EIDTNT-016: Higiene de las concesiones de administración delegada de partners (GDAP de larga duración)
- Plataforma
- Entra ID / M365
- Categoría
- Entra ID Tenant Configuration
- Severidad
- Medium
- Pilar de Zero Trust
- Governance (peso 2)
- Fixtures de referencia
- 5
- Cobertura de ramas
- Observada: los fixtures prueban los veredictos que ejercitan
- Procedencia
- original
Qué comprueba
La duración de una relación GDAP es su ventana de extensión automática: cuando vence, se renueva por ese periodo sin ninguna revisión humana. Por tanto, una extensión automática larga (más de un año) es una concesión permanente y autorrenovable de acceso administrativo de partner, lo opuesto al just-in-time, y es exactamente el tipo de relación olvidada que sobrevive al compromiso que la creó. Esta comprobación inspecciona las delegatedAdminRelationships activas y advierte cuando alguna relación se extiende automáticamente más allá de 365 días; una relación cuya duración no puede determinarse se trata de forma conservadora como de larga duración en lugar de asumirse correcta. Pasa solo cuando todas las relaciones activas se extienden automáticamente en un plazo de un año. Esta es una señal de higiene y gobernanza que complementa a EIDTNT-015 (que califica el privilegio que tiene el partner); aquí la preocupación es cuánto tiempo persiste la concesión sin revisar.
Valor recomendado
Todas las relaciones GDAP activas se extienden automáticamente en un plazo de 365 días y se revisan en cada renovación
Remediación
Para cada relación de administración delegada de partner (GDAP) activa, establezca la duración de extensión automática más corta que se ajuste al compromiso (evite las concesiones permanentes de varios años) y programe una revisión en cada renovación. En el centro de administración de Microsoft 365, en Configuración > Relaciones de partner, confirme que cada relación sigue siendo necesaria y finalice las obsoletas. Prefiera delegaciones cortas y renovables frente al acceso autoextensible de larga duración, de modo que la administración de partner se vuelva a autorizar de forma deliberada y no por defecto.
Veredictos probados con fixtures
Cada veredicto de esta tabla está probado por un fixture de referencia en la suite de pruebas que valida el módulo. La tabla se deriva de la última ejecución en verde; no puede editarse a mano.
| Escenario | Veredicto esperado |
|---|---|
| long-lived | WARN |
| no-partners | PASS |
| not-assessed | Not Assessed |
| short | PASS |
| unparseable-duration | WARN |
Mapeos a marcos de referencia
- NIST SP 800-53
- AC-2, AC-2(3), PS-7, SA-9
- CIS M365 Benchmark
- 1.1.3