Perguntas comuns sobre requisitos de segurança de parceiros

Todos os parceiros no programa CSP (fatura direta, provedor indireto e revendedor indireto), Consultores e Fornecedores do Painel de Controle devem atender aos requisitos.

1. Impor MFA para todos os usuários

   Todos os parceiros do programa CSP, Consultores e Fornecedores do Painel de Controle são obrigados a impor a MFA para todos os usuários em seu locatário parceiro.

   Outras considerações:

   • Os provedores indiretos precisam trabalhar com revendedores indiretos para integrar ao Partner Center, caso ainda não o tenham feito, e incentivar seus revendedores a atender aos requisitos.
   • A autenticação multifator do Microsoft Entra está disponível para usuários no locatário parceiro sem custo por meio dos padrões de segurança do Microsoft Entra, com o único método de verificação de um aplicativo autenticador que oferece suporte a senhas únicas (TOTP) baseadas no tempo.
   • Outros métodos de verificação estão disponíveis através das SKUs Microsoft Entra P1 ou P2 , se outros métodos, como uma chamada telefônica ou mensagem de texto, forem necessários.
   • Os parceiros também podem usar uma solução de MFA de terceiros para cada conta ao acessar os serviços de nuvem comerciais da Microsoft.

2. Adotar a arquitetura Modelo de Aplicação Segura

   Os parceiros que desenvolveram integração personalizada usando quaisquer APIs (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, devem adotar a estrutura do Modelo de Aplicativo Seguro para integração com os serviços de nuvem da Microsoft. A falha em fazê-lo pode resultar em uma interrupção devido à implantação de MFA.

   Os recursos a seguir fornecem uma visão geral e orientações sobre como adotar o modelo.

   • Visão geral do Modelo de Aplicativo Seguro
   • Partner Center: Guia do Modelo de Aplicativo Seguro
   • Parceiros no programa CSP: código de exemplo .NET para habilitar o Modelo de Aplicativo Seguro
   • Documento de autenticação do Partner Center
   • Documento MFA (Multifactor Authentication) do PowerShell do Partner Center

   Consulte o fornecedor se estiver usando um painel de controle sobre a adoção da estrutura Secure Application Model.

   Os fornecedores de painéis de controle são obrigados a integrar ao Partner Center como fornecedores de painéis de controle e começar a implementar esse requisito imediatamente. Consulte a estrutura Partner Center: Secure Application Model.

   Os fornecedores do painel de controle devem aceitar e gerenciar o consentimento dos parceiros CSP em vez de credenciais e limpar todas as credenciais dos parceiros CSP existentes.

O MFA é um mecanismo de segurança para autenticar indivíduos usando mais de um procedimento de segurança e validação necessário. Ele funciona exigindo dois ou mais dos seguintes métodos de autenticação:

• Algo que sabe (normalmente uma palavra-passe)
• Algo que você tem (um dispositivo confiável que não é facilmente duplicado, como um telefone)
• Algo que você é (biometria)

A Microsoft fornece MFA sem custo através da implementação de padrões de segurança do Microsoft Entra. A única opção de verificação disponível usando esta versão do MFA é um aplicativo autenticador.

• Se for necessária uma chamada telefónica ou uma mensagem SMS, terá de ser adquirida uma licença Microsoft Entra P1 ou P2 .
• Como alternativa, você pode utilizar uma solução de terceiros para fornecer MFA para cada usuário em seu locatário parceiro. Nesse caso, é sua responsabilidade garantir que sua solução de MFA esteja sendo aplicada e que você esteja em conformidade.

Os usuários em um locatário parceiro devem se autenticar usando MFA ao acessar os serviços de nuvem comercial da Microsoft. Soluções de terceiros podem ser usadas para atender a esses requisitos. A Microsoft não fornece mais testes de validação para provedores de identidade independentes quanto à compatibilidade com o Microsoft Entra ID. Para testar a interoperabilidade do seu produto, consulte Documentos de compatibilidade do provedor de identidade Microsoft Entra.

