Perguntas comuns sobre os requisitos de segurança de parceiros

Todos os parceiros no programa CSP (cobrança direta, provedor indireto e revendedor indireto), Consultores e Fornecedores de Painel de Controle devem atender aos requisitos.

1. Impor a MFA para todos os usuários

   Todos os parceiros do programa CSP, assistentes e fornecedores de painel de controle são obrigados a impor a MFA para todos os usuários do locatário de parceiro.

   Outras considerações:

   • Os provedores indiretos precisam trabalhar com revendedores indiretos para integrar o Partner Center, se ainda não tiverem feito isso, e incentivar seus revendedores a atender aos requisitos.
   • A autenticação multifator do Microsoft Entra está disponível para usuários no locatário do parceiro sem custo por meio dos padrões de segurança do Microsoft Entra, com o único método de verificação de um aplicativo autenticador que dá suporte a senhas de uso único baseadas em tempo (TOTP).
   • Outros métodos de verificação estão disponíveis por meio dos SKUs P1 ou P2 do Microsoft Entra, se outros métodos, como uma chamada telefônica ou mensagem de texto, forem necessários.
   • Os parceiros também podem usar uma solução de MFA de terceiros para cada conta ao acessar os serviços de nuvem comercial da Microsoft.

2. Adotar a estrutura do Modelo de Aplicativo Seguro

   Os parceiros que desenvolveram integração personalizada usando qualquer API (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, devem adotar a estrutura do Modelo de Aplicativo Seguro para integração com os serviços de nuvem da Microsoft. Não fazer isso pode resultar em uma interrupção devido à implantação da MFA.

   Os recursos a seguir fornecem uma visão geral e diretrizes sobre como adotar o modelo.

   • Visão geral do Modelo de Aplicativo Seguro
   • Partner Center: guia do Modelo de Aplicativo Seguro
   • Parceiros no programa CSP: código de exemplo em .NET para habilitar o Modelo de Aplicativo Seguro
   • Documento de autenticação do Partner Center
   • Documento de MFA (Autenticação Multifator) do PowerShell do Partner Center

   Consulte o fornecedor com relação à adoção da estrutura Modelo de Aplicativo Seguro se você estiver usando um painel de controle.

   Os fornecedores de painel de controle devem se integrar ao Partner Center como fornecedores de painel de controle e começar a implementar esse requisito imediatamente. Consulte o Partner Center: estrutura do Modelo de Aplicativo Seguro.

   Os fornecedores de painel de controle devem aceitar e gerenciar o consentimento dos parceiros do CSP em vez de credenciais e limpar todas as credenciais de parceiros do CSP existentes.

A MFA é um mecanismo de segurança para autenticar indivíduos usando mais de um procedimento de segurança e validação necessário. Isso funciona exigindo dois ou mais dos seguintes métodos de autenticação:

• Algo que você sabe (geralmente uma senha)
• Algo que você tem (um dispositivo de confiança que não é facilmente duplicado, como um telefone)
• Algo seu (biometria)

A Microsoft fornece MFA sem custo por meio da implementação de padrões de segurança do Microsoft Entra. A única opção de verificação disponível por meio desta versão da MFA é um aplicativo autenticador.

• Se for necessária uma chamada telefônica ou mensagem SMS, uma licença P1 ou P2 do Microsoft Entra deverá ser adquirida.
• Como alternativa, você pode utilizar uma solução de terceiros para fornecer MFA para cada usuário em seu locatário de parceiro. Nesse caso, é sua responsabilidade garantir que sua solução de MFA esteja sendo aplicada e que você esteja em conformidade.

Os usuários em um locatário de parceiro devem se autenticar usando MFA ao acessar os serviços de nuvem comercial da Microsoft. Uma solução de terceiros pode ser usada para atender a esses requisitos. A Microsoft não fornece mais testes de validação para provedores de identidade independentes quanto à compatibilidade com a ID do Microsoft Azure. Para testar a interoperabilidade do produto, consulte Documentos de compatibilidade do provedor de identidade do Microsoft Entra.

