Exchange Administrator + Global Reader

Exchange Administrator já concentra um vetor de acesso sensível (correspondência corporativa). Somar Global Reader (leitura de tudo no tenant: configurações de segurança, usuários, aplicações) permite que a mesma identidade combine acesso de conteúdo com visibilidade total de contexto — útil para planejar acessos indevidos direcionados com base no que é lido via Global Reader.

Uso do Global Reader para identificar contas/executivos de interesse e do Exchange Administrator para acessar diretamente as caixas de e-mail correspondentes.

• Segregar Exchange Administrator (equipe de mensageria) de Global Reader (normalmente atribuído a auditoria/observabilidade).
• Habilitar Customer Lockbox e auditoria detalhada de acesso a mailbox para contas executivas.
• Revisar trimestralmente quem acumula acesso de conteúdo (Exchange) com visibilidade ampla (Global Reader).

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference