Intune: Guia Completo da Aprovação de Múltiplos Administradores (Multi-Admin Approval)

Gerenciar endpoints exige uma dose alta de responsabilidade. Afinal, temos o poder de configurar, mas também de destruir um ambiente com poucos cliques. A grande questão é: você deve carregar essa responsabilidade sozinho?

Até pouco tempo, bastava uma credencial de Global Admin comprometida (ou um momento de distração) para causar um estrago irreversível, como formatar ou deletar dispositivos em massa. A segurança baseada apenas na confiança individual já não é suficiente.

É aqui que o jogo muda com a Multi-Admin Approval (MAA) do Intune. Vamos explorar como implementar essa camada crítica de segurança que exige um segundo par de olhos antes de qualquer ação destrutiva, garantindo que sua operação seja à prova de falhas e de ataques.”

O Conceito: Princípio dos “Quatro Olhos”

O “princípio dos quatro olhos” é um conceito fundamental de segurança que dita que nenhuma ação crítica deve ser executada unilateralmente por uma única pessoa. A Aprovação de Múltiplos Administradores é um mecanismo de controle de acesso que exige que uma segunda conta administrativa aprove uma alteração antes que ela seja efetivamente aplicada no ambiente.

Imagine um cofre de banco que requer duas chaves distintas giradas simultaneamente para funcionar, o MAA opera sob essa mesma lógica. Quando um administrador tenta realizar uma ação sensível protegida por essa política, o Intune pausa a execução e aguarda que um membro de um grupo de aprovadores designados valide a solicitação.

O que podemos (e devemos) proteger?

Diferente de outras ferramentas que possuem um botão genérico de “Proteger Dispositivos”, o Intune exige que você crie políticas específicas para cada vetor de risco. Conforme o menu de configuração atual (Policy type), estas são as categorias disponíveis:

• Script: O vetor mais crítico. Protege contra a criação, edição e upload de scripts. Ideal para evitar execuções de código malicioso ou mal testado.
• App: Focado na gestão de binários. Protege contra a adição, atribuição (deploy) e exclusão de aplicativos.
• Ações de Dispositivo (Separadas – A “Pegadinha”): Aqui mora um detalhe que pega muitos administradores desprevenidos. As ações destrutivas não são um pacote único; elas são políticas distintas que precisam ser configuradas individualmente:
  • Device wipe: Protege a formatação remota (factory reset).
  • Device delete: Protege a exclusão do registro do dispositivo no console (mas não necessariamente formata a máquina).
  • Device retire: Protege o comando de “Aposentar”, que remove apenas os dados corporativos e desvincula o MDM.
• Role (Funções): Protege o RBAC. Impede que um administrador mal-intencionado altere permissões ou crie novas funções personalizadas para elevar seus próprios privilégios.
• Tenant configuration: Protege configurações globais do locatário, como a personalização da experiência do usuário e categorias de dispositivos.

Por que implementar isso agora?

A implementação do MAA não é apenas sobre desconfiança entre a equipe, é sobre Governança de TI e redução de superfície de ataque:

1. Proteção contra Credenciais Comprometidas: Se a conta de um Administrador Global for invadida via phishing ou token theft, o atacante ficará de mãos atadas. Ele não conseguirá executar ações destrutivas em massa sem a cumplicidade de um segundo administrador.
2. Rede de Segurança Operacional: Todos nós estamos sujeitos ao cansaço ou distrações. Ter um colega revisando um deploy crítico ou deleção serve como uma barreira final contra configurações acidentais que poderiam impactar a operação da empresa.

Pré-requisitos Técnicos

Antes de iniciar a configuração, valide se o seu tenant atende aos requisitos:

• Licenciamento: Disponível para planos que incluem o Microsoft Intune.
• Identidades Distintas: São necessárias, no mínimo, duas contas. Uma para solicitar a ação e outra para aprovar. Um administrador nunca pode aprovar sua própria solicitação.
• Permissões RBAC: Para configurar o MAA, você precisa ser um Intune Service Administrator ou Global Admin.
• Grupos de Aprovadores: Os aprovadores devem pertencer a um Grupo de Segurança.

Atenção: Para que um usuário apareça como um aprovador válido, ele precisa ter alguma função do Intune atribuída (mesmo que seja apenas “Leitor Global” ou “Leitor do Intune”). Usuários sem permissão de leitura no console não conseguirão visualizar a solicitação para aprová-la.

Guia Prático: Configurando o MAA

Vamos configurar um cenário real de “Zero Trust”: queremos impedir que qualquer administrador execute um “Delete” em dispositivos corporativos sem a aprovação explícita de um par.

Crie o Grupo de Aprovadores

No Microsoft Entra ID, crie um Grupo de Segurança.

