Microsoft Entra External ID: gestión de identidades externas e inquilinos

By Mirko Peters · 2026-04-02 · Updated 2026-09-13

Gestiona las identidades externas con Microsoft Entra: incorporación de socios e invitados, colaboración B2B, acceso entre inquilinos, acceso condicional y revisiones de acceso.

Automatically translated with AI from the original post. Read the English original

Microsoft Entra External ID ayuda a las organizaciones a gestionar las identidades de clientes, socios e invitados fuera del inquilino de la plantilla. Empieza por separar el escenario de negocio, definir el ciclo de vida de las identidades y los métodos de inicio de sesión, asignar propietarios responsables y probar las directivas de acceso con usuarios representativos. El diseño de identidades externas debe combinar desde el principio la experiencia de usuario, la seguridad, la gobernanza y el coste operativo.

Microsoft Entra External Identities lleva el mundo exterior a tu ecosistema de Microsoft 365 de forma segura. Si tienes socios, proveedores, contratistas o incluso algunos invitados que necesitan acceder a Teams o SharePoint, esto es lo que mantiene todo fluido y seguro. Entra facilita que los usuarios externos colaboren como si formaran parte de tu equipo, sin dejar nunca que el zorro entre en el gallinero.

Para los profesionales de TI, esto significa menos noches en vela preocupados por quién anda por tu inquilino o qué datos están consultando. Microsoft Teams, SharePoint y el resto de la familia de Microsoft 365 se convierten en entornos más seguros para que todos puedan trabajar juntos. Esta guía explica exactamente cómo implementar, gobernar y escalar las identidades externas, manteniendo un control riguroso de los requisitos de seguridad y cumplimiento, porque nadie quiere aparecer en los titulares del próximo incidente de seguridad. Si quieres saber más sobre el valor de unas sólidas barreras de colaboración, consulta how Teams governance turns chaos into confident collaboration.

7 datos sorprendentes sobre Microsoft Entra External Identities

1. Escala masiva para inicios de sesión de consumidores y socios: Entra ID External Identities admite millones de usuarios externos y puede escalar para gestionar grandes volúmenes de inicios de sesión de consumidores mediante limitación inteligente integrada e infraestructura global, lo que lo hace adecuado para aplicaciones de cara al cliente con mucho tráfico.
2. Precio por usuario activo: En lugar de la tradicional licencia por cuenta, Entra ID External Identities ofrece un modelo de pago por consumo según los usuarios externos activos mensuales, lo que puede reducir considerablemente los costes en aplicaciones con muchos usuarios esporádicos.
3. Compatible con proveedores de identidad sociales y empresariales: Puedes permitir que los usuarios externos inicien sesión con cuentas sociales (Google, Facebook, Apple) o mediante federación empresarial (SAML, OpenID Connect, Azure AD), lo que ofrece una experiencia de identidad flexible sin necesidad de código de autenticación personalizado.
4. Colaboración entre inquilinos mediante invitación y federación directa: Entra ID External Identities permite la colaboración B2B mediante invitaciones, federación directa o gestión de derechos, lo que simplifica el acceso de los socios sin renunciar a la seguridad ni a la gobernanza.
5. Acceso condicional y protección de identidades integrados: Los usuarios externos pueden estar sujetos a las mismas directivas de acceso condicional, MFA y protecciones basadas en riesgo que los usuarios internos, lo que reduce la superficie de ataque de las identidades de clientes y socios.
6. Marca personalizada y flujos de usuario configurables: Mediante las funciones de Azure AD B2C dentro de Entra ID External Identities, las organizaciones pueden crear experiencias de registro e inicio de sesión totalmente personalizadas y adaptar los flujos de usuario para la verificación, la vinculación de cuentas sociales y la recopilación de datos de perfil.
7. Integración perfecta con el ecosistema de Microsoft y las API: Entra ID External Identities se integra con Microsoft Graph, las aplicaciones de Azure AD, el control de acceso basado en roles y los servicios posteriores, lo que permite gestionar de forma centralizada las identidades externas en aplicaciones de Microsoft y personalizadas.

Qué son las identidades externas en Microsoft Entra

En el mundo de Microsoft Entra, las identidades externas son justo lo que sugiere su nombre: cuentas que pertenecen a personas ajenas a tu organización. En lugar de dar a personas externas un acceso completo de empleado (que nadie quiere), Entra permite incorporar usuarios externos en condiciones controladas. Pueden ser socios que trabajan en un proyecto conjunto, proveedores que dan soporte a tus sistemas de TI, freelancers que colaboran en diseño o clientes que acceden a un portal compartido.

Entonces, ¿qué hace que una identidad sea "externa"? En esencia, es cualquier persona que usa sus propias credenciales (como su cuenta de la empresa, una cuenta de Microsoft o incluso una cuenta de Google) para acceder a tus aplicaciones, espacios de Teams o documentos compartidos. Los usuarios internos obtienen sus identidades de tu propio directorio. Los colaboradores externos llegan con credenciales emitidas por otra organización, pero su acceso está regido por tus directivas de seguridad.

¿Casos de uso habituales? Piensa en permitir que un socio de construcción colabore en un proyecto en Teams, o en compartir documentos confidenciales de SharePoint con un organismo público. En lugar de crear un nuevo nombre de usuario y contraseña para cada persona ajena, la incorporas como invitada, gestionas sus permisos con rigor y mantienes una separación clara entre lo interno y lo externo. Este enfoque ayuda a las organizaciones a colaborar a gran escala, reducir la carga administrativa y mantener el control sobre quién puede ver qué, cuándo y por qué. También respalda los esfuerzos de cumplimiento normativo al registrar los accesos externos y aplicar controles de seguridad desde el principio.

Con el trabajo moderno, que exige colaborar con regularidad más allá de las paredes de la oficina, contar con una configuración sólida de identidades externas en Microsoft Entra ya no es una opción, es una necesidad.

Descripción general y características clave de Microsoft Entra External ID

Microsoft Entra External ID es la respuesta de la plataforma para una colaboración segura y escalable con usuarios que no forman parte de tu organización principal. Piensa en ello como en el guardia de la puerta: deja pasar a los invitados adecuados, mantiene el orden y garantiza que nadie entre en zonas restringidas. Ya sea que recibas a socios, proveedores o clientes en Microsoft Teams o SharePoint, Entra External ID te ayuda a darles la bienvenida con los controles adecuados.

Entre las características clave están la gestión sencilla de usuarios invitados B2B (business-to-business), la integración con una amplia variedad de proveedores de identidades y las opciones flexibles de autenticación. Puedes invitar a usuarios con sus cuentas de trabajo, de centro educativo o sociales, y personalizar exactamente cómo acceden a tus recursos. Los usuarios externos no necesitan una cuenta nueva: pueden usar la que ya les resulta de confianza, mientras tú estableces los límites con controles de acceso y directivas sólidos.

Entra External ID no se limita a abrir la puerta, sino a mantenerla cerrada según tus especificaciones. Obtienes una gestión centralizada de usuarios a través del Centro de administración de Microsoft Entra, con controles avanzados para supervisar, auditar y gobernar cada evento de acceso externo. La plataforma permite definir directivas distintas para los invitados, controlar a qué espacios de Teams y SharePoint acceden y garantizar el cumplimiento normativo mediante un registro e informes exhaustivos.

Para los profesionales de TI, la gran ventaja es que Entra External ID admite desde el acceso de invitados más sencillo hasta escenarios avanzados: colaboración entre inquilinos, experiencias de usuario con marca propia, directivas personalizadas y flujos de trabajo automatizados. Esto se traduce en menos gestión manual de usuarios, un uso compartido más seguro y una gobernanza simplificada a medida que escalas tus proyectos y alianzas.

Guía de implementación de identidades externas de Microsoft Entra

Implementar identidades externas de Microsoft Entra consiste en encontrar el equilibrio adecuado entre colaboración y control. Esta sección te prepara para habilitar el acceso externo de forma meditada, de modo que tu organización siga siendo productiva y segura al incorporar colaboradores externos. Verás cómo Microsoft permite conectar a invitados y socios con las herramientas que necesitan, mientras tú controlas el acceso, la autenticación y la aplicación de las directivas.

El proceso de implementación introduce conceptos como la colaboración B2B, la configuración de acceso entre inquilinos y la configuración de una serie de proveedores de identidades, cada uno con un papel fundamental en la forma de incorporar usuarios externos y mantenerlo todo organizado. También verás por qué la planificación estratégica es esencial: configurar por adelantado las invitaciones, los flujos de usuario y las reglas entre inquilinos significa menos caos, menos proliferación y resultados de seguridad y gobernanza más predecibles.

Los pasos detallados que vienen a continuación desglosan cada parte importante de este proceso, desde invitar y gestionar usuarios externos hasta ajustar los proveedores de identidades admitidos y establecer relaciones de confianza con organizaciones asociadas. El objetivo es siempre que la colaboración sea sencilla para los usuarios, pero segura y trazable para los equipos de TI y de cumplimiento. Para sacar el máximo partido a Entra External Identities, conviene entender los elementos básicos antes de entrar en los detalles técnicos de las siguientes secciones.

Configurar la colaboración B2B en Microsoft Entra

1. Añade usuarios invitados a tu inquilino: Empieza invitando a los colaboradores externos directamente desde el Centro de administración de Microsoft Entra o a través de tus flujos de trabajo integrados de Microsoft Teams o SharePoint. Puedes enviar las invitaciones a sus direcciones de correo de trabajo, de centro educativo o personales. Este proceso de incorporación garantiza que cada usuario invitado quede registrado, sea trazable y esté vinculado a tus directivas de seguridad.
2. Configura los ajustes de invitación: Decide quién de tu organización puede invitar a usuarios invitados y qué información se requiere para las invitaciones. Puedes restringir las invitaciones a determinados departamentos o habilitar el autoservicio para agilizar la colaboración en proyectos. Conviene establecer reglas claras de invitación para evitar que se compartan datos por error.
3. Establece el acceso y los permisos de usuario: Una vez invitados, asigna a tus usuarios invitados a los grupos, equipos de Teams o sitios de SharePoint adecuados. Usa el control de acceso basado en roles (RBAC) para restringir los recursos sensibles y aplica configuraciones de uso compartido que se ajusten a la directiva de la empresa. Los controles granulares te ayudan a evitar la proliferación de invitados y la exposición accidental de información.
4. Integra la gobernanza de Teams y SharePoint: Aplica directivas de colaboración que refuercen tus objetivos de seguridad y cumplimiento. Como se explica en esta guía sobre gobernanza de Teams, estandarizar los permisos, las convenciones de nombres y las directivas de ciclo de vida simplifica la gestión de invitados y reduce los riesgos de fuga de datos o confusión.
5. Supervisa y gestiona el acceso continuo: Revisa periódicamente quién tiene acceso, elimina o reduce los privilegios de los usuarios que ya no necesitan derechos de colaboración y exige una nueva aprobación para los invitados de larga duración. Tener un control constante del acceso de los invitados evita las cuentas huérfanas y mantiene tu espacio de trabajo digital seguro, como se destaca en la guía sobre gobernanza de Teams y las buenas prácticas para gestionar la colaboración externa.

Configuración de los ajustes de acceso entre inquilinos para identidades externas

1. Define las relaciones de confianza: Determina qué organizaciones externas de Microsoft Entra (inquilinos) deben ser de confianza para la colaboración. Esto implica especificar qué inquilinos pueden conectarse y qué tipos de usuarios están permitidos: internos, invitados o ambos. Establecer las relaciones adecuadas desde el principio sienta las bases para una colaboración segura y ágil.
2. Configura el acceso entrante y saliente: El acceso entrante consiste en permitir que los usuarios de inquilinos externos entren en tu entorno. Los controles salientes regulan qué usuarios de tu organización pueden acceder a recursos de otros inquilinos. Ajustando estas opciones puedes controlar con precisión quién entra y quién sale, minimizando la exposición al riesgo.
3. Controla los recursos compartidos: Asigna directivas sobre qué datos y servicios pueden compartirse entre los límites de inquilinos. Controla el acceso a recursos de alto valor, como espacios confidenciales de Teams o documentos de SharePoint, y asegúrate de que solo accedan usuarios externos debidamente verificados. Así, el contenido sensible no acaba en manos equivocadas, incluso en colaboraciones a gran escala.
4. Aprovecha la sincronización entre inquilinos y las API: En relaciones continuas, la sincronización entre inquilinos y las API de Microsoft Graph te permiten automatizar la gestión de identidades, la pertenencia a grupos y las actualizaciones de usuarios. Estas herramientas facilitan la gestión de proyectos dinámicos con varias organizaciones sin intervención manual constante.
5. Supervisa el acceso y aplica el cumplimiento: Audita periódicamente el acceso entre inquilinos con los registros e informes de Entra. Si detectas anomalías o conexiones innecesarias, actúa con rapidez para endurecer las directivas. Esta vigilancia garantiza que tu ecosistema colaborativo siga siendo sólido y defendible, sobre todo a medida que las auditorías de cumplimiento se vuelven más habituales.

