AZ-104 — Módulo 01: Identity Solutions

Esse material (e todos os módulos seguintes do AZ-104) é organizado em três camadas complementares, cada uma feita para um momento diferente do seu estudo — misturar as três é o que faz elas funcionarem.

Cada módulo tem um arquivo .csv separado (formato Frente;Verso), pronto pra importar no AnkiDroid (ou no Anki de qualquer plataforma).

1. No PC (ou direto no celular): baixe o arquivo .csv do módulo.
2. No AnkiDroid, toque no + → Importar arquivo → selecione o .csv.
3. Configure o import: separador de campo = ponto e vírgula (;), e mapeie Campo 1 → Frente, Campo 2 → Verso.
4. Escolha (ou crie) o baralho do módulo, ex.: AZ-104::Módulo 01.

Sobre Tenant / Diretório:

• Instâncias adicionais podem ser criadas.
• O Microsoft Entra ID é o produto subjacente que fornece o serviço de identidade.
• O termo Tenant significa uma única instância que representa uma única organização.
• Os termos Tenant e Diretório são frequentemente usados de forma alternada.

O Tenant é o contêiner de nível mais alto; o Microsoft Entra ID (antigo Azure AD) é o serviço de identidade que vive dentro desse Tenant, gerenciando Usuários, Dispositivos e Licenças.

• O Microsoft Entra ID é principalmente uma solução de identidade.
• É consultado usando a API REST sobre HTTP e HTTPS.
• Usa protocolos HTTP/HTTPS como SAML, WS-Federation e OpenID Connect para autenticação, e OAuth para autorização.
• Inclui serviços de federação e integração com muitos serviços de terceiros.
• Usuários e grupos são criados em uma estrutura simples (flat) — não existem OUs nem GPOs.

Recursos que exigem P1/P2 (Licensed features):

• Microsoft Entra join: self-service BitLocker recovery, enterprise state roaming
• Advanced security and usage reports
• Application Proxy · Connect Health
• Advanced Group Access Management (grupos dinâmicos, delegação de criação de grupos, naming policy, expiração de grupo, usage guidelines, default classification)
• Conditional Access
• Identity Protection — somente P2
• Access Reviews e Entitlement management

Uma organização (ou um usuário) pode gerenciar múltiplos Tenants, mas cada Tenant é uma instância isolada e independente — cada um com seu próprio Entra ID, usuários, dispositivos e licenças. Por padrão eles não compartilham identidade entre si.

• Current directory — tenant ativo no momento.
• Startup directory — tenant padrão ao abrir o portal.
• Abas Favorites e All Directories — em All Directories aparecem todos os tenants aos quais o usuário tem acesso, com Directory name, Domain, Directory ID e botão Switch.

Texto da tela: "Switching directories will reload the portal. The directory you choose will impact the subscription, resource group, and region filters that are available in the portal."

Ações da tela: Cancel subscription · Rename · Change directory · Feedback

Essentials: Subscription ID · Directory · My role (ex.: Owner) · Status · Plan · Parent management group · Secure Score

Identidade (Entra ID) e recursos do Azure (Subscriptions) são camadas de permissão separadas.

• Quem cria/assina uma Subscription recebe automaticamente a role Owner naquela Subscription.
• Ser Global Administrator no Entra ID não dá acesso automático às Subscriptions do tenant.
• Só é possível ver/gerenciar as Subscriptions e management groups aos quais o acesso foi explicitamente concedido.

Pontos-chave:

• A conta é usada para autenticação e autorização.
• É necessário ser Global Administrator ou User Administrator para gerenciar usuários.
• O perfil do usuário (imagem, trabalho, informações de contato) é opcional.
• Usuários excluídos podem ser restaurados por 30 dias (Users > Deleted users).

Ao clicar em New user, duas opções: Create user (novo usuário interno, ex. alice@contoso.onmicrosoft.com) e Invite user (convida um guest).

Abas do wizard: Basics · Properties · Assignments · Review + create

Basics > Identity:

• User principal name (UPN) — campo local + dropdown de domínio (link "Domain not listed").
• Mail nickname (obrigatório) — checkbox "Derive from user principal name" marcado por padrão.
• Display name (obrigatório).
• Password — checkbox "Auto-generate password" marcado por padrão.
• Account enabled — marcado por padrão.

Properties: Identity (First name, Last name, User type, Authorization info) e Job Information (Job title, Company name, Department, Employee ID, Employee type, Employee hire date, Office location, Manager).

Assignments: "Make up to 20 group or role assignments. You can only add a user to a maximum of 1 administrative unit."

Bulk create (Users > Bulk operations): 1) Download csv template · 2) Edit your csv file · 3) Upload your csv file. Suporta usuários e membros de grupo em massa; resultados em Bulk operation results. Exige Global Administrator ou User Administrator.

