Se você trabalha com infraestrutura em nuvem ou administração de identidades na Microsoft, provavelmente já se deparou com dúvidas sobre qual a diferença entre Microsoft Entra ID e Azure AD. A confusão é comum, especialmente porque o Entra ID é, na verdade, o novo nome do Azure Active Directory – uma mudança de branding que a Microsoft implementou para refletir melhor o escopo expandido da solução. Enquanto o Azure AD era conhecido principalmente como um serviço de diretório ativo baseado em nuvem, o Microsoft Entra ID representa uma evolução conceitual, integrando não apenas autenticação e autorização, mas também gerenciamento de identidades para ambientes híbridos e multi-cloud.
Compreender essa transição é fundamental para profissionais que atuam com segurança, administração de sistemas ou arquitetura em nuvem. Muitas organizações ainda usam os termos como sinônimos, mas conhecer as nuances entre essas soluções – e como elas se posicionam no portfólio da Microsoft – é essencial para tomar decisões informadas sobre infraestrutura de TI. Neste conteúdo, vamos detalhar as diferenças, funcionalidades e quando cada uma é mais apropriada para sua estratégia de nuvem.
Microsoft Entra ID e Azure AD são a mesma coisa? Entenda o renomeamento
A resposta direta é: sim, são a mesma coisa. O Microsoft Entra ID é o novo nome do Azure Active Directory (Azure AD). A mudança foi anunciada pela Microsoft em julho de 2023 e concluída ao longo do segundo semestre daquele ano. Não houve criação de um produto novo — o serviço de gerenciamento de identidades em nuvem da Microsoft simplesmente passou a se chamar Microsoft Entra ID.
Por que a Microsoft renomeou o Azure Active Directory para Microsoft Entra ID
O principal motivo foi posicionamento estratégico. A Microsoft vinha expandindo seu portfólio de identidade e segurança sob a marca Microsoft Entra, que engloba soluções de gerenciamento de permissões, identidade verificável e acesso seguro à internet. Manter o nome “Azure Active Directory” criava duas confusões frequentes: a primeira era associar o serviço exclusivamente ao Azure, quando ele também é o pilar de autenticação do Microsoft 365, do Dynamics 365 e de milhares de aplicações SaaS; a segunda era a semelhança com o Active Directory local (AD DS), levando administradores a acreditarem que os dois produtos funcionavam da mesma forma. O novo nome resolve ambos os problemas e posiciona o produto dentro de um ecossistema de segurança mais amplo.
O que mudou na prática após o renomeamento (e o que não mudou)
Na prática, quase nada mudou operacionalmente. As APIs continuam funcionando com os mesmos endpoints, os conectores do Microsoft Entra Connect (antigo Azure AD Connect) não precisaram ser reconfigurados, as licenças P1 e P2 foram renomeadas mas mantiveram os mesmos recursos, e os portais de administração seguiram o mesmo fluxo. O que mudou foi a nomenclatura na interface, na documentação oficial e nos planos comerciais. Administradores que já gerenciavam o Azure AD não precisaram realizar nenhuma migração técnica — apenas atualizar a forma como nomeiam o serviço internamente e em documentações.
O que é o Microsoft Entra ID (antigo Azure AD)?
O Microsoft Entra ID é o serviço de gerenciamento de identidades e acesso (IAM) baseado em nuvem da Microsoft. Ele funciona como o provedor de identidade central para autenticar usuários, dispositivos e aplicações em ambientes modernos. Diferentemente do Active Directory local, que opera em servidores físicos ou virtuais dentro da infraestrutura da empresa, o Entra ID é um serviço SaaS gerenciado inteiramente pela Microsoft, sem necessidade de manter controladores de domínio.
Principais funcionalidades: autenticação, SSO, MFA e acesso condicional
- Autenticação moderna: suporte a OAuth 2.0, OpenID Connect e SAML 2.0, permitindo integração com praticamente qualquer aplicação web ou mobile.
- Single Sign-On (SSO): o usuário autentica uma vez e acessa todas as aplicações integradas — Microsoft 365, Salesforce, ServiceNow, GitHub Enterprise, entre outras — sem precisar inserir credenciais novamente.
- Autenticação Multifator (MFA): camada adicional de verificação via aplicativo Microsoft Authenticator, SMS, chamada de voz ou chave de segurança FIDO2.
- Acesso Condicional: políticas granulares que avaliam sinais de risco (localização, dispositivo, usuário, aplicação) antes de conceder ou bloquear o acesso. Disponível a partir do plano P1.
- Gerenciamento de dispositivos: integração com Microsoft Intune para registrar e gerenciar dispositivos Windows, macOS, iOS e Android.
