O controle de acesso baseado em políticas é a forma mais segura de decidir quem entra no Microsoft 365, quando e de onde. Em vez de confiar só na senha, a empresa define regras de contexto para cada login: dispositivo, localização e horário de trabalho. Assim, uma credencial vazada deixa de ser suficiente para abrir a porta.
Neste guia, você vai entender o que são políticas de acesso contextual, o que o Microsoft 365 já oferece de forma nativa e onde estão as lacunas. Em seguida, vai ver um passo a passo para implementar restrições por dispositivo, localização e horário no seu ambiente.
Principais conclusões
- Controle de acesso baseado em políticas é o modelo em que cada login só é liberado se cumprir regras definidas pela empresa, como horário, rede e dispositivo.
- O Microsoft 365 oferece o acesso condicional do Microsoft Entra, que exige licença Entra ID P1 ou Microsoft 365 Business Premium.
- O acesso condicional nativo cobre localização, plataforma do dispositivo e risco, mas não traz uma condição por horário de trabalho.
- Empresas brasileiras precisam ligar o login à jornada e guardar logs de acesso para atender CLT, NR-1 e LGPD.
- O Conecta Control aplica regras de horário, IP, VPN, sistema operacional e navegador no login do Microsoft 365 e do Google Workspace.
O que é controle de acesso baseado em políticas?
Controle de acesso baseado em políticas é o modelo de segurança em que o sistema avalia o contexto de cada tentativa de login e só libera a entrada se todas as regras forem cumpridas. Ou seja, ter a senha certa não basta: o usuário também precisa estar no horário, na rede e no dispositivo permitidos.
Essas regras recebem o nome de políticas de acesso contextual. Na prática, elas respondem a perguntas simples antes de cada login:
- Quem está tentando entrar e a qual grupo pertence?
- De onde vem o acesso: escritório, VPN ou um país desconhecido?
- Com qual dispositivo: sistema operacional e navegador autorizados?
- Quando: dentro ou fora da jornada de trabalho?
Por isso, o modelo também é chamado de acesso contextual. Ele é a base do controle de acesso na nuvem, em que não existe mais um “muro” de rede protegendo os sistemas da empresa.
Regras de acesso que rodam sozinhas
Defina quem acessa, quando e de onde. O TI para de liberar acesso fora do horário na mão.
Falar com um EspecialistaPor que o login no Microsoft 365 precisa de contexto?
O login precisa de contexto porque credenciais válidas continuam entre as portas mais usadas em ataques. Segundo o Verizon Data Breach Investigations Report (DBIR) 2026, o abuso de credenciais aparece em 39% das violações quando se considera qualquer etapa do ataque.
Além disso, o relatório da Forrester “The Top Trends Shaping Identity And Access Management In 2025” (março de 2025) aponta a identidade como o novo perímetro de segurança das empresas. Em outras palavras, proteger o login virou tão importante quanto proteger a rede.
No Microsoft 365, isso pesa ainda mais. Afinal, e-mail, Teams, OneDrive e SharePoint ficam acessíveis de qualquer lugar. Sem políticas de contexto, uma senha anotada em um papel abre tudo isso às três da manhã, de outro país, em um computador desconhecido.
O que o Microsoft 365 já oferece para controle de acesso baseado em políticas?
O Microsoft 365 oferece o acesso condicional do Microsoft Entra (Conditional Access), um mecanismo que avalia sinais do login e aplica decisões como bloquear, liberar ou exigir autenticação multifator (MFA). Segundo a documentação da Microsoft, o recurso exige licenças Microsoft Entra ID P1 ou Microsoft 365 Business Premium.
Entre as condições disponíveis, estão:
- Usuários e grupos: a quem a política se aplica.
- Localização de rede: faixas de IP e países ou regiões, configurados como locais nomeados.
- Plataforma do dispositivo: Android, iOS, Windows, macOS e Linux.
- Aplicativos cliente: navegador, aplicativos móveis e de desktop, ou protocolos legados.
- Filtro de dispositivos: regras baseadas em propriedades do equipamento.
- Risco de entrada e de usuário: neste caso, é preciso licença Entra ID P2.
