Global Administrator + Security Reader

Global Administrator pode alterar qualquer configuração do tenant (incluindo trilhas de auditoria, políticas de segurança e configuração de logging), enquanto Security Reader permite visualizar alertas, políticas e relatórios de segurança. Quando a mesma identidade acumula os dois papéis, ela pode alterar o ambiente e, em seguida, revisar os próprios logs sem qualquer segregação entre "quem age" e "quem verifica".

Um administrador comprometido ou malicioso pode desabilitar/alterar controles de segurança e, na sequência, usar o acesso de leitura para confirmar que a própria ação não gerou alertas visíveis, atrasando a detecção do incidente.

• Atribuir Security Reader a uma equipe de SOC/Blue Team distinta da equipe de administração do tenant.
• Exigir PIM (Privileged Identity Management) com aprovação de terceiros para ativação de Global Administrator.
• Encaminhar logs de auditoria para um SIEM externo com acesso restrito à própria equipe de administração.
• Revisar periodicamente atribuições combinadas via Access Reviews do Entra ID.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference
• https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure