Acceso Condicional, RBAC y Acceso Seguro a los Recursos

radio_button_uncheckedshort_text Introducción

Los primeros entornos corporativos protegían los recursos principalmente con fronteras físicas y de red. Estar conectado a la red interna significaba, muchas veces, recibir un nivel elevado de confianza. Con la expansión de internet, la computación en la nube, el trabajo remoto y los dispositivos móviles, esa suposición se volvió frágil: los usuarios legítimos acceden a los recursos desde cualquier lugar, mientras que los atacantes pueden operar desde dentro de una cuenta comprometida. La respuesta moderna fue mover la decisión de acceso a un conjunto de señales de identidad, dispositivo, riesgo y contexto.

Para el lector, dominar este tema significa aprender a transformar una autenticación correcta en una decisión de acceso proporcional al riesgo. Para la sociedad, los controles adaptativos reducen el fraude, las filtraciones y las interrupciones sin obligar a todas las personas a enfrentar el mismo nivel de fricción en todas las situaciones. En lugar de confiar ciegamente en una ubicación, la organización puede verificar explícitamente cada solicitud y conceder solo lo necesario.

A lo largo de este capítulo, tres preguntas orientarán la lectura: quién puede iniciar sesión, qué puede administrar esa identidad y por qué camino se accederá al recurso. El Acceso condicional responde a la primera pregunta con directivas contextuales; RBAC responde a la segunda con roles y ámbitos; Global Secure Access amplía la tercera al converger identidad y seguridad de red. Esta separación es la clave para comprender el tema y acertar las preguntas de escenario en el SC-900.

radio_button_uncheckedshort_text 1. De la confianza en la red al acceso orientado por identidad

En el modelo tradicional, los firewalls, los segmentos internos y las VPN concentraban la protección en la frontera de la red. Una vez dentro, el usuario frecuentemente alcanzaba varios sistemas. Este diseño funcionaba mejor cuando las aplicaciones y las estaciones estaban en el mismo edificio o centro de datos. En la nube, los recursos pueden estar distribuidos entre Microsoft 365 , Azure , aplicaciones SaaS, centros de datos locales y otras nubes. La dirección de red, por sí sola, ya no prueba quién está usando el dispositivo ni si la sesión sigue siendo segura.

El modelo Zero Trust sustituye la confianza implícita por tres principios: comprobar explícitamente, usar privilegios mínimos y asumir la vulneración. Comprobar explícitamente significa considerar identidad, método de autenticación, dispositivo, aplicación, red, riesgo y sensibilidad del recurso. Los privilegios mínimos limitan lo que la identidad puede hacer. Asumir la vulneración lleva a supervisar sesiones y reducir el alcance de una credencial o un token comprometido.

Idea central

La red sigue siendo importante, pero deja de ser la única frontera. La decisión moderna combina identidad, contexto y recurso, y puede cambiar según el riesgo de la solicitud.

radio_button_uncheckedshort_text 2. Autenticación, Acceso condicional y autorización

La autenticación confirma la identidad. El Acceso condicional evalúa si la solicitud debe continuar y qué requisitos adicionales deben cumplirse. La autorización determina las acciones permitidas en el recurso. Estos mecanismos se complementan, pero no son equivalentes. Un usuario puede probar quién es, satisfacer MFA y aun así recibir acceso de solo lectura debido a su rol. También puede tener un rol administrativo, pero quedar bloqueado porque el dispositivo no es compatible.

radio_button_uncheckedshort_text 3. Qué es Microsoft Entra Conditional Access

Microsoft Entra Conditional Access , o Acceso condicional , es el motor de directivas Zero Trust de Microsoft Entra ID . Reúne señales sobre la solicitud, toma una decisión y aplica controles. La forma más simple de describirlo es una declaración "si... entonces...": si una identidad determinada intenta acceder a un recurso determinado en un contexto determinado, entonces bloquea, concede con requisitos adicionales o limita la sesión.

La evaluación ocurre después de que se completa la autenticación de primer factor. Esto significa que el Acceso condicional no sustituye a las credenciales ni funciona como defensa principal contra ataques de denegación de servicio. Usa la identidad ya presentada y otras señales para decidir si el inicio de sesión puede continuar. Este orden es importante en las preguntas de examen: primero hay un intento autenticado; después se evalúan las directivas; por último el recurso aplica la autorización y los controles de sesión.

radio_button_uncheckedshort_text 4. Anatomía de una directiva: asignaciones y controles

Una directiva tiene dos grandes lados. Las asignaciones definen a quién y a qué se aplica la directiva, incluidas identidades, recursos de destino y condiciones. Los controles de acceso definen el resultado: bloquear, conceder con requisitos o restringir la sesión. Para que una directiva sea aplicable, sus asignaciones deben corresponder al escenario de inicio de sesión.

En una directiva simple, un administrador selecciona usuarios o grupos, elige una aplicación y exige MFA . En una directiva más refinada, puede incluir todas las identidades administrativas, excluir cuentas de emergencia, aplicar solo al portal de administración, evaluar red y dispositivo, y exigir una fortaleza de autenticación resistente a phishing.

radio_button_uncheckedshort_text 5. Identidades incluidas y excluidas

La directiva puede dirigirse a todos los usuarios, personas específicas, grupos, roles de directorio, invitados y usuarios externos. Determinados escenarios también permiten directivas para identidades de carga de trabajo, como entidades de servicio, con las características y la licencia adecuadas. El ámbito debe ser lo bastante amplio para cubrir el riesgo, pero lo bastante controlado para poder probarse.

Las exclusiones deben usarse con intención. Una práctica crítica es mantener las cuentas de acceso de emergencia, conocidas como break-glass, fuera de las directivas capaces de bloquear a todos los administradores. Estas cuentas no son atajos para el uso cotidiano: deben estar muy protegidas, supervisadas y usarse solo para la recuperación. Las cuentas de servicio y de sincronización también requieren análisis, porque los flujos no interactivos pueden no satisfacer los controles diseñados para personas.

Trampa común

Excluir a demasiados usuarios para evitar problemas reduce la cobertura de la directiva. No excluir a nadie en una directiva de bloqueo puede causar un bloqueo total. El objetivo es usar exclusiones mínimas, justificadas y supervisadas.

radio_button_uncheckedshort_text 6. Recursos de destino y acciones protegidas

Los recursos de destino son las aplicaciones, los servicios o las acciones a los que se aplicarán los controles. Microsoft Entra permite seleccionar todos los recursos, aplicaciones específicas, aplicaciones integradas, aplicaciones publicadas por Application Proxy y otros destinos compatibles. El término actual "recursos de destino" sustituye a referencias más antiguas a "aplicaciones en la nube", pero la idea permanece: la directiva necesita saber qué se está protegiendo.

También es posible proteger acciones, como el registro de información de seguridad, y usar el contexto de autenticación para elevar la protección de una operación sensible dentro de una aplicación. Global Secure Access agrega perfiles de reenvío de tráfico como destinos, lo que permite aplicar controles al tráfico de Microsoft, de internet y de recursos privados.

radio_button_uncheckedshort_text 7. Condiciones: el contexto de la solicitud

Las condiciones refinan cuándo se activará una directiva. No conceden permiso; describen el contexto que hace que la directiva sea relevante. Cuantas más señales se combinan, más específica se vuelve la decisión. Sin embargo, una directiva excesivamente compleja es difícil de probar y solucionar. En los proyectos reales, es común preferir directivas más pequeñas, con un objetivo claro y una nomenclatura coherente.

radio_button_uncheckedshort_text 8. La ubicación no es sinónimo de seguridad

El Acceso condicional puede usar intervalos de IP , países, regiones y ubicaciones con nombre. Una ubicación puede marcarse como de confianza, pero eso no convierte automáticamente en seguro todo acceso originado allí. Las direcciones pueden compartirse, las redes pueden comprometerse y los usuarios pueden trabajar fuera de la oficina. La ubicación debe ser una señal adicional, no una prueba absoluta de identidad.

