Gobernanza, Privilegios y Protección de Identidades

radio_button_uncheckedshort_text Introducción

Durante décadas, administrar identidades significaba principalmente crear cuentas en un directorio, agregar usuarios a grupos y quitar el acceso cuando alguien dejaba la empresa. Ese modelo funcionaba mejor cuando los sistemas estaban concentrados en una red local y los cambios organizativos ocurrían a un ritmo relativamente previsible. La expansión de la nube, del trabajo remoto, del software como servicio y de la colaboración con asociados transformó ese escenario: una sola persona puede acumular acceso a decenas de aplicaciones, equipos, sitios, suscripciones y roles administrativos.

Fue en ese contexto que la gobernanza de identidades se consolidó como disciplina. Su propósito es responder continuamente a cuatro preguntas: quién tiene acceso, a qué, por qué motivo y durante cuánto tiempo. La respuesta no puede depender solo de hojas de cálculo ni de la memoria de los administradores. Debe sostenerse en directivas, automatización, aprobaciones, revisiones y evidencias de auditoría.

Para el lector, comprender este tema significa ver la identidad como un proceso vivo. Una cuenta creada correctamente puede volverse arriesgada meses después si la persona cambia de rol, acumula permisos o permanece con privilegios administrativos permanentes. Para la sociedad, las mejores prácticas de gobernanza reducen filtraciones, fraudes, interrupciones y uso indebido de datos, y fortalecen la confianza en los servicios digitales públicos y privados.

Pregunta guía

¿El problema más peligroso es un atacante sin acceso o un usuario legítimo que recibió demasiado acceso, durante demasiado tiempo y sin revisión? A lo largo del capítulo, veremos que ambos riesgos se encuentran en la misma capa: la identidad.

radio_button_uncheckedshort_text 1. De la administración de cuentas a la gobernanza de identidades

La administración de identidades es el conjunto de tareas operativas usadas para crear, cambiar, habilitar, deshabilitar y eliminar identidades. La gobernanza de identidades es más amplia: define cómo debe solicitarse, aprobarse, concederse, revisarse, expirar y evidenciarse el acceso. En otras palabras, administrar responde a “cómo ejecutar”; gobernar responde a “por qué, bajo qué directiva y con qué evidencia”.

La gobernanza conecta áreas que antes se trataban por separado: recursos humanos, seguridad, tecnología, auditoría, cumplimiento y propietarios de negocio. RR. HH. conoce el vínculo y las fechas del colaborador; el responsable conoce el rol; el propietario del recurso conoce la sensibilidad; la seguridad conoce el riesgo; la plataforma de identidad aplica los controles. Cuando estas señales se integran, el acceso puede acompañar la realidad de la organización.

radio_button_uncheckedshort_text 2. Microsoft Entra ID Governance

Microsoft Entra ID Governance es el conjunto de capacidades de Microsoft Entra destinado a controlar el ciclo de vida de las identidades y del acceso. El objetivo es aumentar la productividad sin perder seguridad: los nuevos colaboradores necesitan empezar con los recursos correctos; las personas que cambian de área necesitan recibir nuevos accesos y perder los antiguos; las bajas exigen una eliminación rápida; los invitados y proveedores necesitan un acceso delimitado; los administradores necesitan elevar el privilegio solo cuando es necesario.

Las capacidades más relevantes para el SC-900 son los flujos de trabajo de ciclo de vida, las revisiones de acceso, la administración de derechos y Privileged Identity Management . Se complementan entre sí. Los flujos de trabajo automatizan tareas orientadas por el ciclo de vida. Los paquetes de acceso organizan recursos y directivas. Las revisiones verifican si el acceso sigue siendo necesario. PIM gobierna roles y grupos con privilegios. El aprovisionamiento, los términos de uso, los informes y los registros refuerzan la solución.

Enfoque del SC-900

El examen suele evaluar el propósito de cada característica. La revisión de acceso recertifica; la administración de derechos organiza y automatiza los derechos; PIM controla el privilegio; ID Protection detecta y corrige el riesgo.

radio_button_uncheckedshort_text 3. Ciclo de vida Joiner-Mover-Leaver

El modelo Joiner-Mover-Leaver , a menudo abreviado como JML, describe tres fases esenciales de la relación entre una identidad y la organización. Joiner es la entrada; Mover es un cambio relevante; Leaver es la salida. El valor del modelo está en tratar los cambios de acceso como consecuencia de eventos de negocio, y no como solicitudes aisladas que pueden olvidarse.

3.1 Joiner: incorporación y preparación del primer día

En la fase Joiner, la organización recibe datos confiables sobre la nueva persona, crea su identidad y prepara recursos. Esto puede incluir cuenta, grupos, licencia, equipo, aplicación, dispositivo, credencial inicial, formación y aceptación de términos. Un proceso maduro evita dos extremos: que el colaborador llegue sin acceso y pierda productividad, o que reciba un acceso genérico y excesivo “para asegurarse de que funcione”.

3.2 Mover: cambio de rol, responsable o ubicación

Mover es la fase más descuidada. Una promoción, un traslado, un cambio de proyecto, una ausencia o un cambio de vínculo pueden requerir nuevos accesos. El error común es agregar el nuevo sin quitar el antiguo, lo que genera privilege creep, o la acumulación progresiva de privilegios. La gobernanza debe recalcular lo necesario, aplicar separación de funciones cuando corresponda e iniciar revisiones adicionales para los recursos sensibles.

3.3 Leaver: baja y cierre del acceso

Leaver exige coordinación y rapidez. Según el escenario, la cuenta puede bloquearse, revocarse sesiones y tokens , quitarse roles y grupos, desaprovisionarse el acceso a aplicaciones, recogerse dispositivos y transferirse datos. Eliminar de inmediato la cuenta no siempre es la primera acción adecuada, porque la organización puede necesitar preservar un buzón, archivos, registros o evidencias. El principio es impedir el uso indebido sin destruir la información necesaria para la continuidad y el cumplimiento.

radio_button_uncheckedshort_text 4. Flujos de trabajo de ciclo de vida

Los flujos de trabajo de ciclo de vida son capacidades de gobernanza que automatizan tareas asociadas a las fases JML. Un flujo de trabajo combina ámbito, desencadenador y tareas. El ámbito define a quién afectará; el desencadenador define cuándo ocurre la ejecución; las tareas definen qué se realizará. Un ejemplo es enviar un mensaje al responsable siete días antes de la fecha de contratación y, el primer día, habilitar la cuenta y agregar el usuario a un grupo inicial.

Los flujos de trabajo pueden ejecutarse a petición o de forma programada cuando se cumplen las condiciones. Atributos como la fecha de contratación, la fecha de baja, el departamento y el tipo de colaborador ayudan a seleccionar identidades. Para escenarios más complejos, las extensiones pueden integrar procesos externos. El historial de ejecución y los registros de auditoría permiten verificar qué se ejecutó, para quién y con qué resultado.

Buena práctica

La automatización no elimina la responsabilidad. Atributos incorrectos de RR. HH. o reglas mal definidas pueden automatizar el error a gran escala. Por eso, los datos de origen, las pruebas, el piloto y la supervisión son partes de la gobernanza.

radio_button_uncheckedshort_text 5. Revisiones de acceso

Una revisión de acceso es un proceso de recertificación: alguien evalúa si los usuarios, invitados o identidades todavía necesitan mantener un acceso determinado. La revisión puede abarcar grupos, aplicaciones, paquetes de acceso y, en escenarios con privilegios, roles. Puede ser única o periódica y puede delegar la decisión al responsable, al propietario del recurso, a revisores específicos o, en algunos casos, al propio usuario.

El revisor normalmente elige aprobar o denegar la continuidad. Las sugerencias y el contexto ayudan a la decisión, pero no sustituyen el conocimiento del negocio. Al final, los resultados pueden aplicarse para quitar accesos denegados o no revisados, según la configuración. El valor de una revisión no está solo en producir un informe: está en reducir el acceso innecesario y generar evidencia de que la organización controla sus permisos.

