Certificación de nivel básico en seguridad que cubre fundamentos de seguridad, cumplimiento e identidad de Microsoft.
Modelo de Zero Trust, Modelo de responsabilidad compartida, Conceptos de cifrado, Conceptos de cumplimiento
Microsoft Entra ID, Métodos de autenticación, MFA y Acceso condicional, RBAC, Gobernanza de identidades
Microsoft Defender XDR, Microsoft Sentinel, Azure Firewall, Protección contra DDoS de Azure, Microsoft Defender for Cloud
Microsoft Purview, Portal de cumplimiento, Protección de información y gestión del ciclo de vida de datos, eDiscovery y Auditoría
Prueba preguntas tipo examen del conjunto de muestra gratuito. Cada respuesta incluye una explicación completa.
El equipo de seguridad de una empresa está revisando una lista de acciones de mejora en el portal de Microsoft Defender para aumentar la puntuación de seguridad (Secure Score) de la organización.
¿Qué resultado se puede esperar cuando se complete la acción de habilitar MFA para todos los usuarios?
Respuesta: B. Secure Score aumenta
Microsoft Secure Score representa la postura de seguridad de una organización como un valor numérico en el portal de Microsoft Defender, y la puntuación aumenta cada vez que se completa una acción de mejora recomendada. Habilitar MFA para todos los usuarios es una acción de mejora de seguridad de alto impacto que reduce significativamente el riesgo de apropiación de cuentas, y su finalización aumenta el Secure Score.
El sistema Secure Score se determina por la suma de las puntuaciones de las acciones de mejora completadas. Las acciones que fortalecen la seguridad (habilitar MFA, aplicar políticas de Acceso Condicional, etc.) aumentan la puntuación, mientras que las configuraciones de seguridad debilitadas o las recomendaciones no implementadas la reducen. Esta puntuación cubre múltiples áreas de seguridad, incluidas identidad, dispositivos, aplicaciones, datos e infraestructura.
Debe distinguir entre Secure Score y Compliance Score (Purview) como sistemas separados. Secure Score evalúa la postura de seguridad, mientras que Compliance Score evalúa los niveles de cumplimiento normativo como GDPR e HIPAA. Habilitar MFA es una acción de Secure Score, no de Compliance Score.
Un equipo de desarrollo está gestionando cadenas de conexión de bases de datos y claves de API codificándolas directamente en el código fuente de una aplicación web que se ejecuta en Azure. El equipo de seguridad recomendó separar estos secretos confidenciales del código y almacenarlos y gestionarlos de forma segura en una ubicación centralizada.
¿Qué servicio de Azure MEJOR cumple con estos requisitos?
Respuesta: C. Azure Key Vault
Azure Key Vault es un servicio dedicado al almacenamiento y gestión centralizada y segura de información confidencial, como cadenas de conexión, claves de API y contraseñas, fuera del código fuente, cumpliendo exactamente con los requisitos de este escenario. Las aplicaciones pueden recuperar secretos de Key Vault de forma segura en tiempo de ejecución sin incrustarlos directamente en el código, resolviendo fundamentalmente el problema de hardcoding.
Azure Key Vault gestiona tres tipos de objetos: Secretos (valores basados en texto como cadenas de conexión y claves de API), Claves (claves criptográficas para cifrado y descifrado de datos) y Certificados (gestión del ciclo de vida SSL/TLS). Cuando se integra con Managed Identity, las aplicaciones pueden acceder a Key Vault sin almacenar credenciales separadas, fortaleciendo aún más la seguridad.
En el examen, tenga cuidado de no confundir Azure Active Directory (Microsoft Entra ID) con Key Vault. Entra ID es un servicio de gestión de identidad y acceso que no proporciona capacidades de almacenamiento de secretos. Cuando vea las palabras clave 'almacenamiento y gestión centralizada de secretos, claves y certificados,' seleccione Azure Key Vault; cuando vea 'autenticación de usuario, autorización o SSO,' seleccione Microsoft Entra ID.
Un equipo de desarrollo desea configurar una aplicación implementada en Azure para poder llamar a la Microsoft Graph API. Sin que un humano inicie sesión directamente, la propia aplicación necesita autenticarse con Microsoft Entra ID para acceder a los recursos.
¿Qué objeto de identidad permite que la aplicación se autentique con Microsoft Entra ID y acceda a los recursos de esta manera?
Respuesta: C. Entidad de Servicio (Service Principal)
Así como Amazon Kinesis Data Streams cumple las condiciones de ese escenario, una entidad de servicio satisface precisamente el requisito central de este escenario: 'la propia aplicación se autentica con Microsoft Entra ID sin que un humano inicie sesión directamente para acceder a la API.' Una entidad de servicio es un objeto de identidad no humano que representa una aplicación registrada en Entra ID, que usa un ID de cliente con un secreto o certificado para obtener un token de acceso a través del flujo de credenciales de cliente OAuth 2.0 y acceder a recursos protegidos como Microsoft Graph API.
