recomendada, então um resumo desatualizado pode confundir com facilidade.
Este artigo percorre esses itens em ordem. Ele cobre as diferenças entre identidades de usuário, de carga de trabalho e de dispositivo; os métodos de autenticação e a autenticação resistente a phishing; a proteção de senhas, que bloqueia senhas fracas com listas de senhas proibidas; a redefinição de senha por autoatendimento (SSPR); e as ferramentas de sincronização e os métodos de entrada (PHS, PTA, federação) que ligam o ambiente local à nuvem.
---
Tipos de Identidade no Entra ID: Pessoas, Dispositivos e Software
O sistema de acesso de uma empresa não controla só os crachás dos funcionários. Os carros da empresa cadastrados e os robôs de entrega que circulam pelo prédio também precisam dos próprios registros de acesso. O Microsoft Entra ID divide da mesma forma aquilo a que atribui identidades em três grupos: pessoas (identidades de usuário), dispositivos físicos (identidades de dispositivo) e software (identidades de carga de trabalho).
Identidades de Usuário
Os usuários são classificados por onde se autenticam (interno ou externo) e pelo tipo de usuário (membro ou convidado). Funcionários costumam ser membros internos, e o funcionário de um parceiro que entra com a conta da própria empresa é um convidado externo. Por padrão, convidados têm privilégios mais limitados que membros. A colaboração B2B para convidar usuários externos foi tratada em Microsoft Entra ID e autenticação.
Identidades de Carga de Trabalho
Uma identidade de carga de trabalho é a identidade que um software, como um aplicativo, uma máquina virtual, um serviço ou um contêiner, recebe para se autenticar e acessar outros recursos.
| Tipo | Descrição | Gerenciamento de credenciais | |------|------|------| | Entidade de serviço | A identidade do aplicativo, criada em cada locatário quando o aplicativo é registrado no Entra ID | Os desenvolvedores precisam proteger segredos ou certificados por conta própria | | Identidade gerenciada (atribuída pelo sistema) | Ativada diretamente em um recurso do Azure, como uma VM, e excluída junto com o recurso | Gerenciada automaticamente pelo Azure, sem custo adicional | | Identidade gerenciada (atribuída pelo usuário) | Criada como recurso independente do Azure e vinculada a vários recursos | Gerenciada automaticamente pelo Azure; existe até você excluí-la |
O treinamento mais recente do Microsoft Learn também apresenta o Microsoft Entra Agent ID, uma identidade dedicada a agentes de IA. Cada agente tem um responsável (patrocinador), e recebe acesso condicional e gerenciamento do ciclo de vida.
Identidades de Dispositivo
| Método | Para | Exemplo | |------|------|------| | Registrado no Microsoft Entra | Dispositivos pessoais (BYOD) | Um funcionário lê o e-mail do trabalho no celular pessoal | | Ingressado no Microsoft Entra | Dispositivos da organização, com entrada por conta organizacional | Um notebook fornecido pela empresa | | Ingressado no Microsoft Entra híbrido | Ingressado tanto no AD local quanto no Entra ID | Conectar à nuvem os PCs de domínio existentes |
Dica de prova: "acessar recursos do Azure sem que os desenvolvedores gerenciem credenciais" é uma identidade gerenciada. "A identidade é excluída quando a VM é excluída" é atribuída pelo sistema, e "vários recursos compartilham a mesma identidade" é atribuída pelo usuário.
---
Métodos de Autenticação: Como Você Prova Quem É
Entrar só com uma senha é como proteger uma casa com uma única chave. Senhas fáceis são quebradas com facilidade, e as difíceis são esquecidas e param o trabalho. O Entra ID oferece vários métodos que complementam ou substituem totalmente as senhas.
| Método | Uso principal | Características | |------|------|------| | Senha | Entrada principal | A mais fraca quando usada sozinha | | SMS e chamada de voz | Método secundário para MFA e SSPR (o SMS também pode ser entrada principal) | A Microsoft recomenda migrar para métodos mais modernos | | Tokens OATH | Método secundário para MFA e SSPR | Um aplicativo ou dispositivo de hardware gera um código de uso único a cada 30–60 segundos | | Microsoft Authenticator | Entrada sem senha, notificações push com correspondência de números, chaves de acesso | Aplicativo gratuito para iOS e Android | | Windows Hello para Empresas | Entrada sem senha | Uma chave vinculada ao dispositivo mais PIN ou biometria | | Chaves de acesso (FIDO2) | Entrada sem senha | Criptografia de chave pública; funciona só no site onde foi registrada | | Autenticação baseada em certificado (CBA) | Entrada sem senha, MFA | Autentica diretamente com certificados X.509, sem precisar de AD FS | | Passe de Acesso Temporário (TAP) | Integração de novos funcionários, recuperação após perda de credenciais | Um código com prazo limitado emitido por um administrador |
Autenticação Resistente a Phishing
Códigos de uso único por SMS ou e-mail são vulneráveis ao phishing remoto, em que atacantes enganam os usuários para que entreguem o código. Os métodos resistentes a phishing usam criptografia de chave pública, e a credencial fica vinculada ao endereço (domínio) do site onde foi registrada, então ela simplesmente não funciona em um site falso idêntico ao verdadeiro.