5.1 Qué se puede revisar

• Grupos: los miembros de grupos de seguridad o de Microsoft 365 pueden recertificarse.
• Aplicaciones: las asignaciones de usuarios a aplicaciones empresariales pueden evaluarse.
• Invitados: los accesos B2B pueden revisarse y quitarse cuando termina la colaboración.
• Paquetes de acceso: las asignaciones concedidas por la administración de derechos pueden tener revisiones periódicas.
• Privilegios: los roles de Microsoft Entra , los roles de recursos de Azure y los grupos administrados por PIM pueden revisarse.

5.2 Decisiones y automatización

Una revisión debe definir frecuencia, duración, revisores, recordatorios, comportamiento ante la falta de respuesta y aplicación de resultados. “Sin respuesta” no es un sinónimo universal de aprobación o denegación; eso depende de la directiva elegida. Para los accesos de alto impacto, la ausencia de decisión suele exigir un tratamiento conservador y un seguimiento.

radio_button_uncheckedshort_text 6. Administración de derechos y paquetes de acceso

La administración de derechos automatiza cómo las identidades solicitan, reciben, mantienen y pierden el acceso a conjuntos de recursos. En lugar de procesar solicitudes separadas para cada grupo, aplicación o sitio, la organización crea un paquete de acceso que representa una necesidad de negocio, como “Proyecto Atlas”, “Proveedor de auditoría” o “Equipo de marketing regional”.

Un paquete de acceso puede incluir pertenencias a grupos y equipos, roles de aplicaciones y roles de sitios de SharePoint. El paquete reside en un catálogo, que organiza los recursos y delega su administración. Una o varias directivas determinan quién puede solicitar o recibir el paquete, si se requiere aprobación, quién aprueba, durante cuánto tiempo es válido el acceso, si hay preguntas o términos y si se realizarán revisiones.

6.1 Componentes esenciales

6.2 Solicitud, aprobación, expiración y revisión

El flujo puede ser por solicitud, asignación directa o regla automática, según el escenario. La directiva puede exigir aprobación en una o varias etapas y recopilar justificaciones. La duración puede definirse por fecha, número de días u otra ventana admitida. Antes o durante la expiración, una revisión puede confirmar la continuidad. Cuando el derecho termina, el servicio quita las asignaciones relacionadas, lo que reduce las cuentas de invitado y los permisos olvidados.

Diferencia esencial

Un paquete de acceso concede un conjunto gobernado de derechos. Una revisión de acceso pregunta si el derecho debe continuar. Un flujo de trabajo de ciclo de vida ejecuta tareas en eventos del ciclo de vida. Las tres características pueden trabajar juntas.

radio_button_uncheckedshort_text 7. Acceso con privilegios y riesgo administrativo

El acceso con privilegios es la capacidad de ejecutar acciones que cambian la seguridad, la identidad, la configuración, los datos o la disponibilidad de los sistemas. Las cuentas con roles administrativos son objetivos valiosos porque un solo compromiso puede afectar a toda la organización. Incluso sin un ataque externo, los privilegios permanentes aumentan la probabilidad de error, abuso o uso fuera del proceso.

El principio de privilegios mínimos determina que cada identidad reciba solo los permisos necesarios, en el ámbito necesario y durante el tiempo necesario. En los roles administrativos, esto conduce a dos ideas complementarias. Just-in-Time concede el privilegio solo cuando la tarea debe ejecutarse. Just-Enough-Access limita el conjunto de acciones al mínimo suficiente. PIM materializa principalmente el primer principio mediante la aptitud y la activación temporal, al tiempo que refuerza el segundo con roles y ámbitos adecuados.

radio_button_uncheckedshort_text 8. Microsoft Entra Privileged Identity Management

Microsoft Entra Privileged Identity Management , o PIM , es un servicio para administrar, controlar y supervisar el acceso con privilegios a roles de Microsoft Entra , roles de recursos de Azure y pertenencias o propiedad de grupos habilitados para PIM . En lugar de mantener a todos los administradores permanentemente activos, la organización puede hacerlos aptos. La persona sigue autorizada a solicitar el rol, pero el privilegio solo se vuelve activo tras un flujo de activación.

8.1 Apta , activa, permanente y de duración limitada

8.2 Flujo de activación

Al activar un rol, el usuario selecciona una duración dentro del límite configurado e indica una justificación. Según la directiva del rol, puede ser necesario realizar MFA , satisfacer una directiva de Acceso condicional , proporcionar un número de ticket o esperar una aprobación. Tras la aprobación y la activación, el rol queda disponible durante la ventana definida. Cuando el período termina u ocurre la desactivación, el acceso activo se quita y el evento permanece registrado.

8.3 Controles y evidencias

• Aprobación: uno o varios aprobadores evalúan la necesidad antes de la activación.
• MFA y Acceso condicional : refuerzan la verificación en el momento de elevar el privilegio.
• Justificación y ticket: registran el motivo de negocio y vinculan la actividad a un proceso.
• Duración máxima: limita durante cuánto tiempo puede permanecer activo el rol.
• Notificaciones y alertas: informan de activaciones, asignaciones permanentes y situaciones consideradas inseguras.
• Historial y auditoría: permiten investigar quién activó, cuándo, durante cuánto tiempo y bajo qué justificación.
• Revisiones de acceso: recertifican aptitudes y asignaciones con privilegios a lo largo del tiempo.

Trampa de examen

PIM no es lo mismo que Azure RBAC . RBAC define qué acciones permite un rol y en qué ámbito. PIM gobierna cuándo y bajo qué condiciones una asignación con privilegios se vuelve activa.

radio_button_uncheckedshort_text 9. Microsoft Entra ID Protection

Microsoft Entra ID Protection ayuda a detectar, investigar y corregir riesgos basados en la identidad. El servicio analiza señales y comportamientos para identificar eventos sospechosos. Estos riesgos pueden alimentar informes, investigaciones y directivas de Acceso condicional , lo que permite que la decisión de acceso se adapte al contexto en lugar de depender solo de una contraseña correcta.

9.1 Detección de riesgo, riesgo de inicio de sesión y riesgo de usuario

Una detección de riesgo es una evidencia o un comportamiento considerado sospechoso, como credenciales filtradas o el uso de una dirección IP anónima. El riesgo de inicio de sesión es la probabilidad de que una solicitud de autenticación específica no la haya hecho el propietario legítimo. El riesgo de usuario es la probabilidad de que la identidad esté comprometida, considerando las evidencias asociadas al usuario. El primero está ligado a la sesión; el segundo representa el estado más amplio de la cuenta.

9.2 Ejemplos de detecciones

No toda detección significa un compromiso confirmado. El servicio asigna niveles y proporciona contexto para la investigación. Algunas detecciones se calculan en tiempo real, durante el inicio de sesión; otras se calculan sin conexión tras una correlación adicional. El administrador debe distinguir verdadero positivo, falso positivo y actividad legítima inusual.

radio_button_uncheckedshort_text 10. Directivas de corrección basadas en riesgo

Los niveles de riesgo pueden usarse en directivas de Acceso condicional . Para el riesgo de inicio de sesión , una respuesta común es exigir MFA o una fortaleza de autenticación adecuada. Para el riesgo de usuario , la directiva puede exigir la corrección del riesgo, como un cambio seguro de contraseña, o bloquear el acceso cuando la organización no puede aceptar la exposición. La configuración moderna concentra estas decisiones en el Acceso condicional , e integra ID Protection con los controles de concesión.

10.1 Credenciales filtradas y sincronización de hash

En las identidades híbridas, la detección de credenciales filtradas requiere que los hashes de contraseña relevantes estén disponibles para su comparación mediante la sincronización de hash de contraseña. Esto no significa que se sincronice la contraseña en texto sin formato. El mecanismo trabaja con material derivado y protegido. Para el SC-900, la relación conceptual importante es: sin la sincronización necesaria, el servicio puede no ser capaz de correlacionar las credenciales filtradas de usuarios híbridos con la contraseña local vigente.

10.2 IP anónima y contexto

Una dirección IP anónima puede usarla un atacante, pero también alguien que utiliza una red privada o un servicio de privacidad. Por eso, la detección debe combinarse con otras señales: dispositivo, ubicación, historial, método de autenticación y sensibilidad del recurso. Zero Trust no presume confianza ni condena automática; verifica explícitamente y responde de forma proporcional al riesgo.

