{"id":926591,"date":"2026-11-06T18:02:16","date_gmt":"2026-11-06T18:02:16","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/provisionamento-de-usuarios-entra-id\/"},"modified":"2026-11-06T18:02:17","modified_gmt":"2026-11-06T18:02:17","slug":"provisionamento-de-usuarios-entra-id","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/pt-br\/blog\/provisionamento-de-usuarios-entra-id\/","title":{"rendered":"Como automatizar o provisionamento e o desprovisionamento de usu\u00e1rios com Entra ID (Azure AD) e SCIM"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Pontos principais<\/h2>\n<ul>\n<li>Aplicativo empresarial com provisionamento SCIM: configure um aplicativo empresarial no Entra ID com provisionamento SCIM para criar, atualizar e desprovisionar usu\u00e1rios em aplicativos SaaS automaticamente, conforme as mudan\u00e7as no diret\u00f3rio.<\/li>\n<li>Provisionamento din\u00e2mico por grupos: atribua usu\u00e1rios a grupos de seguran\u00e7a ou din\u00e2micos no Entra ID e vincule esses grupos a aplicativos empresariais, para que o acesso seja concedido ou revogado automaticamente conforme a fun\u00e7\u00e3o ou mudan\u00e7as de atributos.<\/li>\n<li>Automa\u00e7\u00e3o com PowerShell e Microsoft Graph: use PowerShell e as APIs do Microsoft Graph para automatizar o provisionamento, a atribui\u00e7\u00e3o e o desprovisionamento de usu\u00e1rios e grupos, com l\u00f3gica personalizada de onboarding e offboarding.<\/li>\n<li>Fluxos de Trabalho de Ciclo de Vida acionados pelo RH: use os Fluxos de Trabalho de Ciclo de Vida sem c\u00f3digo do Entra ID Governance para provisionar, atualizar ou desprovisionar usu\u00e1rios automaticamente a partir de eventos de RH, como data de contrata\u00e7\u00e3o, mudan\u00e7a de fun\u00e7\u00e3o ou desligamento, sem scripts personalizados.<\/li>\n<li>CMD e Pol\u00edtica de Grupo para controle de contas locais: aplique comandos de CMD e configura\u00e7\u00f5es de Pol\u00edtica de Grupo para bloquear, desconectar ou restringir contas locais do Windows depois que o usu\u00e1rio \u00e9 desprovisionado no Entra ID.<\/li>\n<li>Ciclo de vida de contas aplicado pelo registro: altere configura\u00e7\u00f5es do Registro do Windows para desativar credenciais em cache e acompanhar o \u00faltimo login, identificando e corrigindo contas inativas ou \u00f3rf\u00e3s.<\/li>\n<li>Monitoramento e auditoria do provisionamento: acompanhe a atividade de provisionamento e configure alertas com os logs de auditoria do Azure, o Log de Auditoria Unificado e ferramentas de seguran\u00e7a para detectar falhas, anomalias ou altera\u00e7\u00f5es n\u00e3o autorizadas.<\/li>\n<\/ul>\n<\/div>\n<p>O provisionamento e o desprovisionamento de usu\u00e1rios formam um ciclo de vida cont\u00ednuo: entrada \u2192 mudan\u00e7a \u2192 sa\u00edda. Feito manualmente, esse processo n\u00e3o s\u00f3 consome tempo, como tamb\u00e9m gera atrasos, inconsist\u00eancias e riscos de seguran\u00e7a. Automatizar tudo com o <strong>provisionamento de usu\u00e1rios do Microsoft Entra ID (Azure AD)<\/strong> via SCIM e com os Fluxos de trabalho do ciclo de vida do Entra ID Governance elimina esses riscos.<\/p>\n<p>As organiza\u00e7\u00f5es podem criar, atualizar ou desativar <a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/personalizar-perfil-de-usuario-padrao-windows\/\">contas de usu\u00e1rio<\/a> automaticamente no Microsoft 365, em aplicativos SaaS e em sistemas de neg\u00f3cio, com base em gatilhos do RH, associa\u00e7\u00e3o a grupos ou mudan\u00e7as de fun\u00e7\u00e3o. Com a automa\u00e7\u00e3o ativa, voc\u00ea ganha:<\/p>\n<ul>\n<li>Cria\u00e7\u00e3o e remo\u00e7\u00e3o de contas sem interven\u00e7\u00e3o manual<\/li>\n<li>Atribui\u00e7\u00e3o autom\u00e1tica de fun\u00e7\u00f5es, grupos e licen\u00e7as<\/li>\n<li>Desativa\u00e7\u00e3o quase em tempo real no desligamento ou offboarding<\/li>\n<li>Logs de auditoria centralizados e visibilidade de conformidade<\/li>\n<li>Menos risco de contas \u00f3rf\u00e3s em plataformas de terceiros<\/li>\n<\/ul>\n<p>Este guia mostra como implementar provisionamento e desprovisionamento via SCIM no Microsoft Entra ID (antigo Azure AD), al\u00e9m do caminho sem c\u00f3digo dos Fluxos de trabalho do ciclo de vida que a Microsoft agora recomenda para onboarding e offboarding conduzidos pelo RH, da configura\u00e7\u00e3o inicial ao monitoramento e aos controles de conformidade.