Cloud Device Administrator + Intune Administrator

Cloud Device Administrator gerencia dispositivos registrados no Entra ID (habilitar/desabilitar, excluir); Intune Administrator define as políticas de conformidade e configuração que esses dispositivos devem seguir. Combinadas, a mesma identidade pode enfraquecer a política de conformidade e, em seguida, garantir que um dispositivo específico (potencialmente comprometido) permaneça registrado e "em conformidade".

Enfraquecimento de uma política de conformidade de dispositivo (ex.: permitir dispositivos jailbroken) combinado com a manutenção do registro de um dispositivo específico que não deveria ter acesso.

• Segregar administração de identidade de dispositivo (Cloud Device Administrator) da administração de políticas de MDM (Intune Administrator).
• Auditar alterações em políticas de conformidade correlacionadas com o registro de dispositivos específicos.
• Aplicar Conditional Access exigindo conformidade de dispositivo validada de forma independente da equipe de Intune.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference