Guía de federación de AD FS con Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-09-13

Comprende la federación de AD FS, el SSO, las relaciones de confianza y la seguridad; luego explora la migración de AD FS a Microsoft Entra ID y los problemas habituales de solución de problemas.

Automatically translated with AI from the original post. Read the English original

La federación con Active Directory Federation Services (AD FS) desempeña un papel central en la forma en que las organizaciones modernas gestionan la identidad digital y el inicio de sesión único (SSO). A medida que las empresas crecen y sus necesidades evolucionan, sobre todo con la llegada de las aplicaciones en la nube y las plataformas de colaboración, entender AD FS es más importante que nunca. Esta guía explica qué hace AD FS, cómo encaja en el ecosistema más amplio de Microsoft y por qué el paso a soluciones avanzadas como Entra ID y Azure AD está transformando el panorama de la autenticación empresarial.

Desde conceptos básicos como la identidad federada hasta estrategias de migración detalladas y prácticas recomendadas de seguridad, obtendrás una visión completa de cómo funciona AD FS, además de lo que necesitas saber si planeas migrar a una identidad en la nube moderna. Tanto si estás solucionando problemas en un entorno existente como si diseñas un enfoque nuevo, este recurso te ayudará a tomar decisiones informadas y a mantener tu autenticación bien protegida.

Fundamentos de Active Directory Federation Services

Active Directory Federation Services (AD FS) está en el centro de cómo muchas organizaciones conectan distintos sistemas de autenticación, sobre todo cuando hay una mezcla de recursos locales y servicios en la nube. El concepto central es sencillo: la identidad federada permite a los usuarios acceder a aplicaciones fuera de su entorno de origen con sus credenciales habituales. Se trata de derribar esas barreras digitales entre organizaciones y servicios, haciendo el acceso más seguro y ágil para todos.

Imagina que tienes socios, proveedores o equipos remotos que necesitan trabajar en tus sistemas, pero no quieres repartir un montón de nombres de usuario y contraseñas adicionales. AD FS entra en escena creando "puentes de confianza" para que esos usuarios puedan iniciar sesión como si estuvieran en casa. Es la respuesta de Microsoft a la eterna pregunta de cómo compartir recursos sin renunciar a la seguridad, y se apoya en estándares técnicos como SAML y OAuth.

Si estás empezando a explorar la federación de identidades, o llevas años gestionando relaciones de confianza entre dominios, esta sección sienta las bases. Veremos qué hace AD FS realmente, por qué sigue siendo relevante y cómo ha evolucionado junto con la realidad de los entornos cloud e híbridos. Los detalles llegarán en las partes siguientes, pero por ahora basta con saber que AD FS es tu punto de partida para una autenticación segura entre límites en entornos muy ligados a Microsoft.

¿Qué es Active Directory Federation y cómo funciona?

Active Directory Federation Services (AD FS) es una herramienta desarrollada por Microsoft que permite una autenticación segura y transparente entre límites organizativos y de dominio. En esencia, AD FS implementa la "identidad federada", lo que significa que tus usuarios pueden acceder a sistemas, aplicaciones o servicios que no controla tu dominio, usando siempre sus credenciales normales. Así, nadie tiene que recordar una docena de contraseñas ni hacer malabarismos con varios inicios de sesión para trabajar.

¿Cómo lo consigue? AD FS utiliza protocolos estándar del sector, como SAML (Security Assertion Markup Language) y OAuth, para establecer relaciones de confianza, a menudo llamadas "confianzas federadas", entre tu organización (el proveedor de identidades) y cualquier aplicación externa o socio (las partes que confían). La clave está en la autenticación basada en notificaciones: tras verificar al usuario, AD FS emite un "token de seguridad" que contiene notificaciones (básicamente, datos sobre la identidad y los derechos del usuario). La aplicación de destino comprueba el token y permite el acceso si todo es correcto.

Históricamente, AD FS ayudó a las grandes empresas a ofrecer inicio de sesión único (SSO) tanto para aplicaciones locales como para recursos en la nube como Office 365. Hace tiempo, antes de que los directorios nativos de la nube como Entra ID se generalizaran, AD FS era el puente que mantenía la autenticación fluida, incluso entre fronteras corporativas. Hoy sigue siendo un componente fundamental de los entornos híbridos, aunque muchas organizaciones están trazando ya su ruta hacia soluciones de identidad en la nube para ganar flexibilidad y seguridad.

Componentes principales de la arquitectura de AD FS

• Servidor de federación: el motor principal de AD FS que autentica a los usuarios, emite tokens basados en notificaciones y gestiona las relaciones de confianza con las partes que confían.
• Web Application Proxy (WAP): Actúa como puerta de enlace, proporciona acceso proxy seguro a los usuarios externos y protege los servidores de federación para que no queden expuestos directamente a Internet.
• Proveedor de notificaciones: Suministra los datos de identidad del usuario, a menudo extrayéndolos de Active Directory, para alimentar la generación de tokens y la emisión de notificaciones.
• Confianza de terceros de confianza: Representa las aplicaciones o sistemas externos que consumen y validan los tokens de AD FS; define cómo se transforman las notificaciones y qué usuarios están autorizados.
• Controlador de dominio: Autentica a los usuarios en Active Directory y confirma sus credenciales antes de emitir el token.

Flujos de autenticación de ADFS y confianza federada explicados

Cuando se trata de inicio de sesión único y acceso seguro, AD FS destaca por hacer que la autenticación resulte sencilla para los usuarios finales, aunque la parte posterior no lo sea tanto. La base de todo esto es la forma en que AD FS gestiona los flujos de autenticación y la confianza federada. Se trata de transferir credenciales, tokens y notificaciones de forma segura y eficiente desde el momento en que un usuario intenta iniciar sesión hasta que llega a la aplicación o al recurso de destino.

Aquí es donde los detalles de protocolos como SAML, WS-Federation y OAuth realmente demuestran su valor. El proceso avanza rápido: valida las credenciales del usuario, emite notificaciones, transforma atributos y envía los tokens correctos a los sistemas adecuados. Mientras tanto, las relaciones de confianza federada garantizan que las organizaciones de ambos lados del intercambio puedan confiar en quién accede a su puerta digital.

A continuación, describiremos paso a paso el recorrido típico de autenticación de AD FS y luego veremos cómo se configura la confianza federada para que dos organizaciones completamente independientes puedan permitir un acceso seguro entre empresas sin preocupaciones. Comprender estos conceptos prepara a los profesionales de TI y a los equipos de seguridad para todo, desde crear una federación segura hasta resolver más adelante problemas persistentes de acceso o de notificaciones.

Comprender los flujos de autenticación de ADFS

1. El usuario accede a la aplicación: El usuario intenta abrir una aplicación federada. Si es externo, primero pasa por Web Application Proxy; las solicitudes internas van directamente a AD FS.
2. Se envía la solicitud de autenticación: La parte que confía de la aplicación redirige el navegador del usuario al servidor de AD FS con una solicitud de autenticación que incluye el recurso al que quiere acceder.
3. Validación de credenciales: AD FS pide al usuario que inicie sesión (con credenciales de Windows, formularios, MFA o certificado) y comprueba esos datos con el controlador de dominio de Active Directory.
4. Creación de notificaciones: Una vez validado, AD FS crea un token basado en notificaciones. Este token incluye atributos del usuario, como el nombre de usuario, la pertenencia a grupos o el correo electrónico, según reglas preconfiguradas.
5. Emisión del token: AD FS firma el token de notificaciones de forma segura y lo devuelve al navegador del usuario.
6. La aplicación valida el token: El navegador envía el token a la aplicación de destino, que verifica su autenticidad mediante la parte pública del certificado de AD FS.
7. Acceso concedido: Si el token, las notificaciones y las reglas son correctos, la aplicación permite finalmente el acceso al usuario, sin pedirle otra contraseña.

Este flujo paso a paso funciona para el SSO habitual, ya sea que los usuarios sean internos o accedan a través de un socio federado. Una lógica similar se aplica a OAuth (muy popular en aplicaciones SaaS), lo que da a AD FS la flexibilidad necesaria para gestionar una amplia variedad de escenarios y protocolos de autenticación.

Establecer la confianza federada entre organizaciones

Configurar una confianza federada en AD FS implica crear una relación en la que dos organizaciones acuerdan aceptar mutuamente sus tokens de autenticación. Técnicamente, esto supone configurar cada lado para que reconozca al otro como proveedor de notificaciones de confianza o como parte que confía. Se intercambian certificados SSL para proteger la comunicación, y se establecen directivas de confianza personalizadas que determinan qué notificaciones se aceptan y cómo se asignan las identidades de los usuarios.

Una configuración de confianza correcta es la base de un SSO seguro y fluido para socios comerciales, proveedores o filiales, y permite colaborar sin reducir el nivel de seguridad de la organización.

Consideraciones de seguridad y prácticas recomendadas para la implementación de AD FS

Siempre que hablamos de federación y SSO, la seguridad pasa a ser una prioridad absoluta, porque una sola brecha o una confianza mal configurada puede propagarse muy rápido. Con AD FS, el foco está en proteger todo el proceso de emisión de tokens, asegurarse de que solo las personas adecuadas puedan autenticarse y mantener a los atacantes lejos de tus recursos más valiosos.

El panorama incluye desde el phishing de credenciales y el robo de tokens hasta las amenazas de denegación de servicio y los intentos de fuerza bruta. Necesitas defensas sólidas en cada paso: desde directivas de autenticación estrictas hasta flujos de tokens cifrados, y desde las actualizaciones periódicas hasta la monitorización en tiempo real. Este tipo de seguridad por capas no solo mantiene alejados a los atacantes, sino que también ayuda a las organizaciones a cumplir los requisitos de auditoría y gobernanza.

En las próximas secciones, desglosaremos defensas prácticas para AD FS, destacaremos los vectores de ataque más comunes y sus estrategias de mitigación, y resumiremos las mejores prácticas probadas para la configuración segura, la auditoría continua y la integración con programas más amplios de seguridad y gobernanza. Si buscas estrategias prácticas para reducir riesgos, incluidas las lecciones aprendidas de los entornos de Entra ID y Azure de Microsoft, sigue leyendo. Y si te interesa cómo trabajan juntos la identidad, el acceso condicional y la gobernanza en la nube, echa un vistazo a este episodio sobre estrategia de seguridad de identidad para profundizar.

Protección de la emisión de tokens y la autenticación en AD FS

• Aplica directivas sólidas de contraseñas y credenciales: Configura contraseñas complejas y reglas de caducidad estrictas para reducir la exposición de credenciales débiles.
• Habilita la autenticación multifactor (MFA): Añade un segundo paso de verificación (como un código por teléfono o un token de hardware) para bloquear los inicios de sesión no autorizados, incluso si la contraseña se ha visto comprometida.
• Usa canales de token seguros y cifrados: Exige SSL/TLS en todos los intercambios de tokens y asegúrate de que los tokens estén firmados y cifrados para evitar manipulaciones o escuchas.
• Restringe la vida útil de los tokens: Usa tokens de corta duración para limitar la ventana de ataque si un token es robado o reproducido.

Para más contexto sobre cómo prevenir ataques que eluden incluso la MFA, como el abuso del consentimiento de OAuth, consulta estos controles esenciales para proteger Entra ID.

Principales consideraciones de seguridad y mitigación de amenazas

• Phishing de credenciales: Forma a los usuarios para detectar el phishing y exige MFA para proteger el acceso en el momento del inicio de sesión.
• Reproducción y robo de tokens: Usa tiempos de vida de token cortos y validación continua de tokens para limitar el daño de los tokens interceptados.
• Ataques de denegación de servicio (DoS): Despliega AD FS y los servidores proxy en configuraciones de alta disponibilidad y limita la exposición a redes no confiables.
• Gestión de parches: Actualiza periódicamente AD FS y todos los sistemas dependientes para corregir vulnerabilidades antes de que los atacantes las exploten.
• Auditoría y monitorización: Implementa registros y monitorización sólidos para detectar pronto la actividad sospechosa; para un enfoque más amplio de confianza cero, consulta este episodio del podcast sobre Zero Trust.

Mejores prácticas para el despliegue y la monitorización de AD FS

• Redundancia y balanceo de carga: Despliega varios servidores de federación y proxy para eliminar puntos únicos de fallo y soportar grandes volúmenes de usuarios.
• Monitorización continua: Usa registros de auditoría, monitorización de eventos y alertas en tiempo real para detectar rápidamente patrones sospechosos.
• Auditorías de seguridad periódicas: Revisa las configuraciones y las relaciones de confianza en busca de desviaciones o carencias, y mantente al día con los cambios en las mejores prácticas.
• Integración con plataformas de seguridad en la nube: Conecta los registros y eventos de AD FS con herramientas SIEM como Microsoft Sentinel o Microsoft Purview Audit para la detección unificada de riesgos y los informes de cumplimiento.
• Gestión del ciclo de vida: Actualiza periódicamente los tokens, los certificados y la configuración de directivas para minimizar la «deuda de identidad» y el riesgo técnico.

Limitaciones de ADFS y problemas de solución de problemas en las organizaciones modernas

Aunque AD FS ayudó a muchas organizaciones a conectar sistemas y usuarios en el pasado, no es ningún secreto que la tecnología trae consigo bastantes dolores de cabeza modernos. Si has gestionado una infraestructura de AD FS, conoces la rutina: hay costes de mantenimiento, configuraciones de confianza complejas y actualizaciones que aparecen cuando menos lo esperas. Sumale entornos cloud que crecen rápidamente y, de repente, los métodos tradicionales empiezan a parecer bastante anticuados.

Las limitaciones no son solo técnicas: pueden convertirse en riesgos para el negocio. Piensa en la fiabilidad de la autenticación, en lo fácil que es escalar y en lo rápido que puedes adaptarte cuando llega el próximo requisito de un SaaS. Estos son los puntos conflictivos que empujan a más equipos a mirar identidades basadas en la nube, como Entra ID. Pero antes de dar cualquier paso importante, es fundamental saber qué vigilar y qué hacer cuando algo se rompe en tu entorno de AD FS.

A continuación, analizaremos las principales limitaciones que frenan a AD FS en las empresas actuales y desglosaremos pasos prácticos de resolución de problemas para los incidentes que más probablemente lleguen a tu mesa de soporte. Dominar estos fundamentos puede darte tiempo y confianza valiosos, tanto si estás manteniendo el servicio en marcha como si te preparas para una migración.

Principales limitaciones de AD FS para la autenticación empresarial

• Alto coste de mantenimiento: Los despliegues de AD FS exigen parches, monitorización y mantenimiento del hardware constantes, lo que eleva los costes operativos.
• Integración limitada con la nube: El AD FS heredado no puede igualar las integraciones nativas y profundas con SaaS o con la seguridad nativa de la nube que ofrece Entra ID o Azure AD.
• Configuración compleja: Configurar escenarios de múltiples bosques o entre dominios introduce más piezas móviles y más oportunidades de errores de configuración.
• Desafíos de escalabilidad: El crecimiento de la base de usuarios o las necesidades de acceso global suelen requerir servidores adicionales y configuraciones de red sofisticadas.

Solución de problemas comunes de AD FS

1. Fallos de autenticación: Revisa los permisos de la cuenta de servicio, la conectividad con los controladores de dominio y los intentos de inicio de sesión fallidos en los registros de eventos de AD FS (el Id. de evento 364 indica problemas de emisión de tokens).
2. Errores de emisión de tokens: Revisa la configuración de las reglas de notificaciones y de los certificados: los certificados caducados o que no coinciden suelen provocar fallos.
3. Relying parties mal configuradas: Verifica los puntos de conexión, las relaciones de confianza y las transformaciones de notificaciones para asegurar la asignación correcta entre sistemas.
4. Bloqueos de cuentas o problemas de contraseñas: Asegúrate de que la sincronización de contraseñas y las directivas de cuenta sean coherentes en todos los bosques y dominios.
5. Supervisa los registros de AD FS: Usa los Id. de evento relevantes (como el 100 para emisiones de tokens correctas o la serie 300 para problemas de configuración) para identificar las causas raíz con rapidez.

Migrar de AD FS a Entra ID y el futuro de la federación

Para las organizaciones que todavía mantienen un pie en el AD FS heredado y el otro en la nube, el camino por delante se aclara. Las soluciones de identidad en la nube, como Azure AD y Entra ID, ofrecen una autenticación sólida, flexible y más segura para las cargas de trabajo modernas, incluso para esas aplicaciones antiguas y difíciles que antes dependían exclusivamente de AD FS. El sector avanza en esta dirección por buenas razones: menos carga de hardware, modelos de confianza más sencillos y una postura de seguridad preparada para amenazas cambiantes y exigencias de cumplimiento.

Pero cambiar desde AD FS no es algo que se resuelva de un día para otro. Migrar a Entra ID (la nueva marca que agrupa los servicios de identidad de Microsoft) implica revisar las relaciones de confianza, la integración de aplicaciones y cómo funcionarán en el nuevo entorno directivas como el acceso condicional y la gobernanza. Hecho correctamente, obtienes una mayor satisfacción de los usuarios y controles más sólidos y coherentes entre los sistemas en la nube y los locales.

A continuación, encontrarás una comparación directa entre AD FS y la identidad en la nube, además de estrategias probadas para una transición gradual y sin contratiempos que no altere a los usuarios ni abra nuevos agujeros de seguridad. Si quieres una muestra de los retos de riesgo y gobernanza que conlleva el acceso condicional en Entra ID, este análisis en profundidad sobre los bucles de seguridad de identidad también es un buen punto de partida.

AD FS frente a la identidad basada en la nube con Azure AD y Entra ID

• Limitaciones de AD FS: Requisitos de hardware locales, parcheo, gestión compleja de relaciones de confianza y reglas de notificaciones, integración nativa limitada con la nube y SaaS, y una respuesta más lenta a las nuevas amenazas de seguridad.
• Ventajas de Azure AD y Entra ID: integración nativa con Microsoft 365, configuración más sencilla, acceso condicional integrado, incorporación rápida de SaaS, aplicación coherente de directivas y protección de identidad reforzada para las cargas de trabajo en la nube.
• Motivos estratégicos para migrar: menores costes de mantenimiento, gestión simplificada, acceso escalable y modelos de seguridad basados en directivas que se adaptan a medida que crece el negocio.

Si quieres profundizar en cómo las excepciones y autorizaciones acumuladas generan una «deuda de identidad» y cómo una gobernanza adecuada en Entra ID transforma la seguridad de la identidad en la nube, consulta este podcast sobre la identidad como plano de control.

Estrategias de migración para una transición sin interrupciones de AD FS a Entra ID

• Descubrimiento: inventaría todos los fideicomisos de confianza de la parte que confía, las reglas de notificaciones y las aplicaciones integradas vinculadas a AD FS; mapea las dependencias e identifica las cargas de trabajo listas para migrar.
• Planificación: diseña un plan de migración por fases, configura Entra ID y valida los conectores en la nube para la coexistencia híbrida si es necesaria.
• Coexistencia: ejecuta AD FS en paralelo con Entra ID, traslada gradualmente las aplicaciones para que se autentiquen con Azure AD y supervisa la experiencia de los usuarios y los registros de acceso.
• Cambio definitivo: migra los usuarios y las cargas de trabajo finales a Entra ID, elimina los fideicomisos heredados y las reglas personalizadas y retira la infraestructura local de AD FS una vez completada la validación.
• Ajuste posterior a la migración: revisa las directivas de acceso condicional, el aprovisionamiento de usuarios y los informes en Entra ID para cerrar el ciclo y preparar tus prácticas de identidad para el futuro.

También te recomendamos escuchar

Si estás investigando la federación de ADFS con Entra ID, estos episodios aportan contexto práctico sobre arquitectura, seguridad, gobernanza e implementación:

• Microsoft AI Agent Harness – Simply Explained — Comprende la orquestación, las barreras de protección, la evaluación y los flujos de trabajo de IA fiables.
• Microsoft Defender XDR – Simply Explained — Conecta las decisiones de identidad e IA con la supervisión y la respuesta de seguridad.
• Microsoft Teams Governance – The Illusion of Control — Descubre cómo la gobernanza, la propiedad y las directivas reducen el riesgo operativo.
• Azure Virtual Network – Simply Explained — Comprende el contexto de arquitectura que hay detrás de la conectividad en la nube.