> ## Documentation Index
> Fetch the complete documentation index at: https://docs.iru.com/llms.txt
> Use this file to discover all available pages before exploring further.

# Microsoft Azure Authorization

> Conecta el control de acceso basado en roles de Microsoft Azure y Azure Policy a Iru Compliance mediante OAuth y la API de Azure Resource Manager.

### Acerca de Microsoft Azure Authorization

La fuente **Microsoft Azure Authorization** lee las asignaciones y definiciones de roles de **Azure RBAC**, además de las definiciones y asignaciones de **Azure Policy**, de la suscripción que conectes. La evidencia en Iru refleja **quién puede acceder a qué** y **qué políticas están asignadas**; Iru no escribe cambios en Azure. Iru usa **OAuth 2.0 delegado** contra **Azure Resource Manager** en nombre del usuario que inicia sesión, por lo que las recopilaciones respetan los permisos de Azure existentes de ese usuario.

### Cómo funciona

Iru usa el **flujo de código de autorización de OAuth 2.0** de Microsoft (permisos delegados) contra **Azure Resource Manager** (`management.azure.com`). Después de iniciar sesión y dar tu consentimiento en la ventana emergente, Iru recibe un token de acceso de corta duración y lo renueva automáticamente (incluida la rotación de tokens de actualización cuando corresponda).

El ámbito de OAuth solicitado es:

`https://management.azure.com/user_impersonation`

Esto concede acceso de **lectura** a las API de ARM **como el usuario que ha iniciado sesión**, limitado por el RBAC de ese usuario en la suscripción.

| Detalle | Valor |
| - | - |
| **Categoría** | Herramientas para desarrolladores |
| **Autenticación** | OAuth 2.0 (Microsoft Entra ID, Azure Resource Manager) |
| **Plan del proveedor** | Cualquier suscripción de Azure |

#### Qué recopila Iru

| Tipo de datos | Tipo de recurso de Azure ARM |
| - | - |
| Asignaciones de roles | `Microsoft.Authorization/roleAssignments` |
| Definiciones de roles (integrados y personalizados) | `Microsoft.Authorization/roleDefinitions` |
| Definiciones de Azure Policy | `Microsoft.Authorization/policyDefinitions` |
| Asignaciones de Azure Policy | `Microsoft.Authorization/policyAssignments` |

Iru **no** modifica las asignaciones de roles ni la configuración de las políticas.

Referencias oficiales: [Documentación de Azure RBAC](https://learn.microsoft.com/azure/role-based-access-control/overview), [API REST](https://learn.microsoft.com/rest/api/authorization/), [Enumerar asignaciones de roles (concepto)](https://learn.microsoft.com/azure/role-based-access-control/role-assignments-list-rest), [Roles integrados](https://learn.microsoft.com/azure/role-based-access-control/built-in-roles), [Flujo de código de autorización de OAuth 2.0](https://learn.microsoft.com/entra/identity-platform/v2-oauth2-auth-code-flow).

### Requisitos previos

* Una cuenta de **Microsoft Entra ID** que pueda iniciar sesión en el [portal de Azure](https://portal.azure.com).
* Como mínimo, el rol integrado **Reader** (o un acceso de lectura equivalente) en la **suscripción** que quieres que Iru lea. Esto incluye `Microsoft.Authorization/*/read` para asignaciones, definiciones y metadatos de políticas.
* **Ventanas emergentes** del navegador permitidas para que el asistente del conector pueda abrirse cuando habilites la fuente.

Para confirmar el acceso: **Subscriptions** → tu suscripción → **Access control (IAM)** → **View my access**, y comprueba que tengas **Reader** (o superior) en ese ámbito.

Si necesitas una asignación de rol, el administrador de tu suscripción puede usar la CLI de Azure (sustituye los marcadores de posición):

```bash theme={null}
az role assignment create \
  --assignee <your-user-principal-name> \
  --role "Reader" \
  --scope /subscriptions/<subscription-id>
```

### Conectar Microsoft Azure Authorization a Iru

Usa primero **Microsoft Azure** para confirmar el acceso al portal y la cobertura de **Reader** y, a continuación, completa OAuth en **Iru Compliance**. El asistente muestra **Step 1 of 1: Perform OAuth Authentication**.

<Tabs>
  <Tab title="Microsoft Azure">
    <Note>
      Completa esta pestaña antes de iniciar OAuth en **Iru Compliance**.
    </Note>

    <Steps>
      <Step title="Inicia sesión en el portal de Azure">
        Abre [portal.azure.com](https://portal.azure.com) e inicia sesión con la cuenta de **Microsoft Entra ID** que usarás en el asistente de Iru (el mismo tenant que quieres que Iru lea).
      </Step>

      <Step title="Abre la suscripción de destino">
        Busca **Subscriptions** y abre la **suscripción** cuyos metadatos de **Authorization** (asignaciones de roles, definiciones, políticas) debe recopilar Iru.
      </Step>

