Supervisar los cambios de roles de administrador en Microsoft 365 es imprescindible para cualquier organización, sobre todo para los MSP. Ayuda a evitar cambios de rol no autorizados, que se consideran indicios tempranos de una brecha de seguridad o de una amenaza interna.
Si un administrador eleva por error los privilegios de un usuario sin la aprobación correspondiente, está exponiendo a su organización a actividades maliciosas sin darse cuenta. Peor aún: esas elevaciones de rol inesperadas pueden derivar en incumplimientos de normativas como NIST, CIS e ISO 27001.
Sin embargo, hacer un seguimiento manual de las notificaciones de cambios de rol en varios tenants resulta tedioso y lento. Automatizar las alertas es la única forma de controlar de verdad los cambios de rol en varios entornos.
En esta guía te mostraremos cómo automatizar las notificaciones de cambios de rol en Microsoft 365 con distintas herramientas integradas de Windows. Sigue leyendo para conocer también las buenas prácticas de supervisión de los cambios de rol.
Si prefieres una explicación visual del tema, mira Cómo automatizar las notificaciones de cambios de rol en Microsoft 365 para supervisar a los administradores.
Cómo configurar notificaciones automáticas de cambios de rol en Microsoft 365
Antes de empezar, comprueba que cumples estos requisitos:
📌 Requisitos previos:
- Un tenant de Microsoft 365 con permisos de administrador global o de gestión de roles privilegiados
- Microsoft Graph PowerShell SDK instalado
- Registro de auditoría unificada activado desde Microsoft Purview
- Permisos de auditoría de Exchange Online para leer los eventos de auditoría
- Acceso al registro y herramientas RMM, como NinjaOne, para el etiquetado de confirmación (opcional)
- Power Automate para una implementación low-code (opcional)
📌 Estrategias de implementación recomendadas:
Método 1: activar y verificar el registro de auditoría
📌 Caso de uso: garantiza que el registro de auditoría centralizado esté activo en todos los servicios de Microsoft 365.
- Comprueba que el registro de auditoría unificada esté activado
Connect-ExchangeOnline
Set-AdminAuditLogConfig -UnifiedAuditLogIngestionEnabled $true
- Consulta el estado
Get-AdminAuditLogConfig | Format-List UnifiedAuditLogIngestionEnabled
Esta función debe estar activa para poder recopilar los eventos de cambios de rol de Microsoft 365.
Método 2: consultar los cambios de asignación de roles con PowerShell
📌 Caso de uso: comprobar rápidamente los cambios de rol recientes en el Microsoft 365 de un tenant. Es el método más adecuado para los administradores de TI que gestionan una cartera pequeña de clientes.
- Consulta los registros de auditoría en busca de cambios de rol
Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-1) -EndDate (Get-Date) `
-Operations "Add member to role" `
-RecordType AzureActiveDirectory `
-ResultSize 1000
- Filtra el resultado
$results | Select-Object CreationDate, UserIds, Operations, AuditData
Programa esta tarea con el Programador de tareas o con tu plataforma RMM para que envíe alertas cada vez que se detecte un cambio de rol.
Método 3: supervisar las asignaciones de roles con la API de Microsoft Graph
📌 Caso de uso: comprobar rápidamente los cambios de rol recientes en el Microsoft 365 de un tenant. Es el método más adecuado para los administradores de TI que gestionan una cartera pequeña de clientes.
- Autentícate en Microsoft Graph
Connect-MgGraph -Scopes "RoleManagement.Read.Directory",
"AuditLog.Read.All"
- Consulta las asignaciones de roles
Get-MgRoleManagementDirectoryRoleAssignment
- Compara el resultado con el estado anterior guardado en un archivo local o en el registro para detectar nuevas asignaciones
# Export current state
$assignments = Get-MgRoleManagementDirectoryRoleAssignment | Select Id, PrincipalId, RoleDefinitionId
$assignments | Export-Csv "C:\Logs\CurrentRoles.csv" -NoTypeInformation
Automatiza la comparación entre ambos estados y envía notificaciones si detectas algún cambio.
Método 4: enviar alertas por correo electrónico o Teams al detectar cambios
📌 Caso de uso: usa el correo electrónico o Teams para avisar automáticamente a las partes interesadas de cualquier cambio detectado en los roles privilegiados.
Ejemplo de activador de correo electrónico
Send-MailMessage -To "[email protected]" -From "[email protected]" `-Subject "ALERT: Microsoft 365 Admin Role Change Detected" `-Body "User JohnDoe was added to Global Admin on 2025-07-01T09:00Z" `-SmtpServer "smtp.clientdomain.com"
💡 Consejo: para recibir alertas en tiempo real, crea un flujo de Power Automate que se active cada vez que se detecte un evento relevante en los registros de auditoría de Microsoft 365.
Método 5: usar claves del registro para registrar la última comprobación de auditoría
📌 Caso de uso: registrar el último análisis de auditoría correcto para confirmar que tus scripts programados se están ejecutando.
- Para guardar la marca de tiempo del último análisis correcto
New-Item -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\RoleChangeAudit" `
-Name "LastAuditRun" -Value (Get-Date).ToString("u")
- Para verificarlo
reg query HKLM\SOFTWARE\Org\RoleChangeAudit
💡Consejo: usa las claves del registro para saber cuándo se ejecutó la última auditoría y configura tu herramienta RMM para que envíe alertas si la última marca de tiempo no se ha actualizado hace poco. Así podrás comprobar si tus scripts funcionan correctamente.
Método 6: restringir la elevación local de roles en los dispositivos con directivas de grupo
📌 Caso de uso: aplicar restricciones de roles mediante directivas de grupo y evitar cambios no autorizados en los grupos de administradores locales de dispositivos híbridos o cogestionados.
Ruta del GPO
Configuración del equipo > Configuración de Windows > Configuración de seguridad > Grupos restringidos
Define con claridad quién debe y quién no debe formar parte de los grupos de administradores locales. Así evitarás de forma proactiva que los usuarios locales hagan cambios de grupo no autorizados.
⚠️ Aspectos a tener en cuenta
Ten presentes estos posibles problemas al seguir nuestra guía:
| Riesgos | Posibles consecuencias | Cómo solucionarlo |
| Faltan registros de auditoría | Los cambios de rol pasarán desapercibidos y no habrá un historial de auditoría de las configuraciones. | Usa PowerShell para comprobar si el registro de auditoría está totalmente activado y si la ingesta de datos está activa. |
| Errores de la API de Graph | La supervisión puede fallar y los cambios de rol pasarán desapercibidos. | Ejecuta gpupdate /force antes de gpresult /h. Incluye el resultado del estado del GPO en las notas de escalado para que el equipo de nivel 2 lo valide. |
| Falsos positivos | Fatiga por alertas al marcar cambios de rol autorizados. | Ajusta los filtros de la consulta y excluye de los resultados las cuentas de servicio conocidas y los procesos de aprovisionamiento. |
| Scripts fallidos | Detecciones que se pasan por alto. | Registra la información en un archivo y añade lógica de captura de errores con Try/Catch. |
| Alertas mal configuradas | Pueden pasarse por alto cambios críticos. | Usa un flujo de Power Automate con un conector de registros de auditoría para garantizar alertas en tiempo real. |
Guía de inicio rápido
NinjaOne puede ayudarte a automatizar las notificaciones de cambios de rol en Microsoft 365 para supervisar a los administradores, aunque funciona sobre todo como panel centralizado y plataforma de automatización que se integra con Microsoft 365 mediante API o scripts.
Cómo te ayuda NinjaOne:
1. Políticas de automatización
- Crea políticas de automatización que desencadenen acciones (como notificaciones) cuando se produzcan eventos concretos en Microsoft 365.
- Usa la integración de NinjaOne con PowerShell para ejecutar scripts personalizados que supervisen los cambios de roles de administrador.
2. Integración con Microsoft 365
- NinjaOne se conecta directamente a los tenants de Microsoft 365, lo que te permite supervisar los roles de administrador y recibir alertas por correo electrónico o en el propio panel de NinjaOne.
3. Scripts personalizados
- Escribe scripts con la API de Microsoft Graph o con PowerShell dentro de NinjaOne para consultar los cambios de rol y enviar notificaciones a los administradores.
Buenas prácticas para supervisar los cambios de rol en Microsoft 365
Estas son algunas buenas prácticas para hacer un seguimiento de los cambios de rol en Microsoft 365:
Excluye las cuentas de servicio o etiquétalas de otra forma
Los administradores de TI suelen usar cuentas de servicio para la automatización o la integración, por lo que estas pueden hacer cambios de rol de forma legítima. Si tu sistema de alertas no excluye estas cuentas de sus búsquedas, acabarás con cientos de falsos positivos en los registros.
Por eso conviene hacer una lista de todas las cuentas de servicio de confianza y excluirlas de las alertas. También puedes asignar una etiqueta específica a su actividad para seguir controlando lo que hacen sin generar falsas alarmas.
Crea políticas de caducidad de roles
No todos los roles están pensados para ser permanentes. Algunas empresas conceden a los usuarios accesos elevados temporales para proyectos concretos y luego se olvidan por completo de ellos.
Para que esas asignaciones de roles obsoletas no se conviertan en riesgos de seguridad ocultos, crea una lógica que haga caducar o elimine los roles automáticamente al cabo de un tiempo determinado.
Usa el acceso Just-In-Time (JIT) siempre que puedas
Usa herramientas de gestión de accesos privilegiados (PAM) como Microsoft Entra PIM para aplicar el acceso JIT siempre que sea posible. Esta función permite a los usuarios solicitar permisos elevados cuando los necesitan y los revoca automáticamente una vez utilizados.
Estandariza la supervisión de los cambios de rol en todos los tenants
Si gestionas varios entornos de Microsoft 365, usa los mismos scripts o flujos de supervisión en todos los tenants para garantizar la coherencia.
No se te escapará ninguna notificación crítica de cambio de rol con NinjaOne
NinjaOne te ayuda a controlar los cambios de rol de Microsoft 365 en todos tus clientes gracias a estas capacidades:
- Programar y ejecutar scripts de auditoría de PowerShell en varios tenants
- Guardar claves del registro con marca de tiempo que confirman si las auditorías de roles funcionan
- Lanzar alertas cada vez que se detecten cambios de rol o se omitan los intervalos de auditoría
- Generar informes multicliente de las asignaciones de roles actuales y anteriores
- Señalar los endpoints de riesgo con infracciones de asignación de roles o de privilegios
Con NinjaOne puedes identificar posibles riesgos de seguridad antes de que vayan a mayores.
Bloquea los accesos no autorizados automatizando las notificaciones de cambios de rol en Microsoft 365
Los roles administrativos están entre los recursos más sensibles de una empresa. Los actores maliciosos pueden aprovechar fácilmente estos permisos para robar información confidencial o, peor aún, provocar brechas de seguridad sin que nadie se dé cuenta.
Teniendo en cuenta estos riesgos, supervisar los cambios de rol en Microsoft 365 debería ser obligatorio para cualquier MSP.
Crear un sistema de notificaciones te permite seguir, evaluar y revisar cada elevación de rol que se produzca en todos los entornos de tus tenants.
Temas relacionados:
