Pasos para analizar el uso de entidades de servicio en tu inquilino de Microsoft 365

By Mirko Peters · 2026-03-09 · Updated 2026-09-13

Revisa el uso de entidades de servicio con Microsoft Graph y la actividad de inicio de sesión. Explora los permisos necesarios, las identidades de aplicaciones, la supervisión y la gestión de accesos.

Automatically translated with AI from the original post. Read the English original

Analizar el uso de entidades de servicio mediante el análisis de entidades de servicio es fundamental para proteger tu inquilino de Microsoft 365. Al supervisar las entidades de servicio, puedes identificar riesgos potenciales, como la TI en la sombra y configuraciones de seguridad débiles. Los aspectos clave en los que centrarte son:

• Cuentas de administrador no gestionadas

• Autenticación multifactor (MFA) inconsistente

• Uso compartido externo sin supervisión

Entender la actividad de inicio de sesión mediante el análisis de entidades de servicio te ayuda a detectar patrones inusuales y gestionar los accesos de forma eficaz. Este enfoque proactivo no solo reduce los riesgos, sino que también garantiza el cumplimiento de los requisitos normativos, haciendo que tu entorno sea más seguro y fácil de gestionar.

Puntos clave

• Supervisa con regularidad la actividad de inicio de sesión de las entidades de servicio para detectar patrones inusuales y reforzar la seguridad.

• Asegúrate de tener los permisos necesarios, como AuditLog.Read.All, para analizar el uso de entidades de servicio de forma eficaz.

• Aplica el principio de mínimo privilegio concediendo solo los permisos esenciales a cada entidad de servicio.

• Automatiza los procesos de supervisión con herramientas como AdminDroid para simplificar la gestión y mejorar la seguridad.

• Documenta la finalidad y los permisos de cada entidad de servicio para mantener la claridad y el cumplimiento.

1. Las entidades de servicio representan la identidad de las aplicaciones dentro de tu inquilino de Microsoft 365: El objeto de aplicación es la definición global, pero la entidad de servicio es la identidad local que se usa para la autenticación, las asignaciones de roles y el control de acceso dentro de tu inquilino de Microsoft 365. Por eso, supervisar el uso de entidades de servicio en tu inquilino de Microsoft 365 es fundamental para saber quién y qué puede acceder a los recursos.
2. Varias entidades de servicio pueden corresponder a una misma aplicación: Un único objeto de aplicación puede tener entidades de servicio distintas en varios inquilinos, cada una con credenciales, consentimientos y asignaciones de roles diferentes. Así, el mismo código de aplicación puede comportarse de forma distinta en distintos inquilinos de Microsoft 365.
3. Los tipos de credenciales afectan a la superficie de ataque: Las entidades de servicio pueden usar secretos de cliente, certificados o identidades federadas. Los secretos de larga duración amplían la superficie de ataque en tu inquilino de Microsoft 365, mientras que la autenticación basada en certificados o federada puede reducir el riesgo si se configura correctamente.
4. Los permisos delegados y los de aplicación generan riesgos distintos: Los permisos solo de aplicación concedidos a una entidad de servicio permiten el acceso independientemente de cualquier usuario y pueden ser más potentes que los permisos delegados. Los permisos de aplicación mal configurados son una causa habitual del uso de entidades de servicio con privilegios excesivos en tu inquilino de Microsoft 365.
5. El consentimiento y el consentimiento de administrador varían según el alcance: Los usuarios pueden dar su consentimiento a determinados permisos delegados de las aplicaciones, pero el consentimiento de administrador es necesario para los permisos de aplicación de mayor riesgo. Registrar los eventos de consentimiento te ayuda a detectar un uso inesperado de entidades de servicio en tu inquilino de Microsoft 365.
6. Las identidades administradas simplifican el ciclo de vida, pero están vinculadas al inquilino: Las identidades administradas de Azure AD (asignadas por el sistema o por el usuario) crean entidades de servicio automáticamente para los recursos, lo que facilita la gestión de credenciales en tu inquilino de Microsoft 365. Sin embargo, no pueden transferirse entre inquilinos, por lo que mover recursos requiere volver a configurarlos.
7. Las directivas de acceso condicional y la administración de derechos también se aplican a las aplicaciones: Puedes aplicar directivas de acceso condicional y usar la administración de derechos para controlar el uso de entidades de servicio en tu inquilino de Microsoft 365, pero las directivas deben evaluarse explícitamente para los contextos de aplicación con el fin de evitar el acceso no autorizado a aplicaciones o el movimiento lateral.

Requisitos previos para el análisis de entidades de servicio

Antes de empezar a analizar el uso de entidades de servicio, asegúrate de tener los permisos y las herramientas adecuados. Esta preparación te ayudará a realizar un análisis completo y a gestionar las entidades de servicio de forma eficaz.

Permisos necesarios

Para analizar la actividad de las entidades de servicio en Microsoft Entra y Microsoft 365, necesitas permisos específicos. En la siguiente tabla se describe el ámbito de permisos necesario:

Sin los permisos adecuados, es posible que veas errores. Por ejemplo, si aparece el mensaje "Insufficient privileges to complete the operation," significa que no tienes el acceso necesario. Esta limitación puede dificultar tu capacidad para gestionar y analizar las entidades de servicio de forma eficaz.

Herramientas y recursos

Usar las herramientas adecuadas puede agilizar el proceso de análisis. Estas son algunas herramientas eficaces para el análisis de entidades de servicio en entornos de Microsoft 365:

Para empezar con PowerShell, sigue estos pasos:

1. Conéctate a Microsoft Graph PowerShell con: Connect-MgGraph -Scopes "AuditLog.Read.All"

2. Ejecuta el comando para auditar los inicios de sesión de las entidades de servicio:

   Get-MgBetaAuditLogSignIn -Filter "signInEventTypes/any(t:t eq 'servicePrincipal')" -All | Select-Object CreatedDateTime, Id, ServicePrincipalId, ServicePrincipalName, ResourceDisplayName, ResourceId, @{Name = "Status"; Expression = { if ($_.Status.ErrorCode -eq 0) { "Success" } else { "Failed" } }} | Format-Table
   

Si te aseguras de tener los permisos y las herramientas adecuados, sentarás las bases para un análisis exitoso de las entidades de servicio.

Creación de entidades de servicio en Microsoft Entra

Crear una entidad de servicio en Microsoft Entra implica registrar una aplicación. Este proceso permite que tu aplicación se autentique y acceda a los recursos de forma segura. Así es como puedes registrar una aplicación:

Registrar una aplicación

Para registrar una aplicación en Microsoft Entra, sigue estos pasos:

1. Inicia sesión en el Centro de administración de Microsoft Entra.

2. Ve a Aplicaciones y selecciona Nuevo registro.

3. Completa los datos obligatorios, como el nombre de la aplicación y el URI de redirección.

4. Elige el tipo de cuenta adecuado según tus necesidades.

5. Haz clic en Registrar para completar el proceso.

Después del registro, puedes crear una entidad de servicio. Esta entidad de servicio actúa como la identidad de tu aplicación cuando interactúa con otros servicios.

Puedes usar varios métodos para crear entidades de servicio en Microsoft Entra. Entre ellos se incluyen:

• Cargar un certificado de confianza emitido por una autoridad de certificación.

• Crear y cargar un certificado autofirmado con fines de prueba.

• Crear un nuevo secreto de cliente.

Cada método tiene su propio caso de uso, así que elige el que mejor se ajuste a los requisitos de tu aplicación.

Identificar al iniciador

Saber quién inició la creación de la entidad de servicio es fundamental para la seguridad y la auditoría. Puedes rastrear esta información siguiendo estos pasos:

1. Inicia sesión en el Centro de administración de Microsoft Entra.

2. Ve a Supervisión y estado y selecciona Registros de auditoría.

3. Establece la Categoría en ApplicationManagement y aplica el filtro.

4. Filtra la Actividad por Add service principal y aplica el filtro.

5. Selecciona un evento y expande Additional details. Busca propiedades como ServicePrincipalProvisioningType, SubscribedSkus y AppOwnerOrganizationId.

Hacer seguimiento del iniciador te ayuda a entender quién crea entidades de servicio y por qué. Esta información es fundamental para mantener la seguridad y el cumplimiento dentro de tu organización.

Este es un resumen de los atributos que puedes encontrar en los registros de auditoría:

Al entender quién es el iniciador de la entidad de servicio, puedes reforzar tu postura de seguridad y asegurarte de que solo los usuarios autorizados creen entidades de servicio.

Consulta de la actividad de inicio de sesión con Microsoft Graph

Acceso a la API de Microsoft Graph

Para acceder a los registros de inicio de sesión de las entidades de servicio, puedes usar la API de Microsoft Graph. Sigue estos pasos para obtener los datos necesarios:

1. Usa la API de Microsoft Graph para generar un informe de la actividad de inicio de sesión de las entidades de servicio.

2. Ejecuta el comando Get-MgServicePrincipal para obtener las entidades de servicio de tu inquilino.

3. Crea una tabla hash con los identificadores de las aplicaciones y sus nombres para mostrar. Este paso es importante, ya que los registros de inicio de sesión no incluyen los nombres de las aplicaciones.

4. Ejecuta Get-MgBetaReportServicePrincipalSignInActivity para localizar la actividad de inicio de sesión de las entidades de servicio cuya última fecha de inicio de sesión sea anterior a un año.

5. Crea un informe sobre las entidades de servicio y exporta los datos a un archivo CSV.

6. Genera estadísticas como los inquilinos que son propietarios de aplicaciones y el número total de entidades de servicio.

Siguiendo estos pasos, podrás acceder y analizar de forma eficaz los registros de inicio de sesión de tus entidades de servicio.

Análisis de los registros de inicio de sesión

Supervisar la actividad de inicio de sesión es esencial para identificar intentos de acceso no autorizados. Al observar tanto los inicios de sesión correctos como los fallidos, puedes detectar patrones inusuales que podrían indicar amenazas de seguridad. Esta supervisión proactiva ayuda a mitigar los riesgos asociados a credenciales comprometidas y, en definitiva, a reforzar la seguridad general de tu inquilino de Microsoft 365.

Estas son algunas anomalías habituales que podrías detectar en los registros de inicio de sesión de las entidades de servicio:

• Uso inusual de aplicaciones, como aplicaciones inactivas u olvidadas que vuelven a utilizarse.

• Relaciones de confianza inesperadas que se han añadido a Azure AD.

• Modificaciones en las credenciales de las entidades de servicio, incluidos cambios en los permisos.

Para analizar los registros de inicio de sesión de forma eficaz, considera estas estrategias:

1. Supervisa la actividad de inicio de sesión desde el Centro de administración de Microsoft Entra para ver los inicios de sesión de entidades de servicio de las últimas 24 horas.

2. Identifica las entidades de servicio de riesgo analizando los registros de inicio de sesión en busca de patrones inusuales.

3. Utiliza herramientas como Microsoft Entra y PowerShell para realizar un análisis detallado de los registros de inicio de sesión.

Al aplicar estas estrategias, podrás mejorar tu capacidad para detectar actividad de inicio de sesión sospechosa y tomar las medidas oportunas para proteger tu entorno.

Gestión eficaz de las entidades de servicio

Procedimientos recomendados de administración

Para administrar las entidades de servicio de forma eficaz, debes seguir varias buenas prácticas. Aplicarlas reforzará la seguridad y agilizará las operaciones dentro de tu inquilino:

• Principio de mínimo privilegio: concede solo los permisos necesarios a cada entidad de servicio. Así se limita el posible daño si una entidad de servicio se ve comprometida.

• Rotación periódica de credenciales: rota las credenciales con regularidad y automatiza este proceso siempre que sea posible. Así se reduce el riesgo de usar credenciales obsoletas o comprometidas.

• Supervisar la actividad: vigila la actividad de las entidades de servicio por si detectas comportamientos sospechosos. Esto te ayuda a detectar pronto los intentos de acceso no autorizados.

• Autenticación sólida: utiliza métodos de autenticación sólidos, como la autenticación multifactor (MFA). Esto añade una capa adicional de seguridad.

• Almacenamiento seguro de credenciales: guarda y gestiona las credenciales de las entidades de servicio de forma segura, mediante una solución de administración de secretos. Evita almacenar credenciales en el código o en archivos de configuración.

• Documentación: documenta la finalidad y los permisos de cada entidad de servicio. Esta práctica ayuda a entender su función dentro de tu inquilino.

• Directivas de gobernanza: establece directivas de gobernanza claras para la gestión de las entidades de servicio. Revisa y audita los permisos con regularidad para garantizar el cumplimiento.

