Como automatizar a expiração do acesso temporário de contas de administrador no Microsoft 365

Gerenciar contas de administrador exige equilíbrio entre segurança e experiência do usuário. O acesso administrativo temporário no Entra, por exemplo, faz sentido apenas em certos segmentos ou fluxos de trabalho, nos quais privilégios de administrador nem sempre são necessários. Para colocar essa configuração em prática, confira este guia completo.

Métodos para automatizar o acesso temporário no Microsoft 365

Use a tabela para escolher e ir direto às etapas de ativação que preferir.

📌 Pré-requisitos:

• Microsoft Entra ID P2 ou Microsoft Entra Suite (exigido pelo PIM)
• PowerShell 7+ com o módulo Microsoft.Graph (Microsoft Graph PowerShell SDK)
• Permissões de administrador para atribuir funções de diretório
• [Opcional] GPO ou marcação no registro para registro local de status
• [Opcional] NinjaOne RMM para implantação de scripts, varredura do registro ou alertas

👉 Lembrete: algumas etapas podem variar conforme os padrões do sistema ou as configurações ativas.

💡 Dica: veja a seção Pontos de atenção para dicas sobre como lidar com riscos.

Método 1: usar o Microsoft Entra Privileged Identity Management (PIM)

Esse método é ideal para organizações com Entra ID P2/PIM que querem conceder acesso temporário com expiração automática.

1. Veja o script para atribuir uma função qualificada em vez de uma função ativa:

Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory","Directory.ReadWrite.All"

2. Em seguida, veja como obter o ID do usuário qualificado e o ID da função:

$user = Get-MgUser -UserPrincipalName "[email protected]"

$role =Get-MgRoleManagementDirectoryRoleDefinition | Where-Object {$_.DisplayName -eq "Global

Administrator"}

3. Se o usuário estiver inativo:

New-MgRoleManagementDirectoryRoleEligibilityScheduleRequest `

-PrincipalId $user.Id `

-RoleDefinitionId $roleDef.Id `

-DirectoryScopeId "/" `

-Action "AdminAssign" `

-ScheduleInfo @{startDateTime = (Get-Date); expiration =

@{type="AfterDuration"; duration="PT2H"}}

Assim, o usuário recebe acesso por apenas 2 horas, e ele expira automaticamente.

Método 2: automatizar a ativação e a expiração da função com script PowerShell

Scripts PowerShell são flexíveis e podem ser usados por meio de um RMM para implantação ou automação com um clique. Veja o script correspondente:

Start-MgRoleManagementDirectoryRoleAssignmentScheduleRequest `

-Action "SelfActivate" `

-PrincipalId $user.Id `

-RoleDefinitionId $role.Id `

-DirectoryScopeId "/" `

-ScheduleInfo @{

startDateTime = (Get-Date);

expiration = @{

type = "AfterDuration";

duration = "PT1H"

}

}

Uma solicitação de ativação será enviada com base na qualificação existente, o que leva o PIM a aplicar uma atribuição com prazo definido aos usuários qualificados. O script também encerra o acesso elevado depois da duração configurada.

Dicas para registrar e auditar solicitações de acesso administrativo temporário

As ações a seguir ajudam a aplicar e registrar privilégios elevados temporários.

Armazene o status do acesso administrativo no registro

Dá para acompanhar as chaves de registro relacionadas via PowerShell e verificar se a implantação deu certo. Execute o script abaixo com privilégios administrativos:

New-Item -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Force

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Name

"LastAdminGranted" -Value (Get-Date).ToString("u")

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\AdminAccessAudit" -Name

"ExpiresAt" -Value ((Get-Date).AddHours(1)).ToString("u")

💡 Dica: também é possível conferir os valores do registro com reg query HKLM\SOFTWARE\Org\AdminAccessAudit em um Prompt de Comando elevado.

Monitore ou revogue o acesso administrativo ativo via script

Para aplicação imediata, use o PowerShell para listar as atribuições ativas e removê-las após um período definido de acesso:

$assignments =

Get-MgRoleManagementDirectoryRoleAssignmentScheduleInstance

foreach ($a in $assignments) {

if ($a.StartDateTime -lt (Get-Date).AddHours(-1)) {

Remove-MgRoleManagementDirectoryRoleAssignmentScheduleInstance

-RoleAssignmentScheduleInstanceId $a.Id

}

}

Isso pode ser agendado no Agendador de Tarefas ou automatizado por uma política do NinjaOne.

Use a Política de Grupo para registro de eventos e aplicação

A Política de Grupo não automatiza diretamente a expiração do acesso temporário, mas serve para auditar e detectar solicitações e alterações de acesso.

Veja como ela complementa o PIM:

• Ativa auditoria detalhada de logon/logoff, uso de privilégios e gerenciamento de grupos de segurança.
• Implanta uma Tarefa Agendada que executa seu script de revogação ou monitoramento em intervalos definidos.
• Dispara scripts com base em IDs de evento (por exemplo, alteração no grupo de administradores locais) para correção ou registro imediatos.

Além disso, dá para limitar o logon interativo a usuários padrão e gerenciar a associação ao grupo Administradores local via GPO/Grupos Restritos.

⚠️ Pontos de atenção ao automatizar atribuições de perfil no Intune

Abaixo estão riscos comuns, suas possíveis consequências e formas práticas de reverter ou evitar problemas.

Como sempre acontece com políticas de acesso, vale testar e validar as configurações em um ambiente ou segmento controlado. A duração do acesso temporário também merece atenção, já que alguns fluxos de trabalho podem exigir prazos de expiração mais longos ou mais curtos.

Use NinjaOne para reforçar as políticas de acesso temporário

As políticas de acesso são decisivas para as operações de TI e do negócio. Por isso, a automação ajuda a criar fluxos de trabalho eficientes, reduzir atrasos e garantir trilhas auditáveis para gerenciamento de riscos e conformidade. NinjaOne facilita tudo isso e ainda permite:

• Implantar scripts para conceder ou revogar o acesso temporário a funções
• Ler chaves de registro para validar o acesso administrativo ao Windows
• Disparar alertas quando dispositivos estiverem com privilégios de administrador vencidos
• Registrar eventos de elevação de privilégios para revisões de auditoria
• Marcar endpoints por risco de exposição administrativa ou cobertura da política de escalonamento

Com o NinjaOne RMM®, MSPs aplicam políticas de acesso zero permanente com mais eficiência e consistência, sobretudo em ambientes em crescimento, por meio de automação, visibilidade e controle.

Boas práticas para automatizar a atribuição de perfis no Intune

O gerenciamento de credenciais exige uma abordagem em camadas para equilibrar segurança e flexibilidade entre todas as partes envolvidas. De um lado, o acesso elevado é importante para vários fluxos de trabalho de TI e de produção. De outro, o privilégio pode ser mal usado quando faltam políticas rígidas de implementação e controle. Nesse contexto, o acesso temporário funciona como uma proteção confiável: apoia tarefas críticas e reduz riscos.

Temas relacionados:

• Microsoft Azure: prós e contras do Active Directory
• O que é gerenciamento de credenciais? Definição e boas práticas