Revogar o acesso do usuário na ID do Microsoft Entra
Os cenários que podem exigir que um administrador revogue todo o acesso de um usuário incluem contas comprometidas, demissão de funcionários e outras ameaças internas. Dependendo da complexidade do ambiente, os administradores podem executar várias etapas para garantir que o acesso seja revogado. Em alguns cenários, pode haver um período entre a inicialização da revogação de acesso e a revogação efetiva do acesso.
Para reduzir os riscos, você deve entender como os tokens funcionam. Há muitos tipos de tokens, que se enquadram em um dos padrões discutidos neste artigo.
Tokens de acesso e tokens de atualização
Tokens de acesso e tokens de atualização são frequentemente usados com aplicativos cliente densos e são usados em aplicativos baseados em navegador, como aplicativos de página única.
- Quando os usuários se autenticam na ID do Microsoft Entra, parte do Microsoft Entra, as diretivas de autorização são avaliadas para determinar se o usuário pode receber acesso a um recurso específico.
- Uma vez autorizada, a ID do Microsoft Entra emite um token de acesso e um token de atualização para o recurso.
- Se o protocolo de autenticação permitir, o aplicativo poderá reautenticar silenciosamente o usuário passando o token de atualização para a ID do Microsoft Entra quando o token de acesso expirar. Por padrão, os tokens de acesso emitidos pela ID do Microsoft Entra duram 1 hora.
- Em seguida, a ID do Microsoft Entra reavalia suas diretivas de autorização. Se o usuário ainda estiver autorizado, a ID do Microsoft Entra emitirá um novo token de acesso e atualizará o token.
Os tokens de acesso poderão representar um risco de segurança se precisarem ser revogados em um período menor do que o tempo de vida típico de uma hora. Por esse motivo, a Microsoft está trabalhando ativamente para levar a Avaliação contínua de acesso aos aplicativos do Office 365, o que ajuda a garantir a invalidação de tokens de acesso quase em tempo real.
Tokens de sessão (cookies)
A maioria dos aplicativos baseados em navegador usa tokens de sessão, em vez de tokens de acesso e de atualização.
Quando um usuário abre um navegador e se autentica em um aplicativo via ID do Microsoft Entra, o usuário recebe dois tokens de sessão. Um da ID do Microsoft Entra e outro do aplicativo.
Depois que o aplicativo emite seu próprio token de sessão, o aplicativo controla o acesso com base em suas políticas de autorização.
As políticas de autorização da ID do Microsoft Entra são reavaliadas com a mesma frequência com que o aplicativo envia o usuário de volta para a ID do Microsoft Entra. A reavaliação costuma ocorrer silenciosamente, embora a frequência dependa de como o aplicativo é configurado. É possível que o aplicativo nunca envie o usuário de volta para a ID do Microsoft Entra, desde que o token de sessão seja válido.
Para que um token de sessão seja revogado, o aplicativo deverá revogar o acesso com base nas próprias políticas de autorização. a ID do Microsoft Entra não pode revogar diretamente um token de sessão emitido por um aplicativo.
Revogar o acesso de um usuário no ambiente híbrido
Para um ambiente híbrido com o Active Directory local sincronizado com a ID do Microsoft Entra, a Microsoft recomenda que os administradores de TI executem as seguintes ações. Se você tiver um ambiente somente do Microsoft Entra, vá para a seção Ambiente do Microsoft Entra.
Ambiente do Active Directory local
Como administrador no Active Directory, conecte-se à sua rede local, abra o PowerShell e execute as seguintes ações:
Desabilite o usuário no Active Directory. Veja Disable-ADAccount.
Disable-ADAccount -Identity johndoeRedefina a senha do usuário duas vezes no Active Directory. Veja set-ADAccountPassword.
Observação
O motivo para alterar a senha de um usuário duas vezes é reduzir o risco de Pass-the-Hash, especialmente se houver atrasos na replicação de senha local. Se você puder presumir com segurança que essa conta não está comprometida, poderá redefinir a senha apenas uma vez.
Importante
Não use as senhas de exemplo nos cmdlets a seguir. Altere as senhas para uma cadeia de caracteres aleatória.
Set-ADAccountPassword -Identity johndoe -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "p@ssw0rd1" -Force) Set-ADAccountPassword -Identity johndoe -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "p@ssw0rd2" -Force)
Ambiente Microsoft Entra
Como administrador na ID do Microsoft Entra, abra o PowerShell, execute o Connect-MgGraph e execute as seguintes ações:
Desative o usuário na ID do Microsoft Entra. Consulte Update-MgUser.
$User = Get-MgUser -Search UserPrincipalName:'johndoe@contoso.com' -ConsistencyLevel eventual Update-MgUser -UserId $User.Id -AccountEnabled:$falseRevogue os tokens de atualização da ID do Microsoft Entra do usuário. Consulte Revoke-MgUserSignInSession.
