Diego Ballester

Aplicaciones internas corriendo en bare-metal local sin HA, sin acceso remoto y sin aislamiento entre servicios. Sedes en España y Perú sin acceso. Cualquier fallo del equipo físico implicaba caída total de los servicios internos.

Desplegué un VPS Ubuntu Server 24.04 LTS en IONOS. Cada aplicación corre en su propio contenedor Docker con redes bridge aisladas y volúmenes persistentes. Nginx actúa como reverse proxy con TLS 1.2+ (Let's Encrypt), HSTS y cabeceras de seguridad (X-Frame-Options, CSP, X-Content-Type-Options). El reto principal fue el control de acceso: implementé autenticación OAuth2/OIDC con Entra ID como Identity Provider, de forma que cada aplicación interna solo es accesible mediante una cuenta activa del tenant. Usuarios deshabilitados en Entra ID pierden acceso inmediatamente sin tocar el servidor.

Servicios accesibles desde cualquier sede y dispositivo con latencia mínima. Zero-trust a nivel de identidad: sin cuenta activa en el tenant, sin acceso. Gestiono el ciclo de vida completo: despliegue de nuevas apps Docker del equipo de desarrollo, renovación de certificados, actualizaciones de seguridad y monitorización.

Protección endpoint delegada a TrendMicro sin visibilidad interna: sin acceso al portal, sin alertas en tiempo real, sin reporting de vulnerabilidades. En un incidente, el proveedor tardó casi un mes en resolver un fallo en su propio instalador, dejando un endpoint sin protección activa. Desconocimiento total del estado de salud de la flota.

Inicié la transición a Microsoft Defender for Endpoint gestionado desde Intune, eliminando la dependencia del tercero. Configuré las políticas de Antivirus (Defender AV con protección en tiempo real, cloud-delivered protection y automatic sample submission), Endpoint Detection & Response (EDR en modo bloque), y Attack Surface Reduction (ASR rules). Integré las alertas en Microsoft Defender XDR para correlación de incidentes. Paralelamente, me formé en SC-401 (completada) y SC-200 (en preparación) para gestionar el ciclo completo: detección, investigación, respuesta y remediación. Siguiente fase: implementación de DLP y clasificación de datos con Microsoft Purview.

Visibilidad completa del estado de cada endpoint: Secure Score por dispositivo, vulnerabilidades CVE identificadas, alertas en tiempo real y capacidad de respuesta directa (isolate device, run AV scan, collect investigation package) sin depender de terceros. Reducción del tiempo de detección y respuesta de días a minutos.

El VPS IONOS (2 vCPU, 4 GB RAM) que alojaba todos los servicios internos en contenedores Docker empezaba a mostrar síntomas de saturación a medida que el equipo de desarrollo incorporaba nuevas aplicaciones. La arquitectura de servidor único sin HA representaba además un SPOF (Single Point of Failure) para la operativa de todas las sedes. Se tomó la decisión de migrar a Azure antes de llegar al límite, no después.

Estoy liderando la planificación y ejecución de la migración junto al desarrollador de la empresa. La arquitectura objetivo en Azure incluye: Azure Container Instances (ACI) o Azure Kubernetes Service (AKS) para los contenedores Docker existentes, Azure Container Registry (ACR) como registro privado de imágenes, Azure Virtual Network con NSGs para el aislamiento de servicios, y Entra ID como IdP para el control de acceso (continuidad del modelo zero-trust ya implementado en el VPS). Me estoy formando en paralelo con AZ-900 y AZ-104 para asumir la administración del entorno una vez migrado.

Migración en curso. El objetivo es eliminar el SPOF del servidor único, ganar escalabilidad horizontal bajo demanda y mantener el modelo de acceso basado en identidad Entra ID sin cambios para los usuarios finales.