Integración del contexto de autenticación de Azure AD en Privileged Identity Management

La administración de identidades privilegiadas (PIM) es un aspecto importante de Azure Active Directory que ayuda a las organizaciones a administrar y proteger sus recursos y sistemas críticos. Sin embargo, no basta con tener PIM implementado. Es igualmente importante contar con controles adecuados para garantizar que solo los usuarios autorizados puedan acceder a los recursos privilegiados. Aquí es donde entra en juego el contexto de autenticación de acceso condicional.

Para hacer las cosas más cómodas, Microsoft también ha ampliado las capacidades del contexto de autenticación de Azure AD a Privileged Identity Management (PIM) de Azure AD, que se encuentra actualmente en versión preliminar pública. ¡Comencemos con el contexto de autenticación en Privileged Identity Management!

Para comprender mejor las configuraciones, comencemos desde cero.

¿Qué es la gestión de identidades privilegiadas (PIM)?

Las cuentas privilegiadas tienen amplio acceso a recursos críticos de una organización, lo que las convierte en un objetivo principal para los atacantes. Azure Active Directory Privileged Identity Management (AAD PIM) ayuda a administrar estas cuentas, lo que reduce el riesgo de abuso y acceso no autorizado. AAD PIM ayuda a las organizaciones a lograr esto al proporcionar acceso justo a tiempo y revisiones de acceso para roles privilegiados, lo que limita el riesgo de abuso de privilegios y acceso no autorizado. Se requiere una licencia de Azure AD Premium P2 para usar Privileged Identity Management en Azure AD.

¿Qué es el contexto de autenticación de acceso condicional?

El contexto de autenticación en Microsoft 365 es una característica que mejora la seguridad y agrega más detalles a las solicitudes de acceso, incluida información del dispositivo, ubicación del usuario, etc. En pocas palabras, los contextos de autenticación se parecen más a etiquetas de confidencialidad. Con el contexto de autenticación, se crea una etiqueta que le permite etiquetar los recursos que necesitan protección y controlar el acceso a esos recursos de una manera más granular. Las etiquetas de contexto de autenticación se pueden utilizar en políticas de acceso condicional, así como en etiquetas de confidencialidad.

Además de proteger datos confidenciales, el contexto de autenticación también se puede usar para proteger aplicaciones hospedadas en Azure. Esto puede evitar el acceso no autorizado a aplicaciones críticas y reducir el riesgo de violaciones de seguridad.

Configurar el contexto de autenticación de acceso condicional en Privileged Identity Management

Como se mencionó anteriormente, las capacidades extendidas del contexto de autenticación de Azure AD para la administración de identidades privilegiadas de AAD ya están en versión preliminar pública. ¿Se pregunta qué se puede hacer con esta nueva funcionalidad? Vea sus beneficios a continuación.

• Al combinar AAD PIM con el contexto de autenticación, las organizaciones pueden crear un marco de seguridad sólido para identidades privilegiadas.
• Cuando un usuario solicita acceso a una función o recurso privilegiado, el contexto de autenticación se utiliza para evaluar si el usuario cumple todos los requisitos de seguridad para esa función.
• Con el contexto de autenticación, las organizaciones pueden monitorear y rastrear el acceso de los usuarios a roles o recursos privilegiados, proporcionando mayor visibilidad e información sobre posibles amenazas a la seguridad o problemas de cumplimiento.

Nota: Para configurar el contexto de autenticación en Azure Active Directory Privileged Identity Management, debe tener permiso de administrador global con licencia P2 de Azure Active Directory.

Crear contexto de autenticación de acceso condicional

Aprenda cómo configurar el contexto de autenticación en Azure Active Directory a continuación:

1. Inicie sesión en el Portal de Microsoft Azure.
2. Vaya a Azure Active Directory -> Seguridad -> Acceso condicional -> Contexto de autenticación.
3. Seleccione + Nuevo contexto de autenticación.
4. Luego agregue el contexto de autenticación proporcionando un nombre propio y una descripción.
5. Asegúrate de que la casilla Publicar en aplicaciones esté marcada.
6. Haga clic en Guardar.

Crear una nueva política de acceso condicional con contexto de autenticación

Se recomienda crear una política de acceso condicional antes de configurar el contexto de autenticación en la configuración de PIM porque proporciona una capa adicional de protección para su sistema. Cuando alguien eleva su rol mediante Azure AD PIM, podemos activar la ejecución de una política de acceso condicional.