Revoke-MgUserSignInSession -UserId $User.IdDesabilite os dispositivos do usuário. Consulte Get-MgUserRegisteredDevice.
$Device = Get-MgUserRegisteredDevice -UserId $User.Id Update-MgDevice -DeviceId $Device.Id -AccountEnabled:$false
Observação
Para obter informações sobre funções específicas que podem executar essas etapas, consulte funções internas do Microsoft Entra
Observação
Os módulos Azure AD e MSOnline PowerShell estão preteridos desde 30 de março de 2024. Para saber mais, leia a atualização de preterição. Após essa data, o suporte a esses módulos se limitará à assistência à migração para o SDK do Microsoft Graph PowerShell e às correções de segurança. Os módulos preteridos continuarão funcionando até 30 de março de 2025.
Recomendamos migrar para o Microsoft Graph PowerShell para interagir com o Microsoft Entra ID (antigo Azure AD). Para perguntas comuns sobre migração, consulte as Perguntas Frequentes sobre Migração. Observação: As versões 1.0.x do MSOnline poderão sofrer interrupções após 30 de junho de 2024.
Quando o acesso é revogado
Depois que os administradores seguirem as etapas acima, o usuário não poderá obter novos tokens para qualquer aplicativo vinculado à ID do Microsoft Entra. O tempo decorrido entre a revogação e o usuário que está perdendo o acesso depende de como o aplicativo está concedendo acesso:
Para aplicativos que usam tokens de acesso, o usuário perde o acesso quando o token de acesso expira.
Para aplicativos que usam tokens de sessão, as sessões são encerradas assim que o token expira. Se o estado desabilitado do usuário for sincronizado com o aplicativo, o aplicativo poderá revogar automaticamente as sessões do usuário se estiver configurado para fazer isso. O tempo necessário depende da frequência de sincronização entre o aplicativo e a ID do Microsoft Entra.
Práticas recomendadas
Implante uma solução automatizada de provisionamento e desprovisionamento. O desprovisionamento de usuários de aplicativos é uma forma eficaz de revogar o acesso, especialmente para aplicativos que usam tokens de sessão ou permitem que os usuários entrem diretamente sem um token do Microsoft Entra ou do Windows Server AD. Desenvolva um processo para também desprovisionar usuários para aplicativos que não dão suporte ao provisionamento e desprovisionamento automáticos. Certifique-se de que os aplicativos revoguem seus tokens de sessão e parem de aceitar os tokens de acesso à Microsoft Entra, mesmo que eles ainda sejam válidos.
Use o provisionamento de aplicativos do Microsoft Entra. Normalmente, o provisionamento de aplicativos do Microsoft Entra é executado automaticamente a cada 20 a 40 minutos. Configure o provisionamento do Microsoft Entra para desprovisionar ou desativar usuários em aplicativos SaaS e locais. Se você estava usando o Microsoft Identity Manager para automatizar o desprovisionamento de usuários de aplicativos locais, poderá usar o provisionamento de aplicativos do Microsoft Entra para alcançar aplicativos locais com um banco de dados SQL, servidor de diretório não AD ou outros conectores.
Para aplicativos locais que usam o Windows Server AD, é possível configurar Fluxos de Trabalho do Ciclo de Vida do Microsoft Entra para atualizar os usuários no AD (versão prévia) quando os funcionários saírem.
Identifique e desenvolva um processo para aplicativos que exigem desprovisionamento manual, como a criação automatizada de tíquetes do ServiceNow com o Gerenciamento de Direitos do Microsoft Entra para abrir um tíquete quando os funcionários perderem o acesso. Certifique-se de que os administradores e proprietários de aplicativos possam executar rapidamente as tarefas manuais necessárias para desprovisionar o usuário desses aplicativos quando necessário.
Gerencie seus dispositivos e aplicativos com o Microsoft Intune. Os dispositivos gerenciados pelo Intune podem ser redefinidos para as configurações de fábrica. Se o dispositivo não for gerenciado, você poderá apagar os dados corporativos dos aplicativos gerenciados. Esses processos são eficazes para remover dados potencialmente confidenciais dos dispositivos dos usuários finais. No entanto, para que qualquer processo seja disparado, o dispositivo deverá estar conectado à Internet. Se o dispositivo estiver offline, ele ainda terá acesso a quaisquer dados armazenados localmente.
Observação
Os dados no dispositivo não podem ser recuperados depois de uma limpeza.
Use o Microsoft Defender for Cloud Apps para bloquear o download de dados quando apropriado. Se os dados só puderem ser acessados online, as organizações poderão monitorar sessões e realizar a imposição de políticas em tempo real.
Use a Avaliação contínua de acesso (CAE) no Microsoft Entra ID. A CAE permite que os administradores revoguem os tokens de sessão e tokens de acesso para aplicativos compatíveis com a CAE.