Cómo aplicar MFA para administradores delegados de Microsoft 365
Es común en la mayoría de las organizaciones que utilizan los servicios de Microsoft 365 o Azure que, en algún lugar, alguien tenga un nivel de control administrativo delegado sobre su inquilino y es posible que usted aún no lo sepa. Esa persona u organización con control administrativo sobre su entorno probablemente tenga tanto control como usted. A menudo tampoco se trata de un solo usuario, sino que departamentos enteros pueden tener el control delegado sobre su entorno y, a menudo, incluso usuarios que no lo necesitan.
Este control delegado generalmente se proporciona a través del programa Proveedor de soluciones en la nube de Microsoft.
En esta publicación, le mostraré cómo puede proteger a su inquilino y garantizar que los terceros con control administrativo delegado cumplan con sus políticas de seguridad.
Comprender el problema del administrador delegado
Cuando busca obtener una licencia para su patrimonio de Microsoft 365, a menudo puede ser más rentable (¡y puede recibir un mejor soporte!) utilizando un proveedor externo. Al establecer esta relación, a menudo el tercero solicitará permisos administrativos delegados y usted se los otorgará. Porque te están dando un buen trato y confías en ellos, ¿verdad…?
Ahora bien, para ir un paso más allá, diferentes CSP suelen ofrecer diferentes servicios. Por ejemplo, su empresa de soporte de TI subcontratada estándar puede tener derechos delegados sobre su inquilino mientras le otorgan licencias comerciales o empresariales. Entonces, un proveedor de voz de Teams especializado puede tener el mismo acceso, ya que proporciona licencias de planes de llamadas para su inquilino. Entonces, otra empresa especialista en MS Dynamics podría volver a tener el mismo acceso, ya que proporciona licencias y soporte de Business Central... ¿entiendes a qué me refiero?
¿Cómo saber si todos estos CSP cumplen con estrictas políticas de seguridad para sus propios inquilinos? Podrías preguntárselo… pero sería negligente asumir que lo que te dicen es exacto.
Resolviendo el problema del administrador delegado
Afortunadamente, resolver este problema es bastante sencillo con el acceso condicional. Con el acceso condicional puede especificar a quién desea que se le aplique una política específica. Esto significa que si desea que cierto usuario tenga que cumplir con una política más estricta, puede hacerlo. En cualquier caso, recomendaría que los usuarios externos sigan una política más estricta.
En nuestro caso, podemos crear una política de acceso condicional que se aplique a usuarios externos. Ahora, para el caso de los proveedores de soluciones en la nube (CSP), los CSP con acceso delegado se marcan como "usuarios de proveedores de servicios" y también se clasifican como usuarios externos. Esto se ve en la propiedad booleana (sí/no) dentro de Microsoft Graph, "isServiceProvider".
Cómo identificar qué socios CSP tienen acceso a su inquilino
Si bien algunos socios pueden requerir un nivel de acceso administrativo a su inquilino para realizar sus obligaciones contractuales, es posible que otros no. Puede comprobar qué socios tienen acceso a su inquilino a través del centro de administración de Microsoft 365 y de Azure Active Directory.
Desde el centro de administración de Microsoft 365
Vaya a Configuración > Relaciones con socios
Desde Azure Active Directory
En Administrar, seleccione Socios administradores delegados.
Si le preocupa el nivel de acceso que tiene su CSP, debe comunicarse con él directamente para discutirlo.
Cree una política de acceso condicional para proveedores de servicios con acceso de administrador delegado
1. Comience abriendo Azure Active Directory y navegando a Acceso condicional, Azure Active Directory > Seguridad > Acceso condicional.
2. Seleccione Nueva política
3. Ingrese un nombre significativo para su póliza
4. En Asignaciones, haga clic en Seleccionar usuarios y grupos > Usuarios invitados o externos y luego marque la casilla junto a Usuarios del proveedor de servicios.
5. EnAplicaciones o acciones en la nube, seleccioneTodas las aplicaciones en la nube.
6. En Controles de acceso, seleccione Conceder, luego seleccione Requerir solidez de autenticación y elija su requisito de autenticación personalizado.
Si no está seguro de cómo crear una configuración de intensidad de autenticación personalizada, consulte mi tutorial; Cómo configurar Requerir fuerza de autenticación en acceso condicional.
Alternativamente, puede seleccionar "Requerir autenticación multifactor", pero podría decirse que esto es menos seguro.
7. Ahora vamos a habilitar los controles de sesión para garantizar que cuando se cierre el navegador del usuario, la sesión se cierre y también para garantizar que después de 1 hora la sesión requiera una nueva autenticación.
Seleccione Sesión y luego marque la casilla junto a Frecuencia de inicio de sesión y configúrela en 1 hora. Luego marque la casilla junto a Sesión de navegador persistente y seleccione Nunca persistente.
8. Por último, puede configurar la política en Activada y hacer clic en Crear.