Pontos principais
- Configure o PIM no Centro de administração do Entra: ative o PIM, atribua funções como Elegível, defina a duração da ativação, exija MFA e aprovação e delimite o escopo para um gerenciamento controlado de privilégios.
- Políticas de ativação de funções: defina exigências de MFA, justificativa e aprovação, a duração da ativação e as notificações, garantindo que todas as mudanças fiquem auditáveis nos logs do Entra.
- Integração com PowerShell para acesso JIT: use o Microsoft Graph ou o módulo PowerShell do Azure AD para automatizar atribuições de função por tempo determinado e integrá-las a fluxos de tickets ou solicitações de serviço.
- Aplicação local via Registro e GPO: configure Política de Grupo e Registro para impor o privilégio mínimo, negar acessos desnecessários e exigir prompts do UAC em tarefas elevadas.
- Práticas de auditoria e alertas: use logs de auditoria e ferramentas de SIEM para monitorar ativações de função, detectar uso suspeito de privilégios e alertar sobre atividade JIT fora do padrão ou tentativas de MFA malsucedidas.
O acesso administrativo Just-in-Time (JIT) no Azure AD permite conceder privilégios elevados para tarefas administrativas por tempo limitado. Isso é útil para equipes internas de TI e MSPs, porque reduz o risco de contas com privilégios excessivos serem usadas em ataques cibernéticos.
Este guia explica o acesso administrativo JIT no Azure e mostra como implementar acesso administrativo por tempo determinado com o Microsoft Entra ID Privileged Identity Management (PIM), usando o Centro de administração do Entra, o PowerShell e o Registro ou a Política de Grupo para aplicação das regras.
Principais objetivos do acesso JIT no Azure
O acesso administrativo permanente, ou seja, contas de usuário com privilégios administrativos fixos, é um vetor frequente de ataque. Reduzir o número dessas contas diminui a superfície de ataque, já que menos credenciais podem vazar e menos sessões podem ser sequestradas, o que deixa a infraestrutura de TI mais segura e em conformidade.
A elevação por tempo limitado protege contra esse risco: concede privilégios administrativos somente após aprovação e autenticação multifator. Terminada a tarefa, os privilégios administrativos expiram, de modo que a conta não pode ser usada em ataques nem em qualquer outra atividade administrativa não autorizada.
Ao configurar o acesso JIT no Azure com o Microsoft Entra Privileged Identity Management, os objetivos devem incluir: reduzir ao mínimo os direitos administrativos permanentes, exigir justificativa e aprovação por MFA antes da elevação, auditar toda a atividade administrativa e revogar os direitos administrativos automaticamente. O acesso JIT também deve andar junto com outras boas práticas de segurança, como acesso condicional e alertas.
Pré-requisitos para usar o Microsoft Entra ID Privileged Identity Management
Para usar o PIM, são necessários:
- Uma licença Azure AD Premium P2 (obrigatória para o PIM)
- Direitos de Administrador Global ou Administrador de Função com Privilégios para configurar o PIM
- Centro de administração do Microsoft Entra ID ou PowerShell para a configuração
- Opcionalmente, uma plataforma SIEM ou RMM para monitoramento, alertas e distribuição de configurações
- Endpoints Windows registrados no Intune ou monitorados por RMM para aplicação de políticas
Como ativar o PIM e atribuir funções elegíveis no Centro de administração do Microsoft Entra ID
Para começar, ative o PIM e atribua funções no Centro de administração do Microsoft Entra ID:
- Acesse o Centro de administração do Microsoft Entra.
- Vá até Governança de Identidade > Privileged Identity Management.
- Selecione as funções do Microsoft Entra.
- Escolha uma função (por exemplo, Administrador Global ou Administrador do Exchange).
- Clique em Adicionar atribuições.
- Defina o usuário como “Elegível” para privilégios por tempo limitado.
- Defina o escopo (por exemplo, todo o tenant ou um recurso específico).
- Configure as definições da função separadamente para determinar a duração da ativação (por exemplo, de 1 a 24 horas).
- Ative Exigir aprovação e Exigir MFA conforme necessário nas configurações de ativação.
Os usuários precisam ativar as funções explicitamente, e o acesso expira automaticamente. O recomendado é exigir aprovação e MFA para obter a melhor segurança.
Configuração das políticas de ativação de funções
No PIM, dá para configurar as políticas que governam a ativação das funções. Elas incluem:
- Se o MFA é obrigatório
- Se a justificativa é obrigatória
- Se a aprovação é obrigatória (também é possível especificar quais usuários podem aprovar)
- Duração da ativação (por exemplo, de 1 a 8 horas)
- Configurações de notificação
Essas opções ficam no Centro de administração do Entra: selecione uma função e vá até Configurações > Configurações da função
Exigir números de ticket ou IDs de chamado como campos de justificativa é uma prática comum. Todas as mudanças de configuração podem ser auditadas nos logs do Entra.
Como usar o PowerShell para gerenciar atribuições JIT
Também é possível usar o Microsoft Graph ou o módulo PowerShell do Azure AD para atribuir funções de forma programática, o que é ideal para integrar com solicitações de serviço ou fluxos automatizados de tickets que concedem acesso com escopo definido.
