Domain Name Administrator + Global Administrator

Global Administrator já herda a capacidade de gerenciar domínios verificados. Atribuir Domain Name Administrator explicitamente à mesma identidade não amplia poder real, mas reforça a prática de acumular roles redundantes na conta administrativa mais crítica do tenant, dificultando a governança de "least privilege" e a clareza de quem é responsável por qual função.

Dificuldade de auditoria e de aplicar least privilege quando contas de Global Administrator acumulam roles adicionais redundantes, tornando revisões de acesso menos eficazes.

• Evitar atribuir roles redundantes a contas que já possuem Global Administrator.
• Revisar periodicamente roles adicionais atribuídas a contas de Global Administrator via Access Reviews.
• Documentar claramente a justificativa de qualquer role adicional sobre uma conta de Global Administrator.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference