Criar uma revisão de acesso de grupos e aplicativos no Microsoft Entra ID

Acesso a grupos e aplicativos para funcionários e visitantes muda ao longo do tempo. Para reduzir os riscos associados às atribuições de acesso obsoletas, os administradores podem usar o Microsoft Entra ID para criar revisões de acesso para membros do grupo ou usuários atribuídos a um aplicativo.

Os proprietários do grupo microsoft 365 e de segurança também podem usar a ID do Microsoft Entra para criar revisões de acesso para membros do grupo, desde que um usuário com pelo menos a função Administrador de Governança de Identidade habilite a configuração por meio do painel Configurações de Revisões de Acesso . Para obter mais informações sobre esses cenários, consulte Gerenciar revisões de acesso.

Assista a um breve vídeo que fala sobre a habilitação de revisões de acesso.

Este artigo descreve como criar uma ou mais revisões de acesso para membros do grupo ou para acesso do aplicativo.

• Para revisar as atribuições dos pacotes de acesso, consulte configurar uma revisão de acesso na gestão de direitos.
• Para examinar o recurso do Azure ou as funções do Microsoft Entra, consulte Criar uma revisão de acesso do recurso do Azure e das funções do Microsoft Entra no Privileged Identity Management.
• Para obter revisões do PIM para Grupos, consulte criar uma revisão de acesso do PIM para Grupos.

Pré-requisitos

O uso desse recurso requer licenças do Microsoft Entra ID Governance ou do Microsoft Entra Suite. Para encontrar a licença certa para seus requisitos, consulte os conceitos básicos de licenciamento de governança de ID do Microsoft Entra.

Se você estiver revisando o acesso a um aplicativo, antes de criar a revisão, consulte o artigo sobre como se preparar para uma revisão de acesso do acesso dos usuários a um aplicativo para garantir que o aplicativo esteja integrado à ID do Microsoft Entra em seu locatário.

Criar uma revisão de acesso de etapa única

Escopo

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

2. Navegue até Governança de Identidade>Revisões de Acesso.

3. Selecione Nova revisão de acesso para criar uma nova revisão de acesso.

   

4. Na caixa Selecionar o que examinar , selecione qual recurso você deseja examinar.

   

5. Se você selecionou Teams + Grupos, terá duas opções:

   • Todos os grupos do Microsoft 365 com usuários convidados: selecione essa opção se você quiser criar revisões recorrentes em todos os usuários convidados em todos os seus grupos do Microsoft Teams e do Microsoft 365 em sua organização. Grupos dinâmicos e grupos atribuíveis a funções não estão incluídos. Você também pode optar por excluir grupos individuais selecionando Selecionar grupos a serem excluídos.

   • Selecione Teams + grupos: selecione esta opção se você quiser especificar um conjunto finito de equipes ou grupos a serem examinados. Uma lista de grupos para escolher aparece à direita.

     

6. Se você selecionou Aplicativos, selecione um ou mais aplicativos.

   

7. Agora você pode selecionar um escopo para a revisão. As opções são:

   • Somente usuários convidados: essa opção limita a revisão de acesso apenas aos usuários convidados do Microsoft Entra B2B em seu diretório.
   • Todos: essa opção define o escopo da revisão de acesso a todos os objetos de usuário associados ao recurso.

   Observação

   Se você selecionou todos os grupos do Microsoft 365 com usuários convidados, sua única opção é examinar somente usuários convidados.

8. Ou, se estiver realizando uma revisão de associação de grupo, poderá criar revisões de acesso apenas para os usuários inativos do grupo. Na seção Escopo de Usuários, marque a caixa ao lado de usuários inativos (em nível de locatário). Se você marcar a caixa, o escopo da revisão se concentrará apenas nos usuários inativos, aqueles que não se conectaram de forma interativa ou não interativa ao locatário. Em seguida, especifique Dias inativos com muitos dias inativos até 730 dias (dois anos). Os usuários do grupo inativos pelo número especificado de dias são os únicos usuários na revisão.

