> ## Documentation Index
> Fetch the complete documentation index at: https://docs.livingsecurity.com/llms.txt
> Use this file to discover all available pages before exploring further.
# Configuração da integração com o Microsoft Entra ID
> Conecte o Microsoft Entra ID à Living Security para obter atividades de identidade, login, risco, dispositivos e simulação de ataques.
export const EgressIpAllowlistBothSets = ({system}) =>
O sistema {system} precisa de dois conjuntos de endereços, não de um. A Living Security gera o token de acesso desta
integração em sua própria infraestrutura e o renova continuamente; por isso, o tráfego de configuração e o tráfego de sincronização saem de redes diferentes. Inclua ambos os conjuntos na lista de permissões em {system} e
mantenha os dois ativos — este não é um requisito apenas para a configuração.
Tráfego de sincronização da integração — o mesmo em todas as regiões:
52.34.139.153/32, 54.69.127.183/32, 44.247.133.183/32,{' '}
52.26.211.56/32
Tráfego da plataforma — use apenas a linha correspondente à região que hospeda a sua
organização:
Estados Unidos: 98.91.60.249/32, 13.216.91.102/32
União Europeia: 34.246.236.210/32, 52.31.102.238/32
Se você incluir apenas o conjunto de sincronização na lista de permissões, a configuração nunca será concluída. Se incluir apenas o conjunto da plataforma, a
configuração será bem-sucedida, mas todas as sincronizações falharão. Consulte{' '}
Configuração dos endereços IP de saída das Integrações
{' '}
para conhecer as assinaturas de ambas as falhas e a política de alterações.
;
export const PublicIntegrationNextSteps = () => <>
Recursos relacionados
;
export const HandoffPaths = () =>
Convide o administrador do sistema para a plataforma com permissões restritas. Ele insere as
credenciais diretamente; o senhor nunca manipula o segredo.
Envie ao administrador a página do provedor. Ele provisiona as credenciais e as devolve
ao senhor; o senhor as insere na caixa de diálogo Connect.
;
export const ConnectInPlatform = ({tile, children}) =>
Realizado por quem possui acesso à Living Security — o responsável pelo programa ou o
administrador do sistema, caso tenha sido convidado (configuração delegada).
-
Acesse Configurações → Integrações → Catálogo, localize o cartão{' '}
{tile} e clique em Conectar.
-
Preencha os campos abaixo e, em seguida, clique em Conectar.
{children}
;
export const SystemAdminBanner = ({system, recommendDelegated}) =>
Este guia destina-se ao administrador de {system}. Abrange a criação de
credenciais de API no {system}, o que requer acesso de administrador ao {system} — e não à
Living Security Platform.
Se for o responsável pelo programa da Living Security e não administrar o {system},
envie esta página a quem o faça. Essa pessoa conclui a Parte A e devolve-lhe as credenciais
(ou introduz-las diretamente, caso tenha sido convidada para a plataforma).
{recommendDelegated && <>
{' '}Como a configuração gera material de chaves confidencial, recomendamos o percurso de{' '}
configuração delegada, para que o segredo nunca lhe seja enviado.
}
;
## O que esta integração oferece
O Microsoft Entra ID pode fornecer atividades normalizadas de identidade, login, risco, dispositivos e simulação de ataques. Entre os exemplos analisados estão:
* `account.compromised` — conta sinalizada como comprometida
* `auth.login.unusual` — faz login em contextos incomuns
* `phishing.simulation.clicked` — clicou em uma simulação sem reportá-la
Estes são exemplos representativos, e não uma garantia de que todos os eventos estejam disponíveis em todos os inquilinos. Consulte [como os dados de integração se tornam sinais](/pt/signals/data-sources).
