Asignación de roles de Azure mediante Azure Portal

El control de acceso basado en rol (RBAC) de Azure es el sistema de autorización que puede utilizar para administrar el acceso a los recursos de Azure. Para conceder acceso, debe asignar roles a usuarios, grupos, entidades de servicio o identidades administradas en un ámbito determinado. En este artículo se describe cómo asignar roles mediante Azure Portal.

Si necesita asignar roles de administrador en Microsoft Entra ID, vea Asignar roles de Microsoft Entra a los usuarios.

Requisitos previos

Para asignar roles de Azure, es necesario tener:

Paso 1: Identificar el ámbito necesario

Al asignar roles, debe especificar un ámbito. El ámbito es el conjunto de recursos al que se aplica el acceso. En Azure, puede especificar un ámbito en cuatro niveles, del más amplio al más limitado: grupo de administración, suscripción, grupo de recursos y recurso. Para obtener más información, consulte Comprender el ámbito.

Diagrama que muestra los niveles del ámbito para el control de acceso basado en roles de Azure.

  1. Inicie sesión en Azure Portal.

  2. En el cuadro Buscar de la parte superior, busque el ámbito al que quiere conceder acceso. Por ejemplo, busque Grupos de administración, Suscripciones, Grupos de recursos o un recurso específico.

  3. Haga clic en el recurso específico de ese ámbito.

    A continuación, se muestra un grupo de recursos de ejemplo.

    Captura de pantalla de la página de información general del grupo de recursos.

Paso 2: Abrir la página Agregar asignación de roles

Control de acceso (IAM) es la página que se usa normalmente para asignar roles y conceder acceso a los recursos de Azure. También se conoce como administración de identidad y acceso (IAM) y aparece en varias ubicaciones de Azure Portal.

  1. Haga clic en Control de acceso (IAM).

    A continuación se muestra un ejemplo de la página Control de acceso (IAM) de un grupo de recursos.

    Captura de pantalla de la página Control de acceso (IAM) para un grupo de recursos.

  2. Haga clic en la pestaña Asignaciones de roles para ver todas las asignaciones de roles en este ámbito.

  3. Haga clic en Agregar>Agregar asignación de roles.

    Si no tiene permisos para asignar roles, la opción Agregar asignación de roles se deshabilitará.

    Captura de pantalla del menú Agregar > Agregar asignación de roles.

    Se abre la página Agregar asignación de roles.

Paso 3: Seleccionar el rol adecuado

Para seleccionar un rol, siga estos pasos:

  1. En la pestaña Rol, seleccione un rol que quiera usar.

    Puede buscar un rol por nombre o por descripción. También puede filtrar los roles por tipo y categoría.

    Captura de pantalla de la página Agregar asignación de roles con la pestaña Rol.

  2. Si desea asignar un rol de administrador con privilegios, seleccione la pestaña Roles de administrador con privilegios para seleccionar el rol.

    Para conocer los procedimientos recomendados al usar asignaciones de roles de administrador con privilegios, consulte Procedimientos recomendados para RBAC de Azure.

    Captura de pantalla de la página Agregar asignación de roles con la pestaña Roles de administrador con privilegios seleccionada.

  3. En la columna Detalles haga clic en Ver para obtener más información sobre un rol.

    Captura de pantalla del panel Ver detalles del rol con la pestaña Permisos.

  4. Haga clic en Next.

Paso 4: Seleccionar quién necesita acceso

Para seleccionar quién necesita acceso, siga estos pasos:

  1. En la pestaña Miembros, seleccione Usuario, grupo o entidad de servicio para asignar el rol seleccionado a uno o más usuarios, grupos o entidades principales de servicio (aplicaciones) de Microsoft Entra.

    Captura de pantalla de la página Agregar asignación de roles con la pestaña Miembros.

  2. Haga clic en Seleccionar miembros.

  3. Busque y seleccione los usuarios, grupos o entidades de servicio.

    Puede escribir en el cuadro Seleccionar para buscar en el directorio por nombre para mostrar o dirección de correo electrónico.

    Captura de pantalla del panel Seleccionar miembros.

  4. Haga clic en Seleccionar para agregar los usuarios, grupos o entidades de servicio a la lista Miembros.

  5. Para asignar el rol seleccionado a una o varias identidades administradas, seleccione Identidad administrada.

  6. Haga clic en Seleccionar miembros.

  7. En el panel Select managed identities (Selección de identidades administradas), seleccione si el tipo es una identidad administrada asignada por el usuario o una identidad administrada asignada por el sistema.

  8. Busque y seleccione las identidades administradas.

    Para las identidades administradas asignadas por el sistema, puede seleccionar identidades administradas por instancia de servicio de Azure.

    Captura de pantalla del panel para seleccionar identidades administradas.

  9. Haga clic en Seleccionar para agregar las identidades administradas a la lista Miembros.

  10. En el cuadro de texto Descripción, escriba una descripción opcional para esta asignación de roles.

    Más adelante puede mostrar esta descripción en la lista de asignaciones de roles.

  11. Haga clic en Next.

Paso 5: (Opcional) Agregar condición

Si seleccionó un rol que admite condiciones, aparecerá una pestaña Condiciones y tendrá la opción de agregar una condición a la asignación de roles. Una condición es una comprobación adicional que puede agregar opcionalmente a la asignación de roles para proporcionar un control de acceso más preciso.

La pestaña Condiciones tendrá un aspecto diferente en función del rol seleccionado.

Condición de delegado

Si seleccionó uno de los siguientes roles con privilegios, siga los pasos descritos en esta sección.

  1. En la pestaña Condiciones de Qué puede hacer el usuario, seleccione la opción Permitir al usuario asignar solo roles seleccionados a entidades de seguridad seleccionadas (menos privilegios).

    Captura de pantalla de Agregar asignación de roles con la opción Restringida seleccionada.

  2. Haga clic en Seleccionar roles y entidades de seguridad para agregar una condición que restrinja los roles y entidades de seguridad a los que este usuario puede asignar roles.

  3. Siga los pasos descritos en Delegación de la administración de asignaciones de roles de Azure a otros usuarios con condiciones.

Condición de almacenamiento

Si seleccionó uno de los siguientes roles de almacenamiento, siga los pasos descritos en esta sección.

  1. Haga clic en Agregar condición si desea refinar aún más las asignaciones de roles en función de los atributos de almacenamiento.

    Captura de pantalla de la página Agregar asignación de roles con la pestaña Agregar condición.

  2. Siga los pasos descritos en Agregar o editar condiciones de asignación de roles de Azure.

Paso 6: Seleccionar el tipo de asignación (versión preliminar)

Importante

La integración de la asignación de roles de Azure con Privileged Identity Management se encuentra actualmente en versión preliminar. Consulte Términos de uso complementarios para las versiones preliminares de Microsoft Azure para conocer los términos legales que se aplican a las características de Azure que se encuentran en la versión beta, en versión preliminar o que todavía no se han publicado para que estén disponibles con carácter general.

Si tiene una licencia de Microsoft Entra ID P2 o Gobierno de Microsoft Entra ID, aparecerá una pestaña de tipo de asignación para los ámbitos del grupo de administración, la suscripción y el grupo de recursos. Use asignaciones aptas para proporcionar acceso cuando es necesario a un rol. Esta funcionalidad se está implementando en fases, por lo que es posible que aún no esté disponible en el inquilino o que la interfaz tenga un aspecto diferente. Para obtener más información, consulte Integración con Privileged Identity Management (versión preliminar).

Si no desea usar la funcionalidad de PIM, seleccione las opciones de tipo de asignación Activa y duración de asignación Permanente. Esta configuración crea una asignación de roles donde la entidad de seguridad siempre tiene permisos en el rol.

  1. En la pestaña Tipo de asignación, seleccione el tipo de asignación.

    • Apta : el usuario debe realizar una o varias acciones para usar el rol, como realizar una comprobación de autenticación multifactor, proporcionar una justificación comercial o solicitar la aprobación de los aprobadores designados. No puede crear asignaciones de roles aptas para aplicaciones, entidades de servicio ni identidades administradas porque no pueden realizar los pasos de activación.
    • Activa: el usuario no tiene que realizar ninguna acción para usar el rol.

    Recorte de pantalla de Agregar asignación de roles con las opciones de tipo de asignación mostradas.

  2. En función de la configuración, para la duración de la asignación, seleccione Permanente o Por un tiempo determinado.

    Seleccione permanente si desea que el miembro siempre pueda activar o usar el rol. Seleccione Por un tiempo determinado para especificar las fechas de inicio y finalización. Esta opción puede deshabilitarse si la directiva de PIM no permite la creación de asignaciones permanentes.

  3. Si se selecciona Por un tiempo determinado, establezca la Fecha y hora de inicio y Fecha y hora de inicio para especificar cuándo el usuario puede activar o usar el rol.

    Es posible establecer la fecha de inicio en el futuro. La duración máxima permitida válida depende de la directiva de Privileged Identity Management (PIM).

  4. (Opcional) Use Configurar directiva de PIM para configurar opciones de expiración, requisitos de activación de roles (aprobación, autenticación multifactor o contexto de autenticación de acceso condicional) y otras opciones.

    Al seleccionar el vínculo Actualizar directiva de PIM, se muestra una página de PIM. Seleccione Configuración para configurar la directiva de PIM para los roles. Para más información, consulte Configuración del rol de recurso de Azure en Privileged Identity Management.

  5. Haga clic en Next.

Paso 7: Asignar un rol

Siga estos pasos:

  1. En la pestaña Revisión y asignación, revise la configuración de la asignación de roles.

    Captura de pantalla de la página Asignar un rol con la pestaña Revisión y asignación.

  2. Haga clic en Revisión y asignación para asignar el rol.

    Transcurridos unos instantes, se asigna el rol a la entidad de seguridad en el ámbito seleccionado.

    Captura de pantalla de la lista de asignación de roles después de asignar el rol.

  3. Si no ve la descripción de la asignación de roles, haga clic en Editar columnas para agregar la columna Descripción.

Edición de la asignación (versión preliminar)

Importante

La integración de la asignación de roles de Azure con Privileged Identity Management se encuentra actualmente en versión preliminar. Consulte Términos de uso complementarios para las versiones preliminares de Microsoft Azure para conocer los términos legales que se aplican a las características de Azure que se encuentran en la versión beta, en versión preliminar o que todavía no se han publicado para que estén disponibles con carácter general.

Si tiene una licencia de Microsoft Entra ID P2 o Gobierno de Microsoft Entra ID, puede editar la configuración del tipo de asignación de roles. Para obtener más información, consulte Integración con Privileged Identity Management (versión preliminar).

  1. En la página control de acceso (IAM), haga clic en la pestaña Asignaciones de roles para ver las asignaciones de roles en este ámbito.

  2. Busque la asignación de roles que desea editar.

  3. En la columna Estado, haga clic en el vínculo, como Apta por un tiempo determinado o Activa permanente.

    Aparece el panel Editar asignación, donde puede actualizar la configuración del tipo de asignación de roles. El panel puede tardar unos instantes en abrirse.

    Recorte de pantalla del panel Editar asignación con las opciones de tipo de asignación mostradas.

  4. Cuando termine, haga clic en Guardar.

    Las actualizaciones pueden tardar un tiempo en procesarse y reflejarse en el portal.