--- id: CP-205 slug: scim-aprovisionamento-automatico-saidas lang: pt title: SCIM e aprovisionamento automático de contas description: Como o SCIM cria, altera e desativa as contas das aplicações quando entra, muda de funções ou sai da empresa, e o que lhe cabe fazer. canonical_url: https://startbrain.io/cyberpedia/pt/articles/scim-aprovisionamento-automatico-saidas/ markdown_url: https://startbrain.io/cyberpedia/pt/articles/scim-aprovisionamento-automatico-saidas.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «SCIM e aprovisionamento automático de contas», Cyberpedia, 2026. https://startbrain.io/cyberpedia/pt/articles/scim-aprovisionamento-automatico-saidas/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-028 schema: G3 updated: "2026-11-03" translations: pt: https://startbrain.io/cyberpedia/pt/articles/scim-aprovisionamento-automatico-saidas/ fr: https://startbrain.io/cyberpedia/fr/articles/scim-provisionnement-automatique-departs/ en: https://startbrain.io/cyberpedia/en/articles/scim-automated-provisioning-offboarding/ de: https://startbrain.io/cyberpedia/de/articles/scim-automatische-bereitstellung-austritte/ es: https://startbrain.io/cyberpedia/es/articles/scim-aprovisionamiento-automatico-bajas/ it: https://startbrain.io/cyberpedia/it/articles/scim-provisioning-automatico-uscite/ nl: https://startbrain.io/cyberpedia/nl/articles/scim-automatische-provisioning-uitdiensttreding/ sources: - "n": 1 title: What is app provisioning in Microsoft Entra ID? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning accessed: "2026-11-03" - "n": 2 title: How Application Provisioning works in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works accessed: "2026-11-03" - "n": 3 title: Known issues for provisioning in Microsoft Entra ID publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues accessed: "2026-11-03" - "n": 4 title: User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/mitigations/M1018/ accessed: "2026-11-03" - "n": 5 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 6 title: Session Management - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html accessed: "2026-11-03" - "n": 7 title: Require Multifactor Authentication | CISA publisher: CISA url: https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication accessed: "2026-11-03" --- # SCIM e aprovisionamento automático de contas Numa empresa, cada colaborador tem contas em muitas aplicações: correio eletrónico, armazenamento de ficheiros e outras ferramentas. Quando alguém entra, muda de funções ou sai, é preciso criar, alterar ou encerrar essas contas. Se o encerramento for feito à mão, pode ser esquecido, e a conta de uma pessoa que já saiu continua aberta. O SCIM (System for Cross-domain Identity Management) é uma especificação que dá às aplicações uma forma comum de receber estas operações a partir do diretório da empresa [1]. Esta ficha explica o que o SCIM automatiza, o que não cobre e o que o colaborador e o respetivo responsável têm de fazer para que o circuito funcione. ## Em 30 segundos - Onde acontece: em cada entrada, mudança de funções ou saída, em todas as aplicações ligadas ao diretório da empresa. - O que quer o atacante: usar uma conta esquecida, que ninguém vigia, para entrar nos sistemas. - O reflexo: avisar a tempo da entrada, da mudança de funções ou da saída, não criar nenhuma conta fora do circuito oficial e devolver todos os seus acessos. - Se já aconteceu: se abriu uma conta fora do circuito ou manteve um acesso depois de mudar de funções, comunique-o à equipa informática para que seja associado ao circuito ou encerrado. ## Perguntas diretas ### O que é o SCIM, na prática? É uma linguagem comum entre o diretório e as aplicações. Sem ele, cada aplicação tem os seus próprios endereços de acesso, a sua forma de descrever um utilizador e o seu esquema de dados. O SCIM fornece um esquema de utilizador comum para fazer entrar, sair e circular as pessoas entre aplicações [1]. O serviço de aprovisionamento do Microsoft Entra ID liga-se ao ponto de acesso SCIM 2.0 fornecido pelo fabricante da aplicação para criar, alterar e eliminar utilizadores [2]. ### O que muda o diretório numa saída? O diretório passa a ser a fonte de verdade. O aprovisionamento automático inclui a criação das contas, mas também a sua manutenção e remoção quando o estado ou a função mudam [1]. Pode desativar automaticamente as contas nas aplicações certas quando as pessoas deixam a equipa ou a organização [1]. Mantém também as contas atualizadas de acordo com as alterações do diretório ou do sistema de recursos humanos [1]. ### Como é que isto reduz as contas fantasma? Porque o encerramento deixa de depender da memória de alguém. A Microsoft cita, entre as motivações, a remoção imediata das identidades das principais aplicações SaaS quando uma pessoa sai [1]. Quando uma pessoa deixa o âmbito do aprovisionamento, incluindo se for retirada da aplicação, o serviço desativa a sua conta na aplicação de destino [2]. Isto pressupõe, porém, que a aplicação esteja ligada, o que as armadilhas abaixo detalham. ### Qual é o meu papel, se tudo é automático? O automatismo parte do diretório. Se o diretório não sabe que vai sair ou mudar de serviço, nada se desencadeia. A informação tem de lá chegar a tempo, e são o colaborador e o respetivo responsável que a desencadeiam. ## Como funciona O serviço de aprovisionamento trabalha por ciclos. Um primeiro ciclo consulta todos os utilizadores e grupos da origem; depois, ciclos incrementais tratam apenas do que mudou desde o último marcador registado [2]. Se um utilizador não tem conta correspondente na aplicação, ela é criada. Se tem, é atualizada [2]. A saída segue vários casos previstos. Um utilizador desativado ou eliminado para a «reciclagem» no diretório é desativado na aplicação de destino. Numa aplicação SCIM, desativar equivale a pedir que a propriedade «active» tenha o valor falso [2]. Trinta dias após a eliminação no diretório, o utilizador é eliminado definitivamente, e o serviço envia então um pedido de eliminação à aplicação [2]. Um utilizador cujos grupos ou direitos mudam também pode sair do âmbito, o que conta como uma saída da aplicação [2]. Com grupos dinâmicos, a rapidez da remoção depende da velocidade com que o grupo reavalia os seus membros [2]. Tudo é registado nos registos de aprovisionamento, que guardam as leituras e escritas feitas nos sistemas de origem e de destino [2]. ## O que faz - Avise com antecedência. Comunique ao seu responsável e aos recursos humanos a sua entrada, mudança de funções ou saída, com a data exata, porque é a alteração do diretório que desencadeia tudo o resto. - Responsáveis: declarem as mudanças de funções tal como as saídas. Uma mudança de função pode exigir a remoção de acessos, e não apenas a adição de novos [1]. - Não crie nenhuma conta fora do circuito oficial: nenhum registo pessoal num serviço com o endereço profissional, nenhuma conta aberta à mão na interface de administração de uma aplicação sem informar a equipa informática. Uma conta assim não está ligada ao diretório, pelo que ninguém a encerrará automaticamente. - Devolva os seus acessos antes de sair: cartão, chaves de segurança, dispositivos e qualquer acesso recebido por outro canal que não a sua conta habitual. - Ative a autenticação multifator nas contas que continuam abertas. A CISA coloca as chaves de segurança à cabeça dos métodos e o código por SMS ou correio eletrónico em último [7]. ## As armadilhas ### Aplicação não ligada Uma aplicação do catálogo suporta aprovisionamento manual ou aprovisionamento automático. No modo manual, não existe conector automático: as contas criam-se à mão, por exemplo no portal de administração da aplicação ou através de um ficheiro de folha de cálculo [1]. Para estas aplicações, a saída passa por uma ação humana. Uma aplicação criada a partir de um simples registo OIDC não está ativada para aprovisionamento automático [3]. ### Alterações feitas diretamente na aplicação O serviço ignora as alterações feitas nas aplicações externas e não as anula: baseia-se no que muda no diretório [3]. Uma conta criada ou alterada localmente escapa, assim, ao circuito. A Microsoft indica que o aprovisionamento também pode detetar as contas existentes numa aplicação, incluindo locais ou órfãs [1]. A MITRE recomenda remover as contas órfãs, por exemplo sem proprietário, em auditorias regulares, e desativar automaticamente as contas após um período de inatividade, por exemplo 30 dias [4]. ### Contas locais, contas partilhadas, palavras-passe O aprovisionamento de palavras-passe não é suportado [3]. Algumas aplicações no local não estão federadas com o diretório e exigem palavras-passe locais [3]. Uma conta partilhada ou uma palavra-passe local conhecida de quem sai não se encerra com a saída do titular: é preciso alterá-la ou eliminá-la à mão. ### Atrasos e erros O intervalo entre dois ciclos não é configurável [3]. Quando um erro impede a alteração de um utilizador, a operação é repetida no ciclo seguinte, e um administrador tem de consultar os registos para encontrar a causa [2]. Se a maioria das chamadas falhar, por exemplo por credenciais de administração inválidas, a tarefa entra em quarentena, com ciclos abrandados para um por dia, e é depois desativada ao fim de mais de quatro semanas [2]. Uma saída pode, assim, não ser repercutida a tempo sem que ninguém o note. ### Tokens e sessões que sobrevivem Segundo a MITRE, um atacante que controle uma conta na nuvem pode criar credenciais adicionais duradouras para se manter nela, e essas credenciais podem contornar controlos como a autenticação multifator [5]. As fontes aqui citadas não dizem se uma sessão aberta termina assim que uma conta SCIM é desativada. Do lado da aplicação, a OWASP indica que, quando uma sessão termina, a aplicação deve invalidá-la no cliente e no servidor, e que o lado do servidor é o mais importante e obrigatório do ponto de vista da segurança [6]. Recomenda também um tempo limite de inatividade e um tempo limite absoluto para todas as sessões [6]. Quando um colaborador sai, a equipa informática deve, portanto, verificar os tokens de acesso, as palavras-passe de aplicação e as sessões, além da própria conta. ## Fontes 1. Microsoft, «What is app provisioning in Microsoft Entra ID?». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/user-provisioning (consultado em 3 de novembro de 2026) 2. Microsoft, «How Application Provisioning works in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/how-provisioning-works (consultado em 3 de novembro de 2026) 3. Microsoft, «Known issues for provisioning in Microsoft Entra ID». https://learn.microsoft.com/en-us/entra/identity/app-provisioning/known-issues (consultado em 3 de novembro de 2026) 4. MITRE ATT&CK, «User Account Management, Mitigation M1018 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1018/ (consultado em 3 de novembro de 2026) 5. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado em 3 de novembro de 2026) 6. OWASP, «Session Management - OWASP Cheat Sheet Series». https://cheatsheetseries.owasp.org/cheatsheets/Session_Management_Cheat_Sheet.html (consultado em 3 de novembro de 2026) 7. CISA, «Require Multifactor Authentication | CISA». https://www.cisa.gov/audiences/small-and-medium-businesses/secure-your-business/require-multifactor-authentication (consultado em 3 de novembro de 2026) --- Fonte original: Cyberpedia, a enciclopédia pública de cibersegurança e IA publicada pela Brain. Versão canónica: https://startbrain.io/cyberpedia/pt/articles/scim-aprovisionamento-automatico-saidas/ Pode reutilizar livremente este texto sob a licença CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), desde que cite «Brain, Cyberpedia» com uma ligação para o endereço acima.