Global Administrator + Exchange Administrator

Exchange Administrator já é acessível via Global Administrator por herança de permissões, mas atribuí-lo explicitamente reforça a concentração de um vetor de acesso especialmente sensível: correspondência corporativa, incluindo comunicações executivas e jurídicas, sem segregação entre administração de plataforma e administração de conteúdo de e-mail.

Acesso a e-mails de executivos/jurídico para fins de espionagem interna, insider trading ou vazamento de informação privilegiada, sem trilha de aprovação específica para acesso a mailbox.

• Restringir Exchange Administrator a uma equipe de mensageria distinta da administração geral do tenant.
• Habilitar Customer Lockbox e auditoria detalhada de acesso a mailbox para contas executivas.
• Exigir justificativa registrada (ticket) para qualquer acesso administrativo a uma caixa de e-mail específica.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference