Microsoft habilitó en preview pública la administración de planes de Defender for Cloud desde el portal Microsoft Defender. El cambio no es solo visual: las suscripciones que migren a este modelo usarán facturación basada en Defender Workload Units (DWU), mientras la configuración correspondiente quedará de solo lectura en Azure Portal.
Resumen arquitectónico
- Estado: preview pública desde el 20 de octubre de 2026.
- Disponibilidad: entornos comerciales de Azure; AWS, GCP y entornos Azure no compatibles continúan administrándose en Azure Portal.
- Acceso: clientes con al menos un plan de Defender for Cloud de pago.
- Impacto financiero: las suscripciones trasladadas al nuevo modelo se miden y facturan mediante DWU.
Qué permite la nueva experiencia
- Conectar suscripciones y management groups de Azure.
- Aplicar planes globalmente o por management group y suscripción.
- Incluir entornos actuales y futuros dentro de una configuración global.
- Estimar consumo de DWU y realizar seguimiento del costo de seguridad.
- Combinar postura, exposición, vulnerabilidades, incidentes y respuesta en un único portal.
Por qué importa a un Cloud Solutions Architect
El diseño de gobierno de Defender ya no puede documentarse solamente como una configuración por suscripción en Azure Portal. En el modelo nuevo, los cloud scopes, Unified RBAC y las configuraciones globales permiten separar visibilidad y administración por unidad de negocio, región o workload.
La otra consecuencia es financiera. Una migración de portal también puede ser una migración de medición. Antes de mover producción, arquitectura, seguridad y FinOps deben acordar una línea base de cobertura, consumo y costo.
Riesgos que debes evaluar
- Doble modelo operativo: durante la transición existirán capacidades repartidas entre Defender Portal y Azure Portal.
- RBAC: los cloud scopes no deben confundirse con RBAC de Azure; hay que probar acceso positivo y negativo con cuentas reales del SOC.
- Costo: el consumo de DWU debe compararse con el gasto histórico por plan y servidor.
- IaC: Bicep, Terraform, Azure Policy y procesos de subscription vending deben validarse contra la autoridad de configuración vigente.
- Preview: no conviene trasladar toda la producción sin un piloto y un procedimiento documentado de soporte.
Plan de adopción recomendado
- Selecciona una suscripción no productiva representativa.
- Exporta la configuración actual de planes, extensiones y exclusiones.
- Documenta cobertura y costo mensual como línea base.
- Define cloud scopes y roles mínimos para SecOps, plataforma y FinOps.
- Conecta el entorno desde Defender Portal y espera hasta 24 horas para la aparición de datos.
- Compara recomendaciones, inventario, alertas, cobertura y estimación de DWU.
- Valida los pipelines de IaC y los controles de Policy antes de ampliar el alcance.
Cambio adicional: onboarding de servidores
La misma actualización amplía la experiencia de onboarding para máquinas virtuales Azure y servidores locales. Permite incorporar Azure VMs, servidores habilitados con Azure Arc y servidores locales mediante Arc o Direct onboarding. Los servidores que ya ejecutan Defender for Endpoint no requieren reinstalación para mantener su protección.
Conclusión
El nuevo portal puede simplificar operaciones de seguridad, pero introduce decisiones sobre autoridad de configuración, segmentación y costos. Trátalo como un cambio de modelo operativo y financiero, no como una simple migración de interfaz.
Para más contenido de gobierno y automatización, consulta nuestra guía de Microsoft AZ-401 y Agentic DevOps.