Tema 4 de 5
Acceso condicional, Global Secure Access y roles
La administración de accesos en Entra se apoya en tres piezas: el acceso condicional decide si alguien entra y en qué condiciones, Global Secure Access protege el tráfico de red y los roles definen qué puede hacer cada administrador.
Contenido
¿Qué es el acceso condicional?
Es el motor de políticas de Zero Trust de Microsoft: reúne señales, toma decisiones y aplica las políticas de la organización. En su forma más simple, una política es una sentencia si-entonces: si un usuario quiere acceder a un recurso, entonces debe completar una acción. Por ejemplo: si quiere entrar a Microsoft 365, debe hacer MFA.
El administrador busca dos objetivos a la vez: que los usuarios sean productivos donde y cuando sea, y proteger los activos de la organización. El acceso condicional aplica el control adecuado solo cuando hace falta, sin estorbar el resto del tiempo.
Cuándo se aplica
Después de completar el primer factor de autenticación. No es la primera línea de defensa frente a ataques de denegación de servicio (DoS), aunque puede usar las señales de esos eventos.
Cómo se evalúa una política
El usuario completa el primer factor
Por ejemplo, la contraseña.
Se recogen las señales
Quién es, desde dónde, con qué dispositivo, a qué app y con qué riesgo.
Se comparan con las asignaciones
Si todas se cumplen (AND lógico), la política aplica.
Se toma la decisión
Bloquear, conceder sin más o conceder exigiendo controles (MFA, dispositivo compatible…).
Se aplica la sesión
Si hay controles de sesión, limitan lo que se puede hacer dentro de la app.
Asignaciones (señales)
Definen el quién, qué, dónde y cuándo. Se combinan con AND lógico: si configuras varias, todas deben cumplirse para que la política se active.
Usuarios
Todos, usuarios y grupos concretos, roles de directorio, invitados externos, identidades de carga de trabajo e identidades de agente, lo que extiende Zero Trust a las cargas de IA.
Recursos de destino
Apps en la nube (incluido Microsoft 365 y apps registradas en Entra), apps locales, acciones de usuario (registrar información de seguridad, registrar o unir dispositivos), perfiles de tráfico de Global Secure Access o contexto de autenticación para proteger datos y acciones concretas.
Red
Redes y rangos IP de confianza, ubicaciones con nombre (se pueden bloquear o permitir países enteros) y redes compatibles.
Condiciones
Riesgo de inicio de sesión y de usuario (ID Protection), riesgo interno (protección adaptativa de Purview), plataforma del dispositivo, apps cliente (navegador, móvil, escritorio) y filtros de dispositivos, por ejemplo para estaciones de acceso privilegiado.
Controles de acceso (decisiones)
Bloquear
La decisión más restrictiva.
Conceder
Sin controles o exigiendo uno o más:
- MFA
- Fuerza de autenticación
- Dispositivo marcado como compatible
- Dispositivo unido híbrido
- App cliente aprobada o directiva de protección de apps
- Cambio de contraseña
- Términos de uso
Sesión
Experiencias limitadas dentro de apps concretas. Conditional Access App Control usa señales de Defender for Cloud Apps para bloquear descargar, cortar, copiar e imprimir documentos sensibles o exigir su etiquetado. También frecuencia de inicio de sesión y restricciones aplicadas por la app.
Fuerza de autenticación
Control de concesión que define qué combinaciones de métodos sirven para un recurso. Permite exigir métodos fuertes para recursos sensibles y menos restrictivos para el día a día. Hay tres integradas y se pueden crear personalizadas:
MFA
Cualquier combinación que cumpla MFA, incluida contraseña más SMS, llamada, push u OATH.
MFA sin contraseña
Métodos que cumplen MFA sin contraseña: Authenticator (inicio desde el teléfono), llaves FIDO2, Windows Hello for Business o credenciales de plataforma.
MFA resistente a phishing
Métodos que requieren interacción entre el método y la superficie de inicio de sesión: Windows Hello for Business, llaves FIDO2 y CBA multifactor.
Políticas habituales
Las preocupaciones de acceso más comunes que resuelve el acceso condicional, según Microsoft:
- Exigir MFA a usuarios con roles administrativos
- Exigir MFA para tareas de administración de Azure
- Bloquear inicios de sesión con protocolos de autenticación heredados
- Exigir ubicaciones de confianza para registrar información de seguridad
- Bloquear o permitir el acceso desde ubicaciones concretas
- Bloquear comportamientos de inicio de sesión de riesgo
- Exigir dispositivos administrados por la organización para ciertas apps
Servicios de IA: Microsoft 365 Copilot y Security Copilot se protegen igual. Por ejemplo: exigir MFA resistente a phishing a quienes usan IA generativa, exigir dispositivo compatible si el riesgo interno es moderado o bloquear el acceso si es elevado.
Licencias y operación
Licencia
Requiere Microsoft Entra ID P1 (incluido en Microsoft 365 Business Premium). Las políticas basadas en riesgo requieren ID Protection, que es P2. Quien solo tiene Free usa valores predeterminados de seguridad.
Si caduca la licencia
Las políticas no se desactivan ni se borran solas, para no cambiar la postura de golpe. Se pueden ver y eliminar, pero no actualizar.
Solo informe y What If
Las políticas pueden estar habilitadas o en modo de solo informe, y la página de políticas permite simular escenarios "What If" antes de aplicar cambios.
Conditional Access Optimization Agent
Agente de Security Copilot que sugiere políticas nuevas y cambios según Zero Trust y buenas prácticas. Necesita al menos P1 y unidades de cómputo de seguridad (SCU).
Global Secure Access
Es la solución Security Service Edge (SSE) de Microsoft, basada en Zero Trust. Combina Internet Access, Internet Access for Microsoft Services y Private Access con Defender for Cloud Apps para unir controles de red, identidad y endpoint. Ayuda a reducir el movimiento lateral por un túnel VPN comprometido, poner perímetro a los activos en internet y mejorar el servicio en sucursales. Un cliente en el dispositivo enruta perfiles de tráfico por el servicio, integrado con acceso condicional.
Microsoft Entra Internet Access
Puerta de enlace web segura (SWG) centrada en la identidad para SaaS y tráfico de internet. Requiere Microsoft Entra Suite o licencia independiente.
- Filtrado de contenido web por categorías y dominios
- Acceso condicional universal, incluso para destinos no federados con Entra
- Inspección TLS e inteligencia de amenazas
- Protección contra inyección de prompts hacia servicios de IA
- CAE universal: ajusta o bloquea el acceso casi en tiempo real si cambia algo
Internet Access for Microsoft Services
Perfil de tráfico de Microsoft 365 (Exchange, SharePoint, Teams): comprobación de red compatible contra el robo de tokens, restricciones universales de tenant contra la exfiltración a tenants ajenos, restauración de la IP de origen y registros enriquecidos. Incluido con Entra ID P1 o P2.
Microsoft Entra Private Access
Reemplaza las VPN heredadas con Zero Trust Network Access (ZTNA): acceso por app, no a toda la red. Un conector de red intermedia el tráfico. Se configura con Quick Access (recursos por FQDN, IP o rango en una sola app) o acceso por app (cada app con sus recursos y políticas), y App Discovery encuentra apps privadas en uso.
Para IA, GSA suma descubrimiento de shadow AI (apps de IA no autorizadas) y controles de red para el tráfico de agentes.
Roles de Entra y RBAC
Los roles de Entra controlan permisos para administrar recursos de Entra, como crear cuentas o ver la facturación. Administrar el acceso con roles se llama control de acceso basado en roles: Microsoft Entra RBAC.
Roles integrados
Paquetes de permisos fijos que no se modifican. Ejemplos: Global Administrator (todo; quien crea el tenant lo recibe), User Administrator (usuarios y grupos, tickets de soporte y estado del servicio), Billing Administrator (compras, suscripciones y tickets).
