Pontos principais
- A Microsoft substituiu o DAP pelo GDAP, que dá aos MSPs acesso de menor privilégio e com prazo definido, aprovado pelo cliente e alinhado aos princípios de confiança zero.
- Use o Microsoft 365 Lighthouse para centralizar o gerenciamento do GDAP entre tenants e reduzir trabalho manual.
- Atribua funções internas do Entra a grupos de segurança para aplicar o controle de acesso baseado em função (RBAC) de menor privilégio e evitar o uso desnecessário de contas de Administrador Global.
- Implante modelos de GDAP com políticas de expiração para padronizar a duração dos acessos e reduzir sessões elevadas de longa duração.
- Automatize o acompanhamento e a governança com a API do Microsoft Graph, PowerShell ou ferramentas de RMM integradas para manter visibilidade e conformidade.
- Faça auditorias periódicas do acesso GDAP nas reuniões trimestrais de negócios (QBRs) para remover privilégios obsoletos e confirmar a relevância das funções.
Este guia mostra como montar um modelo de acesso delegado limpo para o gerenciamento de tenants de clientes. Configurar privilégios administrativos delegados granulares (GDAP) no Microsoft 365 é indispensável para equipes de TI e provedores de serviços gerenciados (MSPs) que administram vários tenants. O GDAP reduz os riscos dos antigos privilégios administrativos delegados (DAP) ao eliminar o acesso irrestrito de Administrador Global aos tenants dos clientes e adotar, no lugar dele, o acesso de menor privilégio, alinhado às melhores práticas de confiança zero.
Mantenha o acompanhamento de segurança em tempo real e a visibilidade administrativa em todos os tenants gerenciados.
Qual é a diferença entre DAP e GDAP?
O DAP dava aos parceiros acesso de nível Administrador Global ao tenant do cliente, sem data de expiração — um problema claro de cibersegurança. A Microsoft o substituiu pelo GDAP, que concede ao parceiro funções específicas do Microsoft Entra por um período fixo, mediante aprovação do cliente.
| Atributo | DAP | GDAP |
| Escopo de acesso | Acesso de nível Administrador Global ao tenant do cliente | Funções específicas do Microsoft Entra, definidas por relação com cada cliente |
| Duração | Sem expiração | Até dois anos, com extensão automática opcional de 180 dias |
| Aprovação do cliente | Não é por função | O cliente aprova cada solicitação e suas funções |
| Quem recebe acesso | Usuários do parceiro no grupo Agentes de administração | Usuários do parceiro em grupos de segurança mapeados para funções aprovadas |
| Controle de expiração | Não se aplica | Análise de relações GDAP e página de relações granulares a expirar no Partner Center |
| Disponibilidade | Indisponível em novas relações de revenda desde 10 de outubro de 2023 | Padrão para novos clientes |
Pré-requisitos para parceiros Microsoft que migram do DAP para o GDAP
Para começar a usar o GDAP nos tenants Microsoft 365 dos clientes, é preciso ter:
- uma relação de provedor de soluções na nuvem (CSP) com cada cliente, como revendedor indireto, provedor indireto ou parceiro de cobrança direta
- a função Agente de administração no Partner Center, necessária para criar solicitações de relação GDAP
- um grupo de segurança no seu tenant do Microsoft Entra para cada nível de técnico ou carga de trabalho
- conhecimento prático das funções do Microsoft Entra ID (antigo Azure AD) e do Acesso Condicional, inclusive de como excluir usuários do provedor de serviços das políticas que bloqueiam acesso externo
- Opcional: Microsoft 365 Lighthouse para modelos de GDAP e gerenciamento multi-tenant
- Opcional: uma licença Microsoft Entra ID P2 para criar políticas de acesso just-in-time no Lighthouse
- Opcional: PowerShell e/ou acesso à API do Microsoft Graph para automação
Uma relação GDAP ou DAP é pré-requisito para concluir o onboarding de um cliente no Lighthouse, então crie primeiro a relação GDAP. Depois disso, o Lighthouse pode configurar modelos de GDAP, mas também dá para criar relações no Partner Center ou pelas APIs do Partner Center — caminho melhor quando é preciso criar muitas relações de uma vez.
O DAP ainda existe? Como migrar para o GDAP
A Microsoft deixou de oferecer DAP em novas relações de revenda em 10 de outubro de 2023 e hoje concede uma relação GDAP padrão quando o parceiro cria um novo cliente. A documentação do Partner Center ainda descreve a coexistência de DAP e GDAP durante a transição, com prevalência das permissões do GDAP, então alguns clientes ainda podem ter uma relação DAP.
Se um cliente ainda usa DAP, siga esta ordem para removê-lo:
- Crie uma relação GDAP para Microsoft 365 e para Azure.
- Atribua funções do Microsoft Entra aos grupos de segurança, tanto para Microsoft 365 quanto para Azure.
- Confirme que o GDAP prevalece e que os técnicos conseguem concluir o trabalho.
- Remova o DAP.
Siga a ordem à risca nos clientes com assinaturas do Azure. Se remover o DAP antes ou migrar apenas o Microsoft 365 para o GDAP, pode perder o acesso às assinaturas do Azure do cliente.
Como montar seu modelo de acesso GDAP
Um modelo de acesso delegado granular bem construído reduz a exposição a ameaças cibernéticas por apoiar os princípios de confiança zero e ainda demonstra maturidade operacional e cuidado com a segurança aos clientes.
Para montar um modelo de acesso GDAP:
- Defina as tarefas executadas para cada cliente e agrupe-as por nível de técnico ou carga de trabalho.
- Crie um grupo de segurança no seu tenant do Microsoft Entra para cada nível ou carga de trabalho.
- Escolha a função interna de menor privilégio para cada tarefa, usando a referência da Microsoft de funções de menor privilégio por tarefa.
- Envie uma solicitação de relação GDAP pelo Partner Center ou aplique um modelo de GDAP do Lighthouse, com nome claro para a relação e a menor duração compatível com o trabalho.
- Peça ao cliente que aprove a solicitação e, em seguida, atribua as funções aprovadas aos seus grupos de segurança.
- Adicione acesso just-in-time (JIT) para grupos de alto privilégio e ative a extensão automática apenas nas relações que não incluem Administrador Global.
- Acompanhe as datas de expiração com a análise de relações GDAP e revise o modelo a cada trimestre.
Aplique controles de confiança zero, conformidade de patches automatizada e detecção de ameaças em tempo real a partir de um único console.
Aplique controles de acesso baseados em função (RBAC)
O GDAP usa funções internas do Microsoft Entra, ou seja, a granularidade vem dos grupos de segurança, não de funções personalizadas. Crie um grupo de segurança para cada nível de técnico ou carga de trabalho (helpdesk, Intune ou Exchange, por exemplo) e mapeie cada grupo para as funções internas de menor privilégio daquele trabalho. A Microsoft publica a função de menor privilégio para cada tarefa administrativa, um bom ponto de partida para a sua linha de base.
A Microsoft também recomenda tirar os técnicos da função Agente de administração e deixá-los apenas nos grupos de segurança do GDAP, para que administrem os serviços sem gerenciar as assinaturas do cliente. Evite o Administrador Global sempre que possível e, quando a tarefa exigir, solicite-o como função com prazo definido.
Delegação com modelos e políticas de expiração
Defina de antemão quanto tempo as sessões delegadas devem durar e use os modelos de GDAP no Lighthouse para padronizar as configurações de acesso.
Uma relação GDAP pode durar até dois anos, e todas as funções de uma mesma relação compartilham a mesma data de expiração. Para dar durações diferentes a tarefas diferentes, crie relações GDAP separadas: uma curta para trabalhos de projeto e outra mais longa para as funções de suporte do dia a dia. Ative a extensão automática para renovar a relação em blocos de 180 dias até você desativá-la.
Ativar a extensão automática em uma relação ativa não exige novo consentimento do cliente, mas ela não está disponível em relações que incluam a função Administrador Global — mantenha essa função em uma relação própria e de curta duração. Uma solicitação que o cliente não responde expira em 90 dias.
Para funções de alto privilégio, adicione acesso JIT. O Lighthouse cria uma política de acesso JIT para um grupo de segurança, o que exige licença Microsoft Entra ID P2: assim, o técnico solicita a função só quando precisa e a mantém apenas durante a janela aprovada.
Automatize o acompanhamento e a governança
Mantenha supervisão sobre todas as solicitações e sessões de acesso delegado exportando esses dados para CSV com o Microsoft Graph ou o PowerShell. Com isso, dá para criar visões de painel com todos os tenants e funções delegadas, incluindo permissões e datas. Esses mesmos dados alimentam alertas automáticos, que avisam quando um vínculo GDAP está perto de expirar e precisa ser renovado.
Esse tipo de automação personalizada é possível com uma ferramenta de monitoramento e gerenciamento remoto (RMM) que se integra ao Microsoft 365 e oferece suporte a scripts personalizados, painéis e notificações.
Revise e audite seu modelo de acesso delegado com frequência
Revise o modelo de GDAP periodicamente e confirme, para cada função ou relação delegada:
- que a função e a relação continuam em uso
- que a função corresponde a um escopo de trabalho atual
- que tudo está registrado e revisado pelas partes interessadas
Relações sem uso ou desatualizadas devem ser removidas de forma proativa. A revisão da estratégia de GDAP pode entrar nas reuniões trimestrais de negócios (QBRs) do MSP com os clientes.
O papel do NinjaOne ao lado do GDAP
Proteger ambientes multi-tenant exige visibilidade total dos privilégios delegados e a garantia de que o acesso delegado não vire porta de entrada para ataques. O melhor caminho é usar permissões granulares e bem delimitadas, baseadas no princípio do menor privilégio e com prazo definido.
O GDAP controla quem pode administrar o tenant Microsoft 365 de um cliente. O NinjaOne RMM cobre o outro lado do gerenciamento de clientes: um único console para monitorar, aplicar patches e proteger os endpoints de cada ambiente. Juntos, o GDAP limita o acesso no nível do tenant às funções e aos prazos aprovados por cada cliente, enquanto a plataforma NinjaOne mantém o trabalho no nível dos dispositivos visível e consistente entre os clientes. NinjaOne também se integra ao CrowdStrike, responsável pela detecção de ameaças.
Com uma abordagem estruturada e criteriosa para o acesso delegado no Microsoft 365, você sustenta e fortalece a confiança dos clientes e garante que as sessões administrativas sirvam apenas ao propósito previsto.
