FAQ para MSP: como governar o acesso entre inquilinos sem um administrador omnipotente

Um modo de falha comum nas operações dos MSP é uma conta de técnico ou de automação com direitos de administrador permanentes em todos os inquilinos dos clientes — um “god admin” que transforma uma única credencial comprometida numa violação de toda a base de clientes. O modelo Granular Delegated Admin Privileges (GDAP) da Microsoft, criado para o seu próprio ecossistema de parceiros, ilustra a alternativa.

O que muda com o GDAP

Antes do GDAP, os agentes de administração de um parceiro podiam assumir indefinidamente uma função de Administrador Global no inquilino de um cliente. O GDAP substitui isso por um acesso que é simultaneamente granular — limitado a funções administrativas específicas — e com prazo definido, e exige que o cliente conceda explicitamente esse acesso em vez de o herdar automaticamente. As orientações da própria Microsoft sobre funções vão mais longe, mapeando cada tarefa administrativa para a função incorporada com menos privilégios capaz de a executar, em vez de recorrer por conveniência a uma função administrativa ampla.

Aplicar o mesmo modelo além do Microsoft 365

O padrão GDAP generaliza-se para qualquer stack de SaaS que um MSP gira em nome de um cliente: cada inquilino de cada cliente deve ser a sua própria fronteira de governação, as identidades dos técnicos e da automação devem ser distintas e o acesso elevado deve expirar em vez de persistir. Uma discussão no fórum de MSP do Non-Human Identity Management Group enquadra o risco subjacente de forma clara: o isolamento fraco entre inquilinos transforma a conveniência operacional em risco partilhado para todos os clientes na plataforma.

Uma lista de verificação prática

• Nenhuma função de Administrador Global ou equivalente que abranja todos os inquilinos dos clientes.
• Atribua funções de parceiro/técnico por cliente e reveja-as numa periodicidade fixa.
• Mantenha um percurso de emergência separado, com elevação limitada no tempo associada a um pedido.
• Dê à automação a sua própria identidade com o mínimo de privilégios, distinta da de qualquer técnico.
• Mantenha registos de auditoria por inquilino que possam ser pesquisados por cliente.

A lição generaliza-se para além do Microsoft 365: seja qual for a plataforma que um MSP utiliza para chegar aos inquilinos dos clientes, o acesso deve ser delimitado, limitado no tempo e por cliente — e não uma única identidade administrativa que abre todas as portas.

Fontes: Microsoft Learn — Introdução ao GDAP, Non-Human Identity Management Group — gestão de SaaS multi-inquilino para MSPs.