MediumEntra ID
User Administrator + Password Administrator
Criar contas de usuário e resetar credenciais sem supervisão de uma segunda pessoa.
Entra IDdirectory role
User Administrator Entra IDdirectory role
Password Administrator Por que isso é um conflito
User Administrator já inclui a capacidade de resetar senhas de usuários não-admin; somar explicitamente Password Administrator amplia essa capacidade e reforça a concentração de controle sobre o ciclo de vida completo de uma conta (criação + reset de credencial) numa única identidade.
Risco
Um insider pode criar uma conta de serviço/teste e resetar sua senha repetidamente para uso indevido sem que outra pessoa perceba o padrão.
Como mitigar
- Registrar e alertar sobre resets de senha em contas criadas nas últimas 24-48h pela mesma identidade.
- Restringir Password Administrator a administrative units específicas via Entra ID Administrative Units.
- Revisão periódica de contas criadas e resetadas pelo mesmo operador.
Frameworks aplicáveis
ISO 27001CIS
Referências
Roles relacionados
User Administrator + Authentication AdministratorHighIdentity Governance Administrator + User AdministratorHighDirectory Writers + User AdministratorLowLifecycle Workflows Administrator + User AdministratorMediumUser Administrator + Virtual Machine ContributorMediumHelpdesk Administrator + User AdministratorHigh