Cómo gestionar eficazmente las entidades de servicio en Entra ID

By Mirko Peters · 2026-03-22 · Updated 2026-03-24

Proteja las entidades de servicio en Microsoft Entra ID para mejorar la gestión de identidades. Conozca los objetos de aplicación y de entidad de servicio dentro de su inquilino.

Automatically translated with AI from the original post. Read the English original

Gestionar las entidades de servicio y los registros de aplicaciones en Entra ID es fundamental para mantener la seguridad y el control de acceso. Una gobernanza eficaz le ayuda a evitar incidentes de seguridad graves, como la escalada de privilegios y el compromiso del inquilino. Por ejemplo, los atacantes pueden aprovechar entidades de servicio mal gestionadas para restablecer contraseñas de administrador y obtener acceso no autorizado a sistemas críticos. Con prácticas de gestión sólidas, puede mitigar estos riesgos y asegurarse de que su entorno siga protegido. Los pasos clave incluyen comprender las entidades de servicio, asignar los permisos adecuados y revisar periódicamente las directivas de acceso.

Si está aprendiendo a gestionar eficazmente las entidades de servicio en Entra ID, estos datos poco conocidos pueden cambiar la forma en que protege y opera las identidades automatizadas.

1. Las entidades de servicio son distintas de los objetos de aplicación: Un objeto de aplicación es la definición global de la aplicación; una entidad de servicio es la identidad local en un inquilino. Puede tener un objeto de aplicación con varias entidades de servicio en distintos inquilinos.
2. Pueden tener credenciales que nunca caducan: Entra ID permite crear secretos de cliente o certificados sin fecha de caducidad, ya sea por diseño o por una configuración incorrecta, lo que aumenta el riesgo a largo plazo si no se rotan manualmente.
3. Las identidades administradas utilizan entidades de servicio internamente: Tanto las identidades administradas asignadas por el sistema como las asignadas por el usuario se representan como entidades de servicio en el directorio, lo que permite aplicar a ellas RBAC y directivas de acceso condicional.
4. Las entidades de servicio pueden utilizarse en el acceso condicional: Aunque el acceso condicional se centra principalmente en los usuarios, puede evaluar los contextos de aplicación, y algunas directivas pueden afectar a las entidades de servicio, sobre todo cuando se combinan con el contexto de autenticación de la aplicación.
5. Admiten permisos delegados y de aplicación simultáneamente: Una sola entidad de servicio puede tener permisos delegados (en nombre de un usuario) y permisos de aplicación (solo de la aplicación), lo que aumenta la complejidad al aplicar el principio de mínimo privilegio.
6. Los registros de inicio de sesión incluyen autenticaciones de aplicaciones no interactivas: Entra ID registra los inicios de sesión de las entidades de servicio, lo que permite detectar actividad anómala de las aplicaciones, pero estos registros suelen pasarse por alto en comparación con los de los usuarios.
7. La concesión de consentimiento y la gestión de derechos pueden dejar rutas de acceso ocultas: Las aplicaciones empresariales y las entidades de servicio concedidas mediante consentimiento de administrador o gestión de derechos pueden crear rutas de acceso indirectas que son difíciles de detectar sin revisiones exhaustivas de derechos y permisos.

Puntos clave

• Comprenda la diferencia entre los registros de aplicaciones y las entidades de servicio en Entra ID.
• Asegúrese de tener los permisos adecuados antes de gestionar las entidades de servicio para evitar bloqueos.
• Siga un proceso claro para registrar aplicaciones en Entra ID, incluido el relleno de los datos necesarios.
• Utilice varios métodos de autenticación para reforzar la seguridad de sus aplicaciones.
• Implemente el control de acceso basado en roles (RBAC) para asignar los permisos adecuados a las entidades de servicio.
• Revise periódicamente las directivas de acceso para asegurarse de que se ajustan a las procedimientos recomendados de seguridad.
• Realice auditorías para supervisar los cambios y detectar cualquier acceso o actividad no autorizados.
• Adopte el principio de mínimo privilegio concediendo a las entidades de servicio únicamente los permisos necesarios.

Requisitos previos para la gestión de Entra ID

Comprender las entidades de servicio

Antes de gestionar las entidades de servicio en Entra ID, debe comprender algunos conceptos fundamentales. Estos son los puntos clave que debe conocer:

• Un registro de aplicación (App) es un objeto único a nivel global que representa una aplicación en Entra ID.
• Una entidad de servicio (SP) es una instancia específica de ese objeto de aplicación dentro de un único inquilino.
• Cuando registras una aplicación, se genera automáticamente una entidad de servicio en el mismo inquilino.
• Las entidades de servicio tienen sus propias credenciales y autorizaciones, que son distintas del objeto de aplicación.
• Las acciones realizadas en un inquilino, como crear un usuario, las ejecuta la entidad de servicio.

El portal de Entra ID puede resultar confuso. Las entidades de servicio aparecen en "Aplicaciones empresariales" y el término "entidad de servicio" casi nunca se usa. Esto puede llevar a malentendidos sobre la relación entre los registros de aplicaciones y las entidades de servicio.

Permisos necesarios

Para administrar eficazmente las entidades de servicio, necesitas los permisos adecuados. Este es un resumen de los requisitos previos esenciales:

Tener estos permisos garantiza que puedas realizar las acciones necesarias sin encontrar obstáculos. Verifica siempre que tu cuenta tenga los permisos requeridos antes de continuar con el registro de aplicaciones o la asignación de roles.

Al entender estos requisitos previos, sientas una base sólida para administrar entidades de servicio en Entra ID. Este conocimiento te ayudará a navegar la complejidad de la administración de accesos y a reforzar la postura de seguridad de tu organización.

Registro de aplicaciones en Entra ID

Pasos para registrar una aplicación

Registrar una aplicación en Entra ID es un proceso sencillo. Sigue estos pasos para empezar:

1. Inicia sesión en el portal de Entra ID: usa tu cuenta de Microsoft Entra para acceder al portal.
2. Ve a Registros de aplicaciones: en el menú de la izquierda, selecciona "Registros de aplicaciones".
3. Haz clic en Nuevo registro: esta opción te permite crear una nueva aplicación.
4. Completa los datos de la aplicación:
   • Nombre: elige un nombre único para tu aplicación.
   • Tipos de cuenta admitidos: selecciona quién puede usar la aplicación (por ejemplo, solo cuentas de este directorio organizativo).
   • URI de redireccionamiento: especifica el URI al que se redirigirá a los usuarios después de la autenticación. Es fundamental para las aplicaciones web.
5. Revisa y registra: una vez completada la información necesaria, haz clic en "Registrar" para crear la aplicación.

Una vez registrada, puedes crear hasta 50 000 recursos de Microsoft Entra en un solo inquilino con la edición gratuita. Si verificas tu dominio, este límite puede aumentar hasta 300 000 recursos. También puedes configurar credenciales para un máximo de 48 aplicaciones mediante inicio de sesión único con contraseña.

Configuración de los ajustes de la aplicación

Después de registrar tu aplicación, debes configurar sus ajustes para lograr una seguridad y una funcionalidad óptimas. Estas son algunas buenas prácticas que conviene seguir:

1. Configura varios métodos de autenticación de Entra ID: usa distintos métodos de autenticación, como la autenticación multifactor (MFA) y la autenticación sin contraseña, para reforzar la seguridad.
2. Aprovecha los grupos de Entra ID para asignar permisos: crea grupos de usuarios para gestionar el control de acceso de forma eficaz. Así, los usuarios tienen solo los permisos necesarios.
3. Usa directivas de acceso condicional (CAP): implementa CAP para definir las condiciones de acceso a los recursos. Esto añade una capa de seguridad extra mediante un control granular.

