Como automatizar o provisionamento e o desprovisionamento de usuários com Entra ID (Azure AD) e SCIM

O provisionamento e o desprovisionamento de usuários formam um ciclo de vida contínuo: entrada → mudança → saída. Feito manualmente, esse processo não só consome tempo, como também gera atrasos, inconsistências e riscos de segurança. Automatizar tudo com o provisionamento de usuários do Microsoft Entra ID (Azure AD) via SCIM e com os Fluxos de trabalho do ciclo de vida do Entra ID Governance elimina esses riscos.

As organizações podem criar, atualizar ou desativar contas de usuário automaticamente no Microsoft 365, em aplicativos SaaS e em sistemas de negócio, com base em gatilhos do RH, associação a grupos ou mudanças de função. Com a automação ativa, você ganha:

• Criação e remoção de contas sem intervenção manual
• Atribuição automática de funções, grupos e licenças
• Desativação quase em tempo real no desligamento ou offboarding
• Logs de auditoria centralizados e visibilidade de conformidade
• Menos risco de contas órfãs em plataformas de terceiros

Este guia mostra como implementar provisionamento e desprovisionamento via SCIM no Microsoft Entra ID (antigo Azure AD), além do caminho sem código dos Fluxos de trabalho do ciclo de vida que a Microsoft agora recomenda para onboarding e offboarding conduzidos pelo RH, da configuração inicial ao monitoramento e aos controles de conformidade.

Clique para escolher um método	💻 Melhor para usuários individuais	💻💻💻 Melhor para empresas
Método 1: configurar um aplicativo empresarial com provisionamento SCIM no Entra ID		✓
Método 2: usar acesso baseado em grupos para provisionamento dinâmico		✓
Método 3: automatizar tarefas de provisionamento com PowerShell e Microsoft Graph	✓	✓
Método 4: automatizar onboarding e offboarding com os Fluxos de trabalho do ciclo de vida do Entra ID		✓
Método 5: usar CMD e GPO para controlar contas locais após o desprovisionamento na nuvem		✓
Método 6: controles de registro para aplicar o ciclo de vida das contas	✓	✓
Método 7: monitorar e auditar eventos de provisionamento		✓

🎥 O guia em vídeo mostra os seis métodos na tela: Como automatizar o provisionamento e o desprovisionamento de usuários com Entra ID (Azure AD) e SCIM.

Métodos para automatizar o provisionamento e o desprovisionamento de usuários com Entra ID e SCIM

Antes de partir para os métodos, confirme que os requisitos a seguir estão atendidos para evitar erros:

Pré-requisitos gerais:

• “Licença Microsoft Entra ID Premium (P1 ou P2).
• Acesso ao portal do Azure (função de Administrador Global ou Administrador de Identidade)
• Aplicativos SaaS compatíveis com SCIM 2.0 (por exemplo, Slack, Zoom, GitHub, Adobe, Salesforce)
• Endpoints de API ou tokens SCIM para integrações personalizadas
• Módulo do PowerShell: Microsoft.Graph

Opcional: integração com uma plataforma de RMM (por exemplo, NinjaOne) para gerenciar mudanças nos endpoints

Método 1: configurar um aplicativo empresarial com provisionamento SCIM no Microsoft Entra ID

Esse método usa o mecanismo de provisionamento do Entra ID para enviar os dados dos usuários aos aplicativos SaaS automaticamente via SCIM.

Casos de uso: use ao integrar o Entra ID a aplicativos SaaS como Zoom, Slack etc.

Passo a passo:

1. Abra o Centro de administração do Microsoft Entra > Microsoft Entra ID > Aplicativos Empresariais.
2. Clique em + Novo aplicativo e selecione o aplicativo compatível com SCIM que deseja (por exemplo, GitHub, Dropbox, ServiceNow); em seguida, clique em criar.
3. Vá até a guia Provisionamento no menu Gerenciar .
4. Defina o Modo de Provisionamento como Automático.
5. Informe a URL do ponto de extremidade SCIM e o Token Secreto (fornecidos pelo fornecedor do SaaS).
6. Clique em Autorizar na seção Credenciais de Administrador . Você será redirecionado à página de login do fornecedor do SaaS (por exemplo, Dropbox), onde precisa entrar com uma conta de administrador para conceder acesso ao Microsoft Entra.
7. Concluída a autorização, use Testar Conexão para confirmar a configuração.
8. Em Mapeamentos, defina as transformações de atributos (por exemplo, userName, emails. value, userPrincipalName).
9. Clique em Salvar e defina o Status do Provisionamento como Ativado.

Agora o Entra ID vai provisionar usuários automaticamente conforme a associação a grupos ou as mudanças no diretório.

Método 2: usar acesso baseado em grupos para provisionamento dinâmico

Esse método provisiona usuários nos aplicativos conforme a associação a grupos. Quando entram ou saem de um grupo, o acesso é concedido ou revogado automaticamente.

Casos de uso: use ao conceder acesso a aplicativos por departamento ou função (por exemplo, todas as pessoas do grupo Marketing recebem acesso ao Canva).

Pré-requisitos:

• Grupos de segurança ou do Microsoft 365 no Entra ID
• Aplicativo empresarial configurado para provisionamento

Passo a passo:

1. Crie ou identifique um Grupo de Segurança ou Grupo Dinâmico no Entra ID.
2. Atribua o grupo a um aplicativo empresarial conectado por SCIM em Aplicativo Empresarial > [Nome do aplicativo] > Usuários e grupos > Adicionar grupo..
3. Defina as regras de associação dinâmica (por exemplo, por departamento, cargo ou localidade).

(Leia o item 1 em Pontos de atenção.)

Exemplo de regra:

(user.department -eq "Sales") and (user.accountEnabled -eq true)

Usuários adicionados a esse grupo (por sincronização com o RH ou no onboarding) são provisionados automaticamente no aplicativo conectado, com as funções ou permissões mapeadas.

Método 3: automatizar tarefas de provisionamento com PowerShell e Microsoft Graph

Esse método usa scripts do PowerShell e a API do Microsoft Graph para gerenciar usuários e tarefas de provisionamento de forma programática.

Casos de uso: use no onboarding ou offboarding em massa, na integração com sistemas de RH ou quando precisar de uma lógica de provisionamento personalizada

Pré-requisitos:

• É preciso executar o PowerShell como administrador.
• Microsoft Graph PowerShell SDK

Passo a passo:

Execute os comandos a seguir:

1. Abra o PowerShell como administrador (leia o item 2 ⚠️ Pontos de atenção.)

Install-Module Microsoft.Graph -Scope CurrentUser Import-Module Microsoft.Graph.Groups

2. Conecte-se ao Microsoft Graph com escopos suficientes

Connect-MgGraph -Scopes "User.ReadWrite.All","Group.ReadWrite.All","GroupMember.ReadWrite.All"

3. Crie um usuário no Entra ID

New-MgUser ` -DisplayName "Jane Doe" ` -UserPrincipalName "[email protected]" ` -MailNickname "janedoe" ` $PasswordProfile = @{ Password = "<Generate-a-strong-temporary-password>" ForceChangePasswordNextSignIn = $true } ForceChangePasswordNextSignIn=$true } ` -AccountEnabled:$true

4. Adicione o usuário ao grupo de provisionamento:

# $GroupId = target group's object ID # $UserId = user's object ID $params = @{ "@odata.id" = "https://graph.microsoft.com/v1.0/directoryObjects/$UserId" } New-MgGroupMemberByRef -GroupId $GroupId -BodyParameter $params

5. Desative um usuário para desprovisionamento

Update-MgUser -UserId $UserId -BodyParameter @{ accountEnabled = $false }

6. Remova o usuário de todos os grupos de aplicativos

Get-MgUserMemberOfAsGroup -UserId $UserId -All | ForEach-Object { Remove-MgGroupMemberByRef -GroupId $_.Id -DirectoryObjectId $UserId }

Observações:

• Substitua os valores de exemplo (como Jane Doe, [email protected], $GroupId, $UserId e TempPass123!) pelos dados reais do seu tenant.
• Não é possível remover membros de grupos dinâmicos: a associação segue regras.
• Use scripts de RMM agendados ou acionados por evento para rodar isso durante o onboarding ou o offboarding.

Método 4: automatizar onboarding e offboarding com os Fluxos de trabalho do ciclo de vida do Entra ID

Nos métodos 1 a 3, é você quem cria e mantém a lógica da automação. Já os Fluxos de trabalho do ciclo de vida trazem modelos prontos, sem código, para os mesmos eventos de entrada, mudança e saída.

Caso de uso: use quando quiser onboarding e offboarding conduzidos pelo RH sem manter PowerShell ou Logic Apps personalizados.

