Compartir a través de

Agente de optimización de acceso condicional de Microsoft Entra

El agente de optimización del acceso condicional le ayuda a garantizar que todos los usuarios, las aplicaciones y las identidades de agente están protegidos por directivas de acceso condicional. El agente puede recomendar nuevas directivas y actualizar las directivas existentes, en función de los procedimientos recomendados alineados con Zero Trust y los aprendizajes de Microsoft. El agente también crea informes de revisión de directivas (versión preliminar), que proporcionan información sobre picos o caídas que podrían indicar una configuración incorrecta de la directiva.

El agente de optimización de acceso condicional evalúa directivas como requerir autenticación multifactor (MFA), aplicar controles basados en dispositivos (cumplimiento de dispositivos, directivas de protección de aplicaciones y dispositivos unidos a un dominio) y bloquear la autenticación heredada y el flujo de código del dispositivo. El agente también evalúa todas las directivas habilitadas existentes para proponer la consolidación potencial de directivas similares. Cuando el agente identifica una sugerencia, puede hacer que el agente actualice la directiva asociada con una corrección de un solo clic.

Importante

La integración de ServiceNow en el agente de optimización de acceso condicional se encuentra actualmente en versión preliminar. Esta información está relacionada con un producto de versión preliminar que podría modificarse sustancialmente antes de la versión. Microsoft no ofrece ninguna garantía, expresada o implícita, con respecto a la información proporcionada aquí.

Prerrequisitos

Limitaciones

  • Una vez iniciados los agentes, no se pueden detener ni pausar. Pueden tardar unos minutos en ejecutarse.
  • Para la consolidación de directivas, cada ejecución de agente solo examina cuatro pares de directivas similares.
  • Se recomienda ejecutar el agente desde el Centro de administración de Microsoft Entra.
  • El escaneo está limitado a un período de 24 horas.
  • Las sugerencias del agente no se pueden personalizar ni invalidar.
  • El agente puede revisar hasta 300 usuarios y 150 aplicaciones en una sola ejecución.

Cómo funciona

El agente de optimización de acceso condicional escanea su inquilino para los nuevos usuarios, aplicaciones e identidades de agente de las últimas 24 horas y determina si se aplican las políticas de acceso condicional. Si el agente encuentra usuarios, aplicaciones o identidades de agente que no están protegidas por directivas de acceso condicional, proporciona los pasos siguientes sugeridos, como activar o modificar una directiva de acceso condicional. Puede revisar la sugerencia, cómo identificó el agente la solución y qué se incluiría en la directiva.

Cada vez que se ejecuta el agente, se llevan a cabo los pasos siguientes. Estos pasos de escaneo iniciales no consumen ningún SCUs.

  1. El agente examina todas las directivas de acceso condicional del inquilino.
  2. El agente comprueba si hay brechas en las directivas y si se puede combinar alguna directiva.
  3. El agente revisa las sugerencias anteriores para no sugerir nuevamente la misma política.

Si el agente identifica algo que no se sugirió anteriormente, realiza los pasos siguientes. Estos pasos de acción del agente consumen SCUs.

  1. El agente identifica una brecha en la política o un par de políticas que pueden ser consolidadas.
  2. El agente evalúa las instrucciones personalizadas proporcionadas.
  3. El agente crea una nueva directiva en modo de solo informe o proporciona la sugerencia para modificar una directiva, incluida cualquier lógica proporcionada por las instrucciones personalizadas.

Nota:

Security Copilot requiere que al menos se aprovisione una SCU en el tenant, pero esa SCU se factura cada mes incluso si no se consume ninguna SCU. Desactivar el agente no detiene la facturación mensual de la SCU.

Las sugerencias de directiva identificadas por el agente incluyen:

  • Requerir MFA: el agente identifica a los usuarios que no están cubiertos por una directiva de acceso condicional que requiere MFA y pueden actualizar la directiva.
  • Requerir controles basados en dispositivos: el agente puede aplicar controles basados en dispositivos, como el cumplimiento de dispositivos, las directivas de protección de aplicaciones y los dispositivos unidos a un dominio.
  • Bloquear la autenticación heredada: las cuentas de usuario con autenticación heredada no pueden iniciar sesión.
  • Bloquear flujo de código de dispositivo: el agente busca una directiva que bloquea la autenticación de flujo de código del dispositivo.
  • Usuarios de riesgo: el agente sugiere una directiva para requerir un cambio de contraseña seguro para los usuarios de alto riesgo. Requiere la licencia de identidad de Microsoft Entra (ID P2).
  • Inicios de sesión de alto riesgo: el agente sugiere implementar una directiva que requiera autenticación multifactor para los inicios de sesión de alto riesgo. Requiere la licencia P2 de Microsoft Entra ID.
  • Agentes de riesgo: el agente sugiere una política para bloquear la autenticación de inicios de sesión de alto riesgo. Requiere la licencia Microsoft Entra ID P2.
  • Consolidación de políticas: el agente examina la política e identifica la configuración superpuesta. Por ejemplo, si tiene más de una directiva que tiene los mismos controles de concesión, el agente sugiere consolidar esas directivas en una.
  • Análisis profundo: el agente examina las directivas que corresponden a escenarios clave para identificar las directivas atípicas que tienen más de un número recomendado de excepciones (lo que provoca brechas inesperadas en la cobertura) o ninguna excepción (lo que provoca un posible bloqueo).

