Directory Writers + User Administrator

Directory Writers é uma role pouco conhecida que concede escrita a um conjunto amplo de objetos de diretório, sobrepondo-se parcialmente ao que User Administrator já cobre para contas de usuário. A combinação normalmente indica falta de rigor na atribuição de roles e dificulta auditoria de responsabilidade (qual role foi usada para uma alteração específica).

Alterações em objetos de diretório realizadas via Directory Writers sem trilha de auditoria tão clara quanto a de User Administrator, dificultando investigações.

• Preferir User Administrator (mais específica e melhor documentada) a Directory Writers sempre que possível.
• Revisar atribuições de Directory Writers via Access Reviews, questionando a necessidade real.
• Documentar claramente o propósito de qualquer atribuição de Directory Writers.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference