Conectores federados do Copilot: laboratório de controles antes de conectar outra fonte

Conector federado parece mágica: você ativa, o Copilot passa a enxergar dados do HubSpot, do ServiceNow, do Salesforce, e responde com informação viva, sem indexar nada no Microsoft 365. Só que mágica sem governança vira pesadelo de compliance. A pergunta que fica é: o que você, administradora ou administrador do tenant, consegue controlar antes de liberar isso para o pessoal?

Fui atrás da documentação oficial para montar um laboratório dos controles disponíveis. O que vem a seguir é o que eu encontrei.

O que é um conector federadoLink para esta seção

Diferente dos conectores sincronizados, que copiam dados para o índice do Microsoft Graph, os conectores federados usam o Model Context Protocol (MCP) para buscar informação na hora, direto da fonte original. Nenhum dado sai do sistema de origem. O Copilot consulta via MCP, a fonte responde, e pronto, sem indexação, sem cópia, sem armazenamento no Microsoft 365 (Federated connectors overview ((abre em nova aba))).

Isso tem implicações importantes de segurança: as permissões são aplicadas pelo sistema de origem, não pelo Microsoft 365. O usuário só vê o que já tem acesso lá. A autenticação usa OAuth 2.0 com comunicação criptografada (Federated connectors overview - Security and compliance ((abre em nova aba))).

Outra diferença que me chamou atenção: conectores sincronizados funcionam no nível da organização, com credenciais de administrador. Conectores federados funcionam no nível do usuário, cada pessoa autentica com as próprias credenciais na fonte de dados (Federated connectors overview - FAQs ((abre em nova aba))).

Onde os conectores aparecemLink para esta seção

No momento da consulta, os conectores federados funcionam no Microsoft 365 Copilot Chat, no Copilot no Excel, no agente Researcher e no Cowork (Federated connectors overview - Supported Copilot experiences ((abre em nova aba))). Quando um administrador ativa um conector, os usuários encontram a fonte no menu Sources do Researcher, no modo de pesquisa profunda do Copilot Chat, e nas configurações do Copilot Chat (Federated connectors overview - How to connect and use ((abre em nova aba))).

A galeria de conectores inclui fontes publicadas pela Microsoft e por parceiros aprovados. A lista completa vive na documentação, mas alguns nomes que aparecem: HubSpot, Canva, Box, Notion, Linear, Cloudinary, Azure DevOps, Google Calendar, entre dezenas de outros (Federated connectors overview - Connectors Gallery ((abre em nova aba))).

O laboratório de controlesLink para esta seção

Vamos ao que interessa: o que dá para fazer antes de soltar um conector federado no tenant.

1. Controle global por tipo de agente (a via moderna)Link para esta seção

Desde agosto de 2026, o caminho recomendado é usar a configuração Allowed agent types no Agent 365, dentro do centro de administração do Microsoft 365. Quando você desmarca as opções "Microsoft-published" e "third-party-published", os conectores federados não ficam disponíveis por padrão, nem os que já existem, nem os que a Microsoft publicar no futuro (Federated connectors overview - Admin experience and controls ((abre em nova aba))).

O cmdlet Set-FederatedConnectorToggle do PowerShell foi descontinuado em 25 de agosto de 2026. Se o seu tenant usava ele, você recebeu uma notificação no Message Center para reaplicar a escolha na interface gráfica dentro de uma janela limitada. Depois disso, o estado do cmdlet não é mais respeitado (Manage federated connectors ((abre em nova aba))).

2. Habilitar ou desabilitar conector por conectorLink para esta seção

No centro de administração, em Copilot > Connectors > Your connections, você vê todos os conectores disponíveis no tenant. Cada um tem um toggle para ativar ou desativar. Isso vale tanto para conectores Microsoft quanto para conectores de parceiros que você aprovou (Federated connectors overview - Admin experience and controls ((abre em nova aba))).

Conectores de parceiros exigem aprovação explícita do administrador antes de ficarem disponíveis. Os conectores publicados pela Microsoft, por outro lado, nascem ativados por padrão, a menos que você tenha desabilitado o tipo de agente globalmente.

3. Implantação em etapas com grupos do Entra IDLink para esta seção

Esse é um dos controles que eu acho mais úteis. Na coluna Staged Rollout, você clica em Add staging e limita a disponibilidade do conector a grupos específicos do Microsoft Entra ID. Isso permite liberar o conector primeiro para um time piloto, validar o comportamento, e só depois expandir para o resto da organização (Federated connectors overview - Admin experience and controls ((abre em nova aba))).

4. A janela de revisão de sete diasLink para esta seção

Quando a Microsoft publica um conector federado novo, ele aparece no centro de administração, mas fica visível apenas para administradores durante sete dias corridos. Nessa janela, você pode revisar o conector, desabilitá-lo se ele não atender aos requisitos da sua organização, ou configurar o staged rollout. Se você desabilitar o conector dentro desses sete dias, ele nunca chega aos usuários (Federated connectors overview - Admin experience and controls ((abre em nova aba))).

Na prática, isso significa que você tem uma semana para avaliar cada novo conector sem pressão. Não é muito tempo, mas é o suficiente para ler a documentação, testar com um grupo piloto e decidir.

5. Auditoria no Microsoft PurviewLink para esta seção

Conectores federados são somente leitura, eles buscam e recuperam conteúdo, mas não escrevem dados de volta. E, segundo a documentação, podem ser auditados no Microsoft Purview (Federated connectors overview ((abre em nova aba))). No seu tenant, confirme com a equipe de compliance se as atividades dos conectores federados estão aparecendo nos logs de auditoria esperados.

E os conectores sincronizados?Link para esta seção

Conectores federados e sincronizados convivem no mesmo tenant. Ambos aparecem juntos na lista de conexões do centro de administração. A diferença fundamental é que os sincronizados indexam dados no Microsoft Graph e funcionam com credenciais de administrador, enquanto os federados mantêm os dados na origem e usam as credenciais de cada usuário (Federated connectors overview - FAQs ((abre em nova aba))).

Se você já tem conectores sincronizados configurados, os federados chegam como um complemento, não como substituição.

O que fazer na segunda-feiraLink para esta seção

Se o seu tenant ainda não tem conectores federados ativos, a segunda-feira pode começar com três ações:

1. Entre no centro de administração do Microsoft 365, vá em Copilot > Connectors > Your connections e veja quais conectores federados já estão disponíveis no seu tenant.
2. Confira a configuração Allowed agent types no Agent 365 para decidir se você quer que novos conectores apareçam ativados ou desativados por padrão.
3. Escolha um conector piloto, aplique staged rollout para um grupo de teste, e observe o comportamento antes de liberar para todo mundo.

A documentação completa vive em Federated connectors overview ((abre em nova aba)) e em Manage federated connectors ((abre em nova aba)). As páginas que eu usei como base para este artigo foram essas duas, a primeira pela visão geral e a segunda pelos detalhes de controle. Recomendo ler as duas antes de configurar qualquer conector.