Microsoft Entra ID explicado: la base de identidad de Microsoft 365 y Azure

By Mirko Peters · 2026-08-27 · Updated 2026-09-13

Conoce Microsoft Entra ID, antes Azure AD: usuarios, grupos, aplicaciones, SSO, MFA, acceso condicional y gestión de identidades en Microsoft 365 y Azure.

Automatically translated with AI from the original post. Read the English original

Bienvenidos de nuevo, oyentes y lectores, a otro análisis en profundidad sobre infraestructura en la nube y seguridad empresarial. En nuestro último episodio del podcast abordamos uno de los temas más críticos de la TI moderna: la gestión de identidades y accesos. En concreto, nos centramos en Microsoft Entra ID (antes conocido como Azure Active Directory o Azure AD) y en cómo es la base fundamental de todo lo que haces en Microsoft 365, en Azure y en miles de aplicaciones externas de software como servicio (SaaS).

Si llevas un tiempo en el mundo de la TI, probablemente recuerdes cuando la identidad estaba ligada a un servidor físico en una sala de servidores, ejecutando Windows Server Active Directory. Cuando las organizaciones empezaron a migrar a la nube, ese paradigma cambió por completo. La seguridad basada en el perímetro se volvió obsoleta casi de la noche a la mañana. Hoy, el perímetro de red ya no se define por cortafuegos ni direcciones IP, sino por la identidad. Microsoft Entra ID es el orquestador de ese nuevo perímetro. En esta entrada complementaria, vamos a ampliar los conceptos clave que comentamos en el programa: usuarios, grupos, gestión de aplicaciones, mecanismos de autenticación y gobernanza, para que puedas proteger y optimizar el entorno cloud de tu organización.

Introducción a Microsoft Entra ID y la identidad moderna

Para apreciar de verdad Microsoft Entra ID, primero debemos entender la filosofía de la gestión de identidades moderna. En la era tradicional de la infraestructura local, los usuarios iniciaban sesión en un equipo unido al dominio y conectado físicamente a la red local corporativa (LAN). Active Directory verificaba quiénes eran, y el acceso se concedía en gran medida según si el tráfico procedía del interior de la red corporativa.

El entorno de trabajo actual es muy distinto. Los empleados trabajan desde casa, cafeterías, aeropuertos y oficinas de clientes, con portátiles, tabletas y smartphones. Acceden a recursos alojados no solo en centros de datos locales, sino también en varias nubes públicas y plataformas SaaS de terceros como Salesforce, ServiceNow o Zoom. En este mundo descentralizado, la identidad es el nuevo plano de control de la seguridad.

Microsoft Entra ID es un servicio de gestión de identidades y accesos (IAM) basado en la nube, diseñado para proteger y administrar identidades en entornos híbridos y multinube. No es simplemente una versión en la nube de Windows Server Active Directory: se diseñó desde cero para cargas de trabajo en la nube a escala de internet, protocolos de autenticación basados en web e integraciones basadas en API. Tanto si un empleado inicia sesión en Microsoft 365 para revisar Outlook, como si crea una máquina virtual en Azure o se autentica en una aplicación de RRHH externa, Microsoft Entra ID valida quién es, evalúa el riesgo de su conexión y aplica las directivas de la organización en milisegundos.

Componentes principales: usuarios, grupos y dispositivos

En el nivel fundamental, Microsoft Entra ID gira en torno a tres objetos principales: usuarios, grupos y dispositivos. Dominar cómo interactúan estos tres elementos es el primer paso para crear un directorio escalable y seguro.

Gestión de usuarios en la nube

Los usuarios en Entra ID representan identidades individuales que necesitan acceder a los recursos de la organización. Pueden ser empleados internos, contratistas externos, organizaciones colaboradoras o incluso cuentas de servicio automatizadas y aplicaciones (a menudo denominadas entidades de servicio o identidades administradas). El ciclo de vida de los usuarios debe gestionarse con cuidado: desde el aprovisionamiento en la contratación, pasando por los cambios de rol durante la relación laboral, hasta la desactivación inmediata en la salida.

Las organizaciones suelen adoptar uno de dos modelos para la gestión de usuarios:

• Identidades solo en la nube: se crean y gestionan íntegramente en Entra ID. Es habitual en startups «nativas de la nube» o en cuentas de invitado específicas.
• Identidades híbridas: se sincronizan desde un entorno de Active Directory local mediante una herramienta llamada Microsoft Entra Connect (o Entra Cloud Sync). Esto permite a las organizaciones mantener sus controladores de dominio heredados y, al mismo tiempo, extender sin fisuras las identidades de usuario a la nube, lo que habilita una experiencia de inicio de sesión único (SSO).

