Chega de política de acesso esquecida: o Conditional Access Optimization Agent do Microsoft Entra já está em GA

Se você administra Microsoft Entra ID, já viveu isso: um app novo entra no tenant, um usuário é criado às pressas para um projeto, e meses depois alguém descobre que aquele acesso nunca ficou coberto por nenhuma política de Conditional Access. Em ambientes híbridos, com sincronização constante de objetos on-prem e nuvem, esse tipo de lacuna é ainda mais fácil de passar batido.

Desde julho de 2025 o Microsoft Entra conta com um agente de Security Copilot criado exatamente para fechar esse buraco de forma contínua: o Conditional Access Optimization Agent (CA Optimization Agent), que está em disponibilidade geral (GA) junto com o Security Copilot embutido no Entra admin center.[1] Ao longo de 2026 o agente ganhou novas capacidades — recomendações sensíveis ao contexto de negócio, rollout em fases e reforço automatizado de privilégio mínimo para identidades de agentes.[4]

Neste artigo vou mostrar o que o agente faz, os pré-requisitos reais para ativá-lo e como interpretar as recomendações no dia a dia de quem cuida de Conditional Access em produção.

O que o agente realmente faz

O CA Optimization Agent escaneia o tenant diariamente em busca de usuários, aplicações e identidades de agente criados nas últimas 24 horas e verifica se existe alguma política de Conditional Access cobrindo cada um.[2] Ele avalia especificamente:

• Exigência de autenticação multifator (MFA)
• Controles baseados em dispositivo (compliance, app protection policies, dispositivos ingressados no domínio)
• Bloqueio de autenticação legada e do device code flow[2]

Além de apontar lacunas, o agente também analisa as políticas já habilitadas para sugerir consolidação de políticas semelhantes — um problema clássico em tenants que cresceram "no improviso" por anos.[2] Quando encontra uma sugestão, ele oferece remediação com um clique.[2]

Pré-requisitos antes de ativar

Antes de sair clicando em "Ativar agente", confirme:

1. Licenciamento: pelo menos Microsoft Entra ID P1 para o agente funcionar; alguns recursos (recomendações baseadas em risco) exigem Entra ID P2.[1]
2. Security Compute Units (SCUs): o agente consome SCUs apenas quando executa um scan, não continuamente — então dá pra estimar o custo observando a frequência de execução.[1] Os SCUs são provisionados via Security Copilot ou pelo portal Azure.[1]
3. Papel (role) correto: é preciso o papel de Security Administrator para ativar o agente pela primeira vez. Security Reader e Global Reader só visualizam o agente e as sugestões, sem poder agir. Conditional Access Administrator e Security Administrator podem visualizar e aplicar as sugestões.[2]
4. Controles de dispositivo exigem licenciamento Microsoft Intune.[2]

Vale notar as limitações atuais: depois que o agente inicia, não é possível pausar a execução; cada run avalia até 40 pares de políticas semelhantes para consolidação; o scan é limitado a uma janela de 24 horas; e o agente pode revisar até 300 usuários e 150 aplicações por execução.[2] Em tenants grandes, isso significa que a cobertura completa pode levar mais de um ciclo.

Passo a passo para ativar

1. Acesse https://entra.microsoft.com com uma conta com papel
   Security Administrator (mínimo necessário para a primeira ativação).

2. No menu lateral do Entra admin center, vá em
   "Security Copilot agents" (ou use o card de notificação
   "Go to agents" na página inicial).

3. Localize o "Conditional Access Optimization Agent"
   no blade "Agents".

4. Ative o agente. Ele roda automaticamente a cada 24h,
   escaneando objetos criados/alterados no período.

5. Revise as sugestões na aba "Activity" / overview do agente:
   cada recomendação vem com explicação em linguagem natural
   do motivo da sugestão (gap detectado, tipo de política
   recomendada, impacto estimado).

6. Aplique a remediação com um clique quando a sugestão
   fizer sentido para o seu ambiente, ou descarte-a com
   justificativa documentada para auditoria.

Depois da ativação inicial por um Security Administrator, o dia a dia de revisão das sugestões pode ficar com o Conditional Access Administrator — sem precisar reativar nada.

O que mudou ao longo de 2026

Além da função básica de detecção de lacunas, o agente passou a entregar recomendações com consciência do contexto de negócio, apoiar rollout de novas políticas em fases (em vez de aplicar tudo de uma vez num tenant de produção) e ajudar a aplicar privilégio mínimo automaticamente para identidades de agentes de IA que começam a aparecer no tenant — reflexo direto do crescimento de agentes (Copilot Studio, agentes de terceiros) que também precisam ser tratados como identidades sujeitas a política.[4] Em estudos controlados divulgados pela Microsoft, administradores de identidade completaram tarefas relacionadas a políticas 43% mais rápido e com 48% mais precisão ao identificar fraquezas de configuração usando o agente, segundo a própria Microsoft.[4]

Vale lembrar que o Security Copilot em si — a camada que sustenta esse e outros agentes no Entra — já vem incluído sem custo adicional nas licenças Microsoft 365 E5 e E7, o que reduz a barreira de entrada para quem já tem esse licenciamento.[3]

Isso é relevante justamente para ambientes híbridos: conforme novos objetos de computador e usuário chegam via Entra Connect (sync) ou são provisionados nativamente na nuvem, o agente vira uma rede de segurança automática contra o cenário clássico de "ficou sem política de CA porque ninguém lembrou de configurar".

Pontos de atenção

• O agente não substitui governança de Conditional Access — ele aponta e sugere, mas decisões de negócio (bloquear um app crítico, por exemplo) ainda exigem revisão humana.
• Scans consomem SCUs mesmo que a cobertura esteja "quase completa"; monitore o consumo na aba Activity para não ser surpreendido na fatura do Security Copilot.[1]
• Em tenants híbridos com alta rotatividade de contas de serviço vindas do on-prem, vale revisar com atenção as sugestões de consolidação de políticas — objetos técnicos (service accounts) às vezes têm padrões de acesso que parecem "duplicados" mas não são.

Conclusão

O Conditional Access Optimization Agent é um bom exemplo de onde a IA generativa realmente ajuda no dia a dia de administração de identidade: não substituindo o julgamento do administrador, mas eliminando o trabalho manual repetitivo de garimpar lacunas de política em um tenant que nunca para de crescer. Para quem já paga por Security Copilot SCUs, ativar o agente é basicamente custo zero de implementação e alto retorno em visibilidade — principalmente em ambientes híbridos onde objetos chegam por mais de um caminho de provisionamento.

Fontes

[1] https://techcommunity.microsoft.com/blog/microsoft-entra-blog/smarter-identity-security-starts-with-ai/4429001 — Smarter identity security starts with AI (Microsoft Entra Blog)
[2] https://learn.microsoft.com/en-us/entra/security-copilot/conditional-access-agent-optimization — Microsoft Entra Conditional Access Optimization Agent (Microsoft Learn)
[3] https://learn.microsoft.com/en-us/copilot/security/whats-new-copilot-security — What's new in Microsoft Security Copilot
[4] https://techcommunity.microsoft.com/blog/securitycopilotblog/from-alert-overload-to-decisive-action-how-security-copilot-agents-are-transform/4504213 — From alert overload to decisive action: How Security Copilot agents are transforming security and IT

📚 Recursos recomendados

• Microsoft 365 Copilot at Work: Using AI to Get the Most Out of Word, Excel, PowerPoint, Teams and Outlook — guia prático para quem quer entender a camada de IA generativa da Microsoft antes de avaliar agentes como o CA Optimization Agent em produção.