Guía de unidades administrativas de Microsoft Entra

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Aprende a usar las unidades administrativas de Microsoft Entra con orientación práctica sobre seguridad, gobernanza, control de acceso, implementación y casos de uso reales.

Automatically translated with AI from the original post. Read the English original

Si administras una organización grande con Microsoft 365 o Azure, las cosas pueden complicarse muy rápido. Las unidades administrativas (AU, por sus siglas en inglés) de Microsoft Entra ID funcionan como los vigilantes de barrio de las calles digitales de tu inquilino. Te ayudan a dividir tu base de usuarios para que puedas dar a los administradores locales el control justo para gestionar su zona, pero no toda la ciudad.

Esto supone una gran mejora para las organizaciones que intentan equilibrar seguridad, cumplimiento y eficiencia. En lugar de conceder derechos de administración iguales para todos, las AU garantizan que las personas adecuadas gestionen a las personas adecuadas: ni más, ni menos. A medida que avances, verás en qué se diferencian las AU de los grupos y de las OU clásicas, y cómo facilitan el trabajo sin dejar de mantener una gobernanza estricta. Ya busques un mejor ámbito de roles, una segmentación del inquilino o simplemente menos caos, entender las unidades administrativas en Entra ID merece tu tiempo.

¿Qué es una unidad administrativa en Microsoft Entra ID?

Las unidades administrativas (AU) en Microsoft Entra ID son contenedores especiales pensados para poner orden a gran escala. Piensa en ellas como límites digitales: puedes asignar administradores a esos límites para que solo gestionen los usuarios o grupos dentro de esa valla concreta.

Una vez creada una AU, puedes delegar derechos de administración, como Administrador de usuarios o Administrador de Helpdesk, solo para las personas o grupos que contiene. Así, los equipos de TI locales se centran en su propio personal, sin meterse en todo lo demás. Se trata de descentralizar el control, pero sin abrir todas las puertas a la vez.

Esto resulta especialmente útil en organizaciones grandes o complejas, como centros educativos, multinacionales o agencias gubernamentales, donde no quieres que un administrador de Nueva Jersey restablezca contraseñas de personas en Tokio. Les marcas el rumbo, por así decirlo, y cada cual se mantiene en su carril.

A diferencia de las OU tradicionales de Active Directory local, las AU existen solo en la nube de Microsoft y sirven para acotar los permisos de administración. Tampoco son lo mismo que los grupos de seguridad o de Microsoft 365, que se usan principalmente para acceder a aplicaciones y recursos, no para otorgar derechos de administración. La conclusión clave: las AU te ayudan a controlar "quién puede gestionar qué" dentro de tu inquilino en la nube, lo que permite una administración más precisa y más segura.

Cómo se diferencian las unidades administrativas de Azure de los grupos y las OU

• Unidades administrativas (AU): diseñadas para la administración delegada. Limitan los roles de administración a usuarios y grupos concretos dentro de una AU, pero no proporcionan acceso a recursos como archivos o buzones.
• Grupos: se usan para asignar acceso a aplicaciones y recursos (por ejemplo, Teams, SharePoint o licencias). Los grupos no limitan ni definen los límites de administración; solo sirven para la pertenencia a efectos de permisos o distribución.
• Unidades organizativas (OU): concepto de Active Directory local que organiza objetos (usuarios, equipos) de forma jerárquica para aplicar directivas de grupo. No están diseñadas para la delegación en la nube ni en Microsoft 365, y no tienen un equivalente directo en Entra ID.

En resumen: usa las AU para acotar la administración, los grupos para el acceso y las OU para la organización local. Elige la herramienta adecuada para cada tarea.

Implementación de unidades administrativas: escenarios clave para Microsoft 365

Cuando tu entorno de Microsoft 365 abarca varios países, departamentos o zonas de cumplimiento, un único equipo central de administración no basta. Aquí es donde entran en juego las unidades administrativas, que te permiten estructurar entornos complejos sin perder el control, ni la cabeza.

Las unidades administrativas te permiten distribuir exactamente el nivel de privilegio necesario, de modo que los equipos locales o los responsables de departamento puedan restablecer contraseñas o gestionar la pertenencia a grupos justo donde se necesite. Al segmentar así tu inquilino, puedes aumentar la productividad y reducir el riesgo, ya que nadie tiene más acceso de administración del que necesita.

Los retos del mundo real aparecen constantemente: quizá tengas una universidad con distintas facultades, un minorista con tiendas en varios estados o una empresa global con equipos de TI regionales. Las unidades administrativas se convierten en la forma habitual de definir quién se encarga de cada parte de la organización y de asegurarte de que las directivas internas realmente se cumplan.

