Como Corrigir Erros do Copilot no GCC-DoD (Nuvem Soberana do Governo dos EUA)

O Copilot em ambientes Microsoft 365 GCC DoD frequentemente para de funcionar ou apresenta erros devido a configurações exclusivas da nuvem soberana. A causa raiz geralmente é um service principal ausente ou mal configurado, políticas de Acesso Condicional incorretas ou endpoints de rede bloqueados. Este artigo explica por que essas falhas ocorrem e fornece etapas exatas para resolvê-las.

Por que o Copilot Falha em Nuvens Soberanas GCC DoD

Os locatários do Microsoft 365 GCC DoD são executados em infraestrutura isolada com padrões de segurança mais rígidos. O Copilot depende da API Microsoft Graph para acessar dados do usuário, documentos e eventos de calendário. No GCC DoD, o service principal do Copilot pode não ser provisionado automaticamente. Sem esse principal, o Copilot não consegue autenticar nem recuperar dados. Além disso, as políticas de Acesso Condicional geralmente bloqueiam o aplicativo Copilot porque ele aparece como um dispositivo não gerenciado ou usa fluxos de autenticação herdados. Restrições de rede em ambientes DoD também podem bloquear endpoints necessários para telemetria e inferência de modelo de IA.

Service Principal Ausente

Quando um locatário GCC DoD é criado pela primeira vez, alguns serviços da Microsoft não são registrados como aplicativos empresariais no Entra ID. O Copilot requer um service principal com a ID do aplicativo dde9f8c5-6a6c-4a7b-9f3e-2b4c5d6e7f8a. Se esse principal estiver ausente, o Copilot retorna erros como “Não é possível conectar ao serviço” ou “Acesso negado.”

Conflitos de Política de Acesso Condicional

Os locatários DoD geralmente aplicam políticas de conformidade de dispositivos. O Copilot usa o cliente web e aplicativos móveis que podem não atender aos requisitos de conformidade. Quando o Acesso Condicional bloqueia o aplicativo Copilot, os usuários veem uma mensagem “Entrada bloqueada pela política.”

Restrições de Endpoint de Rede

Os locatários GCC DoD usam endpoints específicos para o Microsoft Graph e serviços de IA. Se o firewall ou proxy bloquear graph.microsoft.us ou api.dod.microsoft.com, o Copilot não poderá enviar solicitações nem receber respostas.

Etapas para Reabilitar o Copilot no GCC DoD

Siga estas etapas em ordem. Cada etapa requer privilégios de Administrador Global ou Administrador de Aplicativos no Entra ID.

1. Verifique se o Copilot está habilitado no nível do locatário
   Entre na central de administração do Microsoft 365. Vá para Configurações > Configurações da organização > Copilot. Certifique-se de que a alternância para “Permitir Copilot para Microsoft 365” esteja ativada. Se estiver desativada, ative-a e clique em Salvar.
2. Verifique o service principal do Copilot no Entra ID
   Abra a central de administração do Entra ID. Navegue até Identidade > Aplicativos > Aplicativos empresariais. Pesquise por “Copilot” ou pela ID do aplicativo dde9f8c5-6a6c-4a7b-9f3e-2b4c5d6e7f8a. Se o principal estiver ausente, você deve registrá-lo manualmente. Vá para Registros de aplicativo > Novo registro. Insira um nome como “Copilot GCC DoD”. Selecione os tipos de conta suportados como “Contas apenas neste diretório organizacional”. Defina o URI de redirecionamento como https://copilot.microsoft.com. Clique em Registrar. Após a criação, anote a ID do aplicativo (cliente). Vá para Permissões de API > Adicionar uma permissão > Microsoft Graph > Permissões de aplicativo. Adicione User.Read.All, Files.Read.All e Mail.Read. Clique em Conceder consentimento do administrador.
3. Exclua o Copilot das políticas de Acesso Condicional
   Na central de administração do Entra ID, vá para Proteção > Acesso Condicional > Políticas. Revise cada política que visa todos os aplicativos de nuvem ou usa condições de conformidade de dispositivo. Para cada política, clique no nome da política, depois Condições > Aplicativos cliente. Certifique-se de que “Navegador” e “Aplicativos móveis e clientes de desktop” estejam selecionados. Em Controles de acesso > Conceder, observe os requisitos. Para excluir o Copilot, vá para Atribuições > Usuários e grupos > Excluir. Adicione o service principal do Copilot que você criou na etapa 2. Você também pode excluir a ID do aplicativo diretamente. Clique em Salvar para cada política.
4. Permita endpoints de rede para GCC DoD
   Trabalhe com sua equipe de rede para permitir tráfego HTTPS de saída para os seguintes endpoints: graph.microsoft.us, api.dod.microsoft.com, login.microsoftonline.us e copilot.microsoft.com. Certifique-se de que as portas 443 e 80 estejam abertas. Se você usar um proxy, adicione essas URLs à lista de bypass.
5. Limpe as credenciais em cache e entre novamente
   No dispositivo do usuário, abra o Gerenciador de Credenciais do Windows. Remova quaisquer credenciais em Credenciais do Windows > Credenciais Genéricas que contenham “Microsoft Office” ou “Microsoft Graph”. Feche todos os aplicativos do Microsoft 365. Abra um navegador no modo privado e vá para https://copilot.microsoft.com. Entre com a conta DoD do usuário. Teste o Copilot no Word ou Teams.

