Diseño empresarial de identidad y acceso

En los entornos empresariales de Azure, la administración de identidades y acceso debe escalar a cientos de suscripciones, miles de usuarios y decenas de equipos, todos con diferentes necesidades de acceso a los recursos. Un modelo de identidad bien diseñado evita tanto la asignación excesiva de permisos (usuarios con demasiado acceso) como la asignación insuficiente de permisos (usuarios que no pueden realizar su trabajo). La base es Microsoft Entra ID, combinado con Azure RBAC y herramientas de gobernanza como Privileged Identity Management (PIM).

Azure Role-Based Access Control (RBAC) concede acceso mediante tres componentes:

• Entidad de seguridad — quién (usuario, grupo, entidad de servicio o identidad administrada)
• Definición de rol — qué (un conjunto de acciones permitidas, por ejemplo, 'Contributor')
• Ámbito — dónde (grupo de administración, suscripción, grupo de recursos o recurso individual)

La combinación de estos tres elementos crea una asignación de roles. Los roles se heredan a lo largo de la jerarquía: un rol asignado en un grupo de administración se aplica a todas las suscripciones que dependen de él.

Azure proporciona más de 100 roles integrados para escenarios habituales (Owner, Contributor, Reader y roles específicos de servicios). Para la mayoría de los casos de uso empresariales, los roles integrados son suficientes. Sin embargo, cuando necesita permisos que no coinciden con ningún rol integrado —por ejemplo, un rol que pueda leer máquinas virtuales, pero no eliminarlas— puede crear un rol personalizado con los permisos exactos necesarios, siguiendo el principio de mínimo privilegio.

Asigne roles a grupos de Entra ID en lugar de a usuarios individuales siempre que sea posible. Cuando asigna un rol a un grupo, todos sus miembros heredan el rol. Agregar o quitar acceso se reduce entonces a agregar o quitar un usuario del grupo, sin modificar asignaciones de roles en varios ámbitos. Esto reduce considerablemente la carga administrativa y garantiza que el acceso sea coherente entre los miembros del equipo que desempeñan la misma función.

Privileged Identity Management (PIM) es un servicio de Entra ID que proporciona acceso privilegiado just-in-time (JIT) a los recursos de Azure y a los roles de Entra ID. En lugar de disponer permanentemente de acceso de Owner o Global Administrator, los usuarios son elegibles para los roles privilegiados y deben solicitar su activación cuando necesitan un acceso elevado. La activación puede requerir MFA, una justificación y la aprobación de un aprobador designado.

PIM proporciona varias ventajas de seguridad para los entornos empresariales:

• Reducción de la superficie de ataque — no existen cuentas de administrador permanentes que puedan verse comprometidas
• Registro de auditoría — cada activación se registra con la marca de tiempo, la justificación y el aprobador
• Revisiones de acceso — PIM admite revisiones periódicas en las que los responsables confirman qué usuarios deben seguir siendo elegibles
• Acceso limitado en el tiempo — incluso el acceso aprobado caduca automáticamente, lo que evita que se olviden permisos elevados

Un modelo RBAC empresarial bien diseñado suele tener estas capas:

• Nivel de grupo de administración — acceso amplio de visualización para los equipos de gobernanza; asignaciones de directivas
• Nivel de suscripción — acceso de Contributor a nivel de equipo para los equipos de aplicaciones que administran una suscripción
• Nivel de grupo de recursos — roles específicos del servicio (por ejemplo, Storage Blob Contributor para una aplicación que solo necesita acceso a blobs)
• Nivel de recurso — únicamente para casos excepcionales en los que se necesita un control detallado

Las aplicaciones y los procesos automatizados no deben usar cuentas de usuario para autenticarse en Azure. En su lugar, use:

• Entidades de servicio: registros de aplicaciones en Entra ID con un identificador de cliente y un secreto o certificado; se utilizan en canalizaciones de CI/CD y procesos de automatización locales
• Identidades administradas: credenciales administradas automáticamente para recursos hospedados en Azure (VM, App Service, AKS); no es necesario administrar ni rotar secretos

Asigne los roles de RBAC mínimos necesarios a las entidades de servicio y las identidades administradas.

Las políticas de acceso condicional de Entra ID aportan inteligencia a las decisiones de autenticación. Para administrar recursos de Azure, puede exigir que el acceso de administrador (portal de Azure, CLI) solo se permita desde:

• Dispositivos compatibles (administrados por Intune)
• Ubicaciones con nombre (red corporativa o VPN)
• Después de MFA (aplicado siempre para acciones con privilegios)

Combinar el acceso condicional con PIM crea una postura de seguridad muy sólida para el acceso administrativo a Azure.

Las revisiones de acceso de Entra ID permiten a los administradores validar periódicamente que los usuarios sigan necesitando el acceso que se les ha concedido. Las revisiones se pueden delegar a los propietarios de recursos o a los responsables, quienes responden «Sí, esta persona todavía necesita acceso» o «No, quite este acceso» para cada usuario. Las revisiones de acceso se pueden programar trimestralmente y automatizar la eliminación del acceso que ya no esté aprobado, evitando la acumulación de permisos con el tiempo.

Toda empresa debe mantener al menos dos cuentas de acceso de emergencia (break-glass): cuentas de Administrador global que no están protegidas por el acceso condicional ni por requisitos de MFA (en su lugar, utilizan claves de hardware FIDO2). Estas cuentas solo se usan cuando Entra ID o los sistemas de MFA no están disponibles y no se puede acceder a las cuentas de administrador habituales. El uso de una cuenta de acceso de emergencia debe activar alertas de seguridad inmediatas y someterse a una auditoría rigurosa.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) tratados en esta lección.

En esta lección ha aprendido que el RBAC empresarial utiliza asignaciones basadas en grupos en los ámbitos de grupo de administración, suscripción y grupo de recursos; Privileged Identity Management proporciona acceso Just-In-Time para eliminar los roles de administrador permanentes; y las identidades administradas y las entidades de servicio deben utilizarse para la autenticación de aplicaciones en lugar de cuentas de usuario. ¡Enhorabuena! Ha completado la sección de arquitectura y gobernanza empresarial del itinerario AZ-900.