¿Qué es RBAC (control de acceso basado en roles)?

Qué es

RBAC de Azure es el sistema con el que se decide quién puede hacer qué sobre cada recurso. Una asignación de rol une tres cosas: una entidad de seguridad (usuario, grupo, entidad de servicio o identidad administrada), una definición de rol (una lista de acciones permitidas, como Lector, Colaborador o Propietario) y un ámbito (grupo de administración, suscripción, grupo de recursos o recurso). Los permisos se heredan hacia abajo: un rol asignado en la suscripción aplica a todos sus grupos de recursos.

Cómo aparece en el examen

En el examen aparece como decisión de mínimo privilegio: elegir el rol integrado más restrictivo que cumpla la tarea y el ámbito más pequeño posible. Un escenario típico pide que un equipo administre máquinas virtuales sin poder cambiar la red, y la respuesta correcta es Colaborador de máquinas virtuales en el grupo de recursos, no Colaborador en la suscripción. También se pregunta por la diferencia entre RBAC de Azure (recursos) y los roles de Microsoft Entra (directorio).

Lo que más se falla

Lo que más se falla: RBAC no incluye permisos de datos salvo que el rol los tenga explícitamente (por ejemplo, Colaborador no puede leer blobs sin un rol de datos como Lector de datos de Storage Blob), las denegaciones de RBAC solo existen a través de asignaciones de denegación de Blueprints o bloqueos, y el límite de asignaciones por suscripción hace que asignar roles a grupos sea la práctica recomendada.

En qué certificaciones aparece

• AZ-104Azure AdministratorPracticar AZ-104
• SC-300Microsoft Identity and Access AdministratorPracticar SC-300
• AI-300Microsoft Certified: Machine Learning Operations Engineer AssociatePracticar AI-300

Términos relacionados

• Microsoft Entra ID
• Privileged Identity Management (PIM)
• Identidad administrada