Sim. Você deve impor MFA para cada locatário do Microsoft Entra associado ao programa CSP ou ao programa Advisor. Para comprar uma licença do Microsoft Entra ID P1 ou P2, você deve comprar uma licença do Microsoft Entra ID para os usuários em cada locatário do Microsoft Entra.

Sim. Cada usuário deve ter a MFA imposta. No entanto, se você estiver usando os padrões de segurança do Microsoft Entra, nenhuma outra ação será necessária, pois esse recurso impõe MFA para todas as contas de usuário. Habilitar padrões de segurança é uma maneira gratuita e fácil de garantir que suas contas de usuário estejam em conformidade com MFA e não sejam afetadas quando a MFA for imposta.

Os parceiros do Provedor de Soluções na Nuvem de cobrança direta devem impor a MFA para cada usuário em seu locatário parceiro.

Sim. Todos os revendedores indiretos são obrigados a aplicar a MFA para cada usuário em seu locatário parceiro. O revendedor indireto deve habilitar o MFA.

Sim. Este requisito de segurança é para todos os usuários, incluindo usuários administradores de parceiros e usuários finais em um locatário parceiro.

Ao analisar fornecedores e soluções de MFA, você deve garantir que a solução escolhida seja compatível com o Microsoft Entra ID.

A Microsoft não fornece mais testes de validação para provedores de identidade independentes quanto à compatibilidade com o Microsoft Entra ID. Se você quiser testar a interoperabilidade do produto, consulte Documentos de compatibilidade do provedor de identidade Microsoft Entra.

Para obter mais informações, consulte a lista de compatibilidade de federação do Microsoft Entra.

O recurso de padrões de segurança do Microsoft Entra deve ser habilitado. Como alternativa, você pode usar uma solução de terceiros que usa federação.

N.º O cumprimento desses requisitos de segurança não afetará a forma como você gerencia seus clientes. Sua capacidade de executar operações administrativas delegadas não será interrompida.

N.º Não é necessário impor MFA para cada usuário nos locatários do Microsoft Entra do seu cliente. No entanto, recomendamos que você trabalhe com cada cliente para determinar a melhor forma de proteger seus usuários.

N.º Todos os usuários em seu locatário parceiro, incluindo contas de serviço, devem se autenticar usando MFA.

Sim. Isso significa que você deve implementar a solução MFA apropriada para usuários no locatário de área restrita de integração. Recomendamos que você implemente os padrões de segurança do Microsoft Entra para fornecer MFA.

É considerado uma prática recomendada criar uma ou duas contas de acesso de emergência para evitar ser bloqueado inadvertidamente do seu locatário do Microsoft Entra. Com relação aos requisitos de segurança do parceiro, é necessário que cada usuário se autentique usando MFA. Esse requisito significa que você precisa modificar a definição de uma conta de acesso de emergência. Pode ser uma conta que usa uma solução de terceiros para MFA.

N.º Não é necessário ter o Serviço de Federação do Ative Directory (ADFS) se você estiver usando uma solução de terceiros. É recomendável que você trabalhe com o fornecedor da solução para determinar quais são os requisitos para a solução.

N.º

Sim. Você pode usar o acesso condicional para impor a MFA para cada usuário, incluindo contas de serviço, em seu locatário parceiro. No entanto, dada a natureza altamente privilegiada de ser um parceiro, precisamos garantir que cada usuário tenha um desafio de MFA para cada autenticação. Isso significa que você não pode usar o recurso de acesso condicional que contorna o requisito de MFA.

N.º A conta de serviço usada pelo Microsoft Entra Connect não será afetada pelos requisitos de segurança do parceiro. Se você tiver um problema com o Microsoft Entra Connect como resultado da imposição de MFA, abra uma solicitação de suporte técnico com o suporte da Microsoft.

A Microsoft introduziu uma estrutura segura e escalável para autenticar parceiros CSP (Provedor de Soluções na Nuvem) e Fornecedores de Painel de Controle (CPV) que usa autenticação multifator. Para obter mais informações, consulte o guia Modelo de Aplicativo Seguro. Todos os parceiros que desenvolveram integração personalizada usando quaisquer APIs (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, precisarão adotar a estrutura do Modelo de Aplicativo Seguro para integração com os serviços de nuvem da Microsoft.

A Microsoft está introduzindo uma estrutura segura e escalável para autenticar parceiros CSP (Provedor de Soluções na Nuvem) e Fornecedores de Painel de Controle (CPV) que usam autenticação multifator. Para obter mais informações, consulte o guia Modelo de Aplicativo Seguro.

Todos os parceiros que desenvolveram integração personalizada usando quaisquer APIs (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, devem adotar a estrutura do Modelo de Aplicativo Seguro para integração com os serviços de nuvem da Microsoft. A falha em fazê-lo pode resultar em uma interrupção devido à implantação de MFA.

Os recursos a seguir fornecem uma visão geral e orientações sobre como adotar o modelo:

• Visão geral do Modelo de Aplicativo Seguro
• Partner Center: Guia do Modelo de Aplicativo Seguro
• Parceiros no programa CSP: código de exemplo .NET para habilitar o Modelo de Aplicativo Seguro
• Documento de autenticação do Partner Center
• Documento MFA (Multifactor Authentication) do PowerShell do Partner Center

Se você estiver usando um painel de controle, precisará consultar o fornecedor sobre a adoção da estrutura do Modelo de Aplicativo Seguro.

Os fornecedores de painéis de controle são obrigados a integrar o Partner Center como um fornecedor de painel de controle e começar a implementar esse requisito imediatamente.

Consulte a estrutura Partner Center: Secure Application Model. Os fornecedores do painel de controle devem aceitar e gerenciar o consentimento dos parceiros CSP em vez de credenciais e limpar todas as credenciais dos parceiros CSP existentes.

Ao impor a autenticação multifator para todas as contas de usuário, qualquer automação ou integração destinada a ser executada de forma não interativa é afetada. Embora os requisitos de segurança do parceiro exijam que você habilite o modelo de aplicativo seguro para a API do Partner Center, ele pode ser usado para atender à necessidade de um segundo fator de autenticação com automação e integração.

Você deve implementar o Modelo de Aplicativo Seguro se a automação for executada de forma não interativa e depender de credenciais de usuário para autenticação. Consulte Modelo de aplicativo seguro | Partner Center PowerShell para obter orientação sobre como implementar essa estrutura.

É recomendável que você use uma conta de serviço à qual tenham sido atribuídas as permissões menos privilegiadas. Com relação à API do Partner Center, você deve usar uma conta que tenha sido atribuída à função de agente de vendas ou agente administrativo.

É uma prática recomendada usar uma identidade menos privilegiada porque isso reduz o risco. Não é recomendável usar uma conta que tenha privilégios de administrador Global, pois isso fornece mais permissões do que as necessárias.

Para parceiros que usam uma solução de Fornecedor de Painel de Controle (CPV) para realizar transações no programa CSP (Provedor de Soluções na Nuvem), é sua responsabilidade consultar seu CPV.

Um fornecedor de painel de controle é um fornecedor de software independente que desenvolve aplicativos para uso por parceiros CSP para integração com APIs do Partner Center. Um fornecedor de painel de controle não é um parceiro CSP com acesso direto ao Partner Center ou APIs. Uma descrição detalhada está disponível no guia Partner Center: Secure Applications Model.

Para se inscrever como um fornecedor de painel de controle (CPV), siga as diretrizes em Inscrever-se como um fornecedor de painel de controle para ajudar a integrar sistemas de parceiros CSP com APIs do Partner Center.