Sim. Você deve impor a MFA para cada locatário do Microsoft Entra associado ao programa CSP ou ao programa Assistente. Para comprar uma licença P1 ou P2 do Microsoft Entra ID, você deve comprar uma licença do Microsoft Entra ID para os usuários em cada locatário do Microsoft Entra.

Sim. Cada usuário deve ter a MFA imposta. No entanto, se você estiver usando os padrões de segurança do Microsoft Entra, nenhuma outra ação será necessária, pois esse recurso impõe a MFA para todas as contas de usuário. Habilitar padrões de segurança é uma maneira fácil e gratuita de garantir que suas contas de usuário sejam compatíveis com MFA e não sejam afetadas quando a MFA for imposta.

Parceiros de cobrança direta do Provedor de Soluções na Nuvem devem impor a MFA para cada usuário do seu locatário de parceiro.

Sim. Todos os revendedores indiretos precisam impor a MFA para cada usuário do seu locatário de parceiro. O revendedor indireto deve habilitar a MFA.

Sim. Esse requisito de segurança é para todos os usuários, incluindo usuários administradores do parceiro e usuários finais em um locatário do parceiro.

Ao examinar fornecedores e soluções de MFA, você deve garantir que a solução escolhida seja compatível com a ID do Microsoft Entra.

A Microsoft não fornece mais testes de validação para provedores de identidade independentes quanto à compatibilidade com a ID do Microsoft Azure. Se você quiser testar a interoperabilidade do produto, consulte os documentos de compatibilidade do provedor de identidade do Microsoft Entra.

Para obter mais informações, consulte a lista de compatibilidade de federação do Microsoft Entra.

O recurso de padrões de segurança do Microsoft Entra deve estar habilitado. Como alternativa, você pode usar uma solução de terceiros que usa federação.

Não. O cumprimento desses requisitos de segurança não afetará a maneira como você gerencia seus clientes. Sua capacidade de executar operações administrativas delegadas não será interrompida.

Não. Você não precisa impor a MFA para cada usuário nos locatários do Microsoft Entra do cliente. No entanto, recomendamos que você trabalhe com cada cliente para determinar a melhor forma de proteger seus usuários.

Não. Cada usuário em seu locatário de parceiro, incluindo contas de serviço, deve se autenticar usando MFA.

Sim. Isso significa que você deve implementar a solução de MFA apropriada para usuários no locatário da área restrita de integração. Recomendamos que você implemente os padrões de segurança do Microsoft Entra para fornecer MFA.

É considerada uma prática recomendada criar uma ou duas contas de acesso de emergência para evitar ser bloqueado inadvertidamente do locatário do Microsoft Entra. Em relação aos requisitos de segurança de parceiros, é necessário que cada usuário seja autenticado usando a MFA. Esse requisito significa que você precisa modificar a definição de uma conta de acesso de emergência. Pode ser uma conta que usa uma solução de terceiros para MFA.

Não. Não é necessário ter o ADFS (Serviço de Federação do Active Directory) se você estiver usando uma solução de terceiros. É recomendável que você trabalhe com o fornecedor da solução para determinar quais são os requisitos para sua solução.

Não.

Sim. Você pode usar o acesso condicional para impor a MFA para cada usuário, incluindo contas de serviço, em seu locatário de parceiro. No entanto, dada a natureza altamente privilegiada de ser um parceiro, precisamos garantir que cada usuário tenha um desafio de MFA para cada autenticação. Isso significa que você não pode usar o recurso de acesso condicional que contorna o requisito de MFA.

Não. A conta de serviço usada pelo Microsoft Entra Connect não será afetada pelos requisitos de segurança do parceiro. Se você tiver um problema com o Microsoft Entra Connect como resultado da imposição da MFA, abra uma solicitação de suporte técnico com o suporte da Microsoft.