Una directiva puede bloquear países donde la organización no opera o exigir MFA fuera de las redes conocidas. Aun así, las decisiones más fuertes combinan la ubicación con el método de autenticación, el cumplimiento del dispositivo y el riesgo. Global Secure Access agrega la idea de una red compatible, que comprueba que el tráfico pasó por el servicio del inquilino y por sus directivas de red.

radio_button_uncheckedshort_text 9. Riesgo de usuario y riesgo de inicio de sesión

El riesgo de usuario expresa la probabilidad de que la identidad haya sido comprometida, por ejemplo tras la detección de credenciales filtradas o de un comportamiento anómalo. El riesgo de inicio de sesión expresa la probabilidad de que una solicitud específica no la haya hecho el propietario legítimo. Ambas son señales producidas por Microsoft Entra ID Protection y requieren las características de licencia correspondientes para las directivas basadas en riesgo.

Una organización puede exigir MFA cuando el riesgo de inicio de sesión es medio o alto y solicitar un cambio seguro de contraseña cuando el riesgo de usuario indica un compromiso. El control de cambio de contraseña tiene combinaciones y requisitos específicos; en el nivel fundamental, memoriza el objetivo: MFA vuelve a probar la identidad ante un inicio de sesión sospechoso, mientras que el cambio seguro de contraseña ayuda a corregir una cuenta comprometida.

radio_button_uncheckedshort_text 10. Controles de concesión

Los controles de concesión determinan qué debe ocurrir para que se permita el acceso. El administrador puede bloquear directamente o conceder con uno o más requisitos. Cuando se seleccionan varios controles dentro de la misma directiva, es posible exigir todos o al menos uno, según la configuración. Además, varias directivas pueden alcanzar el mismo inicio de sesión y todas las directivas aplicables deben cumplirse.

radio_button_uncheckedshort_text 11. Dispositivo compatible y dispositivo unido híbrido

Un dispositivo compatible es evaluado por una solución de administración, normalmente Microsoft Intune , según reglas como la versión del sistema, el cifrado, el bloqueo de pantalla y la ausencia de amenazas. Intune envía el estado a Microsoft Entra ID , y el Acceso condicional usa esa señal. La directiva no corrige el dispositivo; exige que el requisito de cumplimiento ya se cumpla.

Un dispositivo unido híbrido de Microsoft Entra tiene una relación con el Active Directory local y un registro en Microsoft Entra ID . Exigir este estado es diferente de exigir cumplimiento. Un dispositivo puede tener identidad híbrida y aun así no superar una directiva de cumplimiento. En las preguntas, busca la palabra clave: "administrado y en buen estado" apunta al cumplimiento; "unido al dominio local y registrado en la nube" apunta a la unión híbrida.

radio_button_uncheckedshort_text 12. Controles de sesión

Los controles de sesión actúan después de que se concede el acceso y limitan la experiencia o la duración de la sesión. Ayudan a reducir la exposición sin bloquear por completo el trabajo. Los ejemplos incluyen la frecuencia de inicio de sesión, la sesión persistente del explorador, las restricciones aplicadas por la aplicación y el Control de aplicaciones de acceso condicional con Microsoft Defender for Cloud Apps.

La frecuencia de inicio de sesión define cuándo el usuario debe volver a autenticarse. La sesión persistente controla si el explorador puede permanecer conectado después de cerrarse. Las restricciones aplicadas por la aplicación pueden ofrecer una experiencia limitada, como el acceso solo por web. Defender for Cloud Apps puede supervisar la sesión y bloquear la descarga, la copia o la impresión de contenido sensible. Las características actuales también incluyen la protección de tokens , la personalización de la evaluación continua de acceso y el uso de perfiles de seguridad de Global Secure Access .

radio_button_uncheckedshort_text 13. Cómo se evalúan varias directivas

Microsoft Entra evalúa todas las directivas aplicables a la solicitud. No se procesan como una lista en la que la primera sustituye a las demás. Si una directiva exige MFA y otra exige un dispositivo compatible, el usuario debe satisfacer ambas. Si una directiva aplicable bloquea el acceso, la solicitud se bloquea aunque otra directiva conceda acceso con requisitos.