El poder de los grupos

Asignar permisos y aplicaciones a usuarios individuales se convierte rápidamente en una pesadilla administrativa. Aquí es donde entran los grupos. Entra ID admite dos tipos principales de grupos:

• Grupos asignados (estáticos): los administradores agregan y quitan miembros manualmente. Es adecuado para equipos pequeños y que no cambian, pero no escala bien.
• Grupos dinámicos: mediante reglas basadas en atributos de usuario (como el departamento, el cargo o la ubicación de la oficina), Entra ID agrega y quita usuarios de los grupos automáticamente. Por ejemplo, puedes crear una regla según la cual cualquier usuario cuyo departamento sea "Sales" se agregue automáticamente a la lista de distribución global de Sales y al grupo de seguridad correspondiente. Esto reduce drásticamente la carga administrativa y minimiza el riesgo de errores humanos durante los cambios de personal.

Los dispositivos como ciudadanos de primera clase

En la TI tradicional, los dispositivos eran puntos finales pasivos. En Entra ID, los dispositivos se reconocen como componentes críticos del ecosistema de identidad. Los dispositivos pueden registrarse, unirse o unirse de forma híbrida a Azure AD. Al registrar o unir dispositivos a Entra ID, las organizaciones obtienen una visibilidad profunda del hardware que accede a los datos corporativos. Esto permite a los administradores aplicar directivas como: "Puedes acceder a Microsoft 365, pero solo si el dispositivo desde el que inicias sesión es propiedad de la empresa, está cifrado y cumple con las líneas base de seguridad de endpoints."

Gestión de aplicaciones empresariales e integraciones SaaS

Una de las funciones más potentes de Microsoft Entra ID es su capacidad para actuar como proveedor de identidades (IdP) de miles de aplicaciones cloud preintegradas a través de la galería de aplicaciones de Entra. Tanto si tu organización usa Adobe, Zoom, Workday o aplicaciones web internas desarrolladas a medida, Entra ID centraliza el acceso a las aplicaciones.

Aplicaciones empresariales frente a registros de aplicaciones

Al trabajar con aplicaciones en Entra ID, es fundamental entender la diferencia entre las aplicaciones empresariales y los registros de aplicaciones:

• Aplicaciones empresariales: son las representaciones locales (o entidades de seguridad) de las aplicaciones configuradas para confiar en Entra ID para el inicio de sesión único. Aquí es donde los administradores de TI asignan usuarios y grupos, configuran directivas de acceso condicional para aplicaciones específicas y gestionan el aprovisionamiento de usuarios.
• Registros de aplicaciones: representan la definición global de una aplicación que los desarrolladores de tu organización crean. Define cómo se integra la aplicación con la plataforma de identidad de Microsoft, qué permisos requiere y qué secretos de autenticación o certificados utiliza.

Inicio de sesión único (SSO) y federación

Quedaron atrás los días en que los usuarios tenían que memorizar una docena de contraseñas distintas para una docena de aplicaciones de trabajo. Entra ID admite protocolos de autenticación modernos, como Security Assertion Markup Language (SAML) 2.0 y OpenID Connect (OIDC), para habilitar un inicio de sesión único sin fisuras. Los usuarios se autentican una sola vez con Entra ID, y las aplicaciones SaaS de confianza aceptan ese token de autenticación, concediendo acceso inmediato y seguro.

Además, el aprovisionamiento automatizado de usuarios (a menudo basado en el estándar SCIM) permite a Entra ID crear, actualizar y eliminar cuentas de usuario automáticamente en aplicaciones SaaS de terceros. Cuando un empleado abandona la empresa y su cuenta de Entra ID se deshabilita, se desaprovisiona automáticamente de todas las plataformas SaaS conectadas, cerrando al instante posibles puntos ciegos de seguridad.

Protección de la autenticación y control de acceso

La autenticación es la puerta de entrada a tu entorno cloud. Asegurarse de que los usuarios son realmente quienes dicen ser es fundamental. Sin embargo, depender únicamente de las contraseñas es una receta para el desastre. Las contraseñas pueden adivinarse, sufrir phishing, reutilizarse o interceptarse.

Autenticación multifactor (MFA)

Habilitar la autenticación multifactor es, sin duda, la medida de seguridad más eficaz que una organización puede implementar. Microsoft Entra ID hace que el despliegue de MFA sea flexible y fácil de usar, y admite métodos como la aplicación Microsoft Authenticator (con notificaciones push y coincidencia de números), llaves de seguridad FIDO2, tokens de hardware y llamadas de voz o SMS (aunque se recomiendan encarecidamente las notificaciones push de la aplicación y las llaves de hardware frente al SMS, debido a su vulnerabilidad a los ataques de intercambio de SIM).

Para eliminar las contraseñas por completo, Entra ID admite métodos de autenticación sin contraseña, como Windows Hello para la empresa, las claves de seguridad FIDO2 e inicio de sesión por teléfono mediante la aplicación Microsoft Authenticator. La autenticación sin contraseña ofrece una experiencia de usuario muy superior y, al mismo tiempo, neutraliza el robo de credenciales.

Acceso condicional: el motor de directivas inteligente

La autenticación no debería ser un evento estático de todo o nada. Iniciar sesión desde un portátil corporativo gestionado, en la oficina segura de Londres, debería tener requisitos de seguridad distintos que hacerlo desde un dispositivo desconocido conectado a una red Wi-Fi pública en el extranjero.

