El flujo de trabajo de consentimiento del administrador de Entra ID permite que los usuarios que no son administradores soliciten permisos de aplicaciones a través de un proceso de aprobación estructurado. Si el flujo de trabajo no está configurado, los usuarios que intenten acceder a las aplicaciones pueden encontrar errores y no tener forma de solicitar el consentimiento.

Sin el <a href="https://learn.microsoft.com/es-es/entra/identity/enterprise-apps/configure-admin-consent-workflow#enable-the-admin-consent-workflow">flujo de trabajo de consentimiento del administrador</a>, los usuarios que no son administradores no tienen ninguna forma integrada de escalar las solicitudes de permisos para las aplicaciones. Como resultado, pueden recurrir a soluciones alternativas o, si se permite el consentimiento del usuario, otorgar permisos ellos mismos (consulte el IoE “Consentimiento de usuario sin restricciones para aplicaciones”). En ambos casos, la organización pierde visibilidad y control de la concesión de permisos, lo que debilita la exigencia de privilegios mínimos.
Los ataques de phishing con consentimiento (también conocidos como ataques de <a href="https://learn.microsoft.com/es-es/defender-office-365/detect-and-remediate-illicit-consent-grants">concesión ilícita de consentimiento</a>) engañan a los usuarios para que concedan acceso a aplicaciones malintencionadas que parecen legítimas. Sin un flujo de trabajo de aprobación, no hay ninguna capa de revisión para marcar los ámbitos de permisos sospechosos, como <a href="https://learn.microsoft.com/es-es/graph/permissions-reference#filesreadwrite">Files.ReadWrite</a> (acceso total a los archivos de los usuarios) o <a href="https://learn.microsoft.com/es-es/graph/permissions-reference#mailreadwrite">Mail.ReadWrite</a> (acceso de lectura y escritura a todos los buzones de correo). Como consecuencia, los atacantes pueden obtener acceso persistente a los datos de los usuarios, acceso que no se revoca con los cambios de contraseña ni la MFA.
Sin el flujo de trabajo de consentimiento del administrador, los administradores deben gestionar las solicitudes de permisos a través de canales ad hoc, como el correo electrónico, el chat o el contacto directo, lo que crea puntos ciegos de auditoría. No existe ningún proceso de solicitud, sistema de recordatorios ni registro automatizados de quién aprobó qué, cuándo ni por qué. Esta falta de auditoría hace que sea difícil demostrar que se hizo una revisión adecuada antes de conceder los permisos de la aplicación.
La política <a href="https://www.cisa.gov/resources-tools/services/m365-entra-id#application-registration-and-consent">MS.AAD.5.3v1</a> de CISA “M365 Secure Configuration Baseline for Microsoft Entra ID” (texto en inglés), exigida por BOD 25-01, requiere que se configure un flujo de trabajo de consentimiento del administrador para las aplicaciones. En <a href="https://learn.microsoft.com/es-es/entra/fundamentals/configure-security#admin-consent-workflow-is-enabled">Configuración de Microsoft Entra para aumentar la seguridad</a>, Microsoft también recomienda que el flujo de trabajo de consentimiento del administrador esté habilitado.

Initial Access (texto en inglés)

Phishing (texto en inglés)

Privilege Escalation (texto en inglés)

Account Manipulation: Additional Cloud Credentials (texto en inglés)

Account Manipulation: Additional Cloud Roles (texto en inglés)

Credential Access (texto en inglés)

Steal Application Access Token (texto en inglés)

Lateral Movement (texto en inglés)

Use Alternate Authentication Material: Application Access Token (texto en inglés)

Flujo de trabajo de consentimiento del administrador para aplicaciones sin configurar

Detecciones

Flujo de trabajo de consentimiento del administrador para aplicaciones sin configurar

MEDIUM

Version 202511131438