Restringir el acceso de los usuarios a Azure AD PowerShell y MS Graph Explorer

Todos sabemos que cualquier usuario de Microsoft Entra ID puede leer los detalles de los usuarios y la información del directorio utilizando el portal Entra ID, PowerShell y Graph API Explorer. Aunque tienen restricciones para realizar cambios, los no administradores aún pueden explorar información del usuario, detalles del grupo, detalles del dispositivo, etc. Esto plantea un gran problema de seguridad ya que los piratas informáticos siempre explotan a los usuarios menos privilegiados para obtener acceso a información extensa dentro de su entorno de Microsoft 365. Entonces, profundicemos en cómo restringir el acceso de los usuarios a Azure AD PowerShell y Microsoft Graph Explorer.

¿Dónde pueden acceder los no administradores a la información del directorio de entrada?

Los usuarios pueden acceder a la información de otros usuarios de varias maneras, incluso si no son administradores.

Centro de administración y portal de Entra ID: los usuarios pueden navegar al centro de administración de Microsoft 365, así como al portal de Entra ID para acceder a la información del usuario.
PowerShell: a través de los comandos de PowerShell, los usuarios pueden recuperar información del directorio de Microsoft Entra ID. Incluso si no son administradores, pueden ejecutar cmdlets como 'Get-MgUser', 'Get-MgGroup' para recuperar información de usuarios y grupos.
Graph Explorer: Microsoft Graph Explorer permite a los usuarios interactuar con las API de Microsoft Graph para acceder a una amplia gama de datos, incluida la información del usuario. Los usuarios pueden autenticarse y realizar solicitudes de API para recuperar los detalles del usuario.

Como la información de los usuarios está dispersa por todas partes, resulta esencial restringir el acceso de los no administradores al portal Entra ID, Azure AD PowerShell, Graph PowerShell y Graph Explorer. Empecemos.

Restringir el acceso de los usuarios a Azure AD PowerShell
Restringir el acceso de los usuarios a Microsoft Graph PowerShell y Graph Explorer

- Bloquear el acceso de los usuarios a Microsoft Graph PowerShell en Entra ID
- Bloquear el acceso de los usuarios a Graph Explorer con una política de acceso condicional

Restringir el acceso de los usuarios a Azure AD PowerShell

Aunque Microsoft Graph se ha convertido en la herramienta de referencia para la gestión de Entra ID, MSOnline sigue siendo una opción poderosa para acceder a la información del usuario. Para mitigar este riesgo de seguridad, los administradores pueden restringir el acceso de los usuarios a Azure AD PowerShell.

1. Para impedir que las cuentas de usuario accedan a Azure AD PowerShell mediante MS Graph, siga los pasos que se indican a continuación.

En primer lugar, conéctese a Microsoft Graph PowerShell.

Para impedir que los usuarios accedan a los datos de otros usuarios mediante MSOnline, ejecute el siguiente cmdlet. El comando requiere un parámetro AuthorizationPolicyId para especificar qué política desea actualizar. Puede ejecutar Get-MgPolicyAuthorizationPolicy para recuperar una lista de todas las políticas de autorización.

Update-MgPolicyAuthorizationPolicy -AuthorizationPolicyId <AuthorizationPolicyId> -BlockMsolPowerShell $true

El cmdlet ‘-BlockMsolPowerShell’ impide que los usuarios utilicen una herramienta anterior (MSOL PowerShell) para administrar su inquilino de Microsoft 365. Esto no afecta a Microsoft Entra Connect ni a Microsoft Graph.

2. Para impedir que las cuentas de usuario lean la información de otros usuarios usando MSOnline, siga los pasos a continuación.

En primer lugar, conéctese a Azure AD PowerShell y ejecute el siguiente cmdlet.

Set-MsolCompanySettings -UsersPermissionToReadOtherUsersEnabled $false

Aquí, Set-MsolCompanySettings se usa para modificar la configuración de toda la empresa en Microsoft 365. El parámetro -UsersPermissionToReadOtherUsersEnabled controla si los usuarios tienen permiso para leer información sobre otros usuarios.

Después de ejecutar este cmdlet, los usuarios aún tienen acceso a Azure AD a través de PowerShell, pero no pueden leer la información de otros usuarios. Si los usuarios intentan leer datos de Azure AD, encontrarán el mensaje "Acceso denegado".

3. Para restringir el acceso a PowerShell a todos excepto a una lista de administradores, Microsoft ha desarrollado un script de PowerShell. La ejecución de este script bloqueará PowerShell para todos excepto para una lista de administradores especificados en el archivo CSV.

Tenga en cuenta: El cmdlet de Azure AD y el script de Microsoft mencionados anteriormente dependen de cmdlets, que Microsoft ya retiró el 30 de marzo de 2024. Sin embargo, Microsoft se aseguró de que MSOnline seguirá funcionando hasta el 30 de marzo de 2025. Las versiones de MS Online anteriores a la 1.1.166.0 (lanzadas en 2017) ya no recibirán actualizaciones y podrían tener problemas después del 30 de junio de 2024.

