¿Qué es Privileged Identity Management (PIM)?

Privileged Identity Management (PIM) de Microsoft Entra ayuda a administrar el acceso a roles privilegiados con activaciones temporales y controles configurables. Una persona puede ser elegible para activar un rol cuando lo necesita, en vez de mantenerlo activo de forma permanente. El flujo permite aplicar condiciones como autenticación, justificación o aprobación, según la configuración admitida.

Aquí nos referimos a Microsoft Entra PIM. «PIM» también se utiliza para otras prácticas y productos de administración de identidades privilegiadas, cuyas capacidades no necesariamente coinciden. La versión, el ámbito del rol y las licencias disponibles deben comprobarse en el tenant concreto.

Elegible y activo significan cosas distintas

Una asignación elegible permite solicitar la activación de un rol cuando se necesita. Una asignación activa ya concede ese rol durante el periodo configurado. La elegibilidad reduce la exposición permanente, aunque su efecto depende de que las cuentas y las políticas de activación se administren correctamente.

Por ejemplo, un administrador podría activar un rol durante una ventana de mantenimiento, aportar una justificación y completar autenticación multifactor. La duración máxima y los requisitos los determina la política del tenant. No se debe suponer que toda activación requiere aprobación: esa condición puede configurarse según el rol y las necesidades de operación.

También pueden existir asignaciones temporales y permanentes, con fechas y tipos distintos. Que una persona sea elegible de forma duradera no significa que el privilegio permanezca activo de forma continua. Revisar ambas dimensiones evita confundir quién podría pedir el acceso con quién lo tiene en este momento.

-InfraCrew dice: El privilegio «solo por si acaso» suele durar más que el cambio para el que se pidió.-

Acotar rol, alcance y condiciones

Antes de asignar un rol, decide qué operaciones necesita realizar la persona y sobre qué recursos. El privilegio mínimo también se expresa en el alcance y en el rol, no únicamente en la duración. Un rol amplio activado durante media hora aún puede permitir acciones que una tarea concreta no necesita.

PIM ofrece configuraciones para requisitos de activación, duración y revisiones según el tipo de asignación y el alcance disponible. Las opciones no son necesariamente iguales para todos los recursos. Comprueba la documentación de ese rol y ese ámbito antes de diseñar un flujo; una guía para roles de Entra no garantiza idéntico comportamiento en recursos Azure.

Una justificación escrita ayuda a entender la solicitud y los avisos pueden informar a revisores. Un campo de texto no equivale a la aprobación de un cambio ni a un ticket verificado. Si el proceso exige relación con una orden de trabajo, hay que definir cómo se controla esa relación fuera de una mera respuesta redactada por el solicitante.

La activación necesita una operación preparada

Define quién puede aprobar, cómo se cubren ausencias y qué ocurre ante una emergencia. Si cada activación depende de una sola persona que está fuera, el control puede bloquear una recuperación urgente. La ruta de aprobación necesita disponibilidad y límites claros. Las cuentas de emergencia requieren una política separada, protección rigurosa y revisión de su uso.

Registra la activación, la justificación, el rol y la duración. Tras la ventana de trabajo, confirma qué tareas se ejecutaron y si el acceso expiró según lo previsto. El fin de una asignación activa no deshace las acciones realizadas mientras el rol estaba concedido. La revisión de actividad sigue siendo necesaria para identificar cambios persistentes.

Considera asimismo la propagación de permisos y el estado de las sesiones existentes. La expiración de un privilegio no debe interpretarse como una garantía instantánea de que toda sesión o token existente perdió efecto. Prueba el comportamiento real de las aplicaciones y mecanismos implicados; para revocar sesiones o credenciales puede haber medidas específicas.

-InfraCrew dice: El temporizador revoca el rol; la auditoría todavía tiene que averiguar qué se hizo con él.-

Desplegar con una prueba pequeña

Empieza con un grupo de administradores y un rol acotado, y verifica la solicitud, los requisitos, la aprobación si aplica, el inicio y el fin de la activación. Comprueba los registros y quién recibe cada notificación. Una experiencia de usuario correcta no demuestra que todos los controles esperados estén activos.

Prepara antes los procedimientos normales y de emergencia, con responsables y evidencias que conservar. Comunica qué cambios necesitan activar un rol y cómo se solicita. La reducción de privilegio permanente depende tanto del proceso como de la herramienta. Si el personal mantiene roles activos por temor a no poder obtenerlos después, revisa disponibilidad y tiempos del flujo.

Por último, revisa las asignaciones periódicamente y retira las que ya no respondan a una necesidad. Verifica también las funciones y requisitos de licencia vigentes para el tenant. PIM aporta control temporal y trazabilidad de roles compatibles, mientras que otros componentes de una estrategia PAM pueden encargarse de contraseñas, sesiones o grabación; no deben darse por incluidos sin comprobar el producto y la configuración.

-InfraCrew dice: La revisión trimestral de privilegios funciona mejor cuando alguien tiene asignado abrir el calendario.-

Diccionario de la Crew

Asignación elegible — Asignación que permite a una identidad solicitar la activación de un rol cuando lo necesita.

MFA — Autenticación que requiere factores de categorías diferentes para comprobar la identidad.