{"id":901831,"date":"2026-10-14T17:57:58","date_gmt":"2026-10-14T17:57:58","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/acceso-just-in-time-administrador-azure-ad\/"},"modified":"2026-10-14T17:57:59","modified_gmt":"2026-10-14T17:57:59","slug":"acceso-just-in-time-administrador-azure-ad","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/acceso-just-in-time-administrador-azure-ad\/","title":{"rendered":"C\u00f3mo implementar el acceso Just-in-Time en roles de administrador de Azure AD"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Puntos clave<\/h2>\n<ul>\n<li><b>Configura <\/b><b>P<\/b><b><\/b><b>IM en el Centro de administraci\u00f3n de Entra:<\/b> activa PIM, asigna roles como \u00abApto\u00bb, configura la duraci\u00f3n de la activaci\u00f3n, exige MFA y aprobaci\u00f3n, y define el \u00e1mbito para controlar la gesti\u00f3n de privilegios.<\/li>\n<li><b>Pol\u00edticas <\/b><b>d<\/b><b><\/b><b>e activaci\u00f3n <\/b><b>d<\/b><b><\/b><b>e roles:<\/b> define los requisitos de MFA, justificaci\u00f3n y aprobaci\u00f3n, la duraci\u00f3n de la activaci\u00f3n y los ajustes de notificaci\u00f3n, y aseg\u00farate de que todos los cambios queden auditados en los registros de Entra.<\/li>\n<li><b>Integraci\u00f3n <\/b><b>c<\/b><b><\/b><b>on PowerShell para el <\/b><b>a<\/b><b><\/b><b>cceso JIT:<\/b> usa Microsoft Graph o el m\u00f3dulo de PowerShell de Azure AD para automatizar asignaciones de roles con l\u00edmite temporal e integrarlas con flujos de gesti\u00f3n de tickets o solicitudes de servicio.<\/li>\n<li><b>Aplicaci\u00f3n local mediante el Registro y GPO:<\/b> configura las directivas de grupo y el Registro para aplicar el principio del m\u00ednimo privilegio, denegar accesos innecesarios y exigir avisos de UAC en las tareas elevadas.<\/li>\n<li><b>Pr\u00e1cticas <\/b><b>d<\/b><b><\/b><b>e auditor\u00eda <\/b><b>y<\/b><b><\/b><b> alertas:<\/b> usa los registros de auditor\u00eda y herramientas SIEM para monitorizar las activaciones de roles, detectar usos sospechosos de privilegios y recibir alertas sobre actividad JIT inusual o intentos de MFA fallidos.<\/li>\n<\/ul>\n<\/div>\n<p><strong>El acceso administrativo Just-in-Time (JIT) en Azure AD<\/strong> te permite conceder privilegios elevados para realizar tareas administrativas durante un tiempo limitado. Esto resulta \u00fatil tanto para los equipos de inform\u00e1tica interna como para los MSP, ya que reduce el riesgo de que las cuentas con privilegios excesivos se utilicen en ciberataques.<\/p>\n<p>Esta gu\u00eda explica el acceso administrativo JIT de Azure e incluye los pasos para implementar un acceso administrativo con l\u00edmite temporal mediante Microsoft Entra ID Privileged Identity Management (PIM), utilizando el Centro de administraci\u00f3n de Entra, PowerShell y el Registro o las directivas de grupo para aplicarlo.<\/p>\n<h2>Objetivos principales del acceso JIT de Azure<\/h2>\n<p>El acceso administrativo permanente, es decir, el uso de cuentas de usuario con privilegios administrativos fijos, es un vector de ataque muy habitual. Reducir el n\u00famero de estas cuentas privilegiadas disminuye la superficie de ataque, porque hay menos cuentas cuyas credenciales puedan filtrarse o cuyas sesiones puedan secuestrarse, lo que hace que tu infraestructura de TI sea m\u00e1s segura y cumpla mejor la normativa.