External Identity Provider Administrator + Privileged Role Administrator

External Identity Provider Administrator configura a federação com provedores de identidade externos, incluindo quais IdPs são confiáveis para autenticação B2B. Combinado com Privileged Role Administrator, a mesma identidade pode configurar/confiar em um IdP externo controlado por ela e então atribuir uma role privilegiada à identidade federada resultante.

Confiança em um provedor de identidade externo comprometido/controlado pelo atacante, seguida de atribuição de uma role Tier 0/1 a uma conta federada por esse IdP.

• Segregar configuração de federação externa (External Identity Provider Administrator) da atribuição de roles privilegiadas.
• Restringir quais domínios/IdPs externos podem ser configurados via política organizacional e aprovação formal.
• Auditar atribuições de role privilegiada a identidades provenientes de federação externa/B2B.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference
• https://learn.microsoft.com/en-us/entra/external-id/identity-providers