Undercpd

Device configuration profile policy appx package

noreply@blogger.com (Miguel H.) — Mon, 02 Feb 2026 13:56:00 +0000

Surprisingly, the Bing News application installed on Windows 11 is a way to bypass the internet browsing restrictions on a device with blocking and whitelist policies applied in Intune.

To address this, I wanted to apply the new “Device configuration profile” added in Intune to uninstall default built-in (APPX) applications. However, to my surprise, I found that this policy only applies during a device wipe, fresh start, etc. It does not remove applications once the device is already installed and in use.

To achieve this, I created a remediation script that uninstalls native APPX applications once they are detected.

1. Command that give us the name of the current appx apps in the computer:

Get-AppxPackage -AllUsers | Format-List -Property Name

* -Allusers requires local admin rights.

2. Array with the name of the apps to remove:

Example:

$PackagesToUninstall = @(

"Microsoft.BingNews"
"Microsoft.BingSearch"

)

3. Detection Script:

$PackagesToUninstall  = @(
     "Microsoft.BingNews"
     "Microsoft.BingSearch"
    
)

$InstalledPackages = Get-AppxPackage -AllUsers | Where {($PackagesToUninstall -contains $_.Name)}

if ($InstalledPackages = $null){

    Exit 0

}else{

    Exit 1603

}

4. Remediation Script:

$PackagesToUninstall= @(
    "Microsoft.BingNews"
    "Microsoft.BingSearch"
    
)

$InstalledPackages = Get-AppxPackage -AllUsers | Where {($PackagesToUninstall -contains $_.Name)}

$ProvisionedPackages = Get-AppxProvisionedPackage -Online | Where {($PackagesToUninstall -contains $_.DisplayName)}

ForEach ($PPackage in $ProvisionedPackages) {

    Write-Host -Object "Removing the provisioned package: [$($PPackage.DisplayName)]..."

    Try {
        $Null = Remove-AppxProvisionedPackage -PackageName $PPackage.PackageName -Online -ErrorAction Stop
        Write-Host -Object "Successfully packaged removed: [$($PPackage.DisplayName)]"
    }
    Catch {Write-Warning -Message "Failed the package: [$($PPackage.DisplayName)]"}
}

ForEach ($AppPackage in $InstalledPackages) {
                                            
    Write-Host -Object "Removing Appx package: [$($AppPackage.Name)]..."

    Try {
        $Null = Remove-AppPackage -Package $AppPackage.PackageFullName -AllUsers -ErrorAction Stop
        Write-Host -Object "Successfully Appx package removed: [$($AppPackage.Name)]"
    }
    Catch {Write-Warning -Message "Failed the Appx package: [$($AppPackage.Name)]"}
}

"this setup requires the .NET Framework version 2.0" Intasll .NET Framework on Windows 11

noreply@blogger.com (Miguel H.) — Tue, 23 Sep 2025 13:35:00 +0000

Open a CMD with Admin rights
Run the following command:

DISM /Online /Enable-Feature /FeatureName:NetFx3 /All /LimitAccess /Source:C:sourcessxs

Add entries to a hosts file by powershell

noreply@blogger.com (Miguel H.) — Mon, 16 Jun 2025 10:50:00 +0000

The follow script tests and adds is it's needed a line to a local host files:

If ((Get-Content "$($env:windir)\system32\Drivers\etc\hosts" ) -notcontains "10.0.0.20 entry.domain.local")

{ac -Encoding UTF8 "$($env:windir)\system32\Drivers\etc\hosts" "10.0.0.20 entry.domain.local") }

Oneidentity Active Roles - Mover usuarios a localización correcta

noreply@blogger.com (Miguel H.) — Thu, 23 Nov 2023 08:50:00 +0000

Hola,

Tras reducir al máximo y optimizar un workflow a través del cual, movemos usuarios a la OU correcta, partiendo de diferentes attributos, he dejado un proceso realmente limpio.

Los usuarios cuentan con información en los atributos siguientes:

PhysicalDeliveryOfficeName -lo que es lo mismo que el campo Oficina en la creación de usuarios en AD-
Utilizamos el atributo ExtensionAttribute1 para normalizar la familia del puesto de trabajo.

En próxima entrada os enseñaré como realizar el segundo puesto, ya que utilizo un archivo puente para asociar un buen número de empleos en una OU por ejemplo llamada Cocina u otra por ejemplo llamada Dirección.

Vale la pena indicar, que la creación de usuarios es automática mediante Active Roles Sync, proveniendo estos de una consulta SQL sobre la BD del software de recursos humanos, lo que nos lleva a crear, modificar y borrar usuarios usuarios diariamente tras detectar estos procesos en la BD.

Descripción

1. Primeramente, en este cliente hemos creado una estructura de localizaciones, cada una de ellas tiene una OU que coincide literalmente con el nombre del campo Oficina que tiene el usuario.

OU="Oficina de Alicante" - Usuario/atributo PhysicaldeliveryOfficeName/Oficina de Alicante

2. Seguidamente, los usuarios tienen en su atributo extensionattribute1, la familia del trabajo que desempeñan.

OU="Cocina" - Usuario/atributo ExtensionAttribute1/Cocina

3. Lo anteriormente explicado, nos permite saber que el usuario debe ir a

OU=extensionattribute1,OU=PhysicaldeliveryofficeName,OU=Centros,OU=Usuarios,CN=dominio,CN=local

Ingenioso, ¿cierto?.

4. Lo siguiente es crear un Workflow, que se dispare, nada más se crea un usuario, o se le cambia uno de estas dos atributos, para recolocar al usuario.

El Workflow tendrá un simple paso del tipo Move Object y en Destination Container, haremos la regla que veis en a captura, la cual generará un texto en la función rellenando los campos variables con el contenido del usuario.

Extraer Chats y contenido de Teams en auditoría.

noreply@blogger.com (Miguel H.) — Fri, 31 Mar 2023 07:29:00 +0000

Hola,

Para extraer el contenido de chats de Teams de usuarios, tenéis que realizar los siguientes pasos:

1. Portal.office.com / Compliance / Búsqueda de contenido.

2. Crear nueva búsqueda

3. Activar Buzones de Exchange (Chat de Teams se almacena en el buzón de Exchange).

4. Usar la query: kind:im AND kind:microsoftteams y a ser posible reducir la búsqueda con condición de fecha.

Descargar el resultado.

