EIDTNT-006: Directivas de acceso entre inquilinos de Azure B2B

Plataforma: Entra ID / M365
Categoría: Entra ID Tenant Configuration
Severidad: High
Pilar de Zero Trust: Governance (peso 2)
Fixtures de referencia: 3
Cobertura de ramas: Observada: los fixtures prueban los veredictos que ejercitan
Procedencia: baseline

Qué comprueba

Las directivas de acceso entre inquilinos proporcionan un control granular sobre cómo se autentican los usuarios y acceden a los recursos al colaborar con inquilinos externos de Entra ID. La configuración predeterminada de acceso entre inquilinos puede permitir un acceso entrante y saliente amplio que no se alinea con los requisitos de seguridad de la organización. Las directivas de acceso entre inquilinos configuradas correctamente permiten la colaboración B2B de confianza al tiempo que impiden el acceso no autorizado desde inquilinos no confiables y controlan qué usuarios pueden acceder a recursos externos.

Valor recomendado

Directiva de acceso entre inquilinos predeterminada establecida en bloquear, con reglas de permiso explícitas únicamente para los inquilinos asociados aprobados

Remediación

Vaya a Entra ID > Identidades externas > Configuración de acceso entre inquilinos y revise la configuración predeterminada de acceso entrante y saliente. Configure la directiva predeterminada para restringir tanto el acceso entrante como el saliente y, a continuación, cree directivas específicas para los inquilinos asociados aprobados con los controles de acceso apropiados. Habilite la configuración de confianza para los inquilinos asociados a fin de aceptar sus notificaciones de MFA y el cumplimiento de dispositivos cuando corresponda, lo que reduce la fricción de autenticación en las colaboraciones de confianza.

Veredictos probados con fixtures

Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.

Escenarios de veredicto de EIDTNT-006
Escenario	Veredicto esperado
clean	PASS
known-bad	WARN
throttled	Not Assessed

Mapeos a marcos de referencia

NIST SP 800-53: AC-20
CIS M365 Benchmark: 1.3.1