Azure Lighthouse: porque é que a organização de um MSP não é o mesmo que um tenant

O Azure Lighthouse é o padrão documentado da Microsoft para permitir que um fornecedor de serviços geridos trabalhe com os recursos Azure de muitos clientes a partir do seu próprio tenant, sem fundir o diretório de qualquer cliente com o do MSP. A Microsoft chama a isto gestão de recursos delegada do Azure: um cliente delega subscrições ou grupos de recursos específicos a utilizadores e funções específicos no tenant do MSP, e pode revogar esse acesso de forma independente em qualquer altura.

Como funciona realmente a delegação

Nos bastidores, a integração de um cliente cria dois recursos dentro do próprio tenant do cliente: uma definição de registo, que descreve que acesso está a ser concedido e a quem, e uma atribuição de registo, que a ativa. Quando alguém no tenant do MSP tenta agir sobre um recurso delegado, o Azure Resource Manager autentica esse pedido da mesma forma que autentica um pedido de um utilizador nativo do tenant do cliente — o utilizador do MSP nunca precisa de uma conta dentro do diretório do cliente e nunca se torna coproprietário do mesmo. Os clientes mantêm visibilidade sobre o que foi delegado e podem vê-lo a partir do seu próprio portal.

Porque é que a terminologia gera confusão

A própria orientação da Microsoft é explícita ao afirmar que "organização" e "tenant" não são permutáveis: uma única organização comercial — uma marca, uma entidade legal — pode abranger muitos tenants do Microsoft Entra, um por cliente, por ambiente ou por aquisição. O Lighthouse foi construído em torno dessa realidade e não contra ela: permite que uma organização opere através de tenants, mantendo cada tenant como uma fronteira rígida para identidade e acesso. Colapsar essa distinção — tratar "a nossa organização" como se fosse um único tenant — é o erro que a arquitetura do Lighthouse foi concebida para prevenir, e não apenas para documentar.

Para os MSP que constroem ou compram ferramentas multi-tenant de qualquer tipo, o Azure Lighthouse é um ponto de referência útil: o acesso delegado e revogável a um tenant separado é um design diferente e, em geral, mais seguro do que agrupar vários clientes sob um único diretório partilhado e distingui-los com sinalizadores ao nível da aplicação. A distinção é arquitetónica, não um rótulo de conformidade — vale a pena verificá-la no modelo de acesso real de qualquer fornecedor, e não apenas na sua cópia de marketing.

Fontes: Microsoft Learn — O que é o Azure Lighthouse?, Microsoft Learn — Tenants, utilizadores e funções no Azure Lighthouse.