Azure AD Connect Health - Monitorizar Windows Active Directory

noreply@blogger.com (Miguel H.) — Fri, 03 Mar 2023 13:41:00 +0000

Hola,

Azure AD Connect health, es un servicio ofrecido en Azure que monitoriza tres escenarios y servicios diferentes.

Los servicios que podemos monitorizar con Azure Ad Connect Health, son;

Sync services: Esto es la sincronización que nos proporciona AdConnect como servicio MIM entre Active Directory Domain Services (ADDS, no confundir con Azure Active Directory Domain Services AADDS) y Azure AD.
AD FS Services: Este agente es el ideal para monitorizar el servicio ADFS, si cuentas con él en tu organización.
AD DS Services: Este agente monitorizará nuestro Windows Active Directory Clásico y es el que veremos hoy como poner en marcha.

En esta entrada, os hablaré de la monitorización desde Azure AD Connect Health ADDS.

Requisitos

Instalar un agente, requiere una licencia Azure AD P1 o superior

Instalar un segundo agente, requiere 25 licencias Azure AD P1 o superior (en total 26).
Resto de agentes, requieren 25 licencias Azure AD P1 o superior, cada uno de ellos.

Cuenta Azure AD con role de administrador de identidad

La cuenta es desechable una vez se haya instalado el agente.

Cuenta con privilegios de administrador en la máquina en la que se ha va a instalar el agente
Equipos con agente, requieren salida a internet.

La versión última, lanzada de agente solo requiere puerto 443. Ya no se requiere el puerto 5671 como aparece en la documentación.
Salida de internet a estas URls:

login.microsoftonline.com
secure.aadcdn.microsoftonline-p.com
login.windows.net
aadcdn.msftauth.net

Powershell 5.0 o superior.
Inspección TLS con inspección deshabilitada en la salida a internet.
Servidor Windows Server excepto Windows Server Core.

Actualización y mantenimiento

En cuanto al mantenimiento. El agente se auto actualizará, con cada versión.

Instalación

Instalación desatendida, la podéis ver en el siguiente link

Configuración de salida a través de Proxy, la podéis ver en el siguiente Link

Proceso de instalación manual

1. El agente lo podéis descargar desde vuestro tenant y este link

2. Una vez tengáis este agente descargado y copiado en el servidor donde lo vais a instalar, el proceso de instalación es el siguiente:

Llegado este punto, tendréis que validaros en Azure AD con la cuenta creada con privilegios indicados en los requisitos.

Monitorización de resultado en consola

Comprobación de funcionamiento

Comando de powershell: Test-AzureADConnectHealthConnectivity -Role ADDS

Saludos

Common problems publishing an app with Verified publisher

noreply@blogger.com (Miguel H.) — Wed, 01 Mar 2023 20:00:00 +0000

As Microsoft explain here.

Publisher verification gives app users and organization admins information about the authenticity of the developer's organization, who publishes an app that integrates with the Microsoft identity platform.

When an app has a verified publisher, this means that the organization that publishes the app has been verified as authentic by Microsoft. Verifying an app includes using a Microsoft Cloud Partner Program (MCPP), formerly known as Microsoft Partner Network (MPN), account that's been verified and associating the verified PartnerID with an app registration.

Keep in mind that the verified publisher is always a business who is part of the Microsoft Partner ecosystem and also, behind the MPN partnering there is, at least, an Azure tenant.

My post of today collects and explains you how to solve every problem that can appear during the process of getting the blue verified badge indicating the trusted publisher of the app.

This is the representation of the steps you have to keep for getting the registration made successfully. The known problems (in red) are explained below in this article:

Some obstacles that I usually find are so common in the scenario:

1. Lot of times you are publishing an app from different tenant that is associated to the MPN, may be from a tenant of your developers.

2. The above situation leads us to deduce that the domain filled in the MPN partnering as an email contact of your business, is not added in the secondary tenant too. Because a domain is only able to be added in one tenant as a custom domain. therefore. the domain .onmicrosoft.com cannot be used in this process and this domain cannot be the domain of the user who makes the registration (Problem in the steps 2 & 4).

3. Sending an invitation as guest is some times complicated, because the identity that you want to invite, doesn't has a mailbox and the invitation is sent as email.

The ways to get over the difficulties shown above are:

1. You decide don't make the registration from the main tenant, it needs you to add this second tenant in the MPN Center.

2. You have to verify the domain used in the mail contact filled in MPN Partner Center- organization profile - Legal Info using a microsoft-identity-association.json

And the user who makes the registration needs to be a user with a custom domain, in the login name. So you have to add a custom domain in your tenant previously.

Example.: user@contosoapp.onmicrosoft.com is not allowed.

It fix this problem:

The target application's Publisher Domain (publisherDomain) either doesn't match the domain used to perform email verification in Partner Center (pcDomain) or has not been verified. Ensure these domains match and have been verified then try again.

3. After the invitation to a guest has been sent, you are able to get the link that has to be accepted, going to the guest object, and clicking on the Resend Invitation.

For more information: Troubleshoot publisher verification - Microsoft Entra | Microsoft Learn

I hope it helps you.

Planificación y características avanzadas Azure AD APP Proxy

noreply@blogger.com (Miguel H.) — Mon, 27 Feb 2023 14:28:00 +0000

Hola,

A través de este artículo, voy a recopilar toda la información importante a tener en cuenta sobre el conector y escenario a construir con Azure AD Application Proxy.

Planificación e instalación

Requisito en cuanto a licenciamiento Azure AD P1
Requisito de entorno entorno AD sincronizado a través de AD Connect.
Windows Server 2012 R2 o superior
En cuanto a requisito de capacidades en el sevidor, tenéis aquí el capacity planner:

https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-connectors#capacity-planning

El conector, se puede instalar en un servidor en Workgroup. No obstante, si queremos tener Single Sign On, tenemos que tener el equipo en dominio con el fin de poder hacer Kerberos Constrained Delegation.
Comando para desplegar el conector de forma silenciosa: AADApplicationProxyConnectorInstaller.exe REGISTERCONNECTOR="false" /q

Comando para registrar el conector de forma silenciosa:
$User = "<username>"
$PlainPassword = '<password>'
$SecurePassword = $PlainPassword | ConvertTo-SecureString -AsPlainText -Force
$cred = New-Object –TypeName System.Management.Automation.PSCredential –ArgumentList $User, $SecurePassword
.\RegisterConnector.ps1 -modulePath "C:\Program Files\Microsoft AAD App Proxy Connector\Modules\" -moduleName "AppProxyPSModule" -Authenticationmode Credentials -Usercredentials $cred -Feature ApplicationProxy

El servidor puede estar en un dominio que tenga relación de confianza con otro e incluso con solo acceso a un Read Only Domain Controller.
Es importante instalar Azure AD APP proxy procurando una muy buena comunicación con las aplicaciones internas que publicará (Network topology considerations for Azure Active Directory Application Proxy - Microsoft Entra | Microsoft Learn)

Además puedes tener un número ilimitado de Azure AD App proxy conectors que puedes organizar en grupos y estos estar ubicados en diferentes redes (buenas prácticas)

Publish apps on separate networks via connector groups - Azure Active Directory - Microsoft Entra | Microsoft Learn

No instales Azure AD App proxy en el mismo servidor que hayas instalado Azure AD Password Protection
Las identidades que vayan a validarse localmente y las que vayan a validarse en cloud, han de estar sincronizadas vía AD Connect.
En Windows Server 2019, tras la instalación de Azure APP proxy has de lanzar estos comandos:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp] "EnableDefaultHTTP2"=dword:00000000
Set-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\WinHttp\' -Name EnableDefaultHTTP2 -Value 0

TLS 1.2 ha de estar habilitado en el servidor, previamente a la instalación de Azure AD Application proxy:

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Client] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols\TLS 1.2\Server] "DisabledByDefault"=dword:00000000 "Enabled"=dword:00000001
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\.NETFramework\v4.0.30319] "SchUseStrongCrypto"=dword:00000001
reiniciar el servidor.

Azure AD App Proxy connector, necesita conectividad a internet:

Puertos 80 y 443.
URLS a los que ha de poder acceder:

Opción 1: Lista de URLS: https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-add-on-premises-application#allow-access-to-urls
Opción 2 generalista: Podrías abrir un poco el foco permitiendo acceso a urls: *msapproxy.net y *.servicebus.windows.net.
Si tienes un proxy, revisa la documentación de plataformado de proxies para Azure ADD application proxy: Work with existing on-premises proxy servers and Azure Active Directory - Microsoft Entra | Microsoft Learn

El DNS de la empresa ha de poder resolver nombres de las URLS aparecidas en opción generalista

Instala más de un Azure AD App Proxy en tu entorno para proveer al sistema de HA y englóbalos en un grupo. Publish apps on separate networks via connector groups - Azure Active Directory - Microsoft Entra | Microsoft Learn

Trata de publicar cada Azure AD App Proxy Connector detrás de una salida a internet distinta para evitar un punto de fallo
Cada conector está limitado a 200 salidas concurrentes

Evita en los firewalls inspección de tráfico TLS en las salida de los servidores con el conector instalado.
Si vas a querer publicar la aplicación con un dominio propio, aplicando así una capa de validación Azure AD, has de tener en cuenta lo que MSFT indica en este artículo: Custom domains in Azure Active Directory Application Proxy - Microsoft Entra | Microsoft Learn
En un entorno multi forest y multi dominio, hay que instalar un Azure AD App Proxy connector en cada bosque.
Puedes apuntar un connector a una web balanceada con un balanceador Layer 4 y si la web no requiere validación, puedes incluso no contar con persistencia en el balanceo. Incluso podéis usar Round Robin.
Puedes recopilar todo el log en "Analytics" Collect Windows event log data sources with Log Analytics agent in Azure Monitor - Azure Monitor | Microsoft Learn

por defecto, tienes los logs en Azure AD Sign in and Login Logs.

En un escenario global, podrías añadir un Azure Traffic manager a dos conectores en dos sedes distantes. Add your own Traffic Manager to Application Proxy - Microsoft Entra | Microsoft Learn

En linea con lo anterior, también podemos utilizar Azure Front Door para cachear contenido.

Using Azure Front Door to provide geo-acceleration - Microsoft Entra | Microsoft Learn

En línea también con la hibridación con servicios Azure, podemos publicar nuestra app a través de Azure Waf:

Mantenimiento y Remediación

Ante una situación donde el conector, esté sin internet un tiempo, puede pasar que aparezca un error por certificado caducado, en este caso podrás reinstalar el conector o lanzar los siguientes comandos:

Import-module AppProxyPSModule
Register-AppProxyConnector -EnvironmentName "AzureCloud"

Has de garantizar que el servicio Azure AAD Application proxy connector Updater está iniciado para garantizar siempre la última versión del producto.

Aquí tienes la relación de versiones: https://learn.microsoft.com/en-us/azure/active-directory/app-proxy/application-proxy-faq#why-is-my-connector-still-using-an-older-version-and-not-auto-upgraded-to-latest-version-

Aquí tenéis el directorio de posibles errores y soluciones a problemas conocidos: Troubleshoot Azure Active Directory Application Proxy - Microsoft Entra | Microsoft Learn
Es posible mover las aplicaciones publicadas por un conector a otro. Tenéis el Powershell para realizar esta acción aquí: PowerShell sample - Move Azure Active Directory Application Proxy apps to another group - Microsoft Entra | Microsoft Learn

En próximas entradas, hablaremos sobre la validación SSO.

Publicación de url interna a tavés de Azure AD Application Proxy

noreply@blogger.com (Miguel H.) — Mon, 20 Feb 2023 11:43:00 +0000

Hola,

De forma muy básica, pero muy efectiva, os voy a enseñar como publicar una web no SSL (http://) que podríamos llamar Antigua y que en este caso además, no cuenta ni con validación de usuario, a través de Azure Ad Application proxy, publicando esta web en el portal de Myapps e incluso con una URL directa, que nos pedirá validación de usuarios Azure AD previo a mostrar la página.

La página en cuestión es esta:

Para publicar esta web, en primer lugar, nos descargaremos el software de Azure AD App Proxy y lo instalaremos en un servidor con acceso a internet, que nos valdrá de Proxy inverso. De hecho es aconsejable instalar el complemento en dos servidores para dotar al servicio de publicación de alta disponibilidad.