   Observação

   Os usuários criados recentemente não são afetados ao configurar o tempo de inatividade. A Revisão de Acesso verifica se um usuário foi criado no período configurado e desconsidera os usuários que não existem há pelo menos esse período de tempo. Por exemplo, se você definir o tempo de inatividade como 90 dias e um usuário convidado tiver sido criado ou convidado há menos de 90 dias, o usuário convidado não estará no escopo da Revisão de Acesso. Isso garante que um usuário possa entrar pelo menos uma vez antes de ser removido.

9. Selecione Avançar: Revisões.

Próximo: Revisões

1. Você pode criar uma revisão de estágio único ou de vários estágios. Para uma revisão de estágio única, continue aqui. Para criar uma revisão de acesso em vários estágios, siga as etapas em Criar uma revisão de acesso de vários estágios

2. Na seção Especificar revisores , na caixa Selecionar revisores , selecione uma ou mais pessoas para tomar decisões nas revisões de acesso. Você pode escolher:

   • Proprietários do grupo: essa opção só está disponível quando você faz uma revisão em uma equipe ou grupo.
   • Usuários ou grupos selecionados
   • Os usuários revisam seu próprio acesso
   • Gerentes de usuários

   Se você escolher gerentes de usuários ou proprietário(s) de grupo, também poderá especificar um revisor suplente. Os revisores de fallback são solicitados a fazer uma revisão quando o usuário não tem nenhum gerente especificado no diretório ou se o grupo não tem um proprietário.

   Observação

   Em uma revisão de acesso de equipe ou grupo, somente os proprietários do grupo (no momento em que uma revisão é iniciada) são considerados revisores. Durante uma revisão, se a lista de proprietários do grupo for atualizada, os novos proprietários do grupo não serão considerados revisores e os antigos proprietários do grupo ainda serão considerados revisores. No entanto, no caso de uma revisão recorrente, todas as alterações na lista de proprietários de grupo serão consideradas na próxima instância dessa revisão.

   Importante

   Para revisões de acesso do PIM para Grupos (versão prévia), ao selecionar o proprietário do grupo como revisor, é obrigatório atribuir pelo menos um revisor de fallback. A revisão atribuirá apenas proprietários ativos como revisores. Os proprietários elegíveis não estão incluídos. Se não houver proprietários ativos quando a revisão começar, os revisores substitutos serão atribuídos à revisão.

   

3. Na seção Especificar recorrência da revisão , especifique as seguintes seleções:

   • Duração (em dias): quanto tempo uma revisão está aberta para entrada dos revisores.

   • Data de início: quando a série de revisões começa.

   • Data de término: quando a série de revisões termina. Você pode especificar que ele nunca termina. Ou você pode selecionar Terminar em uma data específica ou Terminar após o número de ocorrências.

     

4. Selecione Avançar: Configurações.

Você pode especificar a data de início, mas a hora de início pode variar algumas horas com base no processamento do sistema.

Avançar: Configurações

1. Na seção Configurações de conclusão , você pode especificar o que acontece após a conclusão da revisão.

   

   • Aplicar automaticamente os resultados ao recurso: selecione esta caixa de seleção se você quiser que o acesso de usuários negados seja removido automaticamente após o término da duração da revisão. Se a opção estiver desabilitada, você terá que aplicar manualmente os resultados quando a revisão terminar. Para saber mais sobre como aplicar os resultados da revisão, consulte Gerenciar revisões de acesso.

   • Se os revisores não responderem: use esta opção para especificar o que acontece para usuários não revisados por nenhum revisor dentro do período de revisão. Essa configuração não afeta os usuários que foram revisados por um revisor. A lista suspensa mostra as seguintes opções:

     • Nenhuma alteração: deixa o acesso de um usuário inalterado.
     • Remover o acesso: remove o acesso de um usuário.
     • Aprovar o acesso: aprova o acesso de um usuário.
     • Siga as recomendações: aceita a recomendação do sistema para negar ou aprovar o acesso contínuo do usuário.

