Cuentas de emergencia fuera del sistema

La guía oficial de Microsoft para cuentas de emergencia pide al menos dos, solo en la nube, con una llave FIDO2 o un certificado, distintas de las cuentas de administración de uso diario, y con el rol de administrador global activo y permanente. La razón es la circunstancia para la que existen: si activar exige un segundo factor, una aprobación o un proveedor de identidad externo, y esos son justo lo que falló, una cuenta elegible no podría activarse.

Una cuenta así es una excepción al modelo, y se compensa con vigilancia: alerta en cada uso, prueba periódica y dueños conocidos de las credenciales.

Una cuenta de emergencia debe ser de solo nube, sin sincronizarse con un directorio local ni federarse. Si lo hace, una caída del directorio local o del proveedor de federación se lleva también a la cuenta, que es exactamente lo que no debe pasar. Mira la columna origen de cuentas_emergencia.

Las cuentas de emergencia se prueban cada 90 días como máximo: se comprueba que se puede iniciar sesión y hacer una tarea administrativa. Una cuenta que nadie probó puede haber perdido su credencial o quedado bloqueada por una política nueva, y se descubre durante la emergencia. La revisión es del 2026-10-06. Cuenta los días desde la última prueba de la cuenta con la prueba más antigua y réstale los 90 permitidos.

Las políticas de acceso condicional que bloquean, por ejemplo por país o por dispositivo, deben excluir a las cuentas de emergencia, porque estas cuentas se usan precisamente en condiciones raras: desde otro lugar, con otro equipo. La exclusión se compensa con la llave FIDO2 y con la alerta de uso. Mira la columna excluye_emergencia; de las políticas que no excluyen, la que bloquea es la que importa.

Cada inicio de sesión de una cuenta de emergencia debe generar una alerta a los administradores y llevar un ticket o una anotación del motivo: una prueba programada, una emergencia real o un uso indebido. Cruza eventos_emergencia con esa regla y busca el evento que no avisó a nadie. Un uso sin alerta ni ticket no se puede distinguir de un acceso no autorizado.