## O que a Living Security precisa
| Credencial | Descrição |
| - | - |
| **ID do inquilino** | O UUID do diretório (inquilino) no centro de administração do Microsoft Entra |
| **ID do cliente** | O UUID do aplicativo (cliente) atribuído quando você registra o aplicativo |
| **Segredo do cliente** | Uma credencial secreta gerada no registro do aplicativo — a caixa de diálogo de conexão identifica este campo como **Chave de API** |
| **Host da API Graph** | O nome de host do Microsoft Graph (comercial: `graph.microsoft.com`) |
| **Host de autoridade** | O nome de host da autoridade do Microsoft Entra (comercial: `login.microsoftonline.com`) |
**Escopos (permissões de aplicativo):**
| Permissão | Utilizada para |
| - | - |
| `User.Read.All` | Diretório de usuários |
| `SecurityAlert.Read.All` | Alertas de segurança |
| `AuditLog.Read.All` | Logs de login e detalhes de registro de MFA |
| `Policy.Read.ConditionalAccess` | Detalhes de acesso condicional em cada login — quais políticas foram aplicadas e quais controles de concessão elas impuseram. A detecção de MFA depende desta permissão |
| `AttackSimulation.Read.All` | Resultados do Attack Simulation Training |
| `Device.Read.All` | Objetos de dispositivo do Entra ID, incluindo dispositivos que o Intune não gerencia |
| `DeviceManagementManagedDevices.Read.All` | Dispositivos gerenciados pelo Intune |
| `IdentityRiskEvent.Read.All` | Detecções de risco do Identity Protection, incluindo credenciais vazadas |
| `GroupMember.ReadWrite.All` | **Opcional.** Ações de associação a grupos — permite que um Playbook adicione uma pessoa a um grupo do Microsoft Entra ID ou a remova dele |
### Você decide o que esta conexão pode fazer
Esta conexão lê dados. Ela também pode *executar ações* no seu diretório, mas somente se você
optar por permitir.
Todas as permissões acima, exceto a última, são somente leitura. Se você conceder apenas essas, a
conexão nunca poderá modificar nada no seu inquilino — a plataforma detecta essa situação e não
oferece nenhuma ação de grupo.
Adicione `GroupMember.ReadWrite.All` e as ações de associação a grupos ficarão disponíveis para uso em
Playbooks. Nada começa a acontecer por conta própria: você ainda precisa escolher quais grupos a
plataforma pode alterar (veja abaixo) e criar um Playbook que os utilize.
Você pode mudar de ideia a qualquer momento. Basta adicionar ou remover uma permissão no Microsoft Entra ID
e conceder novamente o consentimento do administrador — não é necessário inserir as credenciais novamente na
plataforma, e as sincronizações de dados continuam em execução durante todo o processo. A alteração entra em vigor em cerca de
uma hora.
**As ações de associação a grupos são limitadas, adicionalmente, aos grupos que você designar.** Após
a conexão, um administrador escolhe uma lista de permissão explícita de grupos na conexão.
Enquanto essa lista não existir, as ações de grupo permanecem indisponíveis, mesmo com a permissão concedida —
portanto, `GroupMember.ReadWrite.All` nunca significa "qualquer grupo do inquilino".
Escolha esses grupos com cuidado: evite qualquer grupo que conceda funções administrativas,
acesso privilegiado ou direitos de licença.
**Função necessária:** **Application Administrator** ou **Global Administrator** no Microsoft Entra ID
**Duas destas permissões são adições mais recentes.** Se você conectou o Microsoft Entra ID antes de elas
aparecerem nesta lista, adicione-as ao registro de aplicativo existente e **conceda novamente o consentimento do administrador** —
a Microsoft exige que o consentimento seja concedido novamente sempre que as permissões mudam. Todos os outros fluxos de dados
continuam funcionando normalmente nesse intervalo.
`Policy.Read.ConditionalAccess` — sem esta permissão, a Microsoft remove os detalhes de acesso condicional
de todos os registros de login. O registro ainda informa que uma política de acesso condicional foi
atendida, mas a lista de políticas retorna vazia. Nada falha e nenhum aviso é exibido: os dados de login
continuam chegando e a conexão permanece íntegra. A plataforma simplesmente não consegue identificar quais logins
foram atendidos pela autenticação multifator, portanto a atividade de MFA desta conexão permanece vazia.
`IdentityRiskEvent.Read.All` — a leitura de detecções de risco também exige uma licença **Microsoft Entra ID P1 ou
P2**. A detecção de credenciais vazadas está disponível em todos os níveis, inclusive no P1; as
detecções premium são reportadas como `generic` abaixo do P2.