     Aviso

     Se as configurações se os revisores não responderem estiverem definidas para Remover o acesso ou receber recomendações e a aplicação automática de resultados ao recurso estiver habilitada, todo o acesso a esse recurso poderá ser revogado se os revisores não responderem.

   • Ação a ser aplicada a usuários convidados negados: essa opção só estará disponível se a revisão de acesso tiver o escopo de incluir apenas usuários convidados para especificar o que acontece com os usuários convidados se eles forem negados por um revisor ou pelos revisores se não responderem à configuração.

     • Remova a associação do usuário do recurso: essa opção remove o acesso de um usuário convidado negado ao grupo ou aplicativo que está sendo revisado. Ele ainda pode entrar no locatário e não perderá nenhum outro acesso.
     • Bloqueie o usuário de entrar por 30 dias e remova o usuário do locatário: essa opção impede que um usuário convidado negado entre no locatário, independentemente de ter acesso a outros recursos. Se essa ação tiver sido realizada erroneamente, os administradores poderão reativar o acesso do usuário convidado dentro de 30 dias após a desabilitação desse usuário. Se nenhuma ação for realizada quanto ao usuário convidado desabilitado após 30 dias, ele será excluído do locatário.

   Para saber mais sobre as práticas recomendadas para remover usuários convidados que não têm mais acesso aos recursos em sua organização, consulte Usar a Governança de ID do Microsoft Entra para examinar e remover usuários externos que não têm mais acesso a recursos.

   Observação

   A ação a ser aplicada a usuários convidados que foram negados não é configurável em revisões com escopo além de usuários convidados. Também não é configurável para revisões de todos os grupos do Microsoft 365 com usuários convidados. Quando não configurável, a opção padrão de remover a associação de um usuário do recurso é usada em usuários negados.

2. Use a opção Enviar notificação ao final da revisão para enviar notificações a outros usuários ou grupos com atualizações de conclusão. Esse recurso permite que os stakeholders que não sejam o criador da revisão recebam atualizações sobre o progresso da revisão. Para usar esse recurso, escolha Selecionar Usuários ou Grupos e adicione outro usuário ou grupo para o qual você deseja receber o status de conclusão.

3. Na seção Habilitar auxiliares de decisão de revisão , escolha se deseja que o revisor receba recomendações durante o processo de revisão:

   1. Se você selecionar Nenhum login dentro de 30 dias, os usuários que fizeram login durante o período anterior de 30 dias serão recomendados para aprovação. Os usuários que não entraram nos últimos 30 dias são recomendados para negação. Esse intervalo de 30 dias é independente de as entradas terem sido interativas ou não. A última data de entrada para o usuário especificado também será exibida junto com a recomendação.
   2. Se você selecionar Afiliação de Usuário para Grupo, os revisores receberão a recomendação para aprovar ou negar acesso aos usuários com base na distância média do usuário na estrutura de relatórios da organização. Os usuários que estão distantes de todos os outros usuários dentro do grupo são considerados como tendo "baixa afiliação" e receberão uma recomendação de negação nas revisões de acesso ao grupo.

   Observação

   Se você criar uma revisão de acesso com base em aplicativos, suas recomendações serão baseadas no período de intervalo de 30 dias, dependendo de quando o usuário se inscreveu pela última vez no aplicativo em vez do locatário.

   

4. Na seção Configurações avançadas , você pode escolher o seguinte:

   • Justificativa necessária: selecione esta caixa de seleção para exigir que o revisor forneça um motivo para aprovação ou negação.

   • Notificações por email: marque esta caixa de seleção para que a ID do Microsoft Entra envie notificações por email aos revisores quando uma revisão de acesso for iniciada e aos administradores quando uma revisão for concluída.

   • Lembretes: marque esta caixa de seleção para que a ID do Microsoft Entra envie lembretes de revisões de acesso em andamento para todos os revisores. Os revisores recebem os lembretes na metade da revisão, independentemente de já terem concluído a revisão ou não.