Dentro de una única directiva, los controles de concesión pueden combinarse por "exigir todos" o "exigir uno". Fuera de ella, los requisitos de directivas diferentes se acumulan. Esta diferencia explica muchos errores de diseño: dos controles configurados como alternativa en la misma directiva no anulan un requisito adicional de otra directiva.

Regla para memorizar

Las directivas aplicables se acumulan. El bloqueo gana. Los requisitos de directivas diferentes deben cumplirse en conjunto.

radio_button_uncheckedshort_text 14. Implementación segura, solo de informe y herramienta What If

El Acceso condicional es lo bastante potente como para bloquear a toda la organización. Por eso, la implementación debe ser gradual: definir el objetivo, identificar dependencias, crear un grupo piloto, excluir cuentas de emergencia, usar el modo de solo informe, revisar los registros y solo entonces activarla. El modo de solo informe evalúa lo que ocurriría sin exigir los controles al usuario, lo que permite medir el impacto antes de la aplicación real.

La herramienta What If simula un inicio de sesión con identidad, recurso, plataforma, aplicación cliente y otras condiciones. Muestra las directivas aplicables, las directivas no aplicables y los requisitos de concesión o de sesión. Los registros de inicio de sesión muestran el resultado por directiva y ayudan a distinguir un error de autenticación, un bloqueo de directiva y la falta de autorización en el recurso.

1. Define el riesgo y el resultado esperado en una frase.
2. Elige identidades y recursos de destino; mantén las cuentas de emergencia excluidas.
3. Agrega solo las condiciones necesarias para el objetivo.
4. Selecciona controles de concesión o de sesión y confirma la lógica "todos" o "uno".
5. Pon la directiva en solo de informe y pruébala con usuarios piloto.
6. Usa What If, los registros de inicio de sesión y los informes para analizar el impacto.
7. Actívala por etapas, supervisa y mantén un procedimiento de reversión.

radio_button_uncheckedshort_text 15. Escenarios clásicos de Acceso condicional

radio_button_uncheckedshort_text 16. Qué es el control de acceso basado en roles ( RBAC )

El control de acceso basado en roles, o RBAC , es un modelo de autorización en el que los permisos se agrupan en roles y se asignan a identidades en un ámbito . En lugar de conceder decenas de permisos directamente a cada persona, la organización crea o utiliza roles coherentes con las responsabilidades laborales. Esto simplifica la administración, la auditoría y la eliminación de acceso.

Una asignación de roles combina tres elementos: entidad de seguridad , definición de rol y ámbito . La entidad es quien recibe el acceso; la definición es el conjunto de permisos; el ámbito es dónde son válidos. La asignación es el vínculo que reúne los tres. Eliminar la asignación revoca ese camino de acceso.

radio_button_uncheckedshort_text 17. Entidades de seguridad y definiciones de rol

Una entidad de seguridad puede ser un usuario, un grupo, una entidad de servicio o una identidad administrada. Usar grupos reduce las asignaciones individuales y facilita los cambios de equipo. Las entidades de servicio y las identidades administradas permiten que las aplicaciones y las automatizaciones reciban solo los permisos necesarios, evitando el uso de cuentas personales en el código.

La definición de rol reúne las acciones permitidas. Los roles integrados atienden escenarios comunes; los roles personalizados permiten seleccionar permisos específicos cuando los integrados son demasiado amplios o insuficientes. Crear roles personalizados aumenta la precisión, pero también la responsabilidad de mantener y revisar los permisos a medida que los servicios evolucionan.

radio_button_uncheckedshort_text 18. Roles de Microsoft Entra

Los roles de Microsoft Entra controlan tareas administrativas sobre los recursos del directorio, como usuarios, grupos, aplicaciones, métodos de autenticación, directivas y roles. Algunos ejemplos son Global Administrator, User Administrator, Application Administrator y Conditional Access Administrator. Operan principalmente en el plano de identidad y usan permisos expuestos por Microsoft Graph .

El ámbito puede ser todo el inquilino, una unidad administrativa o, para los roles compatibles, un objeto específico, como una aplicación. Las unidades administrativas permiten delegar tareas a una parte de la organización: un administrador regional puede administrar solo los usuarios y grupos de esa región. No todos los roles o configuraciones pueden limitarse por unidad administrativa, por lo que el ámbito debe comprobarse.

Privilegios mínimos en Entra

Prefiere el rol especializado que se ajusta a la tarea. Global Administrator debe ser poco frecuente, estar protegido y, idealmente, activarse solo cuando sea necesario mediante PIM , un tema que se profundiza en el próximo capítulo.

radio_button_uncheckedshort_text 19. Azure RBAC y los ámbitos de recursos

Azure RBAC es el sistema de autorización basado en Azure Resource Manager para recursos como máquinas virtuales, redes, almacenes, bases de datos y cuentas de almacenamiento. Los roles amplios incluyen Owner, Contributor y Reader. Owner administra recursos y asignaciones de acceso; Contributor administra recursos, pero no asigna roles; Reader solo visualiza. Hay roles específicos por servicio, que normalmente sirven mejor a los privilegios mínimos.

Los cuatro niveles principales de ámbito son grupo de administración, suscripción, grupo de recursos y recurso. Una asignación en un nivel superior se hereda en los niveles inferiores. Así, conceder Contributor en la suscripción es mucho más amplio que conceder Virtual Machine Contributor a una máquina o a un grupo de recursos. Azure RBAC es predominantemente aditivo: los permisos efectivos resultan de la suma de asignaciones, aunque las asignaciones de denegación y las condiciones pueden limitar acciones en escenarios específicos.

radio_button_uncheckedshort_text 20. Roles de Microsoft Entra frente a roles de Azure

Los nombres "rol" y " RBAC " aparecen en los dos sistemas, pero protegen tipos diferentes de recursos. Los roles de Microsoft Entra administran el directorio y las identidades. Los roles de Azure administran los recursos de la suscripción mediante Azure Resource Manager. Una persona puede ser User Administrator en Entra y Reader en un grupo de recursos, o tener solo uno de estos roles.

De forma predeterminada, Global Administrator no recibe acceso automático a los recursos de Azure . Del mismo modo, ser Owner de una suscripción no convierte a la persona en Global Administrator del inquilino. Existe un mecanismo de elevación para la recuperación de acceso, pero es una acción explícita y muy privilegiada. Para el SC-900, la respuesta correcta normalmente depende de identificar el objeto administrado: un usuario, grupo o aplicación apunta a un rol de Entra; una VM, red o almacenamiento apunta a un rol de Azure .

radio_button_uncheckedshort_text 21. El principio de privilegios mínimos

Los privilegios mínimos significan conceder solo los permisos necesarios, en el menor ámbito y durante el menor período adecuado. Una asignación puede ser técnicamente funcional y aun así ser insegura. Dar Owner en una suscripción a quien necesita reiniciar una máquina resuelve la tarea, pero crea la capacidad de cambiar recursos y conceder acceso mucho más allá de la necesidad.

radio_button_uncheckedshort_text 22. De SSE a SASE : seguridad de acceso entregada desde la nube

Security Service Edge, SSE , es una categoría de seguridad que entrega controles de acceso y protección de tráfico desde la nube. Acerca las directivas al usuario y al recurso, independientemente de la oficina en la que esté la persona. Secure Access Service Edge, SASE , es una arquitectura más amplia que combina las capacidades de seguridad de SSE con conectividad de red de área extensa, como SD-WAN.

En el ecosistema de Microsoft, Microsoft Entra Internet Access y Microsoft Entra Private Access forman la solución SSE y se unifican bajo Global Secure Access en el centro de administración de Microsoft Entra . La propuesta es converger las señales de identidad, dispositivo y red, usando directivas coherentes para los recursos de Microsoft, de internet, de SaaS y de aplicaciones privadas.

radio_button_uncheckedshort_text 23. Microsoft Entra Internet Access

Microsoft Entra Internet Access protege el acceso a internet y a las aplicaciones SaaS con una puerta de enlace web segura, o SWG , basada en identidad. El tráfico puede adquirirse mediante un cliente instalado en el dispositivo o mediante una red remota, como una sucursal. Las directivas pueden bloquear contenido malicioso, restringir categorías de sitios y registrar destinos, usuarios, dispositivos y reglas aplicadas.

La integración con el Acceso condicional permite usar el contexto de identidad, riesgo, dispositivo y red en decisiones que alcanzan destinos de internet, incluidos servicios que no están federados directamente con Microsoft Entra ID . El servicio también tiene un perfil para el tráfico de Microsoft, con controles como la comprobación de red compatible, las restricciones universales de inquilino y los registros enriquecidos.

Palabra clave de examen

Internet Access se asocia con internet pública, aplicaciones SaaS, puerta de enlace web segura, filtrado de contenido y directivas de red orientadas por identidad.

radio_button_uncheckedshort_text 24. Microsoft Entra Private Access

Microsoft Entra Private Access ofrece acceso Zero Trust a aplicaciones y recursos privados en centros de datos, entornos híbridos y multinube. En lugar de abrir una conectividad amplia a la red, la organización puede conceder acceso por aplicación, FQDN, intervalo de IP , puerto y protocolo. El servicio utiliza conectores de red privada y el cliente de Global Secure Access para reenviar el tráfico autorizado.

El objetivo es modernizar o sustituir escenarios de VPN con un enfoque ZTNA , Zero Trust Network Access. Una VPN tradicional frecuentemente coloca el dispositivo dentro de un segmento de red; Private Access busca conectar la identidad solo con los recursos autorizados. Quick Access cubre conjuntos más amplios de direcciones internas, mientras que las aplicaciones de Private Access permiten la segmentación por aplicación.

Palabra clave de examen

Private Access se asocia con aplicaciones privadas, recursos internos, acceso por aplicación, ZTNA y reducción de la dependencia de una VPN amplia.

radio_button_uncheckedshort_text 25. Cómo se unen el Acceso condicional y Global Secure Access

El Acceso condicional decide qué requisitos debe satisfacer la identidad. Global Secure Access adquiere y reenvía el tráfico, aplica directivas de red y proporciona señales adicionales. Juntos, crean una directiva que acompaña la solicitud del usuario hasta el destino. Una aplicación privada puede exigir MFA y un dispositivo compatible; un destino de internet puede recibir un perfil de seguridad; un servicio de Microsoft puede exigir que el tráfico provenga de una red compatible.

Esta integración reduce la separación histórica entre los equipos de identidad y de red. Aun así, los controles siguen teniendo funciones diferentes: el Acceso condicional no sustituye al filtrado de contenido, y el SWG no sustituye a una función de autorización en la aplicación. La arquitectura segura combina capas, registros y responsabilidades claras.

radio_button_uncheckedshort_text 26. Escenario práctico integrado

Considera la empresa Contoso Finance, con Microsoft 365 , recursos de Azure y un sistema financiero hospedado en el centro de datos local. Los analistas trabajan en la oficina y de forma remota. Los administradores necesitan gestionar identidades e infraestructura, pero la empresa quiere reducir los privilegios permanentes, impedir el acceso desde dispositivos inseguros y sustituir la VPN amplia del sistema financiero.

26.1 Diseño de acceso

• Todos los usuarios reciben una directiva base que bloquea la autenticación heredada.
• La aplicación financiera exige MFA y un dispositivo compatible.
• Los inicios de sesión con riesgo elevado se bloquean o se reenvían para su corrección, según la directiva.
• Los administradores son el objetivo de una directiva separada con una fortaleza de autenticación resistente a phishing.
• Las cuentas de emergencia se excluyen de las directivas de bloqueo, están protegidas y supervisadas.
• Los analistas reciben solo el rol de negocio en la aplicación; no reciben roles administrativos.
• El equipo de identidad recibe roles especializados de Microsoft Entra , no Global Administrator permanente.
• El equipo de infraestructura recibe roles de Azure específicos en el grupo de recursos correspondiente.
• Microsoft Entra Private Access publica el sistema financiero por aplicación, sin dar acceso general a la red interna.
• Microsoft Entra Internet Access protege la navegación y las aplicaciones SaaS con directivas y registros de red.

