Tema 1 de 5
Microsoft Entra ID y tipos de identidad
Entra ID es el servicio de identidad en la nube de Microsoft. Aquí ves qué es, cómo se organiza, qué incluye cada licencia y los tipos de identidad que maneja: usuarios, cargas de trabajo, agentes de IA, dispositivos y grupos.
Contenido
¿Qué es Microsoft Entra ID?
Es el servicio de administración de identidades y accesos en la nube de Microsoft. Permite que empleados, invitados, cargas de trabajo y agentes de IA inicien sesión y accedan a los recursos que necesitan.
Recursos internos
Apps de la red corporativa y la intranet, y apps en la nube desarrolladas por la propia organización.
Servicios externos
Microsoft 365, el portal de Azure y cualquier app SaaS que use la organización.
- Da un solo sistema de identidad para apps en la nube y locales.
- Puede sincronizarse con Active Directory local, con otros directorios, o usarse de forma independiente.
- Permite usar con seguridad dispositivos personales y colaborar con socios y clientes.
Administradores de TI
Controlan el acceso a apps y recursos según el negocio; por ejemplo, exigen MFA para recursos importantes.
Desarrolladores
Añaden SSO a sus apps con un enfoque basado en estándares y usan APIs para crear experiencias con datos de la organización.
Suscriptores
Quien tiene Azure, Microsoft 365 o Dynamics 365 ya tiene Entra ID y puede ampliarlo con licencias premium.
Identity Secure Score
Un porcentaje que indica cuánto te alineas con las recomendaciones de seguridad de Microsoft. Está en todas las ediciones de Entra ID, con acciones de mejora adaptadas a tu configuración. Sirve para medir la postura de identidad, planificar mejoras y comprobar su efecto.
Tenant, directorio y multitenant
Tenant
Instancia de Entra ID con la información de una sola organización: usuarios, grupos, dispositivos, registros de apps y políticas de acceso y cumplimiento. Tiene un ID único y un dominio (contoso.onmicrosoft.com) y es un límite de seguridad y administración.
Directorio
Contenedor lógico dentro del tenant que guarda y organiza los objetos de identidad, como una base de datos o catálogo. Se usa como sinónimo de tenant: un tenant tiene un solo directorio.
Multitenant
Organización con más de una instancia de Entra ID. Motivos típicos: filiales o unidades que operan por separado, fusiones y adquisiciones, o regulaciones de residencia distintas por región.
Ediciones y licencias
El examen pregunta con frecuencia qué licencia hace falta para cada función. Resumen según la documentación de licencias de Microsoft Entra:
| Funciones | Licencia mínima |
|---|---|
| Valores predeterminados de seguridad, SSPR, registros de auditoría y de inicio de sesión, identidades administradas, Verified ID | Free (incluido con Azure, Microsoft 365…) |
| Acceso condicional, roles personalizados, SSPR con escritura diferida, MFA para apps locales, IPs de confianza | P1 |
| ID Protection y acceso condicional basado en riesgo, PIM, capacidades base de revisiones de acceso y administración de derechos | P2 |
| Flujos de trabajo de ciclo de vida, revisiones asistidas por aprendizaje automático, directivas de asignación automática | Microsoft Entra ID Governance |
| Private Access, Internet Access, ID Governance, ID Protection y Verified ID premium juntos | Microsoft Entra Suite |
- P1 viene incluida, entre otros, en Microsoft 365 E3 y Business Premium; P2 en Microsoft 365 E5.
- Los roles integrados son gratis; los personalizados requieren P1 por cada usuario con una asignación.
- Las identidades administradas no tienen requisito de licencia.
- Microsoft Entra Connect (sincronización) es gratuito con la suscripción de Azure.
Identidades de usuario
Se puede asignar identidad a tres cosas: personas (identidades de usuario), dispositivos y objetos de software como apps, VMs, servicios y contenedores (identidades de carga de trabajo). Dispositivos y cargas de trabajo se agrupan como identidades de máquina.