   • Conteúdo adicional para o email do revisor: o conteúdo do email enviado aos revisores é gerado automaticamente com base nos detalhes da revisão, como nome da revisão, nome do recurso e data de conclusão. Se você precisar comunicar mais informações, poderá especificar detalhes como instruções ou informações de contato na caixa. As informações inseridas são incluídas no convite, e os emails de lembrete são enviados aos revisores atribuídos. A seção realçada na imagem a seguir mostra onde essas informações são exibidas.

     

5. Selecione Avançar: Examinar + Criar.

   

Próximo: Revisar e Criar

1. Nomeie a revisão de acesso. Opcionalmente, forneça uma descrição à revisão. O nome e a descrição são mostrados aos revisores.

2. Examine as informações e selecione Criar.

Criar uma revisão de acesso de vários estágios

Uma revisão de vários estágios permite que o administrador defina dois ou três conjuntos de revisores para concluir uma revisão após a outra. Em uma revisão de estágio único, todos os revisores fazem uma decisão dentro do mesmo período, e a decisão tomada pelo último revisor é aplicada. Em uma revisão de vários estágios, dois ou três conjuntos independentes de revisores tomam, cada um, uma decisão dentro de seus próprios estágios. Os estágios são sequenciais, e o próximo não acontecerá até que uma decisão seja registrada no estágio anterior. As revisões de vários estágios podem ser usadas para reduzir a carga dos revisores de estágio posterior, permitir o escalonamento de revisores ou ter grupos independentes de revisores concordam com as decisões.

1. Depois de selecionar o recurso e o escopo de sua revisão, vá para a guia Revisões .

2. Marque a caixa de seleção ao lado de revisão de vários estágios.

3. Na revisão do primeiro estágio, selecione os revisores no menu suspenso ao lado de Selecionar revisores.

4. Se você selecionar Proprietários de grupo ou Gerentes de Usuários, você terá a opção de adicionar um revisor de fallback. Para adicionar um fallback, selecione selecionar revisores de fallback e adicione os usuários que você deseja que sejam revisores de fallback.

   

5. Adicione a duração do primeiro estágio. Para adicionar a duração, insira um número no campo ao lado da duração do estágio (em dias). Este é o número de dias que você deseja que o primeiro estágio seja aberto aos revisores do primeiro estágio para tomar decisões.

6. Na revisão do segundo estágio, selecione os revisores no menu suspenso ao lado de Selecionar revisores. Esses revisores serão solicitados a revisar após a conclusão da revisão do primeiro estágio.

7. Adicione quaisquer revisores de fallback, se necessário.

8. Adicione a duração para o segundo estágio.

9. Por padrão, você verá dois estágios ao criar uma revisão de vários estágios. No entanto, você pode adicionar até três estágios. Se você quiser adicionar um terceiro estágio, selecione + Adicionar um estágio e conclua os campos necessários.

10. Você pode decidir permitir que revisores de 2º e 3º estágio vejam as decisões tomadas nos estágios anteriores. Se você quiser permitir que eles vejam as decisões tomadas anteriormente, selecione a caixa ao lado de Mostrar decisões de estágios anteriores para revisores de estágios posteriores em Revelar resultados da revisão. Deixe a caixa desmarcada para desabilitar essa configuração se desejar que os revisores revisem de forma independente.

    

11. A duração de cada recorrência é definida como a soma dos dias de duração que você especificou em cada fase.

12. Especifique a recorrência de revisão, a data de início e a data de término da revisão. O tipo de recorrência deve ser pelo menos tão longo quanto a duração total da recorrência (ou seja, a duração máxima de uma recorrência de revisão semanal é de 7 dias).

