Get a read-only high-level snapshot of the accessible Azure environment.

Retorna exclusivamente a quantidade de subscriptions Azure visíveis para a identidade autenticada.

Use esta ferramenta para perguntas como:

• Quantas subscriptions existem?

• Quantas assinaturas Azure eu tenho?

• Quantas subscriptions consigo visualizar?

NÃO use search_official_guidance para descobrir quantidade de subscriptions.

Retorna a quantidade de Resource Groups visíveis no escopo autenticado.

Lista Resource Groups com filtros read-only por nome.

Retorna resumo de identidade e RBAC:

• total de usuários

• usuários habilitados/desabilitados

• usuários com permissões diretas

• usuários desabilitados com roles ativas

Lista usuários do Entra ID visíveis para a identidade autenticada.

Lista usuários com role assignments diretos no Azure RBAC.

Lista usuários desabilitados no Entra ID que ainda possuem role assignments diretos ativos.

Lista usuários do Microsoft Entra ID com nome, UPN e e-mail.

Lista role assignments Azure RBAC (User, Group, Service Principal e Managed Identity).

Lista role assignments privilegiados em Azure RBAC (Owner, User Access Administrator, Contributor).

Calcula score de risco (0-100) para uma role privilegiada de Entra ID ou Azure RBAC.

Lista inventário de Agent Identities com owner, blueprint, permissões e risco.

Resolve Agent → Owners → Identity → Blueprint → Graph Permissions → Azure RBAC.

Lista Agents sob responsabilidade de um owner (UPN, nome ou objectId).

Resolve acesso efetivo Azure RBAC de um usuário (direto + herdado via grupos transitive).

Lista role assignments órfãos (principal não resolvido no tenant visível).

Lista eventos de ganho/perda/ativação de privilégios no período informado.

Retorna timeline de privilégios para uma identidade específica (UPN, nome ou objectId).

Resumo da timeline de privilégios (ganhos, revogações, ativações e anomalias).

Gera relatório de timeline com top grants/revokes por identidade, role e escopo.

Interpreta perguntas de auditoria temporal de privilégios em linguagem natural.

Interpreta perguntas sobre Agent Identities em linguagem natural.

Executa assessment específico de Agent Identities e retorna ranking de risco.

Lista deny assignments do Azure.

Lista aplicações sem owner definido no Entra ID.

Lista secrets expirados ou próximos da expiração em aplicações do Entra ID.

Lista aplicações/service principals com Microsoft Graph Application Permissions críticas.

Lista atribuições privilegiadas classificadas por estado: Active, Eligible e Permanent.

Retorna comparativo de estados PIM (Active vs Eligible vs Permanent).

Cruza as licenças assinadas do tenant com o uso real dos recursos de segurança que elas habilitam.

Use para perguntas como:

• Estamos pagando por recursos que não usamos?

• Temos Entra ID P2? O PIM está sendo usado?

• Quantas licenças estão ociosas?

Distingue explicitamente 'não licenciado', 'licenciado e não configurado' e 'licenciado mas não avaliado', porque as três levam a ações diferentes.

Lista os SKUs licenciados do tenant, com unidades habilitadas, consumidas e ociosas, além dos planos de serviço ativos.

Interpreta perguntas de PIM em linguagem natural e retorna resposta com resumo e detalhes.

Interpreta uma pergunta de IAM em linguagem natural e responde com correlação Entra + Azure. Sempre retorna resumo e detalhes compreensíveis, sem depender de frase exata.

Executa um IAM Assessment no ambiente e retorna riscos principais e plano de remediação.

Executa auditoria IAM enterprise consolidada (Entra + Azure + subscriptions + management groups).

Retorna inventário de Management Groups visíveis para auditoria de governança.

Resumo de role assignments diretos em escopo de subscription (inclui privilegiados).

List Azure resources using controlled read-only filters. Use full Azure resource type when filtering, e.g. microsoft.compute/virtualmachines.

List Public IP resources. This does not prove that a workload is actually internet-exposed.

Identity 360: visão completa de uma identidade — quem é, a que possui acesso (Entra + Azure, direto/grupo/PIM), como recebeu, ownership e risco (blast radius, findings). Aceita UPN, displayName ou objectId.

Retorna métodos de autenticação e status de MFA/passwordless de um usuário.

Resumo de registro de MFA e capacidade passwordless do tenant.

Lista usuários sem MFA registrado.

Assessment de MFA para usuários privilegiados (sem MFA ou métodos fracos).

