Entra ID e IGA: por que diretório não substitui governança de acessos

Microsoft Entra ID é uma peça importante da estratégia de identidade e acesso, mas não resolve sozinho toda a governança de acessos. Para empresas que precisam controlar ciclo de vida, aprovações, revisões, evidências e riscos em múltiplos sistemas, o diretório precisa trabalhar junto com uma camada de IGA — Identity Governance and Administration.

Na prática, muitas organizações já usam Entra ID para autenticação, usuários, grupos, aplicações, MFA, SSO e políticas de acesso condicional. Isso é essencial. O ponto de atenção é outro: autenticar bem uma pessoa não significa, automaticamente, governar todo o acesso que ela recebeu, por qual motivo, com qual aprovação, por quanto tempo e com qual evidência para auditoria.

Este artigo explica a diferença entre Entra ID, IAM e IGA, mostra onde o diretório entrega valor e onde uma plataforma de governança complementa o ambiente para reduzir riscos operacionais, excesso de permissões e dependência de planilhas ou chamados manuais.

O que é Microsoft Entra ID?

Microsoft Entra ID é a solução da Microsoft para gerenciar identidades e controlar acesso a aplicações, dados e recursos. A documentação da Microsoft descreve o Entra ID como uma plataforma para administrar usuários, grupos, aplicações, autenticação, acesso condicional, dispositivos, identidades híbridas, provisionamento de aplicações e monitoramento. Veja a referência oficial da Microsoft em Microsoft Entra ID documentation.

Em ambientes corporativos, ele costuma ser a base para centralizar identidades de colaboradores, terceiros e administradores, especialmente em empresas que usam Microsoft 365, Azure, aplicações SaaS e integrações com diretórios locais.

• Autenticar usuários com senha, MFA e métodos modernos de login.
• Aplicar políticas de acesso condicional conforme usuário, dispositivo, localização e risco.
• Gerenciar grupos, licenças, aplicações empresariais e permissões administrativas.
• Integrar aplicações SaaS e ambientes híbridos.
• Apoiar provisionamento de usuários em aplicações conectadas ao ecossistema Microsoft.

O que o Entra ID resolve bem

O Entra ID é muito forte como camada de identidade, autenticação e controle técnico de acesso. Ele ajuda a padronizar o login, proteger credenciais, organizar usuários e reduzir riscos de acesso indevido por políticas de segurança.

Para equipes de infraestrutura e segurança, isso representa ganho importante: menos identidades espalhadas, mais controle sobre autenticação, mais visibilidade sobre eventos de login e maior capacidade de aplicar políticas consistentes em aplicações conectadas.

Exemplos de uso em empresas

• Permitir SSO para aplicações corporativas.
• Exigir MFA para acessos sensíveis ou fora do padrão.
• Controlar acesso por localização, dispositivo, risco ou grupo.
• Sincronizar usuários entre ambiente local e nuvem.
• Gerenciar grupos que liberam acesso a aplicações e recursos Microsoft.

Esses controles são fundamentais para qualquer programa moderno de IAM. O problema começa quando a empresa tenta usar apenas o diretório como substituto para processos completos de governança de acessos.

Por que diretório não substitui governança de acessos

Diretório e IGA respondem perguntas diferentes. O diretório ajuda a controlar quem é a identidade, como ela autentica e a quais recursos conectados ela pode acessar. A governança de acessos precisa responder perguntas adicionais, com contexto de negócio, aprovação, risco e evidência.

• Quem solicitou o acesso? O pedido veio do colaborador, do gestor, do RH ou de um processo automático?
• Por que o acesso foi concedido? Existe justificativa relacionada à função, projeto, unidade ou exceção?
• Quem aprovou? A aprovação veio do gestor correto, do dono do sistema ou de compliance?
• O acesso ainda é necessário? A pessoa mudou de cargo, área, gestor, contrato ou projeto?
• Há conflito de função? A permissão cria risco de segregação de funções ou privilégio excessivo?
• Existe evidência auditável? É possível provar solicitação, aprovação, execução, revisão e revogação?

Essas perguntas são o centro da gestão de acessos e da governança de identidades. Sem essa camada, o ambiente pode até autenticar bem, mas continuar acumulando permissões antigas, exceções sem dono, acessos temporários que viraram permanentes e processos difíceis de explicar para auditoria.

IAM, Entra ID e IGA: qual é a diferença?

IAM, Entra ID e IGA são conceitos relacionados, mas não equivalentes. Misturar esses papéis pode criar uma falsa sensação de controle.