Windows Hello para Empresas Credencial de plataforma para macOS Chaves de acesso sincronizadas e chaves de segurança FIDO2 Chaves de acesso no Microsoft Authenticator Autenticação baseada em certificado
Dica de prova: se pedirem o método mais resistente a phishing, escolha chaves de segurança FIDO2, Windows Hello para Empresas ou autenticação baseada em certificado. O SMS é compatível, mas raramente é a resposta certa.
---
Proteção de Senhas: Barrar Senhas Fracas Desde o Início
Assim como um banco recusa "1234" ou uma data de nascimento como senha, a proteção de senhas do Microsoft Entra recusa senhas fracas conhecidas e suas variações no momento em que um usuário troca ou redefine a senha.
| Aspecto | Lista global de senhas proibidas | Lista personalizada de senhas proibidas | |------|------|------| | Quem cria | A Microsoft (a partir da análise de ataques reais de pulverização de senhas) | A sua organização | | Conteúdo | Senhas fracas muito usadas ou vazadas | Nome da empresa, nomes de produtos, local da sede, siglas internas | | Configuração | Aplicada automaticamente a todos os usuários; não pode ser desativada | Administradores adicionam até 1.000 termos |
Uma senha nova é avaliada com as duas listas combinadas, nesta ordem.
Normalização: passa para minúsculas e desfaz substituições comuns, como "@" por "a" e "$" por "s" Correspondência aproximada: também recusa variações que diferem de um termo proibido em um caractere Verificação de substrings: procura o nome do usuário e o nome do locatário Pontuação: um ponto por termo proibido e um ponto por caractere restante; precisa de pelo menos cinco pontos para ser aceita
Um ataque de pulverização de senhas (password spray), em vez de tentar muitas senhas em uma conta, tenta algumas senhas comuns em muitas contas para evitar bloqueios. A lista global é montada com senhas realmente usadas nesses ataques. O bloqueio inteligente complementa isso bloqueando temporariamente só as tentativas do atacante após falhas de entrada repetidas.
Dá para aplicar a mesma proteção ao AD DS local. Instale um serviço de proxy em um servidor ingressado no domínio e um agente de DC nos controladores de domínio, e eles baixam as listas proibidas da nuvem e verificam as trocas de senha locais com as mesmas regras. Os controladores de domínio nunca precisam falar diretamente com a internet, e não é preciso alterar o esquema.
Dica de prova: "proibir senhas que contenham o nome da empresa ou de um produto" é a lista personalizada de senhas proibidas. A lista que vale para todos os locatários sem configuração é a lista global de senhas proibidas.
---
SSPR: Redefinir Senhas sem o Suporte Técnico
O SSPR (redefinição de senha por autoatendimento) permite que usuários que esqueceram a senha ou ficaram bloqueados a troquem sozinhos, sem um administrador nem o suporte técnico. Para usar, o usuário precisa de uma licença do Entra ID, um administrador precisa ativar o SSPR e o usuário precisa ter registrado métodos de autenticação com antecedência.
Métodos disponíveis: notificações do Authenticator, tokens OATH, SMS, chamada de voz, código de uso único por e-mail, perguntas de segurança As perguntas de segurança devem ser retiradas do SSPR em março de 2027 Os administradores definem se são exigidos um ou dois métodos para redefinir (contas de administrador exigem dois por padrão) Para usuários sincronizados do ambiente local, ativar o write-back de senha aplica também a nova senha no AD local
Dica de prova: "os usuários redefinem a própria senha para reduzir chamadas ao suporte" é SSPR. Não confunda com a proteção de senhas, que bloqueia as próprias senhas fracas.
---
Identidade Híbrida: uma Única Identidade no Local e na Nuvem
Se um único crachá da sede também abre a filial, os funcionários ficam mais satisfeitos e a administração fica mais simples. A identidade híbrida provisiona e sincroniza usuários e grupos do Active Directory local no Microsoft Entra ID, para que a mesma identidade funcione onde quer que um aplicativo seja executado.
| Ferramenta de sincronização | Como funciona | Situação atual | |------|------|------| | Microsoft Entra Cloud Sync | Instala só um agente de provisionamento leve; a configuração fica