Skip to main content

​
O que esta integração oferece

O Microsoft Entra ID pode fornecer atividades normalizadas de identidade, login, risco, dispositivos e simulação de ataques. Entre os exemplos analisados estão:
  • account.compromised — conta sinalizada como comprometida
  • auth.login.unusual — faz login em contextos incomuns
  • phishing.simulation.clicked — clicou em uma simulação sem reportá-la
Estes são exemplos representativos, e não uma garantia de que todos os eventos estejam disponíveis em todos os inquilinos. Consulte como os dados de integração se tornam sinais.

​
O que a Living Security precisa

Escopos (permissões de aplicativo):

​
Você decide o que esta conexão pode fazer

Esta conexão lê dados. Ela também pode executar ações no seu diretório, mas somente se você optar por permitir. Todas as permissões acima, exceto a última, são somente leitura. Se você conceder apenas essas, a conexão nunca poderá modificar nada no seu inquilino — a plataforma detecta essa situação e não oferece nenhuma ação de grupo. Adicione GroupMember.ReadWrite.All e as ações de associação a grupos ficarão disponíveis para uso em Playbooks. Nada começa a acontecer por conta própria: você ainda precisa escolher quais grupos a plataforma pode alterar (veja abaixo) e criar um Playbook que os utilize. Você pode mudar de ideia a qualquer momento. Basta adicionar ou remover uma permissão no Microsoft Entra ID e conceder novamente o consentimento do administrador — não é necessário inserir as credenciais novamente na plataforma, e as sincronizações de dados continuam em execução durante todo o processo. A alteração entra em vigor em cerca de uma hora.
As ações de associação a grupos são limitadas, adicionalmente, aos grupos que você designar. Após a conexão, um administrador escolhe uma lista de permissão explícita de grupos na conexão. Enquanto essa lista não existir, as ações de grupo permanecem indisponíveis, mesmo com a permissão concedida — portanto, GroupMember.ReadWrite.All nunca significa “qualquer grupo do inquilino”.Escolha esses grupos com cuidado: evite qualquer grupo que conceda funções administrativas, acesso privilegiado ou direitos de licença.
Função necessária: Application Administrator ou Global Administrator no Microsoft Entra ID
Duas destas permissões são adições mais recentes. Se você conectou o Microsoft Entra ID antes de elas aparecerem nesta lista, adicione-as ao registro de aplicativo existente e conceda novamente o consentimento do administrador — a Microsoft exige que o consentimento seja concedido novamente sempre que as permissões mudam. Todos os outros fluxos de dados continuam funcionando normalmente nesse intervalo.Policy.Read.ConditionalAccess — sem esta permissão, a Microsoft remove os detalhes de acesso condicional de todos os registros de login. O registro ainda informa que uma política de acesso condicional foi atendida, mas a lista de políticas retorna vazia. Nada falha e nenhum aviso é exibido: os dados de login continuam chegando e a conexão permanece íntegra. A plataforma simplesmente não consegue identificar quais logins foram atendidos pela autenticação multifator, portanto a atividade de MFA desta conexão permanece vazia.IdentityRiskEvent.Read.All — a leitura de detecções de risco também exige uma licença Microsoft Entra ID P1 ou P2. A detecção de credenciais vazadas está disponível em todos os níveis, inclusive no P1; as detecções premium são reportadas como generic abaixo do P2.

​
Pré-requisitos

  • Você deve ter acesso de Application Administrator ou Global Administrator no Microsoft Entra ID para registrar aplicativos e conceder o consentimento do administrador.

​
Parte A — No Microsoft Entra ID

O administrador do Microsoft Entra ID conclui estas etapas.
1

Registrar um novo aplicativo

  1. Faça login no centro de administração do Microsoft Entra.
  2. Na navegação à esquerda, acesse Entra ID → App registrations.
  3. Clique em New registration.
  4. Insira um nome significativo para o aplicativo, como Living Security Platform.
  5. Em Supported account types, selecione Accounts in this organizational directory only.
  6. Deixe Redirect URI em branco — esta integração usa o fluxo de credenciais do cliente.
  7. Clique em Register.
Após o registro, anote os seguintes valores na página Visão geral:
  • Application (client) ID
  • Directory (tenant) ID
2

Adicionar permissões de aplicativo do Microsoft Graph

  1. Na página Visão geral do seu aplicativo, clique em API permissions no menu à esquerda.
  2. Clique em Add a permission.
  3. Selecione Microsoft Graph.
  4. Selecione Application permissions.
  5. Pesquise e selecione cada permissão abaixo e, em seguida, clique em Add permissions:
    • User.Read.All
    • SecurityAlert.Read.All
    • AuditLog.Read.All
    • Policy.Read.ConditionalAccess
    • AttackSimulation.Read.All
    • Device.Read.All
    • DeviceManagementManagedDevices.Read.All
    • IdentityRiskEvent.Read.All
  6. Adicione GroupMember.ReadWrite.All somente se quiser que os Playbooks possam alterar a associação a grupos. Omita essa permissão para manter esta conexão somente leitura.
Estas são as permissões mínimas para todos os fluxos de dados. Se você pretende habilitar apenas um subconjunto de fluxos, pode omitir as permissões dos fluxos que não utilizará.
3

