Mínimo privilegio en Microsoft Entra ID, en la práctica
Demasiados administradores globales y roles permanentes. Cómo aplicar el mínimo privilegio en Microsoft Entra ID con roles específicos, PIM y cuentas break-glass.
- entra-id
- iam
- minimo-privilegio
- pim
- azure
- microsoft-365
El principio de mínimo privilegio dice que cada cuenta tiene solo los permisos que necesita, durante el tiempo que los necesita. En Microsoft Entra ID (el antiguo Azure AD) eso se traduce en tres cosas concretas: usar roles específicos en vez de Administrador global, que los roles privilegiados sean temporales con PIM y tener cuentas de emergencia que funcionen cuando todo lo demás falla.
Es lo mismo que revisaba en Active Directory con Domain Admins, pero en la nube el radio de impacto es mayor: un administrador global controla el correo, los ficheros de SharePoint y OneDrive, las identidades y, con un clic, las suscripciones de Azure.
Cuántos administradores globales son demasiados
Microsoft recomienda menos de cinco administradores globales por inquilino. Lo habitual es lo contrario: el técnico que montó el inquilino, el proveedor que hizo la migración, el director que lo pidió "por si acaso" y alguna cuenta de servicio que nadie sabe para qué es.
Para sacarlos rápido, desde PowerShell con Microsoft Graph:
Connect-MgGraph -Scopes RoleManagement.Read.Directory
$rol = Get-MgDirectoryRole -Filter "displayName eq 'Global Administrator'"
Get-MgDirectoryRoleMember -DirectoryRoleId $rol.IdRoles específicos en lugar de Administrador global
Casi nadie necesita Administrador global para su trabajo diario. Las tareas habituales tienen su rol:
| Tarea | Rol suficiente |
|---|---|
| Resetear contraseñas | Helpdesk Administrator |
| Crear usuarios y grupos | User Administrator |
| Gestionar buzones | Exchange Administrator |
| Revisar alertas | Security Reader / Operator |
| Licencias | License Administrator |
| Políticas de acceso condicional | Conditional Access Administrator |
Un detalle que se pasa por alto: los permisos que tiene un usuario para consentir aplicaciones. Si cualquiera puede dar permisos de lectura de correo a una app OAuth, el mínimo privilegio en roles se queda corto. Conviene restringir el consentimiento a editores verificados o a un flujo de aprobación.
PIM: privilegio solo cuando hace falta
Privileged Identity Management convierte los roles en elegibles en vez de activos. La persona no es administradora hasta que lo pide, justifica el motivo, pasa MFA y, si se configura, alguien lo aprueba. Al cabo de unas horas el rol caduca solo.
Para el SOC, la ventaja es que una cuenta comprometida sin rol activo no puede hacer casi nada, y cada activación queda registrada con su justificación. Una activación de Administrador global a las tres de la mañana es una alerta muy fácil de escribir.
PIM requiere licencia Entra ID P2 (o Entra ID Governance). Si no la hay, al menos separa la cuenta de administración de la cuenta diaria con la que se lee el correo y se navega.
Cuentas de emergencia (break-glass)
Dos cuentas cloud-only, sin buzón, con Administrador global permanente, excluidas de las políticas de acceso condicional que podrían dejarte fuera, y protegidas con llave FIDO2 física. Microsoft recomienda dos, con credenciales separadas.
Lo que casi nadie hace: probarlas cada pocos meses y tener una alerta que salte cada vez que una de ellas inicia sesión. Si se usan y nadie se entera, son la puerta trasera perfecta.
Preguntas frecuentes
¿Qué es el principio de mínimo privilegio?
Conceder a cada usuario, aplicación o servicio solo los permisos imprescindibles para su función y durante el tiempo justo. Reduce lo que puede hacer un atacante con una cuenta robada.
¿PIM sustituye al MFA?
No, lo complementa. PIM puede exigir MFA en cada activación, y lo ideal es que sea MFA resistente a phishing.
¿Cada cuánto revisar los roles asignados?
Como mínimo trimestralmente, y siempre que alguien cambie de puesto o se vaya. Es el mismo problema que el ciclo joiner-mover-leaver, aplicado a privilegios.