Qué vas a conseguir
Que nadie del equipo de IT de la sede tenga privilegios de administración encendidos todo el día, y que aun así puedan resolver una incidencia antes de la apertura de mercado. En una entidad regulada, la pregunta de auditoría no es solo quién puede administrar, sino quién lo hizo, cuándo, por qué y con qué ticket. PIM responde a las cuatro si lo configuras pensando en cómo trabaja la sede, no solo en el tenant.
La configuración del tenant, los administradores globales y las cuentas de emergencia están en la guía de Microsoft 365: Global Admin y PIM. Aquí va el ángulo de la sede: el técnico local, el horario de mercado y la evidencia que se entrega cada trimestre.
Antes de empezar
- Licencias Microsoft Entra ID P2 o Microsoft Entra ID Governance para los usuarios que van a tener roles elegibles y para los revisores.
- Cuentas de administración separadas de las de uso diario (por ejemplo
adm-javier.ruiz), con MFA resistente a phishing. - Acordado con seguridad y cumplimiento quién aprueba qué, y un responsable de guardia que pueda aprobar fuera de horario.
1. De roles permanentes a roles elegibles
El punto de partida suele ser un técnico de la sede con Intune Administrator, User Administrator y Exchange Administrator activos desde hace años. Pásalos a elegibles: el rol existe, pero hay que activarlo cuando se necesita.
| Rol | Uso en la sede | Duración máxima | Al activar |
|---|---|---|---|
| Helpdesk Administrator | Resetear contraseñas, sesiones | 8 h | MFA, justificación |
| Authentication Administrator | Resetear métodos de MFA | 4 h | MFA, ticket |
| Intune Administrator | Equipos, aplicaciones, perfiles | 4 h | MFA, ticket |
| Exchange Administrator | Buzones compartidos, reglas | 2 h | MFA, ticket, aprobación |
| Security Administrator | Solo con incidente abierto | 2 h | MFA, ticket, aprobación |
- Asigna los roles con unidades administrativas cuando sea posible: el técnico de Madrid administra los usuarios y equipos de Madrid, no los de toda la organización.
- Las asignaciones elegibles caducan (por ejemplo a los 12 meses) y se renuevan en la revisión. Una asignación permanente es la que nadie vuelve a mirar.
2. La activación: ticket, justificación y aprobación
En ID Governance › Privileged Identity Management › Microsoft Entra roles › Settings, cada rol tiene su configuración. Para la sede, lo útil es:
- Ticket obligatorio: el campo es informativo (PIM no lo valida contra tu herramienta), pero queda en el registro de auditoría junto a la activación. El revisor puede cruzar cada activación con su ticket.
- Contexto de autenticación en lugar de solo MFA: así exiges que la activación se haga desde un equipo conforme y con un método fuerte, aunque el técnico ya hubiera hecho MFA al iniciar sesión.
- Aprobación solo donde tiene sentido. Si todo requiere aprobación, a las 7:30 nadie trabaja. Con al menos dos aprobadores por rol, y uno de ellos el responsable de guardia.
3. PIM para grupos: servidores y aplicaciones de la sede
Muchos permisos de la sede no son roles de Entra: administrador de los servidores locales, acceso a la consola de una aplicación de negocio, permisos de soporte en la plataforma de trading. Para eso está PIM para grupos.
- Crea grupos de seguridad en la nube con nombre claro, por ejemplo
PIM-MAD-ServerAdminsoPIM-APP-SoporteTrading. Los grupos sincronizados desde AD no se pueden gestionar con PIM para grupos. - Actívalos en Privileged Identity Management › Groups y añade a los técnicos como miembros elegibles.
- Para aplicaciones con SSO en Entra, asigna el grupo a la aplicación: solo quien ha activado la pertenencia entra con permisos de soporte.
- Para servidores en AD, el grupo se aprovisiona a AD (Entra Cloud Sync, aprovisionamiento de grupos a AD) y ese grupo de AD es el que tiene permisos en los servidores.
Hay retraso: la pertenencia tarda lo que tarde el ciclo de sincronización en llegar a AD, y el técnico tiene que cerrar sesión o renovar su ticket Kerberos para que cuente. Explícalo antes de que alguien abra un ticket diciendo que PIM no funciona.
4. El ticket: "no puedo activar mi rol durante una incidencia a las 7:30"
Martes, 7:30. Un grupo de puestos de la sala no recibe una configuración de Intune y el mercado abre a las 9:00. Javier, técnico de la sede, intenta activar Intune Administrator y no puede.
- ¿Qué ve exactamente? No es lo mismo "no me aparece el rol" que "está pendiente de aprobación" o "me pide verificación y falla".
- El rol no aparece en My roles: la asignación elegible ha caducado. Compruébalo:
Connect-MgGraph -Scopes "RoleManagement.Read.Directory"$u = Get-MgUser -Filter "displayName eq 'adm-javier.ruiz'"Get-MgRoleManagementDirectoryRoleEligibilityScheduleInstance -Filter "principalId eq '$($u.Id)'" -ExpandProperty RoleDefinition | Select-Object @{n='Role';e={$_.RoleDefinition.DisplayName}}, StartDateTime, EndDateTimeRole StartDateTime EndDateTime---- ------------- -----------Helpdesk Administrator 01/11/2025 09:00:00 01/11/2026 09:00:00Authentication Administrator 01/11/2025 09:00:00 01/11/2026 09:00:00Intune Administrator no está: venció la semana pasada y nadie la renovó. Un administrador con rol suficiente (Privileged Role Administrator, activado) crea de nuevo la asignación elegible, con el ticket de la incidencia como justificación.
- Pendiente de aprobación: los aprobadores están en otra zona horaria o aún no han empezado. Por eso el responsable de guardia está en la lista de aprobadores; si no lo está, se le añade después, no ahora.
- Falla la verificación: el contexto de autenticación exige un equipo conforme y Javier está en un portátil que ha dejado de serlo. Que active desde su equipo habitual.
- Activado, pero el portal no le deja: el portal guarda la sesión anterior. Cerrar sesión y volver a entrar, o esperar unos minutos.
Después de la incidencia, revisa por qué venció una asignación sin aviso: la renovación tiene que estar en el calendario de revisiones, no en la memoria de alguien.
5. Revisiones trimestrales como evidencia de auditoría
En ID Governance › Privileged Identity Management › Microsoft Entra roles › Access reviews (y lo mismo para grupos), crea una revisión recurrente:
- Frecuencia: trimestral, alineada con el calendario de controles que revisa auditoría interna.
- Alcance: asignaciones elegibles y activas de los roles y grupos de la sede.
- Revisores: el responsable de IT de la sede, o el responsable de cada técnico. Nunca el propio técnico revisándose a sí mismo.
- Al terminar: aplicar resultados automáticamente y, si el revisor no responde, quitar el acceso.
Al cerrar cada revisión, descarga los resultados y guárdalos junto al registro de activaciones del trimestre (Privileged Identity Management › Microsoft Entra roles › Resource audit). Eso es lo que se entrega: quién tenía qué, quién lo revisó, qué se quitó y cada activación con su ticket.
6. Lo que revisas cada mes
- Asignaciones activas permanentes que hayan aparecido fuera de PIM: deberían ser solo las de emergencia.
- Asignaciones elegibles que vencen en los próximos 30 días.
- Activaciones sin ticket o con justificaciones vacías del tipo "soporte".
Siguientes pasos
- La guía de Microsoft 365: Global Admin y PIM cubre la configuración del tenant, los administradores globales y las cuentas de emergencia.
- La guía de Entra ID: Conditional Access explica cómo crear el contexto de autenticación que se exige al activar.
- La guía de ISO 27001/NIS2/RGPD en IT ayuda a encajar estas revisiones en el sistema de controles.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Nobody in the site's IT team keeps admin privileges switched on all day, and they can still fix an incident before the market opens. In a regulated firm, the audit question is not only who can administer, but who did it, when, why and under which ticket. PIM answers all four if you configure it around how the site works, not just the tenant.
Tenant configuration, Global Administrators and emergency accounts are in the Microsoft 365: Global Admin and PIM guide. This one takes the site angle: the local technician, market hours and the evidence handed over every quarter.
Before you start
- Microsoft Entra ID P2 or Microsoft Entra ID Governance licences for the users who will hold eligible roles and for the reviewers.
- Admin accounts separate from everyday ones (for example
adm-javier.ruiz), with phishing-resistant MFA. - Agreement with security and compliance on who approves what, and an on-call lead who can approve out of hours.
1. From permanent to eligible roles
The starting point is usually a site technician with Intune Administrator, User Administrator and Exchange Administrator active for years. Make them eligible: the role exists, but has to be activated when needed.
| Role | Use at the site | Maximum duration | On activation |
|---|---|---|---|
| Helpdesk Administrator | Reset passwords, sessions | 8 h | MFA, justification |
| Authentication Administrator | Reset MFA methods | 4 h | MFA, ticket |
| Intune Administrator | Devices, apps, profiles | 4 h | MFA, ticket |
| Exchange Administrator | Shared mailboxes, rules | 2 h | MFA, ticket, approval |
| Security Administrator | Only with an open incident | 2 h | MFA, ticket, approval |
- Scope roles with administrative units where possible: the Madrid technician administers Madrid's users and devices, not the whole organisation's.