Automatizar la supervisión

Automatizar la supervisión de las entidades de servicio puede mejorar considerablemente tu postura de seguridad. Estas son algunas herramientas y estrategias que conviene tener en cuenta:

• AdminDroid: esta herramienta ofrece una función de supervisión de la actividad de inicio de sesión. Te ayuda a seguir los patrones de inicio de sesión de las entidades de servicio y proporciona informes detallados sobre el uso y las tendencias de acceso.

• Informe de cambios en entidades de servicio: AdminDroid también ofrece un informe que supervisa los cambios en las entidades de servicio. Este informe detalla las adiciones, actualizaciones y eliminaciones, junto con las actividades de inicio de sesión, como la hora, el nombre de la aplicación, el estado y la ubicación.

Al automatizar la supervisión obtienes varios beneficios:

Implementar estas prácticas y herramientas te ayudará a gestionar las entidades de servicio de forma eficaz y a mantener un entorno seguro en tu inquilino de Microsoft 365.

En resumen, analizar el uso de las entidades de servicio es fundamental para proteger tu inquilino de Microsoft 365. Conviene supervisar con regularidad la actividad de inicio de sesión, gestionar los permisos y seguir las buenas prácticas. Estos son los puntos clave para mejorar la gestión de tus entidades de servicio:

Si aplicas estas estrategias, podrás reforzar tu postura de seguridad y gestionar con eficacia las entidades de servicio de tu organización.

Preguntas frecuentes

¿Qué es una entidad de servicio en Microsoft 365?

Una entidad de servicio actúa como identidad para que las aplicaciones accedan de forma segura a los recursos. Permite que las aplicaciones se autentiquen sin necesidad de credenciales de usuario.

¿Cómo superviso la actividad de las entidades de servicio?

Puedes supervisar la actividad de las entidades de servicio mediante Microsoft Graph API o herramientas como AdminDroid. Estas herramientas ofrecen información sobre los patrones de inicio de sesión y las tendencias de uso.

¿Por qué es importante analizar el uso de las entidades de servicio?

Analizar el uso de las entidades de servicio te ayuda a identificar riesgos de seguridad, gestionar permisos y garantizar el cumplimiento. Además, mejora la postura de seguridad general.

¿Qué permisos necesito para analizar entidades de servicio?

Necesitas el permiso AuditLog.Read.All para analizar la actividad de las entidades de servicio en Microsoft Entra y Microsoft 365. Este permiso te permite acceder a los registros necesarios.

¿Cómo puedo automatizar la supervisión de las entidades de servicio?

Puedes automatizar la supervisión con herramientas como AdminDroid. Estas herramientas pueden generar informes sobre la actividad de inicio de sesión y los cambios en las entidades de servicio, lo que simplifica tus tareas de administración.

Objetos de aplicación de Microsoft Entra ID y creación de una entidad de servicio

¿Qué es una entidad de servicio y cómo se relaciona con los objetos de aplicación en Microsoft Entra ID?

Una entidad de servicio es el principal de seguridad que representa a una aplicación o servicio en tu inquilino de Microsoft Entra. Se vincula con un objeto de aplicación (la definición global), y la entidad de servicio es la instancia que se crea en tu inquilino cuando registras una aplicación o das tu consentimiento para ella. El identificador de aplicación y el identificador de cliente vinculan ambos objetos, y verás tanto los objetos de aplicación como los objetos de entidad de servicio en Microsoft Entra cuando se haya creado una entidad de servicio.

¿Cómo creo una entidad de servicio en mi inquilino de Microsoft 365?

Puedes crear la entidad de servicio registrando una aplicación en el Centro de administración de Microsoft Entra o mediante la CLI de Azure o el SDK de PowerShell de Microsoft Graph. Los pasos habituales son crear la aplicación (objeto de aplicación), crear después la entidad de servicio en tu inquilino principal o en un inquilino propietario, asignar los permisos y generar las credenciales (secreto de cliente o certificado). Para scripts automatizados, usa az ad sp create-for-rbac de la CLI de Azure o el SDK de PowerShell de Microsoft Graph para crear la entidad de servicio.

¿Dónde puedo encontrar los detalles de una entidad de servicio y analizar su actividad de inicio de sesión?

Los detalles de la entidad de servicio están disponibles en el Centro de administración de Microsoft Entra, en Aplicaciones empresariales o en Registros de aplicaciones, según el tipo. Puedes consultar propiedades como el nombre de la entidad de servicio, el identificador de aplicación, el identificador de inquilino y los roles asignados. Para analizar la actividad de inicio de sesión de una entidad de servicio, usa los registros de inicio de sesión de Microsoft Entra o consulta los informes de inicio de sesión mediante Microsoft Graph para revisar los eventos de autenticación, los eventos de creación de entidades de servicio y la telemetría de inicio de sesión.

¿Cómo afectan las directivas de acceso y la configuración de autenticación a una nueva entidad de servicio?

Las directivas de acceso y la configuración de autenticación determinan a qué recursos puede acceder una entidad de servicio y cómo se autentica. Configura los objetos de aplicación y de entidad de servicio con privilegios mínimos, asigna roles sobre los recursos y usa el acceso condicional y las directivas de acceso en el Centro de administración de Microsoft Entra. Elige los métodos de autenticación (secreto de cliente, certificado o identidad administrada) de acuerdo con las actualizaciones de seguridad y las prácticas recomendadas para reducir el riesgo.

¿Pueden las aplicaciones de primera parte de Microsoft o los servicios de Microsoft crear entidades de servicio en mi inquilino?

Sí. Las aplicaciones de primera parte de Microsoft y los servicios de Microsoft suelen crear objetos de entidad de servicio en Microsoft Entra ID cuando se utilizan en tu inquilino. Pueden aparecer como entra apps o microsoft first-party apps. Algunos servicios de Microsoft crean entidades de servicio automáticamente durante la incorporación; puedes revisarlas y controlarlas en el Centro de administración de Microsoft Entra y aplicar elegibilidad justo a tiempo cuando sea compatible.

¿Cómo gestiono los permisos y los objetos de entidad de servicio en Microsoft Entra para reducir el riesgo?

Audita los eventos de creación de entidades de servicio, revisa los permisos concedidos a los objetos de entidad de servicio en Microsoft Entra ID y elimina los privilegios excesivos. Usa asignaciones de roles y, cuando sea apropiado, permisos de aplicación en lugar de delegados, implementa el acceso condicional y el aprovisionamiento justo a tiempo o la elegibilidad justo a tiempo de la entidad de servicio, y rota las credenciales con regularidad. Consulta Microsoft Learn y otros recursos adicionales para obtener orientación prescriptiva sobre seguridad y procedimientos de soporte técnico.

¿Qué herramientas puedo usar para automatizar la inspección y la creación de entidades de servicio (PowerShell, CLI de Azure)?

Puedes usar Microsoft Graph PowerShell SDK, la CLI de Azure o las API de Microsoft Graph para automatizar la creación y la revisión de entidades de servicio. Comandos como az ad sp create-for-rbac y sus equivalentes en Microsoft Graph PowerShell SDK te permiten crear la entidad de servicio y obtener el client ID, el ID de aplicación y el ID de inquilino. Los scripts también pueden enumerar los objetos de entidad de servicio de Microsoft Entra y recopilar datos de inicio de sesión o de permisos para generar informes.

¿Cómo sé si una entidad de servicio fue creada por una aplicación cliente o por una cuenta de Microsoft?

Revisa los detalles de la entidad de servicio en el Centro de administración de Microsoft Entra o consulta Microsoft Graph para ver propiedades como el propietario de la aplicación, el editor y el tipo de aplicación de origen. Las entidades de servicio creadas por una aplicación cliente harán referencia a un client ID o ID de aplicación y, a menudo, mostrarán la entidad que la creó y la marca de tiempo de creación. Las entidades de servicio de Microsoft creadas para servicios de Microsoft o aplicaciones propias de Microsoft suelen incluir el editor o identificadores conocidos de Microsoft.

¿Dónde puedo encontrar recursos y orientación adicionales sobre Office 365 for IT Pros y las prácticas recomendadas para entidades de servicio?

Consulta Microsoft Learn, la documentación del Centro de administración de Microsoft Entra, las guías de la plataforma de identidades de Microsoft y los artículos dirigidos a Office 365 for IT Pros. Otros recursos incluyen la documentación de Microsoft Graph, las referencias de la CLI de Azure y de Microsoft Graph PowerShell SDK, y las actualizaciones de seguridad que publica Microsoft. Para escenarios complejos, ponte en contacto con el soporte técnico o consulta los laboratorios de Microsoft Learn sobre los objetos de aplicación y de entidad de servicio creados en tu inquilino.