- Para isso, conecte-se ao Microsoft Graph com o comando:
Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"
- Depois, liste as funções e os IDs das funções:
Get-MgRoleManagementDirectoryRoleDefinition
- Para criar uma atribuição de função por tempo determinado para um usuário, execute:
$params = @{
Action = "adminAssign"
PrincipalId = $userId
RoleDefinitionId = $roleId
DirectoryScopeId = "/"
Justification = "Granting temporary access"
ScheduleInfo = @{
StartDateTime = (Get-Date).ToUniversalTime().ToString("yyyy-MM-ddTHH:mm:ssZ")
Expiration = @{
Type = "AfterDuration"
Duration = "PT4H" # ISO 8601 format for 4 hours
}
}
}
New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params
- Ative a função manualmente pelo portal do Microsoft Entra (opcional).
Registro e Política de Grupo para alinhar as políticas locais
Embora o JIT seja baseado na nuvem, os sistemas locais também devem ser configurados com privilégio mínimo e auditoria ativa.
Por exemplo, use o objeto de Política de Grupo (GPO) em Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas Locais > Atribuição de Direitos de Usuário para Negar acesso a este computador pela rede a usuários ou grupos específicos. Essa configuração impede que essas contas usem o direito de logon pela rede, mas não bloqueia todas as formas de conexão remota.
O Registro do Windows também serve para aplicar padrões mais rígidos ao comportamento de elevação, como exigir prompts do UAC. Por exemplo:
- EnableLUA = 1 garante que o Controle de Conta de Usuário (UAC) esteja ativado.
- ConsentPromptBehaviorAdmin = 1 configura o UAC para que administradores no modo de Aprovação de Administrador recebam uma solicitação de consentimento ao executar operações que exigem elevação. Isso não significa que toda ação administrativa gerará um prompt: a regra vale especificamente para cenários de elevação.
Essas configurações fortalecem a postura de segurança local. Mesmo assim, não aplicam MFA diretamente nem impedem que o MFA seja contornado. A aplicação do MFA deve sempre ser gerenciada por plataformas como o Microsoft Entra ID.
Auditoria e alertas da atividade JIT
Use logs de auditoria para acompanhar a ativação de funções e o comportamento de acesso.
Veja um exemplo de consulta em PowerShell para recuperar entradas do log de auditoria:
Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations "Add member to role" | Select-Object CreationDate, UserIds, Operations, AuditData
Nos logs de auditoria do Microsoft Entra, filtre pelas operações “Add member to role” e “Update role assignment” para acompanhar os eventos de ativação. Se você também monitora o Active Directory local, os IDs de evento 4670 e 4688 ajudam por lá. Mas eles não registram as ativações de funções do PIM no Entra ID, que são na nuvem.
Em seguida, envie esses logs para o RMM ou o SIEM para alertas e relatórios.
Use análise de logs ou SIEM para alertar sobre ativações frequentes, elevação de função fora do horário esperado e solicitações de elevação repetidas ou malsucedidas.
Outros pontos de atenção no JIT e no PIM
Ao configurar o acesso JIT do Azure no PIM, pense também nos fluxos de trabalho e nas funções dos usuários: escolha com cuidado quem pode aprovar solicitações de elevação, garantindo que essas pessoas entendam as implicações de cada pedido. Crie funções personalizadas com escopos restritos, evite contas de administrador global e siga o princípio do privilégio mínimo.
Revise as funções com regularidade e remova as que não são mais necessárias. Essa limpeza de funções e atribuições deve fazer parte dos procedimentos de onboarding e desligamento de funcionários.
Solução de problemas do acesso Just-in-Time no Azure
Se a sua implementação de JIT no Azure não estiver funcionando como esperado, verifique estes pontos:
- A função não pode ser atribuída: confirme se o usuário já não está ativo ou atribuído por meio de um grupo
- Ativação negada: verifique se falta MFA ou o campo de justificativa
- Erros da API do Graph: confirme as permissões e o escopo exigidos na solicitação do token
- Usuários locais conseguem contornar as restrições: verifique se as restrições de GPO e de registro estão aplicadas para impedir a elevação por contas de administrador local
NinjaOne RMM amplia a visibilidade e o controle sobre toda a infraestrutura de TI e os endpoints
O Microsoft Entra ID Privileged Identity Management oferece uma solução completa de elevação administrativa JIT aplicada no nível da nuvem. Dá para ampliar essa segurança com o NinjaOne RMM, que reúne em um só lugar a visão completa de dispositivos, serviços e atividade dos usuários, além de automatizar a distribuição de configurações em todos os dispositivos.
A plataforma de MSP e UEM da NinjaOne traz recursos para executar scripts, aplicar políticas de registro ou GPO e monitorar arquivos de log e eventos do Windows, com capacidade total de auditoria (inclusive de escalonamentos de privilégio). Também inclui relatórios e registro de conformidade, o que permite correlacionar a ativação do PIM com a atividade nos endpoints e confirmar que cada escalonamento administrativo é autorizado e usado com responsabilidade.
NinjaOne ainda conta com ferramentas de automação que desativam contas de usuário diante de atividade suspeita, isolam sistemas afetados, escalam tickets para a pessoa responsável ou executam scripts de remediação, ampliando muito a capacidade de automatizar a resposta a incidentes de segurança.
