AZ-104

Deep Dive

Practicar ahora
D1 · Identidad y Acceso

Gobernanza y Jerarquía de Recursos

La jerarquía de Azure (Management Groups → Suscripciones → Resource Groups → Recursos) es la base de toda la gobernanza. El AZ-104 evalúa locks, tags, herencia de políticas y la diferencia entre los niveles de scope.

Jerarquía de Azure

Azure organiza los recursos en 4 niveles. Las políticas y el RBAC asignados en niveles superiores se heredan hacia abajo. Un hijo no puede anular lo que el padre impone.

🏢

1. Management Group

Agrupa suscripciones. Hasta 6 niveles de profundidad + root MG. Max 10.000 MGs por tenant.

💳

2. Subscription

Unidad de facturación y límite de algunos servicios. Una suscripción pertenece a 1 solo tenant.

📁

3. Resource Group

Contenedor lógico de recursos relacionados. Un recurso pertenece a 1 solo RG. El RG tiene región pero los recursos pueden estar en otras regiones.

⚙️

4. Resource

Instancia individual de un servicio: VM, VNet, Storage Account, etc.

Regla clave: RBAC y Policy asignados en Management Group aplican a TODAS las suscripciones bajo él. Un usuario con Reader en el MG raíz puede ver todos los recursos del tenant.
Icon-general-11

Management Groups

Los Management Groups permiten organizar suscripciones y aplicar gobernanza a escala. El Root Management Group existe automáticamente en cada tenant y contiene todas las suscripciones.

Características

  • •Máximo 6 niveles de profundidad (sin contar root)
  • •Máximo 10.000 Management Groups por tenant
  • •Cada MG puede tener múltiples hijos (MGs o subs)
  • •Un MG solo tiene 1 padre
  • •Root MG tiene ID = Tenant ID
  • •Solo Global Admin puede acceder al root MG (tras elevación)

Ejemplo de estructura típica

Root MG (Tenant ID)
├── Corp MG
├── Production MG
├── Sub-Prod-01
└── Sub-Prod-02
└── Development MG
└── Sub-Dev-01
└── Sandbox MG
└── Sub-Sandbox

Elevación al Root MG

Por defecto, ni el Global Admin tiene acceso al Root MG. Para gestionar políticas a nivel tenant, el Global Admin debe ir a Entra ID → Properties → Access management for Azure resources → Yes. Esto le asigna temporalmente User Access Administrator en el root MG.

Icon-general-2

Suscripciones

La suscripción es la unidad principal de facturación y el límite de algunos cuotas de servicio. Cada suscripción pertenece a exactamente 1 tenant de Entra ID.

Tipo de suscripciónDescripción
Free200 USD de crédito por 30 días + 12 meses de servicios gratuitos. Solo 1 por cuenta.
Pay-As-You-GoPago por uso. Sin compromiso mínimo. La más común en producción.
Enterprise Agreement (EA)Contrato de 3 años con descuento por volumen. Para grandes empresas.
CSP (Cloud Solution Provider)Gestionada por un partner de Microsoft. Facturación a través del partner.
Azure for Students100 USD de crédito sin tarjeta de crédito. Limitaciones en ciertos servicios.
Dev/TestPrecios reducidos para entornos de desarrollo. Requiere Visual Studio subscription.

Límites importantes de suscripción

VNets por región

1.000

VMs por región

25.000 (soft)

Resource Groups por sub

980

Recursos por RG

Sin límite oficial

Tags por recurso

50

RBAC role assignments

4.000 por scope

Icon-general-7

Resource Groups

Un Resource Group es un contenedor lógico que agrupa recursos relacionados. Es la unidad de gestión del ciclo de vida: eliminar el RG elimina todos sus recursos.

Reglas de Resource Groups

  • •Un recurso pertenece a 1 solo RG (no puede estar en varios)
  • •El RG tiene región pero los recursos pueden estar en otras regiones
  • •El nombre es único dentro de la suscripción
  • •Al eliminar el RG se eliminan TODOS sus recursos
  • •Los recursos dentro del mismo RG pueden estar en distintas regiones
  • •Un RG puede contener recursos de distintos tipos y servicios

Estrategias de organización de RGs

Por ciclo de vida

Todos los recursos del mismo proyecto en 1 RG. Al terminar el proyecto se elimina todo junto.

Por entorno

rg-prod, rg-staging, rg-dev. Facilita permisos distintos por entorno.

Por tipo de recurso

rg-networking, rg-compute. Útil para equipos especializados.

Por región

rg-westeurope, rg-eastus. Ayuda a agrupar recursos colocalizados.

