Los ingenieros de soporte técnico ocasionalmente necesitan derechos de administrador local en los hosts de sesión de Azure Virtual Desktop para solucionar problemas. Debe cumplir estos requisitos: proporcionar elevación de privilegios justo a tiempo y con límite de tiempo para los ingenieros de soporte técnico, y asegurarse de que la cuenta de administrador local integrada de cada host de sesión tenga una contraseña única, rotada automáticamente y respaldada en Microsoft Entra ID. ¿Qué dos acciones debe implementar? Cada respuesta correcta presenta parte de la solución.

La primera acción correcta, configurar Windows LAPS en Intune con copia de seguridad en Microsoft Entra ID y rotación periódica, aborda el requisito de contraseñas únicas, rotadas automáticamente y respaldadas para la cuenta de administrador local integrada. Windows LAPS (Local Administrator Password Solution) está diseñado específicamente para gestionar de forma segura las contraseñas de las cuentas de administrador local. La segunda acción correcta, usar Microsoft Entra Privileged Identity Management (PIM) con un grupo de seguridad agregado a través de una política de Intune, cumple el requisito de elevación de privilegios justo a tiempo (JIT) y con límite de tiempo. PIM permite a los ingenieros solicitar acceso temporal y elevado, mientras que la política de Intune asegura que el grupo de seguridad se agregue al grupo de administradores locales de los hosts de sesión. Las opciones incorrectas no cumplen los requisitos. Asignar el rol de inicio de sesión de administrador de máquina virtual de forma permanente no proporciona elevación JIT. Agregar el grupo de soporte técnico al grupo de administradores locales en la imagen maestra no ofrece elevación JIT ni contraseñas únicas y rotadas. Habilitar el acceso JIT a la VM en Microsoft Defender for Cloud es para el acceso a la máquina virtual en sí, no para la elevación de privilegios dentro del sistema operativo del host de sesión.