Onboarding de colaborador no Microsoft 365: o que fazer no primeiro dia para não consertar no sexto mês

Um colaborador novo começa na segunda-feira, e alguém precisa criar a conta dele no Microsoft 365. Este guia é sobre essa conta: licença, segurança, acessos, computador e arquivos. A integração da pessoa na equipe, com cultura, treinamento e acompanhamento, é outro assunto, tratado em como fazer um bom onboarding em TI.

A Global Data, empresa de TI em São Paulo, administra o Microsoft 365 de pequenas e médias empresas, e a criação de usuário faz parte desse trabalho. Ela é simples de executar e fácil de fazer pela metade: a conta fica pronta em minutos, e o que ficou de fora aparece semanas depois, em forma de chamado.

Por que o onboarding mal feito vira chamado por meses

A conta criada às pressas costuma funcionar no primeiro dia. O e-mail chega, o Teams abre. Os problemas vêm em seguida, um por vez. A pessoa não acessa a pasta da área e alguém dá acesso arquivo por arquivo. O MFA ficou para depois e nunca foi registrado. O notebook foi entregue sem passar pelo Intune, e os arquivos de trabalho ficaram no disco local. A licença foi a mesma do colega, que tinha outra função.

Cada um desses atalhos vira um chamado separado, às vezes meses depois, e a maior parte nem é reconhecida como consequência da entrada mal feita. É por isso que vale tratar a criação de usuário como procedimento com roteiro, do mesmo jeito que o desligamento de colaborador no Microsoft 365, que é o processo inverso.

Antes da conta: a licença certa para a função

A primeira decisão é qual plano a pessoa recebe, e ela não precisa ser a mesma para todo mundo. Quem trabalha só com e-mail e Teams no navegador tem uma necessidade; quem usa os aplicativos de Office instalados, acessa dado sensível e trabalha de fora do escritório tem outra. Se a empresa usa o Business Premium, vale saber o que ele já inclui antes de comprar qualquer complemento, e o inventário está em o que vem no Microsoft 365 Business Premium que a sua empresa não usa.

Outro ponto é se a pessoa precisa mesmo de licença para tudo o que vai acessar. O endereço de função que ela vai assumir, como financeiro@ ou atendimento@, pode ser uma caixa compartilhada, que não consome licença própria. A conta de quem acessa a caixa compartilhada precisa ter licença, mas a caixa em si não. A diferença está em caixa compartilhada ou licença.

Um detalhe técnico pode travar a atribuição da licença: segundo a documentação da Microsoft, a licença só pode ser atribuída depois que o local de uso do usuário estiver definido. No assistente do Centro de administração, o local aparece junto da escolha da licença.

Criar a conta: senha, MFA, grupos e caixas compartilhadas

No Centro de administração do Microsoft 365, o caminho é Usuários > Usuários ativos > Adicionar um usuário. O assistente tem quatro etapas: configurar o básico, atribuir licenças de produto, configurações opcionais, em que ficam as funções administrativas e as informações de perfil, e a revisão final. Três cuidados fazem diferença nessa tela.

A senha é temporária. A opção para exigir que o usuário altere a senha no primeiro login vem marcada por padrão, e deve continuar assim. A senha inicial chega à pessoa por um canal, e a definitiva só ela conhece.

Funções administrativas ficam vazias. O usuário novo não recebe papel de administrador, mesmo que vá ajudar na TI. Se precisar, a conta administrativa é outra, separada da conta do dia a dia.

A configuração vira modelo. Ao final, o assistente permite salvar aquelas escolhas como um modelo de usuário. Para empresas que contratam com frequência para as mesmas funções, isso reduz a chance de esquecer uma licença ou um grupo na próxima vez.

Com a conta criada, vem o MFA. Nos padrões de segurança da Microsoft, a carência de 14 dias para o usuário registrar o MFA deixou de existir desde 29 de julho de 2024: a pessoa registra o segundo fator no primeiro login, pelo aplicativo Microsoft Authenticator. Em tenants com Conditional Access, que exige o Microsoft Entra ID P1, incluído no Business Premium, a política define como e de onde esse registro acontece. O Entra ID oferece ainda o Passe de Acesso Temporário, uma credencial de prazo curto cujo uso mais comum, segundo a documentação, é registrar a autenticação no primeiro login e configurar o dispositivo. Para quem ainda está implantando o MFA na empresa, o roteiro completo está em MFA obrigatório no Microsoft 365.

Depois, os acessos. Em vez de dar permissão em cada pasta, a pessoa entra nos grupos da área. Quando alguém vira membro de um grupo do Microsoft 365, recebe de uma vez o acesso ao site do SharePoint, ao calendário e à caixa do grupo e, se o grupo tiver um time, ao Teams. Grupos com associação dinâmica, que incluem a pessoa automaticamente pelo departamento ou cargo, exigem Entra ID P1.

Por fim, as caixas compartilhadas que a função usa. A permissão de acesso total deixa a pessoa abrir a caixa no Outlook; para responder em nome do endereço, é preciso também a permissão de enviar como ou enviar em nome de.

O dispositivo: Intune desde a entrega

O computador da empresa deve chegar à pessoa já gerenciado. Com o Windows Autopilot, o usuário só conecta o equipamento à rede e entra com a conta de trabalho; o resto da configuração, incluindo o ingresso no Entra ID e o registro no Intune, acontece automaticamente. O Business Premium está entre as licenças que habilitam o Autopilot, e a documentação lembra que o usuário precisa ter a licença atribuída para registrar o dispositivo no Intune.