Como curiosidad, destacar algo evidente en cuanto a seguridad. El servidor con el complemento Azure AD APP proxy, no tiene que tener puerto alguno abierto. El servidor con la web, tampoco ha de tener ningún puerto abierto desde internet.

Instalación de complemento:

Tras instalar el paquete y tener ya nuestro servidor APP Proxy. Nos queda dar de alta la aplicación, generando un nombre público e indicando a Azure AD, la url interna de la web:

Comprobaremos que la web está creada como APP registrada y la podemos ver también en Aplicaciones empresariales de Azure AD:

Nos quedará ahora, solamente asociar a los usuarios que pueden tener acceso a ella:

Y ahora solo nos queda visitar la URL Pública:

y aquí podéis ver, como no tengo publicado el puerto 443 ni 80, del servidor que tiene la Web:

Control de la sesión de escritorio y aplicaciones Saas

noreply@blogger.com (Miguel H.) — Fri, 17 Feb 2023 18:33:00 +0000

Hola,

Reconozco que este post iba a ser una simple entrada sobre una funcionalidad que hoy he explicado a un cliente pero finalmente, como me está pasando en todo últimamente, termina siendo una explicación de una evolución bastante sorprendente y a mi juicio, interesante.

El tema que voy a tratar, ha surgido a raíz de una auditoría realizada sobre sistemas, donde por supuesto, hemos tratado los cierres de sesión y salvapantallas y aunque sobre este tema, poco os tengo que decir ya a estas alturas, hay ciertas novedades y evolución que me he decidido a exponer.

Evolución del bloqueo de escritorio

La evolución que ha surgido hoy en la conversación, ha sido a raíz del bloqueo de sesión por distancia del móvil enlazado por Bluethoot. Sí, efectivamente, tu sistema operativo Windows soporta esto.

Y aunque es muy probable que solo encuentres las opciones habituales en la gpo, es probable que hayas deducido que actualizando los ADMX de tus controladores de dominio, si estos son antiguos, y añadiendo los archivos que te harán ver las GPOs para Windows 10, podrás activar y forzar esta opción, aunque es muy pobable, que si ya tienes tu móvil enlazado con tu equipo, estés actualmente bloqueando tu equipo al separarte de él, llevando el móvil en tu bolsillo.

Download Administrative Templates (.admx) for Windows 11 2022 Update (22H2) from Official Microsoft Download Center

Sesión en navegación de aplicaciones Asociadas a AD

Por otro lado, desde la aparición y proliferación de aplicaciones Saas que se presentan a través de navegador web y ya sabiendo a estas alturas de la nueva vida tecnológica, que lo suyo es centralizar el inicio de sesión de aplicaciones multi cloud en nuestro Azure AD, tenemos que tener en cuenta también el cierre de sesión en estas aplicaciones.

Para tener esto bien controlado, tenéis dos opciones dentro de Azure AD.

1. Por un lado y por defecto, estamos ofreciendo a los usuarios, mantener la sesión iniciada en el navegador y el equipo donde estamos realizando en ese momento el Login.

Esta opción la tenéis marcada en Yes, por defecto en la ruta : Azure AD \ Users Settings \ Show keep user Signed In

2. En cuanto a la sesión abierta, a mi me gusta añadir al dominio la validación kerberos en aplicaciones web ligadas a Azure AD, para equipos en escenario hybrid, que podéis ver aquí: https://learn.microsoft.com/en-us/windows-365/enterprise/identity-authentication#single-sign-on-sso

3. Por otro lado, también podéis tener single sign on con la identidad validada en web, en aplicaciones on premise publicadas con Azure AD Application Proxy: Inicio de sesión único (SSO) basado en Kerberos en Azure Active Directory con Application Proxy - Microsoft Entra | Microsoft Learn

4. Y en lo relativo al cierre de sesión y validación durante ella, os pongo a continuación un organigrama que explica el proceso de validación de usuarios.

Configure authentication session management - Azure Active Directory - Microsoft Entra | Microsoft Learn

5. Cierre de sesión

- El cierre de sesión, lo podemos controlar vía Acceso condicional, pudiendo condicionar el cierre en todas o aplicaciones seleccionadas, tras un tiempo, según la ubicación, tipo de dispositivo y/o escenario de riesgo del usuario.

https://learn.microsoft.com/en-us/azure/active-directory/conditional-access/howto-conditional-access-session-lifetime#policy-1-sign-in-frequency-control

Github - Guías de aplicación de ZeroTrust

noreply@blogger.com (Miguel H.) — Mon, 06 Feb 2023 12:15:00 +0000

Hola,

En el siguiente contenedor de Github, estoy almacenado la información que ando generando relativa a apliación de ZeroTrust en diferentes campos.

hyperher/MSFT-Zerotrusts-GuiasXlsx-SP (github.com)

Guía de aplicación de iniciativa ZeroTrust para dispositivos unidos a Azure AD

noreply@blogger.com (Miguel H.) — Mon, 06 Feb 2023 12:13:00 +0000

Hola,

En esta ocasión, os hago pública la guía de cumplimiento ZeroTrust para dispositivos, en entornos que cuenten con Azure AD.

ZeroTrustDispositivos

Azure AD - Zero Trust Identidad

noreply@blogger.com (Miguel H.) — Wed, 01 Feb 2023 07:48:00 +0000

Hola,

Siguiendo en la línea de tratar de resumir desde diferentes fuentes y convertir, la aplicación de diferentes escenarios Zero Trust en la consecución de hitos concretos, os enlazo la plantilla relacionada con el plataformado seguro de la identidad en directorios Microsoft.

A través de esta guía, conseguirás:

Asegurar que quien se valida es quien dice ser
Trabajar con mínimos privilegios
Disponer de los privilegios solo cuando son necesarios
Alertar acceso no habitual para la identidad en cuestión

ZerotrustidentidadAzureAD

Azure Ad - Zero Trust integración aplicaciones

noreply@blogger.com (Miguel H.) — Mon, 30 Jan 2023 11:53:00 +0000

Hola,

Tras cierta investigación y recopilación, he creado una tabla donde he detallado los aspectos a tener en cuenta a la hora de garantizar un escenario Zero Trust, en lo relativo a la integración de aplicaciones, tanto Saas como desarrolladas por nosotros, bien sea con usuarios empresariales o público general.

LINK

How to change Password in a VM DC in Azure

noreply@blogger.com (Miguel H.) — Fri, 27 Jan 2023 16:09:00 +0000

Hello,

As you know, in Azure VMs there is an specific option to change the password of the local administrator account. However this option doesn't change the Password of the domain administrator account if this VM is a Domain controller, and as you know as well, there isn't local administrator account in a Domain controller.

Reset password option

So, how am I able to fix? Easy answer, you have to launch a powershell Script that change this password.

Go to -- VM -- Operations -- Run command -- RunPowershellScript

$user="adminaccountnmame"

$NewPass="NewPassword"

Set-ADAccountPassword -Identity $user -Reset -NewPassword (ConvertTo-SecureString -AsPlainText "$NewPassword" -Force)

Regards

Workbooks - Aprovechar el trabajo de la comunidad.

noreply@blogger.com (Miguel H.) — Sun, 22 Jan 2023 08:00:00 +0000

Hola,

En el día de a día en nuestro sector, gran parte del tiempo se lo lleva rendir cuentas, monitorizar y saber qué está pasando en nuestros sistemas, y esto, en el cloud, se traduce en tareas como, inventariado, búsqueda de recursos huérfanos, etc.

Para todo eso, tenemos Azure Workbooks y es muy fácil compartir el trabajo con la comunidad, generando plantillas que nos permitan reproducir aquellas Queries, Alerts y Dashboards que nos gusta y necesitamos en el día a día.

Ejemplos simples de consultas de mapas:

where type =~ 'microsoft.storage/storageaccounts'

| summarize count() by location

A la hora de tomar ejemplo de un workbook, vamos a usar uno que nos ayuda, mostrando los recursos huérfanos de nuestras suscripciones.

La matería prima con la que tenemos que contar es:

- Suscripción de Azure con suficientes recursos

-El Json que utilizaremos e importaremos

Pasos a seguir:

1. Iremos a Azure Workbooks

2. Elegir "Empty" workbook

3. Hacer click sobre Advanced Editor

4. allí tenéis que ir a Gallery Templates. Eliminar lo que allí aparece y pegar el contenido del Json.

https://raw.githubusercontent.com/dolevshor/azure-orphan-resources/main/Workbook/Orphan Resources.workbook

5. Click en Apply

6. Click en Done Editing

7. Aquí tenemos el workbook con objetos huérfanos en mis suscripciones

Os dejo una lista de workbooks más que interesantes:

Application-Insights-Workbooks/Workbooks at master · microsoft/Application-Insights-Workbooks · GitHub

Saludos

Hybrid features between Azure and On premises services

noreply@blogger.com (Miguel H.) — Thu, 12 Jan 2023 18:10:00 +0000

Hello,

I know you agree if I say that AD Connect is the most popular software in terms of hybridization a Msft service, but Microsoft has so many components to ensure an interaction between on premises and cloud capabilities.

In this article I tried to collect a large list of them, but please do not hesitate to leave a comment if you thing that there should be any more to add.

My idea in this post is to offer you alternatives to an old and always first idea that is to create a VPN to encapsulate all traffic. Realize that some of this features as Backup Sever, AdConnect or Disaster discovery never use VPN but others as Azure data Gateway are competing with the VPN classic scenario.

Other idea in this post is to help you to extend the functionality of some cloud services like Banned password words or Azure Bastion to on premises because Microsoft will never includes this capabilities in the classic format.

This article only includes native Microsoft features and doesn't talk third party solution as Azure Data Services – Storage & Solutions | NetApp

Identity

ADConnect

What is Azure AD Connect and Connect Health. - Microsoft Entra | Microsoft Learn

Azure AD Connect: Topologías admitidas - Microsoft Entra | Microsoft Learn

ADConnect cloud sync

What is Azure AD Connect cloud sync? - Microsoft Entra | Microsoft Learn

ADFS

Servicios de federación de Active Directory en Azure | Microsoft Learn

MIM (being depecrated)

Microsoft Identity Manager | Microsoft Learn

Configure Banned password words list in Azure AD + Active Directory

Configure custom Azure Active Directory password protection lists - Microsoft Entra | Microsoft Learn

Deploy on-premises Azure AD Password Protection - Microsoft Entra | Microsoft Learn

NPS MFA Extension

Use Azure AD Multi-Factor Authentication with NPS - Azure Active Directory - Microsoft Entra | Microsoft Learn

Apps

Azure AD Application Proxy

Remote access to on-premises apps - Azure AD Application Proxy - Microsoft Entra | Microsoft Learn

Azure App hybrid connection

Hybrid connections - Azure App Service | Microsoft Learn

Azure Relay Hybrid Connections protocol guide - Azure Relay | Microsoft Learn

How to download Hybrid Connection Manager Client? - Microsoft Q&A

Files

Azure Files & Azure File Sync

Azure file shares in a hybrid environment - Azure Architecture Center | Microsoft Learn

Clustering

Cloud Witness

Deploy a cloud witness for a Failover Cluster | Microsoft Learn

Database

SQL data gateway

On-premises data gateways documentation | Microsoft Learn

Tutorial: Connect to on-premises data in SQL Server - Power BI | Microsoft Learn

Backup & Site Recovery

Azure backup and Archiving

Back up on-premises applications and data to the cloud - Azure Archtitecture Center | Microsoft Learn

Archive on-premises data to the cloud - Azure Architecture Center | Microsoft Learn

Use Azure Backup Server to back up workloads - Azure Backup | Microsoft Learn

Site Recovery and replication

Overview of Recovery Services vaults - Azure Backup | Microsoft Learn

About Azure Site Recovery - Azure Site Recovery | Microsoft Learn

Security

Defender for servers

Plan a Defender for Servers deployment to protect on-premises and multicloud servers | Microsoft Learn

DLP - Data loss prevention on-premises scanner

Learn about data loss prevention on-premises scanner - Microsoft Purview (compliance) | Microsoft Learn

Hybrid Storage Performance

Hybrid storage performance comes to Azure | Azure-blog en -updates | Microsoft Azure

Connectivity

Express Route

Configure ExpressRoute and S2S VPN coexisting connections: Azure PowerShell | Microsoft Learn

VPN

About Azure VPN Gateway | Microsoft Learn

Azure Bastion to on premises (over IP)

General availability: Azure Bastion IP based connection | Azure updates | Microsoft Azure

Connect to your on-prem server from anywhere! (microsoft.com)

Monitoring & Management

Azure Purview for data governance for on premises environment

Unified Data Governance with Microsoft Purview | Microsoft Azure

Azure Purview: Data governance for on-premises, multicloud, and SaaS data – 4sysops

Azure Arc

Azure Arc: solución y administración híbridas y multinube (microsoft.com)

Azure Automation for on premise systems

Managing On-Premises Systems with Azure Automation | Azure Blog and Updates | Microsoft Azure

Change tracking for on premises changes

Azure Automation Change Tracking and Inventory overview | Microsoft Learn

Update Management

Azure Automation Update Management overview | Microsoft Learn

Co-management of devices

Co-management for Windows devices - Configuration Manager | Microsoft Learn

Crear alertas de un servicio publicado monitorizado con application insights

noreply@blogger.com (Miguel H.) — Sat, 17 Dec 2022 18:46:00 +0000

A través de un test y seguimiento de un servicio publicado, podemos generar alertas, por ejemplo cuando este, llegue a un umbral de desaparición configurado.

Previamente, tendremos que tener el servicio monitorizado siguiendos los pasos aquí detallados:

HybridCPD: Test de disponibilidad sobre servicio publicado con Application insights y Functions app

A continuación, yendo al test de monitorización creado, podemos configurar una alerta:

Dentro de esa opción, podremos configurar tanto la configuración del umbral de alerta, como la consideración de la alerta tras X intentos fallidos tras X segundos, por ejemplo y por supuesto, el trigger, la acción que quieres que se realice al llegar al umbral del kpi establecido.

Realizar seguimiento de Sla de servicio publicado y monitorizado con Azure applications insights

noreply@blogger.com (Miguel H.) — Sat, 17 Dec 2022 18:34:00 +0000

A continuación, crearemos un seguimiento del acuerdo de continuidad de servicios de un servicio publicado.

Para ellos, nos apoyaremos en un servicios monitorizado con Applications Insights y Function App a través de TrackAvalilability().

HybridCPD: Test de disponibilidad sobre servicio publicado con Application insights y Functions app

Para poner esto en marcha, tendremos que ir nuestro applications insights y crear un workbook a raiz de la plantilla "Downtime & Outages"

Solo con pinchar en la plantilla, ya tenemos la información disponible:

Allí podremos incluso cambiar los parámetros de seguimiento y los umbrales, kpis y demás que queremos monitorizar:

Test de disponibilidad sobre servicio publicado con Application insights y Functions app

noreply@blogger.com (Miguel H.) — Sat, 17 Dec 2022 18:28:00 +0000

Hola,

En esta entrada, os explicaré como crear con Azure Functions, un test de disponibilidad de una URL y/o servicio publicado. El servicio no ha estar publicado en Azure.

En primer lugar, crearemos un Function App, según veis en la captura siguiente:

En la ventana siguiente, Hosting, podremos crear el almacenamiento en el que se apoyará.

Y lo más importante, en monitoring tenéis que crear un Application Insights con el nombre de vuestro function.

A continuación, podréis crearlo.

El siguiente paso, será ir a ir a Functions en el menú de la izquierda y crear uno nuevo:

En la creación, elegiremos una plantilla del tipo "Timer trigger":

Una vez creado, vea a App Service Editor en las opciones de desarrollo, dentro del Function creado:

Allí has de crear y modificar los siguientes archivos:

En TimerTrigger1, botón derecho crear function.proj con el siguiente contenido:

<TargetFramework>netstandard2.0</TargetFramework>

</PropertyGroup>

</ItemGroup>

</Project>

Ahora crear el archivo RunAvailabilityTest.csx con el contenido siguiente (Cambiando www.google.com por la url a monitorizar:

using System.Net.Http;

public async static Task RunAvailabilityTestAsync(ILogger log)

{

using (var httpClient = new HttpClient())

{

// TODO: Replace with your business logic

await httpClient.GetStringAsync("https://www.google.com/");

}

Y ahora, reemplaza el contenido de run.csx por el siguiente contenido, indicando en REGION_NAME la región desde donde quieres que se realice el sondeo a la url.

#load "runAvailabilityTest.csx"

using System;

using System.Diagnostics;

using Microsoft.ApplicationInsights;

using Microsoft.ApplicationInsights.Channel;

using Microsoft.ApplicationInsights.DataContracts;

using Microsoft.ApplicationInsights.Extensibility;

private static TelemetryClient telemetryClient;

public async static Task Run(TimerInfo myTimer, ILogger log, ExecutionContext executionContext)

{

if (telemetryClient == null)

{

// Initializing a telemetry configuration for Application Insights based on connection string

var telemetryConfiguration = new TelemetryConfiguration();

telemetryConfiguration.ConnectionString = Environment.GetEnvironmentVariable("APPLICATIONINSIGHTS_CONNECTION_STRING");

telemetryConfiguration.TelemetryChannel = new InMemoryChannel();

telemetryClient = new TelemetryClient(telemetryConfiguration);

}

string testName = executionContext.FunctionName;

string location = Environment.GetEnvironmentVariable("REGION_NAME");

var availability = new AvailabilityTelemetry

{

Name = testName,

RunLocation = location,

Success = false,

};

availability.Context.Operation.ParentId = Activity.Current.SpanId.ToString();

availability.Context.Operation.Id = Activity.Current.RootId;

var stopwatch = new Stopwatch();

stopwatch.Start();

try

{

using (var activity = new Activity("AvailabilityContext"))

{

activity.Start();

availability.Id = Activity.Current.SpanId.ToString();

// Run business logic

await RunAvailabilityTestAsync(log);

}

availability.Success = true;

}

catch (Exception ex)

{

availability.Message = ex.Message;

throw;

}

finally

{

stopwatch.Stop();

availability.Duration = stopwatch.Elapsed;

availability.Timestamp = DateTimeOffset.UtcNow;

telemetryClient.TrackAvailability(availability);

telemetryClient.Flush();

}

Ahora podrás ir a la opción Availability del application insights creado y monitorizar la disponibilidad del servicio:

ChatGPT -Creación de scripts powershell-

noreply@blogger.com (Miguel H.) — Thu, 08 Dec 2022 17:08:00 +0000

Pues me acabo de quedar de piedra.

He pedido a ChatGPT "Make me a powershell script to configure a server as domain controller.

y aquí está su respuesta:

Automatizar Backup a raíz de etiqueta forzada en recursos

noreply@blogger.com (Miguel H.) — Wed, 07 Dec 2022 18:26:00 +0000

Hola,

En el presente artículo voy a explicaros como forzar el etiquetado de recursos y a través de esta etiqueta y su valor, incluir por ejemplo una VM en un Recovery Service.

Esta configuración nos fuerzar a posicionarnos en cuanto a si queremos tener backup o no de las máquinas virtuales.

Forzar etiqueta Backup en recursos

Vamos a trabajar con una política pre estrablecida con nombre "Require a tag on resources"

Al hacer click sobre la política, podremos desplegarla a través de la opción "Assign"

Ahí tendremos que elegir el "scope" o sea a qué suscripción y posible grupo de recursos se va a aplicar.Podremos configurar una excepción y poner nombre a la asignación de forma que sea más descriptiva que el nombre genérico inicial.

En parámetros, podremos crear la etiqueta que vamos a forzar

En la siguiente opción, "Remediation" podríamos por ejemplo forzar a que todo recursos sin etiqueta, reciba una etiqueta "Backup" con valor "No", pero yo en mi caso no voy a remediarlo para que la crear un recurso, este muestre un error si no tiene la etiqueta Backup con un valor.

Configuraremos entonces un mensaje en la opción "Non-compliance messages" y crearemos la asignación de la política.

Test

Al crear una VM, si no tenemos la etiqueta en cuestión, nos aparecerá este error.

Hasta que en mi caso, he creado la etiqueta Backup con valor No.

Posteriormente, tras etiquetar correctamente la VM, ya me deja crearla.

Configuración de Backup tras aparición de etiqueta en recurso

Ahora configuraremos la inclusión automática de máquinas virtuales en un recovery vault a partir de la aparición de valor "Si" en la etiqueta Backup.

Esta vez y por cambiar la forma de asignación, nos iremos a la opción "Assignments" en las políticas de nuestro portal de Azure.

Aquí buscaremos la política que vamos a utilizar. Podéis verla a continuación

Configuraremos también el scope al que aplicará la asignación

En los parámetros, configuraremos el nombre de la etiqueta y el valor que estaremos esperando para considerar "compliant" al recurso. en este caso será Tag name "Backup" Value "si"

Configuraremos también la remediación, que no es otra que incluir al recurso en el recovery vault y política que hemos indicado en los parámetros.

Con esto ya tendremos configurada la respuesta que queríamos a nuestra etiqueta.

Test

Comprobamos que nuestra VM aparece como "Non-compliant" ya que dispone de la etiqueta pero no del valor requerido.

Nos vamos a buscar la VM con etiqueta "Backup" = "No" y cambiamos su valor a "Si"

Pasados unos segundos, vemos como se ha creado una remediación, ya que a máquinas con valor "Si" la remediación indica que ha de incluirse en el recovery vault.

La máquina ya aparece en el Vault de backup

Y la VM ya aparece como "Compliant".

Pasar de 99,9% a 99,95% o 99,99% en Azure Compute es casi gratis y está en tu mano.

noreply@blogger.com (Miguel H.) — Sun, 04 Dec 2022 17:39:00 +0000

Pues sí, contar con una disponibilidad del 99,9%, 99,95% o 99,99%, es la diferencia entre tener una VM en Azure -con cierta calidad-, ubicar dos VMS de calidad media en grupos de disponibilidad o ubicar esas mismas dos máquinas, en dos zonas de la misma región.

99,9%.

Este es la disponibilidad garantizada que obtienes si montas en Azure una VM con SSD Premium o Ultra disk.

Cabe tener en cuenta, que esta cifra no incluye paradas planeadas de actualización y mantenimiento de Microsoft y paradas previsibles por parte del administrador a la hora de actualizar y reiniciar la máquina. Así que podemos decir que todo servicio que corre en una sola VM con SSD Premium en Azure, además de los hasta 43 minutos posibles por SLA, va a tener bastante más tiempo de indisponibilidad del servicio que ese 99,9%.

99,95%

Pongamos el ejemplo de dos controladores de dominio con rol además de DNS. Estará garantizado que estos servidores funcionen un 99,95% del tiempo, o lo que es igual, de antemano has de contar que el servicio que los servicios de Active Directory y DNS podrán no funcionar durante 21 minutos cada mes, si las dos máquinas virtuales, están colocadas en el mismo conjunto de disponibilidad y diferente dominio de error.

Cabe destacar también que en esta configuración y al contar con dos VMS, estas podrán reiniciarse de forma ordenada, sin que caiga els servicio. No como en la configuración anterior.

Grupos de disponibilidad y dominios de error.

Los conjuntos de disponibilidad, vienen a indicar a Microsoft que durante sus actualizaciones y problemas técnicos, estas dos máquinas virtuales no han de reiniciarse o caer por estar en un mismo "bastidor" o "pasillo". De no ubicar estos DCs del ejemplo, en el mismo conjunto de disponibilidad y si además, las máquinas se crearon a la vez, hay grandes probabilidades que estén conviviendo incluso en el mismo host.

Vale la pena que leáis el artículo siguiente, porque en el caso de tener más de tres servidores en un mismo servicio, vas a tener que "jugar" también con los dominios de error.

Más info.: Información general sobre los conjuntos de disponibilidad - Azure Virtual Machines | Microsoft Learn

Grupo de disponibilidad: VMS ubicadas en grupos de hosts que no se reiniciarán al mismo tiempo durante actualizaciones.

Dominio de error: VMs ubicadas en conjuntos de bastidores que no están alimentados ni cuentan con conexión a red compartida, por lo que seguirán funcionando a pesar de caídas de electrónica de red y alimentación conjunta, pongamos que si cada armario o pasillo, comparte electricidad y red, estas máquinas estarán en dos bastidores o dos pasillos diferentes.

99,99%

Esta es la cifra de disponibilidad que cuenta el servicio si ubicamos dos VMs en dos zonas diferentes de la misma región, eso si, siempre que tengamos el servicio bien diseñado, porque si ubicamos dos VMS en dos Zonas, pero no tenemos VPN y una IP pública multi zona, realmente no tendremos nada :(.

En comparación con la disponibilidad anterior, estamos ubicando dos VMS en dos datacenters separados un mínimo de 300 millas, no penalizando prácticamente en nada la latencia y solo teniendo un incremento en coste por el dato saliente.

Impacto del dato saliente entre zonas

El precio del Gb. entre zonas es de 0,010€ y tenemos que considerar lo siguiente:

1. No tenemos VPN del tipo VPNGTWXAZ, la cual redundan entre zona.

2. Según lo anterior, tendremos cargo de tráfico entre zonas, por cada búsqueda de la máquina no asociada a la zona, donde tenemos una VPN básica o VPNGTWX normal.

3. Tráfico saliente de cada VM hacia la otra.

4. No tendremos cargo de tráfico hacia el Recovery Vault al ser este un recurso multizona.

Contar con una VPNGTWX del tipo que termina su nombr en AZ, es un fallo bastante habitual. El precio atractivo de estas VPN frente a las multi zona -las terminadas en AZ- hace que el día que falle la zona a la que está asociada la VPN, no tengamos acceso al DC que se mantiene funcionando en la zona lejana. No olvidéis, como ya he dicho anteriormente, que la IP pública asociada al VPN Gateway también ha de ser multi zona.

Planificación del mantenimiento y el tiempo de inactividad - Training | Microsoft Learn

Notas:

- Puedes provocar que la VM se reubique en otro Host, realizando un Redeploy de la misma.

- No puedes ubicar una VM en un conjunto de disponibilidad, una vez creada. Para ubicarla en uno, has de recuperar la VM de un Backup y con ello, crear una VM nueva.

- Me parece mejor opción, mejor precio en conjunto y más segura la opción que nos ofrece 99,95% al contar con menos puntos posible de fallo.

Levántate, configura cumplimiento de ISO 27001 en Azure, vete a desayunar

noreply@blogger.com (Miguel H.) — Mon, 28 Nov 2022 22:45:00 +0000

Pues sí, con Azure puedes levantarte, encontrar que ya tienes creada una suscripción, aplicar la ISO 27001:2013, la UKOFFICIAL and UK NHS y la Australian Government ISM Protected y salir para la oficina.

A la hora de cumplir ciertos requisitos o políticas propias de la compañía, poca gente sabe que se pueden crear esas lineas generales de cumplimiento o advertencia a través de las Políticas.

A mí personalmente me gustan las políticas que obligan a que se utilicen ciertas etiquetas o advertir, e incluso configurar automáticamente, el backup de VMs que cumplan ciertos criterios que les identifican como VMs en producción.

Cumplir la ISO 27001

A lo que iba. Hay una forma no solo de crear ciertas políticas, sino de crear toda una batería de ellas que sumadas todas, nos hacen cumplir buenas prácticas, tales como los Microsoft Managed Controls (hay más de 1.600 plantillas de securización de entornos)

azure-policy/built-in-policies/policyDefinitions/Regulatory Compliance at master · Azure/azure-policy (github.com)

azure-policy/built-in-policies/policyDefinitions at master · Azure/azure-policy (github.com)

La cuestión es que un buen número de políticas prediseñadas que se engloban para cumplir una norma, en Azure se llama Policy Initiatives y a través de esta opción, es muy muy fácil que apliques cumplimiento de toda una ISO 27001: 2013 con un par de clicks.

Resultado tras aplicación de lo que ahora vais a ver.

Ejemplos de advertencias:

Configuración paso a paso:

Para aplicar esto, solo tienes que seguir los siguientes pasos:

1. Ve a tu suscripción y elige políticas (Policies) en el grupo de opciones de configuración.

2. Dentro de las opciones de políticas, encontrarás la opción de cumplimiento y podrás elegir Asignar iniciativa.

3. Una vez allí, solo tendrás que configura el alcance (Scope) y en Basis, elegir la iniciativa que quieres cumplir.

3.1 Tendrás la opción de no activar esto por el momento y dejarlo solo emitiendo advertencias que lo que sería, si lo activases :) o sea en modo auditoría. Esto se consigue teniéndolo desactivado.

4. Podrás parametrizarlo un poco a tu entorno. Por ejemplo configurando si tienes Azure Arc o no.

5. Podrás revisar también los avisos y advertencias que trae la norma de cumplimiento.

Saludos.

Inmutabilidad de copias en Azure Backup

noreply@blogger.com (Miguel H.) — Fri, 25 Nov 2022 17:44:00 +0000

Hola,

Abro aquí el primero de dos posts, donde hablaré de Inmutabilidad en Azure. En este primer artículo, me centraré en la inmutabilidad en el servicio de Backup, la cual está actualmente en preview.

La opción en cuestión, la tenéis en las propiedades del Recovery Service Vault que utilices.

Sobra decir, que Azure backup puede ser también nuestro sistema de copia de seguridad de servidores e información On Premise, ya que Microsoft integró

Una vez allí puedes habilitar la inmutabilidad en dos fases que describo a continuación.

Inmutabilidad habilitada pero no bloqueada "Not Locked"

Con esta configuración tendremos inmutabilidad en nuestro sistema de almacenamiento del backup y nadie podrá variar los archivos e información resultante del backup mientras dure el tiempo de retención de la política que hemos aplicado.

Esto significa que si tenemos una retención de 7 días y una copia el último día del último mes, esta información desaparecerá progresívamente tras este tiempo y está garantizado la integridad del dato salvado, sabiendo que es exactamente el que se salvó, sin que el ransomware u otra clase de peligros, pueda cifrarlo dado que en sí, esto es una varación del datos.

Inmutabilidad habilitada y bloqueada "Locked"

habilitar el Locked está lleno de advertencias y es que una vez activemos esta opción, nada ni nadie podrá borrar la información salvada mientras no venza. Esto significa que si tenemos un backup con retención 2 años, tendremos dos archivos pertenecientes al 31 de Diciembre de los dos últimos años y estos solo se borrarán llegado los dos años posteriores. Nosotros mismos como administradores, no podremos borrar esta información aun eliminando la máquina virtual, su backup e incluso la baja de la suscripción de Azure.

Tendremos por tanto asegurado y que acarrear el pago de la información salvada durante el tiempo de retención.

Aquí tenéis copias de mis máquinas virtuales, una vez he parado el backup de las mismas. Podréis apreciar que no aparece la opción de eliminar la información. De hecho, al eliminar el backup de la máquina, me ofrece dos opciones; una es eliminar la información tras el periodo de retención y otra es guardar la información para siempre.