GDAP: administración delegada segura de Microsoft 365

Delegar por tarea, cliente y duración

La administración delegada granular (GDAP) permite que un proveedor solicite roles de Microsoft Entra para administrar cargas de trabajo de un cliente con un alcance más específico y temporal. No equivale a conceder acceso permanente a todo el tenant: el cliente debe revisar la solicitud y el proveedor debe asignar las personas operadoras mediante grupos de seguridad.

Microsoft explica cómo solicitar permisos GDAP y publica una guía de roles con privilegios mínimos por tarea. Los nombres y requisitos de Partner Center pueden evolucionar; valida la documentación vigente antes de implantar automatizaciones.

Matriz de diseño

Trabajo del proveedor	Decisión que debe documentarse
Soporte de una carga	Rol mínimo que cubre esa tarea y carga concreta
Lectura o cambio de configuración	Separar consulta de operación cuando el rol lo permita
Acceso de personal	Grupo de seguridad autorizado y proceso de alta/baja
Relación con el cliente	Propietario, aprobador, duración y fecha de revisión
Solicitud urgente	Ruta alternativa aprobada y registro posterior
Fin del servicio	Revocación de asignaciones, relación y credenciales asociadas

Ciclo de vida recomendado

1. Divide el servicio en tareas técnicas; no comiences con una lista de roles amplia.
2. Consulta la matriz oficial por tarea y selecciona únicamente roles necesarios.
3. Define el nombre, duración y alcance de la relación; explica al cliente qué podrá hacer el proveedor.
4. Envía la solicitud y espera aprobación del cliente antes de tratarla como acceso operativo.
5. Tras la aprobación, asigna solo los grupos autorizados a la relación GDAP y revisa pertenencia con cada cambio de personal.
6. Registra uso, revisa expiración y renueva solo si persiste una necesidad aprobada.
7. Al terminar el contrato, retira relaciones, grupos y accesos dependientes; conserva evidencia según la política acordada.

Una relación aprobada no garantiza que cualquier persona del partner tenga acceso: la asignación de grupos y roles también importa. Separa aprobación comercial, administración de identidades y auditoría; una persona no debería aprobar su propio acceso excepcional sin controles. Integra esta revisión con el scorecard de servicios gestionados y la revisión de accesos externos en Microsoft 365.