Privileged Role Administrator + Identity Governance Administrator

Identity Governance Administrator configura Access Reviews, Entitlement Management e Lifecycle Workflows — os mecanismos que existem justamente para revisar periodicamente quem tem acesso privilegiado. Se a mesma identidade também controla a atribuição de roles privilegiadas (Privileged Role Administrator), ela pode tanto se auto-atribuir acesso quanto desenhar/enfraquecer a revisão que deveria detectar isso.

Access Reviews configurados de forma permissiva (ex.: auto-aprovação, escopo reduzido) especificamente para esconder atribuições indevidas feitas pela mesma pessoa.

• Segregar quem desenha políticas de Access Review de quem tem poder de atribuição de roles privilegiadas.
• Exigir que Access Reviews de roles Tier 0/1 tenham revisores independentes da equipe de identidade.
• Auditar alterações em políticas de Entitlement Management/Lifecycle Workflows com a mesma granularidade de mudanças de role privilegiada.

• https://learn.microsoft.com/en-us/entra/id-governance/identity-governance-overview
• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference