Entra registrado vs ingressado vs ingressado híbrido, explicado

Três mesas, três notebooks: o mesmo Windows, o mesmo menu Iniciar, os mesmos apps. Mas abra o centro de administração do Microsoft Entra e cada um mostra um tipo de ingresso diferente: Microsoft Entra registered (registrado), Microsoft Entra joined (ingressado) e Microsoft Entra hybrid joined (ingressado híbrido). Três nomes quase iguais para três relações bem diferentes entre um dispositivo e a sua empresa.

Por que um dispositivo precisa de uma identidade

O Microsoft Intune é construído sobre o Microsoft Entra ID. Políticas, apps e regras de conformidade são atribuídos a identidades. As pessoas têm uma, a conta de trabalho, e os dispositivos também.

Quando um dispositivo se conecta ao Entra, o Entra cria um objeto de dispositivo, como um crachá. Ele traz um ID de dispositivo único, o tipo de ingresso, quem é o dono e qual sistema operacional roda. Esse crachá é conferido o tempo todo:

• O acesso condicional olha para ele antes de liberar seu e-mail ou o Teams.
• O Intune usa o crachá para colocar o dispositivo nos grupos certos, com as políticas e apps certos.
• Ele faz parte do que dá o logon único (SSO).

Existem três formas de ganhar esse crachá, e uma mesma empresa pode usar as três ao mesmo tempo.

Microsoft Entra registered: o crachá de visitante

O mais leve dos três, feito para dispositivos pessoais (BYOD) e para celulares e tablets. O dispositivo é do usuário, que entra com uma conta local ou uma conta Microsoft pessoal e depois adiciona a conta de trabalho:

• No Windows: Settings > Accounts > Access work or school, ou na primeira vez que abre um app de trabalho.
• No Mac: pelo app Company Portal.
• Funciona em Windows, macOS, iOS, Android e algumas edições de Linux.

Você ganha SSO para os apps na nuvem e um dispositivo que o acesso condicional reconhece. Mas registrado não é o mesmo que gerenciado: o registro só dá uma identidade. O gerenciamento vem à parte, registrando também o dispositivo no Intune ou protegendo só os apps de trabalho com políticas de proteção de aplicativos.

• Prós: rápido, leve, e o dono continua no controle.
• Contras: ninguém entra no dispositivo com conta de trabalho, e a TI tem o menor controle.

iPhones e celulares Android só podem ser registrados. Joined e hybrid joined são para computadores.

Microsoft Entra joined: o crachá de funcionário

O dispositivo é da empresa e a identidade dele vive toda na nuvem. Você entra no próprio dispositivo com a conta de trabalho, a mesma do e-mail e do Teams.

Normalmente o ingresso acontece na configuração do Windows (“Set up for work or school”), pelo Windows Autopilot ou pelo registro em massa, ou depois pelas Configurações. Com o registro automático ligado, ele entra no Intune ao mesmo tempo. Funciona no Windows 10 e 11, exceto Home, e opções mais novas permitem ingressar Macs e algumas edições de Linux.

A grande vantagem: não tem Active Directory local no meio. Sem controlador de domínio e sem VPN só para fazer logon, então um notebook novo pode ir direto para a casa da pessoa e se configurar lá. Você continua com SSO, Windows Hello for Business e até os compartilhamentos e impressoras do escritório quando o dispositivo alcança um controlador de domínio.

Os contras:

• A Política de Grupo não se aplica, então você gerencia esses dispositivos pelo Intune.
• Apps antigos que precisam de conta de computador do Active Directory não funcionam.
• Não dá para implantar a partir de uma imagem clássica com Sysprep.

A Microsoft chama o Entra join de escolha padrão para dispositivos novos e redefinidos.

Microsoft Entra hybrid joined: dois crachás

Para organizações que já têm Active Directory local, muitas vezes com um parque inteiro de PCs no domínio. O PC entra no domínio do jeito clássico, depois o Microsoft Entra Connect ou o Cloud Sync copia o computador para o Entra e o dispositivo se registra sozinho. Agora ele tem duas identidades, e os usuários entram com a conta da organização como antes. Funciona no Windows 10 e 11, exceto Home, e no Windows Server 2016 a 2022.

Por que escolher? Nada local quebra: Política de Grupo, imagens existentes, Configuration Manager e cogerenciamento, e apps que precisam de conta de computador do AD continuam funcionando, e você ainda ganha acesso condicional, SSO e Intune.

O custo: o dispositivo precisa alcançar um controlador de domínio de vez em quando, senão coisas como troca de senha começam a falhar e usuários remotos podem precisar de VPN para fazer logon. São mais peças (a sincronização) e dois lugares para olhar quando algo quebra. A Microsoft descreve o ingresso híbrido como uma etapa intermediária rumo ao Entra join, não recomendada para dispositivos novos, incluindo o Autopilot.

Lado a lado

	Registrado	Ingressado	Ingressado híbrido
Dono	Normalmente o usuário	Empresa	Empresa
Logon no dispositivo com	Conta pessoal ou local	Conta de trabalho do Entra	Conta do AD sincronizada com o Entra
Precisa de AD local	Não	Não	Sim
Política de Grupo	Não	Não	Sim
Gerenciamento completo no Intune	Só se o usuário também registrar	Sim	Sim
Plataformas	Celulares, tablets, computadores	Windows (opções novas para Mac, Linux)	Só Windows

Para conferir um dispositivo, veja a coluna Join type no centro de administração do Entra, ou rode no Windows:

dsregcmd /status

• AzureAdJoined: YES quer dizer ingressado.
• AzureAdJoined: YES e DomainJoined: YES quer dizer ingressado híbrido.
• WorkplaceJoined: YES quer dizer que o usuário registrou o dispositivo.

Qual escolher?

Comece com uma pergunta: de quem é o dispositivo?

• Pessoal: registre. O usuário fica com o dispositivo; proteja os dados de trabalho com políticas de proteção de aplicativos, ou com o registro no Intune se ele concordar.
• Da empresa e novo: ingresse no Microsoft Entra. É o caminho nativo da nuvem e o padrão da Microsoft para dispositivos novos e redefinidos.
• PC de domínio que ainda depende de recursos locais: o ingresso híbrido leva ele para a nuvem hoje sem quebrar o que funciona. Planeje a ida para o Entra join num momento natural, como uma troca de hardware, porque chegar lá exige redefinir o dispositivo.

Crachá de visitante, crachá de funcionário ou dois crachás. Qual tipo de ingresso a sua empresa usa e por quê? Conta aqui nos comentários.