### Pré-requisitos
* Você deve ter acesso de **Application Administrator** ou **Global Administrator** no Microsoft Entra ID para registrar aplicativos e conceder o consentimento do administrador.
***
## Parte A — No Microsoft Entra ID
*O administrador do Microsoft Entra ID conclui estas etapas.*
1. Faça login no [centro de administração do Microsoft Entra](https://entra.microsoft.com).
2. Na navegação à esquerda, acesse **Entra ID** → **App registrations**.
3. Clique em **New registration**.
4. Insira um nome significativo para o aplicativo, como `Living Security Platform`.
5. Em **Supported account types**, selecione **Accounts in this organizational directory only**.
6. Deixe **Redirect URI** em branco — esta integração usa o fluxo de credenciais do cliente.
7. Clique em **Register**.
Após o registro, anote os seguintes valores na página **Visão geral**:
* **Application (client) ID**
* **Directory (tenant) ID**
1. Na página **Visão geral** do seu aplicativo, clique em **API permissions** no menu à esquerda.
2. Clique em **Add a permission**.
3. Selecione **Microsoft Graph**.
4. Selecione **Application permissions**.
5. Pesquise e selecione cada permissão abaixo e, em seguida, clique em **Add permissions**:
* `User.Read.All`
* `SecurityAlert.Read.All`
* `AuditLog.Read.All`
* `Policy.Read.ConditionalAccess`
* `AttackSimulation.Read.All`
* `Device.Read.All`
* `DeviceManagementManagedDevices.Read.All`
* `IdentityRiskEvent.Read.All`
6. Adicione `GroupMember.ReadWrite.All` **somente se** quiser que os Playbooks possam alterar a associação a grupos. Omita essa permissão para manter esta conexão somente leitura.
Estas são as permissões mínimas para todos os fluxos de dados. Se você pretende habilitar apenas um subconjunto de fluxos, pode omitir as permissões dos fluxos que não utilizará.
As permissões de aplicativo exigem consentimento explícito do administrador.
1. Na página **API permissions**, clique em **Grant admin consent for \**.
2. Na caixa de diálogo de confirmação, clique em **Sim**.
3. Verifique se todas as permissões exibem **Granted** na coluna **Estado**.
Se o botão **Grant admin consent** estiver esmaecido, você precisa de privilégios de **Privileged Role Administrator** ou **Global Administrator**. O consentimento do administrador deve ser concedido novamente sempre que você adicionar novas permissões.
1. Na página **Visão geral** do seu aplicativo, clique em **Certificates & secrets** no menu à esquerda.
2. Clique na guia **Client secrets** e, em seguida, em **New client secret**.
3. Insira uma descrição (por exemplo, `Living Security Platform`).
4. Escolha uma expiração que corresponda à sua política de rotação.
5. Clique em **Adicionar**.
**Copie o valor do segredo imediatamente.** O Microsoft Entra ID exibe o segredo do cliente completo apenas uma vez. Se você sair da página antes de copiá-lo, será necessário excluir o segredo e criar um novo.
Armazene o segredo com segurança. Defina um lembrete no calendário para fazer a rotação antes da expiração — um segredo expirado faz as sincronizações falharem com `401 Unauthorized`.
Para a maioria das organizações na nuvem comercial, use os valores padrão:
| Campo | Valor da nuvem comercial |
| - | - |
| **Host da API Graph** | `graph.microsoft.com` |
| **Host de autoridade** | `login.microsoftonline.com` |
Para nuvens governamentais ou soberanas, use os endpoints adequados ao seu ambiente.
O host da API Graph e o host de autoridade devem corresponder — tokens da autoridade de uma nuvem não são válidos para o endpoint Graph de outra nuvem.