Conceder o consentimento do administrador

As permissões de aplicativo exigem consentimento explícito do administrador.
  1. Na página API permissions, clique em Grant admin consent for <your tenant name>.
  2. Na caixa de diálogo de confirmação, clique em Sim.
  3. Verifique se todas as permissões exibem Granted na coluna Estado.
Se o botão Grant admin consent estiver esmaecido, você precisa de privilégios de Privileged Role Administrator ou Global Administrator. O consentimento do administrador deve ser concedido novamente sempre que você adicionar novas permissões.
4

Criar um segredo do cliente

  1. Na página Visão geral do seu aplicativo, clique em Certificates & secrets no menu à esquerda.
  2. Clique na guia Client secrets e, em seguida, em New client secret.
  3. Insira uma descrição (por exemplo, Living Security Platform).
  4. Escolha uma expiração que corresponda à sua política de rotação.
  5. Clique em Adicionar.
Copie o valor do segredo imediatamente. O Microsoft Entra ID exibe o segredo do cliente completo apenas uma vez. Se você sair da página antes de copiá-lo, será necessário excluir o segredo e criar um novo.
Armazene o segredo com segurança. Defina um lembrete no calendário para fazer a rotação antes da expiração — um segredo expirado faz as sincronizações falharem com 401 Unauthorized.
5

Determinar os hosts da API Graph e de autoridade

Para a maioria das organizações na nuvem comercial, use os valores padrão:Para nuvens governamentais ou soberanas, use os endpoints adequados ao seu ambiente.
O host da API Graph e o host de autoridade devem corresponder — tokens da autoridade de uma nuvem não são válidos para o endpoint Graph de outra nuvem.

​
Parte B — Na Living Security Platform

O responsável pelo programa conclui esta etapa, ou o administrador do sistema, caso tenha sido convidado para a plataforma.
Agora você está conectado ao Microsoft Entra ID (Client Credentials).

​
Solução de problemas

As credenciais são inválidas ou expiraram. Verifique:
  1. Se o segredo do cliente não expirou nem passou por rotação
  2. Se o ID do inquilino e o ID do cliente estão corretos
  3. Se o host de autoridade corresponde ao ambiente da sua nuvem
O registro do aplicativo não tem as permissões ou o consentimento do administrador não foi concedido. Verifique:
  1. Se todas as permissões necessárias estão listadas em API permissions
  2. Se cada permissão exibe o estado Granted (marca de seleção verde)
  3. Se o consentimento do administrador foi concedido após a adição das permissões
Se você adicionou novas permissões após o consentimento inicial, é necessário conceder novamente o consentimento do administrador.
O aplicativo pode estar sem a permissão específica para aquele fluxo:
  • Nenhum usuário → falta User.Read.All
  • Nenhum alerta de segurança → falta SecurityAlert.Read.All
  • Nenhum log de login → falta AuditLog.Read.All
  • Nenhum resultado de simulação de ataques → falta AttackSimulation.Read.All
  • Nenhum dispositivo do Entra ID → falta Device.Read.All
  • Nenhum dispositivo gerenciado pelo Intune → falta DeviceManagementManagedDevices.Read.All
  • Nenhuma detecção de risco → falta IdentityRiskEvent.Read.All, o consentimento do administrador não foi concedido novamente após adicioná-la, ou o inquilino está abaixo do nível mínimo de licença Microsoft Entra ID P1
O host da API Graph e o host de autoridade podem estar incompatíveis. Ambos devem corresponder ao mesmo ambiente de nuvem (comercial, governamental etc.).
As ações de associação a grupos só são oferecidas quando todas as três condições a seguir são verdadeiras:
  1. GroupMember.ReadWrite.All está no registro do aplicativo, com o consentimento do administrador concedido. Se você a adicionou recentemente, aguarde até uma hora.
  2. Um administrador designou uma lista de permissão de grupos na conexão.
  3. A conexão está ativa e íntegra.
Se você concedeu a permissão e as ações continuam indisponíveis, conceda novamente o consentimento do administrador — a Microsoft exige isso sempre que as permissões mudam.
Se o seu inquilino tiver uma política de acesso condicional definida por endereço IP, ela pode bloquear solicitações que contenham a credencial desta conexão. A maioria dos inquilinos não é afetada — o Microsoft Graph não restringe por endereço IP por padrão. Se você aplica uma política baseada em IP para entidades de serviço, esta integração exige que dois conjuntos de endereços estejam na lista de permissão, porque a configuração e a sincronização de dados saem de redes diferentes.A Living Security emite o token de acesso desta conexão por conta própria e o renova continuamente, portanto as solicitações de token saem dos endereços da própria plataforma, e não dos endereços que suas sincronizações de dados utilizam.As ações de grupo são separadas. Por padrão, elas seguem a mesma rota das suas sincronizações de dados e saem dos endereços de sincronização. Elas passam a usar os endereços da plataforma somente se um administrador alterar a conexão para saída direta.Adicione os dois conjuntos ao named location que a sua política de acesso condicional considera confiável ou exclui. As solicitações de token chegam a login.microsoftonline.com e as solicitações de dados chegam a graph.microsoft.com; ambas precisam ser bem-sucedidas.Se apenas os endereços de sincronização estiverem na lista de permissão, a configuração falha ao obter um token e nenhuma conexão é criada. Se apenas os endereços da plataforma estiverem na lista de permissão, a configuração é concluída com êxito e todas as sincronizações retornam sem registros.