A reprodução arquivada do aviso MC1537494, atribuído à Microsoft, prevê uma implantação global do Defender RBAC do início de dezembro de 2026 ao fim de janeiro de 2027. A mudança começa com a importação de funções para revisão; a ativação automática dos workloads incluídos está prevista para cerca de 30 dias após o aviso enviado a cada tenant. Consulte a reprodução do MC1537494.
Quando cada tenant será afetado
A janela global não determina a data de ativação de cada organização. O portal do Defender informa quais workloads estão incluídos e as respectivas datas; segundo o aviso, a ativação ocorre automaticamente cerca de 30 dias depois da notificação enviada ao tenant.
A implantação descrita é planejada, não uma confirmação de que a mudança já ocorreu. Para organizar a revisão, acompanhe as datas e os workloads indicados no portal do seu tenant.
O que revisar antes da ativação
A importação das funções legadas é uma etapa de revisão e, segundo o aviso, não altera a operação até que o workload correspondente seja ativado. Antes disso, administradores podem conferir e ajustar atribuições e escopos em Defender portal > Permissions > Roles. Também é possível executar a importação novamente.
Planeje a revisão pelas datas e pelos workloads indicados no portal do seu tenant.
Depois da ativação, o aviso prevê uma opção de autoatendimento nas configurações do workload para retornar ao modelo de permissões legado. Para administrar funções e permissões por API, a orientação é migrar para a API do Defender RBAC.
Como ficam as permissões do Sentinel e do Azure
As funções de workspace do Microsoft Sentinel entram no Defender RBAC, mas as permissões para recursos Azure continuam sob Azure RBAC. As demais fronteiras descritas no aviso são:
| Área | Tratamento previsto | Escopo |
| Workspaces do Microsoft Sentinel | Sentinel Reader, Sentinel Responder e Sentinel Contributor passam ao Defender RBAC | Permissões do workspace Sentinel |
| Recursos Azure | Azure RBAC continua em vigor | Inclui recursos como Logic Apps e Workbooks |
| Funções de diretório Microsoft Entra | Continuam concedendo acesso ao portal do Defender e são mapeadas para permissões do Defender RBAC | Funções de diretório e acesso ao portal |
| Acesso delegado B2B/GDAP | O acesso delegado permanece inalterado; as atribuições a usuários ou grupos B2B/GDAP entram na importação automática | Atribuições de funções e gerenciamento delegado |
| Microsoft Purview, Exchange Online e Privileged Identity Management | Permissões permanecem inalteradas | Serviços e recursos próprios |
| Microsoft Defender for Office 365 | A mudança se aplica ao Plano 2; a administração por PowerShell continua como antes | Plano 2, licenciado separadamente ou incluído em uma oferta elegível, como Microsoft 365 E5 |
