Administrar identidades y gobernanza de Azure
El dominio 1 de AZ-104 supone entre el 20 y el 25% del examen, el de más peso del temario. En EarnYourCert tienes 124 preguntas originales de este dominio, todas con explicación: 83 de opción múltiple, 22 de sí o no y 19 de completar u ordenar, como en el examen real.
Qué entra en este dominio
- 1.1Administrar usuarios y grupos de Microsoft Entra40 preguntas
- 1.2Administrar el acceso a los recursos de Azure41 preguntas
- 1.3Administrar suscripciones y gobernanza de Azure43 preguntas
Preguntas de ejemplo del dominio 1
8 preguntas de nuestro banco de 124 para este dominio. Intenta responder antes de ver la solución.
1. ¿Qué regla de pertenencia dinámica asignaría automáticamente a un usuario al grupo 'Equipo de Ventas' si su atributo de departamento es 'Sales'?
- department CONTAINS "Sales"
- group.department == "Sales"
- user.department = Sales
- user.department -eq "Sales"
Ver respuesta
Respuesta correcta: D. Las reglas de pertenencia dinámica usan una sintaxis tipo expresión con propiedades del objeto, por ejemplo user.department -eq "Sales", para incluir automáticamente a los usuarios que cumplan la condición.
2. En el portal de Microsoft Entra ID, ¿qué información se necesita como mínimo en la plantilla CSV para realizar una operación de 'creación masiva' de usuarios?
- Nombre de usuario principal (UPN), nombre para mostrar y contraseña inicial, entre otros campos requeridos por la plantilla
- Solo la dirección de correo electrónico personal del usuario, ya que los demás campos como UPN y departamento se generan automáticamente
- El identificador de objeto (Object ID) y la clave de acceso de la suscripción de Azure donde se crearán las cuentas de usuario
- El número de licencia de Microsoft 365 E3 o E5 de cada usuario, que debe especificarse manualmente en cada fila del archivo CSV
Ver respuesta
Respuesta correcta: A. La plantilla CSV de creación masiva de Microsoft Entra ID incluye columnas obligatorias como el nombre principal de usuario (UPN), el nombre para mostrar y una contraseña inicial, además de otros atributos opcionales.
3. En Azure AD Entitlement Management, ¿qué es un 'catálogo' (catalog)?
- Un contenedor de recursos y paquetes de acceso que puede ser gestionado por propietarios delegados
- Una lista consolidada de todos los usuarios invitados (B2B) activos que tienen acceso al directorio de Microsoft Entra ID
- Un informe de auditoría que recoge todos los accesos a recursos de Azure registrados en el registro de actividad de la suscripción
- Una colección agrupada de directivas de acceso condicional organizadas por área funcional o departamento de la organización
Ver respuesta
Respuesta correcta: A. En la Gestión de derechos (Entitlement Management), un catálogo es un contenedor que agrupa recursos (grupos, aplicaciones, sitios de SharePoint) y los paquetes de acceso creados a partir de ellos. Los propietarios de catálogos pueden delegar la gestión sin necesidad de ser administradores globales.
4. ¿Cuál es la finalidad de las revisiones de acceso (access reviews) en Azure AD Entitlement Management?
- Permitir revisar periódicamente si los usuarios siguen necesitando acceso a recursos y revocar accesos innecesarios
- Auditar todos los inicios de sesión de riesgo alto o medio detectados por Microsoft Entra ID Identity Protection en el tenant
- Revisar y actualizar las directivas de acceso condicional configuradas en el tenant para garantizar su conformidad con la línea base de seguridad
- Generar informes detallados de coste por usuario de los recursos de Azure consumidos durante el período de facturación
Ver respuesta
Respuesta correcta: A. Las revisiones de acceso permiten a los administradores o propietarios de recursos revisar periódicamente quién tiene acceso a qué recursos. Los usuarios cuyo acceso no se confirme pueden ser eliminados automáticamente, garantizando el principio de mínimo privilegio.
5. Azure AD Identity Protection detecta que varios usuarios tienen un nivel de riesgo de usuario 'alto'. ¿Qué directiva debes configurar para exigir que estos usuarios cambien su contraseña?
- Una directiva de riesgo de usuario (user risk policy) que exija cambio de contraseña cuando el riesgo es alto
- Una directiva de riesgo de inicio de sesión (sign-in risk policy) con acción de bloqueo completo del acceso al tenant
- Una directiva de acceso condicional que bloquee todos los inicios de sesión de todos los usuarios independientemente del nivel de riesgo
- Una revisión de acceso (access review) programada mensualmente para auditar los permisos de los usuarios con riesgo detectado
Ver respuesta
Respuesta correcta: A. La directiva de riesgo de usuario de Identity Protection evalúa la probabilidad de que una cuenta de usuario esté comprometida. Cuando el riesgo es alto, la directiva puede exigir al usuario que realice un cambio de contraseña seguro (a través de SSPR con MFA) para remediar el riesgo.
6. ¿Qué nivel de licencia de Microsoft Entra ID (Azure AD) se requiere para usar Privileged Identity Management (PIM) y las directivas de riesgo de Identity Protection?
- Microsoft Entra ID P2 (anteriormente Azure AD Premium P2)
- Microsoft Entra ID P1 (anteriormente Azure AD Premium P1)
- Microsoft Entra ID Free (incluida con cualquier suscripción de Azure)
- Microsoft 365 Business Basic
Ver respuesta
Respuesta correcta: A. Las funcionalidades avanzadas de seguridad como PIM (Privileged Identity Management), Identity Protection con directivas de riesgo de usuario y de inicio de sesión, y las revisiones de acceso (access reviews) requieren licencias Microsoft Entra ID P2. Las características más básicas como el acceso condicional básico están disponibles con P1.
7. ¿Para qué se usa el campo 'AssignableScopes' en la definición de un rol RBAC personalizado?
- Definir en qué ámbitos (suscripciones, grupos de recursos, etc.) se puede asignar el rol personalizado
- Listar los usuarios y grupos de seguridad de Microsoft Entra ID a los que se asigna el rol personalizado
- Definir los tipos de recursos de Azure sobre los que el rol personalizado otorga acceso de lectura de datos en el plano de datos
- Especificar las regiones de Azure donde el rol personalizado tiene efecto y puede usarse para asignaciones de acceso
Ver respuesta
Respuesta correcta: A. El campo 'AssignableScopes' en un rol personalizado determina los ámbitos (por ejemplo, una suscripción específica o un grupo de recursos) donde el rol puede aparecer en la lista y asignarse. Restringe la visibilidad del rol personalizado a los ámbitos deseados.
8. ¿Qué sucede con las asignaciones de roles RBAC cuando se transfiere una suscripción de Azure a un tenant de Azure AD diferente?
- Todas las asignaciones de roles RBAC se eliminan; deben recrearse manualmente en el nuevo tenant
- Las asignaciones de roles RBAC se migran automáticamente al nuevo tenant
- Solo se eliminan las asignaciones de roles de usuarios invitados (B2B); las de usuarios nativos se conservan
- Las asignaciones de roles se convierten en asignaciones de denegación temporales durante la transferencia
Ver respuesta
Respuesta correcta: A. Cuando se transfiere una suscripción a un tenant de Azure AD diferente, todas las asignaciones de roles RBAC se eliminan permanentemente, ya que los objetos de usuario y grupo del tenant anterior no existen en el nuevo. También se pierden las identidades administradas asignadas al sistema. Todos los roles deben recrearse manualmente.