1. Inicie sesión en el centro de administración de Microsoft Entra .
2. Vaya a Azure Active Directory -> Seguridad -> Acceso condicional -> Crear nueva política.
3. Déle a la póliza un nombre propio.
4. Alcance la política para los usuarios elegibles del rol.
5. En Aplicaciones o acciones en la nube, establezca que la política se aplica al Contexto de autenticación.
6. Luego elija el contexto de autenticación respectivo que desea aplicar a la política.
7. En conceder, vaya a Conceder acceso -> Requerir solidez de autenticación -> MFA resistente al phishing y haga clic en Seleccionar.
8. Establezca el estado de la política en Activado.
9. Haga clic en Crear para guardar su política.

Nota: No debe crear una política de acceso condicional que tenga como alcance tanto el contexto de autenticación como la función del directorio durante la activación, ya que el usuario aún no tiene una función.

style="font-size: 23px;">¿Cómo etiquetar el contexto de autenticación en la configuración de roles de administración de identidades privilegiadas?

Aprenda a etiquetar el contexto de autenticación en la configuración del rol de administración de identidades privilegiadas de Azure AD. Anteriormente, solo teníamos la opción de requerir MFA para la elevación de un Azure AD cuando estaba definido en PIM.

¡Ahora Microsoft ha elevado las capacidades de Privileged Identity Management al permitirnos especificar el contexto de autenticación de acceso condicional de Azure AD!

1. Inicie sesión en el portal Azure Active Directory.
2. Vaya a Administración de identidades privilegiadas de Azure AD -> Roles de Azure AD -> Roles.
3. Seleccione el rol cuyas configuraciones desea configurar.
4. Abra la Configuración de rol del rol seleccionado. Allí se mostrará la configuración actual de su función PIM. Aquí he seleccionado 'Administrador de aplicaciones'.

5. Haga clic en Editar.
6. Elija el contexto de autenticación de acceso condicional de Azure AD (vista previa) en la configuración de activación.
7. Seleccione su menú desplegable allí podrá detectar los contextos de autenticación existentes.
8. Seleccione el contexto de autenticación de acceso condicional adecuado.
9. Puede especificar el aprobador según los requisitos. Si no se especifica a nadie, los administradores de roles privilegiados/administradores globales se convertirán en los aprobadores predeterminados.
10. Seleccione Actualizar.

Pruebas en tiempo real sobre la activación de roles de Azure AD:

Descubra qué sucederá cuando una cuenta de prueba que no forma parte del contexto de autenticación intente activar el rol.

1. Inicie sesión en el portal de Azure Active Directory.
2. Vaya a Administración de identidades privilegiadas de Azure AD -> Mis funciones.
3. Seleccione el rol de Administrador de aplicaciones y haga clic en Activar.
4. Luego se le dirigirá a una ventana donde verá el siguiente mensaje. “Hay una política de acceso condicional habilitada y puede requerir verificación adicional. Haz click para continuar. "

Verificaciones adicionales durante la activación del rol PIM:

Entonces, ¿qué pasará durante la activación del rol PIM?
Si el usuario no configura el método de autenticación segura, se le pedirá que agregue una autenticación adicional para completar el inicio de sesión.

Si el método de autenticación segura ya está incluido, debe completar el proceso de verificación para acceder al rol de Azure AD previsto.

Consulte los registros de inicio de sesión de Azure AD para obtener información e informes sobre políticas de CA

Al monitorear los inicios de sesión en Azure AD, es posible verificar si el usuario ha cumplido con los requisitos de la política de acceso condicional o no. Estos registros de inicio de sesión de Azure AD ayudan a las organizaciones a identificar posibles amenazas a la seguridad e implementar de forma proactiva las medidas adecuadas.

A continuación se explica cómo acceder a los registros de inicio de sesión de Azure:

Después de iniciar sesión en el portal de Microsoft Azure, navegue hasta Azure Active Directory -> Registros de inicio de sesión.

En conclusión, la administración de identidades privilegiadas y el contexto de autenticación de Azure Active Directory brindan a las organizaciones los medios para administrar de manera eficiente sus identidades privilegiadas y proteger los recursos confidenciales del acceso no autorizado.

Espero que este blog le haya ayudado a comprender la integración del contexto de autenticación en la gestión de identidades privilegiadas de Azure AD. Si tiene alguna consulta, ¡no dude en comunicarse con nosotros en los comentarios!