Puntos clave
Cómo crear un modelo de acceso delegado limpio para gestionar los tenants de tus clientes
- Microsoft ha retirado DAP en favor de GDAP, lo que permite a los MSP aplicar un acceso de mínimo privilegio y limitado en el tiempo, alineado con los principios de zero trust.
- Usa Microsoft 365 Lighthouse para centralizar la gestión de GDAP en todos los tenants y reducir el trabajo manual.
- Aplica roles integrados o personalizados en Entra ID para imponer un control de acceso basado en roles (RBAC) de mínimo privilegio y evitar el uso innecesario de cuentas de administrador global.
- Despliega plantillas de GDAP con políticas de caducidad para estandarizar la duración de los accesos y reducir las sesiones con privilegios elevados de larga duración.
- Automatiza el seguimiento y la gobernanza con la API de Microsoft Graph, PowerShell o herramientas RMM integradas para mantener la visibilidad y el cumplimiento.
- Audita los accesos de GDAP con regularidad durante las revisiones trimestrales de negocio (QBR) para eliminar privilegios obsoletos y confirmar que cada rol sigue siendo necesario.
Esta guía explica cómo construir un modelo de acceso delegado limpio para la gestión de tenants de clientes. Configurar los privilegios de administrador delegado granulares (GDAP) en Microsoft 365 es imprescindible para los equipos de TI y los proveedores de servicios gestionados (MSP) que administran varios tenants. GDAP ayuda a mitigar los riesgos de los antiguos privilegios de administración delegada (DAP), ya que evita conceder un acceso global de administrador indiscriminado a los tenants de los clientes y aplica en su lugar un acceso de mínimo privilegio acorde con las buenas prácticas de zero trust.
En esta guía verás cómo funciona el acceso privilegiado a tenants con DAP frente a GDAP para los Microsoft Partners que gestionan despliegues de Microsoft 365 en nombre de sus clientes MSP, además de un marco práctico y repetible para implementar GDAP en todos los tenants.
DAP frente a GDAP: así funciona el acceso delegado
DAP era el mecanismo que utilizaban los Microsoft Partners para gestionar los tenants de sus clientes desde sus propias cuentas. Permitía conceder privilegios completos de administrador global sobre el tenant del cliente, sin fecha de caducidad. Esto lo hacía vulnerable a abusos y, por tanto, un problema de ciberseguridad.
Desde 2023, Microsoft ha retirado DAP en favor de GDAP, que ofrece a los MSP un acceso granular y limitado en el tiempo a los entornos de sus clientes, siempre con la aprobación explícita del cliente. El cliente recibe de su partner una solicitud de acceso delegado a roles concretos durante un periodo determinado, y puede aprobarla o denegarla.
Requisitos previos para los Microsoft Partners que pasan de DAP a GDAP
Para empezar a usar GDAP y acceder a los tenants de Microsoft 365 de tus clientes necesitarás lo siguiente:
- Acceso administrativo al Partner Center
- Microsoft 365 Lighthouse configurado para la gestión centralizada de GDAP (el Partner Center también lo permite, pero resulta poco práctico en despliegues grandes)
- Conocimientos prácticos de Entra ID (antes Azure AD) y de Acceso condicional
- De forma opcional, acceso a PowerShell o a la API de Microsoft Graph para automatizar tareas
La transición de DAP a GDAP
DAP ya está retirado y no se pueden crear nuevas relaciones DAP; GDAP es ahora la única opción. A estas alturas, los MSP con clientes que necesitan acceso delegado a sus tenants ya habrán migrado de DAP a GDAP.
Cómo diseñar tu modelo de acceso GDAP
Un modelo de acceso delegado granular y bien planteado reduce la exposición a las amenazas de ciberseguridad porque aplica los principios de zero trust, y demuestra a tus clientes madurez operativa y conciencia de seguridad.
Para ello, tendrás que determinar qué tareas necesitas realizar en nombre de tus clientes y definir roles delegados con una duración limitada y los permisos adecuados. Estos roles deben acotarse al mínimo privilegio posible y, cuando se concedan, durante un periodo razonable que permita terminar el trabajo necesario sin dejar sesiones con privilegios elevados activas durante mucho tiempo.
Además, el nombre de cada rol debe dejar claro para qué sirve, de modo que el cliente entienda perfectamente qué permisos está concediendo cuando reciba la solicitud.
Aplica controles de acceso basados en roles (RBAC)
Siempre que puedas, utiliza los roles integrados de Entra ID. Los usuarios avanzados con requisitos más complejos quizá necesiten definir roles personalizados más granulares para aplicar un RBAC de mínimo privilegio. Para aprovechar al máximo las ventajas de GDAP, evita abusar de las cuentas de administrador global o equivalentes y utiliza Lighthouse para asignar roles según los grupos de soporte de tu organización.
Delega con plantillas y políticas de caducidad
Define por adelantado cuánto deben durar las sesiones delegadas y utiliza las plantillas de GDAP en Lighthouse para estandarizar las configuraciones de acceso. Puedes aplicar fechas de caducidad más amplias a ciertas tareas (por ejemplo, 90 días para tareas delegadas de largo plazo, como la gestión de datos de usuario) y recurrir a flujos de acceso just-in-time en emergencias que requieran privilegios más sensibles.
Automatiza el seguimiento y la gobernanza
Mantén el control de todas las solicitudes y sesiones de acceso delegado exportando esos datos a CSV con Microsoft Graph o PowerShell. Después podrás crear vistas de panel con todos tus tenants y roles delegados, incluidos los permisos y las fechas. Con esos mismos datos también puedes configurar alertas automáticas que te avisen cuando un vínculo GDAP esté a punto de caducar y haya que renovarlo.
Este tipo de automatizaciones personalizadas se pueden montar con una herramienta de monitorización y gestión remota (RMM) que se integre con Microsoft 365 y admita scripts personalizados, paneles y notificaciones.
Revisa y audita tu modelo de acceso delegado con regularidad
Conviene revisar periódicamente tu modelo de GDAP y confirmar lo siguiente en cada rol o relación delegada:
- Que el rol o la relación sigue en uso
- Que cada rol se corresponde con un alcance de trabajo vigente
- Que cada uno queda registrado y revisado por las partes implicadas
Las relaciones obsoletas o sin uso deben eliminarse de forma proactiva. La revisión de tu estrategia de GDAP puede formar parte de las revisiones trimestrales de negocio (QBR) que tu MSP realiza con los clientes.
Visibilidad del acceso delegado GDAP con NinjaOne
Proteger entornos multitenant exige controlar por completo todos los privilegios delegados y evitar que el acceso delegado se convierta en un vector de ataque. La mejor forma de lograrlo es con permisos granulares y bien acotados que respeten el principio del mínimo privilegio, combinados con límites temporales.
NinjaOne ayuda a los MSP a reforzar la seguridad y la visibilidad del acceso delegado con sus herramientas de monitorización e informes, integradas en una plataforma unificada de RMM, gestión de dispositivos móviles (MDM) y gestión de endpoints. Puedes supervisar las acciones de los delegados, aplicar políticas y, si lo deseas, integrar soluciones de detección en el endpoint como CrowdStrike para detectar y remediar amenazas avanzadas con IA cuando se detecte actividad sospechosa.
Con un enfoque estructurado y bien pensado del acceso delegado en Microsoft 365, refuerzas la confianza de tus clientes y te aseguras de que las sesiones administrativas solo se utilicen para el fin previsto