<\/p>\n<table style=\"width: 100%; height: 452px;\">\n<tbody>\n<tr style=\"height: 116px;\">\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 58.7522%;\"><strong>Clique para escolher um m\u00e9todo<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 20.9705%;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Melhor para usu\u00e1rios individuais<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 19.2374%;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Melhor para empresas<\/strong><\/td>\n<\/tr>\n<tr style=\"height: 72px;\">\n<td style=\"height: 72px; width: 58.7522%;\"><a href=\"#method-1\"><strong>M\u00e9todo 1: configurar um aplicativo empresarial com provisionamento SCIM no Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 72px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 72px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-2\"><strong>M\u00e9todo 2: usar acesso baseado em grupos para provisionamento din\u00e2mico<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-3\"><strong>M\u00e9todo 3: automatizar tarefas de provisionamento com PowerShell e Microsoft Graph<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\">\u2713<\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 72px;\">\n<td style=\"height: 72px; width: 58.7522%;\"><a href=\"#method-4\"><strong>M\u00e9todo 4: automatizar onboarding e offboarding com os Fluxos de trabalho do ciclo de vida do Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 72px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 72px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 58.7522%;\"><a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/provisionamento-de-usuarios-entra-id\/#method-4\"><strong>M\u00e9todo 5: usar CMD e GPO para controlar contas locais ap\u00f3s o desprovisionamento na nuvem<\/strong><\/a><\/td>\n<td style=\"text-align: center; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-5\"><strong>M\u00e9todo 6: controles de registro para aplicar o ciclo de vida das contas<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\">\u2713<\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-6\"><strong>M\u00e9todo 7: monitorar e auditar eventos de provisionamento<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83c\udfa5 O guia em v\u00eddeo mostra os seis m\u00e9todos na tela: <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-automate-user-provisioning-and-deprovisioning-with-entra-id-azure-ad-and-scim\/\">Como automatizar o provisionamento e o desprovisionamento de usu\u00e1rios com Entra ID (Azure AD) e SCIM<\/a>.<\/p>\n<h2>M\u00e9todos para automatizar o provisionamento e o desprovisionamento de usu\u00e1rios com Entra ID e SCIM<\/h2>\n<p>Antes de partir para os m\u00e9todos, confirme que os requisitos a seguir est\u00e3o atendidos para evitar erros:<\/p>\n<p><strong>Pr\u00e9-requisitos gerais:<\/strong><\/p>\n<ul>\n<li>\u201cLicen\u00e7a Microsoft Entra ID Premium (P1 ou P2).<\/li>\n<li>Acesso ao portal do Azure (fun\u00e7\u00e3o de Administrador Global ou Administrador de Identidade)<\/li>\n<li>Aplicativos SaaS compat\u00edveis com SCIM 2.0 (por exemplo, Slack, Zoom, GitHub, Adobe, Salesforce)<\/li>\n<li>Endpoints de API ou tokens SCIM para integra\u00e7\u00f5es personalizadas<\/li>\n<li>M\u00f3dulo do PowerShell: Microsoft.Graph<\/li>\n<\/ul>\n<p>Opcional: integra\u00e7\u00e3o com uma plataforma de RMM (por exemplo, NinjaOne) para gerenciar mudan\u00e7as nos endpoints<\/p>\n<h3 id=\"method-1\">M\u00e9todo 1: configurar um aplicativo empresarial com provisionamento SCIM no Microsoft Entra ID<\/h3>\n<p>Esse m\u00e9todo usa o mecanismo de provisionamento do Entra ID para enviar os dados dos usu\u00e1rios aos aplicativos <a href=\"https:\/\/azure.microsoft.com\/en-in\/resources\/cloud-computing-dictionary\/what-is-saas\/?msockid=208385443ab862671df990d93b256348\" target=\"_blank\" rel=\"noopener\">SaaS<\/a> automaticamente via SCIM.<\/p>\n<p><strong>Casos de uso: <\/strong>use ao integrar o Entra ID a aplicativos SaaS como Zoom, Slack etc.<\/p>\n<p>Passo a passo:<\/p>\n<ol>\n<li>Abra o <strong>Centro de administra\u00e7\u00e3o do Microsoft Entra &gt; Microsoft Entra ID &gt; Aplicativos Empresariais<\/strong>.<\/li>\n<li>Clique em <strong>+ Novo aplicativo <\/strong>e selecione o aplicativo compat\u00edvel com SCIM que deseja (por exemplo, GitHub, Dropbox, ServiceNow); em seguida, clique em <strong>criar<\/strong>.<\/li>\n<li>V\u00e1 at\u00e9 a guia <strong>Provisionamento <\/strong>no menu <strong>Gerenciar <\/strong>.<\/li>\n<li>Defina o <strong>Modo de Provisionamento <\/strong>como<strong> Autom\u00e1tico<\/strong>.<\/li>\n<li>Informe a <strong>URL do ponto de extremidade SCIM <\/strong>e o <strong>Token Secreto <\/strong>(fornecidos pelo fornecedor do SaaS).<\/li>\n<li>Clique em <strong>Autorizar <\/strong>na se\u00e7\u00e3o <strong>Credenciais de Administrador <\/strong>. Voc\u00ea ser\u00e1 redirecionado \u00e0 p\u00e1gina de login do fornecedor do SaaS (por exemplo, Dropbox), onde precisa entrar com uma conta de administrador para conceder acesso ao Microsoft Entra.<\/li>\n<li>Conclu\u00edda a autoriza\u00e7\u00e3o, use <strong>Testar Conex\u00e3o <\/strong>para confirmar a configura\u00e7\u00e3o.<\/li>\n<li>Em <strong>Mapeamentos<\/strong>, defina as transforma\u00e7\u00f5es de atributos (por exemplo, userName, emails. value, userPrincipalName).<\/li>\n<li>Clique em <strong>Salvar <\/strong>e defina o Status do Provisionamento como <strong>Ativado<\/strong>.<\/li>\n<\/ol>\n<p>Agora o Entra ID vai <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/app-provisioning\/user-provisioning\" target=\"_blank\" rel=\"noopener\">provisionar usu\u00e1rios automaticamente<\/a> conforme a associa\u00e7\u00e3o a grupos ou as mudan\u00e7as no diret\u00f3rio.<\/p>\n<h3 id=\"method-2\">M\u00e9todo 2: usar acesso baseado em grupos para provisionamento din\u00e2mico<\/h3>\n<p>Esse m\u00e9todo provisiona usu\u00e1rios nos aplicativos conforme a associa\u00e7\u00e3o a grupos. Quando entram ou saem de um grupo, o acesso \u00e9 concedido ou revogado automaticamente.<\/p>\n<p><strong>Casos de uso: <\/strong>use ao conceder acesso a aplicativos por departamento ou fun\u00e7\u00e3o (por exemplo, todas as pessoas do grupo Marketing recebem acesso ao Canva).<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>Grupos de seguran\u00e7a ou do Microsoft 365 no Entra ID<\/li>\n<li>Aplicativo empresarial configurado para provisionamento<\/li>\n<\/ul>\n<p>Passo a passo:<\/p>\n<ol>\n<li>Crie ou identifique um <strong>Grupo de Seguran\u00e7a <\/strong>ou <strong>Grupo Din\u00e2mico <\/strong>no Entra ID.<\/li>\n<li>Atribua o grupo a um aplicativo empresarial conectado por SCIM em <strong>Aplicativo Empresarial &gt; [Nome do aplicativo] &gt; Usu\u00e1rios e grupos &gt; Adicionar grupo.<\/strong>.<\/li>\n<li>Defina as regras de associa\u00e7\u00e3o din\u00e2mica (por exemplo, por departamento, cargo ou localidade).<\/li>\n<\/ol>\n<p>(Leia o item 1 em <em><a href=\"#things-to-look-out-for\">Pontos de aten\u00e7\u00e3o<\/a>.<\/em>)<\/p>\n<p>Exemplo de regra:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>(user.department -eq \"Sales\") and (user.accountEnabled -eq true)<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Usu\u00e1rios adicionados a esse grupo (por sincroniza\u00e7\u00e3o com o RH ou no onboarding) s\u00e3o provisionados automaticamente no aplicativo conectado, com as fun\u00e7\u00f5es ou permiss\u00f5es mapeadas.<\/p>\n<h3 id=\"method-3\">M\u00e9todo 3: automatizar tarefas de provisionamento com PowerShell e Microsoft Graph<\/h3>\n<p>Esse m\u00e9todo usa scripts do PowerShell e a <a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/use-the-api\" target=\"_blank\" rel=\"noopener\">API do Microsoft Graph<\/a> para gerenciar usu\u00e1rios e tarefas de provisionamento de forma program\u00e1tica.<\/p>\n<p><strong>Casos de uso: <\/strong>use no onboarding ou offboarding em massa, na integra\u00e7\u00e3o com sistemas de RH ou quando precisar de uma l\u00f3gica de provisionamento personalizada<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>\u00c9 preciso executar o PowerShell como administrador.<\/li>\n<li>Microsoft Graph PowerShell SDK<\/li>\n<\/ul>\n<p>Passo a passo:<\/p>\n<p>Execute os comandos a seguir:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Abra o PowerShell como administrador (leia o item 2 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Pontos de aten\u00e7\u00e3o<\/a>.<\/em>)<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module Microsoft.Graph -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module Microsoft.Graph.Groups<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Conecte-se ao Microsoft Graph com escopos suficientes<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\",\"Group.ReadWrite.All\",\"GroupMember.ReadWrite.All\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"3\" style=\"list-style-type: upper-alpha;\">\n<li>Crie um usu\u00e1rio no Entra ID<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong>New-MgUser `<\/strong><br \/>\n<code><strong>-DisplayName \"Jane Doe\" `<\/strong><\/code><br \/>\n<code><strong>-UserPrincipalName \"jane.doe@domain.com\" `<\/strong><\/code><br \/>\n<code><strong>-MailNickname \"janedoe\" `<\/strong><\/code><br \/>\n<strong>$PasswordProfile = @{<\/strong><br \/>\n<code><strong>Password = \"&lt;Generate-a-strong-temporary-password&gt;\"<\/strong><\/code><br \/>\n<strong>ForceChangePasswordNextSignIn = $true<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong> ForceChangePasswordNextSignIn=$true } `<\/strong><br \/>\n<strong>-AccountEnabled:$true<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"4\" style=\"list-style-type: upper-alpha;\">\n<li>Adicione o usu\u00e1rio ao grupo de provisionamento:<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code># $GroupId = target group's object ID<\/code><\/strong><br \/>\n<strong><code># $UserId = user's object ID<\/code><\/strong><br \/>\n<strong><code>$params = @{<\/code><\/strong><br \/>\n<strong><code> \"@odata.id\" = \"https:\/\/graph.microsoft.com\/v1.0\/directoryObjects\/$UserId\"<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><br \/>\n<strong><code>New-MgGroupMemberByRef -GroupId $GroupId -BodyParameter $params<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"5\" style=\"list-style-type: upper-alpha;\">\n<li>Desative um usu\u00e1rio para desprovisionamento<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Update-MgUser -UserId $UserId -BodyParameter @{ accountEnabled = $false }<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"6\" style=\"list-style-type: upper-alpha;\">\n<li>Remova o usu\u00e1rio de todos os grupos de aplicativos<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MgUserMemberOfAsGroup -UserId $UserId -All | ForEach-Object {<\/code><\/strong><br \/>\n<strong><code> Remove-MgGroupMemberByRef -GroupId $_.Id -DirectoryObjectId $UserId<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Observa\u00e7\u00f5es: <\/strong><\/p>\n<ul>\n<li>Substitua os valores de exemplo (como Jane Doe, jane.doe@domain.com, $GroupId, $UserId e TempPass123!) pelos dados reais do seu tenant.<\/li>\n<li>N\u00e3o \u00e9 poss\u00edvel remover membros de grupos din\u00e2micos: a associa\u00e7\u00e3o segue regras.<\/li>\n<li>Use scripts de RMM agendados ou acionados por evento para rodar isso durante o onboarding ou o offboarding.<\/li>\n<\/ul>\n<h3>M\u00e9todo 4: automatizar onboarding e offboarding com os Fluxos de trabalho do ciclo de vida do Entra ID<\/h3>\n<p>Nos m\u00e9todos 1 a 3, \u00e9 voc\u00ea quem cria e mant\u00e9m a l\u00f3gica da automa\u00e7\u00e3o. J\u00e1 os Fluxos de trabalho do ciclo de vida trazem modelos prontos, sem c\u00f3digo, para os mesmos eventos de entrada, mudan\u00e7a e sa\u00edda.<\/p>\n<p><strong>Caso de uso:<\/strong> use quando quiser onboarding e offboarding conduzidos pelo RH sem manter PowerShell ou Logic Apps personalizados.<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>Licenciamento Microsoft Entra ID Governance ou Microsoft Entra Suite para os usu\u00e1rios cobertos pelos Fluxos de trabalho do ciclo de vida.<\/li>\n<li>Atributo employeeHireDate preenchido no Entra ID para que os fluxos de onboarding sejam acionados corretamente<\/li>\n<li>Em fluxos baseados em tempo, employeeHireDate e\/ou employeeLeaveDateTime precisam estar preenchidos e sincronizados no Microsoft Entra ID.<\/li>\n<li>Atributos de gerente atribu\u00eddos \u00e0s contas de usu\u00e1rio, caso os fluxos incluam notifica\u00e7\u00f5es ou aprova\u00e7\u00f5es por gerente<\/li>\n<\/ul>\n<p>Passo a passo:<\/p>\n<ol>\n<li>Entre no <strong>centro de administra\u00e7\u00e3o do Microsoft Entra<\/strong> em entra.microsoft.com.<\/li>\n<li>No menu \u00e0 esquerda, v\u00e1 em <strong>Governan\u00e7a de Identidades &gt; Fluxos de trabalho do ciclo de vida<\/strong>.<\/li>\n<li>Confirme que o recurso est\u00e1 habilitado para a sua organiza\u00e7\u00e3o.<\/li>\n<li>Clique em <strong>Criar fluxo de trabalho<\/strong> e escolha um modelo de onboarding ou offboarding (por exemplo, \u201cIntegrar funcion\u00e1rio pr\u00e9-contrata\u00e7\u00e3o\u201d ou \u201cDesligar funcion\u00e1rio\u201d).<\/li>\n<li>Defina a condi\u00e7\u00e3o de gatilho (por exemplo, \u201c2 dias antes da data de in\u00edcio\u201d ou \u201cno \u00faltimo dia do funcion\u00e1rio\u201d).<\/li>\n<li>Adicione tarefas ao fluxo, como gerar um passe de acesso tempor\u00e1rio, enviar um e-mail de boas-vindas ou desativar a conta e remover as associa\u00e7\u00f5es a grupos.<\/li>\n<li>Revise o fluxo no <strong>Hist\u00f3rico de fluxos de trabalho<\/strong> e nos <strong>logs de auditoria<\/strong> antes de habilit\u00e1-lo em produ\u00e7\u00e3o.<\/li>\n<\/ol>\n<h3 id=\"method-4\">M\u00e9todo 5: usar CMD e GPO para controlar contas locais ap\u00f3s o desprovisionamento na nuvem<\/h3>\n<p>Esse m\u00e9todo garante que as contas locais do Windows sejam bloqueadas ou exclu\u00eddas depois que o usu\u00e1rio \u00e9 desprovisionado no Entra ID, evitando riscos de seguran\u00e7a.<\/p>\n<p><strong>Casos de uso: <\/strong>use quando tiver dispositivos com Ingresso H\u00edbrido no Entra ID ou cogerenciados e quiser bloquear o acesso local ap\u00f3s o desprovisionamento.<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>Acesso \u00e0 Pol\u00edtica de Grupo<\/li>\n<li>Dispositivos ingressados no dom\u00ednio ou h\u00edbridos<\/li>\n<\/ul>\n<p>Instru\u00e7\u00f5es:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Desative os logons de dom\u00ednio em cache ap\u00f3s o desprovisionamento\n<ol>\n<li>Pressione <strong>Win + S<\/strong> e digite <strong>cmd<\/strong>.<\/li>\n<li>Clique com o bot\u00e3o direito no <strong>Prompt de Comando<\/strong> e selecione <strong>Executar como administrador<\/strong>.<\/li>\n<li>Execute o comando a seguir:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>rundll32 netplwiz.dll,ClearAutoLogon<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Use a Pol\u00edtica de Grupo para for\u00e7ar logoff ou bloqueio de sess\u00f5es ap\u00f3s a desativa\u00e7\u00e3o na nuvem (leia o item 3 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Pontos de aten\u00e7\u00e3o<\/a>.<\/em>)\n<ol start=\"1\">\n<li>Pressione <strong>Win + R<\/strong>, digite <strong>gpedit<\/strong>.msc e pressione <strong>Enter <\/strong>para abrir o <strong>Editor de Pol\u00edtica de Grupo<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Observa\u00e7\u00e3o<\/strong>: use <strong>gpmc<\/strong>.msc para o Console de Gerenciamento de Pol\u00edtica de Grupo nos controladores de dom\u00ednio.