El punto "administrar suscripciones y gobernanza de Azure" del dominio 1 de AZ-104 (20–25 %) reúne Azure Policy, bloqueos de recursos, etiquetas, grupos de recursos, suscripciones, grupos de administración y "administrar costos mediante alertas, presupuestos y recomendaciones de Azure Advisor". Nuestro banco de preguntas tiene más de 20 preguntas en esta área, y la respuesta suele depender de una regla de comportamiento: "¿Esta configuración la heredan los ámbitos inferiores?", "¿Se aplica a recursos que ya existen?", "¿También detiene a un Owner?".
Este artículo dibuja primero la jerarquía de gobernanza desde los grupos de administración hasta los recursos, y después explica cómo se comportan sobre ella Azure Policy, los bloqueos de recursos y las etiquetas. Por último, cubre la administración de costos con presupuestos, alertas de costos y Azure Advisor. RBAC, que decide lo que pueden hacer las personas, se explica en Cómo Interpretar Asignaciones de Roles de Azure RBAC en AZ-104, y lo básico de directivas y bloqueos en Identidad y Gobernanza.
---
La Jerarquía de Gobernanza: de los Grupos de Administración a los Recursos
Una empresa coloca divisiones bajo la sede central, equipos bajo las divisiones y empleados bajo los equipos. Las normas que fija la sede se aplican a todas las divisiones y equipos. Azure también agrupa los recursos en cuatro niveles, grupo de administración → suscripción → grupo de recursos → recurso, y hace bajar a los niveles inferiores la configuración aplicada arriba.
| Nivel | Función | Qué recordar | |------|------|------| | Grupo de administración | Agrupa suscripciones para aplicar directivas y roles una sola vez | Hasta 10 000 por directorio, un árbol de hasta seis niveles, un grupo de administración raíz arriba | | Suscripción | Límite de facturación y de acceso | Pertenece a un solo grupo de administración; transferirla a otro inquilino de Entra elimina todas sus asignaciones de roles | | Grupo de recursos | Agrupación lógica de recursos que comparten ciclo de vida | Un recurso pertenece a un solo grupo, los grupos no se anidan, eliminar el grupo elimina todo su contenido | | Recurso | Servicios reales como VM, cuentas de almacenamiento y VNet | Puede estar en una región distinta de la de su grupo de recursos |
Cada grupo de administración y cada suscripción pueden tener un solo elemento primario. Cuando mueves una suscripción a otro grupo de administración, recibe las directivas y asignaciones de roles del nuevo primario y pierde lo que heredaba del anterior.
!En la jerarquía de gobernanza se heredan RBAC, las directivas y los bloqueos, pero no las etiquetas
Consejo para el examen: "Aplicar la misma directiva a varias suscripciones a la vez" significa asignar la directiva a un grupo de administración. Si "los usuarios no pueden acceder a los recursos después de transferir una suscripción a otro inquilino", es porque la transferencia eliminó de forma permanente las asignaciones de roles, así que hay que volver a asignarlas en el nuevo inquilino.
---
Azure Policy: Reglas que Deben Cumplir los Recursos
Si RBAC decide "quién puede hacer qué", Azure Policy decide "cómo deben ser los recursos". Puede impedir incluso que un Owner cree un recurso que incumple la directiva.
| Componente | Significado | |------|------| | Definición de directiva | Una sola regla (condición + efecto) | | Iniciativa | Un conjunto que agrupa varias definiciones de directiva | | Asignación | Aplica una definición o iniciativa a un ámbito, con ámbitos secundarios excluidos opcionales | | Exención | Saca recursos concretos de la evaluación, pero deja constancia |
El efecto decide qué hace una directiva cuando encuentra un recurso que cumple su condición.
| Efecto | Comportamiento | Pistas en la pregunta | |------|------|------| | Deny | Rechaza las solicitudes de creación o actualización que incumplen la regla | "permitir la creación solo en regiones aprobadas" | | Audit | Permite la solicitud pero la registra como no conforme | "no bloquear, solo informar" | | Append | Agrega campos durante la creación o actualización | "añadir un valor de configuración a la solicitud" | | Modify | Agrega, cambia o quita propiedades como etiquetas; los recursos existentes se corrigen con una tarea de corrección | "agregar la etiqueta automáticamente si falta" | | DeployIfNotExists | Implementa un recurso relacionado si no existe | "implementar la configuración de diagnóstico automáticamente si falta" | | AuditIfNotExists | Registra la no conformidad si no existe un recurso relacionado | "informar de las VM sin la extensión" | | DenyAction | Bloquea una acción concreta (como eliminar) | "bloquear la eliminación de recursos críticos" | | Disabled | La directiva está desactivada | Mantener la asignación pero apagarla por ahora |
Las directivas se evalúan cuando se crea o actualiza un recurso y cuando se crea una asignación, y después se vuelven a evaluar cada 24 horas. Asignar una directiva Deny nueva no elimina ni cambia los recursos existentes; solo los marca como no conformes. Para corregir los recursos existentes se ejecuta una tarea de corrección de una directiva DeployIfNotExists o Modify, y la identidad administrada de la asignación debe tener el rol necesario.
