Microsoft 365 / Cómo asignar roles de administrador y preparar cuentas de acceso de emergencia

Asigne permisos de administrador de Microsoft 365 según las tareas de cada persona en lugar de dar a cada administrador el rol de Administrador Global. Prepare y valide regularmente cuentas independientes de acceso de emergencia para que la organización pueda recuperar el acceso administrativo si no se pueden usar sus cuentas de administrador normales.

¿Por qué separar los roles de administrador?

Los roles de administrador determinan el alcance de la configuración que se puede ver y las operaciones que se pueden cambiar. Roles como Administrador de Licencias, Administrador de Usuarios, Administrador de Exchange y Administrador de SharePoint están diseñados para diferentes responsabilidades. Dar permisos innecesariamente amplios a una sola cuenta aumenta el impacto potencial de la intrusión en la cuenta o de errores.

La guía de roles de administrador de Microsoft 365 recomienda aplicar el mínimo de privilegios y limitar el número de administradores. Al asignar roles, enumere primero las tareas concretas que realizará la persona y elija el rol con menos permisos que permita completarlas. No deduzca los permisos únicamente por el nombre del rol; revise sus capacidades detalladas.

Elegir roles para tareas comunes

Por ejemplo, si RR. HH. proporciona una lista de nuevos empleados y TI crea sus cuentas, RR. HH. puede enviar una solicitud de aprobación sin recibir permisos de gestión de usuarios. Separe las tareas en "tareas necesarias para la empresa" y "tareas que esta persona debe realizar directamente". La asignación de roles debe ser realizada por un administrador separado que tenga los permisos apropiados.

Asignación y eliminación de roles de administrador

1. En el centro de administración de Microsoft 365, abra Roles → Asignaciones de roles. Su cuenta actual debe tener permiso para administrar roles.

2. Seleccione un rol adecuado para sus tareas y lea la descripción de los permisos. Si es necesario, consulte roles más detallados en el centro de administración de Microsoft Entra.
3. En la pestaña Asignado, seleccione Agregar usuarios, elija la cuenta apropiada y seleccione Agregar. Registre la razón de la asignación, el aprobador, el alcance y el calendario de revisión.
4. Compruebe si la cuenta permite realizar las tareas necesarias y quite los permisos innecesarios. Los cambios pueden tardar en aplicarse; abra una nueva sesión para comprobarlos.

También puede cambiar los roles en la pantalla de detalles del usuario en Administrar roles. El procedimiento de asignación de roles de Microsoft explica ambos caminos.

Después de guardar, la persona asignada verifica los menús y tareas necesarios en una nueva sesión de inicio de sesión. Si es trabajo de solo lectura, solo verifique la visualización; al comprobar los permisos de cambio, determine el objetivo de prueba aprobado y los valores a revertir. En caso de errores, primero verifique el alcance del objetivo de la organización y los roles y el estado de la asignación, y no eleve inmediatamente a un administrador global.

Cuando el trabajo esté terminado o la persona a cargo cambie, quite a la persona de los mismos Roles → Asignaciones de roles → el rol correspondiente → Asignado y verifique nuevamente. Si se mantienen varios roles al mismo tiempo, incluso si se elimina una, el mismo trabajo aún puede ser posible por otro camino. Si la organización utiliza PIM (Privileged Identity Management, administración de identidades con privilegios que permite activar permisos cuando se necesitan), distinga las asignaciones de roles activas de las elegibles.

¿Qué es una cuenta de administrador de emergencia?

Las cuentas de emergencia son cuentas utilizadas para recuperar el acceso a su organización cuando sus cuentas de administrador habituales, métodos de autenticación o sistemas de identificación externos presentan problemas. Son diferentes de simplemente crear una cuenta adicional para tareas diarias. Microsoft recomienda en Guía de Cuentas de Acceso de Emergencia preparar dos o más cuentas solo en la nube, diseñar rutas de autenticación diferentes de las cuentas operativas habituales, monitorear su uso y probarlas periódicamente.

Las cuentas de emergencia deben crearse como cuentas solo en la nube en el dominio predeterminado onmicrosoft.com y diseñarse de manera que no dependan de la sincronización de directorios locales ni de servidores de autenticación externos. La guía de Microsoft actualizada en junio de 2026 aconseja que las cuentas de emergencia utilicen métodos de autenticación resistentes al phishing diferentes de los administradores regulares y se excluyan de las políticas de Acceso Condicional que bloquean o restringen el inicio de sesión. Las políticas solo de informe no impiden el inicio de sesión, por lo que no es necesario excluir las cuentas de emergencia solo por esa razón.

Esta excepción no significa que deban configurarse para iniciar sesión únicamente con una contraseña. Use claves de acceso FIDO2 o llaves de seguridad para cumplir con los requisitos obligatorios de autenticación multifactor (MFA). La autenticación basada en certificados es otra opción si la organización ya cuenta con una infraestructura de clave pública (Public Key Infrastructure, PKI). Si las cuentas regulares dependen de la autenticación por teléfono, no configure las cuentas de emergencia para depender del mismo teléfono. Si se utiliza PIM, se recomienda que los roles de administrador global de las cuentas de emergencia estén en un estado permanentemente activo en lugar de una asignación elegible que requiera aprobación para activarse.

Preparación y validación de cuentas de acceso de emergencia

1. Investigue a los administradores globales actuales y las dependencias de autenticación. Asegúrese de que no dependan únicamente de identificaciones integradas locales o de un único método de autenticación.
2. Diseñe al menos dos cuentas de emergencia únicamente en la nube según la política organizacional. Los nombres de las cuentas deben permitir la identificación de su propósito, pero no deben exponerse en documentos públicos o capturas de pantalla.
3. Configure los privilegios de administrador global y los métodos de autenticación siguiendo las directrices de Microsoft, y asegure una ruta de uso independiente de las cuentas de administrador habituales. El método de configuración varía según las licencias y políticas de la organización.
4. Configure procedimientos de alerta y auditoría para el uso de cuentas y cambios de configuración. Si se inicia sesión con una cuenta de emergencia, se deben mantener los registros de incidentes y la revisión posterior.
5. Pruebe los inicios de sesión regularmente en un entorno controlado. Después de la prueba, verifique que se generen los registros y alertas esperados, y actualice los procedimientos de acceso cuando ocurra un cambio de personal.

Qué verificar durante las pruebas regulares

Microsoft recomienda validar las cuentas de emergencia al menos cada 90 días. Revise nuevamente después de cambios de administrador, actualizaciones de políticas de autenticación o cambios en la ubicación de almacenamiento. La clave es distinguir entre "tener una cuenta" y "poder usarla para la recuperación", de modo que la cuenta no se pruebe por primera vez durante una falla real.

1. Informe al responsable de seguridad que se realizará una prueba programada y verifique que el personal autorizado pueda acceder a las credenciales y al entorno de trabajo seguro designado. Si el acceso al almacenamiento seguro depende de una cuenta de trabajo que no esté disponible durante el incidente, la ruta de recuperación también puede estar bloqueada.
2. Inicie sesión usando la cuenta de emergencia sin reutilizar una sesión de cuenta general. Confirme que los métodos de autenticación requeridos funcionen y que las funciones administrativas sean accesibles. No desactive arbitrariamente las políticas organizacionales con fines de prueba.
3. Verifique si las cuentas reales y las marcas de tiempo aparecen en los registros de inicio de sesión y de auditoría, y si las alertas de monitoreo se envían a otros administradores. Si no se recibieron alertas, no considere que el sistema esté listo para la operación normal.
4. Después de cerrar sesión, registre los resultados de la prueba, los usuarios que accedieron al sistema, los comprobaciones fallidas y la persona responsable de la corrección. Después del uso real en una emergencia, revise las tareas realizadas y reevalúe las credenciales y los procedimientos de almacenamiento que podrían haber estado expuestos.

La supervisión se puede diseñar en función del ID del objeto de la cuenta en los registros de inicio de sesión de Entra. Al conectar notificaciones a través de Azure Monitor o las herramientas de supervisión de seguridad de la organización, primero debe preparar las exportaciones de registros, el almacenamiento y las rutas de alertas, lo que puede requerir permisos adicionales y generar costos separados. Simplemente crear una cuenta no configura automáticamente las alertas. No registre la dirección de la cuenta de emergencia real, los códigos de recuperación ni las ubicaciones de almacenamiento seguro de claves en documentos públicos; guárdelos en registros operativos controlados.