<\/p>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"2\">\n<li>V\u00e1 at\u00e9:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>Configura\u00e7\u00e3o do Computador \u2192 Configura\u00e7\u00f5es<\/strong><strong> do Windows <\/strong><strong>\u2192 Configura\u00e7\u00f5es<\/strong><strong> de Seguran\u00e7a <\/strong><strong>\u2192 Pol\u00edticas Locais \u2192 Op\u00e7\u00f5es de Seguran\u00e7a<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Localize e altere a configura\u00e7\u00e3o:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>Logon interativo: n\u00famero de logons anteriores a serem armazenados em cache<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Defina o valor como 0<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\" style=\"list-style-type: upper-alpha;\">\n<li>Agende um script de desligamento ou bloqueio para usu\u00e1rios desprovisionados<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pressione <strong>Win + S<\/strong>, digite <strong>cmd<\/strong> ou <strong>PowerShell<\/strong> e pressione <strong>Enter <\/strong>para abrir a ferramenta.<\/li>\n<li>Execute:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>shutdown -l<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Integre esses scripts ao RMM para alinhar o comportamento dos endpoints ao status no Azure.<\/p>\n<h3 id=\"method-5\">M\u00e9todo 6: controles de registro para aplicar o ciclo de vida das contas<\/h3>\n<p>Esse m\u00e9todo altera chaves do Registro do Windows para impor regras mais r\u00edgidas de sess\u00e3o ou de remo\u00e7\u00e3o de contas.<\/p>\n<p><strong>Casos de uso: <\/strong>use quando quiser controle refinado em m\u00e1quinas Windows (locais ou h\u00edbridas).<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>Acesso de administrador ao Editor do Registro<\/li>\n<\/ul>\n<p><strong>Aviso: <\/strong>editar o registro pode causar problemas no sistema. <a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/fazer-backup-restaurar-registro-windows\/\">Fa\u00e7a um backup<\/a> antes de prosseguir.<\/p>\n<p>Instru\u00e7\u00f5es: (leia o item 4 em <em><a href=\"#things-to-look-out-for\">Pontos de aten\u00e7\u00e3o<\/a>.<\/em>)<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Bloqueie credenciais em cache persistentes<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pressione <strong>Win + R<\/strong>, digite <strong>regedit<\/strong> e pressione <strong>Enter <\/strong>para abrir o Editor do Registro.<\/li>\n<li>V\u00e1 at\u00e9:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows NT<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\W<\/strong><strong>inlogon<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Localize e clique duas vezes no valor <strong>CachedLogonsCount<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\">Se o valor ainda n\u00e3o existir, crie-o manualmente em <strong>Novo &gt; Valor de Cadeia de Caracteres (REG_SZ)<\/strong>.<\/p>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"4\">\n<li>Defina o valor como 0.<\/li>\n<li>Feche o Editor do Registro.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Acompanhe o \u00faltimo logon bem-sucedido para detectar contas \u00f3rf\u00e3s<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pressione <strong>Win + R<\/strong>, digite <strong>regedit<\/strong> e pressione <strong>Enter <\/strong>para abrir o Editor do Registro.<\/li>\n<li>V\u00e1 at\u00e9:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\A<\/strong><strong>uthentication<\/strong><strong>\\L<\/strong><strong>ogonUI<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Procure o valor:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>LastLoggedOnUser<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 40px;\">Use scripts de RMM para varrer os valores do registro e identificar contas inativas ou sem uso para corre\u00e7\u00e3o.<\/p>\n<h3 id=\"method-6\">M\u00e9todo 7: monitorar e auditar eventos de provisionamento<\/h3>\n<p><strong>Casos de uso: <\/strong>use para acompanhar a\u00e7\u00f5es de provisionamento com foco em diagn\u00f3stico, seguran\u00e7a e conformidade.<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><\/p>\n<ul>\n<li>Entra ID Premium com licen\u00e7a do Exchange Online<\/li>\n<li>Log de Auditoria Unificado habilitado no Microsoft Purview<\/li>\n<\/ul>\n<p>Instru\u00e7\u00f5es:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Use os logs de auditoria do Azure para revisar a atividade de provisionamento<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Abra o <a href=\"https:\/\/www.ninjaone.com\/it-hub\/gerenciamento-de-endpoints\/what-is-powershell\/\"><strong>PowerShell<\/strong><\/a>.