Application Administrator + Application Developer

Application Developer permite criar app registrations e gerenciar suas próprias aplicações; Application Administrator permite gerenciar TODAS as aplicações do tenant, incluindo consent de permissões. A combinação elimina a separação entre "quem desenvolve/registra um app" e "quem aprova/governa apps em produção" — um princípio básico de change management seguro.

Um desenvolvedor registra um app com permissões excessivas e, usando o papel de Application Administrator, aprova o próprio consent sem revisão externa.

• Segregar desenvolvimento (Application Developer) de aprovação/governança (Application Administrator) entre times diferentes.
• Exigir admin consent workflow com aprovador distinto do solicitante para qualquer permissão de alto impacto.
• Auditar apps registrados e aprovados pela mesma identidade em curto intervalo de tempo.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference