Guía de acceso entre inquilinos de Microsoft Entra

By Mirko Peters · 2026-04-29 · Updated 2026-07-18

Aprende a usar el acceso entre inquilinos de Microsoft Entra con orientación práctica sobre seguridad, gobernanza, control de acceso, implementación y casos de uso reales.

Automatically translated with AI from the original post. Read the English original

La configuración de acceso entre inquilinos en Microsoft Entra ID está en el centro mismo de la colaboración segura y flexible entre organizaciones. A medida que las empresas trasladan más de su trabajo a la nube, la necesidad de conectarse y colaborar con socios, proveedores o incluso filiales situadas en distintos inquilinos de Microsoft se ha vuelto mayor que nunca, y también más compleja. Entra ID ofrece un conjunto de herramientas muy potentes para decidir quién puede entrar, qué puede hacer y cómo mantener bien cerradas tus propias puertas.

Esta guía recorre todas las formas en que la configuración de acceso entre inquilinos de Entra ID puede hacer que la administración de identidades B2B sea segura y cómoda a la vez. Veremos desde cómo establecer reglas básicas y ajustar directivas para socios concretos hasta integraciones avanzadas, pasos de seguridad de confianza cero y resolución de problemas en entornos reales. Tanto si solo quieres empezar con unos pocos usuarios externos como si necesitas cumplir requisitos estrictos de cumplimiento y gobernanza, aquí encontrarás respuestas.

Comprender el acceso entre inquilinos B2B en Entra ID

El mundo no funciona en islas, y menos aún en el ámbito de la TI empresarial. Casi todas las organizaciones dependen de la colaboración más allá de sus fronteras. Puede tratarse de consultores, socios de la cadena de suministro u otra empresa que hayas adquirido. El reto es que cada compañía gestiona su propio inquilino de Microsoft Entra ID, y no puedes abrirlo todo sin poner en riesgo tus datos.

Aquí es precisamente donde entra en juego la configuración de acceso B2B entre inquilinos de Entra ID. Estas opciones te permiten definir, supervisar y ajustar la forma en que los usuarios de un inquilino interactúan con los recursos de otro, ya sea invitando a usuarios invitados, habilitando el acceso a aplicaciones críticas o aplicando comprobaciones de seguridad sólidas en el proceso. Es la versión digital de un gorila en la puerta que revisa las identificaciones, pero que también sabe quién está en la lista VIP, quién solo puede asomarse por la ventana y quién no tiene ningún motivo para acercarse a tus datos.

En términos generales, el acceso B2B entre inquilinos no es solo otro conjunto de interruptores o casillas. Es un marco completo de administración de identidades y de generación de confianza entre organizaciones de Microsoft Entra. Estas opciones son distintas de las herramientas habituales de colaboración externa o de las directivas básicas de acceso condicional: definen las reglas de juego para cada usuario externo y cada solicitud saliente. Antes de entrar en la configuración práctica, que abordaremos en las secciones detalladas siguientes, es clave entender cómo encajan en tu estrategia general de identidad.

¿Qué son los valores de acceso entre inquilinos para la colaboración B2B?

La configuración de acceso entre inquilinos en Microsoft Entra ID es un conjunto de ajustes que te permite gestionar cómo interactúan con los recursos de tu organización los usuarios de otros inquilinos de Entra, y viceversa. Estas opciones desempeñan un papel central en la colaboración empresarial (B2B) segura: piensa en contratistas, socios externos o empresas adquiridas que necesitan trabajar dentro de tu entorno digital.

Con la configuración de acceso B2B entre inquilinos puedes definir los niveles de confianza, los permisos y las condiciones para las identidades invitadas. Esto significa que puedes decidir si aceptas las notificaciones de autenticación multifactor (MFA) o de cumplimiento de dispositivos del inquilino de un socio, aplicar tus propias directivas o bloquear todo el acceso salvo a usuarios o aplicaciones concretos. En resumen, es tu centro de mando para saber quién accede a qué, dónde y de qué manera, más allá de los límites de cada inquilino.

Estas directivas pueden configurarse de forma global (para toda la organización) o adaptarse a cada socio externo (específicas por organización). Esta flexibilidad te da un control granular sobre el nivel de acceso que concedes, y te ayuda a cumplir los requisitos de seguridad internos y las exigencias normativas como el RGPD o HIPAA. Como beneficio adicional, estos controles simplifican el ciclo de vida de los usuarios, agilizan la incorporación de identidades externas y reducen la proliferación de identidades, algo que cualquier profesional de TI sabe que es un dolor de cabeza esperando a suceder.

En definitiva, la configuración de acceso entre inquilinos tiende un puente entre la colaboración sin fricciones y la seguridad estricta. No se trata de dejar entrar a cualquiera, sino de hacer que sea seguro y eficiente incorporar a externos de confianza en tu ecosistema de Microsoft Entra, con reglas que controlas en cada paso.

Acceso entre inquilinos B2B frente a otras configuraciones de identidad en Entra ID

Es fácil confundir la configuración de acceso entre inquilinos con otras herramientas de identidad de Entra ID, pero cada una tiene un propósito muy distinto. El acceso B2B entre inquilinos se centra en cómo las organizaciones externas de Entra y sus usuarios interactúan con tu inquilino y sus recursos, y establece reglas claras para la colaboración entrante y saliente. En cambio, las directivas de acceso condicional controlan a qué pueden acceder los usuarios en función del riesgo, del cumplimiento del dispositivo o de la ubicación, sean internos o externos.

Mientras tanto, la configuración de colaboración externa gestiona las invitaciones de usuarios invitados y el uso compartido en general, y la configuración de los proveedores de identidad determina qué servicios pueden autenticar a tus usuarios. Entender cuándo usar cada una te permite mantener la seguridad firme y flexible, evitando puertas abiertas de par en par o directivas enrevesadas y superpuestas que puedan darte problemas. Para saber más sobre cómo sacar el máximo partido al acceso condicional, consulta este artículo sobre problemas de confianza y directivas en entornos de Microsoft 365.

Configurar el acceso predeterminado y la configuración específica de organizaciones

Ahora que entiendes por qué importa el acceso entre inquilinos y cómo encaja en el panorama general de la gestión de identidades, es hora de ponerse manos a la obra y hacer que funcione para ti. El primer paso es definir qué está permitido por defecto, tanto quién entra en tu casa (entrante) como quién sale a trabajar con otros (saliente). Microsoft Entra ID te permite establecer una directiva base que se aplica a todas las organizaciones, lo que mantiene las cosas sencillas y predecibles.

Pero el negocio no siempre se ajusta a un único patrón. Quizá confíes en el Proveedor A para datos financieros sensibles, pero quieras mantener al Proveedor B a distancia. Ahí es donde entran en juego las excepciones específicas por organización, que te permiten restringir o ampliar el acceso para socios concretos sin alterar al resto. Combinadas, estas reglas predeterminadas y personalizadas forman una base sólida y flexible para la colaboración que se ajusta a tus relaciones comerciales reales.

Las siguientes secciones explican exactamente cómo configurar estos ajustes predeterminados y personalizados para que puedas trazar tus rutas de acceso: las barreras que hacen que la colaboración externa sea segura y productiva para tus usuarios.

Configurar la configuración predeterminada de entrada y salida

1. Accede a la configuración de acceso entre inquilinos: Inicia sesión en el Centro de administración de Microsoft Entra. Ve a la sección Identidades externas y elige «Configuración de acceso entre inquilinos». Este es tu punto de partida para toda la configuración de entrada y salida.
2. Establece las directivas predeterminadas de entrada: Decide qué usuarios de inquilinos externos pueden acceder a tus recursos de forma predeterminada. Aquí puedes permitir todos los inquilinos, bloquear todos de forma predeterminada o permitir solo las organizaciones verificadas. Los usos habituales son bloquear por defecto con excepciones para socios de confianza, o permitir por defecto si trabajas en un sector con mucha colaboración pero gestionas el riesgo con otros controles.
3. Define la configuración predeterminada de salida: Controla cómo tus usuarios acceden a recursos de otros inquilinos. Puedes bloquear todo el acceso saliente si necesitas controles de datos estrictos, o permitirlo si los usuarios colaboran habitualmente con socios externos a través de Teams o SharePoint. La mayoría de las organizaciones encuentran un equilibrio permitiendo el acceso saliente, pero supervisándolo y revisándolo con regularidad.
4. Configura los ajustes de confianza: Elige si vas a confiar en las reclamaciones de MFA y de cumplimiento de dispositivos externos. Puedes exigir que los usuarios externos demuestren que tienen MFA en su inquilino o hacer que lo vuelvan a realizar según tu propia directiva. Este paso mitiga los riesgos sin molestar constantemente a los colaboradores legítimos.
5. Guarda y supervisa: Una vez establecidos los valores predeterminados, guarda los cambios y supervisa la actividad entre inquilinos. Usa los registros de auditoría y las revisiones de acceso para confirmar que la configuración funciona como esperas, detectando comportamientos inesperados antes de que se conviertan en un incidente de seguridad.

Al definir con cuidado el acceso predeterminado de entrada y salida, sientas las bases de una colaboración segura y predecible sin frenar la productividad. Este enfoque también encaja bien con las necesidades de gobernanza y cumplimiento, porque limita desde el principio la exposición innecesaria.

Personalizar las reglas de acceso predeterminadas por organización

1. Añade organizaciones externas específicas: En la configuración de acceso entre inquilinos, especifica un inquilino externo introduciendo su ID de inquilino. Esto crea una excepción para ese socio, independientemente de las reglas predeterminadas.
2. Personaliza las reglas de acceso: Para cada organización añadida, define los permisos entrantes y salientes. Puedes bloquear todo el acceso de un proveedor excepto los canales compartidos de Teams, pero conceder acceso completo a SharePoint a una filial.
3. Usa la configuración para una seguridad selectiva: Estos ajustes específicos por organización te permiten equilibrar las necesidades del negocio y el riesgo. Puedes restringir o permitir el acceso a aplicaciones sensibles, confiar en la autenticación MFA externa solo de determinados socios o exigir dispositivos conformes en colaboraciones de alto riesgo.

Estas excepciones personalizadas son fundamentales para alinear las directivas de TI con las relaciones comerciales reales, y evitan que uses un mazo cuando basta con un bisturí.

Gestiona las organizaciones de confianza y controla el acceso

Una vez que hayas definido los valores predeterminados y las excepciones personalizadas, también necesitas un proceso para mantener sana tu colaboración entre inquilinos con el tiempo. Las relaciones comerciales pueden cambiar rápidamente: el socio estratégico de hoy puede ser el competidor de mañana, o viceversa. Por eso necesitas una forma sencilla de añadir o eliminar organizaciones de tu lista de confianza y de ajustar los permisos que conlleva esa confianza.

Microsoft Entra ID te permite gestionar exactamente qué organizaciones externas se consideran de confianza. No se trata solo de activar o desactivar a alguien. Se trata de mantener un control estricto sobre quién obtiene acceso, qué tipo de acceso tiene y de poder cortarlo de inmediato si algo sale mal. Gestionar correctamente estas organizaciones de confianza es un paso importante para alinear la colaboración de TI con tu plan de seguridad y tu lista de cumplimiento normativo (especialmente si debes responder ante HIPAA, GDPR o SOC 2).

En las siguientes secciones veremos el proceso paso a paso para añadir y eliminar organizaciones, así como cómo ajustar con precisión el nivel de confianza para el acceso entrante y saliente, hasta el nivel de aplicaciones o tipos de recursos concretos.

Añadir y eliminar una organización de las directivas entre inquilinos

• Añade una organización: Introduce el ID del inquilino externo en el panel de administración entre inquilinos. Entra ID recuperará su nombre para mostrar, lo que facilita confirmar que estás apuntando al socio correcto.
• Configura la confianza y el acceso: Define las reglas entrantes y salientes específicas para esta organización y guarda los cambios para que surtan efecto de inmediato.
• Elimina una organización: Si cambian las necesidades del negocio, selecciona la organización y elimínala de tus directivas entre inquilinos. El acceso se revoca en tiempo real.
• Revisa la seguridad y el cumplimiento: Añadir o eliminar organizaciones de confianza debe seguir tus flujos de aprobación internos para evitar exposiciones accidentales o revocaciones de acceso que se pasen por alto.

Las revisiones periódicas de esta lista de confianza te ayudan a mantener la colaboración alineada con tu nivel de riesgo y con la realidad del negocio, y no con la hoja de cálculo de proveedores del año pasado.

Modificar la confianza de acceso entrante y saliente para organizaciones externas

• Ajusta el acceso entrante: Define con precisión qué usuarios de organizaciones externas pueden acceder a cuáles de tus recursos, hasta el nivel de grupo, aplicación o sitio si es necesario.
• Cambia los permisos salientes: Decide si tus usuarios pueden interactuar con el entorno del socio y de qué forma. Esto puede limitar la colaboración saliente solo a Teams o abrir un acceso más amplio.
• Bloquea o permite aplicaciones específicas: Los controles granulares te permiten bloquear el acceso a aplicaciones sensibles y permitir otras según sea necesario.
• Responde a los cambios de circunstancias: Estos ajustes pueden modificarse rápidamente en respuesta a hallazgos de auditoría o a actualizaciones de las directivas de cumplimiento, de modo que tus controles siempre reflejen el contexto actual del negocio.

Mantener estos permisos actualizados ofrece una red de seguridad frente al uso indebido, tanto accidental como intencionado, y te permite confiar, pero verificar, el acceso en cada etapa.

Colaboración segura con MFA de confianza entrante y cumplimiento de dispositivos

Ni siquiera los mejores controles de acceso sirven de mucho si no puedes confiar en cómo los usuarios demuestran quiénes son. Asegurar la colaboración entre inquilinos depende de una autenticación sólida y de una buena higiene de los dispositivos; de lo contrario, corres el riesgo de dejar entrar a atacantes que aparecen en el inquilino de un socio al otro lado del mundo.

Microsoft Entra ID te permite apoyarte en la seguridad de tus socios al decidir confiar en la autenticación multifactor (MFA) y en el cumplimiento de dispositivos que ellos aplican. Si un socio exige a sus usuarios superar MFA y mantener sus portátiles conformes, puedes aceptar esas notificaciones cuando accedan a tus recursos, sin duplicar comprobaciones y frustrar a los usuarios. Pero si no confías en sus estándares, puedes exigirles que superen tus propios controles de seguridad.

Y como a veces las cosas no salen según lo previsto (dispositivos perdidos, MFA caducado, invitados sin registrar), Entra ID también admite autenticación de reserva, como el envío de un código de un solo uso. Así, los usuarios legítimos pueden acceder en un apuro, mientras los suplantadores siguen fuera. En las siguientes secciones se detallan los pasos y escenarios para aprovechar al máximo esta confianza entre inquilinos sin abrir nuevas vías de ataque.

Confiar en las notificaciones de MFA y dispositivo entrantes de los socios

1. Habilitar la confianza en MFA entrante: Configura los ajustes entre inquilinos para confiar en las notificaciones de autenticación multifactor de determinadas organizaciones externas. Esto significa que, si los usuarios se autentican con MFA en su inquilino de origen, lo aceptas (en lugar de exigir comprobaciones adicionales) cuando acceden a tus recursos.
2. Confiar en las notificaciones de cumplimiento de dispositivos: Permite que tu inquilino reconozca cuando los dispositivos usados por usuarios externos cumplen los requisitos de cumplimiento o de unión de su propia organización. Resulta útil en escenarios con endpoints híbridos o gestionados por el socio que sean conformes.
3. Equilibrar la experiencia de usuario y la seguridad: Confiar en el MFA y el cumplimiento de dispositivos externos mejora la comodidad de los socios, pero solo debería habilitarse para organizaciones que sepas que cumplen líneas base de seguridad exigentes. En caso contrario, puedes aplicar tus propias directivas no confiando en las notificaciones externas.
4. Supervisar anomalías: Audita periódicamente las sesiones entrantes y el estado de los dispositivos para asegurarte de que las notificaciones de cumplimiento externas no se eludan ni falsifiquen, usando los registros e informes de Entra ID.

Al implementar esta confianza, simplificas la vida de los colaboradores legítimos, pero debes vigilar de cerca los registros de auditoría por si aparecen desviaciones o abusos.

Gestionar proveedores de identidad (Entra) y autenticación de reserva

• Configuración de proveedores de identidad: Configura y gestiona qué proveedores de identidad pueden usar tus usuarios invitados para autenticarse en tu inquilino, como Microsoft Entra, Google o proveedores basados en SAML.
• Habilitar la autenticación de reserva: Activa opciones de reserva, como los códigos de un solo uso, para los usuarios cuyo proveedor de identidad de origen no sea compatible o no esté disponible. Así se garantiza la continuidad del negocio sin bajar la guardia.
• Denegar o restringir proveedores no fiables: Limita o bloquea la autenticación de proveedores de identidad que no cumplan los estándares de seguridad o de cumplimiento de tu organización, de modo que solo se acepten fuentes de identidad verificadas.

Estos ajustes son tu red de seguridad: te permiten mantener el control incluso cuando las cosas se complican para los invitados o los socios externos.

Colaboración avanzada: configurar B2B directo e integración externa

Han quedado atrás los días en que la colaboración se limitaba a compartir documentos. Con Microsoft Entra, opciones avanzadas como B2B Direct Connect te permiten colaborar en tiempo real con socios externos, por ejemplo compartiendo canales de Teams sin tener que invitar nunca a los usuarios como invitados tradicionales. El canje automático agiliza la incorporación y, en ocasiones, hace que la colaboración externa se sienta como la interna.

Pero la historia no termina en Teams. Las organizaciones modernas necesitan con frecuencia una integración estricta y gobernada entre plataformas, en particular con SharePoint, que impulsa el uso compartido de archivos e intranets en muchas de ellas. Microsoft Entra ofrece controles para extender las directivas entre inquilinos directamente a SharePoint Online y permite automatizar y gestionar el acceso mediante API como Microsoft Graph.

Estas funciones ayudan a las organizaciones a maximizar la productividad sin perder de vista la gobernanza y la seguridad. También son fundamentales en entornos a gran escala, donde convergen varios inquilinos y aplicaciones de Power Platform y los riesgos de Shadow IT acechan en segundo plano (consulta esta guía para descubrir el problema). Las siguientes secciones explican cómo habilitar una colaboración directa y sin fisuras y mantener el control de tus datos allí donde estén.

Configurar B2B directo y habilitar el canje automático

• Habilita B2B Direct Connect: En Entra ID, activa B2B Direct Connect para que los usuarios de organizaciones de confianza puedan unirse de inmediato a canales compartidos de Teams, sin necesidad de invitaciones tradicionales.
• Configura el canjeo automático: Configura la directiva para que los usuarios B2B puedan canjear sus invitaciones automáticamente al acceder a los recursos, haciendo que el proceso de incorporación sea fluido y sencillo.
• Ventajas para la experiencia: Estas funciones agilizan la colaboración y aumentan la productividad, ya que los usuarios dedican menos tiempo a la aceptación manual y se evitan dolores de cabeza para TI.

Las configuraciones avanzadas reducen las fricciones, ideales para colaboraciones basadas en proyectos o recurrentes que necesitan conexiones seguras en tiempo real.

Configura las directivas de uso compartido (SharePoint) y la colaboración externa (Entra)

• Integra el acceso entre inquilinos con SharePoint: Alinea las directivas de uso compartido de SharePoint Online con la configuración entre inquilinos de Entra para ampliar o restringir la colaboración documental con usuarios externos.
• Gestiona mediante Microsoft Graph API: Utiliza automatización, scripts y comandos REST para controlar los permisos y las directivas de uso compartido a escala. Esto es imprescindible en sectores regulados o en entornos grandes propensos a la proliferación descontrolada, como se destaca en este podcast sobre gobernanza de IA en SharePoint.
• Admite soluciones de Power Platform: Ten en cuenta los riesgos de gobernanza que supone usar listas de SharePoint para aplicaciones personalizadas, aplicando controles entre inquilinos y valorando backends más resilientes, como Microsoft Dataverse (véase: Dataverse frente a los errores de gobernanza de SharePoint).
• Casos de uso de colaboración documental: Utiliza directivas de uso compartido personalizadas para dar soporte de forma segura a escenarios como la due diligence en fusiones y adquisiciones, las joint ventures o los proyectos orientados al cliente, donde el intercambio de documentos debe ser eficiente pero estar bien controlado.

Al integrar SharePoint y Entra, evitas el caos del uso compartido sin gobernanza y haces que la colaboración conforme y auditable sea lo habitual, no la excepción.

Prácticas recomendadas y comentarios para la mejora continua

Ningún despliegue de acceso entre inquilinos es algo que se pueda "configurar y olvidar", sobre todo cuando las relaciones comerciales, los requisitos de cumplimiento y el panorama técnico están en constante cambio. La clave está en basar tu enfoque en prácticas recomendadas probadas, mantener una supervisión constante y tratar cada directiva como algo vivo que mejora con los comentarios y la monitorización.

Para mantener la seguridad y el cumplimiento, conviene empezar por los requisitos previos adecuados y por entender dónde están tus mayores riesgos. Utiliza la automatización, los registros de auditoría y las revisiones continuas para reforzar tus defensas y detectar los problemas antes de que se conviertan en brechas de seguridad o incumplimientos (como en este caso real de brecha en M365).

Y no trabajes aislado. Cada entorno es único, así que usa los informes integrados, consulta a tus partes interesadas y comunica a Microsoft las observaciones cuando algo no encaje con tu negocio. La automatización con PowerShell y la monitorización proactiva (como se detalla en esta guía sobre el control del uso compartido externo) son tus aliadas para lograr un éxito continuado. Las siguientes secciones desglosan las prácticas recomendadas y los pasos clave para mantener tu acceso entre inquilinos bien protegido y, al mismo tiempo, fácil de usar.

Prácticas recomendadas y requisitos previos para un acceso seguro

• Seguridad base antes de abrir puertas: Asegúrate de tener controles fundamentales como el acceso condicional, la protección frente amenazas y una gobernanza de datos adecuada (consulta las estrategias en esta página de prácticas recomendadas de seguridad).
• Conoce tus datos y prioriza la propiedad: Identifica la propiedad de los datos, etiqueta su confidencialidad y configura flujos de aprobación, tal como describen las prácticas de gobernanza de M365.
• Limita el acceso externo amplio: Aplica directivas de denegación por defecto cuando tengas dudas y concede excepciones solo a los socios que superen tus pruebas de cumplimiento.
• Alinea con los requisitos de cumplimiento: Revisa la configuración y las excepciones frente a los controles de GDPR, HIPAA o SOC 2 para evitar pesadillas en las auditorías más adelante.

Dejar todo esto en orden evita que, con un solo clic, deshagas años de gestión de riesgos.

Supervisa el acceso, recopila comentarios y resumen

• Configura la supervisión continua: Aprovecha los registros de Entra, los registros de auditoría y herramientas externas como Microsoft Defender for Cloud (aquí te explicamos cómo) para detectar accesos entre inquilinos que sean sospechosos o incumplan la normativa.
• Revisa y audita con regularidad: Programa revisiones de acceso y auditorías de cumplimiento frecuentes, utilizando servicios como Microsoft Purview o scripts de PowerShell a nivel de inquilino.
• Incorpora bucles de retroalimentación: Recopila los comentarios de usuarios y administradores, revisa los registros de errores y comparte las conclusiones con Microsoft para ayudar a dar forma a las futuras mejoras de Entra.
• Mantente proactivo: Actualiza las directivas de acceso y uso compartido en cuanto cambien las relaciones comerciales o los marcos de cumplimiento; no esperes a las revisiones trimestrales ni a las auditorías anuales.

La conclusión clave: el acceso entre inquilinos es tan sólido como tu capacidad para supervisar, reaccionar y mejorar. Unos minutos de atención periódica, junto con un buen bucle de retroalimentación, valen mucho más que cualquier paso de configuración aislado.

También deberías escuchar

Si estás investigando el acceso entre inquilinos de Microsoft Entra, estos episodios aportan contexto práctico sobre seguridad de identidades, gobernanza, acceso privilegiado e implementación:

• Microsoft Defender XDR – Simply Explained — Conecta la gobernanza de identidades con las señales de seguridad, la investigación y la respuesta.
• Conditional Access – Simply Explained — Descubre cómo las directivas de control de acceso basadas en reglas aplican las decisiones sobre identidades.
• Privileged Identity Management – Simply Explained — Entiende el privilegio just-in-time, las aprobaciones y las revisiones de acceso.
• Microsoft Teams Governance – The Illusion of Control — Descubre cómo la gobernanza convierte los permisos y la propiedad en operaciones repetibles.