¿Qué son los atributos de seguridad personalizados de Azure AD?
Microsoft lanzó una nueva y valiosa característica de Azure en diciembre de 2021: atributos de seguridad personalizados. Esta característica aún está en versión preliminar.
Los atributos de seguridad personalizados permiten a las organizaciones definir nuevos atributos para satisfacer sus necesidades. Estos atributos se pueden usar para almacenar información o, más notablemente, implementar controles de acceso con el control de acceso basado en atributos (ABAC) de Azure.
Azure ABAC, que también está en versión preliminar, permite a una organización definir reglas de acceso basadas en el valor del atributo de un objeto. Por ejemplo, puede otorgar acceso a un recurso en particular a todos los usuarios que tengan el atributo personalizado "Proyecto" establecido en "Beta".
Adoptar atributos de seguridad personalizados de Azure es muy sencillo. Están disponibles para todo el inquilino, pueden admitir varios tipos de datos y pueden ser de valor único o múltiple. Se pueden aplicar a usuarios, aplicaciones e identidades administradas.
Cómo configurar atributos de seguridad personalizados
Requisito previo
Para configurar los atributos de seguridad personalizados de Azure AD, debe tener el rol de "Administrador de definición de atributos" o el rol de "Administrador de asignación de atributos". Estos son dos de los cuatro nuevos roles relacionados con atributos de seguridad personalizados:
Procedimiento
Supongamos que queremos crear un conjunto de atributos llamado "Acceso" para controlar el acceso a los recursos en Azure AD. Para crear este conjunto de atributos y configurar sus atributos personalizados, siga los siguientes pasos.
1. Navegue hasta la hoja "Atributos de seguridad personalizados" en Azure Active Directory y haga clic en el botón "Agregar conjunto de atributos".
2. Configure el primer atributo del conjunto. Lo llamé "Nivel" porque se usará para garantizar que solo los usuarios a los que se les haya asignado un nivel particular tengan acceso a ciertos recursos en Azure AD.
3. Ahora usemos el nuevo atributo para controlar el acceso mediante el control de las asignaciones de roles. La siguiente captura de pantalla muestra cómo configurar un grupo de recursos para otorgar la función "Lector de datos de blobs de almacenamiento" solo cuando la entidad principal que intenta acceder a él tiene un valor de atributo "Nivel de acceso" de 1.
4. Por último, necesito configurar el atributo de seguridad 'Nivel' en todos los objetos a los que quiero que puedan acceder en este grupo de recursos con la función de lector de datos. A continuación se explica cómo asignar el valor requerido de 1 a este atributo para un usuario en particular:
Limitaciones y consideraciones
Parece haber algunas limitaciones a la hora de implementar atributos de seguridad personalizados para las asignaciones de roles dinámicos: los únicos roles a los que parece que se les pueden otorgar condiciones para acceder a los recursos hasta ahora parecen ser los que contienen acciones relacionadas con los blobs de almacenamiento. Esto incluye Colaborador de datos de Storage Blob, Propietario de datos de Storage Blob y Lector de datos de Storage Blob, así como cualquier rol personalizado que proporcione el mismo conjunto de acciones que esos tres roles.
A pesar de esta limitación, la funcionalidad de atributos personalizados es un gran paso adelante para hacer que el control de acceso detallado esté disponible y sea fácil de configurar.