IAM

IAM — Identity and Access Management — cobre práticas e tecnologias para administrar identidades, autenticar usuários e autorizar acessos. Entram aqui diretórios, SSO, MFA, políticas de acesso e integração com aplicações.

Entra ID

Entra ID é uma solução concreta dentro do universo IAM. Ele atua como diretório e plataforma de identidade da Microsoft, com recursos para autenticação, grupos, aplicações, acesso condicional, provisionamento e administração de identidades.

IGA

IGA — Identity Governance and Administration — adiciona uma camada de governança sobre o ciclo de vida dos acessos. O foco é administrar solicitações, aprovações, perfis, revisões, recertificações, segregação de funções, revogações e evidências.

Em resumo: Entra ID ajuda a controlar identidade e acesso dentro do ecossistema conectado; IGA ajuda a governar por que o acesso existe, se ainda deve existir, quem é responsável por ele e como provar que o controle funcionou.

Onde a governança costuma faltar quando existe apenas diretório

Mesmo em empresas com Entra ID bem configurado, alguns problemas permanecem quando a gestão de acessos depende apenas de grupos, chamados, e-mails ou controles manuais.

1. Aprovação fora do contexto de negócio

Um grupo pode liberar acesso, mas nem sempre registra a justificativa de negócio, o aprovador correto, o prazo esperado e o risco envolvido. Para auditoria, esses detalhes importam tanto quanto a configuração técnica.

2. Acessos acumulados após mudanças internas

Quando alguém muda de área, cargo ou gestor, o diretório pode manter grupos antigos se não houver uma regra clara de movimentação. Isso gera acúmulo de privilégios e aumenta a exposição da empresa.

3. Terceiros e acessos temporários

Prestadores, consultores e parceiros costumam ter ciclos diferentes dos colaboradores. Sem expiração, recertificação e responsável claro, acessos temporários podem continuar ativos depois do fim do contrato ou do projeto.

4. Revisões periódicas difíceis

Campanhas de revisão de acessos precisam de escopo, revisores, prazos, decisões, justificativas e evidências. Fazer isso apenas por exportações do diretório e planilhas pode funcionar no início, mas se torna frágil em ambientes com muitos sistemas e perfis.

5. Evidência fragmentada

Auditoria não pede apenas a lista atual de usuários. Ela pode pedir quem aprovou, quando aprovou, o que foi revisado, quais acessos foram removidos e qual era o critério. Sem uma trilha central, a resposta depende de cruzar diretório, chamados, e-mails, planilhas e logs.

Como IGA complementa o Entra ID

Uma estratégia madura não troca Entra ID por IGA. Ela integra as duas camadas. O diretório continua sendo uma base importante de identidade e autenticação, enquanto a plataforma de IGA orquestra regras, fluxos e evidências de governança.

1. Fonte de identidade: dados de RH, diretório e sistemas mestres alimentam atributos como cargo, área, unidade, gestor e vínculo.
2. Regras de elegibilidade: a empresa define quais acessos fazem sentido por função, área, unidade, projeto ou perfil de risco.
3. Solicitação e aprovação: pedidos passam por workflows com justificativa, aprovadores e responsáveis pelo sistema.
4. Provisionamento e remoção: integrações executam criação, alteração ou revogação nos sistemas conectados, incluindo diretórios e aplicações.
5. Revisão e recertificação: gestores e donos de sistemas validam periodicamente se os acessos continuam necessários.
6. Evidências: cada decisão gera histórico auditável para segurança, compliance, LGPD, ISO 27001 e controles internos.

A própria Microsoft possui recursos de governança, como entitlement management, descrito como capacidade para automatizar solicitações, atribuições, revisões e expiração de acessos. Em empresas com múltiplos sistemas, ERPs, aplicações legadas, fontes de RH e processos fora do ecossistema Microsoft, uma camada IGA independente pode ampliar essa governança para o ambiente corporativo como um todo. Referência: Microsoft Entra ID Governance — Entitlement Management.

Exemplo prático: colaborador entra, muda de área e sai da empresa

Imagine uma empresa que usa Entra ID para Microsoft 365 e SSO em várias aplicações. No onboarding, o colaborador precisa de e-mail, grupos, acesso a ferramentas internas, ERP, sistema de chamados, CRM e repositórios. Parte desses acessos está no Entra ID. Outra parte está em sistemas externos, legados ou administrados por áreas de negócio.

Sem IGA, a concessão pode depender de chamados manuais e da memória de quem sabe quais grupos ou perfis aplicar. Quando o colaborador muda de área, alguns acessos antigos podem permanecer. No desligamento, a conta principal pode ser desativada, mas permissões em aplicações externas, contas técnicas ou sistemas não integrados podem exigir conferência manual.

