Compartir a través de

Supervisión de Azure AD B2C con Azure Monitor

Importante

A partir del 1 de mayo de 2025, Azure AD B2C ya no estará disponible para la compra por parte de nuevos clientes. Obtenga más información en nuestras preguntas más frecuentes.

Usa Azure Monitor para dirigir los registros de inicio de sesión y auditoría de Azure Active Directory B2C (Azure AD B2C) a diferentes soluciones de supervisión. Puede conservar los registros de uso a largo plazo o integrarse con herramientas de administración de eventos e información de seguridad de terceros (SIEM) para obtener información sobre su entorno.

Puede enrutar eventos de registro a:

Azure Monitor

Cuando planee transferir registros de Azure AD B2C a diferentes soluciones de supervisión o repositorio, tenga en cuenta que los registros de Azure AD B2C contienen datos personales. Al procesar estos datos, asegúrate de usar las medidas de seguridad adecuadas para los datos personales. Entre estas se incluye protección contra el procesamiento no autorizado o ilegal mediante las medidas técnicas u organizativas adecuadas.

En este artículo, aprenderá a transferir los registros a un área de trabajo de Azure Log Analytics. A continuación, puede crear un panel o crear alertas basadas en las actividades de los usuarios de Azure AD B2C.

Vea este vídeo para aprender a configurar la supervisión para Azure AD B2C mediante Azure Monitor.

Descripción general de la implementación

Azure AD B2C usa la supervisión de Microsoft Entra. A diferencia de los inquilinos de Microsoft Entra, un inquilino de Azure AD B2C no puede tener una suscripción asociada. Por lo tanto, es necesario realizar pasos adicionales para habilitar la integración entre Azure AD B2C y Log Analytics, que es donde se envían los registros. Para habilitar la configuración de diagnóstico en Microsoft Entra ID dentro de tu inquilino de Azure AD B2C, utiliza Azure Lighthouse para delegar un recurso, lo que permite que Azure AD B2C (el Proveedor de Servicios) administre un recurso de Microsoft Entra ID (el Cliente).

Sugerencia

Azure Lighthouse se usa normalmente para administrar recursos de varios clientes. Sin embargo, también se puede usar para administrar recursos dentro de una empresa que tiene varios inquilinos de Microsoft Entra propios, que es lo que estamos haciendo aquí, excepto que solo se delega la administración de un único grupo de recursos.

Después de completar los pasos de este artículo, habrá creado un nuevo grupo de recursos (aquí denominado azure-ad-b2c-monitor) y tendrá acceso a ese mismo grupo de recursos que contiene el área de trabajo de Log Analytics en el portal de Azure AD B2C . También podrá transferir los registros de Azure AD B2C al área de trabajo de Log Analytics.

Durante esta implementación, autorizará a un usuario o grupo en el directorio de Azure AD B2C para configurar la instancia del área de trabajo de Log Analytics en el inquilino que contiene su suscripción a Azure. Para crear la autorización, implementa una plantilla de Azure Resource Manager en la suscripción que contiene el área de trabajo de Log Analytics.

En el diagrama siguiente se muestran los componentes que configurará en el ID de Microsoft Entra y en las instancias de Azure AD B2C.

Proyección de grupo de recursos

Durante esta implementación, configurará el tenant de Azure AD B2C en el que se generarán los registros. También configurará el inquilino de Microsoft Entra donde se hospedará el área de trabajo de Log Analytics. A las cuentas de Azure AD B2C que se usan (como la cuenta de administrador) se les debe asignar el rol de administrador global en el inquilino de Azure AD B2C. La cuenta de Microsoft Entra que usará para ejecutar la implementación debe tener asignado el rol Propietario en la suscripción de Microsoft Entra. También es importante asegurarte de que has iniciado sesión en el directorio correcto a medida que completa cada paso tal y como se describe.

En resumen, usará Azure Lighthouse para permitir que un usuario o grupo del inquilino de Azure AD B2C administre un grupo de recursos en una suscripción asociada a otro inquilino (el inquilino de Microsoft Entra). Una vez completada esta autorización, la suscripción y el área de trabajo de Log Analytics se pueden seleccionar como destino en la configuración de diagnóstico de Azure AD B2C.

Prerrequisitos

1. Crear o elegir grupo de recursos

En primer lugar, cree o elija un grupo de recursos que contenga el área de trabajo de Log Analytics de destino que recibirá datos de Azure AD B2C. El nombre del grupo de recursos se especificará al implementar la plantilla de Resource Manager.

  1. Inicie sesión en Azure Portal.
  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.
  3. Crea un grupo de recursos o elige uno existente. En este ejemplo se usa un grupo de recursos denominado azure-ad-b2c-monitor.

2. Creación de un área de trabajo de Log Analytics

Un área de trabajo de Log Analytics es un entorno único de datos de registro de Azure Monitor. Usará este espacio de trabajo de Log Analytics para recopilar datos de los registros de auditoría de Azure AD B2C y luego visualizarlos con consultas y cuadernos, o crear alertas.

  1. Inicie sesión en Azure Portal.
  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.
  3. Crear un área de trabajo de Log Analytics. En este ejemplo se usa un área de trabajo de Log Analytics denominada AzureAdB2C, en un grupo de recursos denominado azure-ad-b2c-monitor.

3. Delegar la administración de recursos

En este paso, se elige el inquilino de Azure AD B2C como proveedor de servicios. También define las autorizaciones que necesita para asignar los roles integrados de Azure adecuados a los grupos del inquilino de Microsoft Entra.

3.1 Obtención del identificador de inquilino de Azure AD B2C

En primer lugar, obtenga el identificador de inquilino del directorio de Azure AD B2C (también conocido como identificador de directorio).

  1. Inicie sesión en Azure Portal.
  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.
  3. Seleccione Microsoft Entra ID (Id. de Entra de Microsoft), seleccione Información general.
  4. Anota el Identificador de inquilino.

3.2 Seleccionar un grupo de seguridad

Ahora seleccione un grupo o usuario de Azure AD B2C al que desea conceder permiso al grupo de recursos que creó anteriormente en el directorio que contiene la suscripción.

Para facilitar la administración, se recomienda usar grupos de usuarios de Microsoft Entra para cada rol, y así poder agregar o quitar usuarios individuales en el grupo, en lugar de asignar permisos directamente a ese usuario. En este tutorial, se agregará un grupo de seguridad.

Importante

Para agregar permisos a un grupo de Microsoft Entra, la opción Tipo de grupo debe establecerse en Seguridad. Esta opción se selecciona cuando se crea el grupo. Para más información, vea Crear un grupo básico y agregar miembros mediante Microsoft Entra ID.

  1. Con microsoft Entra ID aún seleccionado en el directorio de Azure AD B2C , seleccione Grupos y, a continuación, seleccione un grupo. Si no tienes un grupo existente, crea un grupo de seguridad y, a continuación, agrega miembros. Para obtener más información, siga el procedimiento Crear un grupo básico y agregar miembros mediante el identificador de Microsoft Entra.
  2. Seleccione Información general y registre el identificador de objeto del grupo.

3.3 Creación de una plantilla de Azure Resource Manager

Para crear la autorización y delegación personalizadas en Azure Lighthouse, se usa una plantilla de Azure Resource Manager. Esta plantilla concede a Azure AD B2C acceso al grupo de recursos de Microsoft Entra, que creó anteriormente, por ejemplo, azure-ad-b2c-monitor. Implementa la plantilla desde el ejemplo de GitHub mediante el botón Implementar en Azure, que abre Azure Portal y te permite configurar e implementar la plantilla directamente en el portal. Para estos pasos, asegúrese de que ha iniciado sesión en el inquilino de Microsoft Entra (no en el inquilino de Azure AD B2C).

  1. Inicie sesión en Azure Portal.

  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.

  3. Usa el botón Implementar en Azure para abrir Azure Portal e implementar la plantilla directamente en el portal. Para más información, consulte Creación de una plantilla de Azure Resource Manager.