<\/p>\n<p>La elevaci\u00f3n con l\u00edmite temporal protege frente a esto concediendo a los usuarios privilegios administrativos solo despu\u00e9s de una aprobaci\u00f3n y una <a href=\"https:\/\/www.ninjaone.com\/blog\/how-to-set-up-mfa-in-office-365\/\">autenticaci\u00f3n multifactor<\/a>. Cuando la tarea termina, los privilegios administrativos del usuario caducan, por lo que su cuenta no puede utilizarse para un ataque ni para ninguna otra actividad administrativa no autorizada.<\/p>\n<p>Al configurar el acceso JIT de Azure con <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/id-governance\/privileged-identity-management\/pim-configure\" target=\"_blank\" rel=\"noopener\">Microsoft Entra Privileged Identity Management<\/a>, los objetivos deber\u00edan incluir minimizar los permisos administrativos permanentes, exigir una justificaci\u00f3n y la aprobaci\u00f3n con MFA antes de la elevaci\u00f3n, auditar toda la actividad administrativa y revocar autom\u00e1ticamente los permisos administrativos. El acceso JIT tambi\u00e9n debe utilizarse junto con otras buenas pr\u00e1cticas de seguridad, como el <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/politicas-de-acceso-condicional-azure-ad\/\">acceso condicional<\/a> y las alertas.<\/p>\n<h2>Requisitos previos para usar Microsoft Entra ID Privileged Identity Management<\/h2>\n<p>Para usar PIM necesitar\u00e1s:<\/p>\n<ol>\n<li>Una licencia Azure AD Premium P2 (obligatoria para PIM)<\/li>\n<li>Permisos de Administrador global o de Administrador de roles con privilegios para configurar PIM<\/li>\n<li>El Centro de administraci\u00f3n de Microsoft Entra ID o PowerShell para la configuraci\u00f3n<\/li>\n<li>Opcionalmente, una plataforma SIEM o <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/rmm-gestion-de-supervision-remota\/\">RMM<\/a> para la monitorizaci\u00f3n, las alertas y el despliegue de configuraciones<\/li>\n<li>Endpoints Windows inscritos en <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/intune-vs-rmm\/\">Intune<\/a> o monitorizados mediante RMM para aplicar las pol\u00edticas<\/li>\n<\/ol>\n<h2>Activar PIM y asignar roles aptos en el Centro de administraci\u00f3n de Microsoft Entra ID<\/h2>\n<p>Para empezar, tienes que activar PIM y asignar roles en el Centro de administraci\u00f3n de Microsoft Entra ID:<\/p>\n<ol>\n<li>Entra en el Centro de administraci\u00f3n de Microsoft Entra.<\/li>\n<li>Ve a <strong>Gobernanza de identidades &gt; Privileged Identity Management<\/strong>.<\/li>\n<li>Selecciona Roles de Microsoft Entra.<\/li>\n<li>Elige un rol (por ejemplo, Administrador global o Administrador de Exchange).<\/li>\n<li>Haz clic en <strong>Agregar asignaciones<\/strong>.<\/li>\n<li>Define al usuario como \u00abApto\u00bb para obtener privilegios con l\u00edmite temporal.<\/li>\n<li>Define el \u00e1mbito (por ejemplo, todo el tenant o un recurso concreto).<\/li>\n<li>Configura los ajustes del rol por separado para definir la duraci\u00f3n de la activaci\u00f3n (por ejemplo, de 1 a 24 horas).<\/li>\n<li>Activa <strong>Requerir aprobaci\u00f3n<\/strong> y <strong>Requerir MFA<\/strong> seg\u00fan necesites en los ajustes de activaci\u00f3n.<\/li>\n<\/ol>\n<p>Los usuarios tienen que activar los roles de forma expl\u00edcita y su acceso caduca autom\u00e1ticamente. Para lograr la m\u00e1xima seguridad, se recomienda exigir aprobaci\u00f3n y MFA.<\/p>\n<h2>Configurar las pol\u00edticas de activaci\u00f3n de roles<\/h2>\n<p>Dentro de PIM puedes configurar las pol\u00edticas que rigen c\u00f3mo se activan los roles. Entre ellas:<\/p>\n<ul>\n<li>Si se requiere MFA<\/li>\n<li>Si se requiere una justificaci\u00f3n<\/li>\n<li>Si se requiere aprobaci\u00f3n (adem\u00e1s puedes especificar qu\u00e9 usuarios pueden aprobar)<\/li>\n<li>La duraci\u00f3n de la activaci\u00f3n (por ejemplo, de 1 a 8 horas)<\/li>\n<li>Los ajustes de notificaci\u00f3n<\/li>\n<\/ul>\n<p>Estos ajustes se configuran en el Centro de administraci\u00f3n de Entra seleccionando un rol y accediendo a <strong>Configuraci\u00f3n &gt; Configuraci\u00f3n del rol<\/strong><br \/>\n<b>Exigir<\/b> n\u00fameros de ticket o identificadores de caso como campos de justificaci\u00f3n es una pr\u00e1ctica habitual. Todos los cambios de configuraci\u00f3n se pueden auditar en los registros de Entra.<\/p>\n<h2>Gestionar asignaciones JIT con PowerShell<\/h2>\n<p>Tambi\u00e9n puedes usar <a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/overview\" target=\"_blank\" rel=\"noopener\">Microsoft Graph<\/a> o el m\u00f3dulo de PowerShell de Azure AD para asignar roles de forma program\u00e1tica, lo que resulta ideal para la integraci\u00f3n con solicitudes de servicio o con flujos de trabajo automatizados de tickets que conceden acceso con \u00e1mbito limitado.<\/p>\n<ol>\n<li>Para ello, con\u00e9ctate a Microsoft Graph con el comando:<\/li>\n<\/ol>\n<p><code><strong>Connect-MgGraph -Scopes \"RoleManagement.ReadWrite.Directory\"<\/strong><\/code><\/p>\n<ol start=\"2\">\n<li>Despu\u00e9s, muestra los roles y sus ID:<\/li>\n<\/ol>\n<p><strong>Get-MgRoleManagementDirectoryRoleDefinition<\/strong><\/p>\n<ol start=\"3\">\n<li>Para crear una asignaci\u00f3n de rol con l\u00edmite temporal para un usuario, ejecuta lo siguiente:<\/li>\n<\/ol>\n<p><strong>$params = @{<\/strong><br \/>\n<strong>Action = \u00abadminAssign\u00bb<\/strong><br \/>\n<strong>PrincipalId = $userId<\/strong><br \/>\n<strong>RoleDefinitionId = $roleId<\/strong><br \/>\n<strong>DirectoryScopeId = \u00ab\/\u00bb<\/strong><br \/>\n<strong>Justification = \u00abGranting temporary access\u00bb<\/strong><br \/>\n<strong>ScheduleInfo = @{<\/strong><br \/>\n<strong>StartDateTime = (Get-Date).ToUniversalTime().ToString(\u00abyyyy-MM-ddTHH:mm:ssZ\u00bb)<\/strong><br \/>\n<strong>Expiration = @{<\/strong><br \/>\n<strong>Type = \u00abAfterDuration\u00bb<\/strong><br \/>\n<strong>Duration = \u00abPT4H\u00bb # ISO 8601 format for 4 hours<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong>New-MgRoleManagementDirectoryRoleAssignmentScheduleRequest -BodyParameter $params<\/strong><\/p>\n<ol start=\"4\">\n<li>Activa el rol manualmente desde el portal de Microsoft Entra (opcional).<\/li>\n<\/ol>\n<h2>Aplicar el Registro y las directivas de grupo para alinear la pol\u00edtica local<\/h2>\n<p>Aunque JIT funciona en el cloud, los sistemas locales deber\u00edan configurarse con un enfoque de m\u00ednimo privilegio y con auditor\u00eda activada.<\/p>\n<p>Por ejemplo, puedes usar el <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/directiva-de-grupo-en-active-directory\/\">objeto de directiva de grupo (GPO)<\/a> ubicado en <strong>Configuraci\u00f3n del equipo &gt; Configuraci\u00f3n de Windows &gt; Configuraci\u00f3n de seguridad &gt; Directivas locales &gt; Asignaci\u00f3n de derechos de usuario<\/strong> para <a href=\"https:\/\/learn.microsoft.com\/en-us\/previous-versions\/windows\/it-pro\/windows-10\/security\/threat-protection\/security-policy-settings\/deny-access-to-this-computer-from-the-network\" target=\"_blank\" rel=\"noopener\"><strong>Denegar el acceso a este equipo desde la red<\/strong><\/a> a determinados usuarios o grupos. Este ajuste impide que esas cuentas utilicen el derecho de inicio de sesi\u00f3n a trav\u00e9s de la red, pero no restringe todas las formas de conexi\u00f3n remota.