Permisos
Descripción general
Esta página describe los permisos y el modelo de acceso para este agente. El agente utiliza acceso de solo lectura a Microsoft Intune y Microsoft Entra ID a través de la Complementos de Microsoft Graph API y Security Copilot. Está diseñado para analizar la configuración, las asignaciones de dispositivos y el cumplimiento de las directivas sin realizar ningún cambio en su entorno.
Cómo funciona
El agente se conecta de forma segura a su tenant mediante puntos de conexión de Microsoft Graph API para recuperar datos de Intune y Entra ID. Procesa esta información para evaluar el estado de la configuración, la cobertura de asignaciones y la alineación del cumplimiento.
Todas las interacciones siguen estos principios:
Acceso de solo lectura: El agente no puede modificar, crear ni eliminar configuraciones.
Privilegio mínimo: Solo se utilizan los permisos mínimos necesarios para leer datos de Intune y Entra ID.
Transparencia: Todo el acceso a los datos se realiza a través de puntos de conexión documentados de Graph API y puede auditarse en Microsoft Entra.
Roles de Microsoft Entra ID requeridos
Asigne los siguientes roles a la cuenta de administrador que instala y ejecuta el agente:
Intune Reader
Proporciona acceso de solo lectura a la configuración, el cumplimiento y los datos de dispositivos de Intune.
Directory Reader
Concede acceso de solo lectura a los usuarios, grupos e información del directorio de Entra ID.
Lector de seguridad
Permite la visibilidad de los conocimientos y los informes de seguridad sin derechos de modificación.
Estos roles siguen el principio de privilegio mínimo. Ajústelos según las políticas de seguridad y gobierno de su organización.
Transparencia en el acceso a los datos
La siguiente tabla describe a qué datos puede acceder el agente y con qué propósito.
Perfiles y directivas de configuración de Intune
Solo lectura
Para analizar configuraciones de implementación, ajustes de cumplimiento y el estado de las directivas.
Asignaciones de dispositivos y usuarios
Solo lectura
Para generar información sobre la orientación, el cumplimiento y la cobertura de la configuración.
Datos del directorio de Entra ID
Solo lectura
Para correlacionar usuarios, grupos y relaciones de dispositivos para la generación de informes.
Información y alertas de seguridad
Solo lectura
Para mejorar la visibilidad de posibles errores de configuración o riesgos de cumplimiento.
Manejo de datos:
El agente no modifica ni exporta datos de clientes fuera del límite del tenant.
Todo el acceso a los datos está limitado a Microsoft Graph API mediante permisos delegados o de aplicación.
Toda la actividad de acceso se registra en registros de auditoría de Microsoft Entra para garantizar la trazabilidad y el cumplimiento.
Configuración del agente
El agente admite parámetros configurables para ajustar el alcance y la profundidad del análisis.
Scope
dispositivos, directivas, asignaciones
Determina qué áreas de Intune se incluyen en el análisis.
Modo
rápido, estándar, profundo
Define la profundidad del análisis y las compensaciones de rendimiento.
• rápido — Resumen básico de las configuraciones.
• estándar — Análisis equilibrado con la mayoría de las métricas (recomendado).
• profundo — Inspección detallada con informes ampliados y comprobaciones cruzadas.
Asegúrese de que todos los roles requeridos estén asignados a la cuenta de administrador antes de ejecutar el agente.
Consideraciones de seguridad y cumplimiento
Toda la comunicación con Microsoft Graph está cifrada mediante HTTPS y protegida por los servicios de identidad de Microsoft.
El agente se adhiere a los principios de Microsoft de confianza cero y privilegio mínimo .
El acceso puede revisarse o revocarse en cualquier momento a través de asignaciones de roles de Entra ID o administración del consentimiento de aplicaciones.
Próximos pasos
Verifique que la cuenta de administrador tenga asignados todos los roles requeridos.
Revise las políticas de privilegio mínimo y asignación de roles de su organización.
Última actualización
¿Te fue útil?