Governado desde o nascimento: policy templates e regras

Extensão condicional

Templates agrupam controles; o produto executor determina se estão habilitados e efetivos. D04 depende de D02, políticas existentes e responsáveis de cada produto. Não há prova de tenant anexada.

• AI Administrator para templates; Conditional Access Administrator para CA e Attribute Assignment Administrator para CSA. A documentação permite ao AI Admin criar/aplicar access packages no contexto de templates: não há proibição absoluta.
• Políticas Entra previamente criadas, com instância de teste elegível. O runtime precisa autenticar com Entra para que políticas Entra possam ser efetivas.
• Para SharePoint: licença aplicável, SharePoint Administrator e configuração/relatório no SharePoint admin center; selecionar no template não basta.
• População fechada de teste, um agente novo e um controle fora do lote; não criar órfãos em produção.

tenant/manual/mac-templates-rules.md contém os passos. pwsh scripts/reset/D04.ps1 -Prepare é preparação/checklist, não criação garantida de cenário nem enforcement. Deploy e aplicação permanecem manuais.

Agente fora do lote não recebe a ação de lote; política desligada no executor não conta como aplicada. Compare controle legítimo permitido com negação específica, sem atribuir tudo ao selo do template.

V16: IDs do template/políticas, escopo, histórico do lote, estados nos executores, tentativas correlacionadas e controle fora do lote.

Reverta apenas atribuições/regras de teste autorizadas; preserve template utilizado por outras demos. pwsh scripts/reset/D04.ps1 não substitui a verificação manual dos estados finais. Não excluir agentes com dados sujeitos a preservação.

Disponibilidade no seletor, papel administrativo e enforcement são coisas distintas. Regras em lote não garantem cobertura de agentes futuros. Configurações SharePoint e Entra exigem validação no executor.

Policy templates conferida em 2026-09-30; revalidar regras no gate:

• Policy templates
• Agent management rules