Elección de proveedores de identidad y opciones de autenticación

1. Conecta inquilinos de Azure AD: La mayoría de los usuarios B2B externos procederán de Azure AD de otra organización. Puedes vincular su inquilino de origen para que los usuarios inicien sesión con sus credenciales de trabajo, mientras tú defines los permisos y los controles de acceso en tu propio entorno. Esto elimina la necesidad de gestionar contraseñas adicionales y ayuda a mantener la seguridad de ambas partes.
2. Habilita cuentas de Microsoft (MSA): Si quieres incluir a personas que usan cuentas de Microsoft de consumo (como Outlook.com), la compatibilidad de Entra con MSA abre la puerta a una amplia variedad de colaboradores que no forman parte de un directorio corporativo. Es ideal para escenarios de clientes o ciudadanos.
3. Añade proveedores de identidad sociales y de terceros: Para llegar a la base de usuarios más amplia, conecta Entra External ID con proveedores de identidad sociales habituales como Google, Facebook o LinkedIn. La compatibilidad con SAML u OpenID Connect significa que incluso puedes integrarte con proveedores de identidad personalizados o heredados, algo fundamental para los socios externos que utilizan infraestructura que no es de Microsoft.
4. Selecciona los requisitos de autenticación: Para cada proveedor de identidad, puedes añadir autenticación multifactor (MFA), directivas de cumplimiento de dispositivos o códigos de acceso de un solo uso. La autenticación sólida aumenta la confianza y mantiene bien cerradas las puertas, incluso si se compromete la contraseña de un usuario externo.
5. Personaliza las experiencias de usuario: Adapta los flujos de registro e inicio de sesión, la imagen de marca y las solicitudes de consentimiento para que los usuarios externos vean el estilo de tu empresa y comprendan las expectativas de seguridad desde el primer clic. Una experiencia de autenticación fluida reduce la fricción y disminuye las incidencias en el servicio de asistencia, mientras que los controles rigurosos siguen manteniendo bien protegido el perímetro.

Configuración avanzada y personalización de Entra External Identities

Una vez que domines lo básico, es hora de ser creativo. Las opciones de configuración avanzada en Microsoft Entra External Identities permiten a las organizaciones ir más allá de la incorporación de invitados sencilla y orquestar experiencias de usuario externo con imagen de marca, seguras y automatizadas. Aquí es donde añades el toque que hace que la colaboración externa parezca una parte natural de tu negocio, sin renunciar al control.

Piensa en escenarios en los que quieras una página de inicio de sesión con imagen de marca, directivas personalizadas basadas en el riesgo o la ubicación geográfica, o preguntas de incorporación específicas para determinados tipos de socios. Quizá tu responsable de cumplimiento normativo quiera un control más estricto sobre los archivos a los que pueden acceder los invitados, o necesites flujos de usuario diferentes para clientes y proveedores. Las posibilidades son enormes cuando profundizas en las directivas personalizadas y en la gestión de flujos de usuario.

Y si buscas una eficiencia y una escalabilidad reales, Microsoft Graph API abre un universo de automatización. Invitaciones masivas, asignaciones dinámicas de grupos o incluso la integración de las solicitudes de acceso con tus sistemas internos de tickets: todo esto está al alcance con personalizaciones avanzadas.

A medida que avancemos, recibirás una guía paso a paso sobre cómo los equipos de TI pueden dar forma al recorrido de identidad externa y mantener una gobernanza de primer nivel, incluso cuando las necesidades del negocio evolucionen o se vuelvan más complejas.

Gestión de directivas personalizadas y flujos de usuario para usuarios externos

1. Diseña experiencias personalizadas de registro e inicio de sesión: Usa flujos de usuario para recopilar información específica de los usuarios externos cuando se registren, añadir la imagen de marca de la organización y exigir un consentimiento explícito a tus términos. Esta personalización garantiza que la primera impresión de cada usuario (invitado, socio o cliente) coincida con tu marca y con tus necesidades de cumplimiento normativo.
2. Implementa controles de acceso basados en directivas: Crea y asigna directivas que controlen cómo interactúan los usuarios externos con tus recursos. Por ejemplo, puedes exigir MFA para acciones de alto riesgo, restringir el acceso a archivos confidenciales según el tipo de usuario o el proyecto, o incluir en una lista de permitidos los dominios autorizados para la colaboración.
3. Define atributos y notificaciones: Recopila la información que necesitas de los usuarios externos durante la incorporación, como el nombre de la empresa, el departamento o el código de proyecto, y después crea directivas y reglas de acceso basadas en esas notificaciones. Esto te permite ajustar con precisión los permisos de acceso y los informes, y respaldar requisitos condicionales de privacidad o cumplimiento normativo.
4. Prueba y itera la publicación de directivas: Previsualiza los flujos de usuario en entornos de prueba y, a continuación, implementa las actualizaciones en producción. A medida que la colaboración externa evolucione, revisa periódicamente la configuración de las directivas para cerrar brechas de seguridad, simplificar procesos complejos o adaptarte a los cambios en los requisitos normativos.
5. Gestiona el ciclo de vida y la desvinculación: Establece fechas de caducidad automáticas para el acceso de los invitados, limita la visibilidad de los recursos según el estado del usuario y utiliza desencadenadores de directivas para iniciar revisiones o eliminaciones cuando finalicen los proyectos. Este tipo de gestión proactiva reduce el riesgo y mantiene la administración de invitados alineada con las mejores prácticas de cumplimiento normativo y gobernanza.

