Ejecución de una migración sin fricciones a Microsoft Entra ID

By Mirko Peters · 2026-08-22

¿Por qué migrar a Microsoft Entra ID ahora? Las organizaciones abandonan cada vez más los sistemas de identidad fragmentados para simplificar la gestión de accesos. Migrar a …

Automatically translated with AI from the original post. Read the English original

¿Por qué migrar a Microsoft Entra ID ahora?

Las organizaciones abandonan cada vez más los sistemas de identidad fragmentados para simplificar la gestión del acceso. Migrar a Microsoft Entra ID (antes Azure Active Directory) ofrece una plataforma de identidad universal que centraliza la autenticación tanto para los recursos en la nube como para los locales. A diferencia de proveedores heredados como SiteMinder, que dependen de la autenticación basada en encabezados, Entra ID admite protocolos modernos como SAML, OpenID Connect y OAuth para proteger los entornos de trabajo híbridos.

Consolidar tu pila de identidad permite adoptar medidas de seguridad resistentes al phishing, que los sistemas locales más antiguos no soportan de forma nativa. Al hacer el cambio, los equipos pueden aprovechar funciones automatizadas de gobernanza, como el acceso temporal mediante Privileged Identity Management y una gestión optimizada del ciclo de vida. Además, la plataforma habilita métodos de inicio de sesión sin contraseña, como las llaves FIDO2 y la aplicación Microsoft Authenticator, lo que reduce significativamente el riesgo de robo de credenciales.

El podcast M365 FM Podcast cubre con regularidad estas transiciones y ayuda a los arquitectos a afrontar el paso de los Servicios de federación de Active Directory (AD FS) heredados a la autenticación nativa en la nube. Mientras que, según un estudio multinube de 2025, el 75 % de las empresas gestiona ya dos o más proveedores de identidad, estandarizar un único plano de control reduce la deuda técnica y mejora tu postura general de Zero Trust.

Mapea tus dependencias antes de sincronizar

Antes de iniciar cualquier sincronización, debes realizar una auditoría exhaustiva de tus dependencias locales actuales. Esto incluye inventariar servicios críticos como DNS, objetos de directiva de grupo y aplicaciones heredadas que puedan depender de Kerberos o NTLM. No pases por alto componentes de infraestructura como los relés SMTP, los servidores RADIUS y las configuraciones de autenticación de impresoras, ya que suelen fallar durante una migración de tipo lift-and-shift. Aunque plataformas como el M365 FM Podcast insisten en el paso a protocolos modernos, muchas organizaciones siguen alojando cargas de trabajo heredadas que requieren rutas de conectividad específicas.

Definir el estado objetivo

Decide desde el principio si quieres un modelo totalmente solo en la nube o una configuración de identidad híbrida. Un modelo de identidad híbrida te permite sincronizar objetos de usuario y de grupo, conservando los componentes locales necesarios. En cambio, un modelo solo en la nube elimina por completo AD FS y simplifica la carga de administración. Si decides mantener componentes híbridos, utiliza Microsoft Defender for Identity para identificar proactivamente vulnerabilidades y gestionar las identidades comprometidas en la infraestructura local que conserves.

• Audita los protocolos de autenticación heredados, incluidos LDAP y Kerberos, que a menudo no tienen equivalentes directos en la nube.
• Elimina las cuentas obsoletas y resuelve las discrepancias de UPN para evitar errores de sincronización.
• Aplana los grupos anidados siempre que sea posible, ya que pueden generar estructuras de permisos complejas e no previstas en la nube.
• Comprueba si las soluciones MDM de terceros o los requisitos de red aislada hacen necesario mantener AD FS más tiempo del previsto.

