Application Administrator (Entra ID) + Contributor (Azure RBAC)

Application Administrator controla o registro e as credenciais de aplicações (incluindo consentimento de permissões). Contributor controla a infraestrutura Azure que muitas dessas aplicações usam para funcionar. Combinadas, a mesma identidade pode registrar uma aplicação com permissões amplas E provisionar a infraestrutura que a hospeda, sem segregação entre governança de identidade de aplicação e infraestrutura.

Registro de uma aplicação com permissões de alto impacto e provisionamento simultâneo de infraestrutura Azure dedicada a ela, sem revisão de um segundo time em nenhuma das duas etapas.

• Segregar governança de aplicações (Application Administrator) de provisionamento de infraestrutura (Contributor).
• Exigir admin consent workflow com aprovador independente para permissões de alto impacto.
• Auditar registros de aplicação correlacionados com provisionamento de infraestrutura na mesma janela de tempo.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference
• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles