Guía de configuración de Microsoft Entra PIM

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Configura Microsoft Entra Privileged Identity Management: revisa los requisitos previos, asigna roles elegibles, configura MFA y aprobaciones, y prueba la activación de roles.

Automatically translated with AI from the original post. Read the English original

Cover: Detect Microsoft 365 Attack Chains with Entra and Sentinel

Respuesta rápida: Para configurar Microsoft Entra PIM, identifica los roles privilegiados, asigna propietarios responsables, limita en el tiempo el acceso elegible cuando sea apropiado, define los requisitos de aprobación y MFA, configura las notificaciones y prueba los procesos de activación y de emergencia. Empieza por los roles de administrador de mayor impacto y revisa las asignaciones resultantes con regularidad para que el acceso privilegiado no se convierta en permanente por defecto.

Si trabajas en seguridad de TI o administras entornos de nube de Microsoft, sabes que el acceso privilegiado es donde se concentra la mayor parte del riesgo. Esta guía te explica lo esencial de Privileged Identity Management (PIM) con Microsoft Entra ID, para que puedas proteger con confianza tus roles más críticos y los recursos sensibles.

Veremos desde qué es PIM y por qué lo necesitas, hasta configurar roles, establecer el acceso just-in-time (JIT) e incluso automatizar la configuración para equipos grandes. Además, obtendrás pasos prácticos para la auditoría, el cumplimiento y una gobernanza sólida, tanto si administras 20 usuarios como 20 000. Prepárate para acabar con la acumulación de privilegios y con los derechos de administrador sorpresivos, mientras las aprobaciones fluyen como un reloj y los equipos de seguridad duermen un poco mejor.

Qué es Privileged Identity Management y por qué importa

Privileged Identity Management, o PIM, consiste en controlar quién tiene las llaves del reino en la nube. Con tantos ataques dirigidos a las cuentas de administrador, es arriesgado dejar esos privilegios completamente abiertos. PIM cambia el enfoque: permite que los usuarios «activen» derechos elevados solo cuando los necesitan y, una vez terminada la tarea, los revierte automáticamente. Eso es lo que se conoce como acceso privilegiado just-in-time (JIT).

El acceso administrativo permanente, es decir, administradores con derechos 24/7, crea un objetivo muy atractivo. Un uso indebido, un error o incluso una cuenta comprometida pueden convertirse rápidamente en un desastre. A los atacantes les encanta buscar estos privilegios siempre activos. Con PIM puedes aplicar el acceso justo necesario (JEA), de modo que las personas obtengan solo los permisos exactos que requieren y únicamente cuando realmente los necesitan.

PIM no se trata solo de paranoia en materia de seguridad; se trata de responsabilidad y de reducir los daños accidentales. Al mantener un registro auditable de quién elevó privilegios, cuándo y por qué, podrás dormir mucho mejor sabiendo que el uso indebido de privilegios no ocurre entre bastidores. Para ver un caso real de abuso de privilegios, incluso con MFA implementado, consulta este caso detallado de brecha de seguridad en Microsoft 365, que muestra por qué una gobernanza estricta y la monitorización no son negociables en el panorama actual de amenazas.

En resumen, PIM te ayuda a mantener el cumplimiento, a controlar la acumulación de privilegios y a responder con rapidez cuando llegan los auditores.

Cómo Microsoft Entra ID eleva la gestión de acceso privilegiado

Microsoft Entra ID, antes conocido como Azure Active Directory (Azure AD), es mucho más que un sistema de inicio de sesión. Es el centro de mando de la seguridad de tus identidades, la base para gestionar el acceso de los usuarios, aplicar directivas y mantener bajo estricta vigilancia los roles de administrador de alto poder.

Cuando activas PIM en Entra ID, te conectas a una plataforma de gobernanza unificada. Cada asignación de roles, solicitud de activación y aprobación se registra y se gestiona a través de una única interfaz, familiar: el portal de Azure. Esto significa menos brechas, menos confusión y una separación hermética entre las actividades habituales y las privilegiadas.

Entra ID incorpora el acceso condicional y la autenticación multifactor, de modo que puedes establecer comprobaciones automáticas cada vez que se active un rol privilegiado. Esto no solo disuade los ataques, sino que también simplifica el cumplimiento y las auditorías internas. ¿Te interesa saber por qué la identidad es el plano de control y por qué el acceso condicional es clave para una seguridad escalable en la nube? Escucha este episodio del podcast sobre Entra ID y el acceso condicional para conocer estrategias prácticas y reales.

Y para quienes implementan una gobernanza a escala empresarial, Entra ID se integra con Azure Policy, RBAC y herramientas de aplicación automatizada. Esto constituye la base de un modelo de seguridad en la nube bien diseñado (consulta más en Azure Enterprise Governance Strategy), y ayuda a las organizaciones a evitar el caos y a mantener controles resilientes y bien documentados a medida que crecen.

Requisitos previos e licencias para implementar PIM

Antes de poder desplegar Privileged Identity Management en tu entorno de Microsoft, es fundamental asegurarse de que la base esté preparada. Esta no es una de esas funciones de "configurar y olvidar": necesitarás los componentes técnicos adecuados y tener resueltos algunos requisitos de licencia antes de empezar.

PIM depende en gran medida del nivel de Entra ID (Azure AD) que tenga tu organización. Para acceder a todas las funciones de PIM, incluidas la incorporación de recursos y los controles detallados, la licencia Azure AD Premium P2 es imprescindible. Igual de importante es saber qué usuarios de tu organización necesitan cada licencia, ya que tanto los usuarios como los aprobadores deben estar correctamente licenciados antes de interactuar con roles privilegiados.

Otro aspecto clave: contar con los roles de Azure adecuados para la propia gestión de PIM. Ciertas acciones de configuración solo pueden realizarlas los Administradores globales o los Administradores de roles con privilegios, así que planificar pronto tu enfoque de administración ayuda a evitar bloqueos frustrantes más adelante.

La siguiente sección explica cómo asignar estas licencias y asegurarse de que todos los que necesitan acceso, desde los usuarios finales hasta los aprobadores de accesos, estén preparados para aprovechar PIM al máximo, sin encontrarse con errores de permisos ni sorpresas.

Asignar licencias a los usuarios y aprobadores de PIM

Selecciona los usuarios y aprobadores: identifica quién necesita solicitar o aprobar acceso privilegiado; pueden ser miembros del equipo de TI, personal de soporte técnico o responsables de equipo.
Ve al Portal de Azure: navega a Azure Active Directory > Licenses > All Products y elige la licencia Premium P2 correspondiente.
Asigna las licencias: haz clic en "Assign" y añade los usuarios seleccionados. Puedes asignarlas a personas concretas o a grupos completos para ganar eficiencia.
Valida la asignación: revisa la página de resumen de licencias del usuario para confirmarla. A partir de ese momento podrá crear o aprobar solicitudes de PIM sin problemas.

Configurar PIM: asignaciones de roles y modelos de acceso

Ahora que las licencias y los requisitos previos están listos, es el momento de entrar en lo verdaderamente importante de PIM: configurar las asignaciones de roles y proteger tus recursos sensibles en la nube. Lo primero que harás es decidir cómo obtienen acceso los usuarios, ya sea como administradores elegibles (bajo demanda) o activos (permanentes), y definir modelos de acceso que se ajusten realmente a la estructura de tu equipo.

El núcleo de PIM está en configurar roles "elegibles", lo que significa que las personas no tienen derechos de administrador permanentes, pero pueden solicitarlos cuando los necesitan. Esto reduce drásticamente los accesos innecesarios y te ayuda a evitar la acumulación de privilegios ("privilege creep") desde el principio. También conviene pensar qué usuarios o grupos deben recibir la elegibilidad, para que sea más fácil de gestionar a gran escala.

A continuación, toca incorporar los recursos y roles de Azure a PIM para lograr un control y un seguimiento sólidos. Cada rol privilegiado, como Administrador global, Administrador de seguridad o Propietario de suscripción, se asigna, protege y gobierna para que siempre sepas quién tiene las llaves (y durante cuánto tiempo). Para profundizar en por qué son importantes la gobernanza aplicada y los modelos de roles documentados, consulta la guía Azure Enterprise Governance Strategy.

¿Listo para ponerte manos a la obra? Las siguientes secciones desglosan las asignaciones elegibles frente a las activas, la configuración de elegibilidad para usuarios y grupos, y las prácticas recomendadas de PIM para incorporar tus roles de Azure más críticos.

Diferencias entre asignaciones de roles privilegiados elegibles y activas

Una asignación de rol elegible significa que un usuario puede solicitar acceso elevado cuando lo necesite, pero no tiene esos privilegios las 24 horas del día, los 7 días de la semana. Esto es acceso Just-in-Time (JIT) en acción. Una vez completada su tarea, los permisos se retiran automáticamente, cerrando la puerta tras de sí.

Las asignaciones activas, por su parte, otorgan privilegios permanentes a los usuarios. Esto es arriesgado, ya que deja tu entorno expuesto a errores accidentales o a su explotación. Las buenas prácticas de seguridad recomiendan decididamente las asignaciones elegibles para reducir la superficie de ataque, minimizar las amenazas internas y simplificar mucho la aplicación de directivas y las auditorías.

Asignar elegibilidad a usuarios y grupos

Ve a Roles de PIM: Abre Microsoft Entra ID en el portal de Azure y ve a Privileged Identity Management > Roles de Azure AD.
Selecciona el rol de destino: Elige el rol de administrador o de recurso que quieras controlar (por ejemplo, Administrador global o Administrador de usuarios).
Asigna usuarios o grupos: Elige «Agregar asignaciones» y selecciona usuarios individuales o grupos de seguridad completos, algo ideal para una gestión escalable.
Define el tipo de asignación: Márcalas como «Elegible» en lugar de «Activa» para seguir los principios de mínimo privilegio y mantener todo auditable.

Proteger los roles privilegiados de Azure con la asignación de roles de PIM

Incorpora los recursos: Añade tus roles y suscripciones críticos de Azure a PIM para empezar, siguiendo las indicaciones de incorporación del portal.
Asigna elegibilidad: Solo los usuarios designados y los grupos aprobados reciben asignaciones elegibles, lo que garantiza un acceso limitado en el tiempo a los recursos sensibles.
Configura las directivas de activación: Exige activaciones bajo demanda con campos de justificación, flujos de aprobación o referencias de tickets para mayor seguridad.
Revisa las recomendaciones de seguridad: El portal muestra consejos, como usar cuentas de emergencia («break-glass») y revisar el historial de acceso, para que siempre estés listo para una auditoría y un paso por delante del uso indebido de privilegios.
Para profundizar en el mantenimiento de la gobernanza a escala, visita la guía de mejores prácticas de gobernanza de Azure para mantener los modelos de acceso limpios y controlar la desviación de las directivas.

Gestionar las solicitudes y aprobaciones de acceso de PIM

Una vez que tus roles y asignaciones de PIM están configurados, el flujo de trabajo diario de activar, aprobar o rechazar el acceso privilegiado se vuelve clave para mantener el control. Aquí es donde se pasa de la configuración a las operaciones del día a día: los usuarios solicitan derechos elevados solo cuando necesitan actuar, y los administradores ven claramente quién pide qué.

Entender el proceso de solicitud y aprobación ayuda a que todo funcione como un reloj. Los usuarios saben exactamente cómo pedir acceso: indicando los motivos, introduciendo los números de ticket y esperando el visto bueno. Los aprobadores, por su parte, reciben notificaciones y pueden revisarlo todo en un solo lugar antes de dar las llaves a alguien (o cerrar la puerta si algo no parece correcto).

Estos flujos de trabajo también pueden personalizarse con pasos de aprobación, aprobaciones en varias etapas y preguntas adicionales para los roles especialmente sensibles. Así obtienes un registro de auditoría dinámico de cada asignación privilegiada, algo fundamental para cumplir con los requisitos de cumplimiento normativo y vigilar de cerca la actividad inusual.

Las siguientes secciones desglosan ambos lados del proceso: cómo los usuarios presentan solicitudes de acceso y cómo los administradores o aprobadores designados las tramitan o las rechazan.

