Cómo separar la cuenta de administración del trabajo diario

Inventaría lo que haces con privilegios

Anota las operaciones administrativas habituales y su frecuencia. Distingue gestión de usuarios, configuración de servicios y consulta de información. Esa lista permite decidir qué roles necesita la cuenta administrativa y detectar permisos heredados de la puesta en marcha que ya no tienen una función.

Crea un registro que relacione a la persona con ambas identidades y con su responsable de autorización. La cuenta administrativa debe ser trazable; no uses una credencial compartida entre compañeros para simplificar las guardias. La continuidad se organiza con sustitutos y un procedimiento de emergencia específico.

Prepara la separación antes de retirar roles

Configura la identidad administrativa y sus métodos de autenticación aprobados. Comprueba que puedes acceder a la herramienta necesaria y ejecutar una tarea autorizada de bajo impacto. Mantén disponible otra vía administrativa válida mientras haces la transición, para no dejar la organización bloqueada.

Después retira de la cuenta cotidiana los roles que correspondan a la nueva identidad. No asumas que quitar un rol en un portal elimina todas las autorizaciones posibles: revisa las asignaciones de los servicios que utilizas. Confirma además los requisitos de licencia de las funciones concretas si vas a utilizar controles avanzados.

Haz visible qué sesión está abierta

Microsoft recomienda reservar las cuentas ordinarias para productividad y cerrar la sesión administrativa al terminar. Usa una sesión de navegador diferenciada y comprueba la identidad antes de modificar datos. El modo privado ayuda a separar sesiones, pero no convierte un dispositivo inseguro en un equipo adecuado para administrar.

Evita abrir correo, enlaces recibidos o navegación ajena a la tarea en la sesión privilegiada. Define un entorno autorizado para administrarla y limita las sesiones persistentes. La medida funciona cuando el hábito permite reconocer un error antes de confirmar un cambio.

Comprueba ambos lados de la separación

Con la cuenta ordinaria verifica que el trabajo diario sigue disponible y que una operación administrativa fuera de su función queda denegada. Con la administrativa confirma únicamente las tareas aprobadas. Guarda el resultado y corrige las excepciones. Revisa la separación cuando cambie el puesto o el servicio gestionado; conservar una identidad distinta no justifica mantener privilegios innecesarios.

Fuentes y documentación

• Seguridad de cuentas administrativas — Cuenta ordinaria para productividad; sesión administrativa limitada a la tarea. No se adopta su instrucción antigua de exención MFA para emergencias.
• Roles administrativos de Microsoft 365 — Usar permisos mínimos y consultar el detalle de cada rol.