Roles de Entra vs. roles de Azure RBAC, y roles del plano de datos como Storage Blob Data Reader

Azure tiene dos sistemas de roles separados, y las preguntas del examen suelen comprobar si sabes cuál se aplica. Los roles de Microsoft Entra controlan lo que alguien puede hacer en el propio directorio: crear usuarios, restablecer contraseñas, administrar grupos, registrar aplicaciones y configurar opciones del inquilino. Algunos ejemplos son Global Administrator, User Administrator, Groups Administrator, Helpdesk Administrator, License Administrator y Application Administrator. Su ámbito es todo el inquilino o una unidad administrativa (un contenedor que limita un rol a un subconjunto de usuarios o grupos), y se asignan en Microsoft Entra ID > Roles y administradores. Los roles de control de acceso basado en roles (RBAC) de Azure controlan lo que alguien puede hacer con los recursos de Azure: máquinas virtuales, cuentas de almacenamiento, redes. Sus ámbitos son grupos de administración, suscripciones, grupos de recursos y recursos, y se asignan en la hoja Control de acceso (IAM) de un recurso. Los dos sistemas son independientes. Un Global Administrator no tiene automáticamente acceso a las suscripciones, y el Owner de una suscripción no puede crear usuarios en Entra ID a menos que también tenga un rol de Entra adecuado. Al leer una pregunta, decide primero si la tarea afecta a objetos del directorio (usuarios, grupos, aplicaciones, licencias, contraseñas) o a recursos de Azure; eso determina de qué sistema de roles sale la respuesta.