Uso de Microsoft Graph API para gestionar identidades externas

1. Automatiza la invitación de invitados y su incorporación: Utiliza la API de Microsoft Graph para programar el proceso de invitar a usuarios externos, obtener la aprobación de los propietarios de los recursos y añadir a los invitados a los grupos o Teams adecuados. Esto reduce el trabajo manual, acelera la colaboración y crea un flujo de trabajo repetible y resistente a errores.
2. Gestiona las asignaciones de grupos y recursos: Con la API de Graph puedes asignar (o retirar) usuarios externos de sitios de SharePoint, Teams u otras aplicaciones de forma masiva. Esto resulta especialmente útil en entornos de proyectos dinámicos o para socios que necesitan acceso temporal y rápido a varios recursos.
3. Supervisa la actividad y aplica la gobernanza: Haz un seguimiento automático de la actividad de los usuarios externos (inicios de sesión, eventos de acceso o cambios) y envía alertas o ejecuta acciones según reglas predefinidas. La integración con Power Platform o Power BI, tal como se explica en esta guía sobre cómo controlar la proliferación de Teams, facilita más que nunca la automatización del ciclo de vida y la auditoría.
4. Integra las herramientas de tickets y cumplimiento: Conecta los flujos de invitación, las cadenas de aprobación y la gestión del ciclo de vida con sistemas ITSM o de cumplimiento de terceros. La API de Graph permite que Entra encaje con tu estrategia más amplia de automatización y flujos de trabajo, y que todas tus herramientas trabajen en perfecta sintonía.
5. Establece revisiones periódicas y automatiza la baja: Configura scripts que recuerden a los propietarios revisar periódicamente el acceso de los invitados, marquen las cuentas inactivas para su desaprovisionamiento y gestionen la eliminación segura y las directivas de retención de datos. Con la automatización basada en API reduces el riesgo y evitas que las identidades externas se queden más tiempo del necesario.

Seguridad y gestión de acceso para las identidades externas de Microsoft Entra

Abrir la puerta digital a invitados, socios y proveedores puede aumentar la productividad, pero solo si defines bien las barreras de protección adecuadas. Gestionar correctamente el acceso externo en Microsoft Entra implica combinar varias capas de controles de seguridad para que nunca sacrifiques la seguridad por la comodidad, ya compartas información sensible en Teams o colabores en documentos de SharePoint.

Esta parte de la guía analiza esas capas de seguridad, centrándose en cómo las directivas estratégicas, como el acceso condicional y la autenticación multifactor, elevan el nivel de protección para los usuarios externos. El acceso condicional es el momento de decir: «Claro, puedes entrar, pero estas son mis reglas de la casa». Los estándares de cumplimiento de dispositivos garantizan que, incluso si el portátil de un usuario se conecta desde fuera de tu red, cumpla tus requisitos antes de acceder a tus datos.

Con el aumento constante de brechas de seguridad relacionadas con el acceso de socios y contratistas, no puedes permitirte descuidar nada. Las siguientes secciones te guían por las herramientas clave y los pasos de configuración para proteger la colaboración, evitar fugas de datos accidentales y superar con éxito las auditorías de cumplimiento. ¿Quieres una visión más amplia de la seguridad multicapa en Teams? No te pierdas el podcast sobre el refuerzo de la seguridad de Teams, que trata las estrategias de protección en cinco capas para la colaboración con invitados y socios.

Configuración de directivas de acceso condicional para usuarios externos

1. Empieza con plantillas de directivas para la colaboración externa: Microsoft Entra ofrece plantillas de acceso condicional integradas, diseñadas específicamente para usuarios B2B e invitados. Estas plantillas te permiten definir rápidamente requisitos como la aplicación de MFA, las condiciones de riesgo de inicio de sesión o el bloqueo de la autenticación heredada para usuarios externos.
2. Configura el ámbito y la asignación de directivas: Aplica las directivas de acceso condicional a los grupos de usuarios adecuados, como «Invitados y usuarios externos», y limita sus capacidades según la sensibilidad del recurso o el escenario de negocio. Por ejemplo, es posible que quieras exigir controles más estrictos al acceso de contratistas a datos financieros que al acceso a Teams de proyectos generales.
3. Define condiciones de acceso granulares: Crea reglas basadas en factores como la puntuación de riesgo del inicio de sesión, el estado de cumplimiento del dispositivo, la ubicación de red o los controles de sesión. Así podrás reforzar la seguridad en situaciones de alto riesgo (por ejemplo, bloqueando el acceso desde dispositivos no administrados) sin penalizar a socios de confianza con bajo riesgo.
4. Prueba y supervisa el impacto de las directivas: Usa las herramientas de «qué pasaría si» y de informes de Entra para previsualizar los efectos antes de desplegar la configuración para todos los usuarios. Supervisa de forma continua los intentos de acceso externo y ajusta las directivas según la actividad real, reduciendo la fricción y cerrando rápidamente cualquier riesgo emergente. Si quieres más ideas, consulta cómo Copilot combina el acceso con privilegios mínimos y la supervisión continua.
5. Responde con rapidez a las infracciones de directivas: Configura alertas automatizadas y pasos de remediación si los usuarios externos activan reglas de seguridad, como la revocación inmediata de sesiones o una verificación de identidad adicional. Así se cierra el ciclo entre la aplicación de directivas y la respuesta rápida ante incidentes, preservando la integridad de tu entorno.

Autenticación multifactor y cumplimiento de dispositivos para el acceso externo

La autenticación multifactor (MFA) añade una barrera fundamental para los usuarios externos que intentan acceder a tu entorno de Microsoft. Al exigir una segunda forma de verificación, como un código enviado a un teléfono, la MFA dificulta mucho que las credenciales robadas causen daño. Las comprobaciones de cumplimiento de dispositivos añaden otra capa, asegurando que solo los dispositivos de confianza y conformes con las directivas se conecten a los datos sensibles. Para una defensa óptima, habilita la MFA de forma predeterminada para todas las identidades externas y exige comprobaciones de estado del dispositivo en los escenarios de acceso de mayor riesgo en Entra. Juntas, estas estrategias reducen considerablemente tu exposición al robo de credenciales y al malware.