Pasos para solicitar y activar una solicitud de PIM

Inicia sesión: El usuario accede al portal de Azure con sus credenciales habituales.
Envía la solicitud: Ve a PIM, elige el rol elegible y haz clic en «Activar». Completa los campos obligatorios (justificación, número de ticket y duración).
Flujo de aprobación: Según las directivas, la solicitud se envía a un aprobador para su revisión; en roles de bajo riesgo a veces la aprobación automática está habilitada.
Notificaciones enviadas: El usuario recibe un aviso cuando se aprueba la solicitud; las actualizaciones de estado llegan en tiempo real.
Acceso concedido: Una vez activado, el usuario obtiene privilegios elevados durante el tiempo especificado y después caducan automáticamente.

Cómo aprobar o rechazar solicitudes elegibles de PIM

Revisa la solicitud: El aprobador recibe un correo electrónico o una alerta en el portal por la activación pendiente.
Evalúa los detalles: Revisa la justificación del usuario, el número de ticket asociado y la duración solicitada frente a la directiva y la actividad reciente.
Aprueba o rechaza: Selecciona «Aprobar» para conceder el acceso o «Rechazar» si algo no encaja; cada acción queda registrada a efectos de auditoría.
Envía comentarios: Opcionalmente, envía un mensaje al solicitante explicando la decisión, sobre todo si hacen falta pasos adicionales o más información.

Proteger el acceso de los usuarios y la gobernanza con PIM

No se trata solo de quién obtiene acceso privilegiado, sino también de asegurarte de que cada activación esté bajo control. Los ataques modernos pueden eludir las contraseñas e incluso la MFA, así que tienes que reforzar tus defensas con directivas de acceso condicional por capas y grupos bien organizados.

La autenticación multifactor (MFA) es tu primera línea de defensa en este caso. Combínala con el acceso condicional para que solo los dispositivos conformes y las ubicaciones de confianza puedan aprobar o activar roles. La gestión basada en grupos ayuda a mantener los patrones de acceso ordenados y escalables, para que puedas administrar decenas o miles de usuarios sin ahogarte en trabajo administrativo.

Los grupos bien estructurados también facilitan aplicar y hacer cumplir las directivas a escala, y te permiten adaptarte cuando los equipos crecen o los proyectos cambian con el tiempo. Esto es especialmente cierto a medida que tu huella en la nube crece y más usuarios necesitan derechos elevados, ya sea para tareas nativas de la nube o híbridas (locales).

Para entender mejor la identidad como plano de control y cómo la proliferación de directivas de acceso condicional genera riesgos impredecibles, consulta este podcast detallado sobre seguridad de Entra ID. Si trabajas con Power Platform o tienes muchos "desarrolladores ciudadanos" creando aplicaciones, esta guía de gobernanza también recoge las mejores prácticas para proteger esos entornos.

Proteger a los usuarios que acceden a roles privilegiados con MFA y acceso condicional

Exige MFA en todas las activaciones: pide a los usuarios que realicen la autenticación multifactor cada vez que activen un rol privilegiado, lo que reduce el riesgo de compromiso si las credenciales se filtran.
Aplica acceso condicional: utiliza directivas de acceso condicional basadas en el cumplimiento del dispositivo, la ubicación del usuario y el nivel de riesgo, de modo que solo las sesiones de confianza puedan activar roles sensibles. Ajusta estas directivas según sea necesario, pero recuerda que siempre conviene endurecerlas más que relajarlas.
Define requisitos de activación: para los roles especialmente sensibles, exige aprobaciones adicionales o una justificación durante el proceso de activación. Así controlas el uso indebido de privilegios.
¿Quieres saber más sobre el diseño de directivas seguras y predecibles? Profundiza en las líneas base de directivas inclusivas y en consejos de monitorización en esta guía sobre los problemas de confianza del acceso condicional.

Crear grupos de seguridad para un control de acceso eficaz con PIM

Crea grupos específicos por rol: crea grupos de seguridad dedicados para los roles privilegiados clave, de modo que puedas conceder elegibilidad o asignaciones activas en bloque.
Asigna de forma coherente: mantén la pertenencia a los grupos mediante automatización o revisiones periódicas, para que el acceso sea escalable y pueda revocarse en cualquier momento.
Integra con la gobernanza: combina el uso de grupos con modelos de gobernanza claros. Encontrarás más consejos para equipos grandes e innovación segura en esta guía de gobernanza de seguridad de Power Platform.

