Certificação de nível básico em segurança cobrindo fundamentos de segurança, conformidade e identidade da Microsoft.
Modelo de Zero Trust, Modelo de responsabilidade compartilhada, Conceitos de criptografia, Conceitos de conformidade
Microsoft Entra ID, Métodos de autenticação, MFA e Acesso condicional, RBAC, Governança de identidades
Microsoft Defender XDR, Microsoft Sentinel, Azure Firewall, Proteção contra DDoS do Azure, Microsoft Defender for Cloud
Microsoft Purview, Portal de conformidade, Proteção de informações e gerenciamento do ciclo de vida dos dados, eDiscovery e Auditoria
Experimente questões no estilo do exame do conjunto de amostra gratuito. Cada resposta vem com uma explicação completa.
A equipe de segurança de uma empresa está revisando uma lista de ações de melhoria no portal do Microsoft Defender para aumentar a pontuação de segurança (Secure Score) da organização.
Qual resultado pode ser esperado quando a ação de habilitar MFA para todos os usuários for concluída?
Resposta: B. Secure Score aumenta
O Microsoft Secure Score representa a postura de segurança de uma organização como um valor numérico no portal do Microsoft Defender, e a pontuação aumenta cada vez que uma ação de melhoria recomendada é concluída. Habilitar o MFA para todos os usuários é uma ação de melhoria de segurança de alto impacto que reduz significativamente o risco de sequestro de conta, e sua conclusão aumenta o Secure Score.
O sistema Secure Score é determinado pela soma das pontuações das ações de melhoria concluídas. Ações que fortalecem a segurança (habilitar MFA, aplicar políticas de Acesso Condicional, etc.) aumentam a pontuação, enquanto configurações de segurança enfraquecidas ou recomendações não implementadas a diminuem. Esta pontuação abrange várias áreas de segurança, incluindo identidade, dispositivos, aplicativos, dados e infraestrutura.
Você deve distinguir entre Secure Score e Compliance Score (Purview) como sistemas separados. O Secure Score avalia a postura de segurança, enquanto o Compliance Score avalia os níveis de conformidade regulatória, como GDPR e HIPAA. Habilitar MFA é uma ação do Secure Score, não do Compliance Score.
Uma equipe de desenvolvimento está gerenciando strings de conexão de banco de dados e chaves de API codificando-as diretamente no código-fonte de um aplicativo web em execução no Azure. A equipe de segurança recomendou separar esses segredos confidenciais do código e armazená-los e gerenciá-los com segurança em um local centralizado.
Qual serviço do Azure MELHOR atende a esses requisitos?
Resposta: C. Azure Key Vault
O Azure Key Vault é um serviço dedicado ao armazenamento e gerenciamento centralizado e seguro de informações confidenciais, como strings de conexão, chaves de API e senhas, fora do código-fonte, atendendo exatamente aos requisitos deste cenário. Os aplicativos podem recuperar segredos do Key Vault com segurança em tempo de execução, sem incorporá-los diretamente no código, resolvendo fundamentalmente o problema de hardcoding.
O Azure Key Vault gerencia três tipos de objetos: Segredos (valores baseados em texto, como strings de conexão e chaves de API), Chaves (chaves criptográficas para criptografia e descriptografia de dados) e Certificados (gerenciamento do ciclo de vida SSL/TLS). Quando integrado com Managed Identity, os aplicativos podem acessar o Key Vault sem armazenar credenciais separadas, fortalecendo ainda mais a segurança.
No exame, cuidado para não confundir o Azure Active Directory (Microsoft Entra ID) com o Key Vault. O Entra ID é um serviço de gerenciamento de identidade e acesso que não oferece recursos de armazenamento de segredos. Quando vir as palavras-chave 'armazenamento e gerenciamento centralizado de segredos, chaves e certificados,' selecione Azure Key Vault; quando vir 'autenticação de usuário, autorização ou SSO,' selecione Microsoft Entra ID.
Uma equipe de desenvolvimento deseja configurar um aplicativo implantado no Azure para poder chamar a Microsoft Graph API. Sem um humano fazendo login diretamente, o próprio aplicativo precisa se autenticar com o Microsoft Entra ID para acessar recursos.
Qual objeto de identidade permite que o aplicativo se autentique com o Microsoft Entra ID e acesse recursos dessa forma?
Resposta: C. Entidade de Serviço (Service Principal)
Assim como o Amazon Kinesis Data Streams atende às condições daquele cenário, uma entidade de serviço satisfaz precisamente o requisito principal deste cenário: 'o próprio aplicativo se autentica com o Microsoft Entra ID sem que um humano faça login diretamente para acessar a API.' Uma entidade de serviço é um objeto de identidade não humano que representa um aplicativo registrado no Entra ID, que usa um ID de cliente com um segredo ou certificado para obter um token de acesso via o fluxo de credenciais de cliente OAuth 2.0 e acessar recursos protegidos, como a Microsoft Graph API.
Uma entidade de serviço é criada automaticamente em um locatário do Entra ID durante o Registro de Aplicativo. O objeto de aplicativo (definição global) e a entidade de serviço (instância específica do locatário) são estruturados em um relacionamento 1:N, com permissões gerenciadas por meio de atribuições de função e concessões de consentimento em cada locatário. É amplamente usado quando pipelines de CI/CD, serviços de backend ou aplicativos externos precisam acessar recursos do Azure.
Distinguir entidades de serviço de identidades gerenciadas é importante no exame. Uma identidade gerenciada é uma forma especial de entidade de serviço concedida a recursos hospedados no Azure, como VMs do Azure e Functions, onde a plataforma Azure gerencia automaticamente as credenciais, eliminando a necessidade de gerenciamento de segredos. Em contraste, as entidades de serviço se aplicam a aplicativos em execução fora do Azure ou cenários onde o gerenciamento de credenciais é necessário. Quando as palavras-chave incluírem 'aplicativo autenticando diretamente com o Entra ID', 'chamadas de API' ou 'fluxo de credenciais OAuth 2.0', selecione entidade de serviço.
O administrador de TI de uma empresa deseja ativar temporariamente funções de alto privilégio, como Administrador Global, apenas quando necessário para tarefas específicas, e exige um processo de aprovação e entrada de justificativa na ativação para minimizar a exposição de privilégios permanentes.
Qual recurso do Microsoft Entra ID fornece essa elevação de privilégio Just-In-Time e controle de acesso baseado em aprovação?
Resposta: D. Privileged Identity Management
O administrador de TI de uma empresa deseja ativar temporariamente funções de alto privilégio, como Administrador Global, apenas quando necessário para tarefas específicas, e exige aprovação e justificativa na ativação para minimizar a exposição de privilégios permanentes. As três palavras-chave — elevação de privilégio Just-In-Time, ativação temporária e acesso baseado em aprovação — descrevem precisamente as capacidades centrais do Privileged Identity Management (PIM). O PIM força a ativação de permissões somente quando necessário por meio de Atribuições Elegíveis, e exige aprovação do aprovador, justificativa de negócio e MFA na ativação.
O Microsoft Entra Privileged Identity Management é uma ferramenta central para implementar o princípio de menor privilégio e o modelo de segurança Zero Trust. O PIM distingue entre atribuições Elegíveis e atribuições Ativas. Os usuários com atribuições Elegíveis devem passar por uma solicitação de ativação explícita e manter permissões apenas por um tempo limitado para usar uma função. O PIM também fornece um log de auditoria completo de todo o histórico de ativação de funções para rastrear e monitorar o uso de privilégios.
No exame SC-900, é necessário distinguir a Opção 1 da Opção 2. O Conditional Access é uma ferramenta de política que controla o acesso com base em condições de login, como localização, dispositivo e nível de risco, e não fornece ativação temporária de função nem fluxos de trabalho de aprovação. O RBAC é uma abordagem básica de gerenciamento de permissões que atribui funções permanentemente aos usuários, sem ativação JIT, limites de tempo ou recursos de aprovação. Se JIT, ativação temporária e elevação de privilégio baseada em aprovação forem as palavras-chave, selecione PIM.
O administrador de TI da sua empresa deseja conceder a um desenvolvedor específico apenas permissão de leitura para máquinas virtuais no ambiente Azure.
Qual princípio de segurança essa abordagem segue, garantindo que não sejam concedidas mais permissões do que o necessário ao utilizar o controle de acesso baseado em função (RBAC) no Microsoft Entra ID?
Resposta: B. Princípio do Menor Privilégio
Conceder a um desenvolvedor apenas permissão de leitura para máquinas virtuais, sem direitos administrativos, é uma implementação direta do Princípio do Menor Privilégio. Esse princípio exige que os usuários recebam apenas as permissões mínimas necessárias para realizar suas funções, e o Azure RBAC impõe isso por meio da função Leitor (Reader), que permite visualizar recursos enquanto bloqueia modificações ou exclusões.
O Princípio do Menor Privilégio é um dos três pilares fundamentais do modelo Zero Trust, funcionando junto com Assume Breach e Verify Explicitly. O Azure RBAC oferece funções internas como Leitor, Colaborador e Proprietário, além de funções personalizadas, permitindo controle granular de permissões até o nível de recurso individual. A remoção de permissões desnecessárias minimiza o impacto em caso de ameaça interna ou conta comprometida.
Quando uma questão de exame menciona "não conceder mais permissões do que o necessário" ou "apenas acesso mínimo", selecione o Princípio do Menor Privilégio. A separação de funções é um princípio de controle interno que distribui tarefas críticas entre várias pessoas, enquanto a defesa em profundidade é uma estratégia arquitetônica que sobrepõe múltiplos controles de segurança — nenhum desses conceitos trata especificamente da minimização de permissões.
O exame Microsoft Security, Compliance, and Identity Fundamentals (SC-900) tem 45 questões e limite de 45 minutos.
A nota de aprovação do exame SC-900 é 700 de 1000.
O conjunto de amostra de SC-900 (20 questões com explicações completas) é gratuito. O banco completo com mais de 320 questões está disponível com uma assinatura do CloudMasterIT.