La transición a un modelo de identidad nativo de la nube comienza con una auditoría completa de tu entorno actual. Una vez que conozcas tu huella, implementa una base de identidad híbrida con Microsoft Entra Connect para sincronizar tu directorio. Un paso fundamental es dejar atrás AD FS y pasar a métodos de autenticación nativos de la nube, como Password Hash Sync o Pass-Through Authentication, mientras usas el AD FS Application Migration Wizard para reconfigurar las aplicaciones de confianza para Microsoft Entra ID. Durante todo este proceso, utiliza herramientas de seguridad para proteger tu infraestructura. Por último, cuando tus aplicaciones y usuarios estén completamente migrados, podrás dar de baja de forma sistemática tus controladores de dominio locales heredados.

Probar la autenticación en la nube con Staged Rollout

Pasar de Active Directory Federation Services (AD FS) a la autenticación nativa de la nube requiere una estrategia de validación fiable. Staged Rollout actúa como puente en esta transición, ya que te permite migrar de forma selectiva grupos de usuarios a la validación en la nube, manteniendo disponible tu infraestructura de federación existente como alternativa de respaldo. Así se reduce el riesgo, porque los posibles problemas quedan aislados en pequeños segmentos de tu base de usuarios.

Configurar tu fase piloto

Antes de empezar, verifica tu método de sincronización. Debes configurar Password Hash Synchronization o Pass-through Authentication junto con tu entorno activo de AD FS. Cuando las identidades en la nube estén sincronizadas, ve al Centro de administración de Microsoft Entra para habilitar la función en grupos de seguridad específicos. Para evitar cuellos de botella de rendimiento o tiempos de espera que afecten a la experiencia del usuario, empieza limitando tu grupo piloto inicial a no más de 200 usuarios.

• Mantén tu proveedor de identidades federado en línea durante todo el despliegue para garantizar una ruta de respaldo sin interrupciones.
• Supervisa los patrones de autenticación y el estado de la transición en el Centro de administración de Microsoft Entra.
• Recuerda que Staged Rollout es un mecanismo temporal, no una configuración a largo plazo; prepárate para un cambio completo de dominio una vez concluidas las pruebas.

Convertir tu dominio federado a administrado

Pasar de un modelo federado a una autenticación administrada es un hito importante que simplifica tu entorno y elimina la dependencia de infraestructura heredada como AD FS. Antes de iniciar este cambio, asegúrate de que tu estrategia de sincronización sea sólida. El M365 FM Podcast insiste con frecuencia en que las organizaciones que no verifican el estado de su sincronización antes de un cambio corren el riesgo de bloquear a los usuarios a gran escala.

¿Cuáles son los pasos esenciales para convertir un dominio federado en un dominio administrado en Entra ID? Para convertir un dominio federado en uno administrado, primero debes asegurarte de que Password Hash Synchronization (PHS) o Pass-through Authentication (PTA) estén completamente configurados y verificados.

1. Conéctate al SDK de Microsoft Graph PowerShell con el comando Connect-MgGraph -Scopes "Domain.ReadWrite.All".
2. Asegúrate de tener asignado el rol de Administrador de nombres de dominio o de Administrador global, ya que estos permisos son obligatorios para modificar la configuración del dominio.
3. Ejecuta Update-MgDomain -DomainId <your-domain.com> -AuthenticationType "Managed" para iniciar el proceso de conversión.
4. Verifica la actualización del estado del dominio en el Centro de administración de Microsoft Entra y realiza pruebas inmediatas con un grupo piloto de usuarios para confirmar que la autenticación en la nube funciona correctamente.

Ten en cuenta que la conversión del dominio puede tardar hasta 60 minutos en propagarse. Durante este periodo, las sesiones de navegador existentes normalmente siguen activas, pero las nuevas solicitudes de autenticación empezarán a usar el flujo gestionado. Si encuentras problemas, Staged Rollout sigue siendo tu mejor red de seguridad para validar cada caso por separado.

Anticipa los errores habituales de la migración

¿Qué desafíos comunes deben anticipar los arquitectos cloud durante una transición a Entra ID? Los riesgos más importantes aparecen cuando los equipos tratan la migración como un simple cambio de plataforma en lugar de una re-arquitectura completa de la gestión de endpoints. Aunque el foco suele estar en las cuentas de usuario, tu infraestructura depende de protocolos muy arraigados como RADIUS para el acceso a la red, los relés SMTP para la mensajería y la autenticación de impresoras heredadas, que no pueden pasar simplemente a la nube sin un plan.

No realizar un inventario exhaustivo de dependencias antes de sincronizar objetos es una de las principales causas de interrupciones durante la migración. Al mapear estos flujos de trabajo, debes decidir entre una configuración híbrida permanente o un modelo totalmente solo en la nube. Permanecer indefinidamente en un estado intermedio sin gestionar suele provocar brechas de seguridad y fricción operativa. Los lectores suelen comprobar que definir este estado objetivo desde el principio reduce la complejidad de gestionar entornos duales.

La deuda técnica suele manifestarse en cuentas obsoletas, estructuras de grupos muy anidadas y discrepancias en los UPN que se arrastran y contaminan tu nuevo entorno. En lugar de migrar el desorden heredado, limpia los atributos de Active Directory para garantizar una transición fluida a Microsoft Entra ID. Para afrontar estos obstáculos, la documentación de migración de aplicaciones de Microsoft Entra ofrece un enfoque estructurado para clasificar las aplicaciones, lo que ayuda a priorizar las integraciones sencillas antes de abordar las dependencias heredadas más complejas.

Aprovecha el asistente de migración de aplicaciones de AD FS y otras herramientas

Trasladar las aplicaciones heredadas fuera de Active Directory Federation Services (AD FS) suele parecer la parte más intimidante de un proyecto de modernización de identidad. Para simplificarlo, el asistente de migración de aplicaciones de AD FS actúa como una herramienta especializada para descubrir, evaluar y configurar las aplicaciones de confianza (relying party). Mediante la automatización, los arquitectos pueden analizar las configuraciones existentes y obtener informes sobre la elegibilidad de las aplicaciones, que indican qué servicios están listos para un traslado inmediato y cuáles presentan obstáculos técnicos.

Para afrontar esta transición, sigue un ciclo de vida de migración estructurado. Empieza usando Discovery and Scope para catalogar cada aplicación, incluidas las que están en desarrollo. Prioriza la fase de clasificación abordando primero las aplicaciones SaaS sencillas de la galería que admiten varios proveedores de identidad, y deja para después las aplicaciones personalizadas heredadas y complejas. Para las aplicaciones web que no pueden modernizarse por completo, Microsoft Entra application proxy y Secure Hybrid Access (SHA) permiten cubrir esa brecha, ofreciendo acceso remoto seguro sin necesidad de una VPN tradicional.

Elige tu método de autenticación en la nube: PHS, PTA o CBA

Elegir la ruta de autenticación adecuada determina tu postura de seguridad y la experiencia de los usuarios. Microsoft recomienda Password Hash Synchronization (PHS) como opción preferente para la mayoría de las organizaciones. Al sincronizar los hashes de contraseña con la nube, habilitas funciones de seguridad esenciales como la detección de credenciales filtradas e Identity Protection, a la vez que facilitas la transición a métodos de inicio de sesión sin contraseña modernos, como las llaves FIDO2.

En entornos donde las normativas impiden almacenar hashes de contraseñas en la nube, la autenticación de paso a través (Pass-through Authentication, PTA) es una alternativa viable. Este método valida las credenciales del usuario directamente contra tu Active Directory local. Si implementas PTA, asegúrate de instalar varios agentes de autenticación ligeros para mantener una alta disponibilidad, ya que estos servidores se convierten en los principales guardianes de los inicios de sesión en la nube.

Cuando necesites cumplir requisitos estrictos de resistencia al phishing, como los que establece la EO 14028, avanza hacia la autenticación basada en certificados de Microsoft Entra (Certificate-based Authentication, CBA). Este enfoque permite a los usuarios autenticarse con tarjetas inteligentes o certificados, lo que ofrece una verificación de identidad de alta garantía que no depende de tu servidor de federación local.

Para que la experiencia de usuario sea fluida durante la transición, implementa el inicio de sesión único sin interrupciones (Seamless SSO) junto con el método elegido. Si tu plantilla usa dispositivos macOS o iOS, debes desplegar el complemento Microsoft Enterprise SSO para dispositivos Apple para garantizar inicios de sesión fluidos y persistentes, sin solicitudes de autenticación constantes. En nuestra experiencia, combinar estos métodos con directivas de acceso condicional sólidas ofrece el mejor equilibrio entre seguridad empresarial y productividad del usuario final.

Planifica la retirada de AD FS

Retirar la infraestructura de federación heredada es el último paso para lograr una postura de identidad moderna. Antes de tomar cualquier acción permanente, debes verificar que ningún tráfico residual depende de tu granja de AD FS. Usa el informe de Connect Health Usage Analytics para confirmar que todas las solicitudes de autenticación se han migrado correctamente a Microsoft Entra ID.

Una vez confirmado que la autenticación gestionada en la nube es estable y que ningún usuario accede a los servidores de federación, realiza una copia de seguridad completa de todo el entorno. Esta medida de seguridad es esencial por si necesitas restaurar la conectividad durante la limpieza final.

1. Elimina todas las entradas de tu equilibrador de carga local para detener el tráfico entrante.
2. Actualiza o elimina los registros DNS asociados a tus servicios de federación para redirigir las solicitudes.
3. Desinstala de forma sistemática los roles de servidor Web Application Proxy y AD FS.
4. Limpia los datos de configuración residuales borrando los contenedores de certificados mediante ADSI Edit para garantizar que el entorno quede completamente purgado.

Eliminar estos componentes heredados reduce tu superficie de ataque y la carga de administración. Al retirar sistemáticamente estas capas, consolidas tu transición hacia un modelo de identidad nativo de la nube.

Migra las directivas de autenticación antes de la fecha límite

Microsoft está consolidando sus controles de identidad heredados en una directiva de métodos de autenticación unificada para ofrecer una gestión más granular y centralizada. Este cambio sustituye las interfaces de MFA y SSPR antiguas y desconectadas por un único motor de directivas simplificado en el Centro de administración de Microsoft Entra. Para la fecha límite del 30 de septiembre de 2025, todas las organizaciones deben completar esta transición, ya que los portales de gestión heredados dejarán de admitir la configuración o la resolución de problemas de los ajustes de autenticación.

Para empezar, ve a Protección > Métodos de autenticación > Directivas en el portal de Entra. Usa el asistente de migración integrado para auditar tu entorno actual e identificar conflictos entre la configuración heredada existente y el nuevo marco. Establecer el estado de migración en 'Migración en curso' es una práctica recomendada, ya que te permite probar las nuevas directivas mientras la configuración heredada sigue activa para los usuarios actuales.

• Los métodos de autenticación avanzados, como las llaves de seguridad FIDO2, el Temporary Access Pass (TAP) y la autenticación basada en certificados, se gestionan exclusivamente a través de la nueva directiva.
• El proceso de migración es reversible, lo que te permite alternar entre estados si necesitas restaurar el comportamiento heredado durante la fase de pruebas.
• La herramienta automatizada migra la configuración de todo el inquilino, pero es necesaria una revisión manual para asegurarte de que las configuraciones específicas de grupos se replican correctamente.
• Pasar a esta directiva unificada permite alinearte mejor con los estándares de seguridad modernos, como la autenticación MFA resistente a phishing.

Como en cualquier transición de identidad, vigila el impacto en el registro de los usuarios. Si desactivas un método en el que los usuarios confían actualmente, es posible que tengan que volver a registrarlo antes de poder acceder a los recursos corporativos. Supervisar los registros de inicio de sesión desde el Centro de administración de Microsoft Entra te ayudará a comprobar que esta actualización de la directiva no interrumpe las operaciones del negocio mientras avanzas hacia una postura de autenticación unificada y más segura.

Protege con el acceso condicional y la supervisión

Migrar a una seguridad nativa de la nube requiere una validación cuidadosa para evitar bloquear a los usuarios. Antes de aplicar nuevos estándares de seguridad, prueba siempre tus directivas de acceso condicional en modo de solo informe. Usa la herramienta What If del Centro de administración de Microsoft Entra para simular cómo afectarán las directivas específicas al acceso de los usuarios según la ubicación, el estado del dispositivo o la sensibilidad de la aplicación. Este paso proactivo garantiza que tus reglas de seguridad sean eficaces y no causen interrupciones.

Más allá de las pruebas, también debes actualizar tus umbrales de bloqueo. Durante la migración, configura el bloqueo inteligente en Microsoft Entra ID con un intervalo más corto que la configuración de Active Directory local para mitigar de forma más inmediata los ataques de fuerza bruta. Para mantener la visibilidad durante la transición, apóyate en los libros de Hybrid Auth para supervisar los flujos de autenticación e identificar posibles anomalías. Debes seguir de cerca estos registros de inicio de sesión durante una o dos semanas tras la migración para verificar que los usuarios se autentican correctamente y para poder revertir rápidamente los cambios si surgen problemas.

Para una protección a largo plazo, utiliza Microsoft Entra Backup and Recovery, que ya está disponible con carácter general. Esta función realiza copias de seguridad automáticas de los objetos críticos del directorio, incluidos los usuarios, los grupos y las directivas de acceso condicional que acabas de configurar. Usar estas herramientas integradas ayuda a restaurar tu inquilino a un estado correcto conocido si se producen cambios accidentales o malintencionados.

Documentación y recursos para dominar Microsoft Entra ID

¿Dónde puedo encontrar la documentación y los recursos más recientes para dominar Microsoft Entra ID? Para dominarlo, tu destino principal es el portal oficial de Microsoft Learn, que ofrece rutas de aprendizaje estructuradas que abarcan desde los conceptos básicos de identidad hasta la gobernanza avanzada y las directivas de acceso condicional.

Para la administración diaria y los análisis técnicos en profundidad, la documentación de Entra ID ofrece guías completas sobre integración de aplicaciones, identidad híbrida y supervisión de la seguridad. Si prefieres la formación dirigida por instructores, consulta los Microsoft Virtual Training Days: sesiones gratuitas en tiempo real que te ayudan a preparar los exámenes de certificación.

Además, seguir de forma periódica la sección 'What's New' de la documentación de Entra es fundamental para mantenerse al día con las rápidas actualizaciones del producto.

Gobierna el acceso con PIM y la gestión del ciclo de vida de las identidades

Pasar a un modelo de identidad nativo de la nube requiere abandonar el acceso administrativo permanente. Microsoft Entra ID Privileged Identity Management (PIM) lo aborda permitiendo la activación de roles basada en el tiempo y con aprobación. A diferencia de los sistemas heredados, que conceden permisos persistentes, PIM aplica un acceso just-in-time, lo que reduce significativamente la superficie de ataque de las cuentas privilegiadas.

La gestión eficaz del ciclo de vida de las identidades suele empezar por el aprovisionamiento basado en RRHH. Al integrar fuentes como Workday o SuccessFactors, las organizaciones automatizan la creación, las actualizaciones y la desprovisión de usuarios, y garantizan que los derechos de acceso se mantengan sincronizados con la situación real del empleado. Así se elimina el riesgo de las cuentas huérfanas que suelen acumularse en entornos manuales.

Automatizar el acceso y el cumplimiento

Para la gestión continua de recursos, Entitlement Management automatiza las solicitudes de acceso, las asignaciones y los vencimientos para aplicaciones y grupos. Para mantener una postura de Zero Trust, los administradores deben implementar revisiones de acceso periódicas que verifiquen que los permisos siguen siendo necesarios. Estas revisiones ayudan a garantizar el cumplimiento al validar que solo los usuarios autorizados conservan el acceso a grupos o roles sensibles.

• Usa grupos dinámicos como fuente automatizada de autoridad para los grupos locales.
• Aprovecha la sincronización de grupos entre inquilinos para mantener una pertenencia a grupos coherente en varios entornos.
• Permite que los equipos revoquen sesiones o deshabiliten usuarios sin necesidad de privilegios excesivos en el directorio.

Planificar las identidades externas y la preparación para el futuro

Gestionar las identidades externas requiere un enfoque proactivo, ya que Microsoft está cambiando su oferta de servicios. Las organizaciones que dependen de Azure AD B2C deben prepararse para una transición manual a Microsoft Entra External ID, ya que actualmente no existe una ruta nativa y totalmente automatizada entre ambas plataformas. Tendrás que exportar los datos de usuario de tu directorio actual e importarlos en el nuevo inquilino. Aunque hay disponible en GitHub un conjunto de herramientas de migración con soporte de la comunidad que facilita el proceso, conviene aprovechar la migración de contraseñas Just-In-Time (JIT) para que el primer inicio de sesión de los usuarios sea más sencillo.

Más allá de la gestión de identidades externas, también es necesario prestar atención a la arquitectura de sincronización principal. Microsoft está iniciando una transición de Microsoft Entra Connect Sync a Microsoft Entra Cloud Sync, nativo de la nube, con notificaciones oficiales de migración programadas para comenzar en julio de 2026. Este cambio reduce la complejidad local al trasladar la lógica de sincronización a la nube.

La seguridad sigue siendo la prioridad durante estas actualizaciones. A partir del 1 de junio de 2026, Microsoft bloqueará las operaciones de "hard-match" que vinculan nuevos usuarios de Active Directory local con cuentas gestionadas en la nube que ya tienen roles administrativos. Esta medida de protección está diseñada para evitar la manipulación de atributos y proteger tus identidades más privilegiadas frente a una toma de control no autorizada. Al preparar tu entorno para el futuro, revisa ahora tus conexiones entre inquilinos y tus asignaciones administrativas existentes para evitar interrupciones del servicio cuando entren en vigor estos controles de seguridad.

El camino hacia una identidad sin fisuras en la nube

Tu proceso de modernización de identidades es un proceso de varias etapas que va desde el descubrimiento y la definición del alcance hasta un estado de nube totalmente gestionado. Al construir una base híbrida sólida, dejas atrás las fricciones de los sistemas heredados y avanzas hacia las capacidades de Microsoft Entra ID. Las transiciones exitosas dependen de una validación rigurosa, en concreto mediante Staged Rollout, que permite probar los métodos de autenticación con grupos de usuarios seleccionados antes de un cambio completo.

Tras la migración, tu trabajo pasa a centrarse en la supervisión activa de los registros de inicio de sesión y en las configuraciones de directiva de métodos de autenticación. La coherencia es esencial, y siempre debes verificar que la actividad de federación heredada ha cesado antes de la desactivación definitiva. Para estar al día de estos cambios, sintoniza el podcast M365 FM y obtén información diaria sobre estas novedades.

No esperes a la fecha límite final para abordar tu deuda técnica. Empieza hoy mismo a auditar tus dependencias para habilitar el inicio de sesión sin contraseña y las funciones de seguridad avanzadas. Tanto si estás refactorizando aplicaciones heredadas como consolidando directivas, la hoja de ruta hacia la nube está más clara que nunca si utilizas los recursos de documentación oficiales.