Migrar de tenant não resolve o Default. Conversar resolve.

Estou participando de uma migração de tenant. Na reunião de alinhamento sobre Power Platform, o diagnóstico foi o mesmo que encontro em quase todo cliente: a maior parte dos apps e fluxos vivia no ambiente Default, sem política de dados aplicada.

Ninguém fez isso por má fé. O Default é o caminho mais curto. Quem abre o Power Apps pela primeira vez já cai nele, e quem cria um fluxo pelo Teams ou um formulário no SharePoint também. Anos depois, o ambiente que deveria ser só a porta de entrada virou o lugar onde a empresa inteira trabalha.

A tentação da migração

Toda migração traz uma ideia sedutora: aproveitar o tenant novo para começar do jeito certo. E está certa. Levar o problema para a casa nova só muda o endereço dele.

O plano que apareceu na mesa era sólido:

• DLP restritiva no Default do tenant novo.
• Um ambiente por gerência.
• Os makers convidados a migrar por conta própria antes da política entrar.
• Criação de agentes bloqueada no Default.

Tecnicamente, não há nada a corrigir. O risco não está no desenho, está na ordem.

Onde a política quebra

Uma DLP restritiva no Default, aplicada sobre um volume alto de objetos, faz uma coisa muito previsível: desliga fluxos que alguém usa todo dia. E quem descobre não é a TI. É o maker, numa segunda de manhã, quando o processo dele para.

Daí para frente, a política deixa de ser vista como proteção e vira obstáculo. Na próxima vez, o maker cria por fora, em silêncio. A governança volta para o ponto de partida, só que agora com desconfiança.

Como o KMAP entra nesse cenário

O KMAP nasceu exatamente desse problema, então a conversa foi menos sobre ferramenta e mais sobre ordem.

Descobrir antes de decidir. Antes de qualquer política, um inventário do Default: o que existe, de quem é, que conectores usa, se ainda roda. Numa migração, isso responde a pergunta que mais importa: o que vale a pena levar.

Simular antes de bloquear. O modo Simulação roda a regra sobre o dado real e só registra. Você sabe quantos fluxos a DLP quebraria, e de quem, antes de quebrar qualquer um. O número deixa de ser uma estimativa e vira uma lista com nome.

Avisar primeiro. Com a lista na mão, cada maker recebe o que é dele: o que foi encontrado, por que importa, o que fazer e até quando. Não é um comunicado geral. É uma conversa individual, em escala.

Agir só então. Quando a política entra, ninguém é pego de surpresa. Quem precisava migrar já migrou. Quem não respondeu foi avisado mais de uma vez, sempre na mesma sequência.

O que sugeri além do KMAP

Algumas práticas que ajudam qualquer migração, com ou sem ferramenta:

• Um ambiente próprio para formulários do SharePoint. Eles nascem no Default por padrão e respondem por boa parte do volume. Separados, ficam fáceis de governar.
• Quarentena por solução. O fluxo novo entra numa solução e passa por um ambiente de espera antes de ir para produção. Nada vira crítico sem ninguém saber.
• Sanitizar na migração. Nem tudo que existe precisa ir junto. O app abandonado de três anos atrás pode ficar para trás, desde que o dono seja avisado.
• Fórum de makers. Um canal fixo para dúvidas, avisos e exemplos. É mais barato manter esse canal aberto do que apagar incêndio depois de cada política.

Um prazo que muda a conta

Ambiente por gerência, quase sempre, significa ambiente gerenciado. E ambiente gerenciado exige licença premium para todo usuário ativo, mesmo em app que só usa SharePoint. A regra não é nova, mas a partir de fevereiro de 2027 a Microsoft passa a bloquear quem não tiver a licença.

Desenhar os ambientes do tenant novo sem esse número na mesa é trocar um problema de governança por um problema de orçamento.

A lição que fica

Por melhor que seja a governança, ela não substitui a conversa. A política define o limite. A comunicação faz as pessoas entenderem por que ele existe.

O tempo dedicado a avisar, explicar e ouvir parece tirar o projeto do caminho. Na prática, é o que evita o retrabalho, o chamado de urgência e o maker que passa a criar escondido. Nenhuma operação técnica rende tanto quanto isso.

Se você está diante de uma migração parecida, discorde nos comentários. Quero saber como você lidou com o Default.