Los usuarios representan a empleados y externos (clientes, consultores, proveedores, socios) y se clasifican con dos ejes:
Cómo se autentica
Interno: tiene cuenta en el Entra ID de la organización anfitriona. Externo: usa otra cuenta de Entra, una identidad social u otro proveedor.
Propiedad UserType
Describe la relación con el tenant: Member o Guest. Por defecto, los invitados tienen menos privilegios que los miembros.
| Autenticación interna | Autenticación externa | |
|---|---|---|
| Member | Miembro interno: empleados | Miembro externo: usuarios de otro tenant de la misma organización grande con acceso de miembro |
| Guest | Invitado interno: cuenta interna creada para un externo y marcada como Guest. Escenario heredado | Invitado externo: consultores, proveedores y socios con su propia cuenta |
Invitados externos y miembros externos son usuarios de colaboración B2B y forman parte de las identidades externas (ver el artículo de identidad híbrida e identidades externas).
Identidades de carga de trabajo
Una identidad de carga de trabajo se asigna a un software para que se autentique y acceda a otros servicios. Protegerlas es importante porque una carga puede manejar varias credenciales que hay que guardar con seguridad, y es difícil saber cuándo se creó una identidad o cuándo debería revocarse. Microsoft Entra Workload ID ayuda a resolverlo. En Entra son aplicaciones, entidades de servicio e identidades administradas.
Aplicaciones y entidades de servicio (service principals)
Una entidad de servicio es, en esencia, la identidad de una aplicación. Primero se registra la app en Entra ID; luego se crea una entidad de servicio en cada tenant donde se usa, lo que permite autenticarla y autorizarla. El desarrollador debe gestionar y proteger sus credenciales.
Identidades administradas
Son un tipo de entidad de servicio que Entra ID administra automáticamente: el desarrollador no gestiona credenciales. Sirven para conectarse a recursos de Azure que admiten autenticación de Entra y no tienen costo extra.
| Asignada por el sistema | Asignada por el usuario | |
|---|---|---|
| Cómo se crea | Se habilita en el recurso (por ejemplo, una VM) | Como recurso de Azure independiente |
| Ciclo de vida | Atado al recurso: si se borra el recurso, Azure borra la identidad | Independiente: hay que eliminarla explícitamente |
| Recursos que la usan | Solo ese recurso | Uno o varios |
Microsoft Entra Agent ID
A diferencia de una app que ejecuta lógica predeterminada, un agente de IA analiza datos, toma acciones e interactúa con otros sistemas por su cuenta. Eso trae riesgos propios:
Más superficie de ataque
Interactúan con sistemas externos y son vulnerables a ataques como la inyección de prompts.
Riesgo de permisos
Suelen recibir permisos amplios y pueden hacer más de lo necesario.
Expansión descontrolada
Agent sprawl: agentes temporales que quedan en producción con permisos que nadie revisa.
Agent ID da a los agentes identidades dedicadas, distintas de las de carga de trabajo, con dos conceptos clave:
Blueprint de identidad de agente
Plantilla reutilizable que define una clase de agente (por ejemplo, "Asistente de ventas"). Establece su clasificación, guarda las credenciales para crear instancias y permite aplicar políticas a todos los agentes de ese tipo.
Identidad de agente
Instancia creada desde un blueprint, con ID único, nombre y un patrocinador (persona o grupo responsable). No tiene credenciales propias: el blueprint obtiene los tokens por ella.
- Atendido (on-behalf-of): el agente actúa en nombre de un usuario con los permisos delegados que este le da.
- Desatendido: el agente actúa con su propia autoridad, roles y permisos, sin un usuario presente.
- Se integra con acceso condicional, ID Protection, ID Governance y el registro de agentes, que da visibilidad de todos los agentes del tenant.
- Es independiente de la plataforma: también gobierna agentes hechos fuera de Microsoft.
- Entra ID bloquea que los agentes reciban muchos roles y permisos de alto privilegio, siguiendo el mínimo privilegio.