A Microsoft introduziu uma estrutura segura e escalonável para autenticar parceiros CSP (Provedor de Soluções na Nuvem) e CPV (Fornecedores de Painel de Controle) que usa autenticação multifator. Para mais informações, veja o guia do Modelo de Aplicativo Seguro. Todos os parceiros que desenvolveram integração personalizada usando qualquer API (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, precisarão adotar a estrutura do Modelo de Aplicativo Seguro para se integrar aos serviços de nuvem da Microsoft.

A Microsoft está introduzindo uma estrutura segura e escalonável para autenticar parceiros CSP (Provedor de Soluções na Nuvem) e CPV (Fornecedores de Painel de Controle) que usam autenticação multifator. Para mais informações, veja o guia do Modelo de Aplicativo Seguro.

Todos os parceiros que desenvolveram integração personalizada usando qualquer API (como Azure Resource Manager, Microsoft Graph, API do Partner Center e assim por diante) ou implementaram automação personalizada usando ferramentas como o PowerShell, devem adotar a estrutura do Modelo de Aplicativo Seguro para integração com os serviços de nuvem da Microsoft. Não fazer isso pode resultar em uma interrupção devido à implantação da MFA.

Os recursos a seguir fornecem uma visão geral e orientação sobre como adotar o modelo:

• Visão geral do Modelo de Aplicativo Seguro
• Partner Center: guia do Modelo de Aplicativo Seguro
• Parceiros no programa CSP: código de exemplo em .NET para habilitar o Modelo de Aplicativo Seguro
• Documento de autenticação do Partner Center
• Documento de MFA (Autenticação Multifator) do PowerShell do Partner Center

Se você estiver usando um painel de controle, precisará consultar o fornecedor sobre a adoção da estrutura do Modelo de Aplicativo Seguro.

Os fornecedores de painel de controle devem se integrar ao Partner Center como um fornecedor de painel de controle e começar a implementar esse requisito imediatamente.

Consulte o Partner Center: estrutura do Modelo de Aplicativo Seguro. Os fornecedores de painel de controle devem aceitar e gerenciar o consentimento dos parceiros do CSP em vez de credenciais e limpar todas as credenciais de parceiros do CSP existentes.

Ao impor a autenticação multifator para todas as contas de usuário, qualquer automação ou integração destinada a ser executada de forma não interativa é afetada. Embora os requisitos de segurança do parceiro exijam que você habilite o modelo de aplicativo seguro para a API do Partner Center, ele pode ser usado para atender à necessidade de um segundo fator de autenticação com automação e integração.

Você deve implementar o Modelo de Aplicativo Seguro se sua automação for executada de forma não interativa e depender de credenciais de usuário para autenticação. Confira Modelo de Aplicativo Seguro | PowerShell do Partner Center para obter orientação sobre como implementar essa estrutura.

É recomendável que você use uma conta de serviço à qual tenha sido atribuído o menor nível de permissões. Com relação à API do Partner Center, você deve usar uma conta que tenha sido atribuída à função Agente de vendas ou Agente administrador.

É uma prática recomendada usar uma identidade menos privilegiada porque isso reduz o risco. Não é recomendável usar uma conta que tenha privilégios de administrador global, pois isso fornece mais permissões do que o necessário.

Para parceiros que usam uma solução de CPV (Fornecedor de Painel de Controle) para realizar transações no programa CSP (Provedor de Soluções na Nuvem), é sua responsabilidade consultar seu CPV.

Um fornecedor de painel de controle é um fornecedor de software independente que desenvolve aplicativos para uso por parceiros CSP para integração com APIs do Partner Center. Um fornecedor de painel de controle não é um parceiro CSP com acesso direto ao Partner Center ou às APIs. Uma descrição detalhada está disponível no guia Partner Center: Modelo de Aplicativos Seguros.

Para se registrar como um CPV (fornecedor de painel de controle), siga as diretrizes em Registrar-se como Fornecedor de Painel de Controle para ajudar a integrar sistemas de parceiros CSP com APIs do Partner Center.