Com IGA, o ciclo fica orientado por evento e regra: entrada, movimentação, afastamento e desligamento disparam workflows, aprovações, provisionamento, remoção e registro de evidências. O diretório é uma parte do processo, não o único controle.

Sinais de que só o diretório não é suficiente

• A empresa usa Entra ID, mas ainda aprova acessos por e-mail, planilhas ou chamados sem padrão.
• Gestores não conseguem revisar facilmente todos os acessos de suas equipes.
• Terceiros continuam aparecendo em grupos ou sistemas depois do fim do contrato.
• Auditorias exigem evidências que precisam ser montadas manualmente a cada ciclo.
• Mudanças de cargo não removem automaticamente permissões antigas.
• Acessos a ERP, TOTVS, SAP, Salesforce, Service Desk ou sistemas legados ficam fora do controle central.
• Não há visão clara de conflito de funções, exceções e permissões sensíveis.

Esses sinais indicam que a organização precisa evoluir de controle técnico de login para controles de acesso corporativos com governança, rastreabilidade e revisão contínua.

Onde a AccessOne ajuda?

A AccessOne atua como plataforma de Governança de Identidades e Acessos para organizar o ciclo de vida dos acessos em ambientes corporativos. A proposta não é substituir diretórios como Entra ID, mas complementar a camada de identidade com processos de governança, automação e evidência.

• Automatizar onboarding, movimentações internas, afastamentos e offboarding.
• Conectar fontes de RH, diretórios, sistemas SaaS, ERPs, service desk e aplicações legadas.
• Criar workflows de solicitação, aprovação e revogação de acessos.
• Apoiar campanhas de revisão e recertificação de acessos.
• Registrar evidências de aprovação, execução, revisão e remoção.
• Reduzir dependência de planilhas, e-mails e chamados manuais.
• Dar mais visibilidade para TI, Segurança, Compliance, Auditoria e gestores de negócio.

Para empresas que já usam Microsoft 365 ou Entra ID, a integração com uma camada IGA ajuda a transformar o diretório em parte de um processo mais amplo de governança. O resultado é mais controle sobre identidades, acessos, exceções, revisões e evidências. Veja também o artigo sobre como automatizar criação e remoção de acessos de colaboradores.

Perguntas frequentes sobre Entra ID e IGA

Entra ID é a mesma coisa que IGA?

Não. Entra ID é uma plataforma de identidade e acesso da Microsoft. IGA é uma disciplina e uma camada de governança que controla solicitações, aprovações, revisões, recertificações, segregação de funções, revogações e evidências em todo o ciclo de vida dos acessos.

Se minha empresa já usa Entra ID, ainda precisa de governança de acessos?

Depende da complexidade do ambiente. Se a empresa precisa governar acessos em vários sistemas, responder auditorias, revisar permissões periodicamente e controlar entradas, mudanças e desligamentos com evidências, uma camada de IGA pode complementar o Entra ID.

IGA substitui SSO, MFA ou acesso condicional?

Não. SSO, MFA e acesso condicional continuam sendo controles importantes de autenticação e segurança. IGA complementa esses controles com governança sobre quem deve ter acesso, por que, por quanto tempo, com qual aprovação e com qual revisão.

A governança deve cobrir apenas sistemas Microsoft?

Não. Em muitas empresas, parte crítica dos acessos está em ERPs, sistemas de RH, service desk, bancos de dados, aplicações SaaS, sistemas legados e ferramentas específicas de negócio. Por isso, a governança precisa considerar o ambiente corporativo completo.

Qual é o primeiro passo para integrar Entra ID e IGA?

O primeiro passo é mapear fontes de identidade, sistemas prioritários, grupos sensíveis, perfis críticos, fluxos de aprovação e eventos de ciclo de vida. Depois disso, é possível definir integrações, regras de elegibilidade, campanhas de revisão e processos de evidência.

Conclusão

Microsoft Entra ID é uma base poderosa para identidade, autenticação e controle técnico de acesso. Mas governança de acessos exige mais do que autenticar usuários e administrar grupos. Ela exige contexto de negócio, aprovação correta, revisão periódica, remoção no momento certo e evidência auditável.

Por isso, a melhor estratégia não é escolher entre Entra ID e IGA. É usar o diretório como parte da fundação de identidade e complementar essa base com uma camada de governança capaz de controlar o ciclo de vida dos acessos em todos os sistemas relevantes da empresa.