<\/li>\n<li>Instale e importe o m\u00f3dulo do Exchange Online<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module ExchangeOnlineManagement -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module ExchangeOnlineManagement<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Conecte-se ao Microsoft Purview<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-ExchangeOnline<\/code><\/strong><br \/>\n<strong><code>Connect-IPPSSession<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"4\">\n<li>Execute a busca no Log de Auditoria Unificado:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -Operations \"Add user\", \"Delete user\", \"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 80px;\"><strong>\ud83d\udca1 <\/strong>Voc\u00ea pode adicionar filtros de data para delimitar o intervalo:<\/p>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations \"Add user\",\"Delete user\",\"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Configure alertas para anomalias de provisionamento no Azure<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">Use o Microsoft Sentinel ou o Microsoft 365 Defender para alertar sobre:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Cria\u00e7\u00e3o excessiva de usu\u00e1rios<\/li>\n<li>Mudan\u00e7as n\u00e3o autorizadas na associa\u00e7\u00e3o a grupos<\/li>\n<li>Falhas nas chamadas de provisionamento SCIM<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Pontos de aten\u00e7\u00e3o<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Riscos<\/strong><\/td>\n<td><strong>Poss\u00edveis consequ\u00eancias<\/strong><\/td>\n<td><strong>Como reverter<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Desalinhamento na atribui\u00e7\u00e3o de grupos<\/td>\n<td>Os usu\u00e1rios n\u00e3o s\u00e3o provisionados nem desprovisionados como esperado.<\/td>\n<td>Ajuste as regras do grupo din\u00e2mico ou atualize a associa\u00e7\u00e3o manualmente em <strong>Grupos &gt; [Nome do grupo] &gt; Membros<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>2. Executar o PowerShell sem privil\u00e9gios elevados<\/td>\n<td>Os comandos do PowerShell falham com erros de acesso.<\/td>\n<td>Reabra o PowerShell como administrador.<\/td>\n<\/tr>\n<tr>\n<td>3. Configura\u00e7\u00e3o incorreta de GPO<\/td>\n<td>Usu\u00e1rios locais ainda conseguem entrar depois de desprovisionados.<\/td>\n<td>Verifique as configura\u00e7\u00f5es no <strong>gpedit<\/strong>.msc ou no <strong>Console de Gerenciamento de Pol\u00edtica de Grupo<\/strong> e teste em uma m\u00e1quina de amostra.<\/td>\n<\/tr>\n<tr>\n<td>4. Edi\u00e7\u00f5es incorretas no registro<\/td>\n<td>Pode causar problemas de logon ou instabilidade no sistema<\/td>\n<td>Sempre fa\u00e7a backup do registro antes de alterar; desfa\u00e7a com um arquivo <strong>.reg<\/strong> ou um ponto de restaura\u00e7\u00e3o.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Considera\u00e7\u00f5es adicionais<\/h2>\n<p>Veja as principais considera\u00e7\u00f5es operacionais e de seguran\u00e7a sobre uma implanta\u00e7\u00e3o baseada em SCIM com o Microsoft Entra ID:<\/p>\n<h3>Limita\u00e7\u00e3o de taxa do SCIM<\/h3>\n<p>As APIs SCIM t\u00eam limites de taxa definidos pelos fornecedores de SaaS. Esses limites controlam quantas opera\u00e7\u00f5es de provisionamento podem ser processadas em um dado per\u00edodo.<\/p>\n<p>Volumes altos podem acionar throttling ou rejei\u00e7\u00e3o de requisi\u00e7\u00f5es, o que atrasa a sincroniza\u00e7\u00e3o.. Sempre confira os limites de taxa do SCIM do fornecedor e o comportamento sob carga.<\/p>\n<h3>Mapeamento de atributos<\/h3>\n<p>O Microsoft Entra ID envia atributos do usu\u00e1rio, como nome, e-mail e departamento, aos aplicativos de destino. Eles precisam corresponder ao esquema esperado pelo aplicativo; caso contr\u00e1rio, o provisionamento pode falhar silenciosamente ou gerar acessos mal configurados.<\/p>\n<p>Use o recurso de mapeamento de atributos personalizado do Microsoft Entra ID para alinhar os campos ao esquema SCIM. Al\u00e9m disso, teste os mapeamentos em ambiente de homologa\u00e7\u00e3o antes de ativar o provisionamento autom\u00e1tico.<\/p>\n<h3>Atribui\u00e7\u00e3o de licen\u00e7as<\/h3>\n<p>Alguns aplicativos exigem uma licen\u00e7a v\u00e1lida para o usu\u00e1rio antes de concluir o provisionamento. Use o licenciamento baseado em grupos do Microsoft Entra ID para automatizar essa atribui\u00e7\u00e3o.<\/p>\n<h3>Conectores SCIM personalizados<\/h3>\n<p>Para aplicativos sem suporte nativo a SCIM, voc\u00ea pode criar uma ponte com o Azure SCIM Gateway ou montar integra\u00e7\u00f5es personalizadas com Azure Logic Apps, Azure Functions ou Power Automate.<\/p>\n<h3>Seguran\u00e7a e conformidade<\/h3>\n<p>Contas inativas representam riscos s\u00e9rios de seguran\u00e7a. Se o desprovisionamento atrasa, o usu\u00e1rio pode manter acesso a sistemas sens\u00edveis. Para garantir a m\u00e1xima seguran\u00e7a, use gatilhos autom\u00e1ticos de desprovisionamento e registre todos os eventos de acesso.<\/p>\n<h2>Solu\u00e7\u00e3o de problemas<\/h2>\n<p>Veja como identificar e resolver os problemas mais comuns em implanta\u00e7\u00f5es de provisionamento SCIM com o Microsoft Entra ID:<\/p>\n<h3>Atraso no provisionamento<\/h3>\n<p>O provisionamento via SCIM do Entra ID n\u00e3o \u00e9 em tempo real. Os ciclos de sincroniza\u00e7\u00e3o costumam rodar a cada 20-40 minutos na maioria dos aplicativos empresariais, e podem ocorrer atrasos por throttling ou falhas nas chamadas de API. O que fazer:<\/p>\n<ol>\n<li>V\u00e1 em <strong>Portal do Azure &gt; Azure AD &gt; Aplicativos Empresariais &gt; [Seu aplicativo] &gt; Provisionamento<\/strong><\/li>\n<li>Verifique:\n<ul>\n<li>Hor\u00e1rio de in\u00edcio e t\u00e9rmino da \u00faltima sincroniza\u00e7\u00e3o<\/li>\n<li>Status da conex\u00e3o SCIM<\/li>\n<li>Logs de provisionamento (veja as causas das falhas, as novas tentativas e o status de quarentena).