26.2 Cómo analizar la solicitud de un usuario

1. El usuario se autentica en Microsoft Entra ID .
2. El Acceso condicional identifica usuario, aplicación, red, dispositivo y señales de riesgo.
3. La directiva exige MFA y cumplimiento; todas las directivas aplicables deben cumplirse.
4. Global Secure Access reenvía solo el tráfico autorizado a la aplicación privada.
5. La aplicación o Azure RBAC comprueba el rol y el ámbito para decidir qué acciones se permiten.
6. Los registros de inicio de sesión, tráfico y auditoría registran la decisión y las actividades.

Lógica para las preguntas de escenario

Pregunta en orden: ¿se autenticó la identidad? ¿La directiva permite el inicio de sesión? ¿El rol autoriza la acción? ¿El camino de red entrega solo el recurso necesario?

radio_button_uncheckedshort_text 27. Trampas conceptuales frecuentes

• El Acceso condicional se evalúa después de la autenticación de primer factor; no sustituye al método de autenticación.
• MFA confirma con más garantía quién es el usuario; RBAC decide qué puede hacer.
• Dispositivo compatible y dispositivo unido híbrido son condiciones diferentes.
• Una ubicación de confianza es una señal, no una garantía absoluta de seguridad.
• Varias directivas aplicables se acumulan; una directiva de bloqueo no la anula otra de concesión.
• Dentro de una directiva, "exigir uno" es OR; "exigir todos" es AND.
• El modo de solo informe evalúa el impacto, pero no obliga al usuario a satisfacer los controles.
• Los roles de Microsoft Entra no administran automáticamente las VM y el almacenamiento.
• Los roles de Azure no convierten al usuario en administrador global del inquilino.
• Owner es más amplio que Contributor porque también administra las asignaciones de acceso.
• Internet Access protege internet y SaaS; Private Access protege recursos internos y privados.
• SSE es la capa de seguridad; SASE incluye también la arquitectura de conectividad de red.

radio_button_uncheckedshort_text 28. Repaso rápido para el SC-900

Resumen en una frase

El Acceso condicional decide en qué condiciones inicia sesión la identidad; RBAC limita las acciones en el ámbito ; Global Secure Access lleva estas decisiones a los recursos de Microsoft, de internet y de aplicaciones privadas.

radio_button_uncheckedshort_text 29. Conclusión

El control de acceso moderno no depende de una única contraseña, red o rol. Combina señales sobre identidad, dispositivo, ubicación, aplicación y riesgo. Microsoft Entra Conditional Access transforma esas señales en decisiones adaptativas: bloquear, exigir MFA , solicitar una autenticación más fuerte, exigir cumplimiento, corregir el riesgo o limitar la sesión. El valor está en aplicar una protección proporcional, evitando tanto la confianza excesiva como la fricción innecesaria.

RBAC complementa esta decisión al limitar lo que la identidad autenticada puede hacer. Entidad, rol y ámbito forman una asignación ; los privilegios mínimos reducen los tres a lo necesario. Diferenciar los roles de Microsoft Entra y los roles de Azure evita uno de los errores más comunes: confundir la administración del directorio con la administración de los recursos de la nube.

Global Secure Access amplía el mismo razonamiento a la red. Internet Access protege el tráfico público y de SaaS con un SWG orientado por identidad; Private Access ofrece ZTNA por aplicación para los recursos internos. Mi evaluación es que la gran evolución de este capítulo es la convergencia: la identidad, la autorización y la conectividad dejan de ser silos y pasan a participar en una decisión continua. Para el examen, memorizar finalidades es esencial; para la práctica, el objetivo es crear directivas simples, comprobables, auditables y coherentes con Zero Trust.

Siguiente paso de la ruta

Después de controlar condiciones y permisos, el próximo capítulo profundiza en la gobernanza, el acceso con privilegios, las revisiones de acceso, PIM y la protección de identidades basada en riesgo.

radio_button_uncheckedshort_text 30. Preguntas de repaso

1. Una empresa quiere permitir el acceso al sistema financiero solo cuando el usuario complete MFA y esté en un dispositivo compatible. ¿Qué característica cumple directamente el requisito?

