Dos sistemas de permisos, un mismo inicio de sesión

Los roles de directorio de Microsoft Entra (Global Administrator, User Administrator, Application Administrator…) controlan lo que se puede hacer con el directorio: crear usuarios, restablecer contraseñas, registrar aplicaciones. Los roles de Azure RBAC (Owner, Contributor, Reader y cientos de roles específicos de servicio) controlan lo que se puede hacer con los recursos de una suscripción. Los dos sistemas se protegen de forma independiente: una asignación en uno no concede nada en el otro.

Hay una excepción documentada y deliberada: un Global Administrator puede activar la opción «Access management for Azure resources» y asignarse a sí mismo el rol User Access Administrator en el ámbito raíz. Es una puerta de recuperación, y por eso mismo debe quedar registrada y cerrarse después de usarla.

Un rol de directorio no abre los recursos y un rol de recurso no abre el directorio; solo la elevación documentada de un Global Administrator conecta los dos mundos.

Antes de asignar un rol se pregunta sobre qué cosa se va a actuar. Si la persona debe crear o reiniciar una máquina virtual, es un recurso, y el rol es de Azure RBAC, con el ámbito más estrecho que sirva. Si debe restablecer contraseñas o registrar aplicaciones, es el directorio, y el rol es de Entra. Un rol de directorio asignado «por si acaso» no da acceso a ningún recurso, pero sí da poder sobre las identidades de toda la organización.

El rol correcto sale de dos respuestas: sobre qué cosa actúa la persona y cuál es el ámbito mínimo donde lo necesita.

Abre roles-de-directorio.txt. El rol Global Administrator es el más alto del directorio: la recomendación es que haya pocos, que dos de ellos sean cuentas de emergencia reservadas para quedar dentro si falla la autenticación normal, y que nadie lo tenga de forma permanente para el trabajo diario. Contar quién lo tiene, y cuántos son de emergencia de verdad, es el primer paso de cualquier revisión.

La elevación de acceso deja dos rastros en el registro de auditoría de Entra: una entrada cuando el Global Administrator se asigna User Access Administrator en el ámbito raíz y otra cuando ese rol se retira. Cada elevación debe tener su pareja de cierre. Una elevación sin cierre es un acceso total a todas las suscripciones que sigue abierto, y si la hizo una cuenta de emergencia, además es una alarma por sí sola: esas cuentas casi nunca se usan.

Abre elevaciones.txt y empareja cada elevación con su retiro.