Puntos clave
- Configura PIM en el Centro de administración de Entra: activa PIM, asigna roles como «Apto», configura la duración de la activación, exige MFA y aprobación, y define el ámbito para controlar la gestión de privilegios.
- Políticas de activación de roles: define los requisitos de MFA, justificación y aprobación, la duración de la activación y los ajustes de notificación, y asegúrate de que todos los cambios queden auditados en los registros de Entra.
- Integración con PowerShell para el acceso JIT: usa Microsoft Graph o el módulo de PowerShell de Azure AD para automatizar asignaciones de roles con límite temporal e integrarlas con flujos de gestión de tickets o solicitudes de servicio.
- Aplicación local mediante el Registro y GPO: configura las directivas de grupo y el Registro para aplicar el principio del mínimo privilegio, denegar accesos innecesarios y exigir avisos de UAC en las tareas elevadas.
- Prácticas de auditoría y alertas: usa los registros de auditoría y herramientas SIEM para monitorizar las activaciones de roles, detectar usos sospechosos de privilegios y recibir alertas sobre actividad JIT inusual o intentos de MFA fallidos.
El acceso administrativo Just-in-Time (JIT) en Azure AD te permite conceder privilegios elevados para realizar tareas administrativas durante un tiempo limitado. Esto resulta útil tanto para los equipos de informática interna como para los MSP, ya que reduce el riesgo de que las cuentas con privilegios excesivos se utilicen en ciberataques.
Esta guía explica el acceso administrativo JIT de Azure e incluye los pasos para implementar un acceso administrativo con límite temporal mediante Microsoft Entra ID Privileged Identity Management (PIM), utilizando el Centro de administración de Entra, PowerShell y el Registro o las directivas de grupo para aplicarlo.
Objetivos principales del acceso JIT de Azure
El acceso administrativo permanente, es decir, el uso de cuentas de usuario con privilegios administrativos fijos, es un vector de ataque muy habitual. Reducir el número de estas cuentas privilegiadas disminuye la superficie de ataque, porque hay menos cuentas cuyas credenciales puedan filtrarse o cuyas sesiones puedan secuestrarse, lo que hace que tu infraestructura de TI sea más segura y cumpla mejor la normativa.
La elevación con límite temporal protege frente a esto concediendo a los usuarios privilegios administrativos solo después de una aprobación y una autenticación multifactor. Cuando la tarea termina, los privilegios administrativos del usuario caducan, por lo que su cuenta no puede utilizarse para un ataque ni para ninguna otra actividad administrativa no autorizada.
Al configurar el acceso JIT de Azure con Microsoft Entra Privileged Identity Management, los objetivos deberían incluir minimizar los permisos administrativos permanentes, exigir una justificación y la aprobación con MFA antes de la elevación, auditar toda la actividad administrativa y revocar automáticamente los permisos administrativos. El acceso JIT también debe utilizarse junto con otras buenas prácticas de seguridad, como el acceso condicional y las alertas.
Requisitos previos para usar Microsoft Entra ID Privileged Identity Management
Para usar PIM necesitarás:
- Una licencia Azure AD Premium P2 (obligatoria para PIM)
- Permisos de Administrador global o de Administrador de roles con privilegios para configurar PIM
- El Centro de administración de Microsoft Entra ID o PowerShell para la configuración
- Opcionalmente, una plataforma SIEM o RMM para la monitorización, las alertas y el despliegue de configuraciones
- Endpoints Windows inscritos en Intune o monitorizados mediante RMM para aplicar las políticas
Activar PIM y asignar roles aptos en el Centro de administración de Microsoft Entra ID
Para empezar, tienes que activar PIM y asignar roles en el Centro de administración de Microsoft Entra ID:
- Entra en el Centro de administración de Microsoft Entra.
- Ve a Gobernanza de identidades > Privileged Identity Management.
- Selecciona Roles de Microsoft Entra.
- Elige un rol (por ejemplo, Administrador global o Administrador de Exchange).
- Haz clic en Agregar asignaciones.
- Define al usuario como «Apto» para obtener privilegios con límite temporal.
- Define el ámbito (por ejemplo, todo el tenant o un recurso concreto).
- Configura los ajustes del rol por separado para definir la duración de la activación (por ejemplo, de 1 a 24 horas).
- Activa Requerir aprobación y Requerir MFA según necesites en los ajustes de activación.
Los usuarios tienen que activar los roles de forma explícita y su acceso caduca automáticamente. Para lograr la máxima seguridad, se recomienda exigir aprobación y MFA.
Configurar las políticas de activación de roles
Dentro de PIM puedes configurar las políticas que rigen cómo se activan los roles. Entre ellas:
- Si se requiere MFA
- Si se requiere una justificación
- Si se requiere aprobación (además puedes especificar qué usuarios pueden aprobar)
- La duración de la activación (por ejemplo, de 1 a 8 horas)
- Los ajustes de notificación
Estos ajustes se configuran en el Centro de administración de Entra seleccionando un rol y accediendo a Configuración > Configuración del rol
Exigir números de ticket o identificadores de caso como campos de justificación es una práctica habitual. Todos los cambios de configuración se pueden auditar en los registros de Entra.
Gestionar asignaciones JIT con PowerShell
También puedes usar Microsoft Graph o el módulo de PowerShell de Azure AD para asignar roles de forma programática, lo que resulta ideal para la integración con solicitudes de servicio o con flujos de trabajo automatizados de tickets que conceden acceso con ámbito limitado.
