RBAC de Azure: roles, ámbito, asignaciones de acceso y auditoría de cambios

radio_button_uncheckedshort_text1. Acceso seguro sin bloquear el trabajo productivo

Proteger máquinas virtuales, sitios web, redes, almacenamiento y sus datos requiere más que autenticación. Las personas, los socios y las aplicaciones aún necesitan autoridad suficiente para completar el trabajo aprobado. El control de acceso basado en rol de Azure (RBAC de Azure) proporciona la capa de autorización que responde a tres preguntas operativas: quién puede acceder a un recurso de Azure, qué operaciones puede realizar y dónde se aplica ese permiso.

Imagine una consultoría de ingeniería que ha trasladado proyectos a Azure para que varias oficinas y empresas asociadas puedan colaborar. El equipo de TI debe mantener protegidos los activos compartidos y al mismo tiempo otorgar a cada participante solo el acceso requerido por el proyecto. Este capítulo convierte ese escenario en un flujo de trabajo de gestión de acceso repetible.

• Verifique su propio acceso e investigue el acceso efectivo de otra entidad de seguridad.
• Seleccione un rol adecuado y otórguelo en el ámbito práctico más limitado.
• Eliminar el acceso cuando ya no esté justificado.
• Utilice el registro de actividad de Azure para revisar la asignación de roles y los cambios de roles personalizados.

radio_button_uncheckedshort_text2. Autenticación, identidad y autorización en Azure

Microsoft Entra ID establece la identidad y admite el inicio de sesión, el inicio de sesión único, los usuarios, los grupos, las entidades de servicio y las identidades administradas. RBAC de Azure utiliza esas identidades para autorizar operaciones en recursos de Azure. La autenticación demuestra quién o qué realiza la llamada; la autorización decide si esa entidad puede ejecutar la acción solicitada en el ámbito de destino.

Cada suscripción de Azure confía en un inquilino de Microsoft Entra. Las entidades de seguridad de ese directorio pueden recibir asignaciones de roles de Azure para la suscripción y sus descendientes. Las organizaciones híbridas pueden sincronizar o aprovisionar identidades de trabajo desde Active Directory local mediante Microsoft Entra Connect u otros métodos admitidos. Deshabilitar la cuenta de origen y revocar sus sesiones elimina su identidad utilizable en la nube, pero los administradores también deben eliminar las asignaciones obsoletas para que no permanezcan entradas Identidad no encontrada.

radio_button_uncheckedshort_text3. Distinga los roles de Azure, los roles de Microsoft Entra y los administradores clásicos

Los roles de Azure gobiernan recursos de Azure mediante Azure Resource Manager. Los roles de Microsoft Entra gobiernan recursos del directorio, como usuarios, grupos, aplicaciones empresariales y configuraciones del inquilino. Los administradores de suscripción clásicos pertenecen a un modelo de autorización anterior y no deben confundirse con ninguno de los sistemas modernos.

Una suscripción está asociada a un inquilino de Microsoft Entra, contiene grupos de recursos y cada recurso pertenece a un solo grupo. Los roles asignados en un ámbito principal pueden heredarse en los ámbitos secundarios. La autoridad del directorio no concede automáticamente autoridad sobre recursos de Azure, y un rol de recursos de Azure no concede automáticamente administración del directorio.

radio_button_uncheckedshort_text4. Qué permite el RBAC de Azure

RBAC de Azure proporciona una gestión de acceso detallada además de Azure Resource Manager. Permite que un equipo de plataforma separe tareas sin crear una lista de permisos única para cada persona.

• Permita que un operador administre máquinas virtuales mientras otro administra redes virtuales en la misma suscripción.
• Otorgue a un grupo de administradores de bases de datos el control de las bases de datos SQL sin otorgar permisos de recursos no relacionados.
• Permita que un equipo de proyecto administre todos los recursos dentro de un grupo de recursos, pero nada fuera de él.
• Otorgue a una aplicación o a una identidad administrada acceso a los recursos que necesita para la automatización.
• Proporcione acceso de solo lectura para auditores y acceso operativo para equipos de soporte.
• Delegue la administración del acceso con un rol privilegiado y, cuando sea compatible, una condición restrictiva de asignación de roles.

radio_button_uncheckedshort_text5. El quién, el qué y el dónde de la asignación de roles

El acceso se concede mediante la creación de una asignación de rol. Cada asignación une una entidad de seguridad, una definición de rol y un ámbito. Piense en estos elementos como quién recibe acceso, qué permisos se conceden y dónde son válidos. Al eliminar la asignación, se revoca esa concesión.

Una asignación de rol actual también puede incluir una descripción, una condición opcional y, cuando se aplican las capacidades y licencias de Microsoft Entra PIM, un tipo de asignación elegible, activa, permanente o limitada por tiempo. Estos controles refinan la concesión, pero no reemplazan los tres elementos centrales.

radio_button_uncheckedshort_text6. Entidades de seguridad: usuarios, grupos e identidades de carga de trabajo

Las asignaciones de roles a grupos son transitivas: un usuario puede recibir acceso mediante la pertenencia a grupos anidados cuando el modelo lo admite. Para infraestructura como código, utilice el identificador de objeto de la entidad e indique correctamente su tipo. Al eliminar una entidad no se eliminan automáticamente sus asignaciones, por lo que las revisiones de acceso deben limpiar las asignaciones huérfanas.

radio_button_uncheckedshort_text7. Definiciones de roles y campos de permisos

Una definición de rol es una colección de permisos con nombre. Microsoft mantiene las definiciones integradas; las definiciones personalizadas permiten que una organización agrupe permisos específicos cuando ningún rol integrado es adecuado. Una definición puede reutilizarse en muchas asignaciones y ámbitos.

{
  "Name": "Virtual Machine Restart Operator",
  "Actions": [
    "Microsoft.Compute/virtualMachines/read",
    "Microsoft.Compute/virtualMachines/restart/action"
  ],
  "NotActions": [],
  "DataActions": [],
  "NotDataActions": [],
  "AssignableScopes": ["/subscriptions/<subscription-id>"]
}

Los permisos efectivos del rol comienzan con Actions menos NotActions y DataActions menos NotDataActions. Como RBAC de Azure es aditivo, otra asignación aún puede conceder una operación eliminada por NotActions. Utilice asignaciones de denegación solo en los escenarios administrados por Azure que las admitan; NotActions configura un rol, pero no es una regla de denegación.

radio_button_uncheckedshort_text8. Roles integrados fundamentales y privilegios mínimos

La exportación suministrada menciona alternativamente más de 70 y más de 200 roles integrados. La lista actual de Microsoft describe más de 120. El número exacto cambia cuando los servicios agregan o retiran roles; por eso, la habilidad de examen consiste en seleccionar el rol integrado adecuado y más limitado, no en memorizar una cifra.

Para el escenario del ejercicio, es preferible Colaborador de la máquina virtual a Colaborador porque apunta a la administración de máquinas virtuales y no permite la asignación de roles. Tampoco otorga automáticamente la administración de la red virtual o la cuenta de almacenamiento adjunta a la VM. Inspeccione siempre la definición actual antes de la asignación.

radio_button_uncheckedshort_text9. Jerarquía de ámbito, herencia y radio de impacto

RBAC de Azure admite cuatro niveles de ámbito, de amplio a limitado: grupo de administración, suscripción, grupo de recursos y recurso. Los ámbitos secundarios elegibles heredan las concesiones de sus ámbitos principales. Por tanto, un rol en la suscripción llega a sus grupos de recursos y recursos; un rol en un recurso afecta solo a ese recurso.

El privilegio mínimo se aplica a los permisos y al ámbito. Si un administrador necesita una máquina virtual, asigne el rol adecuado en esa VM, no en el grupo de recursos. Si un desarrollador necesita administrar por completo un grupo de recursos, asigne el rol adecuado en ese ámbito, no en la suscripción.

radio_button_uncheckedshort_text10. Cómo se evalúa el acceso efectivo

RBAC de Azure es principalmente un modelo de permisos aditivo. Si una asignación permite leer y otra permite escribir en el mismo destino, la entidad recibe ambas capacidades. La pertenencia a varios grupos y las asignaciones heredadas pueden aportar permisos. Una asignación Lector más limitada no reduce el acceso Colaborador heredado de un ámbito principal.

1. La entidad que llama obtiene un token que representa su identidad y pertenencia a grupos.
2. Azure Resource Manager encuentra las asignaciones de roles y de denegación aplicables al destino.
3. Una asignación de denegación aplicable bloquea la acción; de lo contrario, la evaluación continúa.
4. Los roles aplicables se combinan, incluidas las concesiones heredadas y basadas en grupos.
5. Actions menos NotActions y DataActions menos NotDataActions producen los permisos del rol.
6. Cualquier condición de asignación de roles se evalúa para la acción y el contexto solicitados.
7. La operación solo se permite cuando queda una concesión aplicable y se cumplen todas las condiciones necesarias.

radio_button_uncheckedshort_text11. Control de acceso (IAM) en Microsoft Azure Portal

Control de acceso (IAM) aparece en los ámbitos de grupo de administración, suscripción, grupo de recursos y recurso de Microsoft Azure Portal. Es el área principal para comprobar el acceso, revisar asignaciones, ver definiciones de roles, conceder acceso y quitarlo.

• Comprobar acceso: inspeccione sus asignaciones efectivas o las de otra entidad, incluidas las heredadas en el ámbito seleccionado.
• Asignaciones de roles: enumere quién tiene cada rol, el origen del ámbito, el tipo de asignación, la condición y otros detalles.
• Roles: enumera definiciones integradas y personalizadas y abre sus permisos y asignaciones.
• Asignaciones de denegación: inspeccione las restricciones protegidas por el sistema cuando estén presentes.
• Administradores clásicos: revise los administradores de suscripciones heredados donde la pestaña aún se aplica.

Las etiquetas del portal evolucionan. El ejercicio exportado utiliza Perfil > Mis permisos. La documentación actual destaca abrir el recurso de destino, seleccionar Control de acceso (IAM), abrir Comprobar acceso y elegir Ver mi acceso. Ambos caminos expresan el mismo objetivo: enumerar los roles y ámbitos que se aplican actualmente al usuario.

radio_button_uncheckedshort_text12. Ejercicio: verifica tu propio acceso

Necesita una suscripción de Azure y permiso para ver el ámbito seleccionado. Las personas elegibles pueden utilizar una cuenta gratuita de Azure o una suscripción Azure for Students; las ofertas y condiciones pueden cambiar.

1. Inicie sesión en Microsoft Azure Portal y abra el grupo de administración, suscripción, grupo de recursos o recurso que desea inspeccionar.
2. Seleccione Control de acceso (IAM) y luego abra Comprobar acceso.
3. Seleccione Ver mi acceso. Si Microsoft Entra PIM está integrado, inspeccione las asignaciones activas, elegibles y con plazos determinados en la pestaña correspondiente.
4. Registre el nombre del rol, el ámbito de la asignación, si se hereda, cualquier condición y si se requiere activación.
5. Si utiliza la entrada Mis permisos a nivel de perfil disponible en su experiencia de portal, compare su resultado orientado a suscripción con la vista IAM del recurso seleccionado.

radio_button_uncheckedshort_text13. Ejercicio: enumerar el acceso de un grupo de recursos

1. Busque grupos de recursos en el portal y abra el grupo objetivo, como un grupo de formación denominado grupo de ejemplo.
2. Seleccione Control de acceso (IAM) y abra Asignaciones de roles.
3. Compare las asignaciones cuyo ámbito sea Este recurso con entradas heredadas de la suscripción o del grupo de administración.
4. Utilice filtros por rol, tipo de entidad, ámbito o tipo de asignación para aislar el resultado necesario.
5. Abra Comprobar acceso al investigar un usuario, grupo, entidad de servicio o identidad administrada.

