Novos recursos de Conditional Access, revisões de acesso e segurança de rede mostram como a Microsoft está aproximando governança de identidades, políticas de acesso e proteção Zero Trust.
A Microsoft está introduzindo novos recursos em Public Preview para o ecossistema Microsoft Entra, com mudanças relevantes na maneira como as organizações administram políticas de acesso, realizam revisões de permissões e protegem a conectividade corporativa.
Entre as novidades estão os Conditional Access Policy Plans, a migração de políticas existentes para esse novo modelo, a inclusão de Access Packages em revisões de acesso de catálogos e a configuração de Cloud Firewall para clientes do Global Secure Access.
Embora sejam funcionalidades distintas, elas compartilham uma direção estratégica: tornar os controles de identidade e acesso mais organizados, consistentes e integrados.
Para profissionais de Identity and Access Management (IAM), Identity Governance and Administration (IGA) e Zero Trust, essas evoluções merecem atenção.
1. Conditional Access Policy Plans: uma nova abordagem para governança de políticas
O Microsoft Entra Conditional Access é um dos principais mecanismos utilizados pelas organizações para determinar as condições em que usuários e outras identidades podem acessar recursos corporativos.
Entretanto, à medida que os ambientes crescem, administrar dezenas ou centenas de políticas pode se tornar um desafio.
É comum encontrar organizações com regras semelhantes, condições duplicadas, exceções distribuídas e políticas cuja finalidade original já não está suficientemente documentada.
O novo recurso Conditional Access Policy Plans, atualmente em Public Preview, busca enfrentar parte desse problema.
Em vez de administrar exclusivamente políticas individuais, os administradores podem organizar regras relacionadas dentro de um plano que representa um objetivo de segurança.
Esse plano pode conter:
- Informações de identificação, descrição e responsáveis.
- Condições compartilhadas entre diferentes regras.
- Inclusões e exclusões comuns.
- Regras específicas para diferentes cenários de acesso.
- Controles de concessão e sessão definidos por regra.
Uma organização poderia, por exemplo, criar um plano para proteger o acesso a aplicações corporativas a partir de dispositivos gerenciados, utilizando diferentes regras para situações específicas.
A principal vantagem é que determinadas condições deixam de precisar ser repetidas individualmente em cada política.
O que muda na prática?
Imagine uma empresa que utiliza múltiplas políticas de Conditional Access para proteger aplicações críticas.
Quando uma condição comum precisa ser alterada, os administradores podem ter de revisar diversas políticas individualmente.
Com Policy Plans, condições compartilhadas podem ser administradas no nível do plano e herdadas pelas regras associadas.
Isso favorece a consistência operacional e reduz o risco de divergências entre configurações relacionadas.
Entretanto, existe um ponto importante: as regras continuam sendo avaliadas individualmente durante a autenticação. O plano não substitui o mecanismo de avaliação de Conditional Access.
Além disso, exclusões configuradas no plano são herdadas pelas regras e não podem ser removidas individualmente por elas. Isso exige atenção especial ao desenho das políticas.
A perspectiva de IAM
A novidade representa uma evolução na administração de controles de acesso.
O Conditional Access deixa de depender exclusivamente de uma coleção de políticas individuais e passa a oferecer uma estrutura adicional para organização por objetivos de segurança.
Para arquitetos de IAM, essa abordagem pode facilitar padronização, documentação, atribuição de responsabilidades e gestão de mudanças.
Também abre espaço para um modelo mais consistente de governança de políticas em ambientes Microsoft Entra.
2. Migração de políticas existentes: modernização sem reconstruir tudo
A segunda novidade complementa diretamente os Conditional Access Policy Plans.
A Microsoft disponibilizou uma experiência de migração que permite selecionar políticas existentes e consolidá-las em um novo plano.
Durante esse processo, a ferramenta analisa as políticas selecionadas, identifica condições compartilhadas e propõe uma estrutura organizada.
As configurações comuns podem ser promovidas ao nível do plano, enquanto as condições e controles específicos permanecem nas respectivas regras.
Um aspecto relevante é que as políticas originais não são modificadas automaticamente durante a criação do novo plano.
Isso permite uma abordagem gradual.
As novas regras podem ser avaliadas em modo Report-only, utilizando registros de autenticação para comparar o comportamento esperado com o resultado observado.
