Pontos principais
- Use o Acesso Condicional do Microsoft Entra para aplicar controles de acesso com base em risco e localização. Exija MFA, conformidade do dispositivo ou bloqueie o acesso conforme as condições definidas.
- Defina locais e faixas de IP confiáveis antes de aplicar políticas baseadas em localização. Use locais nomeados para restringir o acesso a partir de países ou redes não aprovados.
- Crie políticas separadas para risco do usuário e risco de entrada. Defina limites adequados e exija MFA, correção, troca de senha ou bloqueio de acesso.
- Combine condições de risco e localização para uma proteção mais forte. Por exemplo, exija verificação adicional em entradas de risco a partir de locais não confiáveis.
- Teste as políticas no modo Somente relatório antes de aplicá-las. Revise a atividade de entrada e ajuste limites de risco, locais e exclusões conforme a necessidade.
- Evite bloqueios acidentais com contas de emergência e exclusões direcionadas. Mantenha essas contas fora das políticas aplicáveis e monitore-as de perto.
As políticas de acesso condicional são um pilar da segurança de TI moderna. Elas permitem que administradores de TI automatizem decisões e apliquem controles de acesso com base em condições em tempo real, como comportamento do usuário, risco de entrada, conformidade do dispositivo e localização geográfica. Este guia mostra especificamente como usar o Microsoft Entra ID (antigo Azure AD) para aplicar acesso condicional com base em risco e localização.
Para uma explicação em vídeo sobre o tema, assista a Como aplicar políticas de acesso condicional com base em risco e localização.
Como aplicar políticas de acesso condicional com base em risco e localização
Esta seção apresenta quatro métodos que permitem criar e aplicar diretamente o acesso condicional baseado em localização e em risco.
Pré-requisitos: os métodos a seguir exigem:
- Microsoft Entra ID P1 (para acesso condicional básico) ou P2 (para condições baseadas em risco)
- Privilégios de Administrador Global ou Administrador de Segurança
- Dispositivos ingressados no Azure AD ou com ingresso híbrido
- Marcação de IP com reconhecimento de localização configurada no Entra ID
Dica: embora opcional, a integração com o Microsoft Defender for Identity ajuda bastante a enriquecer os sinais.
Estratégias de implantação recomendadas:
| Escolha um método | Melhor para usuários individuais | Melhor para empresas |
| Método 1: configurar o acesso condicional no centro de administração do Microsoft Entra | ✓ | |
| Método 2: definir locais nomeados no centro de administração do Microsoft Entra | ✓ | |
| Método 3: criar políticas baseadas em risco no centro de administração do Microsoft Entra | ✓ | |
| Método 4: PowerShell | ✓ |
Método 1: configurar políticas de acesso condicional no centro de administração do Microsoft Entra
Configurar o acesso condicional pelo centro de administração do Microsoft Entra é simples e usa uma interface gráfica. Esse método não se limita ao acesso condicional baseado em risco e em localização.
Casos de uso: gerenciamento e teste de políticas padrão
Pré-requisitos: este método exige o Microsoft Entra ID P1.
Para criar uma política de acesso condicional:
- Acesse o centro de administração do Microsoft Entra.
- Vá para Entra ID > Acesso Condicional > Políticas.
- Clique em + Nova política.
- Defina o seguinte:
- Atribuições:
- Usuários ou grupos
- Aplicativos ou ações na nuvem
- Condições > Locais: inclua ou exclua locais nomeados (por exemplo, países ou faixas de IP)
- Condições > Risco de entrada ou Risco do usuário: defina o nível como Baixo, Médio ou Alto
- Controles de acesso:
- Bloquear acesso
- Exigir MFA
- Exigir dispositivo em conformidade
- Atribuições:
Importante: ao definir as atribuições, principalmente Locais e Risco de entrada ou Risco do usuário, confirme se a configuração está correta. Caso contrário, a política de acesso condicional pode não funcionar como esperado. Veja a seção Pontos de atenção para mais detalhes.