Resumo enterprise de força de autenticação (forte/misto/fraco) e adoção de passkey/FIDO2.

Lista usuários com métodos fracos registrados (sms/voice/email/password), com evidência técnica.

Lista usuários com passkey/FIDO2 registrado.

Ownership 360: objetos (Groups, Applications, Service Principals, Agents, Blueprints) sob responsabilidade de um usuário.

Lista objetos sem owner (Groups, Applications, Service Principals, Agents, Blueprints).

Detecta toxic combinations / violações de Separation of Duties com evidência.

Estima o blast radius (alcance) de uma identidade (subscriptions, management groups, capacidade de conceder acesso).

Ranking de identidades por maior blast radius.

Return curated official Microsoft Learn references relevant to an Azure topic or best-practice question.

Capability discovery de identidade.

Use ANTES de consultar quando não souber qual domínio/endpoint atende a pergunta.

• Se 'question' for informado, retorna o roteamento sugerido (domínio, capability, fonte, permissões necessárias) SEM executar nada.

• Se 'domain'/'source' forem informados, lista as capacidades catalogadas.

Fontes possíveis: microsoft_graph (identidade/diretório), azure_resource_graph / azure_management / azure_authorization (recursos e Azure RBAC).

Interpreta uma pergunta de identidade em linguagem natural, escolhe a capability correta e executa a consulta de forma validada.

Use para perguntas abertas como:

• "Quais usuários possuem Global Administrator?"

• "Quais aplicações possuem Directory.ReadWrite.All?"

• "Quem pode ativar Owner via PIM?"

Respeita a separação de fontes: Microsoft Graph para identidade/diretório e APIs Azure para Azure RBAC/recursos. Retorna erro explícito quando a capability não existe ou quando falta permissão. Nunca inventa chamadas Graph.

Lista objetos de uma capability catalogada (operação 'list').

'capability_id' precisa existir no registry (use graph_discover_capabilities). 'filter' aceita apenas campos declarados como suportados pela capability. Endpoints arbitrários são rejeitados.

Obtém um objeto específico de uma capability catalogada (operação 'get').

'id' deve ser um GUID ou identificador simples; valores fora desse padrão são rejeitados.

Executa consulta parametrizada em fontes que aceitam query (ex.: Azure Resource Graph).

Somente leitura: operadores KQL de escrita ou de acesso externo são bloqueados. 'scope' é validado contra o formato de escopo Azure.

Consulta relacionamentos de um objeto de diretório (membros, owners, membership transitiva, app role assignments de um principal).

Exemplos de capability_id:

• graph.groups.members

• graph.groups.transitive_membership

• graph.applications.owners

• graph.service_principals.owners

• graph.app_role_assignments.assigned_to

Retorna as permissões Microsoft Graph / Azure necessárias para uma consulta, incluindo suporte a delegated e application permission e requisito de licença.

Não executa consulta: serve para validar viabilidade antes de consultar.

Consulta atribuições de privilégio mantendo as fontes separadas:

• Directory roles e PIM de diretório via Microsoft Graph

• Azure RBAC via Azure Resource Graph

Não assume que Microsoft Graph cobre Azure RBAC.

Coleta objetos de diretório de um ou mais domínios e correlaciona a mesma identidade entre eles, preservando a fonte de cada evidência.

'domains' aceita lista separada por vírgula (ex.: "users,service_principals,directory_roles"). Se vazio, os domínios são inferidos da pergunta.

Diferencia app registrations criadas por usuários no seu tenant das aplicações nativas da Microsoft (first-party) e de apps de terceiros consentidos.

Classificação baseada em appOwnerOrganizationId (sinal autoritativo do diretório), não em heurística de nome.

'provenance' aceita: all, tenant (criadas no seu tenant), microsoft (nativas), thirdparty (terceiros), managedidentity.

Use para perguntas como:

• "Quais aplicações foram criadas pelos usuários?"

• "Qual a diferença entre app registrations próprias e nativas?"

• "Quantas aplicações são nativas da Microsoft?"

Resumo executivo da procedência das aplicações do tenant: quantas estão sob sua governança (criadas no tenant) versus pré-provisionadas pela Microsoft, com percentuais e foco de governança.

Executa assessment de identidade baseado no capability registry, declarando explicitamente cobertura EVALUATED / PARTIAL / NOT_EVALUATED por domínio.

'scope' aceita: identity, directory, privileged, workload, azure. Nunca reporta NOT_EVALUATED como zero.