Attribute Provisioning Administrator + Attribute Provisioning Reader

Attribute Provisioning Reader existe para que auditoria e áreas de risco leiam a configuração de provisionamento dos custom security attributes sem poder alterá-la. Atribuí-la a quem já tem Attribute Provisioning Administrator não acrescenta acesso — o administrador já lê tudo — e apaga a distinção entre quem configura e quem verifica num dado que alimenta decisões de autorização.

A organização supõe que a configuração de atributos de segurança tem revisão independente quando configurador e revisor são a mesma pessoa.

• Reservar Attribute Provisioning Reader para auditoria e governança de dados, sem sobreposição com a role administrativa.
• Incluir a sobreposição das duas roles no relatório periódico de Access Reviews.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference