Roles de Azure frente a roles de Entra ID: lo que los administradores de la nube suelen hacer mal

By Mirko Peters · 2026-10-29

Deja de confundir Azure RBAC con los roles de Microsoft Entra. Descubre las diferencias clave en alcance, permisos y administración para proteger tu nube.

Automatically translated with AI from the original post. Read the English original

Los roles de Azure y los roles de Microsoft Entra representan dos límites de autorización distintos que suelen confundir a los administradores de la nube. Entender cómo funcionan estos sistemas de permisos independientes permite asignar los privilegios adecuados a las identidades correctas, sin conceder por accidente un control excesivo sobre tu infraestructura o sus servicios de directorio.

Puntos clave

• Los roles de Azure controlan el acceso a objetos de recursos de la nube, como máquinas virtuales, cuentas de almacenamiento y redes virtuales.
• Los roles de Microsoft Entra ID regulan permisos a nivel de directorio, como el aprovisionamiento de usuarios, la creación de grupos y la asignación de licencias.
• Los administradores globales no reciben automáticamente el control total de las suscripciones de Azure sin una configuración explícita.
• Comprender los distintos alcances evita escaladas de privilegios catastróficas y descuidos de seguridad durante las auditorías de cumplimiento.

La división fundamental: recursos frente a directorio

Cuando empiezas a gestionar permisos en el ecosistema de la nube de Microsoft, la palabra "rol" aparece en varios centros de administración. Este solapamiento terminológico es la causa más común de confusión para ingenieros, arquitectos y equipos de soporte. La forma más sencilla de tener las ideas claras es separar qué es lo que quieres cambiar.

Los roles de Azure controlan el acceso a los recursos de Azure. Si tu tarea consiste en crear una máquina virtual, configurar una red virtual, ajustar una regla de firewall o leer archivos dentro de un contenedor de almacenamiento, estás trabajando en el ámbito del control de acceso basado en roles (RBAC) de Azure. Estos permisos se aplican directamente a la infraestructura y a los planos de datos que se ejecutan dentro de tus suscripciones de la nube.

Por el contrario, los roles de Microsoft Entra controlan el acceso a los recursos de directorio. Si tu tarea consiste en crear nuevas cuentas de usuario, modificar la pertenencia a grupos, asignar licencias de Microsoft 365 o restablecer contraseñas, estás trabajando dentro de Microsoft Entra ID. Estas acciones afectan a la capa de identidad de tu organización, no a las capas de proceso o almacenamiento.

Confundir estos dos sistemas lleva a atajos administrativos peligrosos. Un ingeniero que asume que los derechos de directorio otorgan acceso a la infraestructura, o al revés, solicitará con frecuencia permisos innecesariamente amplios solo para completar su trabajo diario. Asignar cada tarea al plano de autorización correcto es la base de una arquitectura de nube segura.

Comparación de alcances y límites

Los límites de alcance de tus permisos varían notablemente según trabajes con un rol de Azure o con un rol de Entra ID. El alcance determina el radio de impacto de cualquier error humano o automatizado, por lo que dominar la jerarquía de ambos sistemas es fundamental.

Alcances de los roles de Azure

Azure RBAC funciona con un modelo de alcance estrictamente jerárquico. Al asignar un rol en Azure, lo aplicas en uno de cuatro niveles específicos:

• Grupo de administración: el contenedor de nivel más amplio, que aplica permisos a varias suscripciones.
• Suscripción: el límite para la facturación, la gobernanza y un conjunto de servicios relacionados.
• Grupo de recursos: una carpeta lógica que contiene recursos específicos para un proyecto o entorno.
• Recurso: el nivel más específico, que apunta a una única máquina virtual, cuenta de almacenamiento o base de datos.

Los permisos asignados en un nivel superior se heredan hacia abajo. Si asignas el rol Lector en el ámbito del grupo de administración, esa identidad puede ver todos los recursos de todas las suscripciones anidadas bajo él.

Ámbitos de los roles de Entra ID

Los roles de Microsoft Entra no siguen la jerarquía de recursos de Azure. En su lugar, se asignan a nivel de inquilino, a través de unidades administrativas o a objetos individuales, como una aplicación empresarial registrada. No puedes asignar un rol de Entra ID a un grupo de recursos o a una máquina virtual, porque esos objetos no existen dentro del grafo del directorio de la misma forma.

El mito y la realidad del Administrador global

Uno de los conceptos erróneos más persistentes en la administración de la nube es creer que tener la insignia de Administrador global en Microsoft Entra te da un dominio sin restricciones sobre todas las suscripciones y recursos de tu entorno de Azure. No es así.

Como los recursos de Azure y los objetos del directorio de Entra se rigen por sistemas de autorización independientes, un Administrador global recién creado no puede ver ni administrar automáticamente las máquinas virtuales de una suscripción hasta que se realice una acción explícita. Sin embargo, un Administrador global tiene el poder único de elevar sus propios privilegios. Al activar un interruptor específico de administración de acceso en el portal de Azure, puede asignarse a sí mismo el rol Administrador de acceso de usuarios en todas las suscripciones del inquilino.

Aunque este mecanismo evita que los administradores destruyan accidentalmente infraestructura que no sabían que existía, crea un punto ciego en la auditoría si las organizaciones no supervisan quién ha activado ese interruptor de elevación. Tratar la administración del directorio y la administración de recursos de Azure como dos disciplinas completamente distintas es fundamental para mantener una postura de seguridad sólida.

Conclusión

Entender los matices de los permisos en la nube exige reconocer que los roles de Azure y los roles de Microsoft Entra responden a amos completamente distintos. Si mantienes los cambios de infraestructura anclados en Azure RBAC y la gestión de identidades vinculada a Entra ID, eliminas ambigüedades, reduces el radio de impacto y superas las auditorías de cumplimiento con confianza.

Para profundizar en cómo funciona el control de acceso en el ecosistema de la nube de Microsoft, no dejes de revisar la conversación relacionada en el podcast. Escucha el episodio completo para obtener explicaciones claras y sin jerga que te ayudarán a dominar la arquitectura en la nube y las prácticas de seguridad.

Preguntas frecuentes

¿Un Administrador global tiene acceso automáticamente a los almacenamientos y a las máquinas virtuales de Azure?

No. Un Administrador global gestiona el nivel de directorio (Entra ID) y no tiene acceso automático a los recursos de Azure, a menos que eleve explícitamente sus permisos mediante el interruptor del portal para la administración de acceso de usuarios en todas las suscripciones.

¿Cuál es la diferencia de ámbito entre un rol de Azure y un rol de Entra ID?

Los roles de Azure se limitan a grupos de administración, suscripciones, grupos de recursos o recursos individuales. Los roles de Entra ID se limitan a todo el inquilino, a unidades administrativas o a objetos de aplicación específicos.

¿Puedo usar un rol de Entra ID para asignar permisos sobre una máquina virtual de Azure concreta?

No. Los roles de Entra ID gestionan objetos del directorio como usuarios y aplicaciones. Para gestionar permisos de una máquina virtual o de un grupo de recursos, debes usar Azure Role-Based Access Control (RBAC).

¿Qué ocurre con los roles clásicos de administrador de suscripción en Azure?

Los roles clásicos de administrador, como Administrador de la cuenta, Administrador del servicio y Coadministrador, han sido retirados por completo por Microsoft. Toda la administración de acceso moderna se realiza exclusivamente a través de Azure RBAC.