<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Usu\u00e1rios n\u00e3o sincronizados<\/h3>\n<p>Se os usu\u00e1rios n\u00e3o aparecem no aplicativo de destino ap\u00f3s o provisionamento:<\/p>\n<ul>\n<li>Confirme que est\u00e3o atribu\u00eddos ao aplicativo:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>Azure AD &gt; Aplicativos Empresariais &gt; [Aplicativo] &gt; Usu\u00e1rios e grupos<\/strong><\/p>\n<ul>\n<li>Verifique o mapeamento de atributos:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>Azure AD &gt; Aplicativo Empresarial &gt; Provisionamento &gt; Mapeamentos<\/strong><\/p>\n<p>Confirme que o grupo est\u00e1 no escopo do provisionamento.<\/p>\n<h3>Falha no desprovisionamento<\/h3>\n<p>Se os usu\u00e1rios continuam ativos no aplicativo ap\u00f3s a remo\u00e7\u00e3o, veja o que fazer:<\/p>\n<ul>\n<li>Verifique se o token SCIM ainda \u00e9 v\u00e1lido e tem permiss\u00e3o de exclus\u00e3o.<\/li>\n<li>Alguns aplicativos desativam usu\u00e1rios definindo active=false em vez de exclu\u00ed-los. Confira o esquema SCIM do aplicativo.<\/li>\n<li>Se necess\u00e1rio, remova o usu\u00e1rio manualmente ou chame a API do aplicativo diretamente.<\/li>\n<\/ul>\n<h3>Erros no PowerShell<\/h3>\n<p>As falhas no PowerShell costumam vir de permiss\u00f5es delegadas (escopos) ausentes no Microsoft Graph, tokens expirados, IDs de objeto incorretos ou fun\u00e7\u00f5es insuficientes no Microsoft Entra ID. O que fazer:<\/p>\n<ul>\n<li>Conecte-se ao Microsoft Graph com os escopos corretos:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\", \"Group.ReadWrite.All\"<\/code><\/strong><\/p>\n<ul>\n<li>Verifique seu contexto:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong><code>Get-MgContext<\/code><\/strong><\/p>\n<p>Valide os IDs de objeto antes de us\u00e1-los em opera\u00e7\u00f5es do Graph.<\/p>\n<h2>Servi\u00e7os NinjaOne<\/h2>\n<p>Enquanto o ciclo de vida do usu\u00e1rio \u00e9 controlado no Entra ID e nas plataformas SaaS, NinjaOne refor\u00e7a a conformidade e a aplica\u00e7\u00e3o de pol\u00edticas nos endpoints durante o provisionamento e o desprovisionamento:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Servi\u00e7os NinjaOne<\/strong><\/td>\n<td><strong>Como NinjaOne complementa a automa\u00e7\u00e3o de provisionamento com a aplica\u00e7\u00e3o de conformidade nos endpoints<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Automa\u00e7\u00e3o por scripts<\/td>\n<td>Dispara a desativa\u00e7\u00e3o, o bloqueio ou a limpeza da conta local quando uma conta do Microsoft Entra ID \u00e9 desprovisionada.<\/td>\n<\/tr>\n<tr>\n<td>Visibilidade dos endpoints<\/td>\n<td>Detecta contas \u00f3rf\u00e3s ou m\u00e1quinas ainda conectadas com usu\u00e1rios inativos.<\/td>\n<\/tr>\n<tr>\n<td>Aplica\u00e7\u00e3o de pol\u00edticas<\/td>\n<td>Envia GPOs ou chaves de registro alinhadas \u00e0s pol\u00edticas de acesso baseadas em SCIM.<\/td>\n<\/tr>\n<tr>\n<td>Monitoramento de eventos<\/td>\n<td>Alerta sobre tentativas de logon local por usu\u00e1rios desativados ou desconhecidos.<\/td>\n<\/tr>\n<tr>\n<td>Logs e relat\u00f3rios<\/td>\n<td>Exporta logs prontos para auditoria das a\u00e7\u00f5es nos endpoints ligadas ao provisionamento.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Com NinjaOne, MSPs e equipes de TI garantem que a governan\u00e7a de identidade na nuvem tenha respaldo em um comportamento \u00e1gil e alinhado \u00e0s pol\u00edticas no n\u00edvel do dispositivo.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guia de in\u00edcio r\u00e1pido<\/h2><p><strong>Principais recursos:<\/strong><br \/>\n\u2013 Cria\u00e7\u00e3o autom\u00e1tica de usu\u00e1rios: novos usu\u00e1rios no Azure AD s\u00e3o provisionados automaticamente em NinjaOne.<br \/>\n\u2013 Exclus\u00e3o autom\u00e1tica de usu\u00e1rios: quando um usu\u00e1rio \u00e9 removido do Azure AD, a conta dele \u00e9 desativada em NinjaOne.<br \/>\n\u2013 Mapeamento de grupo para fun\u00e7\u00e3o: atribua fun\u00e7\u00f5es do NinjaOne conforme a associa\u00e7\u00e3o a grupos do Azure AD.<br \/>\n\u2013 Gerenciamento do token SCIM: os tokens expiram em seis meses e precisam ser gerados novamente.<\/p>\n<p><strong>Pr\u00e9-requisitos:<\/strong><br \/>\n1. Habilite o <a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/saml-vs-sso-whats-the-difference\/\">SSO<\/a> em <a href=\"https:\/\/www.ninjaone.com\/pt-br\/\">NinjaOne<\/a> com o Azure AD.<br \/>\n2. Habilite o provisionamento SCIM por meio de uma solicita\u00e7\u00e3o \u00e0 equipe de vendas da NinjaOne.<br \/>\n3. Use Azure AD ou Okta como IdP (outros provedores n\u00e3o t\u00eam suporte completo).