Recuperação de Acesso ao Tenant Microsoft 365 — Todos os Cenários

A perda de acesso ao tenant Microsoft 365 é uma das situações mais críticas que um sysadmin ou helpdesk pode enfrentar — utilizador sem MFA por telemóvel perdido, único Global Admin bloqueado, ou parceiro sem GDAP activo. Este artigo cobre todos os cenários por ordem de gravidade crescente, com o procedimento exacto para cada um.

Tabela de Decisão Rápida

Cenário 1 — Utilizador Final: Perdeu o Telemóvel / Authenticator

O utilizador não consegue completar o MFA porque perdeu o dispositivo, foi roubado ou formatou sem fazer backup do Authenticator. Existe um administrador do tenant com acesso funcional.

Solução A — Admin reseta o MFA do utilizador

1. Aceder ao Microsoft Entra admin center → Utilizadores → seleccionar o utilizador afectado.
2. Em Métodos de autenticação clicar em Exigir novo registo de MFA (Require re-register MFA).
3. Em alternativa: Autenticação multifator (legacy) → seleccionar o utilizador → Gerir definições do utilizador → “Exigir que os utilizadores forneçam métodos de contacto novamente”.
4. O utilizador efectua login com a password e é solicitado a configurar um novo método MFA.
5. Se o utilizador também não sabe a password, o admin deve fazer reset em Entra ID → Utilizadores → Repor palavra-passe primeiro.

Solução B — Código de Acesso Temporário (TAP) — método recomendado

O Temporary Access Pass (TAP) é o método preferido pela Microsoft. Requer Entra ID P1 ou superior (incluído no M365 Business Premium, E3, E5).

1. Admin acede a Entra ID → Utilizadores → [utilizador] → Métodos de autenticação.
2. Clicar em + Adicionar método → Código de Acesso Temporário.
3. Definir duração (mínimo 10 min, máximo 30 dias) e se é de utilização única.
4. Fornecer o código ao utilizador por canal seguro (telefone, presencialmente).
5. O utilizador autentica com o TAP e configura imediatamente um novo método MFA permanente.

# Verificar se o TAP está habilitado no tenant:
# Entra ID → Segurança → Métodos de autenticação → Código de Acesso Temporário → Activar

# Verificar via PowerShell (Microsoft Graph)
Connect-MgGraph -Scopes "Policy.ReadWrite.AuthenticationMethod"
Get-MgPolicyAuthenticationMethodPolicyAuthenticationMethodConfiguration -AuthenticationMethodConfigurationId "TemporaryAccessPass" |
    Select-Object State

Solução C — Exclusão temporária da política de Conditional Access

Se o utilizador estiver abrangido por uma política de CA que força MFA e não for possível usar TAP:

1. Entra ID → Segurança → Acesso Condicional → abrir a política relevante.
2. Em Utilizadores → Excluir, adicionar temporariamente o utilizador afectado.
3. O utilizador faz login sem MFA e configura um novo dispositivo de autenticação.
4. Após confirmação, remover a exclusão da política imediatamente.

Cenário 2 — Global Admin sem MFA (sem outro admin disponível)

O único Global Administrator do tenant perdeu acesso ao dispositivo MFA. Não existe outro admin com acesso funcional. Este é o cenário mais crítico para um tenant sem parceiro com GDAP.

Opção 1 — Utilizar método alternativo de verificação

1. No ecrã de MFA, clicar em “Problemas com a verificação? Experimente outro método” (Use a different verification method).
2. Se o admin tiver configurado SMS, chamada telefónica ou email alternativo, autenticar por esses meios.
3. Após acesso, ir imediatamente a Entra ID → Utilizadores → [próprio perfil] → Métodos de autenticação e configurar novo dispositivo.

Opção 2 — Self-Service via portal de recuperação Microsoft

1. Aceder a https://aka.ms/sspr ou https://passwordreset.microsoftonline.com.
2. Se o SSPR estiver habilitado com métodos alternativos, é possível recuperar o acesso sem intervenção do suporte.
3. O SSPR para administradores exige confirmação em dois métodos de autenticação (comportamento diferente dos utilizadores normais).

Opção 3 — Contactar suporte Microsoft directamente

1. Aceder a admin.microsoft.com e tentar iniciar sessão. Na janela de bloqueio, procurar “Can’t access your account?”.
2. Ligar para o suporte Microsoft por telefone — Portugal: +351 800 208 265 (linha gratuita, horário comercial).
3. Se existir um parceiro CSP associado (mesmo sem GDAP activo), o parceiro pode abrir o ticket com maior prioridade.
4. A Microsoft irá solicitar verificação de identidade. Ver Cenário 4 para o detalhe completo do processo.

Cenário 3 — Parceiro com GDAP Activo: Recuperação pelo Parceiro

Existe uma relação GDAP (Granular Delegated Admin Privileges) activa entre o parceiro CSP e o tenant cliente. Este é o caminho mais rápido e recomendado quando disponível.

