Microsoft retirará el 28 de octubre de 2026 las API beta Iteration 2 de Microsoft Entra Privileged Identity Management (PIM). Desde esa fecha, las llamadas a /beta/privilegedAccess dejarán de devolver datos, lo que puede interrumpir automatizaciones de acceso privilegiado, reportes, revisiones y flujos de activación.
Lo esencial
- Fecha efectiva: 28 de octubre de 2026.
- Componente retirado: Microsoft Graph beta PIM Iteration 2, incluidos
/aadRolesy/azureResources. - Reemplazo: API Iteration 3 GA en Microsoft Graph para roles de Entra y grupos; Azure Resource Manager para roles de recursos Azure.
- Riesgo: scripts que aparentemente siguen autenticando correctamente podrían recibir respuestas vacías o fallar en sus procesos posteriores.
Qué cambia realmente
Iteration 2 concentraba operaciones de PIM bajo Microsoft Graph beta. La arquitectura actual separa los proveedores según el recurso administrado. Los roles de Microsoft Entra y PIM for Groups se gestionan mediante Microsoft Graph; los roles de recursos Azure se administran mediante las API de Azure Resource Manager.
| Escenario | Iteration 2 | Iteration 3 |
|---|---|---|
| Roles de Microsoft Entra | Microsoft Graph beta /privilegedAccess/aadRoles | Microsoft Graph GA con recursos unifiedRole* |
| Roles de recursos Azure | Microsoft Graph beta /privilegedAccess/azureResources | Azure Resource Manager PIM APIs |
| PIM for Groups | Implementaciones beta heredadas | Microsoft Graph GA con privilegedAccessGroup* |
La migración no consiste en cambiar solamente /beta por /v1.0. Cambian los recursos, los permisos, la estructura de las solicitudes y, para Azure RBAC, incluso el plano de API utilizado.
Cómo encontrar dependencias antes del retiro
- Busca en repositorios, runbooks y pipelines las cadenas
/beta/privilegedAccess,/aadRoles,/azureResources,governanceRoleAssignmentRequestygovernanceRoleSetting. - Revisa Azure Automation, Functions, Logic Apps, PowerShell, aplicaciones registradas y herramientas de gobierno de terceros.
- Consulta los registros de inicio de sesión de service principals para identificar aplicaciones que llamen Microsoft Graph o Azure Resource Manager con permisos privilegiados.
- Clasifica cada flujo: lectura de asignaciones, creación de elegibilidad, activación, extensión, renovación, cancelación o administración de políticas.
Mapa de migración recomendado
- Para asignaciones activas o elegibles de roles Entra, usa
unifiedRoleAssignmentScheduleRequestyunifiedRoleEligibilityScheduleRequest. - Para roles Azure, usa
Role Assignment Schedule RequestsyRole Eligibility Schedule Requestsde ARM. - Para PIM for Groups, usa
privilegedAccessGroupAssignmentScheduleRequestyprivilegedAccessGroupEligibilityScheduleRequest. - Para reglas como aprobación, duración máxima y notificaciones, usa
roleManagementPolicyyroleManagementPolicyAssignment.
En Azure Resource Manager, la identidad que ejecuta la automatización debe tener permisos suficientes sobre el scope administrado. Microsoft señala que normalmente se requiere al menos Owner o User Access Administrator para administrar PIM de recursos Azure.
Plan de validación
- Ejecuta Iteration 2 e Iteration 3 en paralelo y compara conteos, principales, role definitions, scopes, fechas y estados.
- Prueba tanto permisos delegados como app-only cuando corresponda.
- Valida paginación, filtros, manejo de errores y consistencia eventual.
- Confirma que las activaciones y expiraciones se reflejen en el portal y en auditoría.
- Actualiza dashboards, alertas y runbooks antes de retirar el código anterior.
Conclusión
El plazo es inmediato. El mayor riesgo no está en el portal de Entra, sino en las integraciones silenciosas que sustentan gobierno de acceso privilegiado. Inventariar endpoints y migrar por proveedor —Graph para Entra y grupos, ARM para Azure— debe tratarse como una acción urgente de identidad.
Si estás modernizando tus prácticas de DevOps y gobierno, también puedes consultar nuestra guía sobre la certificación Microsoft AZ-401 y Agentic DevOps.