Precios y facturación de Microsoft Entra External Identities explicados

El dinero habla, y en lo que respecta a Microsoft Entra External Identities, entender el modelo de costes puede evitar sorpresas en el presupuesto de TI. Entra calcula el precio en función del número de usuarios externos únicos (invitados, socios o contactos B2B) que inician sesión cada mes. Esto se conoce como la métrica de usuarios activos mensuales (MAU), y está diseñada para escalar a medida que crece tu colaboración.

Conocer cómo funciona este modelo de facturación es clave para los responsables de TI y los planificadores financieros. Influye no solo en cómo presupuestas, sino también en cómo estructuras la incorporación, la baja y las revisiones periódicas de acceso. Cuanto más eficientemente gestiones el acceso externo, más predecibles (y posiblemente menores) serán tus costes mensuales. Por tanto, entender los picos de uso, los proyectos estacionales o las cuentas inactivas es ahora una cuestión que afecta directamente a los resultados.

A medida que las organizaciones abren Microsoft Teams, SharePoint y otros recursos de 365 a partes interesadas externas, conviene vigilar las licencias y el número de usuarios. El desglose detallado que viene a continuación cubre los umbrales por nivel de usuario, el acceso gratuito frente al facturable y consejos para optimizar tu colaboración sin disparar el presupuesto. Si quieres un análisis más profundo para sacar el máximo partido a las licencias, te interesará la guía sobre las licencias de Microsoft Copilot; la misma lógica se aplica al presupuestar las identidades de Entra.

Modelo de precios de External Identities y usuarios activos mensuales

1. Entiende el modelo de usuarios activos mensuales (MAU): Microsoft Entra External Identities registra el número de usuarios externos únicos que inician sesión en tu inquilino durante un mes natural. Cada invitado se cuenta una sola vez al mes, sin importar con qué frecuencia acceda a los recursos.
2. Aprovecha el nivel de uso gratuito: Microsoft ofrece un número determinado de MAU gratuitos (normalmente 50 000, pero consulta los detalles de tu suscripción). Suelen bastar para organizaciones pequeñas o medianas, o para proyectos piloto con necesidades limitadas de colaboración externa.
3. Controla los usuarios facturables frente a los umbrales: Una vez que el número de invitados supera la asignación gratuita de MAU, cada usuario activo adicional genera cargos por usuario. Los umbrales de licencias y los precios pueden cambiar, así que revisa periódicamente la documentación más reciente de Microsoft para evitar sorpresas en el presupuesto.
4. Estima y optimiza los gastos: Usa las herramientas de informes de Entra para supervisar la actividad de los usuarios externos, identificar cuentas inactivas y depurar los accesos para mantenerte dentro del nivel gratuito o minimizar los usuarios facturados. La baja automatizada y las revisiones periódicas de acceso son tus mejores aliados en este caso.
5. Considera escenarios especiales: Los invitados B2B externos que usen funciones premium o controles de seguridad avanzados (como el acceso condicional o la protección de identidad) podrían necesitar licencias adicionales. Planifica los proyectos de colaboración en consecuencia; al igual que con la gobernanza de licencias de Copilot, las asignaciones cuidadosas reducen costes innecesarios y mantienen el cumplimiento.

Automatización de las revisiones de acceso para la gobernanza de usuarios externos

Si quieres mantener las puertas digitales abiertas a personas externas sin dejarlas abiertas para siempre, las revisiones de acceso automatizadas son tu salvavidas. A medida que las organizaciones amplían la colaboración B2B y con invitados, averiguar quién sigue necesitando acceso, quién lleva inactivo y quién se ha colado por las grietas resulta demasiado para las listas de comprobación mensuales en Excel. La automatización pone orden en este caos y ahorra tiempo y quebraderos de cabeza.

Las revisiones de acceso en Microsoft Entra External ID te ayudan a programar comprobaciones periódicas basadas en directivas sobre las cuentas externas. Puedes asignar la responsabilidad de las revisiones (propietarios de proyectos, administradores de TI o responsables de negocio) e pedirles que validen la necesidad de acceso de cada invitado. ¿El objetivo? Detectar las cuentas obsoletas o huérfanas antes de que se conviertan en un riesgo de seguridad o en una pesadilla de cumplimiento.

Los detalles que siguen cubrirán la gestión del ciclo de vida, el proceso de baja y cómo integrar las revisiones automatizadas en tu estrategia general de gobernanza. Si quieres saber más sobre cómo una gobernanza sólida puede convertir el caos en confianza, consulta este recurso sobre gobernanza de Teams y marcos de colaboración: muchos de los mismos principios se aplican a las identidades externas.

Gestión del ciclo de vida para la baja de identidades externas

1. Identifica las cuentas inactivas o huérfanas: Programa auditorías periódicas o análisis automatizados para detectar usuarios externos que no hayan accedido a los recursos durante un periodo definido. Las cuentas inactivas pueden convertirse en puertas abiertas para problemas de seguridad si no se eliminan con rapidez.
2. Automatiza los procedimientos de eliminación: Configura directivas en Entra para que el acceso de los invitados caduque automáticamente tras periodos definidos (por ejemplo, 60 días de inactividad) o al finalizar el proyecto. Utiliza scripts o Graph API para eliminar en lote a los usuarios que ya no cumplen los criterios para seguir con acceso.
3. Notifica y confirma con los responsables de los recursos: Al retirar accesos, avisa a los propietarios de proyectos o a los líderes de equipo para que tengan la oportunidad de revisar y cuestionar las eliminaciones que puedan interrumpir una colaboración legítima. Una doble comprobación ayuda a encontrar el equilibrio adecuado entre seguridad y productividad.
4. Define las directivas de retención y cumplimiento de datos: Decide qué ocurre con el contenido compartido, los registros de chat o los archivos propiedad de usuarios externos tras la baja. Establece procedimientos para transferir la propiedad, archivar o eliminar datos según las necesidades normativas y de gobernanza.
5. Documenta los procesos de baja para las auditorías: Conserva registros de todas las cuentas dadas de baja, de las acciones de eliminación y de las configuraciones de directivas que las motivaron. Esta documentación será muy valiosa durante las revisiones de cumplimiento y a la hora de responder a solicitudes regulatorias.

