Qué revisar al crear una cuenta de servicio para una integración

Comprueba qué identidad admite el conector

Distingue una identidad de aplicación, una identidad administrada y una conexión que actúa por cuenta de un usuario. Microsoft recomienda identidades administradas cuando el alojamiento y el recurso admiten ese mecanismo; no todos los conectores lo soportan. Revisa la documentación de los dos extremos antes de crear un usuario genérico. Si el conector exige acceso delegado, documenta esa limitación y decide quién mantendrá la autorización sin compartir contraseñas entre personas.

Define permisos por acción y recurso

Enumera consultas, altas, modificaciones, envíos y eliminaciones necesarias. Añade qué carpetas, buzones, proyectos o clientes puede alcanzar cada acción. El permiso de leer correo no equivale a autoridad para enviarlo, y la autorización técnica de escritura no sustituye la aprobación de negocio. Pide solo las capacidades justificadas y evita roles de administración global para resolver un error de configuración. Separa entornos de prueba y producción para que sus accesos puedan retirarse independientemente.

Asigna responsabilidad y custodia

Registra identificador de identidad, propósito, sistemas dependientes, responsable titular y sustituto. Documenta dónde se custodia la credencial, su vencimiento y cómo se renueva, sin copiar el valor secreto al inventario. Define quién recibe alertas y quién puede suspender acceso. Si una sola identidad sirve a muchos procesos, evalúa separarla: la renovación o retirada de uno no debería exigir descubrir de urgencia qué otros flujos estaban usando la misma cuenta.

Verifica autorización y denegación

Ejecuta una operación permitida en un recurso de prueba y otra que deba quedar fuera de alcance. Comprueba ambas en el destino y conserva identidad y resultado. Verifica también que consultar no permite enviar o borrar si esas funciones no están autorizadas. Ensaya renovación o recuperación con el procedimiento previsto. La cuenta está lista cuando tiene propietario, alcance probado y una retirada identificada, no simplemente cuando la primera conexión devuelve una respuesta correcta.

Fuentes y documentación

• Microsoft Learn — Registro de aplicación y entidad de servicio — Distingue identidad de aplicación y roles; identidades administradas cuando ambos extremos sean compatibles.
• Microsoft Learn — Gobierno de cuentas de servicio — Recomienda dueño, propósito y ciclo de vida; desaconseja usuarios como cuentas de servicio.