Se o Copilot Ainda Tiver Problemas Após a Correção Principal

Copilot Retorna “Serviço Indisponível” no GCC DoD

Esse erro aparece quando o serviço Copilot não está totalmente implantado na região de nuvem soberana. Entre em contato com o Suporte da Microsoft e solicite a ativação do Copilot para seu locatário GCC DoD. Forneça a ID do locatário e o timestamp do erro.

Copilot Mostra “Acesso Negado” para Usuários Específicos

Mesmo após habilitar o Copilot no nível do locatário, usuários individuais precisam de uma licença do Copilot para Microsoft 365 atribuída. Vá para Central de administração do Microsoft 365 > Usuários > Usuários ativos. Selecione o usuário, depois Licenças e aplicativos. Certifique-se de que “Copilot para Microsoft 365” esteja marcado. Se a licença estiver ausente, compre-a através do seu Enterprise Agreement ou CSP.

Copilot Falha ao Ler Documentos no SharePoint

O Copilot precisa de permissão para acessar sites do SharePoint. Na central de administração do SharePoint, vá para Políticas > Controle de acesso > Aplicativos que não usam autenticação moderna. Certifique-se de que esteja definido como “Permitir acesso.” Verifique também se o conjunto de sites não está bloqueado por uma política de retenção ou rótulo de confidencialidade que restrinja o Copilot.

Copilot no GCC vs GCCH vs GCC DoD: Principais Diferenças

Item	GCC (Comercial)	GCCH (Government Community Cloud High)	GCC DoD (Department of Defense)
Isolamento de infraestrutura	Compartilhado com locatários comerciais	Nuvem soberana dedicada	Nuvem soberana dedicada com conformidade DISA
Service principal do Copilot	Provisionado automaticamente	Pode precisar de registro manual	Requer registro manual
Compatibilidade com Acesso Condicional	Políticas padrão funcionam	Deve excluir a ID do aplicativo Copilot	Deve excluir a ID do aplicativo Copilot
Endpoints de rede	graph.microsoft.com	graph.microsoft.us	graph.microsoft.us e api.dod.microsoft.com
Atribuição de licença	Licença padrão do Copilot para M365	Licença específica do GCC High	Licença específica do DoD
Suporte para inferência de modelo de IA	Completo	Limitado a data centers nos EUA	Limitado a data centers do DoD

O Copilot no GCC DoD requer etapas de configuração manual não necessárias em locatários comerciais ou GCC. O service principal deve ser registrado, as políticas de Acesso Condicional devem excluir o aplicativo Copilot e endpoints de rede específicos devem ser permitidos. Após aplicar essas etapas, verifique se o Copilot funciona criando um novo documento do Word e usando o painel do Copilot para resumir um parágrafo.