A continuación repasaremos algunos de los escenarios más comunes y los puntos de decisión para desplegar estas unidades. Verás no solo por qué importan, sino también cómo te ayudan a resolver problemas habituales como el cumplimiento, el acceso con privilegios mínimos y la autonomía regional.

Cuándo usar unidades administrativas en escenarios administrativos complejos

• Organizaciones con presencia geográfica dispersa: Asigna equipos de TI regionales para gestionar solo a los usuarios de su ubicación (por ejemplo, Europa o Asia), sin acceso al inquilino global.
• Segmentación por departamentos: Delega derechos de administración en RRHH, Finanzas o las facultades académicas, manteniendo los permisos de gestión de cada equipo dentro de su propio departamento.
• Límites de cumplimiento o privacidad: Separa a los usuarios sujetos a regulaciones distintas (como el RGPD o HIPAA) en unidades administrativas dedicadas, aplicando límites de seguridad.
• Fusiones y adquisiciones: Incorpora nuevas unidades de negocio o empresas adquiridas y deja que se gestionen por sí mismas, sin abrirles acceso a todo tu entorno.
• Educación y distritos escolares: Da a los administradores de cada centro control solo sobre los estudiantes y el personal de su campus, y mantén los datos de otros centros fuera de su alcance.

Uso de unidades administrativas de Azure para segmentar el inquilino de Microsoft 365

• Administración descentralizada: Las unidades administrativas te permiten asignar administradores locales solo a las personas o grupos que conocen, sin necesidad de un administrador global para las tareas del día a día. Esto ayuda a evitar que «demasiados cocineros echen a perder el caldo».
• Límites de seguridad claros: Al segmentar tu inquilino con unidades administrativas, puedes establecer límites que se alineen con departamentos, regiones o entidades legales, cada uno con derechos de administración a medida.
• Cumplimiento más sencillo: Si los equipos de TI solo ven a los usuarios de su ámbito, es mucho más fácil superar auditorías, aplicar el principio de mínimo privilegio y limitar los riesgos de exposición de datos.
• Solución de problemas simplificada: Los administradores locales pueden restablecer contraseñas, gestionar licencias o ajustar membresías sin interferir con los datos de otros equipos, lo que hace la gestión diaria mucho más fluida.
• Apoyo a las estrategias de gobernanza: Si buscas estrategias avanzadas sobre RBAC, PIM y aplicación de directivas, consulta este artículo sobre gobernanza de Azure y las mejores prácticas de RBAC para obtener consejos prácticos.

Cómo configurar unidades administrativas en Microsoft Entra ID

Poner en marcha las unidades administrativas en Microsoft Entra ID empieza por una idea clara: ¿a quién quieres gestionar y en quién confías para hacerlo? Una vez que lo tengas claro, configurar una unidad administrativa implica crear primero la unidad, luego añadir los usuarios o grupos adecuados y, por último, asignar roles de administrador con el nivel de control correcto.

Puedes crear unidades administrativas directamente en Azure Portal, que ofrece un flujo intuitivo paso a paso. En organizaciones más grandes o dinámicas, puedes poner a prueba tus habilidades de automatización con Microsoft Graph API y dejar que los scripts hagan el trabajo pesado.

A partir de ahí, se trata de incorporar a las personas a las unidades administrativas adecuadas, una a una si es necesario o en bloque si trabajas a gran escala. La pertenencia a grupos puede gestionarse de forma directa o dinámica, pero los dispositivos y los recursos (como los sitios de SharePoint) tienen algunas limitaciones que conviene tener en cuenta, que señalaremos enseguida.

Por último, querrás asignar roles de administrador mediante el modelo clásico de Azure AD o a través de Privileged Identity Management (PIM) para disponer de acceso just-in-time y de auditoría. Las siguientes secciones desglosarán cada paso para que termines listo para crear, proteger y delegar con confianza.

Creación y configuración de unidades administrativas en Microsoft 365

• Accede a Azure Portal: Ve a Microsoft Entra ID, elige Unidades administrativas y haz clic en «+ Nueva unidad administrativa» para iniciar el proceso de configuración.
• Asigna un nombre, describe y elige el ámbito: Dale a tu unidad administrativa un nombre claro y descriptivo (como «Administradores de ventas de APAC»). Opcionalmente, añade una descripción para los futuros administradores.
• Añade miembros: Puedes asignar usuarios o grupos directamente como miembros. Decide quién se gestiona dentro de esta unidad: los administradores solo afectarán a estas personas.
• Opción de automatización: ¿Prefieres código? Usa Microsoft Graph API para crear, actualizar y gestionar unidades administrativas en flujos de trabajo masivos o automatizados. Los scripts facilitan los cambios a gran escala y reducen los errores.
• Comprueba los solapamientos de pertenencia: Evita que haya membresías superpuestas entre unidades administrativas si quieres un ámbito bien delimitado. Un usuario solo puede gestionarse en una unidad administrativa para un contexto de rol específico.

Asignación de usuarios y grupos a unidades administrativas

• Asignación directa: Añade usuarios o grupos manualmente desde Azure Portal (Usuarios > Agregar miembro) para que se conviertan en objetos gestionados de tu unidad administrativa.
• Grupos dinámicos (con limitaciones): Aunque puedes añadir grupos dinámicos como miembros de las UA, las propias UA no pueden aplicar reglas dinámicas de forma nativa: las reglas de los grupos dinámicos se definen en el grupo, no en la UA.
• Importaciones masivas: En organizaciones grandes, usa PowerShell o Graph API para asignar varios usuarios y grupos de forma eficiente. Esto ahorra tiempo y garantiza la coherencia.
• Revisa la pertenencia periódicamente: Configura revisiones periódicas para eliminar cuentas huérfanas y asegurarte de que los usuarios siguen teniendo el alcance adecuado. La vida cambia: mantén tus límites actualizados.
• Dispositivos incluidos: Por el momento, los dispositivos (como portátiles o teléfonos móviles) no pueden ser miembros de las UA. La gestión se limita estrictamente a personas y grupos, no a hardware ni recursos.

Asignar roles a administradores con Privileged Identity Management

• Asignación de roles por UA: Desde dentro de la UA, asigna roles como Administrador de usuarios, Administrador de grupos o Administrador de Helpdesk para que los administradores delegados solo tengan permisos dentro de esa UA.
• Usa PIM para acceso JIT: Utiliza Privileged Identity Management (PIM) de Azure AD para conceder acceso de administrador just-in-time (JIT). Esto significa que los roles pueden activarse temporalmente, reduciendo el riesgo de tenerlos «siempre activos».
• Configura flujos de aprobación: Configura aprobaciones en PIM para que el acceso de administrador requiera una aprobación adicional: un salvavidas para entornos de cumplimiento normativo o de alta seguridad.
• Supervisa y audita el acceso: Controla quién activa qué y cuándo. Conecta los registros de auditoría a Microsoft Sentinel o usa Purview Audit para el seguimiento forense de la actividad de los usuarios en Microsoft 365. Esto enriquece la gobernanza y refuerza tu estrategia de seguridad.
• Revisa las asignaciones privilegiadas: Revisa periódicamente los roles concedidos. Elimina los privilegios obsoletos o innecesarios para evitar la acumulación de privilegios (privilege creep) y reforzar el principio de mínimo privilegio.

Requisitos administrativos, licencias y limitaciones

Antes de empezar a dividir tu inquilino en partes con UA, hay algunos requisitos previos y restricciones que debes tener en cuenta. No todas las suscripciones de Microsoft 365 son iguales: usar UA requiere normalmente al menos licencias de Azure AD Premium P1 tanto para los usuarios de destino como para los administradores asignados.

La funcionalidad es sólida en lo que respecta a usuarios y grupos, pero empieza a mostrar fisuras con dispositivos, sitios de SharePoint u otros recursos: las UA no están diseñadas actualmente para gestionar hardware ni para asignar acceso granular a recursos. Las asignaciones de licencias y algunas funciones de gestión de propiedades también tienen limitaciones que pueden exigir soluciones creativas en entornos grandes o con cambios constantes.

La jerarquía es otro punto conflictivo. A diferencia de las UO de Active Directory clásico, las UA son planas: no hay anidamiento ni relación padre/hijo, así que tendrás que diseñar tu segmentación sin esa capa de complejidad (o de flexibilidad, según se mire).

A medida que repasemos los detalles a continuación, verás los límites funcionales de las UA, lo que te permitirá establecer expectativas realistas tanto para tu equipo de TI como para las partes interesadas del negocio.

Limitaciones administrativas clave: jerarquía, dispositivos y SharePoint

• Sin estructura jerárquica: las UA son planas: no existe el concepto de anidamiento ni de organización padre/hijo. No puedes, por ejemplo, crear una UA «Norteamérica» con UA secundarias para cada estado o provincia. Cada UA es independiente.
• Carencias en la gestión de dispositivos: los dispositivos como portátiles, teléfonos o impresoras no se pueden gestionar directamente con UA. Si necesitas delimitar el alcance a nivel de dispositivo, puede que necesites otras soluciones o directivas de Intune.
• Limitaciones de SharePoint/OneDrive: las UA no delimitan los derechos de administración sobre sitios de SharePoint ni sobre OneDrive. La gobernanza de datos en esas aplicaciones requiere estrategias independientes o alternativas como Microsoft Dataverse para necesidades de datos complejas.
• Desafíos en la asignación de licencias: puedes asignar licencias a usuarios dentro de las UA, pero no existe automatización integrada con alcance de UA, lo que dificulta automatizar a escala.
• Gestión de propiedades: la actualización masiva o la generación de informes sobre las propiedades de los usuarios dentro de las UA es limitada. A menudo necesitarás herramientas externas, PowerShell o Graph API para cubrir estas carencias.

Seguridad, gobernanza y alternativas a las unidades administrativas

La seguridad y la gobernanza no terminan con la configuración de las AU; eso es solo el comienzo. Para proteger tu inquilino (y tu reputación), necesitas pensar en cómo se administran las AU, quién recibe derechos de delegación y cómo se supervisan, revisan y revocan con el tiempo los accesos privilegiados.

Entre las mejores prácticas están aplicar el principio de mínimo privilegio, aprovechar los flujos de aprobación con PIM y auditar cada asignación de roles. No pases por alto la supervisión continua: las revisiones de acceso privilegiado, las alertas ante actividad anómala y los informes periódicos te darán un control más firme sobre quién administra realmente tu entorno.

En algunas organizaciones, ni siquiera el diseño de AU más preciso será suficiente. Quizás necesites una segmentación de varios niveles, controles de cumplimiento más profundos o una automatización más avanzada. En ese caso, las soluciones alternativas, como los inquilinos virtuales de CoreView, entran en juego y te permiten dividir tu inquilino de formas que las AU todavía no pueden lograr.

Para profundizar en cómo aplicar una gobernanza sólida, incluidas la aplicación de directivas, RBAC y las barreras automatizadas, consulta este análisis de las estrategias de gobernanza de Azure. Y si estás lidiando con IA o automatización, cómo proteger los permisos de Copilot y Graph es una lectura imprescindible para mantener el cumplimiento en la era de los copilotos y los bots.

Implicaciones de seguridad pendientes y alternativas de inquilinos virtuales

• Acumulación de privilegios: Si los derechos de administrador no se revisan, los antiguos administradores o quienes cambian frecuentemente de empleo pueden acumular privilegios "zombi", uno de los principales riesgos internos. Las revisiones periódicas y su eliminación son esenciales.
• Lagunas de auditoría y visibilidad: Los registros de auditoría nativos pueden no mostrar fácilmente quién cambió qué dentro de cada AU. Para una supervisión de nivel empresarial, conecta los registros de Entra a herramientas SIEM o usa Microsoft Purview/Sentinel para una supervisión sólida e informes de cumplimiento. Episodios como Agentageddon explican los riesgos de quedarse atrás en la auditoría de la IA y la gobernanza en Microsoft 365.
• Limitaciones de alcance: Las AU no pueden segmentar de forma nativa entornos multinube o híbridos. Para configuraciones híbridas o multinube, considera herramientas de terceros o soluciones de inquilinos virtuales que ofrezcan límites más profundos y una gobernanza centralizada.
• Cuándo considerar alternativas: Considera soluciones como los inquilinos virtuales de CoreView cuando necesites segmentación de varios niveles, asignación de cumplimiento o automatización avanzada de flujos de trabajo más allá de lo que pueden ofrecer las AU. El TI en la sombra y la IA requieren una supervisión avanzada; consulta este análisis sobre Microsoft Foundry y los fundamentos de Purview para más ideas.

También deberías escuchar

Si estás investigando las unidades administrativas de Microsoft Entra, estos episodios aportan contexto práctico sobre seguridad de identidades, gobernanza, acceso privilegiado e implementación:

• Microsoft Defender XDR – Simply Explained — Conecta la gobernanza de identidades con las señales de seguridad, la investigación y la respuesta.
• Conditional Access – Simply Explained — Descubre cómo los controles de acceso basados en directivas aplican decisiones de identidad.
• Privileged Identity Management – Simply Explained — Comprende el privilegio just-in-time, las aprobaciones y las revisiones de acceso.
• Microsoft Teams Governance – The Illusion of Control — Descubre cómo la gobernanza convierte los permisos y la propiedad en operaciones repetibles.