Depois de se registrar no Partner Center e registrar seus aplicativos, você terá acesso às APIs do Partner Center. Você receberá suas informações de área restrita em uma notificação do Partner Center se for um novo CPV. Depois de concluir o registro como um CPV da Microsoft e aceitar o contrato de CPV, você pode:

• Gerenciar aplicativos multilocatários (adicionar aplicativos ao portal do Azure e registrar e cancelar o registro de aplicativos no Partner Center).

  Observação

  os CPVs deverão registrar seus aplicativos no Partner Center para serem autorizados a usar as APIs do Partner Center. Apenas adicionar aplicativos ao portal do Azure não autoriza os aplicativos de CPV a usarem as APIs do Partner Center.

• Exiba e gerencie seu perfil de CPV.

• Exiba e gerencie seus usuários que precisam de acesso aos recursos de CPV. Um CPV só pode ter a função de administrador global.

Não. Você deve seguir as diretrizes no guia Modelo de aplicativo seguro.

Sim. Um token de atualização pode ser gerado usando uma conta que não tem MFA imposta. No entanto, deve-se evitar isso. Qualquer token gerado usando uma conta que não tenha a MFA habilitada não poderá acessar os recursos devido ao requisito de MFA.

Siga o guia Modelo de Aplicativo Seguro que fornece detalhes sobre como fazer isso em conformidade com os novos requisitos de segurança. Você pode encontrar o código de exemplo do .NET em Exemplos do DotNet do Partner Center – Modelo de Aplicativo Seguro e o código de exemplo Java em Exemplos Java do Partner Center.

O CPV deve criar o aplicativo Microsoft Entra no locatário associado ao seu registro como um CPV.

A autenticação somente de aplicativo não é afetada porque as credenciais do usuário não são usadas para solicitar um token de acesso. Se as credenciais do usuário estiverem sendo compartilhadas, os CPVs (Fornecedores de Painel de Controle) deverão adotar a estrutura do Modelo de Aplicativo Seguro e limpar todas as credenciais de parceiro existentes que eles tiverem.

Não. Painel de Controle Os parceiros fornecedores não podem utilizar o estilo de autenticação somente aplicativo para solicitar tokens de acesso em nome do parceiro. Eles devem implementar o Modelo de Aplicativo Seguro, que utiliza o estilo de autenticação por aplicativo + usuário.

Todos os parceiros que participam do programa CSP (Provedor de Soluções na Nuvem), CPVs (fornecedores de painel de controle) e consultores devem implementar os requisitos obrigatórios de segurança do parceiro para manter a conformidade.

Para fornecer mais proteção, a Microsoft iniciou a ativação de proteções de segurança que ajudam os parceiros a proteger seus locatários e seus clientes, exigindo a verificação de MFA (autenticação multifator) para impedir o acesso não autorizado.

Concluímos com êxito a ativação das funcionalidades de AOBO (administrador em nome de) para todos os locatários de parceiros. Para ajudar ainda mais a proteger parceiros e clientes, iniciaremos a ativação para transações do Partner Center no CSP, ajudando os parceiros a proteger seus negócios e clientes contra incidentes relacionados ao roubo de identidade.

Para obter mais informações, consulte a página Obrigatoriedade de MFA (Autenticação Multifator) para o locatário do parceiro.

Para validar se a conta que acessa os recursos foi desafiada para autenticação multifator, verificamos a declaração de referência do método de autenticação para ver se a MFA está listada. Algumas soluções de terceiros não emitem essa declaração ou não incluem o valor da MFA. Se a declaração estiver ausente ou se o valor de MFA não estiver listado, não haverá uma maneira de determinar se a conta autenticada foi desafiada para autenticação multifator. Você precisará trabalhar com o fornecedor de sua solução de terceiros para determinar quais ações tomar para que a solução emita a declaração de referência do método de autenticação.

Se você não tiver certeza se sua solução de terceiros está emitindo a declaração esperada ou não, consulte Testando os requisitos de segurança do parceiro.