Integración de Microsoft Entra External ID con aplicaciones que no son de Microsoft

Digamos que tu entorno técnico no se limita a Microsoft 365: quizá tengas un CRM, un portal interno heredado o un par de plataformas SaaS. Microsoft Entra External ID no tiene por qué quedarse en tu terreno. Puedes extender su enfoque seguro y basado en directivas a casi cualquier sistema externo, haciendo que la gestión de identidades sea fluida en todos los ámbitos.

No importa si trabajas con aplicaciones en la nube, plataformas locales o entornos híbridos: Entra puede actuar como tu puente de identidad seguro. Las integraciones con SAML, OAuth y OpenID Connect permiten federar identidades y autenticación hacia Salesforce, ServiceNow, aplicaciones Java antiguas o prácticamente cualquier sistema que admita inicio de sesión basado en estándares.

Este enfoque facilita ofrecer a socios, clientes y proveedores una única identidad externa para todas tus aplicaciones, sin más fatiga de contraseñas ni incorporaciones manuales interminables. En la siguiente sección verás cómo definir patrones de federación seguros y proteger tus API al abrir el acceso a usuarios externos.

Patrones de federación y seguridad de API externas

• SAML/WS-Federation para la integración de aplicaciones heredadas: Conecta Entra External ID con aplicaciones internas o de socios más antiguas mediante SAML o WS-Fed, permitiendo que los usuarios externos inicien sesión con las mismas credenciales que usan para Teams o SharePoint. Esto simplifica la incorporación de externos y reduce la proliferación de contraseñas.
• OpenID Connect/OAuth para SaaS y aplicaciones web: Extiende la autenticación de Entra a aplicaciones cloud modernas o portales personalizados. Los usuarios externos obtienen inicio de sesión único con tus directivas de seguridad y cumplimiento aplicadas encima, independientemente de la plataforma.
• Seguridad de API con OAuth2 y gestión de tokens: Cuando expongas API a socios externos, utiliza OAuth2 con tokens de acceso emitidos por Entra. Aplica ámbitos, caducidad y revocación de tokens para mantener las integraciones con socios bien controladas y auditables.
• Patrones de federación multicloud e híbridos: Aprovecha Entra como ancla de confianza para los usuarios procedentes de AWS, Google o directorios locales. La federación te permite gestionar directivas, informes y revisiones de acceso desde un único centro, incluso cuando tus aplicaciones están en otro lugar.
• Supervisa y limita el uso de API: En API expuestas públicamente, implementa limitación de velocidad (rate limiting) y registro de accesos. Esto te protege frente al abuso, favorece el cumplimiento normativo y te ofrece un registro de auditoría claro en caso de disputas o investigaciones.

Cumplimiento y privacidad de datos para identidades externas

Incorporar identidades externas a tu entorno de Microsoft 365 implica algo más que compartir archivos: también eres responsable del cumplimiento normativo y de la privacidad. Ya sea el RGPD, la CCPA o un reglamento específico de tu sector, Entra External ID ofrece los controles y los informes que necesitas para demostrar a los reguladores que gestionas el acceso externo de forma responsable y respetuosa.

Esta sección sienta las bases para la configuración de la privacidad, la gestión del consentimiento y la transparencia en cada relación con los usuarios. Verás cómo recopilar y gestionar el consentimiento de los usuarios externos, configurar avisos de privacidad y atender los derechos de los interesados cuando quieran saber, o controlar, qué información tienes sobre ellos. Con los estándares de cumplimiento cada vez más exigentes en todo el mundo, contar con estas capacidades integradas no es un extra deseable; es obligatorio.

Una configuración de cumplimiento adecuada evita que te pille por sorpresa una nueva normativa o que tengas dificultades para atender las solicitudes de los interesados. Para las organizaciones que utilizan Microsoft Copilot u otras herramientas de IA, existen coincidencias útiles en los controles de privacidad y los mecanismos de consentimiento, como se detalla en este análisis del marco de privacidad de datos de Copilot. A continuación, nos centraremos en configurar pistas de auditoría e informes sólidos para todo el acceso de usuarios externos.

Pistas de auditoría e informes para el acceso externo

1. Habilita el registro detallado de accesos: Activa el registro de todas las actividades de los usuarios externos, incluidos los inicios de sesión, el uso compartido de recursos y los cambios de permisos. Los registros completos te permiten saber con precisión quién hizo qué, cuándo y desde dónde.
2. Configura la supervisión y las alertas en tiempo real: Crea alertas para comportamientos externos inusuales o de riesgo. Esto permite responder con rapidez a eventos sospechosos, como intentos de inicio de sesión fallidos o accesos desde ubicaciones desconocidas.
3. Despliega paneles de informes: Utiliza el Centro de administración de Entra o herramientas integradas (como Power BI) para generar informes sobre la actividad de los usuarios externos y mostrar el cumplimiento de un vistazo para auditorías o para la dirección.
4. Cumple los requisitos normativos con la exportación de datos: Mantén registros listos para exportar e informes periódicos que respalden el cumplimiento del RGPD, la CCPA o los mandatos sectoriales. Cuando un regulador o un cliente llame a tu puerta, tendrás pruebas de tu diligencia en seguridad y de tu gobernanza operativa.

Lista de comprobación de Microsoft Entra External Identities

Características de Microsoft Entra External: capacidades de inquilino y de External ID de Microsoft Entra

¿Qué son las identidades externas de Entra ID y en qué se relacionan con las identidades externas de Azure AD?

Las identidades externas de Entra ID (antes Azure AD External Identities) son un conjunto de funciones de Microsoft Entra que permiten a las organizaciones dar a usuarios y organizaciones externos acceso seguro a sus recursos. Admite la gestión de identidades y accesos de clientes, las funciones de external id y los escenarios de external id tenant, de modo que las empresas puedan colaborar con socios comerciales, proveedores y clientes externos y, al mismo tiempo, aplicar la gestión de identidad y acceso a los usuarios externos.