<\/p>\n<p><strong>Etapas de configura\u00e7\u00e3o:<\/strong><br \/>\n1. Habilite o <a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">SCIM<\/a> em NinjaOne:<br \/>\n\u2013 V\u00e1 em Administration &gt; Accounts &gt; Identity Provider.<br \/>\n\u2013 Ative o bot\u00e3o Enable SCIM provisioning e gere um token SCIM.<\/p>\n<p>2. Configure o SCIM no Azure AD:<br \/>\n\u2013 No aplicativo empresarial do NinjaOne no Azure, abra a guia Provisionamento.<br \/>\n\u2013 Cole o token SCIM e a URL do tenant obtidos em NinjaOne.<br \/>\n\u2013 Mapeie os atributos do Azure AD para os do NinjaOne (por exemplo, userPrincipalName para userName).<\/p>\n<p>3. Mapeamento de grupos:<br \/>\n\u2013 Em NinjaOne, mapeie os grupos do Azure AD para fun\u00e7\u00f5es em Administration &gt; Accounts &gt; Identity Provider &gt; Group Mapping.<\/p>\n<p>4. Teste a conex\u00e3o:<br \/>\n\u2013 Use a op\u00e7\u00e3o Testar Conex\u00e3o no Azure AD para confirmar que o provisionamento funciona.<\/p>\n<p><strong>Observa\u00e7\u00f5es importantes:<\/strong><br \/>\n\u2013 IdPs com suporte: Azure AD e Okta t\u00eam suporte completo. Outros IdPs compat\u00edveis com SCIM podem funcionar, mas sem suporte total.<br \/>\n\u2013 Tipos de usu\u00e1rio: administradores do sistema n\u00e3o podem ser atribu\u00eddos via SCIM e precisam ser criados manualmente em NinjaOne.<br \/>\n\u2013 Desativa\u00e7\u00e3o x exclus\u00e3o: o SCIM desativa usu\u00e1rios em NinjaOne, mas n\u00e3o os exclui. Se precisar, remova manualmente os usu\u00e1rios exclu\u00eddos.<\/p>\n<p>Para instru\u00e7\u00f5es detalhadas, consulte os artigos do NinjaOne Dojo sobre <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/23029590977677-System-for-Cross-domain-Identity-Management-SCIM\" target=\"_blank\" rel=\"noopener\">configura\u00e7\u00e3o do SCIM<\/a> e <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/24967296262285-SCIM-Internal-Troubleshooting\" target=\"_blank\" rel=\"noopener\">solu\u00e7\u00e3o de problemas internos do SCIM<\/a>.<\/p>\n<\/div>\n<h2>Automatize o provisionamento e o desprovisionamento de usu\u00e1rios com Microsoft Entra ID (Azure AD) e SCIM<\/h2>\n<p>Automatizar o provisionamento e o desprovisionamento de usu\u00e1rios com Microsoft Entra ID e SCIM melhora o gerenciamento do ciclo de vida das identidades, reduz riscos de seguran\u00e7a e sustenta a conformidade. Mais importante: acelera muito o onboarding e o offboarding em aplicativos na nuvem e dispositivos conectados.<\/p>\n<p>Este guia detalhou os componentes de uma estrutura de provisionamento segura e escal\u00e1vel, da configura\u00e7\u00e3o do Microsoft Entra ID e do SCIM \u00e0 extens\u00e3o da automa\u00e7\u00e3o com PowerShell e Microsoft Graph. Tamb\u00e9m mostrou como aplicar pol\u00edticas de acesso no n\u00edvel do endpoint com scripts de CMD, Pol\u00edtica de Grupo e controles de registro, al\u00e9m de como monitorar e auditar mudan\u00e7as de identidade com visibilidade total.<\/p>\n<p>Por fim, vimos como NinjaOne fortalece esse ecossistema ao alinhar o comportamento dos dispositivos \u00e0 pol\u00edtica de identidade.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/hybrid-azure-ad-join-2\/\">O que \u00e9 o Ingresso H\u00edbrido no Azure AD e como configur\u00e1-lo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/pt-br\/blog\/azure-ad-connect\/\">Azure AD Connect: o que \u00e9 e como configurar<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/policies\/device-provisioning\/\">Provisionamento de dispositivos<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">Integra\u00e7\u00e3o de SSO e SCIM<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/remote-control\/active-directory-user-management\/\">Gerenciamento de usu\u00e1rios do Active Directory<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>O provisionamento e o desprovisionamento de usu\u00e1rios formam um ciclo de vida cont\u00ednuo: entrada \u2192 mudan\u00e7a \u2192 sa\u00edda. Feito manualmente, esse processo n\u00e3o s\u00f3 consome tempo, como tamb\u00e9m gera atrasos, inconsist\u00eancias e riscos de seguran\u00e7a. Automatizar tudo com o provisionamento de usu\u00e1rios do Microsoft Entra ID (Azure AD) via SCIM e com os Fluxos de [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":602569,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[3025],"tags":[],"class_list":["post-926591","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/926591","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/comments?post=926591"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/926591\/revisions"}],"predecessor-version":[{"id":926592,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/posts\/926591\/revisions\/926592"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/media\/602569"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/media?parent=926591"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/categories?post=926591"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/pt-br\/wp-json\/wp\/v2\/tags?post=926591"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}