A imposição técnica dos requisitos de segurança do parceiro será verificada se a conta autenticada tiver sido desafiada para autenticação multifator. Se a conta não tiver sido verificada, você será redirecionado para a página de entrada e solicitado a autenticar novamente.

Para obter mais experiência e diretrizes, consulte Obrigatoriedade da MFA (Autenticação Multifator) para o locatário do parceiro.

Em um cenário em que seu domínio não é federado, após a autenticação bem-sucedida, você será solicitado a configurar a autenticação multifator. Depois que isso for concluído, você poderá gerenciar seus clientes usando o AOBO. Em um cenário em que seu domínio é federado, você precisará garantir que a conta esteja sendo desafiada para autenticação multifator.

As políticas de "linha de base" do Microsoft Entra ID estão sendo removidas e substituídas por "padrões de segurança", um conjunto mais abrangente de políticas de proteção para você e seus clientes. Os padrões de segurança podem ajudar a proteger a sua organização contra ataques de segurança relacionados a roubo de identidade.

Sua implementação de autenticação multifator (MFA) será removida devido à desativação das políticas de linha de base se você não tiver feito a transição das políticas de linha de base para a política de padrões de segurança ou outras opções de implementação de MFA. Todos os usuários nos seus locatários de parceiros que executam operações protegidas por MFA serão solicitados a concluir a verificação de MFA. Para obter diretrizes mais detalhadas, consulte Exigir a autenticação multifator para seu locatário de parceiro.

Para manter a conformidade e minimizar interrupções, use as seguintes etapas:

• Transição para padrões de segurança
  • A política de padrões de segurança é uma das opções que os parceiros podem escolher para implementar a MFA. Ela oferece um nível básico de segurança habilitado sem nenhum custo adicional.
  • Saiba como habilitar a MFA para sua organização com a ID do Microsoft Entra e examine as principais considerações sobre padrões de segurança.
  • Habilite a política de padrões de segurança de acordo com as suas necessidades comerciais.
• Transição para o Acesso Condicional
  • Se a política de padrões de segurança não atender às suas necessidades, habilite o acesso condicional. Para obter mais informações, examine a documentação do Acesso Condicional do Microsoft Entra.

• Veja os requisitos de segurança do parceiro: guia passo a passo.
• Direcione suas perguntas e comentários para o Grupo de Diretrizes de Segurança do Partner Center.
• Participe dos próximos webinars e horários de escritório do parceiro. Verifique a programação detalhada e os recursos na página da Comunidade de Parceiros.

• Visão geral do Modelo de Aplicativo Seguro
• Partner Center: guia do Modelo de Aplicativo Seguro
• Parceiros no programa CSP: código de exemplo em .NET para habilitar o Modelo de Aplicativo Seguro
• Documento de autenticação do Partner Center
• Documento de MFA (Autenticação Multifator) do PowerShell do Partner Center

Para recursos de suporte para atender aos requisitos de segurança:

• Se você tiver o Suporte Avançado para Parceiros (ASfP), entre em contato com o Gerente de Conta de Serviço.
• Para o contrato de suporte Premier para parceiros (PSfP), entre em contato com o gerente de contas de serviço e o gerente técnico de contas.

As opções de suporte técnico ao produto para a ID do Microsoft Entra estão disponíveis por meio dos benefícios do Microsoft AI Cloud Partner Program. Os parceiros com acesso a uma assinatura ativa do ASfP ou PSfP podem trabalhar com seu gerente de conta associado (SAM/TAM) para entender as melhores opções disponíveis para eles.

Se você perder o acesso devido a um problema de MFA, entre em contato com o administrador global do seu locatário. Seu departamento interno de TI pode dizer quem é seu administrador global.

Se você esqueceu sua senha, consulte Não é possível entrar para obter ajuda.

Informações sobre os problemas técnicos comuns podem ser encontradas em Requisitos de segurança de parceiros para parceiros usando o Partner Center ou as APIs do Partner Center