Para quem é indicado: empresas que usam Microsoft 365, Azure e apps SaaS
O Entra ID é a escolha natural para qualquer organização que já utilize o ecossistema Microsoft. Toda assinatura do Microsoft 365 ou do Azure já inclui automaticamente o Entra ID Free. Para empresas que precisam de controles avançados de segurança — como acesso condicional baseado em risco, proteção de identidade ou gerenciamento privilegiado — os planos P1 e P2 entregam essas capacidades. Também é indicado para organizações que adotam um modelo cloud-first ou que estão migrando de uma infraestrutura on-premises para a nuvem. Profissionais que atuam nesse ecossistema encontram no Entra ID um dos pilares centrais de segurança no ambiente Microsoft M365/Azure.
Diferença entre Microsoft Entra ID e Active Directory local (on-premises AD)
Essa é a confusão mais comum e mais importante de desfazer. O Active Directory Domain Services (AD DS) e o Microsoft Entra ID são produtos distintos, com arquiteturas, protocolos e casos de uso diferentes. Compartilham o conceito de gerenciar identidades, mas foram construídos para mundos diferentes: o AD DS para redes corporativas locais dos anos 2000, o Entra ID para a realidade de nuvem e trabalho remoto atual.
Arquitetura: nuvem vs. infraestrutura local (LDAP, Kerberos, GPO)
O AD DS é instalado em servidores Windows Server dentro da rede da empresa. Ele utiliza o protocolo LDAP para consultas de diretório e Kerberos para autenticação. Requer controladores de domínio redundantes, replicação entre sites e manutenção contínua de patches e backups. O Microsoft Entra ID, por outro lado, é um serviço gerenciado na nuvem. Não há servidores para administrar, não há replicação manual e a disponibilidade é garantida por SLA da Microsoft. A infraestrutura em nuvem como serviço elimina a camada operacional que o AD local exige.
Gerenciamento de identidades: usuários, grupos e dispositivos em cada modelo
No AD DS, usuários e grupos são objetos dentro de uma estrutura hierárquica de Unidades Organizacionais (OUs). Dispositivos são ingressados no domínio (domain join) e recebem políticas via GPO. No Entra ID, a estrutura é plana — não existem OUs. Usuários e grupos são gerenciados diretamente no portal ou via Microsoft Graph API. Dispositivos podem ser registrados (Azure AD Registered), ingressados (Azure AD Joined) ou ingressados de forma híbrida (Hybrid Azure AD Joined), cada modalidade com diferentes níveis de gerenciamento.
Protocolos de autenticação: OAuth 2.0 e SAML no Entra ID vs. Kerberos e NTLM no AD local
O AD DS autentica usuários dentro da rede corporativa usando Kerberos (padrão atual) e NTLM (legado, ainda suportado para compatibilidade). Esses protocolos foram projetados para redes internas e não funcionam nativamente pela internet. O Entra ID foi construído sobre protocolos modernos e abertos: OAuth 2.0 e OpenID Connect para autenticação de aplicações modernas, e SAML 2.0 para integração com aplicações corporativas legadas que suportam federação. Isso torna o Entra ID nativamente compatível com qualquer aplicação web, independentemente de onde ela esteja hospedada.
Políticas de grupo (GPO): disponíveis no AD local, substituídas por Intune no Entra ID
As Group Policy Objects (GPOs) são um dos recursos mais poderosos do AD DS — permitem configurar centenas de parâmetros em workstations e servidores de forma centralizada. No Entra ID puro, GPOs não existem. A substituição funcional é o Microsoft Intune, que aplica políticas de configuração, compliance e segurança em dispositivos gerenciados via MDM/MAM. O Intune oferece capacidades equivalentes — e em alguns cenários superiores — para ambientes modernos, especialmente em dispositivos fora da rede corporativa.
Tabela comparativa: Microsoft Entra ID vs. Active Directory local vs. Azure AD DS
O Azure AD Domain Services (Azure AD DS) é um terceiro produto que merece menção: é um serviço gerenciado que oferece AD DS clássico (LDAP, Kerberos, GPO) na nuvem, sem precisar manter controladores de domínio. É útil para lift-and-shift de aplicações legadas que dependem de Kerberos/LDAP mas que precisam rodar no Azure.
