Entra Private Access: Zero Trust a Apps Internas na PME

1. Introdução

As VPNs tradicionais foram desenhadas para uma época em que os colaboradores trabalhavam num escritório e acediam a uma rede corporativa única. Esse mundo deixou de existir. Hoje, os colaboradores trabalham a partir de casa, de cafés e de escritórios remotos. As aplicações mudaram-se para a nuvem, para ambientes híbridos e para data centers dispersos. Uma VPN que concede acesso a toda a rede interna assim que o túnel estabelece ligação é um modelo de segurança que viola o princípio fundamental do Zero Trust: verificar explicitamente, conceder o menor privilégio e assumir violação.

O Microsoft Entra Private Access é a componente de Zero Trust Network Access (ZTNA) da solução Security Service Edge (SSE) da Microsoft. Substitui as VPNs tradicionais por um modelo de acesso por aplicação, baseado em identidade, dispositivo e políticas de Conditional Access. Os utilizadores remotos não precisam de instalar um cliente VPN nem de abrir portos na firewall. O tráfego é encaminhado através do Global Secure Access Client, que liga os utilizadores aos recursos internos de forma transparente e segura. A documentação oficial está disponível no Microsoft Learn.

Este artigo complementa o artigo sobre Entra Internet Access: Zero Trust Web Filtering para PME, que cobre a protecção do tráfego de Internet e SaaS. Em conjunto, as duas soluções formam o Microsoft Entra Suite, a oferta SSE completa da Microsoft.

2. O que é Entra Private Access

O Entra Private Access permite definir FQDNs (Fully Qualified Domain Names) e endereços IP que a organização considera privados ou internos, e gerir como os utilizadores acedem a esses recursos. Em vez de abrir um túnel VPN que dá acesso a toda a rede, o Private Access cria uma aplicação empresarial no Entra ID que serve de contentor para os recursos protegidos. Cada aplicação tem o seu próprio conector de rede privada que media a ligação entre o serviço na nuvem e o recurso interno.

O Private Access oferece dois modos de configuração:

2.1 Quick Access

O Quick Access é o grupo principal de FQDNs e endereços IP que se pretende proteger. Funciona como um atalho para substituir rapidamente a VPN: definem-se os recursos internos, atribuem-se utilizadores e grupos, e o tráfego passa a ser encaminhado pelo Global Secure Access. A Microsoft recomenda o Quick Access como estado de transição na jornada Zero Trust — depois de substituir a VPN, deve evoluir-se para per-app access para obter segregação granular por aplicação.

2.2 Per-App Access (Global Secure Access App)

O per-app access permite criar aplicações individuais no Entra ID, cada uma com o seu próprio conjunto de recursos, políticas de Conditional Access e grupos de utilizadores. É a abordagem granular: em vez de um único grupo de recursos, criam-se múltiplas aplicações para recursos diferentes, cada uma com políticas de acesso distintas. Use per-app access quando:

• Precisar de aplicar políticas de Conditional Access diferentes a subconjuntos de utilizadores.
• Tiver recursos privados que devem ter políticas de acesso distintas.
• Quiser proteger um subconjunto de recursos apenas durante um período específico.

2.3 Arquitectura de conectores

Os private network connectors são agentes leves instalados em Windows Server dentro da rede interna. Estabelecem ligações de saída (outbound) para o serviço Private Access na nuvem — não requerem abrir portos de entrada na firewall. Os utilizadores ligam-se ao serviço na nuvem, que encaminha o tráfego para os recursos internos através dos conectores. Os conectores são stateless, não armazenam dados de configuração localmente e recebem actualizações automáticas do serviço. Mais detalhes na página oficial sobre private network connectors.

3. Licenciamento

O Entra Private Access está incluído no Microsoft Entra Suite, que combina acesso de rede, protecção de identidade, governação de identidade e verificação de identidade numa única licença. O Entra Suite custa 12 USD por utilizador/mês, com compromisso anual, conforme a página oficial de planos e preços. Além do Private Access, o Entra Suite inclui:

Para gerir grupos de conectores, é necessário ter pelo menos Entra ID P1 ou P2. O papel de Global Secure Access Administrator e Application Administrator são obrigatórios para configurar o Private Access. A Microsoft oferece licenças de avaliação gratuitas para testar a solução antes de comprometer.

4. Configurar Global Secure Access Client

O Global Secure Access Client é o componente instalado no dispositivo do utilizador que encaminha o tráfego protegido para o serviço na nuvem. Todo o outro tráfego vai directamente para a rede, sem passar pela nuvem Microsoft. O cliente está disponível para Windows 10/11, macOS, Android e iOS. O guia completo de instalação está no Microsoft Learn.

4.1 Pré-requisitos

• Um tenant Microsoft Entra integrado no Global Secure Access.
• Dispositivo associado (joined) ou registado no tenant: Entra joined, Entra hybrid joined ou Entra registered.
• Windows 10 (LTSC 2021 ou superior) ou Windows 11, 64-bit. Arm64 requer instalador separado.
• Credenciais de administrador local para instalar ou actualizar o cliente.
• Licença Entra Suite atribuída ao utilizador.

4.2 Instalação manual

O cliente pode ser descarregado directamente do Microsoft Entra admin center:

• Iniciar sessão no Microsoft Entra admin center como Global Secure Access Administrator.
• Navegar para Global Secure Access > Connect > Client download.
• Seleccionar Download Client e executar o instalador no dispositivo.