Automatizar y auditar PIM para mejorar la eficiencia y el cumplimiento

Una vez que tu configuración de PIM funciona bien, el siguiente reto es escalar: gestionar cientos o miles de usuarios privilegiados, registrar cada activación de roles y mantener a los equipos de cumplimiento al día con informes sencillos y precisos. Aquí, la automatización y una auditoría sólida son tus mejores aliadas.

Con PowerShell y Microsoft Graph API puedes automatizar todo, desde asignar elegibilidad en bloque hasta revocar accesos según una programación. Esto reduce el esfuerzo administrativo, disminuye los errores manuales y ayuda a mantener actualizados los roles y grupos a medida que las personas entran y salen de la organización.

La auditoría es mucho más que marcar casillas. Querrás registrar en tiempo real cada evento de activación, aprobación y denegación, y configurar alertas para todo lo sospechoso: activaciones inesperadas o fallidas, escaladas de privilegios o desviaciones respecto a tus líneas base de acceso condicional.

Los informes completos y exportables facilitan mucho el cumplimiento de SOX, HIPAA o cualquier otra normativa importante. Si te tomas en serio la seguridad, aprende a aprovechar los registros de auditoría avanzados y la monitorización con Microsoft Purview Audit, y mantente atento a las nuevas opciones de automatización que Microsoft seguirá incorporando a estas herramientas.

Automatizar las asignaciones de roles de PIM con PowerShell

Asignar elegibilidad en lote: Automatiza con scripts la adición de listas grandes de usuarios o grupos a roles elegibles mediante los módulos de PowerShell de AzureAD o Microsoft Graph, para no tener que recorrer el portal cuenta por cuenta.
Programar asignaciones: Automatiza asignaciones con un periodo de validez que caduquen solas para contratistas o personal temporal, con las fechas de inicio y fin definidas directamente en tus scripts.
Auditar cambios: Registra cada asignación o revocación mediante logs de script. Si detectas desviaciones de recursos o errores, las reversiones basadas en scripts hacen que la limpieza sea sencilla y rápida.
Si quieres establecer más gobernanza mediante PowerShell, ten en cuenta que los recursos antiguos podrían no estar disponibles. Mantente siempre al día con las opciones de automatización y referencias de API más recientes, ya que Microsoft sigue mejorando el soporte.

Configurar los registros de auditoría de PIM, las alertas y los informes de cumplimiento

Habilitar los registros de auditoría de PIM: Activa el registro de toda la actividad de PIM desde el portal de Azure o desde herramientas de seguridad conectadas: registra solicitudes, activaciones, aprobaciones, denegaciones y cambios en tiempo real.
Configurar alertas en tiempo real: Configura alertas en Azure Monitor o Microsoft Sentinel para eventos sospechosos, como activaciones atípicas, aprobaciones fallidas o elevaciones de privilegios fuera del horario habitual.
Automatizar la generación de informes: Usa los informes integrados o integra herramientas como Log Analytics y Microsoft Purview Audit para generar informes listos para cumplimiento normativo de SOX, HIPAA y otras exigencias regulatorias. Consulta la guía práctica de Purview Audit para conocer las mejores prácticas.

Lista de verificación para la configuración de Microsoft Entra PIM

Define un propietario claro y una finalidad de negocio.
Empieza con un piloto pequeño y representativo.
Prueba el recorrido completo del usuario y del soporte.
Documenta las excepciones, las fechas de revisión y las rutas de escalado.

Usa Microsoft Learn para consultar la guía de configuración actualizada.

Preguntas frecuentes

¿Por qué no está disponible la opción esperada?

Revisa la cuenta con la que has iniciado sesión, la licencia, el cliente, la directiva y los límites de permisos antes de cambiar la configuración.

🎧 También te puede interesar escuchar

Estos episodios ofrecen los siguientes pasos prácticos de aprendizaje.

Última revisión: julio de 2026. Las experiencias de Microsoft 365 y los controles de directivas cambian con frecuencia.