<\/p>\n<p>El <a href=\"https:\/\/www.ninjaone.com\/videos\/windows\/what-is-the-windows-registry-your-complete-guide\/\">Registro de Windows<\/a> tambi\u00e9n se puede utilizar para imponer valores predeterminados m\u00e1s estrictos en el comportamiento de la elevaci\u00f3n, como exigir avisos de UAC. Por ejemplo:<\/p>\n<ul>\n<li><span style=\"font-weight: normal !msorm;\"><strong>EnableLUA = 1 <\/strong><\/span>garantiza que el Control de cuentas de usuario (UAC) est\u00e9 activado.<\/li>\n<li><span style=\"font-weight: normal !msorm;\"><strong>ConsentPromptBehaviorAdmin = 1 <\/strong><\/span>configura el UAC para que los administradores en modo de aprobaci\u00f3n de administrador tengan que dar su consentimiento al realizar operaciones que requieren elevaci\u00f3n. Sin embargo, esto no significa que todas las acciones administrativas muestren siempre un aviso: se aplica concretamente a los escenarios de elevaci\u00f3n.<\/li>\n<\/ul>\n<p>Estas configuraciones refuerzan tu seguridad local. Sin embargo, no imponen MFA directamente ni impiden que se eluda la MFA. La aplicaci\u00f3n de la MFA debe gestionarse siempre desde plataformas como Microsoft Entra ID.<\/p>\n<h2>Auditor\u00eda y alertas sobre la actividad JIT<\/h2>\n<p>Conviene usar los registros de auditor\u00eda para seguir la activaci\u00f3n de roles y el comportamiento de acceso.<\/p>\n<p>Este es un ejemplo de consulta de PowerShell para recuperar entradas del registro de auditor\u00eda:<\/p>\n<p><strong>Search-UnifiedAuditLog -StartDate (Get-Date).AddHours(-24) -EndDate (Get-Date) -Operations \u00abAdd member to role\u00bb |<\/strong> <strong>Select-Object CreationDate, UserIds, Operations, AuditData<\/strong><\/p>\n<p>En los registros de auditor\u00eda de Microsoft Entra, filtra por las operaciones \u00abAdd member to role\u00bb y \u00abUpdate role assignment\u00bb para seguir los eventos de activaci\u00f3n. Si adem\u00e1s monitorizas un Active Directory on-premise, all\u00ed te resultar\u00e1n \u00fatiles los ID de evento 4670 y 4688. Sin embargo, estos no registran las activaciones de roles de PIM en Entra ID, es decir, las del cloud.<\/p>\n<p>Despu\u00e9s puedes enviar estos registros a tu RMM o SIEM para generar alertas e informes.<\/p>\n<p>Utiliza herramientas de an\u00e1lisis de registros o un SIEM para recibir alertas sobre activaciones frecuentes, elevaciones de rol fuera del horario previsto y solicitudes de elevaci\u00f3n fallidas o repetidas.<\/p>\n<h2>Otros aspectos a tener en cuenta con JIT y PIM<\/h2>\n<p>Al configurar el acceso JIT de Azure en PIM, tambi\u00e9n deber\u00edas pensar en tus flujos de trabajo y en los roles de usuario: elige con cuidado a los usuarios con capacidad para aprobar solicitudes de elevaci\u00f3n y aseg\u00farate de que entienden perfectamente las implicaciones de cada solicitud. Adem\u00e1s, crea roles personalizados con \u00e1mbitos limitados, evita las cuentas de administrador global y aplica el <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/azure-rbac\/\">principio del m\u00ednimo privilegio<\/a>.<\/p>\n<p>Revisa los roles con regularidad y elimina los que ya no sean necesarios. La limpieza de roles y asignaciones deber\u00eda formar parte de los procedimientos de incorporaci\u00f3n y salida del personal.<\/p>\n<h2>Resoluci\u00f3n de problemas del acceso Just-in-Time de Azure<\/h2>\n<p>Si tu implementaci\u00f3n de JIT en Azure no funciona como esperabas, comprueba estos posibles problemas:<\/p>\n<ol>\n<li><strong>El rol no se puede asignar:<\/strong> comprueba que el usuario no est\u00e9 ya activo o asignado a trav\u00e9s de un grupo<\/li>\n<li><strong>Activaci\u00f3n denegada:<\/strong> revisa si falta la MFA o el campo de justificaci\u00f3n<\/li>\n<li><strong>Errores de la API de Graph:<\/strong> confirma los permisos y el \u00e1mbito necesarios al solicitar el token<\/li>\n<li><strong>Los usuarios locales pueden saltarse las restricciones:<\/strong> verifica que las restricciones de GPO y del Registro est\u00e9n aplicadas para impedir la elevaci\u00f3n mediante cuentas de administrador local<\/li>\n<\/ol>\n<h2>NinjaOne RMM te ofrece m\u00e1s visibilidad y control sobre toda tu infraestructura de TI y tus endpoints<\/h2>\n<p>Microsoft Entra ID Privileged Identity Management ofrece una soluci\u00f3n completa de elevaci\u00f3n administrativa JIT aplicada desde el cloud. La seguridad que aporta esta funcionalidad se puede ampliar con <a href=\"https:\/\/www.ninjaone.com\/es\/rmm\/\">NinjaOne RMM<\/a> para obtener informaci\u00f3n detallada de todos tus dispositivos, servicios y de la actividad de los usuarios en un solo lugar, y automatizar el despliegue de configuraciones en todos los dispositivos.<\/p>\n<p>La plataforma MSP y UEM de NinjaOne incluye herramientas para aplicar scripts, enviar pol\u00edticas del Registro o GPO, y permite monitorizar archivos de registro y eventos de Windows para disponer de una auditor\u00eda completa (incluidas las escaladas de privilegios). Tambi\u00e9n incluye informes y registro de cumplimiento, de modo que puedes correlacionar las activaciones de PIM con la actividad de los endpoints y asegurarte de que la escalada administrativa est\u00e1 autorizada y se usa de forma responsable.<\/p>\n<p>NinjaOne tambi\u00e9n incorpora herramientas de automatizaci\u00f3n capaces de desactivar cuentas de usuario si se detecta actividad sospechosa, aislar los sistemas afectados y escalar tickets a la persona responsable o ejecutar scripts de correcci\u00f3n, lo que mejora enormemente tu capacidad de automatizar la respuesta a incidentes de seguridad.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>El acceso administrativo Just-in-Time (JIT) en Azure AD te permite conceder privilegios elevados para realizar tareas administrativas durante un tiempo limitado. Esto resulta \u00fatil tanto para los equipos de inform\u00e1tica interna como para los MSP, ya que reduce el riesgo de que las cuentas con privilegios excesivos se utilicen en ciberataques. Esta gu\u00eda explica el [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":554294,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-901831","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901831","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=901831"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901831\/revisions"}],"predecessor-version":[{"id":901832,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/901831\/revisions\/901832"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/554294"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=901831"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=901831"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=901831"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}