Administración del acceso externo a los recursos mediante directivas de acceso condicional

El acceso condicional interpreta señales, aplica directivas y determina si se concede acceso a los recursos a un usuario. En este artículo obtendrá información sobre cómo aplicar directivas de acceso condicional a usuarios externos. En el artículo se asume que es posible que no tenga acceso a la administración de derechos, una característica que puede usar con el acceso condicional.

Más información:

• ¿Qué es el acceso condicional?
• Planear una implementación de acceso condicional
• ¿Qué es la administración de derechos?

En el diagrama siguiente se muestran las señales al acceso condicional que desencadenan procesos de acceso.

Antes de empezar

Este artículo es el número 7 de una serie de 10 artículos. Se recomienda leer los artículos en orden. Vaya a la sección Pasos siguientes para ver toda la serie.

Alineación de un plan de seguridad con directivas de acceso condicional

En el tercer artículo, en el conjunto de 10 artículos, hay instrucciones sobre cómo crear un plan de seguridad. Use ese plan para ayudar a crear las directivas de acceso condicional para el acceso externo. Parte del plan de seguridad incluye:

• Aplicaciones y recursos agrupados para el acceso simplificado
• Los requisitos de inicio de sesión para usuarios externos

Consulte el artículo tres: Creación de un plan de seguridad para el acceso externo a los recursos.

Directivas de acceso condicional para el acceso externo

Las siguientes secciones son los procedimientos recomendados para controlar el acceso externo con políticas de acceso condicional.

Administración de derechos o grupos

Si no puede usar organizaciones conectadas en la administración de derechos, cree un grupo de seguridad de Microsoft Entra o un grupo de Microsoft 365 para organizaciones asociadas. Asigne usuarios de ese asociado al grupo. Puede usar los grupos en las directivas de acceso condicional.

Más información:

• ¿Qué es la administración de derechos?
• Administrar grupos y pertenencia a grupos de Microsoft Entra
• Introducción a los grupos de Microsoft 365 para administradores

Creación de directivas de acceso condicional

Cree el menor número posible de directivas de acceso condicional. En el caso de las aplicaciones que tengan los mismos requisitos de acceso, agréguelas a la misma directiva.

Las directivas de acceso condicional se aplican a un máximo de 250 aplicaciones. Si hubiera más de 250 aplicaciones con los mismos requisitos de acceso, duplique las directivas. Por ejemplo, la directiva A se aplica a las aplicaciones 1 a 250, la política B se aplica a las aplicaciones 251 a 500, y así sucesivamente.

Convención de nomenclatura

Use una convención de nomenclatura que aclare el propósito de la directiva. Algunos ejemplos de acceso externo son:

• AccesoExterno_accionrealizada_GrupoApp
• BloqueoDeAccesoExterno_AppsFinancieras

Permitir el acceso externo a los usuarios externos específicos

Hay escenarios en los que será necesario permitir el acceso a un grupo pequeño y específico.

Antes de empezar se recomienda crear un grupo de seguridad que contenga los usuarios externos que acceden a los recursos. Consulte Administración de grupos y pertenencia a grupos de Microsoft Entra.

1. Inicie sesión en el Centro de administración de Microsoft Entra como al menos un administrador de acceso condicional.
2. Vaya a Entra ID>Acceso condicional.
3. Seleccione Crear nueva directiva.
4. Asigna un nombre a la directiva. Se recomienda que las organizaciones creen un estándar significativo para los nombres de sus directivas.
5. En Asignaciones, seleccione Usuarios o identidades de carga de trabajo.
   1. En Incluir, seleccione Todos los invitados y usuarios externos.
   2. En Excluir, seleccione Usuarios y grupos y elija las cuentas de acceso de emergencia o cuentas de emergencia (break-glass) de su organización y el grupo de seguridad de usuarios externos.
6. En Recursos de destino>Recursos (anteriormente aplicaciones de la nube), seleccione las siguientes opciones:
   1. En Incluir, seleccione Todos los recursos (anteriormente "Todas las aplicaciones en la nube")
   2. En Excluir, seleccione las aplicaciones que desea excluir.
7. En Controles de acceso>, seleccione Bloquear acceso y, a continuación, seleccione Seleccionar.
8. Seleccione Crear para habilitar la directiva.

Más información: Administrar cuentas de acceso de emergencia en microsoft Entra ID

Acceso del proveedor de servicios

Las directivas de acceso condicional para usuarios externos podrían interferir con el acceso del proveedor de servicios. Por ejemplo: los privilegios de administración delegados pormenorizados.

Más información: Introducción a privilegios de administrador delegados pormenorizados (GDAP)

Plantillas de acceso condicional

Las plantillas de acceso condicional son un método cómodo para implementar nuevas directivas alineadas con las recomendaciones de Microsoft. Estas plantillas proporcionan protección alineada con las directivas de uso frecuente en varios tipos y ubicaciones de clientes.

Más información: Plantillas de acceso condicional (versión preliminar)

Pasos siguientes

Use la siguiente serie de artículos para obtener más información sobre cómo proteger el acceso externo a los recursos. Se recomienda seguir el orden indicado.

1. Determine su postura de seguridad para el acceso externo con Microsoft Entra ID

2. Detección del estado actual de la colaboración externa en su organización

3. Creación de un plan de seguridad para el acceso externo a los recursos

4. Protección del acceso externo con grupos en el identificador de Microsoft Entra y Microsoft 365

5. Transición a la colaboración regulada con la colaboración B2B de Microsoft Entra

6. Administrar el acceso externo con la administración de derechos de Microsoft Entra

7. Administrar el acceso externo a los recursos con directivas de acceso condicional (está aquí)

8. Control del acceso externo a los recursos de Microsoft Entra ID con etiquetas de confidencialidad

9. Asegurar el acceso externo a Microsoft Teams, SharePoint y OneDrive para la Empresa con Microsoft Entra ID

10. Convertir cuentas de invitado locales en cuentas de invitado de Microsoft Entra B2B