- Agent ID está disponible para todos los clientes de Entra; extender funciones de seguridad a agentes requiere Microsoft Agent 365.
Identidades de dispositivo
Un dispositivo es hardware: teléfonos, laptops, servidores o impresoras. Su identidad da información para decidir accesos o configuraciones, por ejemplo en una política de acceso condicional.
Registrado en Entra
BYOD y móviles: el usuario accede a recursos de la organización desde un dispositivo personal.
Unido a Entra
Se une con una cuenta organizacional que luego se usa para iniciar sesión. Normalmente propiedad de la organización.
Unido híbrido
Para organizaciones con AD local: unido a AD local y a Entra ID a la vez. Requiere cuenta organizacional para iniciar sesión.
Registrar o unir dispositivos da SSO a recursos en la nube y locales. Herramientas como Microsoft Intune controlan cómo se usan los dispositivos de la organización.
Grupos
Si varias identidades necesitan el mismo acceso, se crea un grupo y se asignan los permisos al grupo en vez de uno por uno. Esto se alinea con el principio de Zero Trust de limitar el acceso solo a quien lo necesita.
| Grupo | Para qué | Miembros posibles |
|---|---|---|
| Seguridad | El más común. Acceso a recursos compartidos y destino de políticas como SSPR o acceso condicional | Usuarios (incluidos externos), dispositivos, otros grupos, entidades de servicio e identidades de agente |
| Microsoft 365 | Colaboración: buzón, calendario, archivos y sitios de SharePoint compartidos | Solo usuarios (incluidos externos) |
Membresía asignada
Los miembros se eligen manualmente.
Membresía dinámica
Reglas que añaden y quitan identidades automáticamente según sus atributos.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un consultor externo se autentica con su propia cuenta y aparece como Guest | Invitado externo | Autenticación externa y UserType Guest. |
| Usuarios de una filial con otro tenant necesitan acceso de miembro | Miembro externo | Se autentican fuera, pero con UserType Member. |
| Una VM necesita acceder a Key Vault sin guardar credenciales en el código | Identidad administrada | Entra ID gestiona las credenciales; sin costo extra. |
| Varias Function Apps deben compartir una misma identidad | Identidad administrada asignada por el usuario | Es un recurso independiente asignable a varios recursos. |
| Un portátil personal accede a Microsoft 365 | Dispositivo registrado en Entra | Escenario BYOD. |
| Equipos corporativos unidos a AD local y a Entra ID | Unido híbrido | Unidos a ambos directorios. |
| Los miembros del grupo deben cambiar solos al cambiar el departamento del usuario | Membresía dinámica | Reglas que añaden y quitan miembros según atributos. |
Trampas frecuentes del examen
❓ Una identidad administrada debe sobrevivir aunque se borre la VM que la usa y compartirse entre varias VMs. ¿Qué tipo?
Asignada por el usuario. La asignada por el sistema se borra junto con el recurso y solo pertenece a él.
❓ ¿Un grupo de Microsoft 365 puede contener dispositivos?
No. Solo usuarios. Los grupos de seguridad sí admiten dispositivos, entidades de servicio e identidades de agente.
❓ ¿Un tenant puede tener varios directorios?
No. Un tenant de Entra tiene un solo directorio; por eso se usan como sinónimos.
❓ ¿Las identidades administradas requieren licencia premium?
No. No tienen requisito de licencia y se usan sin costo extra.
❓ ¿Una identidad de agente tiene sus propias credenciales?
No. El blueprint obtiene los tokens en su nombre.
❓ ¿El Identity Secure Score requiere P2?
No. Está disponible en todas las ediciones de Entra ID.
❓ ¿Los roles personalizados de Entra son gratis?
No. Requieren P1. Los roles integrados sí son gratis.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Un desarrollador quiere que su aplicación en una VM de Azure lea secretos de Key Vault sin guardar ninguna credencial en el código. ¿Qué debe usar?
¿Listo para poner a prueba "Entra ID y tipos de identidad"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro