Application Administrator (Entra ID) + Key Vault Administrator (Azure RBAC)

Application Administrator pode registrar aplicações e gerar credenciais (client secrets/certificados). Muitas organizações armazenam esses segredos em Key Vaults para consumo por outras aplicações. Uma identidade com ambas as roles pode registrar um app malicioso E acessar diretamente os Key Vaults onde segredos de aplicações legítimas estão armazenados, sem segregação entre gestão de identidade de aplicação e gestão de segredos.

Registro de uma aplicação maliciosa combinado com acesso direto a segredos de aplicações legítimas armazenados em Key Vault, permitindo personificação ou movimento lateral entre aplicações.

• Segregar governança de aplicações (Application Administrator) da administração de Key Vaults (Key Vault Administrator).
• Escopar o acesso de cada aplicação a Key Vaults específicos via managed identities, nunca via credenciais compartilhadas.
• Auditar registros de aplicação correlacionados com acesso a Key Vault na mesma janela de tempo.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference
• https://learn.microsoft.com/en-us/azure/key-vault/general/rbac-guide