Además, considera realizar un inventario de aplicaciones. Identifica y cataloga todas las aplicaciones conectadas a Entra para gestionarlas de forma eficaz. Evalúa periódicamente los permisos asignados a cada aplicación para orientar tu estrategia de seguridad. Da de baja las aplicaciones que no uses para reducir la superficie de ataque.

Siguiendo estos pasos y buenas prácticas, puedes asegurar que tu aplicación está bien configurada y protegida dentro de Entra ID.

Asignación de roles a entidades de servicio

Descripción general de RBAC

El control de acceso basado en roles (RBAC) es una función fundamental en Entra ID. Te ayuda a gestionar quién puede acceder a qué recursos dentro de tu organización. Con RBAC, puedes asignar roles a entidades de servicio, garantizando que tengan los permisos adecuados para realizar sus tareas sin comprometer la seguridad.

En Entra ID existen dos tipos de definiciones de roles:

• Roles integrados: vienen con un conjunto fijo de permisos. No se pueden modificar, pero cubren escenarios habituales.
• Roles personalizados: permiten adaptar los permisos a necesidades específicas. Crear un rol personalizado implica un proceso de dos pasos: definir el rol y asignarlo.

Entender estos tipos de roles te ayuda a elegir el enfoque adecuado para tus aplicaciones. Para más información sobre RBAC, puedes consultar la descripción general del control de acceso basado en roles.

Asignación de roles

Asignar roles a entidades de servicio es esencial para una gestión eficaz. Sigue estos pasos para asignar roles correctamente:

1. Crear asignaciones de roles: usa el Centro de administración de Microsoft Entra, Microsoft Graph PowerShell o Microsoft Graph API. Ten en cuenta que la CLI de Azure no es compatible con esta tarea.
2. Registrar tu aplicación: asegúrate de haber registrado una aplicación de Microsoft Entra y creado una entidad de servicio a través del portal de Azure.
3. Elegir el rol adecuado: revisa los roles disponibles para determinar cuál proporciona los permisos necesarios para tu aplicación.

Aquí tienes una tabla de referencia rápida que resume el proceso de asignación de roles:

Siguiendo estos pasos, puedes asegurar que tus entidades de servicio tengan el acceso adecuado para desempeñar sus funciones de forma segura. Una asignación de roles correcta no solo mejora la seguridad, sino que también agiliza las operaciones dentro de tu organización.

Métodos de autenticación para Entra ID

Descripción general de la autenticación

Al gestionar entidades de servicio en Entra ID, dispones de dos métodos de autenticación principales: autenticación con secreto de cliente y autenticación basada en certificados. Cada método tiene sus propias ventajas y casos de uso.

Autenticación con secreto de cliente

La autenticación con secreto de cliente utiliza una cadena similar a una contraseña conocida como secreto de cliente. Este método es sencillo y se suele usar en aplicaciones que requieren una configuración rápida. Sin embargo, es esencial tratar los secretos de cliente como contraseñas. Debes almacenarlos de forma segura y rotarlos periódicamente para mantener la seguridad.

• Ventajas:

  • Fácil de implementar.
  • Adecuado para entornos de prueba y desarrollo.

• Desventajas:

  • Menos seguro que la autenticación basada en certificados.
  • Vulnerable a exposiciones si no se gestiona correctamente.

Autenticación basada en certificados

La autenticación basada en certificados utiliza un certificado digital para autenticar la entidad de servicio. Este método es más seguro que los secretos de cliente y se recomienda para entornos de producción. Para una seguridad óptima, debes usar un certificado de confianza emitido por una autoridad de certificación (CA). Los certificados autofirmados pueden usarse para pruebas, pero no se recomiendan para producción.

• Ventajas:

  • Mayor nivel de seguridad.
  • Reduce el riesgo de robo de credenciales.

• Desventajas:

  • Más complejo de configurar.
  • Requiere gestionar certificados.

Configurar la autenticación

Para configurar la autenticación de tu entidad de servicio en Entra ID, sigue estos pasos:

1. Abre la página de inicio del Centro de administración de Microsoft Entra.
2. Ve a Entra ID > Registros de aplicaciones y selecciona tu aplicación.
3. En la página de información general de la aplicación, copia el valor de Id. de directorio (inquilino) y guárdalo en el código de tu aplicación.
4. Copia el valor de Id. de aplicación (cliente) y guárdalo en el código de tu aplicación.
5. Elige entre autenticación basada en certificados o en secreto de cliente. Se recomienda cargar un certificado de confianza emitido por una autoridad de certificación.
6. Si usas un certificado, cárgalo desde Entra ID > Registros de aplicaciones > Certificados y secretos > Cargar certificado.
7. Si usas un secreto de cliente, créalo desde Entra ID > Registros de aplicaciones > Certificados y secretos > Secretos de cliente > Nuevo secreto de cliente.

Siguiendo estos pasos, puedes asegurarte de que tu entidad de servicio está autenticada de forma segura, lo que le permite acceder a los recursos que necesita y reduce al mínimo los riesgos de seguridad.

Directivas de acceso en Entra ID

Descripción de las directivas de acceso

Las directivas de acceso en Entra ID desempeñan un papel fundamental en la protección de tus aplicaciones y datos. Estas directivas definen quién puede acceder a qué recursos y en qué condiciones. Estos son algunos tipos clave de directivas de acceso que debes conocer:

• Requerir MFA para inicios de sesión de riesgo: esta directiva solicita al usuario que complete la autenticación multifactor cuando un inicio de sesión parece sospechoso.
• Bloquear o remediar cuentas comprometidas: esta directiva restringe automáticamente el acceso a las cuentas que muestran indicios de haber sido comprometidas.

Implementar estas directivas de acceso refuerza tu postura de seguridad. Te ayudan a gestionar los riesgos de forma eficaz al automatizar las respuestas ante posibles amenazas. Por ejemplo, las directivas de acceso condicional evalúan factores como la identidad del usuario, el cumplimiento del dispositivo y las señales de riesgo en tiempo real antes de conceder el acceso. Este enfoque proactivo no solo mejora la seguridad, sino que también garantiza el cumplimiento de los estándares de la organización.

Configurar directivas de acceso

Configurar directivas de acceso para entidades de servicio en Entra ID es sencillo. Sigue estos pasos para configurar tus directivas de forma eficaz:

1. Inicia sesión en el Centro de administración de Microsoft Entra y ve a Entra ID » Aplicaciones empresariales.
2. Haz clic en la entidad de servicio que quieres restringir y ve a Propiedades en la sección Administrar.
3. Establece ¿Habilitado para que los usuarios inicien sesión? en No y haz clic en Guardar para deshabilitar los inicios de sesión de usuarios en la aplicación.
4. Para crear una directiva de acceso condicional, inicia sesión en el Centro de administración de Microsoft Entra y ve a Entra ID » Acceso condicional.
5. Haz clic en +Crear nueva directiva e introduce un nombre para la directiva.
6. En Asignaciones, ve a Usuarios o identidades de carga de trabajo.
7. Selecciona Identidades de carga de trabajo en ¿A qué se aplica esta directiva? En Incluir, haz clic en Seleccionar entidades de servicio y elige las entidades de servicio adecuadas de la lista.
8. En la sección Recursos de destino, ve a Incluir y selecciona Todos los recursos (antes "Todas las aplicaciones en la nube").
9. En la sección Condiciones, configura los requisitos específicos que determinarán cuándo debe activarse la directiva.
10. En Controles de acceso, ve a "Conceder", selecciona Bloquear acceso y haz clic en "Seleccionar".
11. Establece Habilitar directiva en Activada y haz clic en "Crear" para crear una directiva de acceso condicional para las identidades de carga de trabajo de Microsoft Entra.

Si sigues estos pasos, podrás asegurarte de que tus entidades de servicio operen bajo controles de acceso estrictos. Esto no solo protege tus recursos, sino que también se alinea con las mejores prácticas de seguridad y cumplimiento.

Mejores prácticas para entidades de servicio

Recomendaciones de seguridad

Para proteger tus entidades de servicio en Entra ID, sigue estas recomendaciones de seguridad:

• Usa certificados de cliente en lugar de secretos de cliente para mejorar la seguridad.
• Utiliza Azure Key Vault para gestionar certificados y secretos de forma segura.
• Aplica el principio de mínimo privilegio a las entidades de servicio. Esto significa conceder solo los permisos necesarios para sus tareas.
• Supervisa los inicios de sesión de las entidades de servicio mediante los registros de inicio de sesión de Microsoft Entra. Esto te ayuda a detectar actividades inusuales.
• Usa el acceso condicional para restringir el acceso desde ubicaciones no confiables. Esto añade una capa adicional de seguridad.
• Revisa periódicamente la pertenencia a los roles de Nivel 0 para garantizar niveles de privilegio adecuados. Esto evita el acceso no autorizado a recursos críticos.

Al adoptar estas prácticas, puedes mejorar significativamente la seguridad de tus entidades de servicio y reducir el riesgo de acceso no autorizado.

Auditorías periódicas

Realizar auditorías periódicas es esencial para mantener la seguridad y la integridad de tus entidades de servicio. Estas son algunas prácticas de auditoría habituales que deberías implementar:

Las auditorías periódicas te permiten estar al tanto del estado de tus entidades de servicio. Permiten detectar a tiempo cualquier cambio no autorizado o actividad sospechosa, lo que garantiza que tu entorno siga siendo seguro.

Siguiendo estas mejores prácticas, puedes gestionar eficazmente tus entidades de servicio en Entra ID, mejorando tanto la seguridad como el cumplimiento.

En resumen, gestionar eficazmente las entidades de servicio en Entra ID implica varios pasos clave y mejores prácticas. Debes:

• Registrar las aplicaciones correctamente y configurar sus ajustes.
• Asignar roles según el principio de mínimo privilegio.
• Implementar métodos de autenticación sólidos.
• Revisar periódicamente las directivas de acceso y los permisos.

La gestión continua es fundamental. La comodidad del autoservicio aumenta la necesidad de una mejor gestión de accesos. Las revisiones periódicas ayudan a mantener el control sobre los derechos de acceso. Cada cuenta de invitado debe tener un propietario interno responsable de justificar el acceso de forma continua. Al adoptar estas estrategias, puedes mejorar la seguridad y garantizar una gobernanza eficaz de tus entidades de servicio.

Esta lista de verificación te ayuda a implementar las mejores prácticas para gestionar eficazmente las entidades de servicio en Entra ID.

• Inventario y descubrimiento: identifica todas las entidades de servicio de todos los inquilinos y suscripciones (crea un análisis o informe recurrente).
• Asignación a aplicaciones y propietarios: vincula cada entidad de servicio con su aplicación correspondiente, su propietario de negocio y su contacto de soporte.
• Clasificación de acceso y finalidad: documenta la finalidad, el entorno (producción, desarrollo o pruebas) y los permisos necesarios de cada entidad de servicio.
• Principio de mínimo privilegio: audita los roles y permisos asignados; elimina o reduce los permisos al mínimo necesario.
• Prioriza las identidades administradas: sustituye los registros de aplicaciones y entidades de servicio por identidades administradas siempre que sea posible en recursos de Azure.
• Higiene de credenciales: evita las credenciales de larga duración, prioriza los certificados frente a los secretos de cliente y rota las credenciales con regularidad.
• Aplica directivas de credenciales: implementa el acceso condicional y las directivas de contraseñas y secretos de Azure AD para las credenciales de aplicaciones, cuando corresponda.
• Exige MFA o acceso condicional para el uso interactivo: bloquea o restringe las credenciales que permitan el inicio de sesión interactivo, salvo que sea necesario y estén protegidas.
• Habilita el acceso Just-In-Time (JIT) o el acceso con tiempo limitado: concede roles de alto privilegio a las entidades de servicio por un periodo limitado siempre que sea posible.
• Convenciones de nomenclatura y metadatos: aplica estándares de nombres claros y etiqueta las entidades de servicio con metadatos de entorno, propietario y caducidad.
• Directivas de caducidad y ciclo de vida: establece una caducidad para los secretos y certificados y automatiza el ciclo de vida (aprovisionamiento, renovación, revocación y desaprovisionamiento).
• Deshabilita las entidades de servicio no utilizadas: deshabilita o elimina las entidades de servicio que no se hayan usado en un periodo definido, tras confirmarlo con los propietarios.
• Supervisa los inicios de sesión y el uso de riesgo: habilita el registro y las alertas para inicios de sesión anómalos, actividad de alto riesgo y escaladas de privilegios.
• Registro centralizado e integración con SIEM: envía los registros de auditoría, los eventos de inicio de sesión y los cambios de aprovisionamiento a tu SIEM para su correlación y retención.
• Revisiones de acceso y auditorías periódicas: realiza revisiones de acceso periódicas para validar la necesidad de cada entidad de servicio y la aprobación de su propietario.
• Refuerza las API y los permisos: usa permisos delegados con alcance limitado o ámbitos solo de aplicación bien definidos.
• Almacena los secretos de forma segura: guarda los secretos de cliente y los certificados en Azure Key Vault o en un almacén equivalente, y restringe el acceso a ese almacén solo a las entidades que lo necesiten.
• Remediación automatizada: implementa playbooks automatizados para deshabilitar entidades de servicio comprometidas o caducadas y para rotar credenciales.
• Aplicación de directivas: usa el acceso condicional de Azure AD / Entra ID, Microsoft Entra permissions management y Azure Policy para aplicar los estándares.
• Documentación y runbooks: mantén runbooks para los procedimientos de aprovisionamiento, rotación de credenciales de emergencia y desaprovisionamiento.
• Prueba el acceso y la conmutación por error: valida los flujos de autenticación de las aplicaciones después de rotar credenciales o cambiar la configuración, en un entorno que no sea de producción.
• Incorporación y baja segura: integra el aprovisionamiento y el desaprovisionamiento de entidades de servicio en los procesos de CI/CD y de control de cambios.
• Cuentas de servicio para automatización con mínimo privilegio: usa entidades de servicio dedicadas para las tareas de automatización, con derechos de alcance restringido y propiedad explícita.
• Revisa el acceso de externos e invitados: audita las entidades de servicio creadas por aplicaciones externas y concede acceso solo después de una revisión de seguridad.
• Conserva las evidencias de cumplimiento: registra las aprobaciones, revisiones y eventos de rotación para demostrar el cumplimiento de los requisitos internos y externos.
• Forma a los equipos y a los propietarios: enseña a los propietarios de aplicaciones y a los desarrolladores a gestionar eficazmente las entidades de servicio en Entra ID y a aplicar buenas prácticas de seguridad en las credenciales.

Preguntas frecuentes: recursos adicionales sobre las entidades de servicio de Microsoft Entra ID

¿Qué es una entidad de servicio de Microsoft Entra ID y en qué se diferencia de un objeto de aplicación?

Una entidad de servicio de Microsoft Entra ID es la representación local de una instancia de aplicación en un inquilino o directorio. Se crea en cada inquilino donde se usa la aplicación y hace referencia al objeto de aplicación, que es único a nivel global (el objeto de aplicación reside en el inquilino principal). El objeto de aplicación define la aplicación a nivel global, mientras que la entidad de servicio define la directiva de acceso y lo que esa aplicación puede hacer en un inquilino concreto.

¿Cómo se crean las entidades de servicio y cuándo se crea una?

