Gobierno del consentimiento OAuth en aplicaciones de empresa

Un consentimiento puede ampliar el acceso a datos

OAuth permite que una aplicación solicite permisos para acceder a recursos protegidos. En Microsoft Entra, algunos permisos son delegados y actúan en nombre de una persona; otros son permisos de aplicación y pueden permitir acceso sin un usuario conectado. El consentimiento administrativo para toda una organización es sensible: hay que evaluar el editor, los permisos solicitados, el recurso y la necesidad real antes de aprobarlo.

Microsoft detalla la diferencia entre consentimiento de usuario y de administrador y cómo funciona el flujo de solicitudes de consentimiento. Este flujo ayuda a tramitar solicitudes; no convierte automáticamente a cada revisor en una persona autorizada para aprobar cualquier permiso.

Ficha de revisión

Registra cada aplicación y cada cambio de permisos con:

Dato	Pregunta de control
Identidad	¿Cuál es el identificador de aplicación y el tenant de origen?
Editor	¿Está verificado y coincide con el proveedor esperado?
Necesidad	¿Qué proceso empresarial requiere la integración?
Permisos	¿Son delegados o de aplicación? ¿Qué datos o acciones permiten?
Alcance	¿Afecta a una persona, un grupo, un sitio o toda la organización?
Aprobación	¿Quién evaluó y quién tiene autoridad para aprobar ese permiso?
Revisión	¿Quién es el propietario, cuándo se revisa y qué evento activa retirada?

Flujo de aprobación y retirada

1. El solicitante declara aplicación, finalidad, datos requeridos, usuarios y propietario técnico.
2. El equipo de identidad compara permisos solicitados con el caso de uso y pregunta si existe una alternativa menos privilegiada.
3. Seguridad valida editor, origen de la solicitud, riesgo de acceso a datos y capacidad de auditoría.
4. La persona con rol suficiente aprueba o rechaza; registra alcance, motivo y vencimiento de la revisión.
5. Durante la operación, revisa inicios de sesión, cambios de credenciales y uso de permisos con las herramientas disponibles.
6. Si desaparece la necesidad, el propietario confirma el impacto y el equipo autorizado revoca el consentimiento o deshabilita la entidad empresarial según el procedimiento.

No apruebes una solicitud solo porque una aplicación conocida parezca legítima: verifica el tenant, el editor y los permisos concretos. Tampoco confundas el consentimiento con una evaluación completa del proveedor. Integra este control con la revisión de accesos externos en Microsoft 365 y el playbook SOC ante una cuenta comprometida.