4.3 Instalação silenciosa e via Intune

Para implementações em massa, o cliente suporta instalação silenciosa com o parâmetro /quiet. Através do Microsoft Intune, pode-se empacotar o instalador num ficheiro .intunewin e distribuir por grupos de dispositivos. O script PowerShell recomendado pela Microsoft instala o cliente, define a chave de registo DisabledComponents para preferir IPv4 sobre IPv6, e solicita um reinício.

# Instalação silenciosa do Global Secure Access Client
GlobalSecureAccessClient.exe /quiet

# Verificar instalação via registo
Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\GlobalSecureAccess" -ErrorAction SilentlyContinue

# Verificar estado do serviço
Get-Service -Name "GlobalSecureAccess" | Format-Table Name, Status, StartType

# Preferir IPv4 sobre IPv6 (recomendado pela Microsoft)
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip6\Parameters" `
  -Name "DisabledComponents" -Value 0x20 -Type DWord
Restart-Computer -Force

5. Criar App Segmentos e Políticas

A configuração do Private Access segue um fluxo de cinco passos. Cada passo é realizado no Microsoft Entra admin center e pode ser revisto antes de aplicar.

5.1 Definir segmentos de aplicação

Cada segmento de aplicação (application segment) define um recurso protegido. Três tipos de destino são suportados:

• Endereço IP — IPv4 individual (ex: 192.168.2.1) com portos específicos.
• FQDN — nome de domínio completo (ex: intranet.empresa.pt) ou wildcard (*.contoso.com) com portos.
• Intervalo de IPs (CIDR) — faixa de endereços (ex: 10.0.0.0/24) com portos.

Dentro de cada segmento, pode-se definir múltiplos portos e intervalos de portos, tanto TCP como UDP. Isto permite restringir o acesso a apenas os portos necessários para cada aplicação — algo que uma VPN tradicional não oferece de forma nativa.

5.2 Políticas de Conditional Access

A integração com Conditional Access é o coração do valor do Private Access. Cada aplicação (seja Quick Access ou per-app) aparece como uma enterprise application no Entra ID, o que significa que todas as políticas de Conditional Access disponíveis se aplicam:

• MFA — exigir autenticação multifactor antes de aceder a recursos internos.
• Dispositivo conforme — exigir que o dispositivo esteja marcado como conforme no Intune.
• Localização — permitir ou bloquear acesso consoante o país ou rede de origem.
• Risco de utilização — bloquear acesso se o utilizador tiver risco elevado detectado pelo Entra ID Protection.
• Risco de sessão — exigir MFA se a sessão apresentar risco.

# Verificar conectores activos via Microsoft Graph PowerShell
Connect-MgGraph -Scopes "Directory.Read.All"

# Listar aplicações do Private Access
Get-MgServicePrincipal -Filter "tags/Any(t: t eq 'WindowsAzureActiveAccessApplicationProxy')" |
  Select-Object DisplayName, Id, AppId |
  Format-Table -AutoSize

# Verificar políticas de Conditional Access
Get-MgIdentityConditionalAccessPolicy |
  Select-Object DisplayName, State, CreatedDateTime |
  Format-Table -AutoSize

6. Comparação Private Access vs VPN

A tabela seguinte resume as diferenças fundamentais entre o Entra Private Access e uma VPN tradicional. Para uma PME que está a avaliar se deve migrar, estes são os critérios de decisão mais relevantes:

7. Boas Práticas

7.1 Começar com Quick Access, evoluir para per-app

A Microsoft recomenda explicitamente usar o Quick Access como estado de transição. Primeiro, migre os recursos mais críticos da VPN para o Quick Access para validar a solução. Depois, crie aplicações per-app individuais para obter segregação granular e políticas de Conditional Access específicas por aplicação. Não tente migrar tudo de uma vez.

7.2 Mínimo dois conectores por grupo

Para alta disponibilidade, instale pelo menos dois conectores em cada grupo. Os conectores são stateless e o serviço distribui o tráfego automaticamente. Se um conector ficar indisponível, o outro assume sem interrupção. Para organizações com vários sites, crie grupos de conectores por localização geográfica para reduzir latência.

7.3 Aplicar Conditional Access desde o início

Não configure o Private Access sem políticas de Conditional Access. O valor principal do ZTNA sobre a VPN é exactamente o controlo de acesso baseado em identidade, dispositivo e risco. No mínimo, exigir MFA e dispositivo conforme para todos os recursos internos. Para recursos sensíveis (como administradores de domínio), adicionar restrições de localização e risco de utilização.

7.4 Manter conectores actualizados

Os conectores recebem actualizações automáticas através do serviço de updater. A versão mínima exigida para Private Access é a 1.5.3417.0. Se tiver conectores antigos, reinstale-os para obter a versão mais recente. Monitorize o estado dos conectores no Entra admin center em Global Secure Access > Connect > Connectors.

7.5 Piloto antes de expandir

Comece com um grupo piloto de 5-10 utilizadores e 2-3 aplicações internas críticas. Valide a experiência do utilizador, a latência e a integração com Conditional Access. Só depois expanda para o resto da organização. Documente o processo de instalação do cliente e crie um guia para os utilizadores finais — a transição de VPN para Private Access deve ser transparente.

7.6 Monitorizar e auditar

O Private Access gera logs detalhados no Entra ID: logs de acesso por aplicação, logs de Conditional Access e logs de tráfego de rede. Configure alertas para acessos negados, conexões de conectores e eventos de risco. Use o Microsoft Sentinel ou outras ferramentas SIEM para centralizar a monitorização. Para uma PME sem SIEM, os dashboards nativos do Entra admin center oferecem visibilidade suficiente para operação diária.