    Implementación en Azure

  4. En la página Implementación personalizada, especifique la siguiente información:

    Campo Definición
    Suscripción Seleccione el directorio que contiene la suscripción de Azure donde se creó el grupo de recursos azure-ad-b2c-monitor .
    Región Elija la región donde se va a implementar el recurso.
    Nombre de la oferta de MSP Nombre que describe esta definición. Por ejemplo, Supervisión de Azure AD B2C. Es el nombre que se mostrará en Azure Lighthouse. El nombre de la oferta MSP debe ser único en tu ID de Microsoft Entra. Para supervisar varios inquilinos de Azure AD B2C, use nombres diferentes.
    Descripción de la oferta de MSP Descripción breve de la oferta. Por ejemplo, Habilita Azure Monitor en Azure AD B2C.
    Administrado por identificador de inquilino El ID de arrendatario de tu entidad de Azure AD B2C (también conocido como ID de directorio).
    Autorizaciones Especifique una matriz JSON de objetos que incluyan el identificador principalIdde Entra de Microsoft , principalIdDisplayNamey Azure roleDefinitionId. principalId es el identificador de objeto del grupo o usuario B2C que tendrá acceso a los recursos de esta suscripción de Azure. Para este tutorial, especifique el identificador de objeto del grupo que anotó anteriormente. Para roleDefinitionId, usa el valor rol integrado para el rol Colaborador, b24988ac-6180-42a0-ab88-20f7382dd24c.
    Nombre del grupo de recursos Nombre del grupo de recursos que creó anteriormente en el inquilino de Microsoft Entra. Por ejemplo, azure-ad-b2c-monitor.

    En el ejemplo siguiente se muestra una matriz de autorizaciones con un grupo de seguridad.

    [
  {
    "principalId": "<Replace with group's OBJECT ID>",
    "principalIdDisplayName": "Azure AD B2C tenant administrators",
    "roleDefinitionId": "b24988ac-6180-42a0-ab88-20f7382dd24c"
  }
]

Después de implementar la plantilla, la proyección de recursos puede tardar unos minutos en completarse (habitualmente menos de 5 minutos). Puede comprobar la implementación en el inquilino de Microsoft Entra y obtener los detalles de la proyección de recursos. Para obtener más información, consulta Visualización y administración de proveedores de servicios.

4. Seleccione su suscripción

Después de implementar la plantilla y esperar unos minutos para que se complete la proyección de recursos, siga estos pasos para asociar la suscripción con el directorio de Azure AD B2C.

Nota:

En la configuración del portal | Directorios y suscripciones, asegúrese de que los inquilinos de Azure AD B2C y Microsoft Entra estén seleccionados en directorios actuales y delegados.

  1. Cierre sesión en Azure Portal e inicie sesión con su cuenta administrativa de Azure AD B2C . Esta cuenta debe ser miembro del grupo de seguridad que especificó en el paso Delegar administración de recursos . Cerrar sesión y volver a iniciarla permite actualizar las credenciales de sesión en el paso siguiente.

  2. Selecciona el icono Configuración en la barra de herramientas del portal.

  3. En la página configuración del portal | Directorios y suscripciones, en la lista nombre del directorio, busque el directorio de ID de Microsoft Entra que contiene la suscripción de Azure y el grupo de recursos azure-ad-b2c-monitor que creó, y luego seleccione Cambiar.

  4. Comprueba que has seleccionado el directorio correcto y que la suscripción de Azure aparece y está seleccionada en el filtro Suscripción predeterminada.

    Captura de pantalla del filtro de suscripción predeterminado

5. Configurar las opciones de diagnóstico

La configuración de diagnóstico define dónde se deben enviar los registros y las métricas de un recurso. Los posibles destinos son:

En este ejemplo, se usa el área de trabajo de Log Analytics para crear un panel.

5.1 Crear configuración de diagnóstico

Está listo para crear la configuración de diagnóstico en el portal de Azure.

Para configurar las opciones de supervisión para los registros de actividad de Azure AD B2C:

  1. Inicie sesión en Azure Portal con su cuenta administrativa de Azure AD B2C . Esta cuenta debe ser miembro del grupo de seguridad que especificó en el paso Seleccionar un grupo de seguridad .

  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Azure AD B2C desde el menú Directorios y suscripciones.

  3. Seleccione Microsoft Entra ID.

  4. En Supervisión, seleccione Configuración de diagnóstico.

  5. Si hay una configuración para el recurso, verás una lista de opciones ya configuradas. Puede seleccionar Agregar configuración de diagnóstico para agregar una nueva configuración o Editar configuración para modificar una existente. Cada configuración no puede tener más de uno de los tipos de destino.

    Captura de pantalla del panel configuración de diagnóstico en Azure Portal.

  6. Asigna un nombre a la configuración, si aún no lo tiene.

  7. Seleccione AuditLogs y SignInLogs.

  8. Seleccione Enviar al área de trabajo de Log Analytics y, a continuación, haga lo siguiente:

    1. En Suscripción, seleccione la suscripción.
    2. En Área de trabajo de Log Analytics, seleccione el nombre del área de trabajo que creó anteriormente, como AzureAdB2C.

    Nota:

    Actualmente, solo se admiten la configuración de diagnóstico AuditLogs y SignInLogs para los inquilinos de Azure AD B2C.

  9. Haga clic en Guardar.

Nota:

Pueden transcurrir hasta 15 minutos para que un evento emitido aparezca en un área de trabajo de Log Analytics. Además, obtenga más información sobre las latencias de informes de Active Directory, que pueden afectar a la obsolescencia de los datos y desempeñar un papel importante en los informes.

Si ve el mensaje de error, Para configurar la configuración de diagnóstico para usar Azure Monitor para el directorio de Azure AD B2C, debe configurar la administración de recursos delegados, asegúrese de iniciar sesión con un usuario que sea miembro del grupo de seguridad y seleccione la suscripción.

6. Visualizar los datos

Ahora puede configurar el área de trabajo de Log Analytics para visualizar los datos y configurar alertas. Estas configuraciones se pueden realizar tanto en el inquilino de Microsoft Entra como en el inquilino de Azure AD B2C.

6.1 Crear una consulta

Las consultas de registro ayudan a usar al máximo el valor de los datos recopilados en los registros de Azure Monitor. Un lenguaje de consulta eficaz permite combinar datos de varias tablas, agregar grandes conjuntos de datos y realizar operaciones complejas con una mínima cantidad de código. Prácticamente cualquier pregunta se puede responder y analizar siempre que se recopilen los datos auxiliares y comprenda cómo construir la consulta correcta. Para más información, consulte Introducción a las consultas de registro en Azure Monitor.

  1. Inicie sesión en Azure Portal.

  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.

  3. En la ventana Área de trabajo de Log Analytics, selecciona Registros

  4. En el editor de consultas, pegue la siguiente consulta del lenguaje de consulta Kusto. Esta consulta muestra el uso de la directiva por operación durante los últimos X días. El período predeterminado está establecido en 90 días (90d). Tenga en cuenta que la consulta solo se centra en operaciones en las que se emite un token o código mediante la directiva.

    AuditLogs
| where TimeGenerated  > ago(90d)
| where OperationName contains "issue"
| extend  UserId=extractjson("$.[0].id",tostring(TargetResources))
| extend Policy=extractjson("$.[1].value",tostring(AdditionalDetails))
| summarize SignInCount = count() by Policy, OperationName
| order by SignInCount desc  nulls last

  5. Seleccione Ejecutar. Los resultados de la consulta se muestran en la parte inferior de la pantalla.

  6. Para guardar la consulta para su uso posterior, selecciona Guardar.

    Editor de registros de Log Analytics

  7. Rellena la siguiente información:

    • Nombre: escriba el nombre de la consulta.
    • Guardar como: seleccione query.
    • Categoría: seleccione Log.

  8. Haga clic en Guardar.

También puedes cambiar la consulta para visualizar los datos mediante el operador render.

AuditLogs
| where TimeGenerated  > ago(90d)
| where OperationName contains "issue"
| extend  UserId=extractjson("$.[0].id",tostring(TargetResources))
| extend Policy=extractjson("$.[1].value",tostring(AdditionalDetails))
| summarize SignInCount = count() by Policy
| order by SignInCount desc  nulls last
| render  piechart

Gráfico circular del editor de registros de Log Analytics

Para obtener más ejemplos, consulte el repositorio de GitHub de SIEM de Azure AD B2C.

6.2 Crear un libro

Los libros de trabajo proporcionan un lienzo flexible para el análisis de datos y la creación de informes visuales completos en el portal de Azure. Permiten acceder a varios orígenes de datos de Azure y combinarlos en experiencias interactivas unificadas. Para más información, consulte Cuadernos de trabajo de Azure Monitor.

Siga las instrucciones a continuación para crear un libro de trabajo usando una plantilla de galería JSON. En este libro se proporciona un panel de Información del usuario y Autenticación para el inquilino de Azure AD B2C.

  1. Inicie sesión en Azure Portal.

  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.

  3. En la ventana del área de trabajo de Log Analytics, seleccione Cuadernos.

  4. En la barra de herramientas, seleccione la opción + Nuevo para crear un libro de trabajo.

  5. En la página Nuevo libro, seleccione el Editor avanzado usando la opción </> de la barra de herramientas.

    Plantilla de galería

  6. Seleccione Plantilla de la galería.

  7. Reemplace el código JSON de la plantilla de la galería por el contenido del libro básico de Azure AD B2C:

  8. Aplique la plantilla mediante el botón Aplicar .

  9. Seleccione el botón Edición finalizada de la barra de herramientas para finalizar la edición del libro.

  10. Por último, guarde el libro mediante el botón Guardar de la barra de herramientas.

  11. Proporcione un título, como el panel de Azure AD B2C.

  12. Haga clic en Guardar.

    Guardar el libro de trabajo

El libro de trabajo mostrará informes en forma de panel de control.

Primer panel del libro

Segundo panel del libro

Tercer panel del libro

Creación de alertas

Las alertas se crean mediante reglas de alerta en Azure Monitor y pueden ejecutar automáticamente consultas guardadas o búsquedas de registros personalizadas a intervalos regulares. Puede crear alertas basadas en métricas de rendimiento específicas o cuando se produzcan determinados eventos. También puede crear alertas en ausencia de un evento o cuando se produzcan varios eventos dentro de un período de tiempo determinado. Por ejemplo, las alertas se pueden usar para notificarle cuando el número medio de inicios de sesión supera un umbral determinado. Para más información, consulte Creación de alertas.

Use las siguientes instrucciones para crear una nueva alerta de Azure, que enviará una notificación por correo electrónico cada vez que haya una caída del 25% en el total de solicitudes en comparación con el período anterior. La alerta se ejecutará cada cinco minutos y buscará el descenso en la última hora en comparación con la hora anterior. Las alertas se crean mediante el lenguaje de consulta Kusto.

  1. Inicie sesión en Azure Portal.

  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.

  3. En el área de trabajo de Log Analytics, seleccione Registros.

  4. Cree una nueva consulta de Kusto mediante esta consulta.

    let start = ago(2h);
let end = now();
let threshold = -25; //25% decrease in total requests.
AuditLogs
| serialize TimeGenerated, CorrelationId, Result
| make-series TotalRequests=dcount(CorrelationId) on TimeGenerated from start to end step 1h
| mvexpand TimeGenerated, TotalRequests
| serialize TotalRequests, TimeGenerated, TimeGeneratedFormatted=format_datetime(todatetime(TimeGenerated), 'yyyy-MM-dd [HH:mm:ss]')
| project   TimeGeneratedFormatted, TotalRequests, PercentageChange= ((toreal(TotalRequests) - toreal(prev(TotalRequests,1)))/toreal(prev(TotalRequests,1)))*100
| order by TimeGeneratedFormatted desc
| where PercentageChange <= threshold   //Trigger's alert rule if matched.