Idea clave

ID Protection detecta y clasifica el riesgo. El Acceso condicional convierte el riesgo en una decisión. MFA , cambio de contraseña, bloqueo e investigación son respuestas posibles.

radio_button_uncheckedshort_text 11. Gobernanza, privilegio y protección: cómo se conectan

La gobernanza responde al acceso esperado; la protección responde al comportamiento sospechoso; PIM controla la elevación administrativa. Una persona puede estar correctamente asignada a un paquete de acceso , pero presentar riesgo de inicio de sesión y ser desafiada por MFA . Un administrador puede tener una aptitud legítima, pero necesitar aprobación y justificación para activar el rol. Un invitado puede tener acceso válido hoy y perderlo automáticamente en la próxima revisión o expiración.

Esta integración evita dos modelos insuficientes. El primero es estático: conceder acceso una vez y confiar indefinidamente. El segundo es puramente reactivo: esperar un incidente para quitar permisos. El enfoque maduro combina prevención, limitación temporal, revisión continua, señales de riesgo y evidencia de auditoría.

radio_button_uncheckedshort_text 12. Microsoft Entra Verified ID

Microsoft Entra Verified ID es un servicio para la emisión y verificación de credenciales verificables. La idea es permitir que una organización emita una afirmación digital firmada, que la persona conserve esa credencial en una cartera y la presente a otra organización o aplicación cuando necesite demostrar algo. El verificador valida la autenticidad, la integridad y el estado de la credencial sin depender de una cuenta creada previamente en el mismo directorio del emisor.

12.1 Emisor, titular y verificador

• Emisor: organización que crea y firma la credencial, como una universidad, un empleador o una entidad certificadora.
• Titular: persona o entidad que recibe, controla y presenta la credencial.
• Verificador: organización o aplicación que solicita una prueba y valida la credencial presentada.

12.2 Una credencial verificable no es un distintivo visual

El valor no está en la apariencia de una tarjeta, sino en las afirmaciones firmadas y verificables. Una credencial puede demostrar un vínculo, una cualificación, una formación o una autorización. Los estándares abiertos, las firmas digitales y los identificadores descentralizados permiten verificar quién la emitió y si el contenido fue alterado. El titular presenta solo la prueba necesaria según el diseño de la solución, lo que favorece el control y la minimización de datos.

12.3 Ejemplo

Una empresa subcontratada completa una formación de seguridad obligatoria y recibe una credencial verificable. Al solicitar acceso a un entorno, el profesional presenta la credencial. El verificador confirma que fue emitida por la entidad de confianza, que es válida y que corresponde a la solicitud. Después de eso, el acceso puede continuar hacia la aprobación o la concesión por otros controles. Verified ID proporciona una prueba verificable; no sustituye por sí solo a la autorización, RBAC o el Acceso condicional .

radio_button_uncheckedshort_text 13. Microsoft Entra y Microsoft Security Copilot

Microsoft Security Copilot combina inteligencia artificial generativa con los datos y las capacidades de seguridad de Microsoft. En el contexto de Microsoft Entra , puede ayudar a los administradores a explorar inicios de sesión y usuarios en riesgo, resumir el contexto, sugerir pasos de investigación, consultar información de usuarios y grupos y apoyar tareas de gobernanza. También hay experiencias orientadas a los flujos de trabajo de ciclo de vida, las revisiones de acceso y la optimización de la gobernanza.

La integración reduce el tiempo dedicado a leer registros y preparar consultas, pero no transfiere la responsabilidad a la IA. Las respuestas deben validarse, los permisos deben seguir los privilegios mínimos y las acciones de alto impacto exigen confirmación humana. Un resumen convincente puede estar incompleto; una sugerencia puede no considerar una excepción de negocio. Copilot es un acelerador de análisis, no una fuente autónoma de autoridad.

radio_button_uncheckedshort_text 14. Escenario práctico integrado

Considera Contoso Salud, que contrata empleados, médicos temporales y proveedores. El objetivo es reducir las solicitudes manuales e impedir que los accesos permanezcan tras el fin del vínculo.

