Grupos de seguridad, de Microsoft 365 y dinámicos

Un grupo de seguridad sirve para dar acceso a recursos y como destino de políticas; puede contener usuarios o dispositivos. Un grupo de Microsoft 365 añade un buzón, un calendario y un espacio de trabajo compartido, y solo puede contener usuarios. Aparte del tipo está la forma de llenar el grupo, la membresía: asignada (alguien añade y quita a mano), dinámica de usuario o dinámica de dispositivo (una regla decide).

En un grupo dinámico la regla manda. Cuando cambia un atributo de un usuario, Entra evalúa de nuevo las reglas de todos los grupos dinámicos: si la persona cumple una, entra; si deja de cumplirla, sale. Por eso no se puede añadir ni quitar a mano a un miembro de un grupo dinámico.

Se puede crear un grupo marcado como «roles de Microsoft Entra asignables al grupo» para dar un rol de directorio a todos sus miembros de una vez. Esos grupos solo admiten membresía asignada. La razón es de seguridad: en un grupo dinámico, quien pueda editar un atributo de la regla controla quién entra, y si el grupo da un rol de administrador esa persona se estaría dando permisos a sí misma. Con membresía asignada, esa puerta queda cerrada.

Lo mismo vale, en menor medida, para cualquier grupo dinámico que dé acceso a algo sensible o que use una política de acceso condicional: su seguridad es la de los atributos de su regla. Antes de usar un atributo conviene preguntar quién puede escribirlo.

Una regla como user.objectId -ne null incluye a todos los usuarios del directorio, y eso incluye a los invitados: si lo que se quería era «solo empleados», hay que añadir user.userType -eq "Member". Leer una regla pide fijarse en lo que no dice.

Mira la tabla de grupos y sus reglas, y los miembros que hoy son de tipo Guest. Un grupo asignado puede tener invitados a propósito, porque alguien los añadió. El hallazgo es el grupo dinámico que los tiene por la forma de su regla.

Cada grupo debería tener al menos un propietario: la persona que decide quién entra, o que sabe para qué existe. Un grupo sin propietario no tiene a quién preguntar cuando hay que decidir si sigue haciendo falta, y suele seguir con acceso mucho después de que el proyecto terminó. Los dinámicos también: la regla se mantiene sola, pero alguien debe responder por ella.

La columna propietarios de la tabla de grupos trae el número. Cuenta los grupos que tienen cero.