Para o celular pessoal, o caminho costuma ser outro. As políticas de proteção de aplicativo do Intune protegem os dados da empresa dentro do Outlook e do Teams, com PIN de acesso e bloqueio de salvar arquivo no aparelho, sem registrar o celular inteiro no Intune. A diferença entre gerenciar o aparelho e gerenciar só os aplicativos está em Microsoft Intune: gestão de dispositivos móveis.

Os dados: onde salvar desde o primeiro arquivo

A regra é curta: arquivo de trabalho individual fica no OneDrive, documento da área fica no SharePoint ou no Teams. Para que o computador siga essa regra sem depender da memória de ninguém, existe a Movimentação de Pastas Conhecidas do OneDrive, que leva a Área de Trabalho, os Documentos, as Imagens, as Capturas de Tela e as Imagens da Câmera para o OneDrive. No aplicativo do OneDrive, o recurso aparece como backup. A Microsoft recomenda, em computadores novos, ligar a política que faz essa movimentação de forma silenciosa, sem interação do usuário. E a regra de compartilhar arquivo com gente de fora, que a pessoa nova vai usar já na primeira semana, está em compartilhamento externo no SharePoint e no OneDrive.

Quanto tempo leva criar um usuário no Microsoft 365

A criação no assistente leva poucos minutos. O que pode demorar é o provisionamento: segundo a Microsoft, o serviço costuma levar menos de 30 minutos para provisionar um usuário, mas em algumas situações isso chega a 24 horas. Por isso a conta deve ser criada antes do primeiro dia, e não na manhã em que a pessoa chega. O resto do roteiro, do MFA ao computador, cabe no primeiro dia quando está escrito.

Checklist do primeiro dia

1. Definir a licença pela função, não pela do colega.
2. Conferir o local de uso do usuário, sem o qual a licença não é atribuída.
3. Criar a conta em Usuários > Usuários ativos, com troca de senha obrigatória no primeiro login.
4. Deixar funções administrativas vazias; conta de administrador, se necessária, é separada.
5. Salvar a configuração como modelo para a próxima contratação da mesma função.
6. Criar a conta pelo menos um dia antes da chegada, por causa do provisionamento.
7. Registrar o MFA no primeiro login, com o Authenticator ou um Passe de Acesso Temporário.
8. Incluir a pessoa nos grupos do Microsoft 365 da área, que dão acesso ao Teams e ao SharePoint.
9. Dar acesso às caixas compartilhadas da função, com permissão de envio quando for o caso.
10. Entregar o computador registrado no Intune, de preferência pelo Autopilot.
11. Aplicar a proteção de aplicativos no celular pessoal, se ele for usado para trabalho.
12. Ligar a movimentação das pastas do Windows para o OneDrive.
13. Registrar quem é o gestor no perfil do usuário, o que ajuda no dia da saída.
14. Anotar no chamado o que foi feito, para quem fizer o desligamento um dia.

Se a empresa quer medir se a entrada e a saída de usuários já seguem um processo, o bloco “Entrada e saída de usuários” do checklist de Microsoft 365 mostra o que falta.

Como a Global Data faz o onboarding no Microsoft 365 gerenciado

No Microsoft 365 gerenciado da Global Data, a entrada de um colaborador é um procedimento com checklist. Recebemos do RH a função e a data de início, criamos a conta com antecedência a partir do modelo daquela função, cuidamos da licença, dos grupos e das caixas compartilhadas, e entregamos o computador já registrado. O registro de cada etapa fica no chamado, o que facilita a vida de quem cuidar da saída da mesma pessoa, anos depois.

Perguntas frequentes

Como adicionar um usuário no Microsoft 365?

No Centro de administração do Microsoft 365, acesse Usuários > Usuários ativos e selecione Adicionar um usuário. O assistente pede os dados básicos, a licença e o local de uso, as configurações opcionais, como funções e informações de perfil, e termina com uma revisão. Ao final, dá para salvar a configuração como modelo.

O usuário novo precisa ativar o MFA no primeiro login?

Nos tenants com os padrões de segurança da Microsoft ligados, sim: desde 29 de julho de 2024, não há mais carência de 14 dias para registrar o MFA, e o registro acontece no primeiro login. Em tenants com Conditional Access, a política da empresa define a regra.

Por que não consigo atribuir licença a um usuário novo?

Um motivo comum é o local de uso do usuário não estar definido. A Microsoft exige esse campo antes de atribuir qualquer licença. Em licenciamento por grupo, quem não tem local definido herda o local do tenant.

Quanto tempo leva para a conta nova funcionar?

Segundo a Microsoft, o provisionamento costuma levar menos de 30 minutos, mas pode chegar a 24 horas em algumas situações. Por isso a conta deve ser criada antes do primeiro dia de trabalho.

Cada colaborador novo precisa de uma licença?

Quem faz login com a própria conta precisa. Os endereços de função que a pessoa vai usar, como atendimento@, podem ser caixas compartilhadas, que não consomem licença própria até 50 GB e são abertas por quem já tem a sua.

Se cada entrada de colaborador na sua empresa ainda é resolvida de um jeito diferente, vale transformar isso em procedimento. Quero organizar o onboarding no nosso Microsoft 365