Identidades administradas y entidades de servicio

Una identidad administrada es una identidad de Microsoft Entra que Azure da a un recurso para que obtenga tokens sin guardar credenciales: quien administra no puede ver ninguna. Hay dos tipos. La asignada por el sistema nace con el recurso, solo ese recurso puede usarla y se borra con él. La asignada por el usuario es un recurso aparte, se puede compartir entre varios recursos y se borra a mano.

Las operaciones sobre estas identidades quedan en el registro de actividad, y su actividad de inicio de sesión queda en los registros de Entra.

Una identidad vale lo que valen sus permisos. La tabla identidades lista las cuatro de la suscripción, con el rol que tiene cada una y el ámbito en que se aplica. El rol Owner permite todo sobre su ámbito, incluida la asignación de roles a otros; sobre una suscripción entera es el alcance más amplio.

Prueba identidades | where rol == "Owner".

Una identidad administrada solo obtiene tokens desde el recurso al que está asignada, y no tiene credencial que se pueda copiar. Una entidad de servicio de una aplicación sí tiene un secreto o un certificado que alguien guardó, y por tanto puede usarse desde cualquier lugar donde se use ese secreto. Por eso en estas se vigila el origen.

La tabla inicios_de_identidades trae la dirección desde la que entró cada identidad esa mañana y la dirección habitual del inventario.

Una dirección distinta de la habitual no demuestra un abuso: puede ser un cambio de proveedor, una prueba o un secreto que salió de donde estaba guardado. Antes de pedir que se rote el secreto hay que reunir evidencia con las fuentes que ya conoces.

Los secretos de aplicación vencen y se rotan. La tabla credenciales dice cuándo se creó el de cada identidad. A mayor edad, más tiempo ha tenido para copiarse, compartirse o quedar en un lugar que no debía. Hoy es jueves 5 de noviembre de 2026.