13. Para especificar quais avaliados continuarão de estágio em estágio, selecione uma ou mais das seguintes opções ao lado de Especificar avaliados para ir para o próximo estágio :

    1. Revisões aprovadas – somente os revisores aprovados passarão para as próximas etapas.
    2. Revisões negadas – somente revisões que foram negadas passam para a próxima fase.
    3. Revisões não revisadas – somente os revisores que não foram revisados passarão para os próximos estágios.
    4. Revisões marcadas como "Não Sabem" – somente os revisores marcados como "Não sabem" passam para os próximos estágios.
    5. Todos: todos passarão para o próximo estágio se desejar que todos os estágios de revisores tomem uma decisão.

14. Vá para a guia de configurações e conclua as configurações restantes, e crie a revisão. Siga as instruções em Avançar: Configurações.

Incluir usuários e equipes de conexão direta de B2B acessando os Canais Compartilhados do Teams em revisões de acesso

Você pode criar revisões de acesso para usuários de conexão direta de B2B por meio de canais compartilhados no Microsoft Teams. À medida que você colabora externamente, pode usar as revisões de acesso do Microsoft Entra para garantir que o acesso externo aos canais compartilhados permaneça atual. Usuários externos nos canais compartilhados são chamados de usuários de conexão direta de B2B. Para saber mais sobre os canais compartilhados do Teams e os usuários de conexão direta B2B, leia o artigo Conexão Direta B2B.

Quando você cria uma revisão de acesso em uma equipe com canais compartilhados, os revisores podem analisar a necessidade contínua de acesso desses usuários externos e do Teams nos canais compartilhados. Você pode examinar o acesso de usuários de conexão de B2B e outros usuários de colaboração B2B com suporte e usuários internos não B2B na mesma revisão.

Usuários e equipes de conexão direta de B2B estão incluídos nas revisões de acesso do grupo do Microsoft 365 habilitado para Teams que os canais compartilhados fazem parte. Para criar a revisão, você deve ter pelo menos a função de Administrador de Usuário ou Administrador de Governança de Identidade.

Use as seguintes instruções para criar uma revisão de acesso em uma equipe com canais compartilhados:

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

2. Navegue até Governança de Identidade>Revisões de Acesso.

3. Selecione + Nova revisão de acesso.

4. Selecione Teams + Grupos e selecione Selecionar equipes + grupos para definir o escopo de Revisão. Os usuários e as equipes de conexão direta B2B não estão incluídos nas revisões de todos os grupos do Microsoft 365 com usuários convidados.

5. Selecione uma equipe que tenha canais compartilhados com um ou mais usuários de conexão direta de B2B ou o Teams.

6. Defina o Escopo.

   

   • Escolha Todos os usuários para incluir:
     • Todos os usuários internos
     • Usuários de colaboração B2B que são membros da equipe
     • Usuários de conexão direta de B2B
     • Equipes com acesso aos canais compartilhados
   • Ou, escolha apenas usuários convidados para incluir somente usuários de conexão direta B2B e usuários do Microsoft Teams e de colaboração B2B.

7. Continue na aba Revisões. Selecione um revisor para concluir a revisão e especifique a Duração e a Recorrência de revisão.

   Observação

   • Se você definir Selecionar revisores para Usuários revisam seu próprio acesso ou Gerentes de usuários, os usuários B2B de conexão direta e o Microsoft Teams não poderão revisar seu próprio acesso no seu locatário. O proprietário da Equipe em análise recebe um email que pede ao proprietário para examinar o usuário de conexão direta B2B e o Teams.
   • Se você selecionar Gerentes de usuários, um revisor de fallback selecionado examinará qualquer usuário sem um gerente no locatário doméstico. Isso inclui usuários de conexão direta de B2B e o Teams sem um gerente.

8. Vá para a guia Configurações e defina configurações adicionais. Em seguida, vá para a guia Examinar e Criar para iniciar sua revisão de acesso. Para obter informações mais detalhadas sobre como criar uma revisão e configurações, consulte nossa Criar uma revisão de acesso de estágio único.

