Actualización y vida útil del token PIM (Administración de identidad privilegiada)

Con PIM (Gestión de identidades privilegiadas), los administradores pueden reducir la superficie de ataque limitando el tiempo en el que se pueden utilizar los privilegios.

Un ejemplo podría ser Jane del servicio de asistencia técnica, a quien se le ha asignado la función de Administrador de usuarios.

Con PIM configurado, Jane tendrá que solicitar explícitamente utilizar el rol de Administrador de usuarios por un tiempo limitado.

Fuera del tiempo solicitado, Jane no podrá utilizar el rol. ¿O ella…?

Actualización del token PIM

Todas las acciones hacia los recursos del gráfico de Azure AD requieren un token de acceso válido.

Al usar PIM, debeprimero solicitar un nuevo token de acceso después de que la función se haya asignado a través de PIM.

Cualquier sesión que se ejecute con un token obtenido antes de la activación de PIM no podrá utilizar los privilegios del rol asignado.

En Azure Portal, el navegador tiene la amabilidad de realizar la actualización del token después de la asignación de roles:

Pero tenga en cuenta que la actualización del token es específica de la aplicación. Entonces, dependiendo de la aplicación, es posible que deba realizar pasos adicionales después de asignar la función PIM.

Vida útil del token PIM

¿Qué pasa con la expiración (o desactivación explícita) de los privilegios asignados por PIM?

Básicamente, se aplica la misma regla general:

El token de acceso no reflejará el estado de caducidad del PIM antes de que se actualice.

Con una vida útil predeterminada del token de una hora, el usuario puede continuar realizando acciones privilegiadas hasta una hora después de que expire la asignación de funciones de PIM.

Hay algunas excepciones a esta regla. Las siguientes acciones invalidarán (casi) inmediatamente el token:

• Deshabilitar o eliminar la cuenta de usuario.
• Cambio o restablecimiento de contraseña.
• Habilitación de MFA.
• Revocación explícita del token.
• Detección de alto riesgo de usuario mediante Azure AD Identity Protection.

Estos eventos se conocen comúnmente como CAE (Evaluación de Acceso Continuo).

Usando Easy365Manager con PIM

Easy365Manager es un complemento para usuarios y computadoras de AD que consolida su administración de Active Directory y Office 365.

Easy365Manager se puede utilizar con PIM, ya que se basa en las API de seguridad nativas de Microsoft.

Con Easy365Manager, puede realizar toda la administración diaria de los buzones de correo de Office 365 directamente desde las propiedades del usuario de AD.

Esto incluso incluye tareas como la delegación del calendario, que generalmente requiere secuencias de comandos PowerShell complejas:

Con Easy365Manager, los usuarios de su servicio de asistencia técnica obtienen el beneficio de realizar toda la administración de Office 365 desde la interfaz intuitiva de AD; esto mejorará instantáneamente su eficiencia.

Además, puede eliminar su servidor Exchange local.

Descargue una prueba de 30 días completamente funcional aquí.

Easy365Manager no realiza ningún cambio en la infraestructura y puede ejecutarse en cualquier sistema con usuarios y computadoras de AD. Sólo toma unos minutos instalarlo y configurarlo.

Lea más sobre Easy365Manager aquí.