Autenticación de usuarios con Azure Active Directory
Contenido del curso
JESUS MANUEL SANJUAN LOPEZ
Jose Trinidad Perez Galdamez
Daniel Hernan
Julian Torres
GERMAN REYNAGA MURUA
Eduardo Alan Gonzalez Garduño
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Daniel Guerrero
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Nelson Sebastian Galeano Aranda
Claudia patricia Suarez Daza
Nelson Joel Frias Cordero
Jose Trinidad Perez Galdamez
Marvin E. Portillo
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Fernando Sánchez Mejía
Vengo del futuro y utilicen el 1.25X
👍
uso a 1.5x mas rápido, bien concentrado, se entiendo igual
Anotación:
Autenticacion:
Componentes:
Restablecimiento contraseña:
Proteccion con contraseña
Complejidad contraseña:
Autenticacion sin contraseña
Gracias por los apuntes.
¿Qué es la autenticación?
Consiste en comprobar o autenticar las credenciales cuando un usuario inicia sesión en un dispositivo, aplicación o servicio.
Componentes de la autenticación en Azure AD:
• Restablecimiento de la contraseña de autoservicio • Autenticación Multifactor • Integración Híbrida • Autenticación sin contraseñas
Restablecimiento de la contraseña autoservicio:
• Cambio de contraseña • Restablecimiento de contraseña • Desbloqueo de la cuenta
Protección con contraseña:
• Bloqueo de contraseñas no seguras • Definir directivas de protección • Seguridad Híbrida
Complejidad de la contraseña:
• Se debe proporcionar una contraseña que cumpla con las reglas de complejidad • Azure Ad usa una combinación predeterminada, que posteriormente se puede personalizar. • Una letra minúscula • Una letra mayúscula • Un numero • Un símbolo
Forzar el restablecimiento de contraseñas:
• Se puede restablecer la contraseña de un usuario si este no la recuerda o también se puede forzar que el usuario la restablezca de forma periódica. • Puede ser la primera vez que inicie sesión se deba forzar
Bloqueo inteligente de la cuenta:
• Azure AD B2C cuenta con una estrategia sofisticada para bloquear las cuentas para evitar intentos de adivinación de contraseñas por fuerza bruta.
Autenticación sin contraseñas:
• A través de Microsoft Authenticator
Cuando dice Definir directivas de protección se refiere a establecer politicas del tiempo de cambio de contraseña y el número de caracteres y en caso de que se utilice el doble factor de autenticación.
Restablecimiento de contraseña: Tambien sirve para limitar elnumero de reportes a soporte tecnico. Cambio de contraseña si la olvidaste. Restablecer por venciminiento según política. Desbloqueo de la cuenta.
1️⃣ Análisis del concepto
La definición mezcla dos cosas relacionadas pero distintas, lo cual es muy común (y válido didácticamente), pero conviene separarlas:
✔️ Correcto
⚠️ Ajuste conceptual importante
En server-to-server:
📌 Lo correcto es hablar de autenticación de aplicaciones o service principal authentication.
2️⃣ Versión refinada del concepto (nivel corporativo)
La autenticación es el proceso de verificación de identidad de un usuario o de una aplicación que intenta acceder a un recurso protegido. En escenarios server-to-server, la autenticación no involucra usuarios humanos, sino identidades de aplicación, las cuales se validan mediante mecanismos seguros como tokens OAuth 2.0, certificados o secretos administrados por proveedores de identidad como Microsoft Entra ID (Azure AD). Este enfoque permite una comunicación segura, automatizada y controlada entre servicios, cumpliendo principios de seguridad empresarial como el mínimo privilegio.
3️⃣ ¿Qué es un escenario server-to-server?
👉 Un servicio backend llamando a otro servicio backend, sin intervención humana.
Ejemplos:
4️⃣ Ejemplo claro de Server-to-Server con Azure Entra ID
🎯 Escenario
Un backend Node.js necesita acceder a una API protegida en Azure para leer datos corporativos.
🧱 Componentes
🔐 Flujo de autenticación (Client Credentials Flow)
1️⃣ App A se registra en Entra ID 2️⃣ Se le asigna:
Client IDClient Secret (o certificado)3️⃣ App A solicita un access token a Entra ID:
POST https://login.microsoftonline.com/{tenant}/oauth2/v2.0/token
4️⃣ Entra ID valida la identidad de la aplicación 5️⃣ Devuelve un JWT Access Token 6️⃣ App A llama a App B enviando el token:
Authorization: Bearer eyJ0eXAiOiJKV1Qi...
7️⃣ App B valida el token y permite el acceso
5️⃣ Qué se autentica realmente (clave conceptual)
EscenarioQuién se autentica
Usuario web
Persona
Login corporativo
Usuario
Server-to-Server
Aplicación
Microservicios
Identidad de servicio
📌 No se autentica el servidor físico, se autentica la identidad lógica del servicio.
6️⃣ Seguridad aplicada (principio de mínimo privilegio)
En Entra ID:
read:datawriteadmindelete✔️ Cumple Least Privilege
Más seguro y conveniente autenticación sin password, solo colocando tu usuario, AD envia una notificación a autenticator u otra para indicar la confirmación de inició de sesión, con un PIN del dispositivo o con la huella biometrica, o escribir un número en la aplicación.
No reutilizar contraseña en todos los serviciso.
uso el 1.5x, esperando ya con ansias la parte de práctica :-)
Aplicar autenticaciones multifactor y sin contraseñas es altamente recomendable. Estos métodos refuerzan la seguridad al requerir múltiples formas de verificar la identidad del usuario, reduciendo así el riesgo de acceso no autorizado. La autenticación multifactor combina algo que el usuario conoce (como una contraseña) con algo que tiene (como un dispositivo móvil), mientras que la autenticación sin contraseñas simplifica el proceso y mejora la experiencia del usuario. Ambos enfoques son fundamentales para proteger datos críticos y usuarios en aplicaciones modernas.
si uso un domio en mi empresa puedo usar la seguridad de doble factor?
Como administrador, como puedo tener contraseñas seguras de mas de 100 usuarios. Que me recomiendas para que tenga segura las contraseñas en mi bd?
No hay contraseñas completamente seguras, por distintos motivos, puede ser leaks de datos ya que los usuarios los guardan en bloc de notas, papel, etc. y alguien más puede tener acceso a estos, o simplemente por que la contraseña seleccionada es demasiado fácil. Lo mejor es siempre usar un segundo método de autenticación.
Otro factor más seguro pero inconveniente es el password con doble factor de autenticación
Autenticaión sin contraseña: Más conveniente y menos seguro usar passwords, por ser hackeables.
Bloqueo inteligente de la cuenta: estrategía sofisticada para bloquear las cuentas para evitar inetntos de adivinar la contraseña por la fuerza.
Forzar el restablecimiento de contraseña. Se refiere a que el usuario pueda restablecer su contraseña si no la recuerda, o a forzar a que el usuario la restablezca de manera periodica. Buena practica cambiar la contraseña cada cierto tiempo.
Generalmente la complejidad de la contraseña es uso de letras mayusculas, minusculas, números y simbolos.
Complejidad de la contraseña: Se debe proporcionar una contraseña que cumpla con las reglas de complejidad. AD se tienen una combinación predeterminada
Protección con contraseña: Bloqueo de contraseñas no segura, Definir directivas de protección, Seguridad híbrida.
Es todo un tema de cultura el cambiar la contraseña cada cierto tiempo, para evitar ataques o intentos de obteneción de contraseña por hackeo o ingenieria social.