• A) Un rol Reader de Azure aplicado a la suscripción.
• B) Una directiva de Acceso condicional con los dos controles de concesión exigidos.
• C) Microsoft Entra Private Access sin ninguna directiva de identidad.
• D) Una unidad administrativa en Microsoft Entra ID .

Respuesta comentada

Respuesta correcta: B. El Acceso condicional combina identidad y recurso con controles de concesión. La directiva debe exigir todos los controles seleccionados para que MFA y el cumplimiento sean obligatorios.

2. ¿Qué afirmación diferencia correctamente los roles de Microsoft Entra y los roles de Azure ?

• A) Los roles de Microsoft Entra administran recursos como VM, y los roles de Azure administran usuarios.
• B) Los dos roles son equivalentes y siempre se aplican al mismo ámbito .
• C) Los roles de Microsoft Entra administran recursos del directorio; los roles de Azure administran recursos mediante Azure Resource Manager.
• D) Global Administrator es automáticamente Owner de todas las suscripciones.

Respuesta comentada

Respuesta correcta: C. Los sistemas usan los conceptos de rol y asignación , pero protegen planos diferentes. De forma predeterminada, un rol no concede permisos en el otro sistema.

3. Una organización quiere evaluar el impacto de una nueva directiva de bloqueo antes de afectar a los usuarios. ¿Qué combinación es la más apropiada?

• A) Activar la directiva para todos y esperar los tickets.
• B) Usar solo de informe, la herramienta What If y los registros de inicio de sesión.
• C) Asignar Global Administrator a los usuarios piloto.
• D) Sustituir el Acceso condicional por un rol de RBAC .

Respuesta comentada

Respuesta correcta: B. El modo de solo informe calcula el resultado sin imponer los requisitos, What If simula escenarios y los registros muestran las directivas aplicadas y los resultados.

4. ¿Qué servicio se asocia más directamente con el acceso por aplicación a recursos privados sin conceder una conectividad amplia de VPN ?

• A) Microsoft Entra Internet Access.
• B) Azure RBAC .
• C) Microsoft Entra Private Access.
• D) Microsoft Entra User Administrator.

Respuesta comentada

Respuesta correcta: C. Private Access es la capacidad ZTNA de Global Secure Access orientada a aplicaciones y recursos privados, con control granular por aplicación, dirección, puerto y protocolo.

radio_button_uncheckedshort_text Glosario esencial

radio_button_uncheckedshort_text Referencias oficiales y notas de actualización

El contenido se elaboró con base en el plan de estudios proporcionado y en documentación oficial de Microsoft consultada el 23 de julio de 2026. Los servicios en la nube, los nombres de los controles, las licencias y las características en versión preliminar pueden cambiar; valida la documentación antes de una implementación.

• Microsoft Learn - Guía de estudio del examen SC-900
• Microsoft Learn - Describe access management capabilities of Microsoft Entra
• Microsoft Learn - ¿Qué es el Acceso condicional en Microsoft Entra ID?
• Microsoft Learn - Crear una directiva de Acceso condicional
• Microsoft Learn - Condiciones del Acceso condicional
• Microsoft Learn - Controles de concesión
• Microsoft Learn - Controles de sesión
• Microsoft Learn - Modo de solo informe
• Microsoft Learn - Herramienta What If
• Microsoft Learn - Introducción a Azure RBAC
• Microsoft Learn - Roles de Azure y roles de Microsoft Entra
• Microsoft Learn - Introducción a Microsoft Entra RBAC
• Microsoft Learn - Procedimientos recomendados para los roles de Microsoft Entra
• Microsoft Learn - ¿Qué es Global Secure Access?
• Microsoft Learn - Microsoft Entra Private Access

Fuentes oficiales consultadas el 23 de julio de 2026. Como los servicios en la nube evolucionan continuamente, los detalles de licencia, la disponibilidad regional, los nombres de menús y las características en versión preliminar deben confirmarse en la documentación actual antes de una implementación real.