- Ative e crie a política.
Veja como NinjaOne se integra ao Microsoft Entra ID para ampliar a visibilidade da frota
Saiba mais sobre como NinjaOne funciona com o Microsoft Intune
Método 2: definir locais nomeados no centro de administração do Microsoft Entra
Com este método, administradores de TI podem liberar ou bloquear o acesso com base em geolocalização ou dados de IP.
Casos de uso: cercas geográficas de acesso e apoio à conformidade com requisitos de residência de dados
Para definir locais, siga estas etapas:
- Vá para Acesso Condicional > Locais nomeados.
- Clique em + Local de intervalos de IP.
- Dê um nome ao local (por exemplo, “Matriz corporativa”).
- Adicione as faixas de IP confiáveis. Como alternativa, crie uma política de local baseada em país.
- Use esses locais na condição Locais das políticas.
Dica: para isentar locais baseados em IP das avaliações de risco, marque-os como “Confiável”. Além disso, tenha cuidado ao nomear um local, adicionar uma faixa de IP confiável ou criar uma política de local baseada em país, porque configurações incorretas afetam o acesso condicional. Consulte a seção Pontos de atenção para mais detalhes.
Método 3: criar políticas de acesso condicional baseadas em risco no centro de administração do Microsoft Entra
O acesso condicional baseado em risco ajuda a proteger identidades sob ataque ou credenciais comprometidas. Também pode ser combinado com políticas de acesso condicional mais amplas, como localização, para dar ao ambiente uma proteção mais forte contra ciberataques comuns.
Caso de uso: aplicar políticas com base no risco do usuário ou de entrada
Pré-requisitos: este método exige o Microsoft Entra ID P2 ou o Microsoft Entra Suite para permitir configurações baseadas em risco.
Importante: a Microsoft desativou as antigas políticas de Risco do usuário e Risco de entrada no Microsoft Entra ID Protection em 1º de outubro de 2026. Agora, as políticas de acesso baseadas em risco devem ser configuradas pelo Acesso Condicional.
Para usar este método:
- Vá para Entra ID > Acesso Condicional > Políticas no centro de administração do Microsoft Entra.
- Selecione Nova política e dê um nome descritivo a ela.
- Em Atribuições, selecione os usuários ou grupos aos quais a política se aplica. Exclua contas de acesso de emergência quando fizer sentido.
- Em Recursos de destino, selecione os aplicativos ou recursos na nuvem que a política vai proteger.
- Em Condições, selecione Risco do usuário ou Risco de entrada e configure o nível de risco que aciona a política como Médio ou superior.
Dica: um limite de risco agressivo demais pode prejudicar a operação. Veja a seção Pontos de atenção para mais detalhes.
- Em Controles de acesso, selecione a resposta adequada. Dependendo do cenário, pode exigir a correção do risco, troca de senha, autenticação multifator ou bloqueio de acesso.
- Para incluir a localização na decisão, configure a condição Rede/Local na mesma política de Acesso Condicional ou em outra separada.
- Teste a política no modo Somente relatório antes de aplicá-la. Revise a atividade de entrada resultante e ajuste a política conforme a necessidade.
- Crie políticas separadas para risco do usuário e risco de entrada, em vez de reunir tudo em uma única política.
Método 4: PowerShell
O PowerShell é especialmente útil para automação em ambientes de TI grandes. Aqui, ele serve para automatizar a criação e o gerenciamento das políticas de acesso condicional.
Caso de uso: automação, scripts entre ambientes e integração com CI/CD
Pré-requisitos: se for usar o PowerShell, também vai precisar do Microsoft Graph PowerShell SDK para criar uma política de acesso condicional baseada em localização.
Siga estas etapas:
- Abra o PowerShell como administrador.
- Crie uma política de acesso condicional com o Microsoft Graph. Para isso, conecte-se ao Graph PowerShell com este comando:
Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess"
- Em seguida, execute este comando para criar a política de acesso condicional:
New-MgConditionalAccessPolicy -DisplayName "Block risky sign-ins outside HQ" `
-Conditions @{ SignInRiskLevels = @("high"); Locations = @{IncludeLocations = @("AllTrustedLocations")} } `
-GrantControls @{ Operator = "OR"; BuiltInControls = @("block") } `
-State "Enabled"
- Use este comando para gerenciar locais nomeados:
Get-MgIdentityConditionalAccessNamedLocation
Pontos de atenção
| Riscos | Possíveis consequências | Como reverter |
| Definição incorreta de Local (Método 1) | Usuários legítimos podem ser bloqueados por classificação geográfica equivocada. | Remova ou atualize os locais nomeados; desative a política com a conta de emergência. |
| Níveis de risco baixos demais ao definir Risco de entrada ou Risco do usuário de forma incorreta (Método 1) | Excesso de falsos positivos e bloqueios frequentes de usuários | Ajuste os limites da política e acompanhe pelos logs de entrada. |
| Erros de digitação ou sub-rede de IP errada ao definir o local (Método 2) | Escritório inteiro ou serviço bloqueado | Edite a faixa de IP no centro de administração e marque-a como “Confiável” quando couber. |
| Imprecisões de geolocalização por IP ou VPN mascarando locais na criação de políticas por país (Método 2) | Usuários bloqueados mesmo estando em locais permitidos | Marque apenas os países confiáveis e combine com outras condições, como conformidade do dispositivo, quando aplicável. |
| Limites de nível de risco agressivos demais, ou seja, bloqueio em risco médio a baixo (Método 3) | Entradas legítimas sinalizadas como arriscadas por falsos positivos | Reconfigure os limites de nível de risco para Médio a Alto. |
Métodos de apoio que reforçam a conformidade e a aplicação das políticas de Acesso Condicional
Os quatro primeiros métodos da seção anterior tratam da aplicação ou configuração direta das políticas. Já os três métodos desta seção são complementares: não aplicam políticas baseadas em risco ou geolocalização, mas ajudam a garantir conformidade e aplicação correta.
Aplicar restrições de IP ou pré-requisitos de MFA com o Editor de Política de Grupo Local
O Editor de Política de Grupo serve para preparar os endpoints para atender às condições de acesso condicional, principalmente em ambientes híbridos.
- Abra o Editor de Política de Grupo.
- Vá para Configuração do Computador > Modelos Administrativos > Componentes do Windows > Windows Hello para Empresas
- Ative o seguinte:
- Usar biometria
- Configurar MFA como pré-requisito
- Aplique à UO com políticas de Acesso Condicional que exigem dispositivos em conformidade ou MFA.
Configurar pré-requisitos de conformidade de dispositivo com o Editor do Registro
O Editor do Registro pode servir como método complementar para apoiar a conformidade de dispositivos no Intune.
Aviso: alterar o registro pode causar problemas no sistema. Faça um backup antes de continuar.
- Abra o Editor do Registro.
- Vá para HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\DeviceCompliance.
- Configure os seguintes valores:
- RequireEncryption (DWORD): 1
- FirewallEnabled (DWORD): 1
- AntivirusEnabled (DWORD): 1
Depois de configurado, esse método garante que o dispositivo atual seja marcado como em conformidade no Intune e atenda aos requisitos de acesso condicional.
Verificar o contexto de acesso pelo Prompt de Comando
O Prompt de Comando ajuda a obter mais contexto sobre localização ou conformidade. Para isso, abra o Prompt de Comando como administrador e execute os comandos abaixo:
- Para verificar o endereço IP: ipconfig
- Para resolver o IP público atual: nslookup myip.opendns.com resolver1.opendns.com
- Para validar o estado de ingresso: dsregcmd /status
As informações coletadas aqui ajudam a validar por que as regras de acesso condicional foram ou não acionadas.
