Acceso condicional, o cuándo se pide más

Una política de acceso condicional es un «si esto, entonces aquello»: asignaciones (a quién, a qué aplicación, bajo qué condiciones) y controles (bloquear, o conceder exigiendo algo como MFA o un dispositivo compatible). Pueden aplicar varias políticas al mismo inicio de sesión, y entonces se deben cumplir todas. Un control de bloqueo gana sobre cualquier concesión.

Que una política exista no significa que proteja: depende de su estado y de a quién deja fuera.

El modo solo informe evalúa la política con cada inicio de sesión y registra el resultado, pero no aplica el control. Sirve para probar el efecto de una política antes de activarla. El defecto está en dejarla ahí: en el registro aparece como reportOnlyFailure o reportOnlySuccess, y el acceso se concede igual. Una política crítica en este modo es una política que, a efectos de seguridad, no existe.

Abre politicas-ac.txt. Entre las políticas hay una que exige MFA a los roles de administrador sobre Microsoft Azure Management, la puerta de acceso a la gestión de recursos. Lee su columna de estado: una política con el control correcto, en un estado que no aplica, deja el hueco abierto.

Las exclusiones de las políticas son legítimas en un caso: las cuentas de emergencia, que deben poder entrar aunque falle el segundo factor. Cualquier otra exclusión es una deuda con fecha de caducidad. notas-ac.txt explica por qué se excluyó a cada cuenta. Una exclusión sin fecha de retiro, sobre una cuenta con rol de administrador, es una puerta sin cerradura.

El registro de inicios de sesión muestra, para cada intento, el resultado de cada política. Es la prueba de que una política mal configurada se tradujo en un acceso real: una sesión de administrador sin MFA, con la política que debía protegerla en solo informe y la de MFA general sin aplicar por la exclusión. Para una revisión, lo que importa es poder señalar el inicio de sesión exacto.