14.1 Incorporación

El sistema de RR. HH. registra la fecha de contratación y el departamento. Un flujo de trabajo de ciclo de vida envía orientaciones antes del primer día, habilita la cuenta en la fecha correcta y agrega al empleado a un grupo básico. Para un proveedor, la administración de derechos ofrece el paquete “Proveedor - Proyecto Clínico”, con un grupo de Teams, una aplicación de tickets y un sitio de documentos. La directiva permite solicitudes solo de una organización conectada, exige la aprobación del patrocinador y limita el acceso a 90 días.

14.2 Cambio de rol

Una analista es promovida a coordinadora. El flujo de trabajo actualiza las tareas del ciclo de vida y el nuevo rol exige acceso a informes. Una revisión confirma los accesos anteriores; los permisos incompatibles se quitan para evitar la acumulación. Ella recibe la aptitud en PIM para un rol administrativo limitado. Cuando necesita ejecutar una tarea, solicita la activación por una hora, realiza MFA , indica el ticket y espera la aprobación.

14.3 Evento de riesgo

ID Protection detecta un inicio de sesión desde una IP anónima y con propiedades inusuales. El riesgo de inicio de sesión desencadena el Acceso condicional , que exige autenticación fuerte. En otro momento, unas credenciales filtradas elevan el riesgo del usuario; la directiva exige corrección y un cambio seguro de contraseña. El equipo usa Security Copilot para resumir señales y preparar la investigación, pero confirma los registros antes de concluir que hubo un compromiso.

14.4 Baja

Al finalizar el contrato, la fecha de baja desencadena el flujo de trabajo. La cuenta se bloquea, las sesiones se revocan y los accesos se quitan. La asignación del paquete expira y el invitado no conserva permisos. Los registros y los resultados de las revisiones demuestran a la auditoría que el acceso se concedió, se usó y se quitó bajo una directiva definida.

Resultado del escenario

Ninguna capacidad lo resuelve todo por sí sola. La seguridad surge de la composición: ciclo de vida + paquetes + revisiones + PIM + detección de riesgo + directivas de acceso + auditoría.

radio_button_uncheckedshort_text 15. Comparaciones que suelen aparecer en el SC-900

radio_button_uncheckedshort_text 16. Repaso rápido para el examen

• La gobernanza de identidades controla quién tiene acceso, a qué, por qué y durante cuánto tiempo.
• Joiner-Mover-Leaver representa entrada, cambio y salida; Mover es crucial para evitar la acumulación de privilegios.
• Los flujos de trabajo de ciclo de vida automatizan tareas usando ámbito, desencadenador y acciones.
• Las revisiones de acceso recertifican el acceso y pueden quitar permisos innecesarios.
• La administración de derechos usa catálogos, recursos, paquetes y directivas para gobernar solicitudes y asignaciones.
• PIM ofrece acceso con privilegios just-in-time , asignaciones aptas, activación temporal, aprobación, MFA , justificación, alertas y auditoría.
• El riesgo de inicio de sesión se refiere a una autenticación específica; el riesgo de usuario se refiere a la identidad posiblemente comprometida.
• Las credenciales filtradas, la IP anónima y el viaje atípico son ejemplos de detecciones; una señal aislada requiere contexto.
• Las directivas de Acceso condicional pueden exigir MFA , corrección del riesgo, cambio de contraseña o bloqueo.
• Verified ID trabaja con emisor, titular y verificador; la credencial está firmada y es verificable.
• Security Copilot ayuda en la investigación y la gobernanza, pero no sustituye la validación humana.

radio_button_uncheckedshort_text Conclusión

La gobernanza, el privilegio y la protección de identidades forman una secuencia lógica. Primero, la organización define y automatiza el acceso esperado a lo largo del ciclo Joiner-Mover-Leaver . Después, revisa y expira derechos para impedir la acumulación. A continuación, limita el privilegio administrativo con aptitud y activación temporal. Por último, observa señales de riesgo y adapta la decisión de acceso cuando la identidad o la sesión parecen comprometidas.

