All Conditional Access policies are configured to exclude at least one emergency account or group.

Por qué es importante

Sin una cuenta de emergencia designada (break glass account) excluida de todas las políticas de Conditional Access, una mala configuración podría bloquear a todos los administradores del inquilino. Esto genera una pérdida irreversible de acceso que podría provocar tiempos de inactividad prolongados e incidentes de seguridad que no se pueden gestionar. Los administradores de TI deben garantizar un respaldo confiable para el acceso de emergencia, a fin de mantener la continuidad operativa y evitar costosos esfuerzos de recuperación.

Qué verifica Aether365

Esta comprobación verifica que al menos una cuenta de emergencia o break glass, o un grupo dedicado, esté excluido de todas las políticas de Conditional Access en su inquilino. Aparece en el panel de Aether365 en la sección de comprobaciones de Microsoft 365 como un elemento de gravedad media.

Cómo solucionarlo

1. Inicie sesión en el Microsoft Entra admin center y vaya a Identity > Security > Conditional Access.
2. Revise cada política de Conditional Access en busca de exclusiones. Si ninguna política excluye actualmente una cuenta de break glass, cree una nueva cuenta de usuario específicamente para acceso de emergencia (por ejemplo, break-glass@sudominio.com) y asígnele el rol de Global Administrator.
3. Para cada política, ábrala, vaya a la sección Assignments, seleccione Users or workload identities y, en Exclude, agregue la cuenta de emergencia o un grupo dedicado que la contenga.
4. Si usa un grupo, cree un grupo de seguridad en Microsoft Entra ID llamado "Break Glass Admins" y agregue la cuenta de emergencia. Luego, excluya este grupo de todas las políticas de Conditional Access.
5. Repita el paso 3 para cada política de Conditional Access en su inquilino. Verifique que la exclusión aparezca en la lista Exclude antes de guardar cada política.
6. Después de actualizar todas las políticas, pruebe el acceso con la cuenta de emergencia para confirmar que puede omitir todas las políticas y acceder correctamente al portal.

Cumplimiento normativo

• Otros: Esta comprobación aborda una práctica de seguridad fundamental recomendada por Microsoft y estándares del sector (por ejemplo, CIS, CISA) para mantener el acceso de emergencia en Microsoft 365. Aunque no está vinculada a un marco normativo específico, respalda requisitos de gobierno más amplios para la continuidad del negocio y la respuesta a incidentes.

Recursos relacionados

• Manage emergency access accounts in Microsoft Entra ID
• Conditional Access: Exclude specific users or groups in a policy

Microsoft references

• Microsoft Learn
• Microsoft Learn
• Microsoft Learn
• Concept conditional access users groups
• Security emergency access