Consejo para el examen: "Etiquetar también los recursos existentes no conformes" significa asignar una directiva Modify y después ejecutar una tarea de corrección. Una opción que solo asigna una directiva Deny bloquea los recursos futuros y nada más.
---
Bloqueos de Recursos: Evitar Eliminaciones Accidentales
Un bloqueo de recursos es como una segunda cerradura en una caja fuerte. Incluso quien tiene permiso debe quitar el bloqueo antes de eliminar o cambiar el recurso.
| Bloqueo | Nombre en el portal | Qué bloquea | |------|------|------| | CanNotDelete | Eliminar | Solo bloquea la eliminación; se puede leer y modificar | | ReadOnly | Solo lectura | Bloquea la eliminación y la modificación (parecido a limitar a todos los usuarios a Reader) |
Un bloqueo en un ámbito primario lo heredan todos los recursos que hay debajo, incluidos los que se agreguen después Prevalece el bloqueo más restrictivo de la cadena de herencia Los bloqueos se aplican a todos los usuarios, incluidos los Owner; crear o eliminar un bloqueo requiere permisos Microsoft.Authorization/locks, como los de Owner o User Access Administrator Los bloqueos solo se aplican a operaciones del plano de control (Azure Resource Manager) y no bloquean operaciones del plano de datos Si un recurso tiene un bloqueo de eliminación, falla la eliminación de todo su grupo de recursos (no hay eliminación parcial)
Los bloqueos ReadOnly bloquean operaciones que quizá no esperas, porque bloquean las solicitudes POST a ARM.
| Dónde está el bloqueo ReadOnly | Qué se bloquea | |------|------| | Cuenta de almacenamiento | Enumerar las claves de cuenta (los usuarios deben acceder a los datos con credenciales de Entra) | | Grupo de recursos que contiene una VM | Iniciar y reiniciar la VM | | Cuenta de almacenamiento | Crear un contenedor de blobs a través del plano de control (la creación por el plano de datos sigue funcionando) |
Consejo para el examen: Si "un Owner no puede eliminar un recurso", sospecha de un bloqueo. "No se pueden iniciar las VM de un grupo de recursos" se debe a un bloqueo ReadOnly en el grupo de recursos.
---
Etiquetas: Rótulos para Seguir Costos y Responsables
Una etiqueta es un par nombre-valor asociado a un recurso (por ejemplo, CostCenter = 1001, Environment = Prod). Sirve para agrupar costos en el análisis de costos y para encontrar responsables o entornos.
Hasta 50 pares de etiquetas por recurso, grupo de recursos y suscripción Los recursos de dentro no heredan las etiquetas de un grupo de recursos o una suscripción Si hace falta herencia, asigna una directiva integrada Modify como "Heredar una etiqueta del grupo de recursos" El rol Tag Contributor administra etiquetas sin acceso a los recursos en sí
Consejo para el examen: "Se agregó una etiqueta Department al grupo de recursos, pero no aparece en las VM de dentro" es el comportamiento esperado. La solución es una directiva de herencia de etiquetas más una tarea de corrección.
---
Administración de Costos: Presupuestos, Alertas y Azure Advisor
Un presupuesto es como el límite de gasto mensual de las cuentas de casa. Te avisa cuando te acercas, pero no congela la tarjeta.
| Herramienta | Qué hace | Qué recordar | |------|------|------| | Presupuesto | Fija un importe por mes, trimestre o año y avisa en umbrales de costo real y previsto | No detiene recursos, se evalúa cada 24 horas, se reinicia automáticamente en cada período | | Vínculo a un grupo de acciones | Envía correo o notificación, ejecuta una aplicación lógica, un runbook de Automation y más al alcanzar un umbral | Solo para presupuestos en el ámbito de suscripción o grupo de recursos | | Alertas de costos | Alertas de presupuesto, de crédito, de cuota de gasto del departamento y de anomalías | Se ven juntas en Cost Management | | Análisis de costos | Desglosa el costo por servicio, grupo de recursos o etiqueta | El análisis por departamento solo es fácil con etiquetas | | Azure Advisor | Recomendaciones personalizadas en cinco categorías: fiabilidad, seguridad, rendimiento, costo y excelencia operativa | Cambiar el tamaño o apagar VM infrautilizadas, comprar reservas y más |
Consejo para el examen: "Avisar al administrador cuando el costo mensual llegue al 80 % del presupuesto y detener automáticamente las VM de desarrollo al 100 %" significa alertas de presupuesto más un grupo de acciones (como un runbook de Automation). Un presupuesto por sí solo nunca detiene recursos. "Encontrar formas de reducir el costo de VM infrautilizadas" apunta a las recomendaciones de costo de Azure Advisor.
---
Referencia Rápida del Examen
Puntos clave para revisar por última vez antes del examen.
| Tema | Qué recordar | |--