Cuentas de emergencia (break glass)

La guía oficial de Microsoft para las cuentas de acceso de emergencia lista, entre las situaciones que las justifican, que la federación no esté disponible por una caída del proveedor de identidad. De ahí se deduce el requisito central: deben ser cuentas solo de nube, con el dominio inicial del tenant, sin federar ni sincronizar desde un directorio local, para que no dependan de lo que puede fallar.

Una cuenta de emergencia que se autentica contra el mismo proveedor federado que acaba de caerse no sirve para la emergencia que la justifica.

La misma guía pide, como mínimo, dos cuentas, con el rol de Global Administrator asignado como activo permanente (no elegible), y un método de autenticación resistente al phishing: una llave de seguridad FIDO2 o autenticación por certificado. Pide también que no sea el mismo método que usan los demás administradores, para que un fallo del método habitual no deje sin acceso a las dos vías a la vez, y que sus credenciales no estén ligadas a ninguna persona concreta ni a su teléfono.

Abre cuentas-emergencia.csv. La columna de origen dice de dónde nace cada cuenta: del propio tenant o de un directorio sincronizado y federado. Una cuenta de emergencia que sale de la federación comparte su punto único de fallo.

La guía de Microsoft pide excluir las cuentas de emergencia de las políticas de acceso condicional que bloquean o restringen el inicio de sesión, normalmente con un grupo dedicado, porque de lo contrario una política que exige MFA o un dispositivo conforme podría dejarlas inservibles justo en la emergencia. Las políticas en solo informe no bloquean y no necesitan exclusión. Lee politicas-ac.txt y el estado de pertenencia al grupo.

La guía pide validar las cuentas de emergencia al menos cada 90 días, con un simulacro que compruebe que pueden iniciar sesión, administrar y disparar las alertas. Una cuenta que nadie ha probado en mucho tiempo es una cuenta de la que no se sabe si funciona. El inventario trae la fecha de su última validación y la fecha en que se exportó.