Pré-requisitos:

• Licenciamento Microsoft Entra ID Governance ou Microsoft Entra Suite para os usuários cobertos pelos Fluxos de trabalho do ciclo de vida.
• Atributo employeeHireDate preenchido no Entra ID para que os fluxos de onboarding sejam acionados corretamente
• Em fluxos baseados em tempo, employeeHireDate e/ou employeeLeaveDateTime precisam estar preenchidos e sincronizados no Microsoft Entra ID.
• Atributos de gerente atribuídos às contas de usuário, caso os fluxos incluam notificações ou aprovações por gerente

Passo a passo:

1. Entre no centro de administração do Microsoft Entra em entra.microsoft.com.
2. No menu à esquerda, vá em Governança de Identidades > Fluxos de trabalho do ciclo de vida.
3. Confirme que o recurso está habilitado para a sua organização.
4. Clique em Criar fluxo de trabalho e escolha um modelo de onboarding ou offboarding (por exemplo, “Integrar funcionário pré-contratação” ou “Desligar funcionário”).
5. Defina a condição de gatilho (por exemplo, “2 dias antes da data de início” ou “no último dia do funcionário”).
6. Adicione tarefas ao fluxo, como gerar um passe de acesso temporário, enviar um e-mail de boas-vindas ou desativar a conta e remover as associações a grupos.
7. Revise o fluxo no Histórico de fluxos de trabalho e nos logs de auditoria antes de habilitá-lo em produção.

Método 5: usar CMD e GPO para controlar contas locais após o desprovisionamento na nuvem

Esse método garante que as contas locais do Windows sejam bloqueadas ou excluídas depois que o usuário é desprovisionado no Entra ID, evitando riscos de segurança.

Casos de uso: use quando tiver dispositivos com Ingresso Híbrido no Entra ID ou cogerenciados e quiser bloquear o acesso local após o desprovisionamento.

Pré-requisitos:

• Acesso à Política de Grupo
• Dispositivos ingressados no domínio ou híbridos

Instruções:

1. Desative os logons de domínio em cache após o desprovisionamento
   1. Pressione Win + S e digite cmd.
   2. Clique com o botão direito no Prompt de Comando e selecione Executar como administrador.
   3. Execute o comando a seguir:

rundll32 netplwiz.dll,ClearAutoLogon

2. Use a Política de Grupo para forçar logoff ou bloqueio de sessões após a desativação na nuvem (leia o item 3 ⚠️ Pontos de atenção.)
   1. Pressione Win + R, digite gpedit.msc e pressione Enter para abrir o Editor de Política de Grupo.

Observação: use gpmc.msc para o Console de Gerenciamento de Política de Grupo nos controladores de domínio.

1. 2. Vá até:

Configuração do Computador → Configurações do Windows → Configurações de Segurança → Políticas Locais → Opções de Segurança

1. 3. Localize e altere a configuração:

Logon interativo: número de logons anteriores a serem armazenados em cache

• • • Defina o valor como 0

3. Agende um script de desligamento ou bloqueio para usuários desprovisionados

1. 1. Pressione Win + S, digite cmd ou PowerShell e pressione Enter para abrir a ferramenta.
   2. Execute:

shutdown -l

Integre esses scripts ao RMM para alinhar o comportamento dos endpoints ao status no Azure.

Método 6: controles de registro para aplicar o ciclo de vida das contas

Esse método altera chaves do Registro do Windows para impor regras mais rígidas de sessão ou de remoção de contas.

Casos de uso: use quando quiser controle refinado em máquinas Windows (locais ou híbridas).

Pré-requisitos:

• Acesso de administrador ao Editor do Registro

Aviso: editar o registro pode causar problemas no sistema. Faça um backup antes de prosseguir.

Instruções: (leia o item 4 em Pontos de atenção.)

1. Bloqueie credenciais em cache persistentes

1. 1. Pressione Win + R, digite regedit e pressione Enter para abrir o Editor do Registro.
   2. Vá até:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

1. 3. Localize e clique duas vezes no valor CachedLogonsCount.

Se o valor ainda não existir, crie-o manualmente em Novo > Valor de Cadeia de Caracteres (REG_SZ).

1. 4. Defina o valor como 0.
   5. Feche o Editor do Registro.

2. Acompanhe o último logon bem-sucedido para detectar contas órfãs

1. 1. Pressione Win + R, digite regedit e pressione Enter para abrir o Editor do Registro.
   2. Vá até:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI

1. 3. Procure o valor:

LastLoggedOnUser

Use scripts de RMM para varrer os valores do registro e identificar contas inativas ou sem uso para correção.

Método 7: monitorar e auditar eventos de provisionamento

Casos de uso: use para acompanhar ações de provisionamento com foco em diagnóstico, segurança e conformidade.

Pré-requisitos:

• Entra ID Premium com licença do Exchange Online
• Log de Auditoria Unificado habilitado no Microsoft Purview

Instruções:

1. Use os logs de auditoria do Azure para revisar a atividade de provisionamento

1. 1. Abra o PowerShell.
   2. Instale e importe o módulo do Exchange Online

Install-Module ExchangeOnlineManagement -Scope CurrentUser Import-Module ExchangeOnlineManagement

1. 3. Conecte-se ao Microsoft Purview

Connect-ExchangeOnline Connect-IPPSSession

1. 4. Execute a busca no Log de Auditoria Unificado:

Search-UnifiedAuditLog -Operations "Add user", "Delete user", "Update user"

💡 Você pode adicionar filtros de data para delimitar o intervalo:

Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations "Add user","Delete user","Update user"

2. Configure alertas para anomalias de provisionamento no Azure

Use o Microsoft Sentinel ou o Microsoft 365 Defender para alertar sobre:

• • Criação excessiva de usuários
  • Mudanças não autorizadas na associação a grupos
  • Falhas nas chamadas de provisionamento SCIM

⚠️ Pontos de atenção

Riscos	Possíveis consequências	Como reverter
1. Desalinhamento na atribuição de grupos	Os usuários não são provisionados nem desprovisionados como esperado.	Ajuste as regras do grupo dinâmico ou atualize a associação manualmente em Grupos > [Nome do grupo] > Membros.
2. Executar o PowerShell sem privilégios elevados	Os comandos do PowerShell falham com erros de acesso.	Reabra o PowerShell como administrador.
3. Configuração incorreta de GPO	Usuários locais ainda conseguem entrar depois de desprovisionados.	Verifique as configurações no gpedit.msc ou no Console de Gerenciamento de Política de Grupo e teste em uma máquina de amostra.
4. Edições incorretas no registro	Pode causar problemas de logon ou instabilidade no sistema	Sempre faça backup do registro antes de alterar; desfaça com um arquivo .reg ou um ponto de restauração.

Considerações adicionais

Veja as principais considerações operacionais e de segurança sobre uma implantação baseada em SCIM com o Microsoft Entra ID:

Limitação de taxa do SCIM

As APIs SCIM têm limites de taxa definidos pelos fornecedores de SaaS. Esses limites controlam quantas operações de provisionamento podem ser processadas em um dado período.

Volumes altos podem acionar throttling ou rejeição de requisições, o que atrasa a sincronização.. Sempre confira os limites de taxa do SCIM do fornecedor e o comportamento sob carga.

Mapeamento de atributos

O Microsoft Entra ID envia atributos do usuário, como nome, e-mail e departamento, aos aplicativos de destino. Eles precisam corresponder ao esquema esperado pelo aplicativo; caso contrário, o provisionamento pode falhar silenciosamente ou gerar acessos mal configurados.

Use o recurso de mapeamento de atributos personalizado do Microsoft Entra ID para alinhar os campos ao esquema SCIM. Além disso, teste os mapeamentos em ambiente de homologação antes de ativar o provisionamento automático.

Atribuição de licenças

Alguns aplicativos exigem uma licença válida para o usuário antes de concluir o provisionamento. Use o licenciamento baseado em grupos do Microsoft Entra ID para automatizar essa atribuição.

Conectores SCIM personalizados

Para aplicativos sem suporte nativo a SCIM, você pode criar uma ponte com o Azure SCIM Gateway ou montar integrações personalizadas com Azure Logic Apps, Azure Functions ou Power Automate.

Segurança e conformidade

Contas inativas representam riscos sérios de segurança. Se o desprovisionamento atrasa, o usuário pode manter acesso a sistemas sensíveis. Para garantir a máxima segurança, use gatilhos automáticos de desprovisionamento e registre todos os eventos de acesso.

