El área de "identidad, acceso y seguridad" del temario de AZ-900 abarca más que los temas que se tratan a menudo, como MFA o el acceso condicional. También incluye cuatro conceptos que casi no aparecen en los bancos de preguntas, pero que están escritos claramente en el temario oficial: el modelo de defensa en profundidad, la autenticación sin contraseña, las identidades externas y Microsoft Entra Domain Services.
Este artículo es el complemento de seguridad de nuestra serie de análisis en profundidad de AZ-900. Aprende primero los fundamentos, como la diferencia entre autenticación y autorización, MFA, RBAC y Confianza cero, en Identidad, Acceso y Seguridad. Aquí completamos, hasta el nivel que exige el examen, los cuatro elementos que ese artículo solo mencionó de pasada.
---
Los cuatro objetivos del examen que cubre este artículo
Los cuatro elementos pertenecen al dominio 2 (Describir la arquitectura y los servicios de Azure) del temario oficial revisado el 20 de julio de 2026. Es el dominio de mayor peso, así que incluso una o dos preguntas sobre estos temas pueden decidir si superas la nota de corte.
| Elemento | Redacción oficial del objetivo (en inglés) | Resumen en una línea | |------|------|------| | Defensa en profundidad | Describe the purpose of the defense-in-depth model | Apilar la seguridad en capas para que, si una cae, la siguiente resista | | Autenticación sin contraseña | Describe authentication methods in Azure, including ... passwordless | Iniciar sesión con un dispositivo de confianza más un dato biométrico o un PIN en lugar de una contraseña | | Identidades externas | Describe external identities in Azure | Permitir que socios y clientes entren en tus aplicaciones con sus propias cuentas | | Microsoft Entra Domain Services | Describe directory services in Azure, including ... Microsoft Entra Domain Services | Un dominio administrado que usas sin operar tú mismo los controladores de dominio |
---
Defensa en profundidad
Un castillo medieval nunca se defendía con una sola muralla. Tras el foso había una muralla, tras la muralla había guardias en la puerta y, en lo más profundo, una cámara del tesoro. Aunque los atacantes rompieran una capa, la siguiente ganaba tiempo y, mientras tanto, sonaba la alarma. La defensa en profundidad lleva exactamente esa idea a la seguridad en la nube.
Microsoft Learn la describe como una estructura con los datos que hay que proteger en el centro, rodeados por siete capas de fuera hacia dentro.
| Capa (fuera → dentro) | Qué protege | Medidas típicas | |------|------|------| | 1. Seguridad física | Los edificios de los centros de datos y el hardware | Control de acceso en los centros de datos de Microsoft | | 2. Identidad y acceso | El acceso a la infraestructura y el control de cambios | Microsoft Entra ID, SSO, MFA, auditoría de inicios de sesión y cambios | | 3. Perímetro | Los ataques de red a gran escala | Azure DDoS Protection, firewalls perimetrales | | 4. Red | La comunicación entre recursos | Grupos de seguridad de red (NSG), denegar por defecto, acceso entrante restringido | | 5. Proceso | El acceso a las máquinas virtuales | Acceso restringido a las VM, parches y protección de puntos de conexión | | 6. Aplicación | Las vulnerabilidades de seguridad de las aplicaciones | Desarrollo seguro, secretos guardados en Azure Key Vault | | 7. Datos | Los datos del negocio y de los clientes | Cifrado en reposo y en tránsito, administración de claves con Key Vault |
!Las siete capas de la defensa en profundidad
¿Por qué apilar varias capas?
Si dependes de una sola capa, todo queda expuesto en el momento en que esa capa cae. Con varias capas, el ataque se ralentiza y las alertas que se generan en cada capa dan tiempo al equipo de seguridad para responder, de forma automática o manual. Lo que buscan los atacantes al final son los datos del centro, así que cada capa exterior existe para alargar el tiempo que se tarda en llegar a ellos.
Defensa en profundidad vs Confianza cero
Estos dos conceptos suelen aparecer juntos, así que conviene conocer la diferencia.
| Categoría | Defensa en profundidad | Confianza cero | |------|------|------| | Idea central | Apilar protecciones en varias capas | No confiar en nada por defecto y verificar cada vez | | Enfoque | Dónde colocar cada control (estructura) | Cómo decidir si se permite el acceso (principios) | | Frase típica | "Si una capa cae, la siguiente detiene el ataque" | "Verificar explícitamente, usar el mínimo privilegio, asumir la vulneración" |
Consejo para el examen: "La capa que filtra los ataques DDoS" → perímetro. "Permitir solo la comunicación necesaria entre subredes" → red. "La capa más interna" → datos. Mientras recuerdes con firmeza que la seguridad física es la capa más externa y los datos la más interna, puedes deducir el resto por sus nombres.
---
Autenticación sin contraseña
MFA hace más seguro el inicio de sesión al añadir un factor a la contraseña, pero la contraseña sigue ahí. Todavía se puede olvidar o filtrar. La autenticación sin contraseña elimina la contraseña por completo e inicia la sesión con un dispositivo de confianza combinado con una señal biométrica o un PIN. Es como dejar de teclear el código del portal de tu edificio y, en su lugar, acercar un teléfono registrado y escanear tu huella.
Los tres factores de autenticación de MFA
Para entender el inicio de sesión sin contraseña, recuerda primero las tres categorías de factores de autenticación.
| Categoría | Significado | Ejemplos | |------|------|------| | Algo que sabes | Información que el usuario recuerda | Una contraseña, una pregunta de seguridad | | Algo que tienes | Un dispositivo que el usuario lleva consigo | Un código enviado al teléfono, una llave de seguridad | | Algo que eres | Una señal biométrica del usuario | Una huella dactilar, el reconocimiento facial |
La autenticación sin contraseña combina "algo que tienes" (un dispositivo registrado) con "algo que eres" (un dato biométrico) o con un PIN que solo funciona en ese dispositivo. Después del registro inicial, el usuario nunca escribe una contraseña.
Las tres opciones que admite Microsoft Entra ID
| Método | Cómo se inicia sesión | Caso más adecuado | |------|------|------| | Windows Hello para empresas | Un dato biométrico o un PIN vinculado a ese PC | Trabajadores con su propio PC con Windows asignado | | Aplicación Microsoft Authenticator | Hacer coincidir el número de la pantalla en una notificación del teléfono y confirmar con un dato biométrico o un PIN | Usuarios con un teléfono iOS o Android | | Llaves de seguridad FIDO2 | Una llave de hardware USB, NFC o Bluetooth | Cuentas que necesitan un inicio de sesión resistente al phishing, entornos donde es difícil usar teléfonos personales |
FIDO2 es un estándar abierto basado en la especificación Web Authentication (WebAuthn). La documentación reciente de Microsoft también llama passkeys (claves de acceso) a las credenciales basadas en FIDO2, así que considera ambos términos parte de la misma familia.
Consejo para el examen: "Eliminar por completo la introducción de contraseñas" → autenticación sin contraseña. "Añadir a la contraseña una aprobación en el teléfono" → MFA. A las preguntas también les gusta señalar que las credenciales de Windows Hello para empresas están vinculadas a ese PC, por lo que nadie más puede usarlas desde otro dispositivo.
---
Identidades externas
Crear una cuenta de empresa para cada persona de fuera acumula una cantidad interminable de cuentas y contraseñas que administrar. Las identidades externas permiten que los usuarios externos entren en tus aplicaciones con cuentas que ya tienen: una cuenta de trabajo de otra empresa, una identidad digital emitida por un gobierno o una cuenta social como Google o Facebook. Es como revisar el documento de identidad de un visitante y entregarle un pase de visita, en lugar de imprimirle una nueva credencial de empleado.
Los papeles se reparten. El proveedor de identidades externo se encarga del inicio de sesión (autenticación), y tú administras lo que pueden hacer en tus aplicaciones (autorización) con Microsoft Entra ID.
| Funcionalidad | Para quién | Cómo aparece en tu directorio | Escenario típico | |------|------|------|------| | Colaboración B2B | Socios y colaboradores externos | Normalmente como usuarios invitados | Los empleados de un proveedor acceden a tu aplicación con las cuentas de su propia empresa | | Conexión directa B2B | Otro inquilino de Microsoft Entra | No aparece en tu directorio | Establecer una confianza bidireccional y colaborar en canales compartidos de Teams | | Microsoft Entra External ID para clientes | Consumidores y clientes | Un inquilino externo, separado del de tus empleados | Registrarse en una aplicación de compras con una cuenta de Google (el papel que antes cumplía Azure AD B2C) |
Seguir administrando el acceso de invitados
Una vez invitados los usuarios externos, la limpieza importa. Con las revisiones de acceso de Microsoft Entra ID, los propios invitados o un responsable pueden confirmar si el acceso sigue siendo necesario, y puedes retirar el acceso a los invitados que ya no lo necesitan.
Consejo para el examen: las identidades externas se confunden fácilmente con SSO. SSO significa iniciar sesión una vez para usar varias aplicaciones; las identidades externas significan que personas de fuera cruzan el límite de un inquilino con sus propias cuentas. "Los usuarios externos inician sesión con sus propias credenciales" → identidades externas (colaboración B2B).
---
Microsoft Entra Domain Services
Muchas aplicaciones de negocio antiguas no pueden usar la autenticación moderna y dependen de la unión a dominio o de la autenticación Kerberos de un Active Directory local. Llevar esas aplicaciones a Azure implica necesitar controladores de dominio también en la nube, y montar, parchear y respaldar esos servidores por tu cuenta es una carga. Microsoft