Tema 5 de 5
Gobernanza y protección de identidades
Dar acceso es fácil; quitarlo a tiempo es lo difícil. Aquí están las herramientas para gobernar el ciclo de vida de identidades y accesos, controlar el acceso privilegiado, detectar identidades comprometidas y verificar credenciales.
Contenido
- Microsoft Entra ID Governance
- Los tres ciclos de vida
- Revisiones de acceso
- Administración de derechos
- Términos de uso
- Privileged Identity Management
- Microsoft Entra ID Protection
- Microsoft Entra Verified ID
- Security Copilot en Entra
- Qué licencia necesita cada función
- Escenarios de examen
- Trampas frecuentes del examen
Microsoft Entra ID Governance
Solución de gobernanza de identidades que mejora la productividad, refuerza la seguridad y facilita cumplir requisitos regulatorios. Usa información con IA para asegurar que las personas correctas tengan el acceso correcto a los recursos correctos, mediante automatización, delegación a los equipos de negocio y visibilidad. Responde cuatro preguntas, para accesos locales y en la nube:
- ¿Qué identidades deberían tener acceso a qué recursos?
- ¿Qué hacen con ese acceso?
- ¿Hay controles organizativos para administrarlo?
- ¿Pueden los auditores verificar que los controles funcionan?
Aplica a empleados, socios de negocio y proveedores, y se extiende a las identidades de agente: cada una requiere un patrocinador humano responsable y, si este se va de la organización, el patrocinio pasa automáticamente a su manager.
Los tres ciclos de vida
Ciclo de vida de la identidad
El modelo join, move, leave: al entrar se crea la identidad, al moverse se añaden o quitan permisos y al irse se retira el acceso. Suele estar ligado al sistema de RR. HH. (Workday, SuccessFactors) para que el empleado sea productivo desde el primer día. Se automatiza con:
- Aprovisionamiento entrante desde RR. HH. hacia Entra ID y AD
- Flujos de trabajo de ciclo de vida en momentos clave (antes de empezar, al cambiar de estado, al irse)
- Directivas de asignación automática según atributos del usuario
- Aprovisionamiento de usuarios a cientos de apps en la nube y locales
Ciclo de vida del acceso
Gestionar el acceso más allá del aprovisionamiento inicial, a escala. Los grupos dinámicos evalúan reglas por atributos y añaden o quitan miembros cuando cambia un atributo; la administración de derechos gestiona solicitudes y separación de funciones; las revisiones de acceso recertifican periódicamente.
Ciclo de vida del acceso privilegiado
Los derechos administrativos de empleados, proveedores y contratistas necesitan un proceso de gobernanza por su potencial de abuso. Lo resuelve PIM, que minimiza cuántas personas tienen acceso privilegiado en Entra, Azure y otros servicios en línea de Microsoft.
Revisiones de acceso
Revisan membresías de grupos, acceso a apps empresariales y asignaciones de roles. Los permisos excesivos son un riesgo conocido, y cuando las personas cambian de equipo o de responsabilidades es difícil controlarlos. Casos de uso:
Demasiados usuarios privilegiados
Detectar administradores o invitados que ya no deberían tener el rol. Se recertifican roles de Entra o Azure desde PIM.
Datos críticos
Pedir que las personas reconfirmen y justifiquen periódicamente su acceso, como parte del cumplimiento.
Excepciones a políticas
Demostrar a los auditores que las excepciones se revisan con regularidad.
Invitados en grupos
Que los propietarios del grupo confirmen si los invitados siguen teniendo una necesidad legítima.
- Revisores: los propios usuarios (autorrevisión) o un responsable de decisiones, como el propietario del grupo o el manager.
- Recurrencia: semanal, mensual, trimestral o anual. Los revisores reciben un aviso al inicio.
- Multietapa: hasta tres etapas con distintos revisores en secuencia, para requisitos de auditoría complejos.
- Recomendaciones con IA: según la actividad de inicio de sesión y la afinidad con el grupo; los usuarios atípicos frente a sus pares merecen más atención.
- Resultado: ningún acceso cambia hasta que la revisión termina (se puede detener antes). Los cambios se aplican manual o automáticamente, salvo en grupos dinámicos o que vienen de AD local, donde se cambian directamente en el grupo.
Administración de derechos
Gestiona el ciclo de vida de identidades y accesos a escala: automatiza flujos de solicitud, asignaciones, revisiones y expiración. Resuelve tres problemas habituales:
- El usuario no sabe qué acceso pedir ni a quién
- Una vez lo tiene, lo conserva más tiempo del necesario
- Nadie gestiona de forma consistente el acceso de los externos
Paquete de acceso
Conjunto de todos los recursos, con su nivel de acceso, que alguien necesita para un proyecto o tarea: grupos de seguridad, grupos de Microsoft 365, apps empresariales y sitios de SharePoint Online.
Delegación
Los paquetes los crean no administradores, que definen quién puede pedir, quién aprueba y cuándo expira.
Usuarios externos
Un externo aprobado se invita solo al directorio. Al expirar su acceso, si no tiene otros paquetes, su cuenta B2B se puede eliminar automáticamente.