Resource Locks

Los locks previenen que usuarios (incluso Owners y admins) eliminen o modifiquen recursos críticos por error. Se aplican a suscripciones, RGs o recursos individuales.

CanNotDelete

Los usuarios pueden leer y modificar el recurso, pero NO pueden eliminarlo.

✅ Permite:

  • •Leer (GET)
  • •Modificar configuración (PUT/PATCH)
  • •Crear recursos dentro (si es RG)

🚫 Bloquea:

  • •Eliminar el recurso (DELETE)
  • •Eliminar el RG y todos sus recursos

ReadOnly

Los usuarios solo pueden leer. Ninguna operación de escritura está permitida, aunque tengan rol Owner.

✅ Permite:

  • •Leer (GET)

🚫 Bloquea:

  • •Modificar configuración
  • •Eliminar el recurso
  • •Crear recursos dentro
  • •Cualquier PUT/PATCH/DELETE/POST

Comportamiento de herencia de locks

• Lock en Subscription → aplica a todos los RGs y recursos dentro

• Lock en Resource Group → aplica a todos los recursos del RG

• Lock en recurso → solo ese recurso

• Para eliminar un lock, se necesita el rol Owner o rol con acción Microsoft.Authorization/locks/delete

• ReadOnly en un RG con Storage Account bloquea incluso listar las keys (porque es una acción POST)

MsPortalFx.base.images-5

Tags — Etiquetado de Recursos

Los tags son pares clave-valor que permiten organizar, filtrar y asignar costos a recursos Azure. Son fundamentales para la gestión de costos y la gobernanza en organizaciones medianas y grandes.

Límites de tags

Tags por recurso / RG / sub50
Longitud máx. de clave512 caracteres
Longitud máx. de valor256 caracteres
Case-sensitive?No para claves, sí para valores
Tipos de recursos que NO admiten tagsServicios clásicos (V1), algunos recursos de Entra ID

Tags comunes en producción

Environment:Production / Staging / Dev
CostCenter:IT-12345
Owner:team-backend@corp.com
Project:ecommerce-v2
CreatedBy:terraform
ExpiryDate:2025-12-31

Tags NO se heredan por defecto

Si asignas un tag a un RG, los recursos dentro del RG NO heredan ese tag automáticamente. Para forzar herencia necesitas una Azure Policy con efecto modify o append. Esto es una trampa frecuente en el examen.

Cost Management + Budgets

Azure Cost Management permite analizar, monitorear y controlar el gasto en Azure. Los Budgets permiten configurar alertas cuando el gasto alcanza umbrales definidos.

Cost Analysis

Vista de gasto por servicio, recurso, tag, región. Permite drill-down y comparación histórica. Exportable a Excel/CSV.

Budgets

Umbrales de alerta de gasto. No bloquea el gasto — solo notifica. Puede configurar Action Groups para ejecutar acciones automáticas.

Advisor Recommendations

Recomendaciones de optimización de costos: VMs infrautilizadas, reserved instances, etc. Integrado con Azure Advisor.

Ámbito de Cost Management

Puede verse a nivel: Tenant, Management Group, Suscripción, Resource Group, o por tag. Para ver costos cruzados entre suscripciones necesitas permisos a nivel MG o acceso de facturación.

Trampas de Examen

Tags no se heredan automáticamente al RG

Un tag en Resource Group NO se copia a los recursos dentro. Necesitas Azure Policy con modify o append para forzarlo. Muchas preguntas asumen herencia automática.

ReadOnly lock bloquea listar storage keys

Con un ReadOnly lock en una Storage Account (o su RG), la operación "List Keys" falla porque es una acción POST — Azure la trata como escritura aunque solo lee. Esto corta el acceso a las claves sin eliminar el lock.

Owner no puede anular un Lock

Un Owner puede gestionar todos los recursos, PERO para eliminar un lock necesita el rol Owner ESPECÍFICAMENTE o la acción Microsoft.Authorization/locks/delete. Un Contributor no puede borrar locks.

El RG tiene región pero los recursos no tienen que estar en esa región

La región del Resource Group solo determina dónde se almacenan los metadatos del RG. Los recursos dentro pueden estar en cualquier región de Azure.

Budget NO bloquea el gasto

Un Budget solo envía alertas o puede ejecutar Logic Apps/Runbooks. No detiene automáticamente la creación de recursos al superarse el umbral. Para bloquear habría que combinar Budget + Action Group + Automation.

¿Entendiste este tema?

Pon a prueba lo que acabas de aprender

Un administrador con rol Owner en una suscripción intenta eliminar un Resource Group crítico de producción. La operación falla con error 'Conflict'. ¿Cuál es la causa más probable y la solución?