Desligamento

O Desligamento Automático do Sincroniza executa uma sequência completa de ações de offboarding quando um funcionário é desligado no sistema de RH, indo muito além da simples desabilitação de conta.

O que é o Desligamento Automático?

Quando um funcionário é desligado, diversas ações precisam ser executadas nos provedores de identidade para garantir a segurança da organização e a conformidade com políticas internas. O Desligamento Automático coordena todas essas ações em uma sequência organizada por fases.

O processo é disparado automaticamente quando o status do funcionário no RH muda para um dos status configurados como "desligamento" (por exemplo: "Demitido", "Desligado", "Rescindido"). Internamente, ao detectar essa transição o sistema marca o funcionário como desligado, o que dispara o fluxo de desligamento e habilita o período de tolerância de licenças (ver abaixo).

Recurso Premium

O Desligamento Automático está disponível apenas com a licença Premium do Sincroniza.

Diferença entre Mapeamento de Status e Desligamento

É importante entender a distinção entre estes dois recursos:

Aspecto	Mapeamento de Status	Desligamento Automático
Escopo	Habilitar ou desabilitar conta	Sequência completa de 4 fases
Ações	Uma ação simples (enable/disable)	Até 10+ ações coordenadas
Segurança	Apenas desabilita acesso	Revoga sessões, reseta senhas, remove grupos
Exchange	Não altera	Converte caixa, configura resposta automática, remove licenças
Renomeação	Não altera	Renomeia contas para liberar username
Aprovação	Segue política geral	Possui modo de aprovação próprio

O Mapeamento de Status é suficiente para organizações que precisam apenas habilitar e desabilitar contas. O Desligamento Automático é necessário quando a organização exige um processo completo de offboarding.

Nota

Quando o Desligamento Automático está habilitado, ele substitui a ação de desabilitar do Mapeamento de Status para os status configurados como desligamento. O Mapeamento de Status continua funcionando normalmente para os demais status.

Fases do Desligamento

O processo de desligamento é organizado em 4 fases. A fase seguinte só inicia quando todas as ações da fase anterior terminam; dentro de cada fase, as ações executam em paralelo:

flowchart TD
    FASE1["Fase 1: Bloqueio de Acesso<br>Revogar sessões ativas (Entra ID)<br>Resetar senhas (AD e/ou Entra ID)<br>Desabilitar contas (AD, Entra ID, Google)<br>Mover para OU de desligamento (AD)<br>Desabilitar usuário em Sistemas Externos"]
    FASE2["Fase 2: Limpeza<br>Resposta automática no Exchange<br>Remover de grupos (AD, Entra ID, Google — exceto preservados)<br>Converter caixa de correio para compartilhada<br>Restringir e-mail externo e ocultar da GAL<br>Revogar permissões em Sistemas Externos"]
    FASE3["Fase 3: Remover Licenças<br>Remover licenças M365<br>(exceto preservadas)"]
    FASE4["Fase 4: Renomear Contas<br>Renomear sAMAccountName e UPN no AD<br>Renomear UPN no Entra ID<br>Libera username para reutilização"]

    FASE1 --> FASE2 --> FASE3 --> FASE4

    classDef process fill:#f3e5f5,stroke:#4a148c,stroke-width:2px,color:#1a1a1a
    class FASE1,FASE2,FASE3,FASE4 process

Por que esta Ordem?

A sequência das fases é cuidadosamente planejada:

1. Bloqueio primeiro: Revogar sessões, resetar senhas e desabilitar contas impedem acesso imediato
2. Limpeza antes de remover licenças: Resposta automática e conversão para caixa compartilhada precisam da licença do Exchange ativa
3. Grupos antes de licenças: Remover de grupos de distribuição antes de perder a licença
4. Licenças antes de renomear: Licenças são removidas com a identidade original
5. Renomear por último: Libera o username para um possível novo funcionário

Modos de Aprovação

O Desligamento Automático possui seu próprio controle de aprovação, independente das políticas de aprovação gerais:

Modo	Descrição
Nunca	Ações de desligamento são executadas imediatamente, sem aprovação.
Sempre (padrão)	Todas as ações de desligamento requerem aprovação antes da execução.
Horário Comercial	Aprovação necessária apenas durante horário comercial (9h-18h). Fora do horário, as ações são executadas imediatamente.
Somente Alto Impacto	Aprovação necessária apenas para usuários de alto impacto (gestores, executivos). Funcionários regulares são processados imediatamente.

Preservação de Dados

O sistema permite preservar recursos específicos durante o desligamento:

Grupos Preservados

Configure grupos que não devem ser removidos durante o desligamento. Útil para:

• Grupos de distribuição de ex-funcionários
• Grupos de compliance ou retenção legal
• Grupos de acesso a arquivos compartilhados em transição

Licenças Preservadas

Configure licenças (SKU IDs) que não devem ser removidas. Útil para:

• Licenças necessárias para manter a caixa de correio acessível
• Licenças de arquivamento (Exchange Online Archiving)

Conversão para Caixa Compartilhada

Antes de remover a licença do Exchange, o sistema pode converter a caixa de correio do usuário para uma caixa compartilhada. Isso:

• Preserva todos os e-mails do funcionário desligado
• Não requer licença (caixas compartilhadas são gratuitas até 50GB)
• Permite acesso por outros funcionários autorizados

Período de Tolerância de Licenças

Independentemente da conversão para caixa compartilhada, o Sincroniza pode aplicar um período de tolerância antes de remover as licenças M365 de um funcionário desligado. Durante esse período:

• O funcionário já está marcado como desligado e a conta está desabilitada
• As licenças permanecem atribuídas, mantendo a caixa de correio e demais recursos acessíveis para sucessores
• Ao final do período configurado, as ações de remoção de licença são geradas automaticamente

Use a tolerância quando o setor jurídico, fiscal ou administrativo exigir prazo mínimo de retenção do acesso ao e-mail antes do corte definitivo.

Recontratação

Quando um funcionário previamente desligado retorna à organização:

1. O sistema detecta a mudança de status no RH (de desligamento para ativo)
2. As contas são habilitadas novamente
3. Grupos e licenças são reatribuídos conforme os Pacotes de Atribuição atuais
4. Contas renomeadas mantêm o nome alterado — o novo provisionamento cria a identidade correta

Nota sobre Renomeação

Se a conta foi renomeada durante o desligamento (ex: TERM_joao.silva_20250107), a recontratação não reverte o nome. O sistema provisiona conforme o perfil atual do funcionário, podendo criar novas credenciais se necessário.

Boas Práticas

Recomendações

1. Use o modo "Sempre" inicialmente: Revise cada desligamento até ter confiança no processo.

2. Configure a conversão para caixa compartilhada: Preserve os dados de e-mail antes de remover licenças.

3. Defina grupos preservados: Identifique grupos que devem persistir após o desligamento.

4. Configure a resposta automática: Informe remetentes sobre a saída do funcionário e forneça contatos alternativos.

5. Teste com um desligamento controlado: Antes de ativar em produção, execute o processo com um funcionário de teste.

6. Habilite notificações de desligamento: Mantenha gestores e administradores informados sobre a conclusão do processo.

Próximos Passos

• Configurar Desligamento - Guia passo a passo para administradores
• Mapeamento de Status - Entenda como status do RH disparam ações
• Ações - Como ações são executadas e monitoradas