Configuración de activación

La configuración de un rol puede pedir que quien activa escriba un número de ticket. Conviene saber qué hace el servicio con ese número: según la documentación oficial de Microsoft Entra PIM, es un campo informativo; el servicio no lo cruza con ningún sistema de tickets. Nada impide escribir un número que no existe.

Eso no lo hace inútil: deja una pista que una revisión puede contrastar con el sistema de cambios, como harás en la sala del historial. Lo que no es es un control que impida activar sin un cambio aprobado.

La duración máxima de una activación se configura por rol; en el servicio real es un valor entre 1 y 24 horas. Cuando vence, el rol se retira solo. Un tope largo pesa más en los roles que más daño hacen: la agencia pide 4 horas como máximo para sus dos roles críticos y 8 para los demás.

Abre configuracion_roles y compara max_horas de cada rol crítico con el límite de 4 horas. Los dos roles críticos están en la nota de la tabla.

Pedir segundo factor al activar es el control más barato contra una cuenta con la contraseña robada: el atacante puede iniciar sesión, pero no activar el rol. Según la documentación del servicio, puede que no se pida un segundo factor si la persona ya lo presentó antes en la misma sesión; por eso la configuración no sustituye una buena política de acceso, la complementa.

La regla de la agencia es que todo rol lo exija. Recorre la columna segundo_factor.

El tope no es el mismo para todos: 4 horas para los críticos y 8 para el resto. Comparar la columna de horas con una sola cifra da un resultado equivocado. Para cada rol, decide primero si es crítico y compara con su tope; un rol que dura exactamente el máximo cumple, porque la regla dice «como máximo».

La aprobación pone a un segundo par de ojos entre la solicitud y el privilegio. Si se exige, se deben designar aprobadores; la recomendación de la documentación es nombrar al menos dos, porque si no hay ninguno designado, los administradores globales y de roles privilegiados activos pasan a ser aprobadores por defecto, y si todos son elegibles, nadie puede aprobar.

La regla de la agencia pide aprobación y dos aprobadores en los dos roles críticos. Mira las columnas aprobacion y aprobadores.