O nosso acesso ao seu ambiente Microsoft 365 e Azure segue o modelo de menor privilégio recomendado pela Microsoft. Nunca criamos contas locais no seu tenant nem mantemos ativas de forma permanente funções de Global Administrator ou outras permissões privilegiadas. Os nossos técnicos trabalham a partir do nosso próprio managing tenant com as suas próprias identidades e elevam o acesso apenas quando uma tarefa o exige.
Princípios fundamentais
- Sem contas de administrador permanentes no seu tenant. Usamos acesso delegado a partir do nosso managing tenant, não contas de Global Admin abertas no seu ambiente.
- Menor privilégio. Mantemos apenas as funções que uma tarefa realmente precisa, com o âmbito mais restrito possível.
- Acesso just-in-time com PIM. As funções privilegiadas são ativadas a pedido por tempo limitado, com MFA e aprovação, e expiram automaticamente. Sem acesso permanente.
- Identidade resistente a phishing do nosso lado. A nossa equipa inicia sessão com MFA e métodos resistentes a phishing.
- Auditabilidade total. Cada ação fica associada a um técnico concreto e registada no seu tenant.
Microsoft 365 — como nos ligamos
- GDAP (Granular Delegated Admin Privileges): um Global Administrator do seu tenant aprova uma relação que concede ao nosso managing tenant um conjunto específico de funções do Microsoft Entra com privilégios mínimos durante um período limitado. Substituiu o antigo e amplo modelo DAP. Iniciamos sessão com as nossas próprias identidades, nunca com uma conta local no seu tenant.
- Microsoft 365 Lighthouse: para a gestão em escala entre tenants (utilizadores, dispositivos, linhas de base de segurança, visão de ameaças), construído sobre o GDAP.
- PIM para as funções delegadas: podemos tornar o próprio acesso GDAP just-in-time através do PIM for Groups, de modo que até as funções de administração delegadas só estão ativas quando um técnico as ativa.
O Microsoft 365 Lighthouse é uma visão geral entre tenants, não um substituto dos centros de administração. Os serviços configurados no Microsoft 365 admin center e nos centros de administração especializados (Exchange, SharePoint, Teams, Microsoft Purview e outros) não podem ser geridos dentro do Lighthouse. Para esse trabalho acedemos diretamente ao centro de administração correspondente através do GDAP, igualmente com acesso delegado de menor privilégio e sem conta local.
Azure — como nos ligamos
- Azure Lighthouse (gestão delegada de recursos): implementa um pequeno modelo ARM que delega um âmbito escolhido, uma subscrição ou um grupo de recursos, ao nosso managing tenant com funções específicas de Azure RBAC. Gerimos os seus recursos a partir do nosso tenant, sem contas de convidado ou locais no seu diretório.
- RBAC de menor privilégio: recebemos apenas as funções incorporadas que o trabalho exige, no âmbito exato que delega.
- Just-in-time com PIM (eligible authorizations): as funções privilegiadas do Azure são elegíveis, não permanentes. Um técnico ativa uma função por tempo limitado (até oito horas), com MFA e aprovação opcional, após o que expira.
O controlo é seu
Mantém a propriedade e a visibilidade total de ambos os ambientes. Pode ver cada delegação, rever exatamente que funções são concedidas e revogar o nosso acesso a qualquer momento. O acesso é de menor privilégio, limitado no tempo e revogável, sem contas de administrador ocultas e sem nada privilegiado que fique ativo quando não está a ser usado.