¿Cómo administro el acceso de usuarios externos e inquilinos externos?

Administra el acceso de usuarios externos invitándolos mediante la colaboración B2B de Azure AD, configurando la colaboración con directivas externas y usando funciones de Microsoft Entra como el acceso condicional para usuarios externos, la administración de derechos y los paquetes de acceso. Puedes agregar organizaciones externas, configurar los ajustes de colaboración externa en tu inquilino de Microsoft Entra y usar la configuración de External ID para controlar los permisos y el ciclo de vida de las cuentas de invitado.

¿Puedo permitir que los usuarios externos usen sus cuentas de Microsoft Entra u otras identidades sociales?

Sí. Microsoft Entra External ID combina soluciones potentes que permiten a los usuarios externos iniciar sesión con sus cuentas de Microsoft Entra, identidades sociales o cuentas locales. Con Microsoft Entra ID o Azure AD B2C, puedes admitir el uso de sus cuentas de Microsoft Entra, habilitar la administración de identidades y accesos de clientes y ofrecer opciones de autenticación flexibles para usuarios externos a escala.

¿Cómo protejo el acceso externo y confío en MFA para los usuarios invitados?

Protege el acceso externo aplicando directivas de acceso condicional para B2B externo, habilitando MFA de confianza (autenticación multifactor) para operaciones de alto riesgo y aplicando directivas para la colaboración B2B externa. Puedes exigir MFA a los usuarios externos, confiar en MFA desde inquilinos de socios y usar el acceso condicional y la protección de identidades de Microsoft Entra para reducir el riesgo sin dejar de permitir la colaboración externa.

¿Qué funciones de External ID ayudan con la gobernanza y la administración del ciclo de vida?

Las funciones de External ID incluyen la administración de derechos, los paquetes de acceso, el ciclo de vida automatizado de los usuarios invitados, las revisiones de acceso y las directivas para la colaboración B2B externa. Estas capacidades de Microsoft Entra External ID permiten a los administradores controlar quién tiene acceso, administrar la caducidad de los accesos y automatizar las revisiones para garantizar un acceso seguro y el cumplimiento para usuarios y organizaciones externas.

¿En qué se diferencian los escenarios de inquilino de fuerza laboral e inquilino externo en Microsoft Entra?

Un inquilino de fuerza laboral normalmente aloja las identidades de los empleados y aplica directivas internas, mientras que un inquilino externo se usa para usuarios externos, socios o clientes. Microsoft Entra External ID admite inquilinos de fuerza laboral y externos permitiendo la colaboración entre inquilinos, configurando los ajustes de colaboración externa y diferenciando directivas para que puedas administrar el acceso interno de la fuerza laboral por separado de la colaboración con socios externos.

¿Puedo colaborar con socios comerciales externos en varias organizaciones de Microsoft Entra?

Sí. Microsoft Entra admite la colaboración con organizaciones externas y el trabajo con socios externos en varios inquilinos. Funciones como las identidades externas de Azure AD, la configuración de acceso entre inquilinos y el acceso condicional para usuarios externos facilitan la colaboración con otras organizaciones de Microsoft Entra y proporcionan acceso seguro a Microsoft 365 y otros recursos.

¿Cómo gestiona Microsoft Entra la escalabilidad para usuarios externos y la incorporación automatizada?

Microsoft Entra External ID ofrece escalabilidad para usuarios externos mediante invitaciones masivas, registro de autoservicio e integración con sistemas de administración de identidades y accesos de clientes. Con las capacidades de inquilino de External ID, puedes automatizar la incorporación, usar paquetes de acceso para mantener directivas de acceso coherentes y administrar usuarios externos a escala con funciones de auditoría e informes.

¿Cuáles son las prácticas recomendadas para configurar la colaboración externa y las directivas de acceso?

Las prácticas recomendadas incluyen usar el acceso condicional para usuarios externos, habilitar MFA de confianza, configurar los ajustes de colaboración externa para limitar los privilegios de los invitados, usar la administración de derechos de Microsoft Entra para el ciclo de vida del acceso y supervisar la actividad externa. Combina las capacidades de External ID con directivas de acceso estrictas para la colaboración B2B externa a fin de garantizar un acceso externo seguro y, al mismo tiempo, habilitar la colaboración con socios comerciales externos.

¿Qué es Entra ID External Identities y cómo se relaciona con Azure Active Directory?

Entra ID External Identities es la solución de Microsoft para gestionar usuarios externos y socios que necesitan acceso seguro a tus recursos. Forma parte de Microsoft Entra y se basa en el modelo heredado de Azure Active Directory. Permite la colaboración B2B de External ID, las identidades sociales como Google o Facebook y los escenarios de federación. Entra ID External Identities se integra con funciones de Azure Active Directory, como el acceso condicional y la gobernanza, para proporcionar acceso seguro a tu empresa.

¿En qué se diferencian la colaboración B2B de External ID y los colaboradores externos individuales?

La colaboración B2B de External ID suele referirse a invitar a usuarios de otras organizaciones de Microsoft Entra y de otros inquilinos a colaborar con sus cuentas corporativas o administradas. Los colaboradores externos individuales suelen iniciar sesión con identidades de consumidor o sociales, como Google. Ambos modelos permiten colaborar con usuarios externos, pero B2B mantiene al invitado en un inquilino de Microsoft Entra que contiene a tus empleados, conservando su identidad organizativa y sus notificaciones de otros proveedores de identidad de Microsoft o federados.

¿Puedo usar identidades como Google o Facebook y otras identidades sociales para el acceso de invitados?

Sí, Entra ID External Identities admite identidades sociales como Google y Facebook, de modo que los usuarios pueden iniciar sesión con ellas. Estas identidades sociales se pueden automatizar mediante las API de Microsoft Graph y configurarse en el portal de Azure, en la configuración de colaboración externa. El inicio de sesión social simplifica la incorporación de socios y contratistas que no tienen cuentas corporativas de Azure AD.

¿Cómo se factura? ¿Cuál es el modelo de facturación de Microsoft Entra External Identities?

El modelo de facturación de Microsoft Entra External Identities suele basarse en el consumo para los usuarios externos, con distintos niveles según las funciones y los usuarios activos mensuales. Microsoft publica los detalles del modelo de facturación del uso de Microsoft Entra External Identities; consulta tu suscripción y el portal de Azure para conocer los precios actualizados. En algunos escenarios, las funciones pueden solaparse con las ofertas de Azure AD B2C, que sigue disponible para experiencias de identidad orientadas a clientes con su propio modelo de precios.

¿Qué funciones de gobernanza y cumplimiento están disponibles (gobernanza de Entra ID y notificaciones de cumplimiento)?

Las capacidades de gobernanza de Entra ID para identidades externas incluyen la administración de derechos, las revisiones de acceso y la automatización del ciclo de vida, para garantizar que las notificaciones de cumplimiento y las directivas de Microsoft Entra se apliquen. Las notificaciones de otros inquilinos de Microsoft y de proveedores de identidad externos se pueden asignar y transformar para cumplir tus directivas de cumplimiento. La gobernanza de Entra ID ayuda a gestionar quién tiene acceso, si los invitados tienen acceso a los recursos de Microsoft, y garantiza el acceso seguro a tu empresa, manteniendo los requisitos de auditoría y normativos.

¿Cómo configuro la configuración de colaboración externa y gestiono la colaboración con otros inquilinos de Microsoft?

Configuras la colaboración externa en el portal de Azure, donde puedes establecer directivas de invitación, permisos predeterminados de usuario y restricciones para los usuarios externos. Para gestionar la colaboración con otras organizaciones de Microsoft y entre inquilinos, usa las funciones de colaboración B2B de Azure AD para aceptar usuarios de un inquilino de Microsoft Entra que contenga empleados de socios, configurar el acceso condicional y aplicar controles de gobernanza. La automatización mediante las API de Microsoft Graph puede ayudarte a automatizar las invitaciones, el aprovisionamiento y la gestión del ciclo de vida.

¿Se admiten los dispositivos unidos híbridamente a Microsoft Entra y el acceso condicional de Microsoft Entra para usuarios externos?

Las directivas de acceso condicional de Microsoft Entra se pueden aplicar a los usuarios externos para controlar el acceso en función del riesgo, el cumplimiento del dispositivo o la ubicación de red. Sin embargo, los escenarios de dispositivos unidos híbridamente a Microsoft Entra están pensados principalmente para dispositivos propiedad de la empresa dentro de tu inquilino; los colaboradores externos individuales normalmente no registran dispositivos como unidos híbridamente. Puedes exigir dispositivos conformes o unidos híbridamente para las cuentas de organizaciones asociadas si se gestionan en un inquilino que contiene los dispositivos de la organización externa y confía en tus directivas.

¿Cómo ayuda la automatización mediante las API de Microsoft Graph a gestionar las identidades externas?

La automatización mediante las API de Microsoft Graph permite gestionar de forma programática las invitaciones, el ciclo de vida de los usuarios invitados, la pertenencia a grupos y la administración de derechos (entitlement management) de las funciones de ID externo. Muchas funciones de ID también son compatibles con Graph API, lo que permite integrarlas con las herramientas existentes de gobierno de identidades o IAM para automatizar flujos de trabajo como el aprovisionamiento, el desaprovisionamiento, las revisiones de acceso y la generación de informes de los usuarios de cualquier inquilino de Microsoft Entra.

¿Debo usar Azure AD B2C o Entra ID External Identities para las aplicaciones orientadas a clientes?

Azure AD B2C está diseñado para aplicaciones orientadas al consumidor, con una amplia personalización de los recorridos de usuario y de los proveedores sociales, mientras que Entra ID External Identities y la colaboración B2B de Azure AD están optimizados para la colaboración con usuarios externos y socios del personal. Azure AD B2C sigue disponible para escenarios que requieren flujos de consumidor avanzados. Evalúa si tu escenario es de colaboración con usuarios externos o de gestión de identidades de clientes para elegir el inquilino de ID externo y el modelo adecuados en las implementaciones externas de Microsoft Entra.

¿Cuáles son las mejores prácticas para proteger la colaboración con usuarios externos en varias tecnologías de Microsoft Entra?

Entre las mejores prácticas están aplicar el acceso con privilegios mínimos y la administración de derechos, usar el acceso condicional de Microsoft Entra para controles de inicio de sesión basados en riesgo, habilitar la autenticación multifactor para las cuentas externas, supervisar las notificaciones procedentes de otros servicios de Microsoft y auditar el acceso de los invitados. Usa las funciones de gobierno de Microsoft Entra para programar revisiones de acceso, automatizar las tareas del ciclo de vida con las API de Graph y centralizar la configuración en el portal de Azure para garantizar un acceso seguro a tu empresa cuando colabores con inquilinos externos y con colaboradores externos individuales.

Microsoft Entra External ID: decisiones de implementación

Valida las opciones de plataforma actuales con la documentación de Microsoft Learn para External ID. Una migración desde Azure AD B2C requiere un plan deliberado: los identificadores de inquilino, las URL de autoridad, la configuración de las aplicaciones y los recorridos de usuario deben evaluarse en lugar de asumir que se trasladarán automáticamente.

Preguntas frecuentes

¿Microsoft Entra External ID es solo para clientes?

No. Admite escenarios de identidad externa, incluidas las aplicaciones orientadas a clientes y los patrones de colaboración con personas ajenas al inquilino del personal interno.

¿Qué se debe documentar antes de incorporar usuarios externos?

Documenta el propietario de negocio, la población de usuarios, la finalidad de la aplicación, los métodos de inicio de sesión admitidos, el proceso de revisión de acceso y la vía de soporte.

Última revisión: julio de 2026.

🎧 También deberías escuchar

• Identity Governance in Microsoft Entra

  Conoce el ciclo de vida, la propiedad y las prácticas de revisión que hacen sostenible Microsoft Entra External ID.

• Microsoft Entra Private Access – Simply Explained

  Explora otro patrón de acceso de Entra y las preguntas de arquitectura que hay detrás de los servicios de identidad seguros.

• Acceso condicional para invitados en Microsoft Entra ID

  Conecta la planificación de identidades externas con controles de seguridad prácticos para el acceso de invitados y socios.