Importante

El agente no realiza ningún cambio en las directivas existentes a menos que un administrador apruebe explícitamente la sugerencia.

Todas las nuevas políticas sugeridas por el agente se crean en modo solo de informe.

Se pueden consolidar dos directivas si difieren en no más de dos condiciones o controles.

Cómo empezar

  1. Inicie sesión en el Centro de administración de Microsoft Entra al menos como Administrador de seguridad.

  2. En la nueva página principal, seleccione Ir a los agentes en la tarjeta de notificación del agente.

    • También puede seleccionar Agentes en el menú de navegación izquierdo.

    Captura de pantalla del Centro de administración de Microsoft Entra que muestra la nueva experiencia de agentes de Copilot de seguridad.

  3. Seleccione Ver detalles en el icono Agente de optimización de acceso condicional.

    Captura de pantalla del icono del agente de acceso condicional con el botón ver detalles resaltado.

  4. Seleccione Iniciar agente para comenzar la primera ejecución.

    Captura de pantalla que muestra la página del agente de inicio de optimización de acceso condicional.

Cuando se carga la página de información general del agente, las sugerencias aparecen en el cuadro Sugerencias recientes . Si se identificó una sugerencia, puede revisar la directiva, determinar el impacto de la directiva y aplicar los cambios si es necesario. Para obtener más información, consulte Revisar y aprobar sugerencias del agente de acceso condicional.

Captura de pantalla del resumen del agente y sugerencias recientes con los botones de sugerencia de revisión resaltados.

Quitar agente

Si ya no desea usar el agente de optimización de acceso condicional, seleccione Quitar agente en la parte superior de la ventana del agente. Los datos existentes (actividad del agente, sugerencias y métricas) se quitan, pero las directivas creadas o actualizadas en función de las sugerencias del agente permanecen intactas. Las sugerencias aplicadas anteriormente permanecen sin cambios para poder seguir usando las directivas creadas o modificadas por el agente.

Proporcionar comentarios

Use el botón Enviar comentarios de Microsoft en la parte superior de la ventana del agente para proporcionar comentarios a Microsoft sobre el agente.

FAQs

¿Cuándo debo usar el agente de optimización de acceso condicional frente al chat de Copilot?

Ambas características proporcionan información diferente sobre las directivas de acceso condicional. En la tabla siguiente se proporciona una comparación de las dos características:

Scenario Agente de optimización de acceso condicional Chat de Copiloto
Escenarios genéricos
Utilización de la configuración específica del inquilino ✅
Razonamiento avanzado ✅
Información a petición ✅
Solución de problemas interactiva ✅
Evaluación continua de directivas ✅
Sugerencias de mejora automatizadas ✅
Obtención de instrucciones sobre las mejores prácticas y la configuración de CA. ✅ ✅
Escenarios específicos
Identificación proactiva de usuarios o aplicaciones no protegidos ✅
Exigir MFA y otros controles de línea base para todos los usuarios ✅
Supervisión y optimización continuas de las políticas de Certificación de Autenticación (CA) ✅
Cambios de directiva con un solo clic ✅
Revise las asignaciones y directivas de CA existentes (¿Se aplican directivas a Alice?) ✅ ✅
Solución de problemas de acceso de un usuario (¿Por qué se le ha pedido a Alice MFA?) ✅

He activado el agente pero veo "Error" en el estado de la actividad. ¿Qué pasa?

Es posible que el agente se habilitó antes de Microsoft Ignite 2025 con una cuenta que requería la activación de roles con Privileged Identity Management (PIM). Por lo tanto, cuando el agente intentó ejecutarse, se produjo un error porque la cuenta no tenía los permisos necesarios en ese momento. Los agentes de optimización de acceso condicional que se activaron después del 17 de noviembre de 2025 ya no usan la identidad del usuario que activó el agente.

Puede resolver este problema migrando para usar el identificador de Microsoft Entra Agent. Seleccione Crear identidad del agente en el mensaje de banner de la página del agente o en la sección Identidad y permisos de la configuración del agente.

Contenido relacionado

  • Last updated on