- Eligible assignments expire (for example after 12 months) and are renewed at review. A permanent assignment is the one nobody looks at again.
2. Activation: ticket, justification and approval
In ID Governance › Privileged Identity Management › Microsoft Entra roles › Settings, each role has its own settings. For the site, the useful ones are:
- Mandatory ticket: the field is informational (PIM doesn't check it against your tool), but it stays in the audit log with the activation. The reviewer can match every activation to its ticket.
- Authentication context rather than plain MFA: that way you require activation from a compliant device with a strong method, even if the technician already did MFA at sign-in.
- Approval only where it makes sense. If everything needs approval, nobody works at 7:30. At least two approvers per role, one of them the on-call lead.
3. PIM for Groups: the site's servers and applications
Many site permissions are not Entra roles: admin on local servers, access to a business application's console, support permissions on the trading platform. That is what PIM for Groups is for.
- Create cloud security groups with clear names, for example
PIM-MAD-ServerAdminsorPIM-APP-TradingSupport. Groups synced from AD can't be managed with PIM for Groups. - Enable them in Privileged Identity Management › Groups and add the technicians as eligible members.
- For applications with Entra SSO, assign the group to the application: only someone who has activated membership gets in with support rights.
- For servers in AD, the group is provisioned to AD (Entra Cloud Sync, group provisioning to AD) and that AD group holds the permissions on the servers.
There is a delay: membership takes as long as the sync cycle to reach AD, and the technician has to sign out or renew their Kerberos ticket for it to count. Explain this before someone opens a ticket saying PIM doesn't work.
4. The ticket: "I can't activate my role during an incident at 7:30"
Tuesday, 7:30. A group of trading floor desks isn't receiving an Intune configuration and the market opens at 9:00. Javier, the site technician, tries to activate Intune Administrator and can't.
- What exactly does he see? "The role isn't there" is not the same as "pending approval" or "it asks for verification and fails".
- The role isn't in My roles: the eligible assignment has expired. Check it:
Connect-MgGraph -Scopes "RoleManagement.Read.Directory"$u = Get-MgUser -Filter "displayName eq 'adm-javier.ruiz'"Get-MgRoleManagementDirectoryRoleEligibilityScheduleInstance -Filter "principalId eq '$($u.Id)'" -ExpandProperty RoleDefinition | Select-Object @{n='Role';e={$_.RoleDefinition.DisplayName}}, StartDateTime, EndDateTimeRole StartDateTime EndDateTime---- ------------- -----------Helpdesk Administrator 01/11/2025 09:00:00 01/11/2026 09:00:00Authentication Administrator 01/11/2025 09:00:00 01/11/2026 09:00:00Intune Administrator is missing: it expired last week and nobody renewed it. An administrator with enough rights (Privileged Role Administrator, activated) recreates the eligible assignment, with the incident ticket as justification.
- Pending approval: the approvers are in another time zone or haven't started yet. That is why the on-call lead is on the approver list; if not, add them afterwards, not now.
- Verification fails: the authentication context requires a compliant device and Javier is on a laptop that has stopped being compliant. He activates from his usual device.
- Activated, but the portal won't let him: the portal keeps the earlier session. Sign out and back in, or wait a few minutes.
After the incident, look at why an assignment expired without warning: renewal belongs in the review calendar, not in someone's memory.
5. Quarterly reviews as audit evidence
In ID Governance › Privileged Identity Management › Microsoft Entra roles › Access reviews (and the same for groups), create a recurring review:
- Frequency: quarterly, in line with the control calendar internal audit checks.
- Scope: eligible and active assignments for the site's roles and groups.
- Reviewers: the site IT lead, or each technician's manager. Never the technician reviewing themselves.
- On completion: auto-apply results and, if the reviewer doesn't respond, remove access.
When each review closes, download the results and keep them with the quarter's activation log (Privileged Identity Management › Microsoft Entra roles › Resource audit). That is what you hand over: who had what, who reviewed it, what was removed and every activation with its ticket.
6. What you review each month
- Permanent active assignments that have appeared outside PIM: they should only be the emergency ones.
- Eligible assignments expiring in the next 30 days.
- Activations without a ticket or with empty justifications like "support".
Next steps
- The Microsoft 365: Global Admin and PIM guide covers tenant configuration, Global Administrators and emergency accounts.
- The Entra ID: Conditional Access guide explains how to create the authentication context required on activation.
- The ISO 27001/NIS2/RGPD in IT guide helps fit these reviews into the control framework.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →