Migración de aplicaciones heredadas a Azure: cuándo elegir Microsoft Entra Domain Services frente a controladores de dominio IaaS

By Mirko Peters · 2026-08-14

Compara Microsoft Entra Domain Services y los controladores de dominio IaaS en Azure. Conoce las ventajas y los inconvenientes de arquitectura al migrar aplicaciones heredadas.

Automatically translated with AI from the original post. Read the English original

Al migrar aplicaciones heredadas de Windows a Azure mediante lift and shift, los arquitectos se enfrentan a un dilema crítico de identidad: ¿conviene desplegar máquinas virtuales con controladores de dominio tradicionales de Active Directory o usar servicios administrados en la nube? Esta guía analiza las ventajas y los inconvenientes de arquitectura, la sobrecarga operativa y las implicaciones de coste de elegir Microsoft Entra Domain Services frente a controladores de dominio IaaS propios para cargas de trabajo heredadas en Azure.

Puntos clave

• Microsoft Entra Domain Services ofrece las funciones de un dominio tradicional de Windows administrado, sin que los equipos de TI tengan que desplegar, parchear o recuperar máquinas virtuales de controladores de dominio.
• Desplegar controladores de dominio IaaS en Azure da a los administradores control total, incluido el acceso por RDP y los privilegios de Admin del dominio, pero aumenta de forma considerable la carga operativa.
• Las cargas de trabajo heredadas que dependen de LDAP, Kerberos, NTLM o Directiva de grupo pueden ejecutarse sin problemas en Azure mediante una capa de compatibilidad de dominio administrado.
• Entra Domain Services aplica un modelo de sincronización de identidades estricto y de un solo sentido, en el que los registros de usuario deben gestionarse en su origen de autoridad y no directamente en el dominio administrado.
• La elección de la arquitectura de identidad adecuada depende en gran medida de los requisitos de la aplicación, como el acceso de escritura LDAP y las modificaciones del esquema.

El dilema de la migración heredada a Azure

Trasladar una aplicación empresarial heredada desde una sala de servidores local a una máquina virtual de Azure no convierte automáticamente esa aplicación en nativa de la nube. Muchas aplicaciones de Windows consolidadas, como los sistemas heredados de planificación de recursos empresariales, las plataformas financieras y las aplicaciones .NET personalizadas, se diseñaron en torno a Active Directory tradicional. Cuando estas cargas de trabajo llegan a la nube, siguen esperando consultar los servicios de directorio mediante LDAP, autenticarse con tickets de Kerberos o aplicar configuraciones mediante Directiva de grupo.

Los arquitectos de la nube se enfrentan de inmediato a una decisión estratégica. Puedes conectar tu red virtual de Azure de nuevo a tus controladores de dominio locales mediante un túnel VPN híbrido, pero esto introduce latencia y crea un punto único de fallo peligroso si el enlace de red se cae. Como alternativa, puedes crear máquinas virtuales nuevas con Windows Server en Azure, promocionarlas a controladores de dominio y montar un bosque o un dominio réplica completamente nuevos.

Aunque crear tus propias máquinas virtuales de controladores de dominio en Azure te da control total, también convierte al equipo de infraestructura en la nube en administradores de Active Directory. Pasas a ser totalmente responsable de parchear el sistema operativo, de supervisar la replicación del directorio, de planificar la recuperación ante desastres y de proteger las cuentas con privilegios elevados frente al robo de credenciales. Para las organizaciones que quieren reducir la sobrecarga operativa y mantener en marcha sus aplicaciones heredadas, esto suele ser una carga innecesaria.

Entra Domain Services frente a controladores de dominio IaaS: diferencias arquitectónicas principales

Comprender la diferencia arquitectónica entre usar Microsoft Entra Domain Services y desplegar controladores de dominio IaaS propios es esencial para diseñar entornos de nube de Azure resilientes. Entra Domain Services actúa como una capa de compatibilidad gestionada. Microsoft ejecuta y mantiene la infraestructura subyacente de controladores de dominio en segundo plano, lo que garantiza alta disponibilidad, copias de seguridad automáticas y sincronización en segundo plano con Entra ID.

Cuando consumes Entra Domain Services, tus máquinas virtuales de Azure pueden unirse al dominio, ejecutar consultas LDAP y gestionar inicios de sesión con Kerberos o NTLM sin que tus ingenieros tengan que conectarse por escritorio remoto a un controlador de dominio. Sin embargo, este compromiso del servicio gestionado implica renunciar al control administrativo directo. No puedes acceder al sistema operativo subyacente, no puedes modificar el esquema de Active Directory y no recibes los privilegios de Admins del dominio ni de Admins de empresa.

Por el contrario, desplegar controladores de dominio IaaS te da control total sobre la arquitectura del directorio. Puedes extender el esquema, configurar relaciones de confianza personalizadas, añadir unidades organizativas arbitrarias e implementar objetos de directiva de grupo especializados sin restricciones. El precio de esta flexibilidad es el mantenimiento. Tu equipo debe gestionar todo el ciclo de vida del dominio, incluidas las comprobaciones proactivas de estado, la desfragmentación de la base de datos y los procedimientos de restauración de emergencia si un controlador de dominio falla.

Compromisos operativos y barreras administrativas

Antes de apostar por un enfoque de dominio gestionado en Azure, los administradores de nube deben evaluar cuidadosamente cómo cambian las operaciones del día a día. Con controladores de dominio IaaS propios, tu equipo tiene un control granular sobre cada aspecto del directorio. Puedes escribir scripts de PowerShell personalizados para automatizar tareas administrativas, instalar agentes de seguridad de terceros directamente en los controladores de dominio y solucionar errores de replicación con utilidades nativas como repadmin.

Microsoft Entra Domain Services sustituye este enfoque práctico por barreras gestionadas. La administración se realiza a través de un grupo dedicado llamado Entra Domain Services Administrators, usando utilidades de gestión instaladas en una máquina virtual de Windows independiente y unida al dominio. Aunque puedes crear unidades organizativas personalizadas, gestionar registros DNS y aplicar los valores de directiva de grupo compatibles, quedas estrictamente apartado de la infraestructura principal.

Además, la gestión de identidades sigue un modelo de sincronización estrictamente unidireccional. Las identidades de usuarios y grupos fluyen desde tu origen autoritativo (usuarios solo en la nube en Entra ID o identidades sincronizadas desde un Active Directory local) hacia el dominio gestionado. Nunca debes intentar tratar Entra Domain Services como un directorio principal para modificar atributos de usuario, porque esos cambios no se sincronizarán de vuelta y acabarán sobrescritos.

Marco de decisión: elegir la arquitectura correcta

Seleccionar el enfoque correcto requiere evaluar los requisitos técnicos específicos de tu organización y su estrategia de nube a largo plazo. Si tu objetivo principal es migrar cargas de trabajo heredadas a Azure eliminando la carga operativa de ejecutar máquinas virtuales de Windows Server como controladores de dominio, un servicio gestionado casi siempre es la opción preferida.

Usa Microsoft Entra Domain Services cuando:

• Estés migrando aplicaciones heredadas a Azure que requieren consultas de lectura LDAP, Kerberos, NTLM o capacidades de unión al dominio.
• Tu organización quiera evitar la sobrecarga de parchear, monitorizar y recuperar máquinas virtuales de controladores de dominio propios en Azure.
• Operes una organización cloud-first o solo en la nube y necesites servicios de dominio tradicionales para un pequeño subconjunto de cargas de trabajo de Azure sin construir una infraestructura local.
• Las aplicaciones requieran la aplicación estándar de directivas de grupo o la gestión de cuentas de servicio dentro de una red virtual segura.

Elige controladores de dominio IaaS propios cuando:

• Tus aplicaciones heredadas requieran acceso de escritura LDAP o exijan modificaciones del esquema de Active Directory.
• Tu arquitectura empresarial requiera bosques multidominio complejos, configuraciones de confianza personalizadas o acceso directo a los sistemas operativos de los controladores de dominio.
• Tu equipo de seguridad exija control administrativo total, incluidos los privilegios de Admins de empresa y el despliegue directo de herramientas especializadas de auditoría de directorios.

Conclusión y próximos pasos

Diseñar una arquitectura de identidad sólida en Azure exige hacer coincidir cada carga de trabajo con el modelo de autenticación exacto que necesita. Mientras que las aplicaciones cloud modernas aprovechan Microsoft Entra ID para el inicio de sesión único basado en tokens y la autenticación multifactor, las cargas de trabajo heredadas suelen requerir los servicios de dominio tradicionales de Windows. Decidir si desplegar servicios cloud gestionados o construir tu propia infraestructura IaaS determina la carga operativa continua de tu equipo.

Para explorar este tema en profundidad y escuchar la opinión de expertos sobre seguridad del entorno de trabajo moderno, arquitectura cloud y estrategias de Microsoft 365, escucha la discusión completa en el podcast. Escucha el episodio completo para profundizar en la gestión de identidades de Microsoft.

Preguntas frecuentes

¿Puedo conectarme por RDP a los controladores de dominio al usar Entra Domain Services?

No. Microsoft gestiona por completo la infraestructura subyacente de los controladores de dominio, lo que significa que no tienes acceso administrativo al sistema operativo ni la posibilidad de conectarte a los controladores de dominio mediante escritorio remoto.

¿Qué ocurre con las contraseñas de los usuarios al habilitar Entra Domain Services?

Para que la autenticación Kerberos y NTLM funcione, Entra Domain Services requiere datos hash especializados. En el caso de los usuarios solo en la nube, normalmente esto significa que deben cambiar su contraseña después de habilitar el dominio gestionado para generar los hashes criptográficos necesarios.

¿Puedo modificar el esquema de Active Directory en Entra Domain Services?

No. Como se trata de un servicio cloud totalmente gestionado, los administradores no pueden alterar el esquema subyacente de Active Directory ni realizar operaciones de escritura LDAP que modifiquen las estructuras principales del directorio.

¿Cómo se sincronizan las identidades con Entra Domain Services?

Las identidades fluyen en una sola dirección desde tu origen autoritativo (Entra ID para los usuarios cloud, o Active Directory local mediante Entra Connect) hacia el dominio gestionado. Los cambios realizados directamente dentro del dominio gestionado no se sincronizan de vuelta hacia el origen.