M365 Governance as Code
A maioria das ferramentas de governance dá-lhe uma caixa verde. Uma caixa verde não distingue o que o produto impõe, o que está documentado como limite, o que é apenas recomendado e o que é opinião nossa. Estas quatro frases dão origem a quatro conversas diferentes.
O problema de uma pontuação positiva
Um relatório de governance chega quase sempre como uma lista de verdes e vermelhos. Lê-se como certeza, e grande parte não o é.
Considere quatro afirmações que um relatório típico apresenta da mesma maneira:
- o produto impõe isto, e não existe alternativa;
- o produto fixa uma fronteira, e o número é este;
- a Microsoft recomenda isto, e permite a outra opção;
- nós achamos que isto é boa ideia, e uma organização razoável pode recusar.
Não são graus da mesma coisa. Dão origem a orçamentos diferentes, prazos diferentes e conversas muito diferentes com um auditor. Uma ferramenta que as apresenta da mesma forma retirou ao leitor a única informação de que ele precisava.
Há um segundo problema, e é pior porque é invisível. Quando uma verificação não consegue ler alguma coisa, a maioria das ferramentas mostra um verde. A ausência de evidência passa a conformidade, e ninguém consegue distinguir os verdes que foram observados dos que foram apenas presumidos.
O que esta ferramenta faz de diferente
Cada regra declara a sua natureza, no próprio ficheiro da regra, antes de correr o que quer que seja:
| A afirmação | O que significa | O que a regra tem de trazer |
|---|---|---|
| Requisito | O produto impõe isto | Uma fonte da Microsoft |
| Limite documentado | Uma fronteira com um número | Uma fonte, e o limite ao lado do valor observado |
| Recomendação documentada | A Microsoft recomenda, e permite a alternativa | Uma fonte |
| Convenção | Prática comum que ninguém documenta | Um racional escrito |
| Opinião | A nossa posição, assumida como nossa | Um racional escrito |
Uma fonte nunca decide o tipo. Uma opinião pode citar documentação e continua a ser opinião. A ligação explica a afirmação; não muda o género de afirmação que ela é.
E quando um facto não se consegue ler, o resultado não é um verde. É um estado por resolver, explícito, e o relatório di-lo por palavras: evidência em falta é um facto sobre a recolha, não um facto sobre o seu tenant.
O que recebe
- um coletor em PowerShell, apenas de leitura, que recolhe factos e os normaliza para JSON;
- um motor local que aplica as regras e produz o resultado;
- regras públicas, em texto simples, que pode ler, contestar e alterar;
- um relatório em Markdown para pessoas e em JSON para pipelines;
- dados de exemplo, para correr tudo antes de apontar a ferramenta a seja o que for.
O que não faz
- não altera nada no seu tenant, e não tem qualquer caminho de escrita;
- não envia para nós o seu inventário, o seu relatório, nem nada;
- não diz conforme quando não tem dados;
- não transforma uma recomendação num requisito;
- não substitui uma auditoria técnica, nem afirma substituir.
Um resultado, por inteiro
É este o aspeto de um achado. Nada está abreviado:
Resultado: falha
A lista tem 148 000 itens, acima do limite documentado pela Microsoft de
100 000, e continua a herdar as permissões. A herança já não pode ser
quebrada nesta lista, portanto ela não poderá receber permissões próprias.
Natureza: limite documentado
Observado: 148 000 itens
Limite: 100 000 itens
Fonte: documentação da Microsoft, com data de verificação
Limitação: isto mede uma posição, não uma trajetória. Uma lista com 99 000
itens a crescer passa hoje e perde a opção dentro de semanas.
A última linha é obrigatória no formato das regras. Cada regra tem de responder por escrito a uma pergunta: como é que esta regra pode passar sem que o problema fique resolvido? Uma regra cujo autor não consegue responder a isso não foi compreendida o suficiente para ser publicada.
Para onde vão os seus dados
Para lado nenhum. O coletor corre na sua máquina, contra o seu tenant, com as suas credenciais, e escreve um ficheiro no seu disco. O motor lê esse ficheiro localmente. Não há conta, não há upload e não há telemetria, porque não existe do nosso lado serviço nenhum que receba o que quer que seja.
Se a autenticação for interativa, o relatório assume-o logo na primeira página: essa execução viu o que uma pessoa consegue ver, e nada nela deve ser lido como uma afirmação sobre o tenant inteiro.
Onde é que isto encaixa
Esta ferramenta responde a uma pergunta diferente da do SharePoint Compass. O Compass ajuda a escolher um caminho para um ambiente SharePoint. Esta mede condições observáveis num tenant Microsoft 365 e diz-lhe quanta confiança cada resposta merece.
Se preferir que a leitura seja feita consigo, podemos rever os seus resultados em conjunto e dizer-lhe que achados é que contam mesmo no seu contexto.