***
## Parte B — Na Living Security Platform
*O responsável pelo programa conclui esta etapa, ou o administrador do sistema, caso tenha sido convidado para a plataforma.*
| Campo | Valor |
| - | - |
| **Chave de API** | O segredo do cliente da Parte A, Etapa 4 |
| **ID do inquilino do Azure** | O Directory (tenant) ID da Parte A, Etapa 1 |
| **ID do cliente** | O Application (client) ID da Parte A, Etapa 1 |
| **Host da API Graph** | `graph.microsoft.com` (ou o endpoint da sua nuvem) |
| **Host de autoridade** | `login.microsoftonline.com` (ou o endpoint da sua nuvem) |
Agora você está conectado ao Microsoft Entra ID (Client Credentials).
***
## Solução de problemas
As credenciais são inválidas ou expiraram. Verifique:
1. Se o segredo do cliente não expirou nem passou por rotação
2. Se o ID do inquilino e o ID do cliente estão corretos
3. Se o host de autoridade corresponde ao ambiente da sua nuvem
O registro do aplicativo não tem as permissões ou o consentimento do administrador não foi concedido. Verifique:
1. Se todas as permissões necessárias estão listadas em **API permissions**
2. Se cada permissão exibe o estado **Granted** (marca de seleção verde)
3. Se o consentimento do administrador foi concedido após a adição das permissões
Se você adicionou novas permissões após o consentimento inicial, é necessário conceder novamente o consentimento do administrador.
O aplicativo pode estar sem a permissão específica para aquele fluxo:
* Nenhum usuário → falta `User.Read.All`
* Nenhum alerta de segurança → falta `SecurityAlert.Read.All`
* Nenhum log de login → falta `AuditLog.Read.All`
* Nenhum resultado de simulação de ataques → falta `AttackSimulation.Read.All`
* Nenhum dispositivo do Entra ID → falta `Device.Read.All`
* Nenhum dispositivo gerenciado pelo Intune → falta `DeviceManagementManagedDevices.Read.All`
* Nenhuma detecção de risco → falta `IdentityRiskEvent.Read.All`, o consentimento do administrador não foi concedido novamente
após adicioná-la, ou o inquilino está abaixo do nível mínimo de licença Microsoft Entra ID P1
O host da API Graph e o host de autoridade podem estar incompatíveis. Ambos devem corresponder ao mesmo ambiente de nuvem (comercial, governamental etc.).
As ações de associação a grupos só são oferecidas quando todas as três condições a seguir são verdadeiras:
1. `GroupMember.ReadWrite.All` está no registro do aplicativo, com o consentimento do administrador concedido. Se você a adicionou recentemente, aguarde até uma hora.
2. Um administrador designou uma lista de permissão de grupos na conexão.
3. A conexão está ativa e íntegra.
Se você concedeu a permissão e as ações continuam indisponíveis, conceda novamente o consentimento do administrador — a Microsoft exige isso sempre que as permissões mudam.
Se o seu inquilino tiver uma política de acesso condicional definida por endereço IP, ela pode bloquear solicitações
que contenham a credencial desta conexão. A maioria dos inquilinos não é afetada — o Microsoft Graph
não restringe por endereço IP por padrão. Se você aplica uma política baseada em IP para entidades de
serviço, esta integração exige que **dois** conjuntos de endereços estejam na lista de permissão, porque a configuração e a
sincronização de dados saem de redes diferentes.
A Living Security emite o token de acesso desta conexão por conta própria e o renova continuamente, portanto
as solicitações de token saem dos endereços da própria plataforma, e não dos endereços que suas sincronizações
de dados utilizam.
As ações de grupo são separadas. Por padrão, elas seguem a mesma rota das suas sincronizações de dados e saem
dos endereços de sincronização. Elas passam a usar os endereços da plataforma somente se um administrador
alterar a conexão para saída direta.
Adicione os dois conjuntos ao **named location** que a sua política de acesso condicional considera confiável ou
exclui. As solicitações de token chegam a `login.microsoftonline.com` e as solicitações de dados chegam a
`graph.microsoft.com`; ambas precisam ser bem-sucedidas.
Se apenas os endereços de sincronização estiverem na lista de permissão, a configuração falha ao obter um token e nenhuma
conexão é criada. Se apenas os endereços da plataforma estiverem na lista de permissão, a configuração é concluída com êxito e
todas as sincronizações retornam sem registros.
This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.