Agentes de IA
También gobierna el acceso de identidades de agente; los patrocinadores aseguran que dure solo lo necesario.
Términos de uso
Presentan información a los usuarios antes de acceder a datos o a una app, para que lean avisos legales o de cumplimiento. Se muestran en formato PDF con contenido propio (por ejemplo, un contrato existente), también en móviles.
- Antes de acceder a datos sensibles o a una aplicación
- De forma recurrente, para recordar regulaciones
- Según atributos del usuario, como términos para ciertos roles
- Para todos los usuarios de la organización
Se exigen con políticas de acceso condicional, y el administrador ve quién aceptó y quién rechazó.
Privileged Identity Management (PIM)
Administra, controla y supervisa el acceso a recursos importantes en Entra ID, Azure y otros servicios en línea como Microsoft 365 o Intune. Da activación de roles basada en tiempo y en aprobación, pide justificación y exige MFA para activar cualquier rol. Reduce la probabilidad de que un atacante obtenga acceso y el riesgo de que un usuario autorizado afecte por error recursos sensibles.
Just-in-time
Acceso solo cuando hace falta
Con límite de tiempo
Fechas de inicio y fin
Con aprobación
Aprobación para activar
Visible
Notificaciones al activar
Auditable
Historial completo descargable
Roles de Entra
También llamados roles de directorio, integrados y personalizados.
Roles de Azure
Roles de RBAC sobre grupos de administración, suscripciones, grupos de recursos y recursos.
PIM para grupos
Membresía y propiedad just-in-time de un grupo, que a su vez puede dar roles, acceso a SQL, Key Vault, Intune u otras apps.
Asignar
Se asignan roles a usuarios, grupos, entidades de servicio o identidades administradas, con miembros, ámbito, tipo (elegible o activa) y duración (fechas o permanente).
Activar
Un usuario elegible activa el rol eligiendo una duración dentro del máximo configurado y un motivo.
Aprobar o denegar
Los aprobadores delegados reciben un correo y deciden en PIM.
Extender o renovar
Se pide una extensión antes de que expire o una renovación si ya expiró.
Asignación elegible
El miembro debe hacer algo para usar el rol: activarlo o pedir aprobación.
Asignación activa
El miembro tiene los privilegios sin hacer nada.
El historial de auditoría de PIM muestra asignaciones y activaciones de los últimos 30 días. Si caduca la licencia, las asignaciones elegibles de roles de Entra se eliminan y las permanentes se mantienen.
Microsoft Entra ID Protection
Detecta, investiga y corrige riesgos basados en identidad, de usuarios y de identidades de carga de trabajo. Sus riesgos alimentan el acceso condicional o un SIEM. Analiza billones de señales diarias de Entra ID, cuentas Microsoft y Xbox. Requiere P2.
Riesgo de inicio de sesión
Probabilidad de que una solicitud de autenticación no la haga el dueño de la identidad. En cada inicio se ejecutan las detecciones en tiempo real. Ejemplos: IP anónima, viaje atípico (dos inicios desde lugares muy lejanos), propiedades de inicio desconocidas.
Riesgo de usuario
Probabilidad de que la identidad o cuenta esté comprometida. Ejemplos: credenciales filtradas, actividad sospechosa reportada por el usuario, patrones de envío sospechosos.
Solo genera detecciones cuando se usan credenciales correctas: si alguien escribe una contraseña incorrecta no hay riesgo de compromiso de credenciales.
Detectar
Detecciones de riesgo; en cada inicio de sesión se ejecutan las de tiempo real.
Investigar
Tres informes: detecciones de riesgo, inicios de sesión de riesgo (con una o más detecciones) y usuarios de riesgo (con inicios o detecciones de riesgo).
Corregir
El acceso condicional basado en riesgo exige un método fuerte, MFA o un cambio seguro de contraseña; si el usuario lo completa, el riesgo se corrige solo. Si no hay automatización, el administrador descarta, confirma seguro o confirma comprometido desde el portal, la API o Defender XDR.
Exportar
APIs de Microsoft Graph, área de trabajo de Log Analytics, cuenta de almacenamiento, Event Hubs o un SIEM.
Microsoft Entra Verified ID
Servicio administrado de credenciales verificables basado en estándares abiertos (Microsoft colabora con el W3C y la Decentralized Identity Foundation). Hoy es difícil presentar una credencial digital segura, respetuosa con la privacidad y legible por máquinas, y controlar qué se hace con tus datos tras compartirlos. Las credenciales verificables lo resuelven y ponen a la persona en control de su identidad.
Emisor
Atestigua afirmaciones y entrega credenciales firmadas: un proveedor de verificación, un gobierno, un empleador, una universidad.
Usuario
Recibe y aprueba las credenciales, las guarda en su cartera digital y las presenta. Las afirmaciones se firman con su clave privada.
Verificador
Pide la prueba y comprueba que cumple sus requisitos: un futuro empleador, una aerolínea, una hipotecaria.
- Detrás hay un registro de datos verificable (metadatos como claves públicas) que el verificador consulta. Verified ID usa el sistema de confianza did:web: el identificador descentralizado del emisor se liga a un dominio web que controla, y se confía en él por la reputación de ese dominio.
