Skip to main content

​
Acerca de Microsoft Azure Authorization

La fuente Microsoft Azure Authorization lee las asignaciones y definiciones de roles de Azure RBAC, además de las definiciones y asignaciones de Azure Policy, de la suscripción que conectes. La evidencia en Iru refleja quién puede acceder a qué y qué políticas están asignadas; Iru no escribe cambios en Azure. Iru usa OAuth 2.0 delegado contra Azure Resource Manager en nombre del usuario que inicia sesión, por lo que las recopilaciones respetan los permisos de Azure existentes de ese usuario.

​
Cómo funciona

Iru usa el flujo de código de autorización de OAuth 2.0 de Microsoft (permisos delegados) contra Azure Resource Manager (management.azure.com). Después de iniciar sesión y dar tu consentimiento en la ventana emergente, Iru recibe un token de acceso de corta duración y lo renueva automáticamente (incluida la rotación de tokens de actualización cuando corresponda). El ámbito de OAuth solicitado es: https://management.azure.com/user_impersonation Esto concede acceso de lectura a las API de ARM como el usuario que ha iniciado sesión, limitado por el RBAC de ese usuario en la suscripción.

​
Qué recopila Iru

Iru no modifica las asignaciones de roles ni la configuración de las políticas. Referencias oficiales: Documentación de Azure RBAC, API REST, Enumerar asignaciones de roles (concepto), Roles integrados, Flujo de código de autorización de OAuth 2.0.

​
Requisitos previos

  • Una cuenta de Microsoft Entra ID que pueda iniciar sesión en el portal de Azure.
  • Como mínimo, el rol integrado Reader (o un acceso de lectura equivalente) en la suscripción que quieres que Iru lea. Esto incluye Microsoft.Authorization/*/read para asignaciones, definiciones y metadatos de políticas.
  • Ventanas emergentes del navegador permitidas para que el asistente del conector pueda abrirse cuando habilites la fuente.
Para confirmar el acceso: Subscriptions → tu suscripción → Access control (IAM) → View my access, y comprueba que tengas Reader (o superior) en ese ámbito. Si necesitas una asignación de rol, el administrador de tu suscripción puede usar la CLI de Azure (sustituye los marcadores de posición):

​
Conectar Microsoft Azure Authorization a Iru

Usa primero Microsoft Azure para confirmar el acceso al portal y la cobertura de Reader y, a continuación, completa OAuth en Iru Compliance. El asistente muestra Step 1 of 1: Perform OAuth Authentication.
Completa esta pestaña antes de iniciar OAuth en Iru Compliance.
1

Inicia sesión en el portal de Azure

Abre portal.azure.com e inicia sesión con la cuenta de Microsoft Entra ID que usarás en el asistente de Iru (el mismo tenant que quieres que Iru lea).
2

Abre la suscripción de destino

Busca Subscriptions y abre la suscripción cuyos metadatos de Authorization (asignaciones de roles, definiciones, políticas) debe recopilar Iru.
3

Verifica el acceso Reader

En la suscripción, abre Access control (IAM) → View my access. Confirma que ves Reader (u otro rol que incluya Microsoft.Authorization/*/read en este ámbito), como se describe en Requisitos previos.
4

Permite ventanas emergentes en el navegador

Permite las ventanas emergentes para el nombre de host de Iru para que la pantalla de consentimiento de Microsoft pueda abrirse desde el asistente del conector.
5

Ten en cuenta los problemas con varios tenants

Si tu empresa usa varios tenants de Microsoft Entra ID, cierra la sesión de las cuentas personales de Microsoft en el mismo perfil del navegador, o usa una ventana privada, para que la ventana emergente de OAuth elija la cuenta de trabajo correcta.
Continúa en la pestaña Iru Compliance.
Los metadatos de autorización se leen en el ámbito de la suscripción. Para abarcar varias suscripciones, repite el flujo para cada suscripción o usa una cuenta con Reader en cada suscripción que necesites.

​
Solución de problemas

Revisa la configuración del bloqueador de ventanas emergentes para el sitio de Iru e inténtalo de nuevo.
Confirma que la cuenta que se autentica tenga el rol Reader en la suscripción (consulta Requisitos previos).
Si tu organización tiene varios tenants, cierra la sesión en la ventana emergente de Microsoft e inicia sesión con la cuenta del tenant correcto.
Los tokens de acceso se renuevan aproximadamente cada hora mientras la conexión está activa. Si la actualización se interrumpe (por ejemplo, tras un período largo de inactividad), es posible que la tarjeta muestre Broken. Desactiva y activa la fuente y, a continuación, vuelve a completar OAuth.

​
Artículos relacionados

Gestión de fuentes

Explora y gestiona todas las fuentes de Compliance.

Introducción a Compliance

Marcos, acciones y Artefactos.

Descripción general de Iru

Cómo encajan Endpoint, Compliance e Identity.

Gestión de artefactos

Sube, revisa y organiza la evidencia de fuentes y acciones.