Depois de se inscrever no Partner Center e registrar seus aplicativos, você terá acesso às APIs do Partner Center. Você receberá suas informações de área restrita em uma notificação do Partner Center se for um novo CPV. Depois de concluir o registro como um Microsoft CPV e aceitar o contrato de CPV, você pode:

• Gerencie aplicativos multilocatários (adicione aplicativos ao portal do Azure e registre e cancele o registro de aplicativos no Partner Center).

  Nota

  Os CPVs devem registrar seus aplicativos no Partner Center para obter autorização para APIs do Partner Center. Adicionar aplicativos ao portal do Azure sozinho não autoriza aplicativos CPV para APIs do Partner Center.

• Visualize e gerencie seu perfil CPV.

• Visualize e gerencie seus usuários que precisam acessar os recursos de CPV. Um CPV só pode ter a função de administrador global.

N.º Você deve seguir as diretrizes no guia Modelo de Aplicativo Seguro.

Sim. Um token de atualização pode ser gerado usando uma conta que não tenha MFA imposta. No entanto, deve evitar-se fazê-lo. Qualquer token gerado usando uma conta que não tenha MFA habilitada não poderá acessar recursos devido ao requisito de MFA.

Siga o guia Modelo de Aplicativo Seguro que fornece detalhes sobre como fazer isso em conformidade com os novos requisitos de segurança. Você pode encontrar o código de exemplo .NET em Partner Center DotNet Samples - Secure App Model e código de exemplo Java em Partner Center Java Samples.

O CPV deve criar o aplicativo Microsoft Entra no locatário associado ao seu registro como CPV.

A autenticação somente de aplicativo não é afetada porque as credenciais do usuário não são usadas para solicitar um token de acesso. Se as credenciais do usuário estiverem sendo compartilhadas, os fornecedores de painéis de controle (CPVs) deverão adotar a estrutura do Modelo de Aplicativo Seguro e limpar todas as credenciais de parceiro existentes que possuam.

N.º Painel de controle Os parceiros do fornecedor não podem utilizar o estilo de autenticação somente do aplicativo para solicitar tokens de acesso em nome do parceiro. Eles devem implementar o modelo de aplicativo seguro, que utiliza o estilo de autenticação aplicativo + usuário.

Todos os parceiros que participam do programa CSP (Provedor de Soluções na Nuvem), Fornecedores de Painel de Controle (CPVs) e Consultores devem implementar os requisitos de segurança obrigatórios para permanecerem em conformidade.

Para fornecer mais proteção, a Microsoft iniciou a ativação de proteções de segurança que ajudam os parceiros a proteger seus locatários e seus clientes, exigindo a verificação de autenticação multifator (MFA) para impedir o acesso não autorizado.

Concluímos com êxito a ativação dos recursos admin-on-behalf-of (AOBO) para todos os locatários parceiros. Para ajudar ainda mais a proteger parceiros e clientes, começaremos a ativação para transações do Partner Center no CSP, ajudando os parceiros a proteger seus negócios e clientes contra incidentes relacionados ao roubo de identidade.

Para obter mais informações, consulte Mandating Multifactor Authentication (MFA) para sua página de locatário parceiro.

Para validar que a conta que acessa recursos foi desafiada para autenticação multifator, verificamos a declaração de referência do método de autenticação para ver se a MFA está listada. Algumas soluções de terceiros não emitem essa declaração ou não incluem o valor de MFA. Se a declaração estiver ausente ou se o valor MFA não estiver listado, não há uma maneira de determinar se a conta autenticada foi contestada para autenticação multifator. Você precisará trabalhar com o fornecedor de sua solução de terceiros para determinar quais ações devem ser tomadas para que a solução emita a declaração de referência do método de autenticação.

Se você não tiver certeza se sua solução de terceiros está emitindo a declaração esperada ou não, consulte Testando os requisitos de segurança do parceiro.

