Cómo modificar los valores predeterminados de seguridad con Microsoft Graph PowerShell

PowerShell nos permite realizar cambios en la configuración de nuestro Microsoft Entra Tenant de forma rápida y efectiva. También podemos usar PowerShell para garantizar que cuando se crean o incorporan nuevos inquilinos, cumplan con un estándar común establecido por la organización.

Los valores predeterminados de seguridad son una de las configuraciones más importantes para que cualquier administrador de inquilinos se asegure de que esté habilitado y, si no lo está, de que las políticas de acceso condicional estén implementando la protección.

En este tutorial, le mostraré cómo habilitar y deshabilitar los valores predeterminados de seguridad en su inquilino mediante Microsoft Graph PowerShell.

Ver la configuración actual de los valores predeterminados de seguridad

Para ver cómo está configurada su configuración actual de valores predeterminados de seguridad mediante Microsoft Graph PowerShell, puede utilizar el cmdlet Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy. Si bien este comando recupera mucha información, utilice el siguiente ejemplo para ver el atributo IsEnabled que le indicará si los valores predeterminados de seguridad se aplican o no.

Get-MgPolicyIdentitySecurityDefaultEnforcementPolicy | Select DisplayName, IsEnabled

Su salida se verá similar a la siguiente:

DisplayName       IsEnabled
-----------       ---------
Security Defaults     False

Para determinar si los valores predeterminados de seguridad están habilitados o deshabilitados en su inquilino, revise la siguiente lista:

• IsEnabled=False: la seguridad predeterminada está deshabilitada.
• IsEnabled=True: el valor predeterminado de seguridad es habilitado.

Modificar los valores predeterminados de seguridad mediante Microsoft Graph PowerShell

En muchos casos, es posible que deba desactivar los valores predeterminados de seguridad en favor de controles más granulares mediante el acceso condicional, que es la única razón por la que debería desactivar los valores predeterminados de seguridad.

Para modificar esta configuración con Microsoft Graph PowerShell, utilice el comando de actualización similar Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy.

Comience conectándose a Graph con los permisos mínimos requeridos 'Policy.ReadWrite.SecurityDefaults'.

Connect-MgGraph -scope Policy.ReadWrite.SecurityDefaults

Una vez que esté conectado, ejecute los siguientes comandos para habilitar o deshabilitar los valores predeterminados de seguridad.

$body = @{
	isEnabled = $false/$true
}

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy -BodyParameter $body

Solución de problemas

Como el comando Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy es bastante específico, existe la posibilidad de que te encuentres con un error al intentar ejecutarlo. También puede notar que, aunque el parámetro -IsEnabled está presente y configurado para aceptar un valor booleano Verdadero/Falso, aún falla cuando intenta ejecutarlo.

Puede ver el atributo IsEnabled ejecutando el siguiente comando:

(Get-Command "Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy").Definition

El resultado incluirá el siguiente párrafo de texto relacionado con este parámetro:

[Parameter(ParameterSetName='UpdateExpanded')]
[Microsoft.Graph.PowerShell.Category ('Cuerpo')]
[System.Management.Automation.SwitchParameter]
# Si se establece en verdadero, los valores predeterminados de seguridad de Azure Active Directory están habilitados para el inquilino.
$ {IsEnabled}

Sin embargo, cuando intenta ejecutar el siguiente comando para habilitar los valores predeterminados de seguridad, se encuentra con estos errores:

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy -IsEnabled $true

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy: no se puede encontrar un parámetro posicional que acepte el argumento "Verdadero".

En cambio, al eliminar el valor $true del comando, los valores predeterminados de seguridad se habilitan correctamente.

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy -IsEnabled

Si está habilitando los valores predeterminados de seguridad, también debe asegurarse de no tener ninguna política de acceso condicional configurada en Microsoft Entra; si la tiene, el comando fallará con el siguiente error:

Update-MgPolicyIdentitySecurityDefaultEnforcementPolicy: las políticas de acceso condicional están habilitadas. Desactívelo y vuelva a intentarlo.