Normalmente, una entidad de servicio se crea automáticamente al registrar una aplicación de Microsoft Entra y usar una instancia de esa aplicación en un inquilino, o cuando un usuario da su consentimiento a los permisos de una aplicación multiinquilino. También puedes crearla manualmente desde Azure Portal, Microsoft Graph o mediante automatización, cuando la aplicación se despliega en un inquilino en el que necesita acceder a recursos protegidos.

¿Cuáles son las mejores prácticas para proteger las entidades de servicio en Microsoft Entra?

Protege las entidades de servicio asignándoles permisos de mínimo privilegio, rotando y protegiendo sus credenciales (contraseñas y certificados), usando identidades administradas siempre que sea posible, aplicando directivas de acceso condicional, supervisando los registros de inicio de sesión y de auditoría, y excluyendo las entidades de alto riesgo mediante controles de acceso basados en filtros. Aprovecha las entidades de servicio con acceso condicional para exigir dispositivos conformes o MFA al acceder a recursos sensibles.

¿Cómo gestiono las credenciales, como contraseñas y certificados, de las entidades de servicio?

Guarda las contraseñas y los certificados en un almacén seguro (Key Vault), define directivas de caducidad, usa autenticación basada en certificados siempre que sea posible y automatiza la rotación con Microsoft Graph o con canalizaciones de CI/CD. En el caso de las credenciales de larga duración, configura alertas para los vencimientos próximos y aplica un esquema y directivas que eviten secretos obsoletos o inseguros.

¿Cómo puedo usar Microsoft Graph para consultar y administrar entidades de servicio con automatización?

Usa la API de Microsoft Graph para listar, filtrar, crear, actualizar y eliminar objetos de entidad de servicio de Microsoft Entra ID. Puedes consultar con filtros para encontrar entidades por appId, displayName o propietario, administrar los permisos concedidos, asignar propietarios y automatizar la sincronización de entidades de servicio entre entornos con scripts o conectores que hagan referencia a los identificadores únicos globales.

¿Qué papel cumple la asignación de propietarios y cómo debe gestionarse la propiedad?

Asignar propietarios proporciona control administrativo delegado sobre una entidad de servicio, lo que permite a los propietarios administrar credenciales y permisos. Usa acceso basado en roles y varios propietarios para garantizar la continuidad del negocio, audita los cambios de propietario y evita asignar derechos de propietario a cuentas de usuario que no estén vinculadas a una identidad a largo plazo. Es preferible un equipo o una cuenta de servicio sujeta a directivas.

¿Cómo afectan la sincronización y las consideraciones de inquilino o directorio a las entidades de servicio?

Los escenarios de sincronización, como la sincronización de aplicaciones empresariales o de identidades entre inquilinos, pueden crear entidades de servicio en los inquilinos de destino. Entiende si la aplicación es de inquilino único o multiinquilino, cuál es el inquilino de origen donde se registró la aplicación y si un usuario de ese inquilino debe dar su consentimiento. Planifica la sincronización para evitar entidades de servicio duplicadas y usa filtros para excluir los objetos innecesarios.

¿Cuándo debo usar una identidad administrada en lugar de una entidad de servicio creada?

Usa identidades administradas cuando la carga de trabajo se ejecute en Azure y pueda aprovechar una identidad administrada por la plataforma para obtener tokens sin credenciales incrustadas. Las identidades administradas reducen la necesidad de gestionar contraseñas, simplifican las actualizaciones de seguridad y son la opción recomendada para proteger las entidades de servicio en escenarios de Microsoft donde esté disponible.

¿Cómo puedo auditar y solucionar problemas de acceso a los recursos protegidos por entidades de servicio?

Habilita y revisa los registros de inicio de sesión y los registros de auditoría en Microsoft Entra ID y Azure AD, usa Microsoft Graph para recuperar eventos, aplica filtros para acotar los resultados e integra los registros con un SIEM. Para soporte técnico o problemas complejos, reúne el objectId y el appId de la entidad de servicio, las marcas de tiempo y los mensajes de error antes de contactar con soporte, y apóyate en Microsoft Learn y en otros recursos para guiar la investigación.