A aplicação técnica dos requisitos de segurança do parceiro é verificada se a conta autenticada tiver sido contestada para autenticação multifator. Se a conta não tiver sido verificada, será redirecionado para a página de início de sessão e ser-lhe-á pedido para se autenticar novamente.

Para obter mais experiência e orientação, consulte Mandating Multifactor Authentication (MFA) para seu locatário parceiro.

Em um cenário em que seu domínio não esteja federado, depois de autenticar com êxito, você será solicitado a configurar a autenticação multifator. Depois que isso for concluído, você poderá gerenciar seus clientes usando AOBO. Em um cenário em que seu domínio é federado, você precisará garantir que a conta esteja sendo desafiada para autenticação multifator.

As políticas de "linha de base" do Microsoft Entra ID estão sendo removidas e substituídas por "padrões de segurança", um conjunto mais abrangente de políticas de proteção para você e seus clientes. Os padrões de segurança podem ajudar a proteger sua organização contra ataques de segurança relacionados ao roubo de identidade.

Sua implementação de autenticação multifator (MFA) será removida devido à desativação das políticas de linha de base se você não tiver feito a transição das políticas de linha de base para a política de padrões de segurança ou outras opções de implementação de MFA. Todos os usuários em seus locatários parceiros que executam operações protegidas por MFA serão solicitados a concluir a verificação de MFA. Para obter orientações mais detalhadas, consulte Mandating multifactor authentication for your partner tenant.

Para manter a conformidade e minimizar interrupções, use as seguintes etapas:

• Transição para padrões de segurança
  • A política de padrões de segurança é uma das opções que os parceiros podem escolher para implementar o MFA. Oferece um nível básico de segurança ativado sem custos adicionais.
  • Saiba como habilitar o MFA para sua organização com o Microsoft Entra ID e revise as principais considerações sobre padrões de segurança.
  • Habilite a política de padrões de segurança se ela atender às suas necessidades comerciais.
• Transição para o acesso condicional
  • Se a política de padrões de segurança não atender às suas necessidades, habilite o Acesso Condicional. Para obter mais informações, consulte a documentação do Microsoft Entra Conditional Access.

• Veja os requisitos de segurança do parceiro: guia passo a passo.
• Direcione suas perguntas e comentários para o Grupo de Orientação de Segurança do Partner Center.
• Participe dos próximos horários de expediente e webinars de parceiros. Verifique o cronograma detalhado e os recursos na página Comunidade de parceiros.

• Visão geral do Modelo de Aplicativo Seguro
• Partner Center: Guia do Modelo de Aplicativo Seguro
• Parceiros no programa CSP: código de exemplo .NET para habilitar o Modelo de Aplicativo Seguro
• Documento de autenticação do Partner Center
• Documento MFA (Multifactor Authentication) do PowerShell do Partner Center

Para obter recursos de suporte que atendam aos requisitos de segurança:

• Se você tiver o Suporte Avançado para Parceiros (ASfP), entre em contato com seu Gerente de Conta de Serviço.
• Para obter o contrato do Suporte Premier para Parceiros (PSfP), entre em contato com o Gerente de Conta de Serviço e o Gerente Técnico de Conta.

As opções de suporte técnico para o Microsoft Entra ID estão disponíveis através dos benefícios do Microsoft AI Cloud Partner Program. Os parceiros com acesso a uma subscrição ASfP ou PSfP ativa podem trabalhar com o respetivo gestor de conta associado (SAM/TAM) para compreender as melhores opções disponíveis.

Se perder o acesso devido a um problema de MFA, contacte o Administrador de Segurança do seu inquilino. O seu departamento de TI interno pode dizer-lhe quem é o seu administrador de segurança.

Se se esqueceu da palavra-passe, consulte Não é possível iniciar sessão para obter ajuda.

Informações sobre os problemas técnicos comuns podem ser encontradas em Requisitos de segurança de parceiros para parceiros que usam APIs do Partner Center ou do Partner Center