Qué vas a conseguir
Un conjunto de políticas de Conditional Access que exige MFA, bloquea la autenticación heredada y protege a los administradores, desplegado sin sorpresas gracias al modo solo informe. Y la rutina para el ticket de "no puedo entrar" más frecuente a partir de ahora: el que causa una de tus políticas.
Antes de empezar
- Rol de Conditional Access Administrator (o Security Administrator), idealmente activado por PIM.
- Licencias Entra ID P1 en el tenant (las políticas basadas en riesgo necesitan P2).
- Dos cuentas de emergencia (break-glass) ya creadas, con contraseñas largas guardadas fuera de línea, y un grupo que las contenga.
- La lista de aplicaciones o servicios que usan autenticación heredada (POP/IMAP, SMTP básico): el informe
Sign-in logsfiltrado porClient appte la da.
1. Las cuentas de emergencia, primero
Toda política excluye al grupo de emergencia. Sin esa exclusión, un error en una política te deja fuera del tenant a ti también.
Las cuentas de emergencia no tienen licencia ni se usan nunca salvo emergencia. Entran con una llave FIDO2 guardada en una caja fuerte (Microsoft exige MFA en los portales de administración también a ellas), y cada inicio de sesión con ellas dispara una alerta (guías de Global Admin y PIM y de Microsoft Sentinel, Nivel 4).
2. Las cuatro políticas base
Las otras tres siguen el mismo patrón:
| Política | Usuarios | Condición | Control |
|---|---|---|---|
| CA002 - Block legacy authentication | Todos (excl. emergencia) | Aplicaciones cliente: Exchange ActiveSync, Otros clientes | Bloquear |
| CA003 - Require MFA for admins | Roles de directorio: Global Admin, Exchange Admin, SharePoint Admin, Security Admin, CA Admin, User Admin… (excl. emergencia) | — | Requerir MFA |
| CA004 - Require compliant device for Office 365 | Todos (excl. emergencia e invitados) | Plataformas: Windows, macOS, iOS, Android | Requerir dispositivo marcado como conforme o unido a Entra híbrido |
Todas en Solo informe al crearlas. Ninguna se activa el mismo día.
3. Una semana en solo informe
Esta lista es la que trabajas antes de activar nada: la impresora que envía por SMTP básico pasa a Microsoft 365 alta disponibilidad SMTP o a un conector; la cuenta IMAP pasa a Outlook moderno; el equipo de M. Ortega se arregla en Intune (guía de Intune). La pestaña Insights and reporting de Conditional Access hace la cuenta por política. Cuando una política lleva cero errores no esperados durante una semana, se pasa a Activado. Una política por semana, no las cuatro a la vez.
Consejo: What If (en la página de políticas) simula un inicio de sesión: usuario, aplicación, plataforma, ubicación. Es lo que usas para responder "¿qué pasará con el director cuando viaje?" antes de que viaje.
4. El ticket: "no puedo entrar"
El detalle del inicio de sesión tiene dos pestañas que resuelven el 90 %: Información básica (código de error) y Acceso condicional (qué política falló y qué control). Con el código vas a Intune: el dispositivo marca no conforme por BitLocker apagado (guía de BitLocker del Nivel 1). Lo que nunca haces es excluir al usuario de la política para "que entre ya": arreglas la causa y lo apuntas.
Los códigos que verás a menudo: 53000/53001 (dispositivo no conforme o no unido), 50074 (MFA obligatoria y el usuario no completó), 530032 (bloqueado por política de autenticación heredada), 50076 (MFA requerida por una política que acaba de activarse).
5. Lo que revisas cada mes
- Que las dos cuentas de emergencia siguen excluidas de todas las políticas (Conditional Access → Políticas → filtro por exclusión).
- Políticas que llevan más de un mes en solo informe: o se activan o se borran.
Insights and reporting: usuarios con más fallos por política. Un pico de CA002 es alguien configurando IMAP en un móvil nuevo.- Que no ha aparecido ninguna política nueva que tú no crearas: el registro de auditoría (
Audit logs, categoría Policy) lo dice, y el repo 27 lo cruza con los tickets de cambio.
Siguientes pasos
- Ubicaciones con nombre: la IP pública de la sede como ubicación de confianza, y una política que bloquee países desde los que la empresa no trabaja.
- Frecuencia de inicio de sesión y sesión persistente para los equipos no gestionados: menos tokens de larga duración fuera de tus dispositivos.
- Con P2, las políticas de riesgo de usuario e inicio de sesión de riesgo (Identity Protection) sustituyen reglas estáticas por señales.
- La guía de Entra ID SSO explica el otro lado: qué aplicaciones hay detrás de "todas las aplicaciones en la nube".
¿Quieres practicarlo? Resuelve el ticket «De viaje y sin acceso a Microsoft 365» en SysAdmin Desks, gratis y en el navegador.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.
Apúntate y llévate las 33 ideas →