El problema
La deuda de identidad crece sin hacer ruido: un administrador que nunca registró MFA, una baja cuya cuenta sigue activa, invitados de un proyecto que acabó hace un año.
Qué he hecho
Una auditoría que señala cuatro cosas:
- Administradores sin MFA.
- Miembros sin MFA.
- Miembros sin actividad en más de 90 días.
- Cuentas de invitado obsoletas.
Cómo está hecho
scripts/Export-EntraUsers.ps1 lee los usuarios, su signInActivity y el informe de registro de MFA por Microsoft Graph, con User.Read.All y AuditLog.Read.All. La actividad de inicio de sesión requiere Entra ID P1 o P2, y el README lo dice. Python hace el análisis y el informe. Siete tests.
Qué aprendí
Casi todo el trabajo está en decidir qué significa "inactivo" y "obsoleto" y dejarlo escrito, para poder defender el informe cuando alguien pregunte por qué sale su cuenta.
Siguientes pasos
- Dar permisos de solo lectura en Graph (
User.Read.All,AuditLog.Read.All) en un tenant con Entra ID P1 o P2. - Acordar con seguridad qué significan "inactivo" y "obsoleto" en tu organización y fijar esos umbrales.
- Ejecutarlo cada mes y guardar cada informe como evidencia para las revisiones de acceso.
¿Quieres llevarlo a tu entorno o adaptarlo a tu caso? Escríbeme y lo vemos.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.
Apúntate y llévate las 33 ideas →