  5. Seleccione Ejecutar para probar la consulta. Debería ver los resultados si hay una disminución del 25 % o más en el total de solicitudes en la última hora.

  6. Para crear una regla de alerta basada en esta consulta, use la opción + Nueva regla de alertas disponible en la barra de herramientas.

  7. En la página Crear una regla de alerta , seleccione Nombre de condición.

  8. En la página Configurar lógica de señal , establezca los valores siguientes y, a continuación, use el botón Listo para guardar los cambios.

    • Lógica de alerta: establezca número de resultadosmayor que0.
    • Evaluación basada en: seleccione 120 para período (en minutos) y 5 para frecuencia (en minutos)

    Creación de una condición de regla de alerta

Una vez creada la alerta, vaya al área de trabajo de Log Analytics y seleccione Alertas. En esta página se muestran todas las alertas que se han desencadenado en la duración establecida por la opción Intervalo de tiempo .

Configurar grupos de acciones

Las alertas de Azure Monitor y Service Health usan grupos de acciones para notificar a los usuarios que se ha desencadenado una alerta. Puede incluir el envío de una llamada de voz, SMS, correo electrónico; o desencadenando varios tipos de acciones automatizadas. Siga las instrucciones Creación y administración de grupos de acciones en Azure Portal.

Este es un ejemplo de un correo electrónico de notificación de alerta.

Notificación por correo electrónico

Varios inquilinos

Para incorporar varios registros de inquilinos de Azure AD B2C al mismo área de trabajo de Log Analytics (o cuenta de almacenamiento de Azure o centro de eventos), necesitará implementaciones independientes con distintos valores de nombre de oferta de Msp . Asegúrese de que el área de trabajo de Log Analytics está en el mismo grupo de recursos que el configurado en Crear o elegir grupo de recursos.

Cuando trabaje con varias áreas de trabajo de Log Analytics, use consultas entre áreas de trabajo para crear consultas que funcionen en varias áreas de trabajo. Por ejemplo, la consulta siguiente realiza una combinación de dos registros de auditoría de distintos inquilinos basados en la misma categoría (por ejemplo, autenticación):

workspace("AD-B2C-TENANT1").AuditLogs
| join  workspace("AD-B2C-TENANT2").AuditLogs
  on $left.Category== $right.Category

Cambio del período de retención de datos

Los registros de Azure Monitor están diseñados para escalar y admitir la recopilación, indexación y almacenamiento de grandes cantidades de datos por día provenientes de cualquier origen dentro de su empresa o implementados en Azure. De forma predeterminada, los registros se conservan durante 30 días, pero la duración de la retención se puede aumentar hasta 2 años. Obtenga información acerca de cómo administrar el uso y los costos con los registros de Azure Monitor. Después de seleccionar el plan de tarifa, puede cambiar el período de retención de datos.

Deshabilitar supervisión y recopilación de datos

Para dejar de recopilar registros en el área de trabajo de Log Analytics, elimine la configuración de diagnóstico que ha creado. Seguirá incurriendo en cargos por conservar los datos de registro que ya ha recopilado en el área de trabajo. Si ya no necesita los datos de supervisión que ha recopilado, puede eliminar el área de trabajo de Log Analytics y el grupo de recursos que ha creado para Azure Monitor. Al eliminar el área de trabajo de Log Analytics, se eliminan todos los datos del área de trabajo y se impide incurrir en cargos de retención de datos adicionales.

Eliminación del área de trabajo y el grupo de recursos de Log Analytics

  1. Inicie sesión en Azure Portal.
  2. Si tiene acceso a varios inquilinos, seleccione el icono Configuración en el menú superior para cambiar a su inquilino de Microsoft Entra ID desde el menú Directorios y suscripciones.
  3. Elige el grupo de recursos que contiene el área de trabajo de Log Analytics. En este ejemplo se usa un grupo de recursos denominado azure-ad-b2c-monitor y un área de trabajo de Log Analytics denominada AzureAdB2C.
  4. Elimina el área de trabajo de Log Analytics.
  5. Selecciona el botón Eliminar para eliminar el grupo de recursos.

Pasos siguientes