Solução de problemas

Veja como identificar e resolver os problemas mais comuns em implantações de provisionamento SCIM com o Microsoft Entra ID:

Atraso no provisionamento

O provisionamento via SCIM do Entra ID não é em tempo real. Os ciclos de sincronização costumam rodar a cada 20-40 minutos na maioria dos aplicativos empresariais, e podem ocorrer atrasos por throttling ou falhas nas chamadas de API. O que fazer:

1. Vá em Portal do Azure > Azure AD > Aplicativos Empresariais > [Seu aplicativo] > Provisionamento
2. Verifique:
   • Horário de início e término da última sincronização
   • Status da conexão SCIM
   • Logs de provisionamento (veja as causas das falhas, as novas tentativas e o status de quarentena).

Usuários não sincronizados

Se os usuários não aparecem no aplicativo de destino após o provisionamento:

• Confirme que estão atribuídos ao aplicativo:

Azure AD > Aplicativos Empresariais > [Aplicativo] > Usuários e grupos

• Verifique o mapeamento de atributos:

Azure AD > Aplicativo Empresarial > Provisionamento > Mapeamentos

Confirme que o grupo está no escopo do provisionamento.

Falha no desprovisionamento

Se os usuários continuam ativos no aplicativo após a remoção, veja o que fazer:

• Verifique se o token SCIM ainda é válido e tem permissão de exclusão.
• Alguns aplicativos desativam usuários definindo active=false em vez de excluí-los. Confira o esquema SCIM do aplicativo.
• Se necessário, remova o usuário manualmente ou chame a API do aplicativo diretamente.

Erros no PowerShell

As falhas no PowerShell costumam vir de permissões delegadas (escopos) ausentes no Microsoft Graph, tokens expirados, IDs de objeto incorretos ou funções insuficientes no Microsoft Entra ID. O que fazer:

• Conecte-se ao Microsoft Graph com os escopos corretos:

Connect-MgGraph -Scopes "User.ReadWrite.All", "Group.ReadWrite.All"

• Verifique seu contexto:

Get-MgContext

Valide os IDs de objeto antes de usá-los em operações do Graph.

Serviços NinjaOne

Enquanto o ciclo de vida do usuário é controlado no Entra ID e nas plataformas SaaS, NinjaOne reforça a conformidade e a aplicação de políticas nos endpoints durante o provisionamento e o desprovisionamento:

Serviços NinjaOne	Como NinjaOne complementa a automação de provisionamento com a aplicação de conformidade nos endpoints
Automação por scripts	Dispara a desativação, o bloqueio ou a limpeza da conta local quando uma conta do Microsoft Entra ID é desprovisionada.
Visibilidade dos endpoints	Detecta contas órfãs ou máquinas ainda conectadas com usuários inativos.
Aplicação de políticas	Envia GPOs ou chaves de registro alinhadas às políticas de acesso baseadas em SCIM.
Monitoramento de eventos	Alerta sobre tentativas de logon local por usuários desativados ou desconhecidos.
Logs e relatórios	Exporta logs prontos para auditoria das ações nos endpoints ligadas ao provisionamento.

Com NinjaOne, MSPs e equipes de TI garantem que a governança de identidade na nuvem tenha respaldo em um comportamento ágil e alinhado às políticas no nível do dispositivo.

Automatize o provisionamento e o desprovisionamento de usuários com Microsoft Entra ID (Azure AD) e SCIM

Automatizar o provisionamento e o desprovisionamento de usuários com Microsoft Entra ID e SCIM melhora o gerenciamento do ciclo de vida das identidades, reduz riscos de segurança e sustenta a conformidade. Mais importante: acelera muito o onboarding e o offboarding em aplicativos na nuvem e dispositivos conectados.

Este guia detalhou os componentes de uma estrutura de provisionamento segura e escalável, da configuração do Microsoft Entra ID e do SCIM à extensão da automação com PowerShell e Microsoft Graph. Também mostrou como aplicar políticas de acesso no nível do endpoint com scripts de CMD, Política de Grupo e controles de registro, além de como monitorar e auditar mudanças de identidade com visibilidade total.

Por fim, vimos como NinjaOne fortalece esse ecossistema ao alinhar o comportamento dos dispositivos à política de identidade.

Temas relacionados:

• O que é o Ingresso Híbrido no Azure AD e como configurá-lo
• Azure AD Connect: o que é e como configurar
• Provisionamento de dispositivos
• Integração de SSO e SCIM
• Gerenciamento de usuários do Active Directory