Managed Identity Contributor + User Access Administrator

Managed Identity Contributor cria e gerencia identidades gerenciadas atribuídas pelo usuário; User Access Administrator concede/revoga atribuições de RBAC. Combinadas, uma identidade pode criar uma nova managed identity e imediatamente conceder a ela Owner ou Contributor sobre qualquer recurso, criando um caminho de persistência difícil de rastrear até um usuário humano específico.

Criação de uma managed identity "backdoor" com acesso privilegiado atribuído silenciosamente, usada posteriormente para acessar recursos sem que a ação apareça associada a uma conta de usuário nomeada.

• Nunca atribuir as duas roles à mesma identidade — separar criação de identidades gerenciadas da concessão de RBAC.
• Auditar periodicamente todas as managed identities e as atribuições de role concedidas a elas.
• Exigir justificativa registrada para cada nova managed identity criada com acesso privilegiado.

• https://learn.microsoft.com/en-us/azure/role-based-access-control/built-in-roles
• https://learn.microsoft.com/en-us/entra/identity/managed-identities-azure-resources/overview