Authentication Policy Administrator (Entra ID) + Network Contributor (Azure RBAC)

Network Contributor pode provisionar/alterar gateways, NAT e endereços IP públicos usados por infraestrutura Azure. Quando políticas de autenticação ou Conditional Access dependem de faixas de IP/rede como sinal de confiança, uma identidade que controla tanto a política de autenticação quanto a infraestrutura de rede pode criar um caminho de rede que "parece" confiável para a política que ela mesma administra.

Provisionamento de um recurso de rede com IP público específico combinado com ajuste da política de autenticação para tratar esse intervalo como confiável, criando um bypass indireto de controles de MFA/localização.

• Segregar administração de políticas de autenticação (Entra ID) da administração de infraestrutura de rede (Azure RBAC).
• Revisar periodicamente faixas de IP/localizações confiáveis usadas em políticas de autenticação contra a infraestrutura de rede real.
• Auditar criação de recursos de rede com IP público correlacionada com alterações de política de autenticação.

• https://learn.microsoft.com/en-us/entra/identity/authentication/concept-authentication-methods-manage
• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles