Cómo evitar que los usuarios accedan al portal de Microsoft Entra

El portal de Microsoft Entra contiene mucha información sobre sus usuarios, dispositivos, grupos y roles privilegiados en su directorio. Un atacante puede utilizar esta información para obtener una visión detallada de su entorno y explotarla para obtener más acceso.

El acceso al Portal de Microsoft Entra debe restringirse solo a aquellos que lo necesitan y, como mínimo, asegurarse de implementar mecanismos de autenticación más sólidos para acceder a él. En este tutorial, le mostraré cómo restringir el acceso al portal de Microsoft Entra y las advertencias al hacerlo.

Evitar que los usuarios accedan al portal de Microsoft Entra

Para realizar estos pasos, debe tener asignado el rol de Administrador global.

1. Inicie sesión en el Centro de administración de Microsoft Entra.

2. Expanda Identidad y seleccione Usuarios > Configuración de usuario.

3. Establezca Restringir el acceso al centro de administración de Microsoft Entra ID en Sí.

Evite que los usuarios accedan al portal de Microsoft Entra con Microsoft Graph PowerShell

Actualmente, Microsoft Graph no admite la modificación de esta configuración mediante la API. Cuando sea compatible, esta publicación se actualizará con los pasos relevantes. Puede estar atento al registro de cambios de Microsoft Graph aquí.

¿Por qué impedir el acceso al portal de administración de Microsoft Entra?

No se recomienda bloquear el acceso al portal de Entra para aumentar la seguridad, ya que fundamentalmente no lo hará. Los usuarios aún podrán acceder a estos recursos utilizando las API asociadas a ellos o simplemente con PowerShell.

Sin embargo, bloquear el acceso garantizará que los recursos que poseen los usuarios no se puedan configurar incorrectamente accidentalmente, lo que luego obligará a los usuarios a seguir otros flujos de trabajo implementados por la empresa.

En algunos escenarios en los que los usuarios pueden necesitar acceder al portal, se pueden solucionar. Por ejemplo, para ver revisiones de acceso, los usuarios pueden ir a myaccess.microsoft.com y, para cualquier otra tarea, se puede crear una función personalizada que les permita acceder nuevamente.

¿Qué funciones de Microsoft Entra me permitirán acceder al portal de Microsoft Entra?

Cualquier función de Microsoft Entra, incluidas las funciones personalizadas le permitirá acceder al portal de Microsoft Entra, incluso si se ha deshabilitado para los usuarios habituales.

¿Puedo seguir accediendo a PIM después de restringir el portal de Microsoft Entra?

Sí. Para acceder al portal Privileged Identity Management (PIM), deberá navegar al siguiente portal: https://entra.microsoft.com/#view/Microsoft_Azure_PIMCommon/CommonMenuBlade/~/quickStart