Además de Azure AD PowerShell, los usuarios aún pueden navegar a "portal.azure.com" y "entra.microsoft.com" para acceder a la información de los usuarios. Por lo tanto, es recomendable considerar también restringir el acceso de los usuarios al portal de Azure. Pero ejecutar estos métodos bloqueará cuentas de usuario enteras en la organización, lo cual no es nada bueno.

Restringir el acceso de los usuarios a Microsoft Graph PowerShell y Graph Explorer

Para bloquear el acceso de no administradores a Microsoft Graph PowerShell y Graph Explorer, podemos usar el centro de administración de Microsoft Entra o la política de acceso condicional.

Bloquear el acceso de los usuarios a Microsoft Graph PowerShell en Entra ID

Caso 1: Limitar el acceso del usuario a Microsoft Graph PowerShell en Entra ID

Para impedir que usuarios no autorizados accedan a Microsoft Graph PowerShell mediante el portal Entra ID, siga los siguientes pasos.

Abra el centro de administración de Microsoft Entra.
Vaya a Identidad -> Aplicaciones —> Aplicaciones empresariales -> Todas las aplicaciones.
Seleccione Microsoft Graph PowerShell.
Haga clic en Propiedades en la pestaña "Administrar".
Cambie el interruptor "¿Se requiere tarea?" a Sí para restringir el acceso.
Seleccione Guardar.

Si la "Opción de asignación requerida" está configurada en Sí, los usuarios deben estar asignados a esta aplicación antes de poder acceder a ella.

Nota: si desea impedir por completo que los usuarios inicien sesión en Microsoft Graph PowerShell, cambie la opción "¿Habilitado para que los usuarios inicien sesión?" a No en la misma página.

Caso 2: Agregar o quitar usuarios para acceder a Microsoft Graph PowerShell en Entra ID

Ahora, los administradores pueden agregar usuarios o grupos específicos que pueden acceder a Microsoft Graph PowerShell.

En la misma página "Microsoft Graph PowerShell", haga clic en Usuarios y grupos en la pestaña "Administrar".
Seleccione Agregar usuario/grupo.
En "Usuarios y grupos", elija los usuarios y grupos necesarios y haga clic en Guardar.

Nota : Del mismo modo, puede restringir el acceso de los usuarios a la aplicación Graph Explorer en Microsoft Entra eligiendo "Graph Explorer" en la lista de aplicaciones. Graph Explorer no aparecerá en la lista "Todas las aplicaciones" a menos que hayan sido utilizadas por al menos un usuario.

¡Ahora pasemos al siguiente método!

Bloquear el acceso de los usuarios a Graph Explorer con una política de acceso condicional

Además del portal Entra ID, puede utilizar las políticas de acceso condicional para restringir Graph Explorer a un grupo selecto de usuarios. Sin embargo, tenga en cuenta que la creación de una política de acceso condicional requiere al menos una licencia Microsoft Entra ID P1 para su inquilino.

Para restringir Graph Explorer para usuarios específicos que utilizan la política de acceso condicional, siga los pasos a continuación:

Abra la página Acceso condicional en el centro de administración de Microsoft Entra.
Haga clic en Crear nueva política.
Nombre su política de acceso condicional.
En Asignaciones, seleccione 'Usuarios'. Ahora especifique los usuarios y grupos a quienes se aplicará esta política. Puede excluir administradores de esta política según los requisitos. En caso de que desee restringir a todos los usuarios, seleccione "Todos los usuarios".
Luego, seleccione 'Recursos de destino' y elija Seleccionar aplicaciones en la sección 'Aplicaciones en la nube'. Ahora, haga clic en 'Buscar' y agregue la aplicación llamada Graph Explorer. Haga clic en el botón 'Seleccionar' .
En Controles de acceso, seleccione 'Conceder' y elija la opción 'Bloquear acceso'. Luego, haga clic en el botón Seleccionar .
Confirme su configuración y habilite la política.
Haga clic en 'Crear' para crear su política de CA.

Nota : De la misma manera, puede bloquear el acceso de los usuarios a "Microsoft Graph PowerShell" mediante la política de acceso condicional eligiendo "Microsoft Graph PowerShell" en "Aplicaciones en la nube".

Si sigue estos pasos, puede restringir de manera efectiva el acceso a MS Graph Explorer para usuarios designados, bloqueando la capacidad de los atacantes de acceder a los detalles del usuario. Además, los administradores pueden usar PowerShell para exportar políticas de CA, lo que les permite revisar y verificar las configuraciones de políticas sin conexión.

Después de esto, los usuarios que intenten acceder a Graph Explorer pueden encontrar un mensaje de error similar al siguiente:

Aunque estas poderosas herramientas como MS Graph PowerShell y Graph Explorer son útiles en la administración de usuarios, incluso un uso indebido leve puede generar amenazas potenciales a los datos. De esta manera, puede evitar que los piratas informáticos exploten las cuentas con menos privilegios, garantizando la seguridad.