Analizador de Conditional Access de Entra ID
Pega directivas de Conditional Access exportadas para comprobar la falta de MFA para administradores, la autenticación heredada sin bloquear y ámbitos demasiado amplios.
Se ejecuta en tu navegador · no se envía nadaEntra IDNuevo
Todo se ejecuta en tu navegador. No se envía nada, incluidos los ID de grupo, los ID de rol y los nombres de directiva de tu exportación.
Cómo se usa
- En Graph Explorer (o un script), haz una solicitud GET a "https://graph.microsoft.com/v1.0/identity/conditionalAccess/policies".
- Copia la respuesta JSON.
- Pégala en la herramienta.
- Revisa los hallazgos y la tabla de directivas, y exporta el informe si lo necesitas.
Casos habituales
Exporta todas las directivas y comprueba que el MFA para administradores y un bloqueo de autenticación heredada estén realmente activos y aplicados, no solo configurados en modo solo de informe.
Pega una directiva en borrador para confirmar que excluye una cuenta de acceso de emergencia antes de pasarla de solo informe a habilitada.
Explicación
Pega la salida JSON de "GET /identity/conditionalAccess/policies" de la API de Microsoft Graph (por ejemplo desde Graph Explorer, o un script que use el módulo de PowerShell Microsoft.Graph), y la herramienta revisa todo el conjunto de directivas en busca de carencias habituales: ninguna directiva que exija autenticación multifactor para los administradores, protocolos de autenticación heredada sin bloquear, directivas sin ningún control de concesión ni de sesión, y una directiva dirigida a "Todos los usuarios" sin exclusiones, lo que supone el riesgo de bloquear a todos (incluidos los administradores) si algo falla. También señala directivas deshabilitadas, en modo solo de informe, y duplicados exactos. Todo se ejecuta localmente; los ID de grupo, los ID de rol y los nombres de directiva nunca salen de tu navegador.
🔒 Tu entrada se queda en tu navegador y no se envía a ningún sitio.
Preguntas frecuentes
¿Esto se conecta a mi tenant?
No. No hay credenciales ni llamadas a la API. Tú exportas las directivas con Graph Explorer o el módulo de PowerShell Microsoft.Graph, y pegas el JSON aquí.
¿Cómo decide la herramienta si una directiva cubre a los administradores?
Busca una directiva que incluya un rol de directorio privilegiado conocido (como Administrador global, mediante su ID de plantilla de rol, igual en todos los tenants) o el valor de rol "All", dirigida a todas las aplicaciones, habilitada, y que exija MFA. Una directiva dirigida solo a aplicaciones concretas o a un grupo en lugar de a un rol no superará esta comprobación, aunque cubra efectivamente a los mismos administradores.
¿Por qué se señala una directiva de "todos los usuarios, sin exclusiones" aunque parezca correcta?
Es un aviso de buena práctica, no necesariamente un error de configuración. Microsoft recomienda excluir al menos una cuenta de acceso de emergencia ("break-glass") de las directivas amplias, para que un error en la directiva, una interrupción de un control requerido (como un proveedor de MFA), o una coincidencia de condición inesperada no bloquee a todas las cuentas a la vez.
¿Esto simula lo que pasaría para un usuario o inicio de sesión concreto?
No, esta versión comprueba el propio conjunto de directivas en busca de carencias y riesgos estructurales. No evalúa un inicio de sesión hipotético frente a membresías de grupo, estado del dispositivo o puntuaciones de riesgo como lo haría el motor real de Conditional Access.
Qué hacer después
¿Has encontrado un problema o tienes una sugerencia? Cuéntanoslo