{"id":900905,"date":"2026-10-14T17:17:09","date_gmt":"2026-10-14T17:17:09","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/modelo-de-acceso-delegado\/"},"modified":"2026-10-14T17:17:10","modified_gmt":"2026-10-14T17:17:10","slug":"modelo-de-acceso-delegado","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/modelo-de-acceso-delegado\/","title":{"rendered":"C\u00f3mo crear un modelo de acceso delegado limpio para gestionar los tenants de tus clientes"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Puntos clave<\/h2>\n<p><strong>C\u00f3mo crear un modelo de acceso delegado limpio para gestionar los tenants de tus clientes<\/strong><\/p>\n<ul>\n<li>Microsoft ha retirado DAP en favor de GDAP, lo que permite a los MSP aplicar un acceso de m\u00ednimo privilegio y limitado en el tiempo, alineado con los principios de zero trust.<\/li>\n<li>Usa Microsoft 365 Lighthouse para centralizar la gesti\u00f3n de GDAP en todos los tenants y reducir el trabajo manual.<\/li>\n<li>Aplica roles integrados o personalizados en Entra ID para imponer un control de acceso basado en roles (RBAC) de m\u00ednimo privilegio y evitar el uso innecesario de cuentas de administrador global.<\/li>\n<li>Despliega plantillas de GDAP con pol\u00edticas de caducidad para estandarizar la duraci\u00f3n de los accesos y reducir las sesiones con privilegios elevados de larga duraci\u00f3n.<\/li>\n<li>Automatiza el seguimiento y la gobernanza con la API de Microsoft Graph, PowerShell o herramientas RMM integradas para mantener la visibilidad y el cumplimiento.<\/li>\n<li>Audita los accesos de GDAP con regularidad durante las revisiones trimestrales de negocio (QBR) para eliminar privilegios obsoletos y confirmar que cada rol sigue siendo necesario.<\/li>\n<\/ul>\n<\/div>\n<p>Esta gu\u00eda explica c\u00f3mo construir un <strong>modelo de acceso delegado limpio<\/strong> para la gesti\u00f3n de tenants de clientes. Configurar los <a href=\"https:\/\/learn.microsoft.com\/en-au\/partner-center\/customers\/gdap-introduction\" target=\"_blank\" rel=\"noopener\">privilegios de administrador delegado granulares (GDAP)<\/a> en Microsoft 365 es imprescindible para los equipos de TI y los proveedores de servicios gestionados (MSP) que administran varios tenants. GDAP ayuda a mitigar los riesgos de los antiguos privilegios de administraci\u00f3n delegada (DAP), ya que evita conceder un acceso global de administrador indiscriminado a los tenants de los clientes y aplica en su lugar un acceso de m\u00ednimo privilegio acorde con las buenas pr\u00e1cticas de zero trust.<\/p>\n<p>En esta gu\u00eda ver\u00e1s c\u00f3mo funciona el acceso privilegiado a tenants con DAP frente a GDAP para los Microsoft Partners que gestionan despliegues de Microsoft 365 en nombre de sus clientes MSP, adem\u00e1s de un marco pr\u00e1ctico y repetible para implementar GDAP en todos los tenants.<\/p>\n<h2>DAP frente a GDAP: as\u00ed funciona el acceso delegado<\/h2>\n<p>DAP era el mecanismo que utilizaban los Microsoft Partners para gestionar los tenants de sus clientes desde sus propias cuentas. Permit\u00eda conceder privilegios completos de administrador global sobre el tenant del cliente, sin fecha de caducidad. Esto lo hac\u00eda vulnerable a abusos y, por tanto, un problema de ciberseguridad.<\/p>\n<p>Desde 2023, <a href=\"https:\/\/learn.microsoft.com\/en-us\/partner-center\/customers\/gdap-microsoft-led-transition\" target=\"_blank\" rel=\"noopener\">Microsoft ha retirado DAP en favor de GDAP<\/a>, que ofrece a los MSP un acceso granular y limitado en el tiempo a los entornos de sus clientes, siempre con la aprobaci\u00f3n expl\u00edcita del cliente. El cliente recibe de su partner una solicitud de acceso delegado a roles concretos durante un periodo determinado, y puede aprobarla o denegarla.<\/p>\n<h2>Requisitos previos para los Microsoft Partners que pasan de DAP a GDAP<\/h2>\n<p>Para empezar a usar GDAP y acceder a los tenants de Microsoft 365 de tus clientes necesitar\u00e1s lo siguiente:<\/p>\n<ul>\n<li>Acceso administrativo al Partner Center<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/microsoft-tiene-una-herramienta-rmm\/\">Microsoft 365 Lighthouse<\/a> configurado para la <a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/lighthouse\/m365-lighthouse-overview-of-permissions?view=o365-worldwide\" target=\"_blank\" rel=\"noopener\">gesti\u00f3n centralizada de GDAP<\/a> (el Partner Center tambi\u00e9n lo permite, pero resulta poco pr\u00e1ctico en despliegues grandes)<\/li>\n<li>Conocimientos pr\u00e1cticos de Entra ID (antes Azure AD) y de Acceso condicional<\/li>\n<li>De forma opcional, acceso a PowerShell o a la API de Microsoft Graph para automatizar tareas<\/li>\n<\/ul>\n<h2>La transici\u00f3n de DAP a GDAP<\/h2>\n<p><a href=\"https:\/\/learn.microsoft.com\/en-us\/partner-center\/customers\/gdap-faq\" target=\"_blank\" rel=\"noopener\">DAP ya est\u00e1 retirado<\/a> y no se pueden crear nuevas relaciones DAP; GDAP es ahora la \u00fanica opci\u00f3n. A estas alturas, los MSP con clientes que necesitan acceso delegado a sus tenants ya habr\u00e1n <a href=\"https:\/\/learn.microsoft.com\/en-us\/partner-center\/customers\/gdap-migration-faq\" target=\"_blank\" rel=\"noopener\">migrado de DAP a GDAP<\/a>.<\/p>\n<h2>C\u00f3mo dise\u00f1ar tu modelo de acceso GDAP<\/h2>\n<p>Un modelo de acceso delegado granular y bien planteado reduce la exposici\u00f3n a las amenazas de ciberseguridad porque aplica los <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/que-es-arquitectura-confianza-cero-principal-modelo-seguridad-explicado\/\">principios de zero trust<\/a>, y demuestra a tus clientes madurez operativa y conciencia de seguridad.<\/p>\n<p>Para ello, tendr\u00e1s que determinar qu\u00e9 tareas necesitas realizar en nombre de tus clientes y definir roles delegados con una duraci\u00f3n limitada y los permisos adecuados. Estos roles deben acotarse al m\u00ednimo privilegio posible y, cuando se concedan, durante un periodo razonable que permita terminar el trabajo necesario sin dejar sesiones con privilegios elevados activas durante mucho tiempo.<\/p>\n<p>Adem\u00e1s, el nombre de cada rol debe dejar claro para qu\u00e9 sirve, de modo que el cliente entienda perfectamente qu\u00e9 permisos est\u00e1 concediendo cuando reciba la solicitud.<\/p>\n<h2>Aplica controles de acceso basados en roles (RBAC)<\/h2>\n<p>Siempre que puedas, utiliza los roles integrados de Entra ID. Los usuarios avanzados con requisitos m\u00e1s complejos quiz\u00e1 necesiten definir roles personalizados m\u00e1s granulares para aplicar un <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/proteger-datos-empresa-control-de-acceso\/\">RBAC<\/a> de m\u00ednimo privilegio. Para aprovechar al m\u00e1ximo las ventajas de GDAP, evita abusar de las cuentas de administrador global o equivalentes y utiliza <a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/lighthouse\/m365-lighthouse-delegated-access-overview?view=o365-worldwide\" target=\"_blank\" rel=\"noopener\">Lighthouse<\/a> para asignar roles seg\u00fan los grupos de soporte de tu organizaci\u00f3n.<\/p>\n<h2>Delega con plantillas y pol\u00edticas de caducidad<\/h2>\n<p>Define por adelantado cu\u00e1nto deben durar las sesiones delegadas y utiliza las <a href=\"https:\/\/learn.microsoft.com\/en-us\/microsoft-365\/lighthouse\/m365-lighthouse-setup-gdap?view=o365-worldwide\" target=\"_blank\" rel=\"noopener\">plantillas de GDAP en Lighthouse<\/a> para estandarizar las configuraciones de acceso. Puedes aplicar fechas de caducidad m\u00e1s amplias a ciertas tareas (por ejemplo, 90 d\u00edas para tareas delegadas de largo plazo, como la gesti\u00f3n de datos de usuario) y recurrir a flujos de acceso just-in-time en emergencias que requieran privilegios m\u00e1s sensibles.<\/p>\n<h2>Automatiza el seguimiento y la gobernanza<\/h2>\n<p>Mant\u00e9n el control de todas las solicitudes y sesiones de acceso delegado exportando esos datos a CSV con Microsoft Graph o PowerShell. Despu\u00e9s podr\u00e1s crear vistas de panel con todos tus tenants y roles delegados, incluidos los permisos y las fechas. Con esos mismos datos tambi\u00e9n puedes configurar alertas autom\u00e1ticas que te avisen cuando un v\u00ednculo GDAP est\u00e9 a punto de caducar y haya que renovarlo.<\/p>\n<p>Este tipo de automatizaciones personalizadas se pueden montar con una herramienta de <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/rmm-gestion-de-supervision-remota\/\">monitorizaci\u00f3n y gesti\u00f3n remota (RMM)<\/a> que se integre con Microsoft 365 y admita scripts personalizados, paneles y notificaciones.<\/p>\n<h2>Revisa y audita tu modelo de acceso delegado con regularidad<\/h2>\n<p>Conviene revisar peri\u00f3dicamente tu modelo de GDAP y confirmar lo siguiente en cada rol o relaci\u00f3n delegada:<\/p>\n<ul>\n<li>Que el rol o la relaci\u00f3n sigue en uso<\/li>\n<li>Que cada rol se corresponde con un alcance de trabajo vigente<\/li>\n<li>Que cada uno queda registrado y revisado por las partes implicadas<\/li>\n<\/ul>\n<p>Las relaciones obsoletas o sin uso deben eliminarse de forma proactiva. La revisi\u00f3n de tu estrategia de GDAP puede formar parte de las <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/como-comunicar-tu-valor-como-empresa-msp\/\">revisiones trimestrales de negocio (QBR)<\/a> que tu MSP realiza con los clientes.<\/p>\n<h2>Visibilidad del acceso delegado GDAP con NinjaOne<\/h2>\n<p>Proteger entornos multitenant exige controlar por completo todos los privilegios delegados y evitar que el acceso delegado se convierta en un vector de ataque. La mejor forma de lograrlo es con permisos granulares y bien acotados que respeten el principio del m\u00ednimo privilegio, combinados con l\u00edmites temporales.<\/p>\n<p>NinjaOne ayuda a los MSP a reforzar la seguridad y la visibilidad del acceso delegado con sus herramientas de monitorizaci\u00f3n e informes, integradas en una plataforma unificada de RMM, gesti\u00f3n de dispositivos m\u00f3viles (MDM) y gesti\u00f3n de endpoints. Puedes supervisar las acciones de los delegados, aplicar pol\u00edticas y, si lo deseas, <a href=\"https:\/\/www.ninjaone.com\/es\/integracion-de-ninjaone-y-crowdstrike-falcon\/\">integrar soluciones de detecci\u00f3n en el endpoint como CrowdStrike<\/a> para detectar y remediar amenazas avanzadas con IA cuando se detecte actividad sospechosa.<\/p>\n<p>Con un enfoque estructurado y bien pensado del acceso delegado en Microsoft 365, refuerzas la confianza de tus clientes y te aseguras de que las sesiones administrativas solo se utilicen para el fin previsto<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Esta gu\u00eda explica c\u00f3mo construir un modelo de acceso delegado limpio para la gesti\u00f3n de tenants de clientes. Configurar los privilegios de administrador delegado granulares (GDAP) en Microsoft 365 es imprescindible para los equipos de TI y los proveedores de servicios gestionados (MSP) que administran varios tenants. GDAP ayuda a mitigar los riesgos de los [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":594555,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-900905","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900905","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=900905"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900905\/revisions"}],"predecessor-version":[{"id":900906,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/900905\/revisions\/900906"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/594555"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=900905"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=900905"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=900905"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}