      <Step title="Verifica el acceso Reader">
        En la suscripción, abre **Access control (IAM)** → **View my access**. Confirma que ves **Reader** (u otro rol que incluya `Microsoft.Authorization/*/read` en este ámbito), como se describe en **Requisitos previos**.
      </Step>

      <Step title="Permite ventanas emergentes en el navegador">
        Permite las **ventanas emergentes** para el nombre de host de **Iru** para que la pantalla de consentimiento de Microsoft pueda abrirse desde el asistente del conector.
      </Step>

      <Step title="Ten en cuenta los problemas con varios tenants">
        Si tu empresa usa varios tenants de Microsoft Entra ID, cierra la sesión de las cuentas personales de Microsoft en el mismo perfil del navegador, o usa una ventana privada, para que la ventana emergente de OAuth elija la cuenta de trabajo **correcta**.
      </Step>
    </Steps>

    <Note>
      Continúa en la pestaña [**Iru Compliance**](#iru-compliance).
    </Note>
  </Tab>

  <Tab title="Iru Compliance">
    <Note>
      Primero completa la pestaña [**Microsoft Azure**](#microsoft-azure).
    </Note>

    <Steps>
      <Step title="Abre Sources">
        En Iru Compliance, en la barra de navegación izquierda, expande **Cumplimiento** y selecciona **Fuentes**.

        <Frame>
          <img src="https://mintcdn.com/iru/tI0HDLDwHj8r9Ile/assets/media/images/iru-navigation-compliance-sources.png?fit=max&auto=format&n=tI0HDLDwHj8r9Ile&q=85&s=87dcef15fc17d2fb9a6e53f454e41710" alt="Navegación izquierda: Compliance expandido, Sources seleccionado" width="410" height="1024" data-path="assets/media/images/iru-navigation-compliance-sources.png" />
        </Frame>
      </Step>

      <Step title="Activa la integración">
        Busca **Microsoft Azure Authorization** (establece **Categoría** en **Developer tools** o usa **Buscar por nombre o descripción**). En esa tarjeta, activa el **interruptor** para iniciar el asistente del conector.
      </Step>

      <Step title="Inicia OAuth e inicia sesión">
        Selecciona **Launch OAuth Authentication**. Cuando se abra la ventana de Microsoft, inicia sesión con la misma cuenta que verificaste en el portal de Azure y selecciona **Accept** en la pantalla de consentimiento.
      </Step>

      <Step title="Finaliza la conexión">
        Cuando la ventana de OAuth se cierra e Iru completa el intercambio, el asistente muestra **Conexión configurada**.
      </Step>

      <Step title="Confirma que la fuente está activa">
        Cierra la pestaña del navegador **Iru está solicitando acceso a servicios externos**, luego vuelve a **Cumplimiento** → **Fuentes** y confirma que la tarjeta de **Microsoft Azure Authorization** está **Activo**.
      </Step>
    </Steps>
  </Tab>
</Tabs>

Los metadatos de autorización se leen en el ámbito de la **suscripción**. Para abarcar **varias suscripciones**, repite el flujo para cada suscripción o usa una cuenta con **Reader** en cada suscripción que necesites.

### Solución de problemas

<AccordionGroup>
  <Accordion title="No se abre nada al activar la fuente">
    Revisa la configuración del **bloqueador de ventanas emergentes** para el sitio de Iru e inténtalo de nuevo.
  </Accordion>

  <Accordion title="Privilegios insuficientes o datos vacíos">
    Confirma que la cuenta que se autentica tenga el rol **Reader** en la **suscripción** (consulta **Requisitos previos**).
  </Accordion>

  <Accordion title="Tenant de Microsoft Entra incorrecto">
    Si tu organización tiene varios tenants, **cierra la sesión** en la ventana emergente de Microsoft e inicia sesión con la cuenta del tenant **correcto**.
  </Accordion>

  <Accordion title="Estado Broken o nueva autenticación">
    Los tokens de acceso se renuevan aproximadamente cada hora mientras la conexión está activa. Si la actualización se interrumpe (por ejemplo, tras un período largo de inactividad), es posible que la tarjeta muestre **Broken**. **Desactiva** y **activa** la fuente y, a continuación, vuelve a completar OAuth.
  </Accordion>
</AccordionGroup>

### Artículos relacionados

<CardGroup cols={2}>
  <Card title="Gestión de fuentes" icon="plug" href="/es/compliance/sources-management">
    Explora y gestiona todas las fuentes de Compliance.
  </Card>

  <Card title="Introducción a Compliance" icon="rocket" href="/es/compliance/getting-started-with-compliance">
    Marcos, acciones y **Artefactos**.
  </Card>

  <Card title="Descripción general de Iru" icon="layer-group" href="/es/iru/platform-overview/iru-overview">
    Cómo encajan Endpoint, Compliance e Identity.
  </Card>

  <Card title="Gestión de artefactos" icon="folder-open" href="/es/compliance/artifacts-management">
    Sube, revisa y organiza la evidencia de fuentes y acciones.
  </Card>
</CardGroup>