- Las credenciales pueden expirar o el emisor puede revocarlas; el estándar incluye campos para eso.
- Recuperación de cuenta: un proveedor de verificación valida el documento oficial, se emite una credencial en Authenticator, Face Check compara una selfie con la foto y el usuario recibe un TAP para volver a registrar métodos.
- Frente a deepfakes y suplantación con IA, ayuda a confirmar que se interactúa con personas reales y verificadas.
Security Copilot en Entra
Microsoft Security Copilot usa el plugin de Entra para investigar riesgos de identidad con lenguaje natural sobre usuarios, grupos y registros de inicio de sesión y auditoría, encontrar huecos en políticas de acceso y generar flujos de identidad.
Experiencia independiente
En el portal de Security Copilot, con prompts como "muestra los inicios de sesión de riesgo de este usuario" o "dame sus registros de auditoría de las últimas 72 horas".
Experiencia integrada
Dentro del centro de administración de Entra; por ejemplo, el informe de usuarios de riesgo resume el riesgo de un usuario y recomienda cómo mitigarlo.
Cubre Entra ID, ID Protection, ID Governance (revisiones, paquetes de acceso, PIM, flujos de ciclo de vida) e Internet y Private Access. Agentes de Entra, cada uno con su propia identidad de agente:
- Conditional Access Optimization Agent: revisa cada 24 horas (o bajo demanda) las políticas frente a buenas prácticas y Zero Trust y detecta usuarios, apps e identidades de agente sin proteger.
- Identity Risk Management Agent (preview): ayuda a investigar y actuar sobre riesgos de ID Protection.
Qué licencia necesita cada función
| Función | Licencia |
|---|---|
| PIM y PIM para grupos | P2 o ID Governance |
| Capacidades base de revisiones de acceso y administración de derechos | P2 o ID Governance |
| Flujos de trabajo de ciclo de vida, revisiones con aprendizaje automático, asignación automática | ID Governance |
| Términos de uso con acceso condicional | P1 |
| ID Protection y políticas basadas en riesgo | P2 |
| Verified ID básico | Incluido en cualquier suscripción de Entra, también Free |
| Face Check de Verified ID | Complemento; incluido en Entra Suite |
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| Un admin necesita Global Administrator solo cuando lo pida y con aprobación | PIM con asignación elegible | Activación just-in-time con aprobación y justificación. |
| Comprobar cada trimestre si los invitados de un grupo siguen haciendo falta | Revisión de acceso recurrente | Los propietarios del grupo recertifican el acceso. |
| Un nuevo empleado debe pedir en un paso un grupo, una app y un sitio | Paquete de acceso | Administración de derechos agrupa recursos. |
| Crear la cuenta de un empleado antes de su primer día desde el sistema de RR. HH. | Aprovisionamiento entrante + flujos de ciclo de vida | Automatiza el join de join-move-leave. |
| Las credenciales de un usuario aparecen filtradas en internet | Riesgo de usuario (ID Protection) | Indica que la cuenta probablemente está comprometida. |
| Un inicio de sesión desde una IP anónima | Riesgo de inicio de sesión | Afecta a esa solicitud concreta. |
| Una universidad emite títulos verificables digitalmente | Verified ID | Credenciales verificables con emisor, usuario y verificador. |
| Obligar a aceptar un aviso legal antes de abrir una app | Términos de uso en acceso condicional | Se exigen como control de concesión. |
Trampas frecuentes del examen
❓ Un administrador debe obtener Global Administrator solo cuando lo necesite y con aprobación. ¿Qué herramienta?
PIM, con una asignación elegible que requiere activación y aprobación. Las revisiones de acceso recertifican, pero no dan acceso just-in-time.
❓ Credenciales de un usuario aparecen en la dark web. ¿Riesgo de inicio de sesión o de usuario?
Riesgo de usuario: indica que la cuenta está comprometida. IP anónima o viaje atípico son riesgo de inicio de sesión.
❓ ¿Una contraseña incorrecta genera una detección de ID Protection?
No. Solo se generan detecciones cuando se usan credenciales correctas.
❓ ¿Durante una revisión de acceso se quitan permisos a medida que se revisan?
No. Ningún acceso cambia hasta que la revisión termina.
❓ ¿Cuántos días cubre el historial de auditoría de PIM?
Los últimos 30 días de asignaciones y activaciones.
❓ ¿Cómo se obliga a aceptar los términos de uso antes de abrir una app?
Con una política de acceso condicional que exige los términos de uso como control de concesión.
❓ ¿Verified ID requiere una licencia premium?
No. Está incluido en cualquier suscripción de Entra, incluida Free; Face Check es un complemento.
❓ ¿Los flujos de trabajo de ciclo de vida vienen con P2?
No. Requieren Microsoft Entra ID Governance.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una universidad emite títulos digitales que un empleador puede comprobar criptográficamente sin contactar a la universidad. ¿Qué servicio lo permite?
¿Listo para poner a prueba "Gobernanza, PIM e ID Protection"?
Preguntas originales, cada una con su explicación.
Empezar un simulacro