Permitir que os proprietários de grupo criem e gerenciem revisões de acesso dos grupos

1. Entre no Centro de administração do Microsoft Entra como pelo menos um Administrador de Governança de Identidade.

2. Navegue até Governança de ID>Revisões de Acesso>Configurações.

3. Na página Delegar quem pode criar e gerenciar revisões de acesso, defina que proprietários de grupo podem criar e gerenciar revisões de acesso para grupos dos quais são proprietários como Sim.

   

   Observação

   Por padrão, a configuração é definida como Não. Para permitir que os proprietários de grupo criem e gerenciem revisões de acesso, altere a configuração para Sim.

Criar uma revisão de acesso programaticamente

Você também pode criar uma revisão de acesso usando o Microsoft Graph ou o PowerShell.

Para criar uma revisão de acesso usando o Graph, chame a API do Graph para criar uma definição de agendamento de revisão de acesso. O chamador deve ser um usuário em uma função apropriada com um aplicativo que tenha a permissão AccessReview.ReadWrite.All delegada ou um aplicativo com a permissão de aplicativo AccessReview.ReadWrite.All. Para obter mais informações, consulte a Visão geral das APIs de revisões de acesso e os tutoriais de como examinar membros de um grupo de segurança ou examinar convidados em grupos do Microsoft 365.

Você também pode criar uma revisão de acesso no PowerShell com o New-MgIdentityGovernanceAccessReviewDefinition cmdlet do módulo Microsoft Graph PowerShell para Governança de Identidade. Para obter mais informações, consulte os exemplos.

Quando uma revisão de acesso é iniciada

Depois que você especificar as configurações de uma revisão de acesso e criá-la, ela aparecerá na sua lista com um indicador de seu status.

Por padrão, o Microsoft Entra ID envia um email aos revisores logo após o início de uma revisão avulsa ou de uma recorrência de uma revisão recorrente. Se você optar pelo não envio do email pelo ID do Microsoft Entra, certifique-se de informar aos revisores que eles devem concluir uma análise de acesso pendente. Você pode mostrar a eles as instruções de como examinar o acesso a grupos ou aplicativos. Se a sua revisão for para que os convidados revisem seu próprio acesso, mostre a eles as instruções de como examinar o acesso por conta própria a grupos ou aplicativos.

Se você tiver atribuído convidados como revisores e eles não tiverem aceitado seu convite para o locatário, não receberão um email das revisões de acesso. Eles devem primeiro aceitar o convite antes que possam começar a revisar.

Atualizar a revisão de acesso

Depois que uma ou mais revisões de acesso tiverem começado, talvez você queira modificar ou atualizar as configurações de suas revisões de acesso existentes. Aqui estão alguns cenários comuns a considerar:

• Atualizar configurações ou revisores: Se uma revisão de acesso for recorrente, haverá configurações separadas em Atual e em Série. Atualizar as configurações ou revisores em Atual aplica apenas alterações à revisão de acesso atual. Ao atualizar as configurações em Série, as configurações para todas as recorrências futuras são atualizadas.

  

• Adicionar e remover revisores: Ao atualizar as revisões de acesso, você pode optar por adicionar um revisor de fallback além do revisor primário. Os revisores primários podem ser removidos quando você atualiza uma revisão de acesso. Os revisores de fallback não são removíveis, por padrão.

  Observação

  Os revisores de fallback só podem ser adicionados quando o tipo de revisor é um proprietário de gerente ou de grupo. Os revisores primários podem ser adicionados quando o tipo de revisor é o usuário selecionado.

• Lembre os revisores: Ao atualizar as revisões de acesso, você pode optar por habilitar a opção Lembretes nas configurações avançadas. Em seguida, os usuários recebem uma notificação por email no ponto médio do período de revisão, independentemente de terem concluído a revisão ou não.

  

Próximas etapas

• Concluir uma revisão de acesso de grupos ou aplicativos
• Criar uma revisão de acesso do PIM para Grupos (versão prévia)
• Examinar o acesso a grupos ou aplicativos
• Examinar o acesso por conta própria a grupos ou aplicativos
• Criar uma revisão de acesso do recurso do Azure e das funções do Microsoft Entra no PIM