Identity Governance Administrator + User Administrator

Identity Governance Administrator configura Entitlement Management (access packages, políticas de aprovação de solicitação de acesso) e Access Reviews. User Administrator gerencia diretamente contas, grupos e a atribuição de membros. Combinadas, a mesma pessoa define as regras de "quem pode solicitar/aprovar acesso" e também pode simplesmente adicionar usuários a grupos/roles diretamente, contornando o fluxo de aprovação formal que ela mesma configurou.

Provisionamento de acesso por fora do fluxo de Entitlement Management (que geraria trilha de aprovação), usando a via direta de User Administrator para adicionar contas a grupos sensíveis.

• Desabilitar/monitorar caminhos alternativos de provisionamento direto para grupos que fazem parte de fluxos de Entitlement Management.
• Segregar quem desenha políticas de acesso (Identity Governance Administrator) de quem executa provisionamento operacional (User Administrator).
• Auditar toda adição de membro a grupo sensível que não tenha passado por uma solicitação de access package aprovada.

• https://learn.microsoft.com/en-us/entra/id-governance/entitlement-management-overview