- Implantação: Entra ID = SaaS na nuvem | AD local = servidores on-premises | Azure AD DS = PaaS gerenciado no Azure
- Protocolos: Entra ID = OAuth 2.0, OIDC, SAML | AD local = Kerberos, NTLM, LDAP | Azure AD DS = Kerberos, NTLM, LDAP
- GPO: Entra ID = Não (usa Intune) | AD local = Sim | Azure AD DS = Sim (limitado)
- Domain Join clássico: Entra ID = Não | AD local = Sim | Azure AD DS = Sim
- SSO para apps SaaS: Entra ID = Sim (nativo) | AD local = Não (requer federação) | Azure AD DS = Não
- MFA e Acesso Condicional: Entra ID = Sim | AD local = Não nativo | Azure AD DS = Não
- Manutenção de infraestrutura: Entra ID = Zero | AD local = Alta | Azure AD DS = Zero
Planos e licenciamento do Microsoft Entra ID: Free, P1 e P2
O que está incluído na versão gratuita (Free)
O plano Free é incluído automaticamente em qualquer assinatura do Azure ou Microsoft 365. Ele cobre gerenciamento de usuários e grupos, SSO para até 10 aplicações por usuário, autenticação multifator básica, integração com Microsoft 365 e relatórios de segurança básicos. Para pequenas empresas ou startups que usam apenas o ecossistema Microsoft, o Free já resolve boa parte das necessidades de identidade.
Diferenciais do Entra ID P1: acesso condicional e grupos dinâmicos
O plano P1 (incluído no Microsoft 365 E3 ou disponível separadamente) adiciona os recursos mais demandados por equipes de segurança corporativa:
- Acesso Condicional: políticas baseadas em usuário, grupo, localização, dispositivo e risco de sessão.
- Grupos dinâmicos: membros adicionados automaticamente com base em atributos (departamento, cargo, localização).
- Self-Service Password Reset (SSPR): usuários redefinem senhas sem acionar o helpdesk.
- Hybrid Azure AD Join: integração entre AD local e Entra ID para ambientes híbridos.
- Microsoft Entra Connect Health: monitoramento da sincronização entre AD local e Entra ID.
Diferenciais do Entra ID P2: Identity Protection e Privileged Identity Management (PIM)
O plano P2 (incluído no Microsoft 365 E5) adiciona capacidades avançadas de segurança de identidade:
- Identity Protection: detecção automática de logins suspeitos, credenciais vazadas e comportamentos anômalos, com bloqueio ou exigência de MFA em tempo real.
- Privileged Identity Management (PIM): ativação just-in-time de funções privilegiadas, com aprovação, justificativa e auditoria completa — reduz drasticamente a superfície de ataque de contas administrativas.
- Access Reviews: revisões periódicas e automatizadas de quem tem acesso a quê, essencial para compliance (ISO 27001, SOC 2, LGPD).
Para profissionais que querem se aprofundar nesse ecossistema, entender como começar a carreira em cibersegurança defensiva usando ferramentas Microsoft é um passo natural após dominar o Entra ID.
Como migrar do Active Directory local para o Microsoft Entra ID
Opção híbrida: Microsoft Entra Connect (sincronização de identidades)
A maioria das organizações não faz uma migração abrupta — adota um modelo híbrido. O Microsoft Entra Connect (anteriormente Azure AD Connect) é a ferramenta que sincroniza objetos do AD DS local com o Entra ID na nuvem. Usuários, grupos e senhas (hash) são replicados, permitindo que o mesmo conjunto de credenciais funcione tanto para sistemas on-premises quanto para aplicações na nuvem. A sincronização ocorre a cada 30 minutos por padrão e é configurável. Esse modelo é o ponto de entrada para a maioria das empresas que começam a adotar o Microsoft 365 sem abandonar imediatamente sua infraestrutura local.
Migração completa para nuvem: o que acontece com usuários, senhas e dispositivos
Na migração completa (cloud-only), os usuários passam a existir exclusivamente no Entra ID. Senhas são gerenciadas pelo próprio Entra ID, com suporte a SSPR e proteção por Identity Protection. Dispositivos Windows 10/11 são ingressados diretamente no Entra ID (Azure AD Join), sem necessidade de domínio local. Aplicações que dependiam de Kerberos ou LDAP precisam ser avaliadas: as que suportam autenticação moderna são migradas diretamente; as legadas podem ser mantidas no Azure AD DS ou reescritas. O planejamento deve mapear todas as dependências do AD local antes de desligar os controladores de domínio.
Federação com provedores externos: exemplo com Google Cloud e outros IdPs
O Entra ID suporta federação com provedores de identidade externos via SAML 2.0 ou WS-Federation. Isso significa que uma organização pode configurar o Google Workspace como IdP primário e federar com o Entra ID para acesso a aplicações Microsoft, ou o inverso. Também é possível configurar o Entra ID como IdP para aplicações que rodam em outros provedores de nuvem, centralizando o gerenciamento de identidades independentemente de onde as cargas de trabalho estão hospedadas — algo relevante em estratégias multicloud.
Funções e controle de acesso baseado em papéis (RBAC) no Microsoft Entra ID
Funções internas vs. funções personalizadas no Entra ID
O Entra ID possui mais de 60 funções internas predefinidas, como Global Administrator, User Administrator, Security Reader e Conditional Access Administrator. Cada função concede um conjunto específico de permissões sobre recursos do diretório. Para cenários onde as funções internas não atendem exatamente ao princípio do menor privilégio, é possível criar funções personalizadas (disponíveis a partir do P1), selecionando permissões granulares de um catálogo de mais de 400 ações possíveis.
Diferença entre funções do Entra ID e funções do Azure RBAC
Essa distinção é frequentemente ignorada e causa problemas de segurança. As funções do Entra ID controlam permissões sobre o diretório: gerenciar usuários, grupos, aplicações registradas, políticas de acesso condicional. As funções do Azure RBAC controlam permissões sobre recursos do Azure: máquinas virtuais, storage accounts, redes virtuais, bancos de dados. Um Global Administrator do Entra ID não tem, por padrão, acesso a recursos do Azure — e vice-versa. A separação é intencional e reforça o princípio do menor privilégio entre o plano de identidade e o plano de infraestrutura.
Microsoft Entra ID no contexto da plataforma Microsoft Entra (SSE e além)
O que é a família Microsoft Entra: Permissions Management, Verified ID e Internet Access
O Microsoft Entra ID é o produto central, mas a plataforma Microsoft Entra é mais ampla. Ela inclui:
- Microsoft Entra Permissions Management: solução CIEM (Cloud Infrastructure Entitlement Management) que detecta e corrige permissões excessivas em Azure, AWS e Google Cloud.
- Microsoft Entra Verified ID: sistema de identidade descentralizada baseado em padrões W3C, permitindo que organizações emitam e verifiquem credenciais digitais verificáveis.
- Microsoft Entra Internet Access: gateway de acesso seguro à internet (parte da arquitetura SSE — Security Service Edge), filtrando tráfego e aplicando políticas de acesso para usuários remotos.
- Microsoft Entra Private Access: substituto moderno de VPN, que conecta usuários a aplicações privadas sem expor a rede corporativa inteira.
Essa expansão transforma o Entra de um simples diretório em nuvem em uma plataforma de segurança de identidade e acesso de ponta a ponta, relevante para qualquer profissional que queira se especializar em segurança Microsoft.
Perguntas Frequentes (FAQ)
Azure AD e Microsoft Entra ID são exatamente a mesma coisa?
Sim. O Microsoft Entra ID é o novo nome do Azure Active Directory, adotado oficialmente pela Microsoft a partir de julho de 2023. Não houve alteração de funcionalidades, APIs, endpoints ou estrutura de licenciamento no momento do renomeamento. Toda documentação, portal e referência que antes usava “Azure AD” passou a usar “Microsoft Entra ID”. Se você encontrar conteúdo técnico que ainda usa “Azure AD”, ele continua válido — apenas usa a nomenclatura anterior.
Preciso fazer alguma migração ou reconfiguração por causa do renomeamento?
Não. O renomeamento foi puramente cosmético do ponto de vista técnico. Conectores, scripts PowerShell, integrações via Microsoft Graph API e configurações de SSO continuam funcionando sem alteração. A Microsoft atualizou os nomes nos portais e na documentação, mas manteve compatibilidade total com qualquer automação ou integração existente. A única ação necessária é atualizar documentações internas e comunicações da equipe para usar a nova nomenclatura.
Qual a diferença entre Microsoft Entra ID e Active Directory Domain Services (AD DS)?
São produtos fundamentalmente diferentes. O AD DS é um serviço de diretório instalado em servidores Windows Server dentro da rede corporativa, usando Kerberos e LDAP, com suporte a GPOs e domain join clássico. O Microsoft Entra ID é um serviço de identidade em nuvem, sem servidores para gerenciar, que usa OAuth 2.0, OIDC e SAML, com suporte a SSO para aplicações SaaS, MFA e Acesso Condicional. O AD DS foi projetado para redes locais; o Entra ID foi projetado para ambientes de nuvem e trabalho remoto. Em muitas organizações, os dois coexistem em um modelo híbrido sincronizado pelo Microsoft Entra Connect. Para profissionais que querem dominar esse ecossistema do zero, entender por onde começar entre um curso de cibersegurança Microsoft e a certificação oficial ajuda a traçar o caminho de aprendizado mais eficiente.