Una asignación creada en el grupo de recursos se aplica a los recursos que contiene. Una asignación heredada se creó por encima del grupo y debe cambiarse o eliminarse en su ámbito original. No intente eliminar una asignación heredada desde la vista secundaria.

radio_button_uncheckedshort_text14. Ejercicio: inspeccionar roles y sus asignaciones

1. Desde Control de acceso (IAM), abra la pestaña Roles para enumerar las definiciones de roles integradas y personalizadas disponibles en el ámbito seleccionado.
2. Filtrar por nombre, descripción, tipo o categoría. Abra Ver en la columna Detalles de un rol.
3. Revise los permisos para comprender Actions, NotActions, DataActions y NotDataActions.
4. Abra Asignaciones para ver cuántos usuarios, grupos e identidades de carga de trabajo reciben ese rol y en qué ámbitos.

Los nombres de roles por sí solos no bastan para tomar una decisión de seguridad. Los roles de servicio pueden incluir operaciones inesperadas en el plano de control o de datos, y las definiciones integradas pueden evolucionar. Revise la lista actual de permisos y el ámbito de la asignación antes de aprobarla.

radio_button_uncheckedshort_text15. Ejercicio: otorgar acceso a Colaborador de la máquina virtual

El escenario requiere que un colega cree y administre máquinas virtuales de un proyecto. El diseño de privilegios mínimos usa Colaborador de la máquina virtual en el grupo de recursos del proyecto, suponiendo que todas sus VM estén incluidas. Para crear la asignación, el administrador necesita Microsoft.Authorization/roleAssignments/write, disponible mediante roles como Administrador de control de acceso basado en roles o Administrador de acceso de usuario.

1. Abra el grupo de recursos de destino y seleccione Control de acceso (IAM) > Asignaciones de roles.
2. Seleccione Agregar > Agregar asignación de roles. Un comando deshabilitado indica que la persona que llama actualmente carece de permiso de asignación.
3. En Función, busque Colaborador de la máquina virtual, inspeccione sus detalles, selecciónelo y continúe.
4. En Miembros, elija Usuario, grupo o entidad de servicio, seleccione miembros, busque al colega y agregue la selección.
5. Agregue una descripción concisa que explique el proyecto y su aprobación. Si aparece una pestaña Condiciones o Tipo de asignación, configure solo lo que requieren el diseño de acceso y la licencia.
6. En Revisar + asignar, verifique la entidad, el rol, el ámbito, la condición, el tipo y la duración; después, confirme la asignación.
7. Regrese a Asignaciones de roles o Comprobar acceso y confirme que la nueva concesión aparece en el ámbito previsto.

radio_button_uncheckedshort_text16. Quitar el acceso y limpiar asignaciones

El acceso se revoca eliminando la asignación de rol que lo concede. En Asignaciones de roles del ámbito seleccionado, localice la entidad y el rol, seleccione la asignación, elija Quitar o Eliminar y confirme. Si la entrada se hereda, navegue hasta el ámbito principal donde se creó.

Eliminar una asignación puede no quitar el acceso efectivo, ya que otra asignación directa, heredada, basada en grupo, elegible o limitada por tiempo aún puede conceder la operación. Vuelva a comprobar el acceso de la entidad después de la limpieza. La propagación de tokens y cachés también puede retrasar el resultado; por eso, no trate una actualización inmediata del portal como única validación.

radio_button_uncheckedshort_text17. Auditar los cambios del RBAC de Azure con el registro de actividad de Azure

Los cambios en las asignaciones de roles y las definiciones de roles personalizados de una suscripción son operaciones de administración registradas en el registro de actividad de Azure. El registro resulta útil para auditorías y solución de problemas porque muestra la operación, la entidad que llama, el ámbito de destino, la marca de tiempo, el estado y detalles relacionados.