Boas práticas para aplicar políticas de acesso condicional no Azure AD
Veja outras boas práticas para tornar a aplicação das políticas de acesso condicional mais eficiente e eficaz:
Use o modo Somente relatório
Teste as políticas no modo somente relatório antes de aplicá-las, para evitar conflitos. Como regra, também vale revisar as políticas de acesso condicional já existentes para garantir a conformidade.
Escopo das políticas
Use exclusões para IPs internos ou contas de serviço. Isso evita restrições excessivas e mantém a produtividade sem comprometer a segurança. Marcar os IPs adequados como “Confiável” também faz parte da definição de escopo.
Tenha “contas de emergência”
Contas de emergência (break glass) são contas administrativas especiais que não ficam sujeitas às políticas de acesso condicional. Elas são essenciais em caso de falha, disparo indevido ou bloqueio do acesso condicional. Mesmo sem restrições, essas contas precisam de monitoramento e proteção rigorosos para evitar vazamentos de dados e ciberataques.
Monitore a conformidade dos dispositivos em tempo real e resolva os problemas antes que acionem um bloqueio de acesso condicional
Serviços NinjaOne que melhoram os fluxos de acesso condicional por localização e risco no Azure
NinjaOne melhora os fluxos de acesso condicional sem aumentar a complexidade das políticas, por meio de seus serviços. Entre eles, estão:
| Serviço NinjaOne | O que faz? | Como ajuda no fluxo de acesso condicional? |
| Alertas em tempo real | Avisam os administradores sobre tentativas de entrada de locais não confiáveis ou com risco elevado. | Os alertas em tempo real permitem que administradores de TI respondam rápido, principalmente em violações de acesso condicional e outras atividades suspeitas. |
| Monitoramento do estado dos dispositivos | Sinaliza dispositivos que saem da conformidade exigida pelas políticas de acesso condicional | Administradores de TI acompanham e garantem a conformidade dos dispositivos com facilidade, mantendo a segurança da organização por meio de políticas que exigem “dispositivo em conformidade” para liberar o acesso. |
| Correção automatizada | Executa scripts para colocar os dispositivos em conformidade (por exemplo, ativar o BitLocker ou o firewall). | A correção automatizada reduz o trabalho manual ao colocar os dispositivos em conformidade com o acesso condicional automaticamente. |
| Relatórios personalizados | Permitem que administradores exportem informações relevantes, como dados de eventos de acesso condicional, trilhas de auditoria e geolocalização. | Administradores de TI acessam dados claros, completos e relevantes sobre a atividade de Acesso Condicional para apoiar auditorias e o refinamento das políticas. |
| Implantação de registro e políticas | Envia configurações de apoio ao acesso condicional por registro ou GPO para os dispositivos clientes | Prepara os dispositivos para atender a pré-requisitos de acesso condicional, como MFA, criptografia ou firewall, com configuração automatizada |
Fortaleça sua postura de segurança com políticas de Acesso Condicional por localização e risco
As políticas de acesso condicional dão controle granular sobre como e quando os usuários acessam os dados da organização, com base em risco e localização. Este guia passo a passo cobre métodos que usam o centro de administração do Microsoft Entra e o PowerShell, além de métodos complementares com o Editor de Política de Grupo, o Editor do Registro e o Prompt de Comando, para uma visão completa da criação e aplicação dessas políticas.
Temas relacionados:
- Como configurar políticas de acesso condicional no Azure AD
- Entendendo e implementando o Azure RBAC
- Guia do provedor de serviços gerenciados para protocolos de acesso remoto
- Como testar o acesso condicional para usuários privilegiados com segurança e sem bloqueios
- (Guia em vídeo) Como testar o acesso condicional para usuários privilegiados com segurança e sem bloqueios
