Azure Lighthouse: por qué la organización de un MSP no es lo mismo que un tenant

Azure Lighthouse es el patrón documentado de Microsoft para permitir que un proveedor de servicios gestionados trabaje con los recursos de Azure de muchos clientes desde su propio tenant, sin fusionar el directorio de ningún cliente con el del MSP. Microsoft lo denomina administración de recursos delegados de Azure: un cliente delega suscripciones o grupos de recursos específicos a usuarios y roles determinados del tenant del MSP, y puede revocar ese acceso de forma independiente en cualquier momento.

Cómo funciona realmente la delegación

En la práctica, la incorporación de un cliente crea dos recursos dentro del propio tenant del cliente: una definición de registro, que describe qué acceso se concede y a quién, y una asignación de registro, que lo activa. Cuando alguien del tenant del MSP intenta actuar sobre un recurso delegado, Azure Resource Manager autentica esa solicitud de la misma manera que autentica una solicitud de un usuario nativo del tenant del cliente: el usuario del MSP nunca necesita una cuenta dentro del directorio del cliente y nunca se convierte en copropietario de este. Los clientes mantienen visibilidad sobre lo que se ha delegado y pueden verlo desde su propio portal.

Por qué se confunde la terminología

La propia guía de Microsoft es explícita al afirmar que "organización" y "tenant" no son intercambiables: una única organización comercial —una marca, una entidad jurídica— puede abarcar muchos tenants de Microsoft Entra, uno por cliente, por entorno o por adquisición. Lighthouse se construye sobre esa realidad y no contra ella: permite que una organización opere entre tenants manteniendo cada tenant como un límite estricto para la identidad y el acceso. Eliminar esa distinción —tratar "nuestra organización" como si fuera un único tenant— es el error que la arquitectura de Lighthouse está diseñada para prevenir, no solo para documentar.

Para los MSP que crean o compran herramientas multiinquilino de cualquier tipo, Azure Lighthouse es un punto de referencia útil: el acceso delegado y revocable a un tenant independiente es un diseño distinto y, por lo general, más seguro que agrupar a varios clientes bajo un único directorio compartido y diferenciarlos con indicadores a nivel de aplicación. La distinción es arquitectónica, no una etiqueta de cumplimiento: conviene comprobarla en el modelo de acceso real de cualquier proveedor, no solo en su material de marketing.

Fuentes: Microsoft Learn — What is Azure Lighthouse?, Microsoft Learn — Tenants, users, and roles in Azure Lighthouse.