Conditional Access no Entra ID: Configuração Passo a Passo

O Conditional Access (Acesso Condicional) é o mecanismo central de controlo de acesso do Microsoft Entra ID. Permite definir políticas do tipo “Se [condição] → Então [controlo]” — por exemplo, exigir MFA quando um utilizador acede a partir de um país não esperado, ou bloquear completamente o acesso de dispositivos não geridos a aplicações sensíveis.

No contexto da NIS2 / Decreto-Lei n.º 125/2025, o Conditional Access é uma das ferramentas mais directas para cumprir a exigência de autenticação forte e controlo de acesso baseado em risco. Este artigo guia a configuração das políticas essenciais para uma PME ou entidade pública portuguesa.

1. Como funciona o Conditional Access

Cada política de Conditional Access é avaliada em dois momentos: quando o utilizador tenta autenticar e quando pede acesso a um recurso. A estrutura de uma política é sempre a mesma:

2. Antes de começar — criar contas break-glass

Este passo é obrigatório antes de criar qualquer política. Uma configuração incorrecta pode bloquear todos os administradores do tenant. As contas break-glass (ou de emergência) são contas excluídas de todas as políticas de Conditional Access — garantem sempre uma via de acesso de recuperação.

Como criar e proteger contas break-glass

1. Criar 2 contas com nomes tipo [email protected] e [email protected]
2. Atribuir a função Global Administrator a ambas
3. Usar domínio .onmicrosoft.com — nunca o domínio personalizado (que pode ter problemas DNS)
4. Definir password longa e aleatória (mínimo 24 caracteres); guardar em cofre físico ou gestor de passwords offline
5. Não registar MFA nestas contas — a autenticação faz-se apenas com password
6. Criar grupo de segurança CA-Excluded-BreakGlass e adicionar ambas as contas
7. Monitorizar logins destas contas com alerta no Microsoft Sentinel ou via regra no Azure Monitor

3. Política 1 — MFA para todos os utilizadores

Esta é a política base recomendada pela Microsoft e exigida pela NIS2. Aplica MFA a todos os utilizadores em todos os recursos cloud. Começa em modo Report-only para validar o impacto antes de activar.

Caminho: entra.microsoft.com → Protection → Conditional Access → Policies → + New policy

4. Política 2 — MFA reforçada para administradores

Contas com funções administrativas são o alvo preferencial de atacantes. Esta política exige MFA resistente a phishing (FIDO2, Windows Hello for Business ou certificado) para todas as funções administrativas privilegiadas — um nível acima da MFA básica exigida aos utilizadores normais.

5. Política 3 — Bloquear países não autorizados

Para organizações sem necessidade de acesso internacional, bloquear por país é uma redução de superfície de ataque simples e eficaz. Esta política bloqueia todos os países excepto Portugal (adapta conforme necessário — ex: incluir Espanha para equipas com mobilidade ibérica).

Passo 1 — Criar a Named Location

Caminho: Conditional Access → Named locations → + Countries location

1. Name: Allowed Countries - PT
2. Seleccionar: Portugal (adicionar outros países se necessário)
3. Guardar

Passo 2 — Criar a política de bloqueio

6. Política 4 — Exigir dispositivo conforme (Intune)

Esta política requer que o dispositivo esteja inscrito no Microsoft Intune e marcado como conforme com as políticas de compliance definidas. É a implementação prática do conceito Zero Trust para endpoints — sem gestão de dispositivo, sem acesso.

7. Política 5 — MFA para gestão do Azure

A Microsoft impõe obrigatoriamente MFA para acesso ao portal Azure, Microsoft Entra Admin Center e Microsoft Intune Admin Center desde outubro de 2024 (Fase 1) e para Azure CLI/PowerShell desde outubro de 2025 (Fase 2). Mesmo assim, é boa prática ter uma política explícita para documentar e controlar este requisito no teu tenant.

8. Modo Relatório — testar antes de activar

O modo Report-only permite simular o impacto de uma política sem a aplicar. Os eventos aparecem nos logs com o resultado “Report-only: Would have required MFA” sem afectar os utilizadores. É a forma correcta de validar antes de activar.

Como analisar os logs de Report-only

1. Aceder a entra.microsoft.com → Monitoring → Sign-in logs
2. Filtrar coluna Conditional Access por Report-only: Would have required MFA
3. Identificar contas de serviço ou aplicações legadas que falhariam
4. Excluir essas contas ou aplicações da política antes de activar
5. Usar a ferramenta What If (Conditional Access → What If) para simular cenários específicos

9. Erros comuns e como evitá-los

10. Monitorizar e auditar políticas

Após activar as políticas, é necessário monitorizar regularmente para detectar problemas e garantir que as políticas estão a funcionar como esperado.