Roles personalizados
Eliges permisos de la misma lista que usan los integrados. Dos pasos: crear la definición y asignarla en un ámbito, que puede ser toda la organización o un objeto (por ejemplo, una sola app). Requieren P1 o P2.
Específicos de Entra
Gestionan solo recursos de Entra: User, Application y Groups Administrator.
Específicos de servicio
Para servicios de Microsoft 365: Exchange, Intune, SharePoint y Teams Administrator.
Entre servicios
Abarcan varios servicios: Security Administrator, Compliance Administrator.
Algunos servicios, como Exchange e Intune, tienen además su propio RBAC; otros, como Teams y SharePoint, usan los roles de Entra.
| Microsoft Entra RBAC | Azure RBAC | |
|---|---|---|
| Controla | Recursos de Entra: usuarios, grupos, aplicaciones | Recursos de Azure: VMs, almacenamiento, vía Azure Resource Manager |
| Ejemplo | User Administrator | Contributor en un grupo de recursos |
| Dónde se guarda y evalúa | Almacén y punto de decisión propios | Almacén y punto de decisión distintos |
Mínimo privilegio
Si alguien solo gestiona usuarios, dale User Administrator, no Global Administrator: se limita el daño si la cuenta se compromete. Es todavía más importante con servicios de IA que procesan muchos datos con los permisos del usuario.
Escenarios de examen
| Necesidad | Respuesta | Por qué |
|---|---|---|
| Exigir MFA solo a quien tenga roles de administrador | Política con asignación a roles de directorio y control MFA | Es una de las políticas habituales. |
| Bloquear protocolos de autenticación heredados | Política con condición de apps cliente y control Bloquear | Es una política habitual; los valores predeterminados de seguridad también la aplican. |
| Pedir un cambio de contraseña seguro cuando el riesgo de usuario es alto | Acceso condicional basado en riesgo | Requiere ID Protection (P2). |
| Permitir ver documentos pero no descargarlos en equipos no administrados | Control de sesión (App Control) | Usa Defender for Cloud Apps. |
| Probar el efecto de una política antes de activarla | Modo de solo informe / What If | Muestra qué pasaría sin aplicar la política. |
| Dar acceso a apps privadas sin VPN | Microsoft Entra Private Access | ZTNA con acceso por app. |
| Un técnico solo debe administrar usuarios y grupos | Rol User Administrator | Mínimo privilegio en lugar de Global Administrator. |
| Un permiso para gestionar solo una app concreta | Rol personalizado con ámbito de objeto | Requiere P1. |
Trampas frecuentes del examen
❓ Una política tiene asignados un grupo y una app. Un usuario del grupo entra a otra app. ¿Se aplica?
No. Las asignaciones se combinan con AND: deben cumplirse todas.
❓ Se quiere impedir que los usuarios descarguen documentos desde dispositivos no administrados, pero dejarles verlos. ¿Qué control?
Un control de sesión (Conditional Access App Control con Defender for Cloud Apps). Bloquear impediría todo el acceso.
❓ ¿El acceso condicional se evalúa antes de la contraseña?
No. Se aplica después del primer factor de autenticación.
❓ ¿Qué reemplaza a una VPN tradicional con acceso por aplicación?
Microsoft Entra Private Access (ZTNA). Internet Access es la puerta de enlace web segura para tráfico de internet y SaaS.
❓ ¿Un rol de Entra como Global Administrator da acceso a las VMs de Azure?
No directamente. Los roles de Entra controlan recursos de Entra; las VMs se controlan con Azure RBAC.
❓ ¿Exigir MFA garantiza un método resistente a phishing?
No. Para eso se usa la fuerza de autenticación resistente a phishing; MFA acepta contraseña más SMS.
❓ ¿Qué licencia incluye Internet Access for Microsoft Services?
Entra ID P1 o P2. Internet Access completo requiere Entra Suite o licencia propia.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa quiere que el acceso a una app financiera solo se permita con Windows Hello for Business, llaves FIDO2 o certificados. ¿Qué configura en el acceso condicional?
¿Listo para poner a prueba "Acceso condicional, GSA y roles"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro