Acceso condicional como señal

Una política de acceso condicional puede estar habilitada, deshabilitada o en solo informe. En solo informe se evalúa en cada inicio de sesión y se registra qué habría pasado, pero no se aplica el control. Sirve para medir el efecto antes de activar una política: el resultado reportOnlyFailure significa que, si estuviera habilitada, el control no se habría cumplido.

Abre resultados_posibles para ver cada valor.

Abre politicas. Una política en solo informe no protege: informa. Cuando una organización tiene una política crítica, como cerrar la autenticación heredada, en este estado durante semanas, hay un hueco entre lo que se cree que se controla y lo que se controla. Léelo como un hallazgo de cobertura, no como un fallo de la persona que la configuró.

Antes de habilitar una política hay que medir su efecto: cuántos inicios de sesión reales habría bloqueado. En inicios_con_politicas, la columna por_politica trae el resultado de cada política. Cuenta los inicios de sesión donde la política que está en solo informe habría fallado, es decir, los que quedarían bloqueados el día que se habilite.

La documentación de acceso condicional indica que las políticas se aplican después de completarse la autenticación del primer factor. Por eso un error 53003 en el inicio de sesión de una cuenta significa que una política bloqueó la emisión del token, y suele implicar que el primer factor se validó. No prueba que la contraseña fuera robada: puede ser una persona de viaje. Pero un bloqueo desde un país donde el despacho no opera, con la contraseña aceptada, es una señal útil que ninguna política debería esconder.

Las organizaciones excluyen una o dos cuentas de emergencia de las políticas, para no quedar fuera del inquilino si una política falla. Como no tienen controles, su uso debería ser rarísimo. Busca en inicios_con_politicas la fila de la cuenta excluida y fíjate en la hora y en lo que dicen las tres políticas.