Migrar políticas de riesgo de protección de identidad a acceso condicional
Las políticas de riesgo de protección de identidad en Microsoft Entra le permiten aplicar controles de bloqueo a las cuentas de usuario si el servicio de protección de identidad detecta que un usuario tiene un nivel de riesgo elevado. Estos niveles de riesgo se determinan en el nivel de usuario o en el nivel de inicio de sesión. El nivel de usuario detecta actividades de riesgo vinculadas al propio usuario, como credenciales filtradas, inteligencia sobre amenazas o actividad sospechosa. . El nivel de riesgo de inicio de sesión detecta actividades de riesgo en el nivel de solicitud de autenticación, como viajes atípicos y ataques de pulverización de contraseñas . o direcciones IP desconocidas.
Cuando se lanzó la función por primera vez, se pusieron a disposición políticas para configurar controles para una identidad de usuario con un nivel de riesgo elevado, como requerir un restablecimiento de contraseña o bloquear una cuenta. Estas políticas ahora se consideran heredadas y en esta publicación le mostraré cómo migrarlas a políticas de acceso condicional.
¿Cuándo se retirarán las políticas de riesgo de protección de identidad?
Microsoft ha anunciado que las políticas de riesgo heredadas de Microsoft Entra ID Protection se retirarán el 1 de octubre de 2026.
Informar políticas de riesgo de protección de identidad
El primer paso para migrar a políticas de acceso condicional es informar qué configuración tiene actualmente. Para ver esto desde el centro de administración de Microsoft Entra, siga los pasos a continuación:
1. Inicie sesión en https://entra.microsoft.com/ como administrador global.
2. Expanda Protección y seleccione Protección de identidad.
3. En proteger, seleccione Política de riesgo del usuario o Política de riesgo de firma.
4. Navegue hasta cada política y documente el Usuario, el riesgo del usuario y los Controles.
Actualmente no es posible ver ni administrar estas políticas heredadas con Microsoft Graph PowerShell.
Migración a políticas de acceso condicional
El método más sencillo para migrar estas políticas al acceso condicional es utilizar la función de plantillas de acceso condicional en Microsoft Entra. Siga los pasos a continuación para migrar a políticas de acceso condicional para usuarios e inicios de sesión de riesgo.
1. Inicie sesión en https://entra.microsoft.com/ como administrador global.
2. Expanda Protección y seleccione Acceso condicional.
3. Haga clic en Crear nueva política(si ha configurado tanto el riesgo del usuario como el riesgo de inicio de sesión, debe crear dos políticas).
4. Defina un nombre para su política y configure las asignaciones a sus usuarios y recursos de destino. Lo ideal sería dirigirse a todos los usuarios y a todas las aplicaciones en la nube y luego excluir las cuentas de emergencia.
5. En la sección Condiciones, defina el riesgo del usuario O el riesgo de inicio de sesión para una única política.
6. Luego, dependiendo de los controles que desee implementar, en la sección Otorgar control, Bloquear acceso o requerir un cambio de contraseña.
7. Ahora establezca la política en solo informe y guárdela.
8. Haga lo mismo con su segunda póliza para riesgos de usuario o de inicio de sesión, dependiendo de si está utilizando ambas funciones.
El acceso condicional proporciona controles mucho más granulares sobre sus políticas de seguridad de identidad que las políticas de protección de identidad heredadas. En esta etapa, también puede considerar implementar controles complementarios, como exigir el cumplimiento del dispositivo o un método de autenticación más sólido, además o como alternativa a políticas de mayor riesgo.
También puede crear políticas basadas en plantillas predefinidas de Microsoft. En la hoja Acceso condicional en Microsoft Entra, simplemente haga clic en Crear nueva política a partir de plantillas y elija cualquiera de las políticas de riesgo disponibles.
Estas políticas también se pueden configurar con Microsoft Graph PowerShell; consulte las siguientes publicaciones de blog a continuación para obtener más información:
- Cómo implementar plantillas de acceso condicional con Graph PowerShell
- Cómo crear políticas de acceso condicional con Microsoft Graph PowerShell
Monitorear el inicio de sesión y habilitar las políticas de acceso condicional
Mientras sus políticas estén en modo Solo informe, debe monitorear continuamente el impacto que esto tendrá en sus usuarios. En un nivel alto, ya tenía habilitadas las políticas heredadas, por lo que el impacto no debería ser una preocupación importante. Sin embargo, supervise los registros de inicio de sesión de acceso condicional, así como los informes de riesgos en Protección de identidad para evaluar el impacto.
Usuarios e inicios de sesión riesgosos
Registros de errores de acceso condicional
Cuando se encuentre en una etapa cómoda, habilite las políticas de acceso condicional.
Deshabilite las antiguas políticas de riesgo de protección de identidad
Siga los pasos a continuación para deshabilitar las políticas antiguas de Riesgo de protección de identidad una vez que sus políticas de acceso condicional estén habilitadas.
1. Inicie sesión en https://entra.microsoft.com/ como administrador global.
2. Expanda Protección y seleccione Protección de identidad.
3. Vaya a la política de riesgo del usuario y a la política de riesgo de inicio de sesión y establezca aplicación de políticas en desactivada. .
Terminando
Las políticas de riesgo de Identity Protection se consideran un legado desde hace bastante tiempo, aunque Microsoft ha definido recientemente una fecha para este retiro. Fijando la fecha de jubilación con tanta antelación, los clientes no tienen excusa para completar esta migración a tiempo.