Las políticas de acceso condicional son un pilar de la seguridad informática actual. Permiten a los administradores de TI automatizar decisiones y aplicar controles de acceso en función de condiciones en tiempo real, como el comportamiento del usuario, el riesgo de inicio de sesión, el cumplimiento del dispositivo o la ubicación geográfica. Esta guía se centra en cómo usar Microsoft Entra ID (antes conocido como Azure AD) para aplicar el acceso condicional según el riesgo y la ubicación.
Si prefieres una explicación en vídeo, mira Cómo aplicar políticas de acceso condicional según el riesgo y la ubicación.
Aplicar políticas de acceso condicional según el riesgo y la ubicación
En esta sección repasamos cuatro métodos que te permiten crear y aplicar directamente el acceso condicional basado en ubicación y en riesgo.
📌 Requisitos previos: para que los métodos siguientes funcionen necesitas lo siguiente:
- Microsoft Entra ID P1 (para acceso condicional básico) o P2 (para condiciones basadas en riesgo)
- Privilegios de administrador global o administrador de seguridad
- Dispositivos unidos a Azure AD o con unión híbrida
- Etiquetado de IP por ubicación configurado en Entra ID
💡 Consejo: aunque es opcional, contar con la integración de Microsoft Defender for Identity resulta especialmente útil para obtener señales más precisas.
📌 Estrategias de despliegue recomendadas:
| Elige un método | 💻 Mejor para usuarios individuales | 💻💻💻 Mejor para empresas |
| Método 1: configurar el acceso condicional desde el Centro de administración de Microsoft Entra | ✓ | |
| Método 2: definir ubicaciones con nombre en el Centro de administración de Microsoft Entra | ✓ | |
| Método 3: crear políticas basadas en riesgo en el Centro de administración de Microsoft Entra | ✓ | |
| Método 4: PowerShell | ✓ |
Método 1: configurar políticas de acceso condicional desde el Centro de administración de Microsoft Entra
Configurar el acceso condicional con el Centro de administración de Microsoft Entra es sencillo y se hace mediante una interfaz gráfica. Este método no se limita al acceso condicional basado en riesgo y en ubicación.
📌 Casos de uso: gestión y pruebas de políticas estándar.
📌 Requisitos previos: este método requiere Microsoft Entra ID P1.
Para crear una política de acceso condicional:
- Entra en el Centro de administración de Microsoft Entra.
- Ve a Protección > Acceso condicional > Políticas.
- Haz clic en + Nueva política.
- Define lo siguiente:
- Asignaciones:
- Usuarios o grupos
- Aplicaciones cloud o acciones
- Condiciones > Ubicaciones: incluye o excluye ubicaciones con nombre (por ejemplo, países o rangos de IP)
- Condiciones > Riesgo de inicio de sesión o Riesgo de usuario: establece el nivel en Bajo, Medio o Alto
- Controles de acceso:
- Bloquear el acceso
- Exigir MFA
- Exigir un dispositivo compatible
- Asignaciones:
⚠️ Importante: al definir las asignaciones, sobre todo Ubicaciones y Riesgo de inicio de sesión o de usuario, asegúrate de configurarlas correctamente. De lo contrario, tu política de acceso condicional puede no funcionar como esperas. Consulta la sección Aspectos a tener en cuenta para más detalles.
- Activa y crea la política.
Método 2: definir ubicaciones con nombre en el Centro de administración de Microsoft Entra
Con este método, los administradores de TI pueden permitir o bloquear el acceso en función de la geolocalización o de datos basados en IP.
📌 Casos de uso: geovallado del acceso y apoyo al cumplimiento de los requisitos de residencia de datos.
Para definir ubicaciones, sigue estos pasos:
- Ve a Acceso condicional > Ubicaciones con nombre.
- Haz clic en + Ubicación de rangos de IP.
- Dale un nombre a la ubicación (por ejemplo, «Sede corporativa»).
- Añade los rangos de IP de confianza. También puedes crear una política de ubicación basada en países.
- Usa estas ubicaciones en la condición Ubicaciones de tus políticas.
💡 Consejo: para eximir las ubicaciones basadas en IP de las evaluaciones de riesgo, márcalas como «De confianza». Además, ten cuidado al nombrar una ubicación, añadir un rango de IP de confianza o crear una política de ubicación basada en países, ya que una configuración incorrecta afectará al acceso condicional. Consulta la sección Aspectos a tener en cuenta para más detalles.
Método 3: crear políticas de acceso condicional basadas en riesgo en el Centro de administración de Microsoft Entra
El acceso condicional basado en riesgo ayuda a proteger identidades que están siendo atacadas o credenciales comprometidas. También puede combinarse con políticas de acceso condicional más amplias, como las de ubicación, para dotar al entorno de una protección más sólida frente a los ciberataques más habituales.
📌 Caso de uso: aplicar políticas según el riesgo del usuario o del inicio de sesión.
📌 Requisitos previos: este método requiere Microsoft Entra ID P2 para permitir configuraciones basadas en riesgo.
Para usar este método:
- Ve a Protección > Identity Protection > Política de riesgo de usuario.
- Configura lo siguiente:
- Usuarios
- Nivel de riesgo: medio y superior (💡 Consejo: aplicar un umbral de riesgo demasiado agresivo puede perjudicar tus operaciones. Consulta la sección Aspectos a tener en cuenta para más detalles.
- Controles: bloquear el acceso o exigir el restablecimiento de la contraseña
- Repite el proceso con la política de riesgo de inicio de sesión.
- Vincúlala con la política de acceso condicional si necesitas controles más precisos.
Método 4: PowerShell
PowerShell resulta especialmente útil para la automatización en entornos de TI grandes. En este caso, puedes usarlo para automatizar la creación y la gestión de políticas de acceso condicional.
📌 Caso de uso: automatización, scripting entre entornos e integración con CI/CD.
📌 Requisitos previos: si usas PowerShell, también necesitarás el SDK de Microsoft Graph PowerShell para crear una política de acceso condicional basada en ubicación.
Sigue estos pasos:
- Abre PowerShell como administrador.
- Crea una política de acceso condicional con Microsoft Graph. Para ello, conéctate a Graph PowerShell con este comando:
Connect-MgGraph -Scopes "Policy.ReadWrite.ConditionalAccess"
- Después, ejecuta este comando para crear la política de acceso condicional:
New-MgConditionalAccessPolicy -DisplayName "Block risky sign-ins outside HQ" `-Conditions @{ SignInRiskLevels = @("high"); Locations = @{IncludeLocations = @("AllTrustedLocations")} } `-GrantControls @{ Operator = "OR"; BuiltInControls = @("block") } `-State "Enabled"
- Usa este comando para gestionar las ubicaciones con nombre:
Get-MgIdentityConditionalAccessNamedLocation
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Definición incorrecta de la ubicación (método 1) | Usuarios legítimos pueden quedar bloqueados por una clasificación geográfica errónea. | Elimina o actualiza las ubicaciones con nombre; desactiva la política desde una cuenta de emergencia. |
| Niveles de riesgo demasiado bajos al definir el riesgo de inicio de sesión o de usuario (método 1) | Exceso de falsos positivos y bloqueos frecuentes de usuarios | Ajusta los umbrales de la política y supervísala con los registros de inicio de sesión. |
| Errores de escritura o una subred IP equivocada al definir la ubicación (método 2) | Una oficina entera o un servicio quedan bloqueados | Edita el rango de IP desde el Centro de administración y márcalo como «De confianza» cuando corresponda. |
| Imprecisiones de geolocalización por IP o VPN que enmascaran la ubicación al crear políticas basadas en países (método 2) | Usuarios bloqueados aunque se encuentren en ubicaciones permitidas | Marca únicamente los países de confianza y combínalos con otras condiciones, como el cumplimiento del dispositivo, cuando sea posible. |
| Umbrales de nivel de riesgo demasiado agresivos, es decir, bloquear a partir de riesgo medio o bajo (método 3) | Inicios de sesión legítimos marcados como arriesgados por falsos positivos | Reconfigura los umbrales de nivel de riesgo a medio o alto. |
Métodos complementarios para reforzar el cumplimiento y la aplicación de las políticas de acceso condicional
Los cuatro primeros métodos de la sección anterior sirven para aplicar o configurar políticas directamente; los tres de esta sección son complementarios. No aplican políticas basadas en riesgo o geolocalización, pero ayudan a garantizar el cumplimiento y una aplicación correcta.
Aplicar restricciones de IP o requisitos de MFA con el Editor de directivas de grupo local
Puedes usar el Editor de directivas de grupo para preparar los endpoints de modo que cumplan las condiciones del acceso condicional, especialmente en entornos híbridos.
- Abre el Editor de directivas de grupo.
- Ve a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Hello para empresas
- Activa lo siguiente:
- Usar datos biométricos
- Configurar MFA como requisito previo
- Aplícalo a la unidad organizativa con políticas de acceso condicional que exijan dispositivos compatibles o MFA.
Configurar los requisitos de cumplimiento del dispositivo con el Editor del Registro
El Editor del Registro puede servir como método complementario para favorecer el cumplimiento de los dispositivos en Intune.
⚠️ Advertencia: modificar el registro puede provocar problemas en el sistema. Haz una copia de seguridad antes de continuar.
- Abre el Editor del Registro.
- Ve a HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\DeviceCompliance.
- Configura los siguientes valores:
- RequireEncryption (DWORD): 1
- FirewallEnabled (DWORD): 1
- AntivirusEnabled (DWORD): 1
Una vez configurado, este método garantiza que el dispositivo actual se marque como compatible en Intune y cumpla los requisitos del acceso condicional.
Comprobar el contexto de acceso desde el Símbolo del sistema
Puedes usar el Símbolo del sistema para obtener más contexto sobre la ubicación o el cumplimiento. Para ello, ábrelo como administrador y ejecuta los siguientes comandos:
- Para comprobar la dirección IP: ipconfig
- Para resolver la IP pública actual: nslookup myip.opendns.com resolver1.opendns.com
- Para validar el estado de unión: dsregcmd /status
La información obtenida aquí te ayuda a validar por qué se activaron o no las reglas de acceso condicional.
Buenas prácticas para aplicar políticas de acceso condicional en Azure AD
Estas son algunas buenas prácticas adicionales para que la aplicación de las políticas de acceso condicional sea más eficiente y eficaz:
Usa el modo de solo informe
Prueba las políticas en modo de solo informe antes de aplicarlas para evitar conflictos entre ellas. Como norma general, también conviene revisar las políticas de acceso condicional existentes para garantizar el cumplimiento.
Delimita el alcance de las políticas
Usa exclusiones para las IP internas o las cuentas de servicio. Así evitas restricciones excesivas y mantienes la productividad sin comprometer la seguridad. Marcar las IP adecuadas como «De confianza» también forma parte de la delimitación del alcance.
Dispón de «cuentas de emergencia»
Las cuentas de emergencia («break glass») son cuentas de administrador especiales que no están sujetas a las políticas de acceso condicional. Resultan imprescindibles si el acceso condicional falla, se activa por error o provoca un bloqueo. Aunque no tienen restricciones, estas cuentas deben supervisarse y protegerse rigurosamente para evitar filtraciones de datos y ciberataques.
Servicios de NinjaOne que mejoran los flujos de trabajo de acceso condicional basado en ubicación y riesgo en Azure
NinjaOne puede mejorar los flujos de trabajo de acceso condicional sin añadir complejidad a las políticas gracias a sus servicios. Entre ellos:
| Servicio de NinjaOne | ¿Qué hace? | ¿Cómo ayuda al flujo de trabajo de acceso condicional? |
| Alertas en tiempo real | Avisan a los administradores de intentos de inicio de sesión desde ubicaciones no confiables o con un riesgo elevado. | Las alertas en tiempo real permiten a los administradores de TI reaccionar con rapidez, sobre todo ante infracciones del acceso condicional y otras actividades sospechosas. |
| Supervisión del estado de los dispositivos | Señala los dispositivos que dejan de cumplir los requisitos exigidos por las políticas de acceso condicional | Los administradores de TI pueden controlar y garantizar fácilmente el cumplimiento de los dispositivos y, al mismo tiempo, mantener la seguridad de la organización mediante políticas que exigen un «dispositivo compatible» para conceder el acceso. |
| Remediación automatizada | Ejecuta scripts para que los dispositivos cumplan los requisitos (por ejemplo, activar BitLocker o el firewall). | La remediación automatizada reduce el trabajo manual al poner los dispositivos en cumplimiento con el acceso condicional de forma automática. |
| Informes personalizados | Permiten a los administradores exportar información relevante, como datos de eventos de acceso condicional, registros de auditoría e información de geolocalización. | Los administradores de TI disponen de datos claros, completos y relevantes sobre la actividad del acceso condicional para apoyar sus procesos de auditoría y de mejora de las políticas. |
| Despliegue de registro y políticas | Envía a los dispositivos cliente configuraciones que respalden el acceso condicional mediante el registro o GPO | Prepara los dispositivos para que cumplan requisitos previos del acceso condicional como MFA, cifrado o firewall mediante configuración automatizada |
Refuerza tu seguridad con políticas de acceso condicional basadas en ubicación y riesgo
Las políticas de acceso condicional ofrecen un control preciso sobre cómo y cuándo acceden los usuarios a los datos de la organización en función del riesgo y la ubicación. Esta guía paso a paso recoge métodos basados en el Centro de administración de Microsoft Entra y PowerShell, además de métodos complementarios con el Editor de directivas de grupo, el Editor del Registro y el Símbolo del sistema, para ofrecerte una visión general completa del proceso de creación y aplicación de políticas de acceso condicional.
Temas relacionados:
- Cómo configurar políticas de acceso condicional en Azure AD
- Entender e implementar Azure RBAC
- Guía de protocolos de acceso remoto para proveedores de servicios gestionados
- Cómo probar el acceso condicional con usuarios privilegiados sin provocar bloqueos
- (Guía en vídeo) Cómo probar el acceso condicional con usuarios privilegiados sin provocar bloqueos
