Cloud puro, híbrido ou BYOD: qual join usar?
Todo dispositivo gerenciado precisa de uma identidade no Microsoft Entra, e a forma como ele obtém essa identidade (o tipo de join) define a arquitetura inteira. Comparamos Entra joined, Entra hybrid joined e Entra registered lado a lado, com guia de decisão e como iniciar. Escrito por quem implanta endpoint e identidade juntos, no Brasil inteiro.
Três formas de dar
identidade a um dispositivo.
Antes de comparar linha a linha, o essencial: cada tipo de join resolve um cenário diferente. Não existe "o melhor" universal, existe o certo para o seu caso, e é comum usar mais de um ao mesmo tempo.
☁️ Cloud puro
Microsoft Entra joined
O dispositivo pertence à empresa e vive 100% na nuvem, sem nenhum Active Directory local. É o padrão moderno recomendado para equipamentos corporativos novos: mais simples, sem servidor on-premises, gerenciado por Intune.
🔗 Híbrido
Microsoft Entra hybrid joined
O dispositivo está no Active Directory local e também no Entra, sincronizados pelo Entra Connect. Para empresas que ainda dependem de recursos on-premises. Uma ponte de transição, mais complexa, não o destino final.
📱 BYOD
Microsoft Entra registered
O dispositivo é pessoal (celular ou notebook do funcionário), apenas registrado para acessar recursos corporativos com controle, sem ser gerenciado por completo. Combina com App Protection (MAM) para proteger só o dado da empresa.
O comparativo
linha a linha.
Onde cada tipo de join difere de verdade, e o que isso muda na prática do seu ambiente.
| Entra joined Cloud puro |
Hybrid joined Híbrido |
Registered BYOD |
|
|---|---|---|---|
| Onde vive a identidade | Só no Microsoft Entra (nuvem) | No AD local e no Entra, sincronizados | No Entra, como dispositivo registrado |
| Active Directory local | Não precisa | Necessário (via Entra Connect) | Não precisa |
| Dono do dispositivo | A empresa | A empresa | O usuário (pessoal) |
| Cenário ideal | Equipamento corporativo novo, ambiente moderno | Empresa em transição, ainda com apps on-premises | Celular ou notebook pessoal do funcionário |
| Gestão pelo Intune | Completa (MDM) | Completa (MDM) | Só o app (MAM / App Protection) |
| Login do usuário | Conta Microsoft Entra | Conta de domínio, sincronizada ao Entra | Conta pessoal + acesso corporativo controlado |
| Complexidade | Baixa, sem infraestrutura local | Alta, depende de servidor e Entra Connect | Baixa, sem gerenciar o aparelho |
| Direção recomendada | Padrão moderno, o destino | Ponte de transição, temporário | Padrão para dispositivo pessoal |
Resumo direto: para máquina corporativa nova, vá de Entra joined (cloud puro), é mais simples e sem dependência de servidor local. Use hybrid joined só enquanto a empresa ainda precisar do Active Directory local, tratando-o como etapa de modernização, não como destino. Para o dispositivo pessoal do funcionário, registered com App Protection protege o dado sem invadir o aparelho. Na prática, a maioria das empresas opera dois ou três modelos ao mesmo tempo, conforme o parque.
Qual escolher
para cada situação?
Em vez de decorar tabela, responda a pergunta certa para cada dispositivo. Veja onde o seu caso se encaixa.
☁️ Escolha Entra joined
Notebook corporativo novo
A empresa compra o equipamento e não depende de servidor de arquivo antigo nem de apps que exigem domínio local. O caminho mais simples, seguro e sem infraestrutura para manter. Com Autopilot, sai da caixa pronto.
🔗 Escolha hybrid joined
Ainda dependo do AD local
Há aplicações internas, impressoras ou compartilhamentos que ainda autenticam no Active Directory local. O hybrid mantém tudo funcionando enquanto você moderniza, com o plano de chegar ao cloud puro depois.
📱 Escolha registered
Celular pessoal do funcionário
O funcionário quer acessar e-mail e Teams no próprio aparelho. Registre o dispositivo e aplique App Protection (MAM): o dado corporativo fica protegido, a empresa não gerencia o celular pessoal.
Do planejamento
ao dispositivo pronto.
Definido o tipo de join, o caminho para colocar em prática é bem trilhado. Para equipamentos corporativos novos, o fluxo moderno com Windows Autopilot é o mais eficiente.
Escolha o tipo de join por cenário
Mapeie o parque: corporativo novo vai para Entra joined; o que ainda depende de AD local, hybrid; dispositivo pessoal, registered. Essa decisão vem antes de qualquer configuração.
Prepare Entra ID e Intune
Configure as políticas de Conditional Access, compliance e enrollment no Intune. Para hybrid, prepare também o Entra Connect. É o alicerce que faz o join entregar segurança, não só conexão.
Faça o join (Autopilot para o novo)
No equipamento corporativo novo, o Windows Autopilot resolve: o usuário liga, faz login com a conta Entra e o dispositivo faz o join e se inscreve no Intune sozinho. Dispositivos existentes entram por join manual ou migração em lote.
Valide compliance e acesso
Confirme que as políticas desceram, o dispositivo aparece em conformidade e o Conditional Access está liberando só o que deve. A partir daí, o parque cresce no mesmo padrão.
Quer entender cada peça a fundo?
O Intune cuida do dispositivo; o Entra ID, da identidade e do acesso.