Global Administrator (Entra ID) + Owner (Azure subscription)

Global Administrator pode elevar-se a acesso a todas as subscriptions Azure do tenant via "Access management for Azure resources" no Entra ID. Combinado com Owner atribuído diretamente em uma subscription, a mesma identidade controla tanto o plano de identidade quanto o plano de recursos, sem qualquer camada de aprovação entre os dois mundos.

Comprometimento de uma única conta resulta em takeover completo do tenant Entra ID E de toda a infraestrutura Azure associada — o cenário de "blast radius total" mais crítico do modelo EAM.

• Nunca atribuir Owner de subscription de forma permanente a quem tem Global Administrator — usar PIM para Azure Resources com ativação just-in-time.
• Manter a opção "Access management for Azure resources" desativada por padrão, habilitando apenas durante breach recovery documentado.
• Usar contas de emergência (break-glass) segregadas para cada plano (identidade vs. recursos).

• https://learn.microsoft.com/en-us/azure/role-based-access-control/elevate-access-global-admin
• https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-access-model