Procedimento — Reset de MFA via GDAP

1. No Partner Center (partnercenter.microsoft.com), seleccionar o tenant cliente em Clientes.
2. Clicar em Gerir → Microsoft Entra ID para abrir o portal do cliente no contexto GDAP.
3. Navegar para Utilizadores → [utilizador afectado] → Métodos de autenticação.
4. Clicar em Exigir novo registo de MFA (Require re-register MFA).
5. Opcionalmente, gerar um Temporary Access Pass (TAP) para acesso imediato e seguro.
6. Confirmar com o utilizador/admin que consegue autenticar e configurar o novo método.

Se o GDAP não tiver permissões de autenticação

1. No Partner Center: Clientes → [cliente] → Administração → Relações de administrador delegado → verificar os papéis activos.
2. Se necessário, solicitar ao cliente (via outro admin funcional) aprovação de nova relação GDAP com papel Authentication Administrator.
3. Se não houver nenhum admin funcional no cliente, avançar para o Cenário 4.

Cenário 4 — Sem GDAP: Recuperação via Suporte Microsoft

Não existe GDAP activo, o Global Admin está bloqueado e não há alternativas internas. É necessário abrir um pedido de suporte junto da Microsoft com verificação de identidade do tenant.

Documentação necessária — preparar antes de contactar

Procedimento — Abrir pedido de suporte Microsoft

1. Via portal (se acesso parcial for possível): admin.microsoft.com → Suporte → Novo pedido de serviço. Descrever como “Global Admin locked out — MFA device lost”.
2. Via telefone: Suporte Microsoft Portugal: +351 800 208 265 (linha gratuita, horário comercial). O número pode variar conforme o plano de suporte contratado.
3. Via parceiro CSP: Se o cliente tiver um parceiro CSP associado (mesmo sem GDAP activo), o parceiro pode abrir o ticket em nome do cliente com prioridade acrescida.
4. O suporte Microsoft inicia um processo de verificação de identidade que pode demorar de algumas horas a 2–3 dias úteis conforme o plano de suporte e os dados fornecidos.
5. Após verificação, a Microsoft pode resetar o MFA da conta de admin ou criar uma conta temporária com acesso ao tenant.

O processo de verificação de identidade Microsoft — O que esperar

Cenário 5 — Último Recurso: Verificação de Domínio DNS

Cenário extremo: sem GDAP activo, Global Admin bloqueado, Microsoft não consegue verificar identidade suficientemente, e o tenant tem um domínio personalizado registado. O acesso ao DNS do domínio é a prova de propriedade definitiva.

Método — Recuperação por verificação DNS junto da Microsoft

1. Contactar o suporte Microsoft e indicar que pretende usar verificação DNS como prova de propriedade do tenant.
2. A Microsoft solicita a adição de um registo TXT específico no DNS do domínio verificado (processo semelhante à verificação inicial de domínio).
3. Aceder ao painel de gestão DNS do domínio (DNS.PT, Cloudflare, etc.) e adicionar o registo TXT fornecido.
4. Confirmar ao suporte Microsoft que o registo foi adicionado. A Microsoft verifica via DNS lookup.
5. Com verificação positiva, a Microsoft procede ao reset de acesso — habitualmente criando uma nova conta de admin temporária ou desbloqueando a existente.
6. Após recuperação: remover o registo TXT de verificação e configurar imediatamente contas break-glass (ver secção de Prevenção).

Via parceiro CSP — mesmo sem GDAP activo

Se o tenant for gerido por um parceiro CSP, o parceiro tem um caminho adicional mesmo sem GDAP:

1. O parceiro acede ao Partner Center → Clientes → [cliente] → Subscrições.
2. Mesmo sem GDAP, o parceiro pode submeter um ticket de suporte Microsoft em nome do cliente com prioridade elevada por ser CSP.
3. O parceiro pode solicitar a criação de uma relação DAP de emergência (o modelo legado ainda existe como fallback em situações críticas, sujeito a aprovação Microsoft).
4. Em casos extremos, o parceiro CSP pode contactar o seu Microsoft Partner Account Manager para escalação interna.

Prevenção — Boas Práticas para Evitar este Cenário

Como criar uma conta break-glass correctamente

1. Criar conta com formato [email protected] — usar o domínio onmicrosoft.com, não o domínio personalizado (evita dependência de DNS externo ou problemas de federação).
2. Atribuir papel Global Administrator.
3. Excluir de todas as políticas de Conditional Access — criar exclusão explícita por nome de utilizador, não por grupo.
4. Definir password longa (20+ caracteres, gerada aleatoriamente). Guardar em cofre físico além do digital.
5. Criar alerta em Entra ID → Monitorização → Logs de sign-in para notificar imediatamente qualquer login desta conta — qualquer uso legítimo deve ser investigado.
6. Testar o acesso semestralmente para garantir que a conta continua funcional e que a password está acessível.