Una entidad de servicio se crea automáticamente dentro de un inquilino de Entra ID durante el Registro de Aplicación. El objeto de aplicación (definición global) y la entidad de servicio (instancia específica del inquilino) están estructurados en una relación 1:N, con permisos administrados a través de asignaciones de roles y concesiones de consentimiento en cada inquilino. Se usa ampliamente cuando las canalizaciones de CI/CD, los servicios de backend o las aplicaciones externas necesitan acceder a los recursos de Azure.
Distinguir las entidades de servicio de las identidades administradas es importante en el examen. Una identidad administrada es una forma especial de entidad de servicio otorgada a recursos hospedados en Azure, como VMs de Azure y Functions, donde la plataforma Azure administra automáticamente las credenciales, eliminando la necesidad de gestión de secretos. En contraste, las entidades de servicio se aplican a aplicaciones que se ejecutan fuera de Azure o escenarios donde se requiere la gestión de credenciales. Cuando las palabras clave incluyan 'aplicación autenticándose directamente con Entra ID', 'llamadas a API' o 'flujo de credenciales OAuth 2.0', seleccione entidad de servicio.
El administrador de TI de una empresa desea activar temporalmente roles de alto privilegio, como Administrador Global, solo cuando sea necesario para tareas específicas, y requiere un proceso de aprobación y entrada de justificación en la activación para minimizar la exposición de privilegios permanentes.
¿Qué característica de Microsoft Entra ID proporciona esta elevación de privilegios Just-In-Time y control de acceso basado en aprobación?
Respuesta: D. Privileged Identity Management
El administrador de TI de una empresa desea activar temporalmente roles de alto privilegio, como Administrador Global, solo cuando sea necesario para tareas específicas, y requiere aprobación y justificación en la activación para minimizar la exposición de privilegios permanentes. Las tres palabras clave — elevación de privilegios Just-In-Time, activación temporal y acceso basado en aprobación — describen con precisión las capacidades centrales de Privileged Identity Management (PIM). PIM fuerza la activación de permisos solo cuando sea necesario a través de Asignaciones Elegibles, y requiere aprobación del aprobador, justificación empresarial y MFA en la activación.
Microsoft Entra Privileged Identity Management es una herramienta central para implementar el principio de menor privilegio y el modelo de seguridad Zero Trust. PIM distingue entre asignaciones Elegibles y asignaciones Activas. Los usuarios con asignaciones Elegibles deben pasar por una solicitud de activación explícita y mantener permisos solo por un tiempo limitado para usar un rol. PIM también proporciona un registro de auditoría completo de todo el historial de activación de roles para rastrear y supervisar el uso de privilegios.
En el examen SC-900, se debe distinguir la Opción 1 de la Opción 2. Conditional Access es una herramienta de política que controla el acceso en función de las condiciones de inicio de sesión, como la ubicación, el dispositivo y el nivel de riesgo, y no proporciona activación temporal de roles ni flujos de trabajo de aprobación. RBAC es un enfoque básico de administración de permisos que asigna roles permanentemente a los usuarios, sin activación JIT, límites de tiempo ni funciones de aprobación. Si JIT, activación temporal y elevación de privilegios basada en aprobación son las palabras clave, seleccione PIM.
El administrador de TI de su empresa desea otorgar a un desarrollador específico solo permiso de lectura para máquinas virtuales en el entorno de Azure.
¿Qué principio de seguridad sigue este enfoque, garantizando que no se concedan más permisos de los necesarios al utilizar el control de acceso basado en roles (RBAC) en Microsoft Entra ID?
Respuesta: B. Principio de Privilegio Mínimo
Otorgar a un desarrollador solo permiso de lectura para máquinas virtuales sin derechos administrativos es una implementación directa del Principio de Privilegio Mínimo. Este principio exige que los usuarios reciban únicamente los permisos mínimos necesarios para realizar sus funciones laborales, y Azure RBAC lo aplica mediante el rol Lector (Reader), que permite ver los recursos mientras bloquea las modificaciones o eliminaciones.
El Principio de Privilegio Mínimo es uno de los tres pilares fundamentales del modelo Zero Trust, funcionando junto con Assume Breach y Verify Explicitly. Azure RBAC proporciona roles integrados como Lector, Colaborador y Propietario, además de roles personalizados, lo que permite un control granular de permisos hasta el nivel de recurso individual. Eliminar permisos innecesarios minimiza el radio de explosión en caso de una amenaza interna o una cuenta comprometida.
Cuando una pregunta de examen mencione "no conceder más permisos de los necesarios" o "solo acceso mínimo", seleccione el Principio de Privilegio Mínimo. La separación de funciones es un principio de control interno que distribuye tareas críticas entre varias personas, mientras que la defensa en profundidad es una estrategia arquitectónica de seguridad que superpone múltiples controles — ninguno de estos conceptos trata específicamente sobre la minimización de permisos.
El examen Microsoft Security, Compliance, and Identity Fundamentals (SC-900) consta de 45 preguntas y tiene un límite de 45 minutos.
La puntuación de aprobación del examen SC-900 es de 700 sobre 1000.
El conjunto de muestra de SC-900 (20 preguntas con explicaciones completas) es gratuito. El banco completo de más de 320 preguntas está disponible con una suscripción a CloudMasterIT.