SharePoint Administrator + Global Reader

SharePoint Administrator concede acesso administrativo a sites e OneDrive de qualquer usuário. Combinado com Global Reader, a mesma identidade pode usar a visibilidade ampla para identificar onde estão os documentos mais sensíveis (ex.: via grupos/aplicações de alto valor) e então acessá-los diretamente via SharePoint Administrator.

Acesso direcionado a documentos confidenciais (contratos, dados financeiros) identificados previamente através da visibilidade de Global Reader sobre a estrutura organizacional.

• Segregar administração de conteúdo (SharePoint Administrator) de funções de auditoria/observabilidade (Global Reader).
• Aplicar sensitivity labels e DLP para restringir acesso mesmo a contas administrativas em sites classificados como confidenciais.
• Habilitar Microsoft Purview Audit para todo acesso administrativo a sites/bibliotecas sensíveis.

• https://learn.microsoft.com/en-us/entra/identity/role-based-access-control/permissions-reference