Somente após a validação é recomendável habilitar as regras e planejar a desativação das políticas anteriores.
Por que isso importa?
Em ambientes corporativos, mudanças em Conditional Access podem provocar impactos significativos.
Uma alteração incorreta pode impedir o acesso de colaboradores, administradores ou serviços essenciais.
Por isso, a possibilidade de estruturar uma migração com validação prévia é especialmente importante.
A novidade também cria uma oportunidade para revisar políticas antigas, identificar redundâncias e melhorar a documentação dos controles existentes.
A recomendação é tratar a migração como um projeto de governança, e não apenas como uma reorganização técnica.
3. Access Packages nas Access Reviews: uma evolução importante para IGA
Outra novidade relevante aparece no Microsoft Entra ID Governance.
O recurso em Public Preview permite incluir Access Packages nas revisões de acesso realizadas no contexto de catálogos.
Access Packages são componentes do Entitlement Management que agrupam recursos e definem mecanismos para solicitação, aprovação e concessão de acessos.
Uma organização pode, por exemplo, disponibilizar um pacote destinado a colaboradores de determinada área, reunindo permissões necessárias para suas atividades.
Até então, em determinados processos de revisão, o avaliador precisava analisar individualmente os recursos concedidos.
Com a nova funcionalidade, os acessos a aplicações e grupos Microsoft Entra concedidos por meio de um Access Package podem ser apresentados como um único item de revisão.
Da revisão técnica à revisão orientada ao negócio
Essa mudança é significativa.
Quando uma revisão apresenta apenas permissões individuais, o responsável pela decisão pode encontrar dificuldades para compreender o contexto da concessão.
Um Access Package, quando adequadamente estruturado, pode representar uma necessidade de negócio mais compreensível.
Isso permite que o avaliador tome decisões considerando o conjunto de acessos concedidos ao usuário.
Caso um pacote seja negado, sua atribuição é removida na data de encerramento da revisão, provocando a remoção dos recursos concedidos por aquela atribuição.
Portanto, o impacto de uma decisão pode ultrapassar os grupos e aplicações apresentados de maneira consolidada na interface.
O impacto para Identity Governance
A funcionalidade reforça a importância de um bom desenho de Entitlement Management.
Pacotes mal estruturados, excessivamente amplos ou sem responsáveis claros podem continuar produzindo decisões inadequadas.
Por outro lado, Access Packages alinhados às necessidades de negócio podem facilitar revisões e melhorar a qualidade das decisões.
A novidade não elimina a necessidade de governança de papéis, segregação de funções ou controles de ciclo de vida.
Ela acrescenta uma forma de apresentar e revisar concessões de acesso de maneira mais contextualizada.
Para organizações que utilizam soluções IGA, a evolução reforça uma tendência: as revisões precisam ser compreensíveis para o negócio, e não apenas tecnicamente completas.
4. Cloud Firewall no Global Secure Access: identidade e segurança de rede cada vez mais próximas
A quarta novidade está relacionada ao Microsoft Entra Internet Access e ao Global Secure Access.
A Microsoft introduziu, em Public Preview, a configuração de Cloud Firewall para tráfego encaminhado por clientes Global Secure Access.
O recurso permite estabelecer regras de Allow e Block para conexões de saída, considerando elementos como destinos, portas e protocolos.
As políticas são associadas a perfis de segurança, que podem ser atribuídos a usuários e grupos por meio de Conditional Access.
Essa integração é particularmente interessante sob a perspectiva de Zero Trust.
Tradicionalmente, organizações administram políticas de identidade e regras de segurança de rede em estruturas separadas.
Com essa abordagem, a seleção de perfis de segurança de conectividade passa a se relacionar diretamente com políticas de acesso associadas às identidades.
Como funciona?
A arquitetura envolve diferentes componentes.
Primeiro, o tráfego precisa ser encaminhado ao Global Secure Access por meio das configurações de aquisição de tráfego.
Depois, as políticas de Cloud Firewall avaliam as conexões encaminhadas e aplicam as regras correspondentes.
Por fim, os perfis de segurança determinam quais políticas são aplicáveis aos usuários abrangidos.
É importante destacar que configurar uma regra de firewall não significa que todo o tráfego do dispositivo será automaticamente inspecionado.
A cobertura depende das configurações de encaminhamento, dos protocolos suportados e das limitações da versão em preview.
Entre essas limitações estão restrições relacionadas ao tratamento de DNS e ao encaminhamento de tráfego QUIC.
O impacto para Zero Trust
A evolução reforça a integração entre identidade, contexto e conectividade.
Em uma arquitetura Zero Trust, decisões de segurança não devem depender exclusivamente da localização do usuário ou da confiança atribuída à rede corporativa.
A possibilidade de relacionar políticas de acesso a perfis de segurança de rede contribui para esse modelo.
Para arquitetos de segurança, o desafio passa a incluir a coordenação entre controles de identidade, políticas de conectividade e mecanismos de inspeção e proteção.
5. O que essas novidades revelam sobre a estratégia da Microsoft?
Analisadas em conjunto, as quatro funcionalidades indicam três movimentos importantes.
Governança de políticas mais estruturada
Os Conditional Access Policy Plans demonstram uma preocupação com a complexidade operacional de ambientes que possuem grande quantidade de regras.
A capacidade de organizar políticas por objetivos e administrar condições compartilhadas pode facilitar sua evolução.
Governança de acesso mais contextualizada
A inclusão de Access Packages nas revisões de catálogos aproxima a decisão de revisão do contexto em que o acesso foi concedido.
Essa abordagem pode melhorar a experiência dos revisores e a consistência dos processos de certificação de acesso.
Maior integração entre identidade e conectividade
O Cloud Firewall do Global Secure Access reforça a aproximação entre decisões de identidade e controles de rede.
Esse movimento está alinhado aos princípios de Zero Trust e à evolução das arquiteturas de Security Service Edge (SSE).
6. O próximo desafio: governança de identidades humanas e não humanas
Existe ainda uma dimensão relevante nessa evolução.
A documentação dos Conditional Access Policy Plans já contempla cenários relacionados à proteção de identidades de agentes de inteligência artificial.
Isso demonstra que a Microsoft está considerando modelos de acesso nos quais não apenas usuários humanos, mas também agentes autônomos e outras identidades digitais precisam ser protegidos.
O crescimento das identidades não humanas amplia a complexidade dos ambientes corporativos.
Service principals, aplicações, automações, workloads e agentes de IA podem possuir permissões relevantes e executar operações sensíveis.
Nesse contexto, governança de identidade e controle de acesso precisam evoluir conjuntamente.
O desafio não será apenas autenticar essas identidades, mas compreender quais privilégios possuem, quais recursos acessam e como suas atividades são controladas.
7. O que CISOs e arquitetos de IAM devem fazer agora?
Embora as funcionalidades ainda estejam em Public Preview, organizações podem começar a avaliar seus possíveis benefícios.
Uma primeira iniciativa é revisar a estrutura atual das políticas de Conditional Access, identificando redundâncias, exceções e oportunidades de padronização.
Outra é avaliar a qualidade dos Access Packages utilizados nos processos de Entitlement Management, verificando se representam necessidades de negócio claramente definidas.
Também é recomendável analisar a integração entre os controles de identidade e as soluções de segurança de rede existentes.
Em todos os casos, a adoção de recursos em preview deve ocorrer inicialmente em ambientes controlados, considerando requisitos de licenciamento, limitações técnicas e possíveis alterações antes da disponibilidade geral.
Conclusão: o Microsoft Entra está evoluindo além da autenticação
As novidades em Public Preview mostram que a Microsoft continua expandindo o papel do Entra na arquitetura de segurança corporativa.
O foco não está apenas em autenticar usuários ou aplicar políticas isoladas.
A evolução envolve organizar controles, melhorar a governança de acessos e integrar decisões de identidade à proteção da conectividade.
Para profissionais de IAM, IGA e Zero Trust, esse movimento reforça a necessidade de pensar a identidade como um componente central da estratégia de segurança.
A próxima geração de IAM será definida não apenas por quem consegue acessar um recurso, mas pela capacidade de governar continuamente as políticas, permissões e condições que tornam esse acesso possível.
Fontes oficiais Microsoft
- Create a Microsoft Entra Conditional Access policy plan (preview)
- Migrate Conditional Access policies to a policy plan (preview)
- Include access packages in catalog access reviews (preview)
- Configure cloud firewall for Global Secure Access clients (preview)
- What are Microsoft Entra Conditional Access policy plans?