El registro de actividad de Azure conserva los eventos de suscripción durante 90 días de forma predeterminada. Para ampliar la retención, centralizar el análisis o correlacionar otras señales, expórtelo mediante la configuración de diagnóstico a un área de trabajo de Log Analytics, Azure Storage o Azure Event Hubs, según corresponda.

radio_button_uncheckedshort_text18. Ejercicio: producir un informe de cambios RBAC de Azure

1. En el portal, abra Monitor o Todos los servicios y seleccione Registro de actividad.
2. Elija la suscripción y configure Timespan en el intervalo requerido, como Último mes. Un informe de la última semana debe utilizar el intervalo correspondiente de siete días.
3. Filtre la categoría de Evento a Administrativo cuando sea necesario, luego agregue un filtro de Operación y busque el rol.
4. Seleccione Crear asignación de roles, Eliminar asignación de roles, Crear o actualizar definición de roles personalizados y Eliminar definición de roles personalizados.
5. Abra un evento para inspeccionar su resumen y detalles JSON, incluida la entidad que llama, la acción, el ámbito, la marca de tiempo y el estado.
6. Utilice Descargar como CSV para obtener un informe sencillo en un momento dado. Para obtener informes duraderos, envíe el registro a Registros de Azure Monitor y consulte la tabla AzureActivity.

AzureActivity
| where TimeGenerated > ago(30d)
| where Authorization has "Microsoft.Authorization/roleAssignments"
   or Authorization has "Microsoft.Authorization/roleDefinitions"
| project TimeGenerated, Caller, OperationNameValue, ActivityStatusValue, ResourceId
| order by TimeGenerated desc

radio_button_uncheckedshort_text19. Solucionar problemas de acceso metódicamente

radio_button_uncheckedshort_text20. Verificación de conocimientos: conceptos básicos de RBAC de Azure

radio_button_uncheckedshort_text21. Decisiones de exámenes y trampas comunes

• Una definición de rol es la plantilla de permisos; una asignación vincula esa plantilla a una entidad de seguridad en un ámbito.
• Colaborador administra recursos pero no puede delegar el acceso a RBAC de Azure.
• Lector en un ámbito secundario no reduce Colaborador heredado de un ámbito principal porque las concesiones son acumulativas.
• NotActions resta de una definición de rol; no es una negación explícita en todas las asignaciones.
• Los roles de Azure administran recursos de Azure; los roles de Microsoft Entra administran recursos del directorio.
• Para investigar a una persona en un recurso, comience con Control de acceso (IAM) > Comprobar acceso en ese recurso.
• Para enumerar las asignaciones actuales, utilice Asignaciones de roles; para informar cambios a lo largo del tiempo, utilice el registro de actividad de Azure.
• El rol y el ámbito suficientes más limitados suelen ser la respuesta de privilegios mínimos.

radio_button_uncheckedshort_text22. Resumen, recuperación activa y recursos oficiales

RBAC de Azure protege recursos de Azure combinando una entidad de seguridad, una definición de rol y un ámbito en una asignación. El acceso efectivo puede incluir concesiones directas, heredadas, basadas en grupos, condicionales y limitadas por tiempo. Los administradores comprueban el acceso en Control de acceso (IAM), conceden y quitan asignaciones deliberadamente y utilizan el registro de actividad de Azure para rastrear cambios.

Lista de verificación de recuperación activa

• ¿Puedes explicar la autenticación versus la autorización sin usar la misma definición dos veces?
• ¿Puede identificar quién, qué y dónde en una solicitud de acceso desconocida?
• ¿Se puede predecir el acceso heredado en los cuatro niveles de ámbito?
• ¿Puedes distinguir Actions, NotActions, DataActions y NotDataActions?
• ¿Puedes elegir entre Comprobar acceso, Asignaciones de roles, Roles y Registro de actividad?
• ¿Puede explicar por qué eliminar una asignación podría no eliminar el acceso efectivo?

Documentación oficial

• ¿Qué es control de acceso basado en rol de Azure (RBAC de Azure)?
• Comprender las asignaciones de roles de Azure
• Comprender el ámbito de RBAC de Azure
• Listar definiciones de funciones de Azure
• Comprobar el acceso de un usuario a un recurso Azure
• Asignar roles de Azure mediante el portal
• Ver cambios de RBAC de Azure en registros de actividad