En mi evaluación, este es uno de los capítulos más importantes del SC-900 porque transforma productos aislados en una estrategia coherente. El punto central no es memorizar portales, sino reconocer qué problema resuelve cada capacidad. Una organización madura no pregunta solo “¿la contraseña es correcta?”. Pregunta si la persona debería tener el acceso, si aún lo necesita, si el privilegio debe estar activo ahora y si hay señales de que la identidad dejó de ser confiable.

El siguiente paso natural es estudiar cómo la inteligencia artificial, la investigación y la automatización amplían la operación de seguridad. Al dominar este capítulo, el lector empieza a ver cada acceso como una decisión temporal, contextual y verificable: exactamente la mentalidad que exigen Zero Trust y la seguridad moderna de identidades.

radio_button_uncheckedshort_text Preguntas de fijación

1. Una empresa quiere que los administradores tengan un rol disponible solo cuando necesiten ejecutar una tarea, exigiendo MFA , justificación y aprobación. ¿Qué característica se ajusta mejor al escenario?

• A) Microsoft Entra Verified ID
• B) Microsoft Entra Privileged Identity Management
• C) Microsoft Entra Connect Sync
• D) Microsoft Defender for Cloud Apps

Comentario

Respuesta correcta: B. PIM permite la asignación apta y la activación temporal con controles como MFA , justificación, aprobación, duración y auditoría.

2. ¿Qué opción describe correctamente el riesgo de inicio de sesión y el riesgo de usuario ?

• A) Ambos representan exactamente el mismo estado.
• B) El riesgo de inicio de sesión evalúa una solicitud específica; el riesgo de usuario evalúa la probabilidad de que la identidad esté comprometida.
• C) El riesgo de usuario existe solo para los invitados.
• D) El riesgo de inicio de sesión define los permisos de RBAC .

Comentario

Respuesta correcta: B. El riesgo de inicio de sesión está ligado a la sesión de autenticación; el riesgo de usuario representa el estado más amplio de la identidad.

3. Una organización desea ofrecer a los proveedores un conjunto de grupos, aplicaciones y sitios durante 60 días, con aprobación del patrocinador. ¿Qué capacidad es la más adecuada?

• A) Administración de derechos con un paquete de acceso y una directiva de asignación
• B) Solo una revisión de acceso
• C) Solo un rol permanente en Azure RBAC
• D) Microsoft Entra ID Protection

Comentario

Respuesta correcta: A. Un paquete de acceso reúne recursos, mientras que la directiva define la aptitud, la aprobación, la duración y la revisión.

4. ¿Cuál es el papel principal de una revisión de acceso ?

• A) Crear una credencial verificable.
• B) Sincronizar hashes de contraseña.
• C) Recertificar si las identidades aún necesitan mantener el acceso y aplicar eliminaciones cuando sea necesario.
• D) Activar automáticamente todos los roles con privilegios.

Comentario

Respuesta correcta: C. Las revisiones de acceso verifican la continuidad de la necesidad de acceso y pueden aplicar cambios para quitar permisos innecesarios.

radio_button_uncheckedshort_text Glosario esencial

radio_button_uncheckedshort_text Referencias oficiales para profundizar

• Microsoft Learn. Study guide for Exam SC-900: Microsoft Security, Compliance, and Identity Fundamentals.
• Microsoft Learn. Describe the identity protection and governance capabilities of Microsoft Entra.
• Microsoft Learn. Microsoft Entra ID Governance overview; Lifecycle Workflows; Access Reviews; Entitlement Management.
• Microsoft Learn. What is Microsoft Entra Privileged Identity Management?; PIM deployment and role settings.
• Microsoft Learn. What is Microsoft Entra ID Protection?; risk detections; risk-based access policies and remediation.
• Microsoft Learn. Microsoft Entra Verified ID documentation and architecture overview.
• Microsoft Learn. Security Copilot in Microsoft Entra and Identity Governance scenarios.

Material elaborado con fines educativos. Los nombres, las características, las interfaces y los requisitos de licencia pueden evolucionar; para la implementación, consulta siempre la documentación oficial más reciente.