All users — colunas: Display name · User principal name · User type (Member/Guest) · On-premises sync · Identities

Página do usuário — menu lateral: Assigned roles · Administrative units · Groups · Applications · Licenses · Devices · Azure role assignments · Authentication methods

Basic info: UPN · Object ID · Created date time · User type · Identities. Quick actions: Account status · B2B invitation ("Convert to external user").

User settings > Default user role permissions:

• Users can register applications — Yes (padrão)
• Restrict non-admin users from creating tenants — No
• Users can create security groups — Yes

Guest user access — 3 níveis: (1) mesmo acesso que members; (2) acesso limitado a propriedades e associações de objetos do diretório (padrão); (3) restrito apenas aos próprios objetos (mais restritivo).

Sign-in logs (Monitoring): abas User sign-ins (interactive / non-interactive), Service principal sign-ins, Managed identity sign-ins. Colunas: Date · Request ID · User · Application · Status · IP address · Location (identifica até a cidade pelo IP).

Guest invite restrictions — do mais permissivo ao mais restritivo:

1. Anyone in the organization can invite guest users including guests and non-admins
2. Member users and users assigned to specific admin roles can invite guest users including guests with member permissions
3. Only users assigned to specific admin roles can invite guest users
4. No one in the organization can invite guest users including admins

• Enable guest self-service sign up via user flows: No
• Allow external users to remove themselves from your organization: Yes

Etapa 1 — Invite external user (Users > New guest user). Abas: Basics · Properties · Assignments · Review + invite. Campos: Email (obrigatório), Display name, Invitation message (toggle + texto personalizado), Cc recipient.

Etapa 2 — E-mail de convite: remetente Microsoft Invitations on behalf of [organização] <invites@microsoft.com>. Mostra Organization, Domain, a mensagem personalizada, o botão Accept invitation e a opção "Block future invitations from this organization".

Etapa 3 — Consentimento: "Ao aceitar, você permite que esta organização receba os dados do seu perfil, colete e registre a sua atividade e use os seus dados de perfil e de atividade." O usuário pode revisar depois em myaccount.microsoft.com/organizations.

Etapa 4 — Resultado: o convidado aparece em All users com User type: Guest.

Group Types: Security groups · Microsoft 365 groups

Membership types:

• Assigned — associação manual
• Dynamic User — regra sobre atributos do usuário
• Dynamic Device — somente para Security groups

Menu lateral de Groups: Settings (General, Expiration, Naming policy) · Activity (Privileged Identity Management, Access reviews, Audit logs, Bulk operation results)

• Group type: Security
• Group name: ex. GR-Colaboradores
• Group description (opcional)
• Microsoft Entra roles can be assigned to the group — toggle Yes/No (padrão No)
• Membership type: Assigned
• Owners e Members

No painel Add members existem as abas All · Users · Groups · Devices · Enterprise applications.

Overview do grupo: Membership type · Source (Cloud) · Type (Security) · Object ID · Created on. Painel direito com Total direct members: User(s), Group(s), Device(s), Other(s).

• Group memberships — de quais outros grupos este grupo é membro.
• Group(s) em "Total direct members" — quantos grupos são membros deste grupo.

É possível atribuir uma role administrativa diretamente a um grupo — todo membro recebe automaticamente aquela role. Para isso o grupo precisa ter sido criado com o toggle "Microsoft Entra roles can be assigned to the group" = Yes (padrão: No).

Texto da tela: "Assignable roles are roles that can be assigned here to allow managing this resource. Directory-level roles have inherited access to this resource and can only be assigned at the directory level."

Abas: Configure Rules · Validate Rules (Preview). O rule builder tem And/Or · Property · Operator · Value; o campo Rule syntax permite escrever a query diretamente.

Exemplo — Property jobTitle, Operator Contains, Value Analista:

(user.jobTitle -contains "Analista")

Validate Rules (Preview) testa a regra contra usuários. Legenda: ✔ In group · ✖ Not in group · ? Unknown.

(user.department -eq "Marketing") and (user.country -eq "France")

Ações: Try / Buy · Assign · Bills · Columns. Menu: Licensed features · All products · Self-service sign up products · Audit logs.

Colunas: Name · Total · Assigned · Available · Expiring soon

Ações: Assignments · Reprocess · Refresh · Columns

Administrative roles concedem acesso a ações privilegiadas no Entra ID. A recomendação é usar as built-in roles para delegar permissões amplas de configuração de aplicativos sem dar acesso a outras partes do Entra ID. Cada role concede um privilégio específico e delimitado.

