O que você quer que a calculadora avalie?

Tudo é permissão de leitura via Microsoft Graph — nada modifica seu tenant. Você decide a profundidade. O que não for marcado aqui não vai pra Microsoft.

Indispensável

sempre incluído(6 permissões Graph)

Sem isso o relatório não roda. Sempre incluído.

•Licenças compradas e não atribuídas
•Usuários inativos consumindo licença
•Desperdício de storage (OneDrive / SharePoint / mailbox)
•Downgrade E3 → E1 por uso medido de Office desktop

Ver scopes

openid
email
profile
User.Read.All
Organization.Read.All
Reports.Read.All

Maior potencial de redução

(7 permissões Graph)

Valida uso real de Power BI (per-user) e detecta gasto sem retorno em Entra ID P2, Purview e Defender. Move o downgrade E5→E3 de “Revisar” para afirmação direta.

•Sinal Power BI per-user via sign-in logs
•Detecta tenants que pagam Entra ID P2 mas não usam (riskyUsers, PIM, Access Reviews)
•Detecta Purview Information Protection sem labels publicadas
•Detecta Defender XDR silencioso com devices Intune onboarded

Ver scopes

AuditLog.Read.All
IdentityRiskyUser.Read.All
IdentityRiskEvent.Read.All
RoleManagement.Read.Directory
AccessReview.Read.All
InformationProtectionPolicy.Read
SecurityAlert.Read.All

Cobertura total (governance)

(5 permissões Graph)

Habilita o card de riscos de governança e segurança e refinamentos de EMS / Intune.

•Global Admins sem MFA
•Secrets de app registrations expirados ou com expiração indevida
•Authorization policy permissiva (qualquer usuário cria tenant/app)
•Conditional Access policies esquecidas em report-only
•Right-sizing M365 E3 vs Office E3 via Intune
•Nome do parceiro CSP nas renovações (quando aplicável)

Ver scopes

Directory.Read.All
Policy.Read.All
Application.Read.All
DeviceManagementManagedDevices.Read.All
CrossTenantInformation.ReadBasic.All

Atenção a uma caixinha na próxima tela: “Consentir em nome de sua organização”.

Se você for Global Admin, a Microsoft mostra essa opção desmarcada. Para fazer o assessment, deixe assim — basta consentir pra sua conta. Marcar autorizaria a calculadora para qualquer pessoa do seu tenant, indefinidamente, sem novo consent. Você pode revogar depois em myapps.microsoft.com.

Permitir que dados agregados e anonimizados deste diagnóstico sejam usados para melhorar as regras da calculadora. Nenhum identificador (nome, e-mail, domínio, endereço) é retido. Desmarque para não contribuir — o diagnóstico funciona igual.

A próxima tela é da Microsoft. Você verá a lista completa de 18 permissões e poderá aceitar ou recusar.