- Para ello, conéctate a Microsoft Graph con el comando:
Connect-MgGraph -Scopes "RoleManagement.ReadWrite.Directory"
- Después, muestra los roles y sus ID:
Get-MgRoleManagementDirectoryRoleDefinition
- Para crear una asignación de rol con límite temporal para un usuario, ejecuta lo siguiente:
$params = @{
Action = «adminAssign»
PrincipalId = $userId
RoleDefinitionId = $roleId
DirectoryScopeId = «/»
Justification = «Granting temporary access»
ScheduleInfo = @{
StartDateTime = (Get-Date).ToUniversalTime().ToString(«yyyy-MM-ddTHH:mm:ssZ»)
Expiration = @{
Type = «AfterDuration»
Duration = «PT4H» # ISO 8601 format for 4 hours
}
}
}
New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params
- Activa el rol manualmente desde el portal de Microsoft Entra (opcional).
Aplicar el Registro y las directivas de grupo para alinear la política local
Aunque JIT funciona en el cloud, los sistemas locales deberían configurarse con un enfoque de mínimo privilegio y con auditoría activada.
Por ejemplo, puedes usar el objeto de directiva de grupo (GPO) ubicado en Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Asignación de derechos de usuario para Denegar el acceso a este equipo desde la red a determinados usuarios o grupos. Este ajuste impide que esas cuentas utilicen el derecho de inicio de sesión a través de la red, pero no restringe todas las formas de conexión remota.
El Registro de Windows también se puede utilizar para imponer valores predeterminados más estrictos en el comportamiento de la elevación, como exigir avisos de UAC. Por ejemplo:
- EnableLUA = 1 garantiza que el Control de cuentas de usuario (UAC) esté activado.
- ConsentPromptBehaviorAdmin = 1 configura el UAC para que los administradores en modo de aprobación de administrador tengan que dar su consentimiento al realizar operaciones que requieren elevación. Sin embargo, esto no significa que todas las acciones administrativas muestren siempre un aviso: se aplica concretamente a los escenarios de elevación.
Estas configuraciones refuerzan tu seguridad local. Sin embargo, no imponen MFA directamente ni impiden que se eluda la MFA. La aplicación de la MFA debe gestionarse siempre desde plataformas como Microsoft Entra ID.
Auditoría y alertas sobre la actividad JIT
Conviene usar los registros de auditoría para seguir la activación de roles y el comportamiento de acceso.
Este es un ejemplo de consulta de PowerShell para recuperar entradas del registro de auditoría:
Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations «Add member to role» | Select-Object CreationDate, UserIds, Operations, AuditData
En los registros de auditoría de Microsoft Entra, filtra por las operaciones «Add member to role» y «Update role assignment» para seguir los eventos de activación. Si además monitorizas un Active Directory on-premise, allí te resultarán útiles los ID de evento 4670 y 4688. Sin embargo, estos no registran las activaciones de roles de PIM en Entra ID, es decir, las del cloud.
Después puedes enviar estos registros a tu RMM o SIEM para generar alertas e informes.
Utiliza herramientas de análisis de registros o un SIEM para recibir alertas sobre activaciones frecuentes, elevaciones de rol fuera del horario previsto y solicitudes de elevación fallidas o repetidas.
Otros aspectos a tener en cuenta con JIT y PIM
Al configurar el acceso JIT de Azure en PIM, también deberías pensar en tus flujos de trabajo y en los roles de usuario: elige con cuidado a los usuarios con capacidad para aprobar solicitudes de elevación y asegúrate de que entienden perfectamente las implicaciones de cada solicitud. Además, crea roles personalizados con ámbitos limitados, evita las cuentas de administrador global y aplica el principio del mínimo privilegio.
Revisa los roles con regularidad y elimina los que ya no sean necesarios. La limpieza de roles y asignaciones debería formar parte de los procedimientos de incorporación y salida del personal.
Resolución de problemas del acceso Just-in-Time de Azure
Si tu implementación de JIT en Azure no funciona como esperabas, comprueba estos posibles problemas:
- El rol no se puede asignar: comprueba que el usuario no esté ya activo o asignado a través de un grupo
- Activación denegada: revisa si falta la MFA o el campo de justificación
- Errores de la API de Graph: confirma los permisos y el ámbito necesarios al solicitar el token
- Los usuarios locales pueden saltarse las restricciones: verifica que las restricciones de GPO y del Registro estén aplicadas para impedir la elevación mediante cuentas de administrador local
NinjaOne RMM te ofrece más visibilidad y control sobre toda tu infraestructura de TI y tus endpoints
Microsoft Entra ID Privileged Identity Management ofrece una solución completa de elevación administrativa JIT aplicada desde el cloud. La seguridad que aporta esta funcionalidad se puede ampliar con NinjaOne RMM para obtener información detallada de todos tus dispositivos, servicios y de la actividad de los usuarios en un solo lugar, y automatizar el despliegue de configuraciones en todos los dispositivos.
La plataforma MSP y UEM de NinjaOne incluye herramientas para aplicar scripts, enviar políticas del Registro o GPO, y permite monitorizar archivos de registro y eventos de Windows para disponer de una auditoría completa (incluidas las escaladas de privilegios). También incluye informes y registro de cumplimiento, de modo que puedes correlacionar las activaciones de PIM con la actividad de los endpoints y asegurarte de que la escalada administrativa está autorizada y se usa de forma responsable.
NinjaOne también incorpora herramientas de automatización capaces de desactivar cuentas de usuario si se detecta actividad sospechosa, aislar los sistemas afectados y escalar tickets a la persona responsable o ejecutar scripts de corrección, lo que mejora enormemente tu capacidad de automatizar la respuesta a incidentes de seguridad.