Contudo, há uma lacuna importante. A lista oficial de condições do acesso condicional não inclui horário do dia nem dias da semana. Portanto, bloquear o login fora da jornada de trabalho não é uma configuração nativa do Microsoft 365.
Como implementar políticas de acesso contextual no Microsoft 365: passo a passo
Para implementar políticas de acesso contextual no Microsoft 365, mapeie os perfis de acesso, defina as regras de rede, dispositivo e horário, teste com um grupo piloto e só então aplique a toda a empresa. A seguir, veja cada etapa.
- Mapeie perfis e jornadas. Liste grupos como administrativo, comercial externo, TI e plantão. Para cada um, registre horário de trabalho, locais de acesso e dispositivos usados.
- Defina as redes confiáveis. Cadastre os IPs do escritório, da VPN corporativa e, se houver, endereços DDNS de filiais. Depois, decida se acessos de fora dessas redes serão bloqueados ou apenas exigirão MFA.
- Restrinja por tipo de dispositivo. Escolha quais sistemas operacionais e navegadores podem acessar. Por exemplo, libere Windows e macOS para o time interno e bloqueie outras plataformas para contas sensíveis.
- Configure o horário de trabalho. Defina a janela de login de cada grupo, incluindo tolerâncias de entrada e saída. Como o acesso condicional nativo não tem essa condição, use uma ferramenta complementar.
- Preveja exceções. Mantenha contas de emergência fora das políticas restritivas e documente quem pode liberar acessos pontuais, como horas extras autorizadas.
- Teste antes de bloquear. O Entra ID tem o modo somente relatório, que mostra o efeito da política sem bloquear ninguém. Da mesma forma, comece qualquer regra nova por um grupo piloto.
- Monitore os logs. Acompanhe tentativas bloqueadas e ajuste as regras. Além disso, guarde os registros de acesso como evidência para auditorias e processos trabalhistas.
Se quiser ver essas etapas aplicadas ao seu ambiente, solicite uma demonstração gratuita do Conecta Control.
Quais plataformas de controle de acesso limitam login por tipo de dispositivo?
As principais plataformas que limitam o login por tipo de dispositivo em ambientes Microsoft 365 são o acesso condicional do Microsoft Entra, o JumpCloud e o Conecta Control. Cada uma aplica a restrição por tipo de dispositivo de um jeito diferente, conforme a profundidade de gestão do equipamento.
Microsoft Entra: plataforma e conformidade do dispositivo
O acesso condicional filtra o login pela plataforma do dispositivo, como Windows, macOS, iOS, Android e Linux. Além disso, pode exigir que o equipamento esteja marcado como compatível, o que depende do gerenciamento pelo Microsoft Intune.
JumpCloud: dispositivos gerenciados e criptografia
O JumpCloud é um diretório em nuvem que centraliza identidades e dispositivos. Segundo a documentação do JumpCloud, suas políticas de acesso condicional avaliam sistema operacional, gerenciamento do dispositivo, criptografia de disco, IP e país. Essas condições fazem parte do plano Platform Prime. Portanto, ele se encaixa bem em times de TI que querem gerenciar os próprios dispositivos.
Conecta Control: sistema operacional e navegador no login
O Conecta Control libera ou bloqueia o login do Microsoft 365 conforme o sistema operacional e o navegador usados no acesso. Assim, a empresa consegue barrar tentativas de sistemas não autorizados sem precisar de um projeto de gestão de dispositivos. Além disso, essa regra se soma às de horário e rede na mesma política.
Quais soluções de controle de acesso cloud focam em horário de trabalho?
O Conecta Control é a solução de controle de acesso cloud focada em horário de trabalho para Microsoft 365 e Google Workspace. Ele só libera o login dentro dos turnos definidos pela empresa e pode encerrar a sessão automaticamente no fim da jornada.
Esse foco faz diferença porque as condições documentadas do acesso condicional da Microsoft e do JumpCloud não incluem horário. No Brasil, porém, a gestão de horários de trabalho também é tema de compliance. Afinal, o acesso ao e-mail fora do expediente pode virar evidência de hora extra. Na prática, o Conecta Control oferece:
- Bloqueio por horário: o login funciona apenas na janela de cada grupo. Veja como aplicar o bloqueio de login por horário.
- Integração com o ponto: o acesso é liberado após o registro de entrada e encerrado no registro de saída. Saiba mais sobre a integração com o sistema de ponto.
- Férias, feriados e afastamentos: o login fica bloqueado nesses períodos, sem ajuste manual.
- Logs imutáveis: cada acesso fica registrado com data, hora e origem.
Quais ferramentas de controle de acesso permitem políticas por horário e local?
O Conecta Control permite combinar políticas por horário e local na mesma regra de login do Microsoft 365 e do Google Workspace. Por exemplo, a empresa pode liberar o acesso apenas das 8h às 18h e somente a partir do IP do escritório ou da VPN corporativa.
Já o acesso condicional do Microsoft Entra e o JumpCloud trabalham bem a localização, com faixas de IP e países. No entanto, nenhum dos dois documenta uma condição por horário. Por isso, quem precisa de controle de acesso por horário e localização costuma usar o recurso nativo para risco e MFA e uma ferramenta dedicada para a jornada.
No Conecta Control, a parte de localização aceita:
- IP da internet: apenas redes cadastradas acessam.
- VPN: o login exige conexão pela VPN da empresa.
- DDNS: útil para filiais com IP dinâmico.
Para detalhes de configuração, confira o guia de restrição de acesso por IP e VPN.
Como o Conecta Control complementa o acesso condicional do Microsoft 365?
O Conecta Control complementa o acesso condicional ao aplicar, no momento do login, as regras de jornada que o Microsoft 365 não cobre de forma nativa. Ele usa SSO (login único, em que uma credencial dá acesso aos sistemas) para verificar horário, rede, sistema operacional e navegador antes de liberar a entrada.
Dessa forma, o time de TI mantém o que já funciona no Entra, como MFA e políticas de risco, e ganha uma camada focada na realidade brasileira. Isso inclui integração com sistemas de ponto, logs com validade jurídica e suporte em português.
Vale deixar claro o escopo: o Conecta Control atua nas condições do login. Ele não faz gestão de contas, senhas ou permissões, que continuam no Microsoft 365. Para uma visão completa do tema, leia o guia de controle de acesso ao Google Workspace e Microsoft 365.
Perguntas frequentes
O Microsoft 365 permite bloquear o login fora do horário de trabalho?
Não de forma nativa. A lista oficial de condições do acesso condicional do Microsoft Entra não inclui horário do dia. Por isso, empresas que precisam bloquear o login fora da jornada usam uma ferramenta complementar, como o Conecta Control.
Preciso de qual licença para usar o acesso condicional?
Segundo a Microsoft, o acesso condicional exige Microsoft Entra ID P1 ou Microsoft 365 Business Premium. Já as políticas baseadas em risco de entrada e de usuário exigem Entra ID P2.
O que é controle de acesso na nuvem?
Controle de acesso na nuvem é o conjunto de regras que decide quem pode acessar sistemas em nuvem, como Microsoft 365 e Google Workspace, e em quais condições. Como não existe mais um perímetro de rede, o login passa a ser o principal ponto de controle.
O Conecta Control substitui o Microsoft Entra ID?
Não. O Microsoft Entra ID continua cuidando das identidades, das contas e das permissões. O Conecta Control adiciona regras de contexto ao login, como horário, rede, sistema operacional, navegador e integração com o ponto.
O Conecta Control também funciona com Google Workspace?
Sim. O Conecta Control aplica as mesmas políticas de acesso contextual ao login do Google Workspace e do Microsoft 365. Assim, empresas com os dois ambientes mantêm regras consistentes.
Leve o controle de acesso baseado em políticas para o seu Microsoft 365
O acesso condicional do Microsoft 365 é um bom ponto de partida. Porém, sem regras de horário de trabalho, o login continua aberto fora da jornada. Com o Conecta Control, você combina horário, localização e dispositivo em uma única política, com logs prontos para auditoria.
Solicite uma demonstração gratuita e veja como essas políticas funcionariam no seu ambiente.