• Nome sugerido: Intune – Security Approvers
• Membros: Adicione os administradores seniores ou líderes de equipe que terão poder de veto.

Crie uma Política de Acesso

Acesse o centro de administração do Microsoft Intune e navegue até Tenant Administration >> Multi Admin Approval.

Selecione a aba Access policies e clique em Criar.

• Básico:
  • Nome: Devices Delete.
  • Descrição: Exige aprovação dupla para ações destrutivas em endpoints.
  • Tipo de Perfil: Selecione Ações do Dispositivo.

• Aprovadores:
  • Clique em “Adicionar Grupos” e selecione o grupo criado.
  • Você pode configurar um mínimo de aprovadores necessários (Recomendado é 2 (dois) ou mais).

• Revisar e Criar (O “Pulo do Gato”):
  • Ao tentar salvar, você perceberá que o Intune exige uma Justificativa Comercial. Isso acontece porque a criação da própria política de proteção também é uma ação protegida. O sistema não permite ativar o MAA sem que outro admin concorde.
  • Digite a justificativa e clique em Submit for approval.

O Ciclo de Aprovação da Política

Para que a regra comece a valer, o segundo administrador (membro do grupo de aprovadores) deve:

1. Logar no Intune.
2. Ir em Tenant admin > Multi Admin Approval > All Requests.
3. Localizar a solicitação de criação da política.
4. Revisar os detalhes e clicar em Aprovar Solicitação, inserindo uma nota de auditoria.

Conclusão (O passo esquecido)

O fluxo não acaba na aprovação. O administrador original (que criou a política) precisa “fechar o ciclo”:

1. Vá em My Requests.
2. Verifique que o status mudou para Aprovado.
3. Clique na solicitação e selecione o botão Completed Request.

Somente após finalizar essa etapa que a política estará ativa e protegendo o ambiente.

Entendendo o fluxo de aprovação:

Vamos visualizar como essa proteção funciona na prática. Neste cenário, temos uma política de Device Delete já ativa e aprovada. Acompanhe o que acontece quando um administrador tenta excluir um dispositivo.

1. O Bloqueio Inicial

Ao selecionar o dispositivo WIN11LOG e clicar em Delete, o Intune intercepta a ação imediatamente. Em vez de executar o comando, o console exibe um pop-up exigindo uma Justificativa Comercial (“Business justification”). O administrador preenche o motivo e clica em Request for Delete.

2. A Notificação de Espera

O sistema informa que a ação não foi realizada: “IT Administrator must approve Delete action” (Um administrador de TI deve aprovar a ação de exclusão). O comando fica em uma fila de espera.

3. A Visão do Aprovador (Auditoria)

O segundo administrador recebe a demanda. Ao acessar o menu Multi Admin Approval, ele vê a solicitação com o status Needs approval (Precisa de aprovação).

Ao clicar na solicitação, o aprovador tem acesso a um nível detalhado de auditoria (JSON), confirmando:

• DeviceName: WIN11LOG
• ActionName: Delete
• Solicitante: …………

O aprovador insere suas notas (“Approved. It has been confirmed…”) e clica em Approve request.

4. O Passo Final

A aprovação por si só não deleta o dispositivo; ela apenas “destrava a arma”. O ciclo só termina quando a solicitação é finalizada. O status muda para “Approved” e o botão Complete request (Concluir solicitação) fica disponível.

Somente após o clique em Complete request, o comando de exclusão é efetivamente enviado para o dispositivo.

Nota: Um ponto de atrito na implementação é que o Intune, nativamente, não envia notificações proativas (e-mail ou push) para os aprovadores quando uma nova solicitação é gerada. Para evitar que solicitações fiquem paradas (elas expiram automaticamente em 30 dias), é crucial estabelecer um processo paralelo de comunicação. Utilize o Microsoft Teams ou Email para alertar os aprovadores.

Conclusão

Chegamos ao fim desta jornada de implementação e governança com o Multi-Admin Approval no Microsoft Intune. Ao longo deste passo a passo, vimos que proteger um ambiente corporativo vai muito além de configurar políticas de conformidade ou antivírus; trata-se de aplicar camadas de segurança operacional, mitigando riscos de erros humanos e protegendo identidades privilegiadas contra ações críticas não autorizadas.

Nota: Com as regras de aprovação ativas, o seu tenant deixa de ser vulnerável a decisões unilaterais e passa a operar com um fluxo de controle robusto, previsível e alinhado às mais rigorosas boas práticas de segurança da informação.

E você, o que achou deste conteúdo? Já implementou o Multi-Admin Approval no seu ambiente ou enfrentou desafios para convencer a equipe sobre a necessidade desse “princípio de quatro olhos”? Compartilhe sua experiência nos comentários e venha fazer parte dessa jornada.