Acceso condicional como contención

Las políticas de acceso condicional tienen tres estados útiles: activada, desactivada y solo informe. En solo informe se evalúan con cada inicio de sesión y el resultado queda anotado en los detalles del inicio, pero no se aplica nada: nadie es bloqueado ni se le pide un segundo factor. Es la forma de ver qué haría una política antes de que lo haga.

En un incidente hay prisa por bloquear, y precisamente por eso conviene leer primero lo que la política ya anotó: bloquear a toda una organización por un error de redacción es un segundo incidente.

El registro de inicios dice, para cada política, qué resultado tuvo; en solo informe, los resultados llevan el prefijo «solo informe». «Habría bloqueado» quiere decir que las condiciones se cumplían y el control era un bloqueo: si hubiera estado activada, el acceso no se habría dado.

Eso no significa que alguien se haya equivocado al dejarla así: significa que la prueba terminó y nadie leyó el resultado.

Antes de activar una política hay que medir su efecto colateral: cuántos inicios de gente legítima habría bloqueado. Se cuentan los «habría bloqueado» de cuentas que no son la comprometida, y después se contrasta cada una con la lista de viajes autorizados. Un viaje comunicado se resuelve con una excepción acotada y con fecha; no con apagar la política.

El acceso condicional también puede aplicarse a identidades de carga de trabajo (las entidades de servicio de aplicaciones propias del tenant), pero con reglas distintas a las de las personas: se asignan directamente a la política, no a través de un grupo, y el control disponible es bloquear. Además, esa capacidad pide una licencia específica para crear o modificar esas políticas.

Es la causa de un error común: meter una aplicación en un grupo, asignar la política al grupo y creer que la aplicación queda cubierta.

Todas las políticas del tenant excluyen al mismo grupo: cuentas-de-emergencia. Es una práctica habitual: si una política mal escrita bloquea a todos, estas cuentas permiten volver a entrar a corregirla. Su contrapartida es que quien esté en ese grupo escapa a todas las políticas, así que su lista de miembros, su uso y su contraseña se vigilan de forma especial.