Colunas: Role · Description · Privileged · Assignments · Type (Built-in)

Passos para implementar:

1. Criar uma unidade administrativa
2. Preencher a AU com usuários ou grupos
3. Criar uma função com permissões apropriadas com escopo para a AU
4. Adicionar membros de TI à função

Exemplo oficial: criar uma AU para a "School of Business", populá-la apenas com alunos e staff daquela escola, criar uma role com permissões somente sobre os usuários daquela AU e adicionar o time de TI da escola à role, junto com seu escopo.

Onde gerenciar: Microsoft 365 admin center · Azure portal · PowerShell · Microsoft Graph API

Abas: Properties · Assign roles · Review + create

Properties: Name (obrigatório) · Description · Restricted management administrative unit (toggle Yes/No, padrão No).

Assign roles — roles built-in disponíveis:

Review + create — exemplo de resultado:

Essas roles ficam com escopo restrito apenas a esta AU — Paulo Silva é License Administrator somente dentro da AU, não no Tenant inteiro.

Colunas: Name · Status (Verified / Available) · Federated

Etapa 1 — Registrador externo. No painel do registrador existem os Nameservers (servidores DNS que lidam com as solicitações da internet para o domínio) e a área Gerenciar registros DNS, com os campos Tipo · Nome · Aponta para/valor · TTL.

Etapa 2 — Adicionar no Entra ID: Custom domain names > Add custom domain → digitar o domínio.

Etapa 3 — Criar o registro de verificação. O portal exibe: "To use [domínio] with your Microsoft Entra tenant, create a new TXT record with your domain name registrar using the info below."

Aviso: "Verification will not succeed until you have configured your domain with your registrar as described above."

Etapa 4 — Verificado: Type Custom · Status: Verified · Federated: No · Primary domain: No · In use: No. Ações: Make primary · Delete.

Federated: "To configure [domínio] for federated sign-on to your Microsoft Entra ID, run Microsoft Entra Connect on your local network."

Campos: Data location · Notification language · Tenant ID · Technical contact · Global privacy contact · Privacy statement URL

Access management for Azure resources: toggle No por padrão (Elevate access — tópico 2.4).

Security defaults — painel com a opção Enabled (recommended):

• São mecanismos básicos de segurança de identidade recomendados pela Microsoft.
• Quando habilitados, protegem melhor admins e usuários contra ataques comuns de identidade.
• 99,9% dos comprometimentos de conta podem ser evitados usando MFA.
• A Microsoft observa queda de 80% na taxa de comprometimento com os security defaults habilitados.

SSPR: conjunto de capacidades que permite aos usuários gerenciarem qualquer senha, de qualquer dispositivo, a qualquer hora, de qualquer local, mantendo conformidade com as políticas de segurança definidas.

• Reduce cost — reset de senha assistido pelo suporte tipicamente representa 20% do gasto de TI.
• Improve user experiences — evita ligações longas para o helpdesk.
• Lower helpdesk volume — redução de chamados.

Authentication methods: Number of methods required to reset (1 ou 2) · Methods available to users (Mobile app notification, Mobile app code, Email, Mobile phone, Office phone, Security questions) · Number of questions required to register / to reset.

Menu: Properties · Authentication methods · Registration · Notifications · Customization · On-premises integration · Administrator Policy · Audit logs · Usage & insights

Properties — "Self service password reset enabled":

• None — desabilitado (padrão)
• Selected — ativa só para um grupo específico; exige escolher pelo menos um grupo. Útil para rollout gradual.
• All — todos os usuários do tenant

Registration: "Require users to register when signing in?" (padrão Yes) · "Number of days before users are asked to re-confirm their authentication information" (ex.: 180).

Notifications: "Notify users on password resets?" (padrão Yes) · "Notify all admins when other admins reset their password?" (padrão No).

Customization: "Customize helpdesk link" + "Custom helpdesk email or URL" (ex.: https://helpdesk.contoso.com).

On-premises integration: "No agents that are capable of performing password writeback have been detected. Install a sync agent and set up your sync engine before enabling password writeback."

"Estes são os métodos que você usa para entrar em sua conta ou redefinir sua senha." Ação: Adicionar método de entrada → Aplicativo Authenticator ou Telefone.

Fluxo do Microsoft Authenticator: 1) Verifique o código QR — escanear pelo app; 2) Insira código — digitar o código de 6 dígitos gerado. Opções: "Desejo configurar um método diferente" / "Pular a configuração".

Audit logs (filtro Service: Self-service Password Management) — atividades registradas:

Usage & insights — aba Registration com três indicadores: usuários aptos a MFA, a autenticação passwordless e ao SSPR. Útil para medir adoção antes de mudar a configuração para All.

Motivo: risco de segurança e baixa confiabilidade — são fáceis de adivinhar ou vulneráveis a engenharia social, aumentando o risco de account takeover.

Contexto: na mesma onda, a Microsoft está aposentando a autenticação por SMS e Voz, com Passkeys se tornando o método padrão do Entra ID.