Aquí es donde entra en juego Acceso condicional de Microsoft Entra. El acceso condicional actúa como un motor inteligente de decisiones sobre directivas. Evalúa señales, como la identidad del usuario, el estado del dispositivo, la ubicación, el nivel de riesgo y la sensibilidad de la aplicación, y aplica las decisiones de acceso en tiempo real.

Un flujo típico de directiva de acceso condicional tiene este aspecto:

• Si un usuario intenta acceder a una aplicación financiera de alta sensibilidad...
• Y su riesgo de inicio de sesión se evalúa como medio o alto mediante Microsoft Entra Identity Protection...
• Entonces concede el acceso, pero exige autenticación multifactor y un restablecimiento de contraseña, o bloquea el acceso por completo hasta que se mitigue el riesgo.

El acceso condicional permite a las organizaciones pasar de una seguridad perimetral rígida a una sólida arquitectura de Confianza cero: nunca confiar, verificar siempre y asumir que hay una brecha.

Comprender los permisos, los roles y la delegación

Una vez que un usuario se ha autenticado correctamente y ha superado todas las comprobaciones de acceso condicional, ¿qué le permitimos hacer? Gestionar la autorización en Microsoft Entra ID exige entender a fondo los permisos, los roles administrativos y los modelos de delegación.

Roles integrados de Microsoft Entra

En el pasado, las organizaciones solían caer en la trampa de conceder permisos administrativos demasiado amplios, como convertir a cada técnico del servicio de asistencia en administrador de dominio. En la nube, seguir el principio de privilegio mínimo (PoLP) no es negociable. Los usuarios solo deben tener el nivel mínimo de acceso necesario para realizar sus funciones concretas.

Entra ID ofrece una amplia variedad de roles administrativos integrados y granulares. Por ejemplo:

• Administrador de usuarios: puede gestionar todos los aspectos de los usuarios y los grupos, incluido el restablecimiento de contraseñas de los no administradores.
• Administrador de Helpdesk: puede restablecer las contraseñas de los no administradores y de determinados roles de servicio de asistencia, pero no puede crear usuarios ni modificar la configuración de seguridad global.
• Administrador de acceso condicional: puede crear y gestionar directivas de acceso condicional sin acceso a las cuentas de usuario ni a los datos de facturación.
• Administrador global: es el rol administrativo de mayor nivel, con acceso completo a todas las funciones del directorio. Este rol debe limitarse estrictamente a un número muy reducido de personas (idealmente menos de cinco) y supervisarse de forma exhaustiva.

Privileged Identity Management (PIM)

Incluso con roles granulares, el acceso administrativo permanente supone un riesgo de seguridad importante. Si se comprometen las credenciales de un administrador global, el atacante tiene las llaves de todo el reino. Aquí entra en juego Microsoft Entra Privileged Identity Management (PIM).

PIM permite el acceso privilegiado just-in-time (JIT). En lugar de que los administradores tengan permisos permanentes, sus cuentas siguen siendo cuentas de usuario estándar en el día a día. Cuando hay que realizar una tarea administrativa, el usuario solicita la activación del rol específico a través de PIM. El sistema puede exigir flujos de aprobación, justificaciones obligatorias y autenticación multifactor antes de elevar los permisos del usuario durante un periodo limitado (por ejemplo, dos horas). Cuando expira el tiempo, los permisos se revocan automáticamente. PIM convierte los privilegios permanentes en eventos temporales y auditables.

Buenas prácticas para administrar Entra ID en la empresa

Para cerrar esta extensa guía, veamos algunas buenas prácticas aplicables que todo administrador de TI, profesional de seguridad y arquitecto de la nube debería implementar al gestionar Microsoft Entra ID.

1. Exigir MFA resistente al phishing para todos

No esperes a un incidente de seguridad para exigir la autenticación multifactor. Aplícala en toda la organización, empezando por los administradores y los usuarios con privilegios, y extiéndela rápidamente a todos los empleados. Siempre que sea posible, aleja a los usuarios de la MFA basada en SMS y acércalos a las notificaciones push en la aplicación con coincidencia de números o a las claves de seguridad FIDO2, para defenderte de los ataques de phishing modernos de adversario en el medio (aitm).

2. Adopta Zero Trust con líneas base de acceso condicional

Implementa cuanto antes un conjunto base de directivas de acceso condicional. Como mínimo, bloquea los protocolos de autenticación heredados (que no admiten los controles de seguridad modernos), exige dispositivos conformes para acceder a los datos corporativos y establece directivas basadas en riesgo que se adapten de forma dinámica a los comportamientos de inicio de sesión sospechosos.

3. Audita y minimiza los administradores globales

Realiza auditorías periódicas de tus roles con privilegios. Asegúrate de que no haya más de dos a cuatro cuentas con el rol de Administrador global, y exige cuentas de acceso de emergencia (break-glass), es decir, cuentas de emergencia solo en la nube con credenciales sólidas protegidas por hardware y almacenadas de forma segura, para escenarios de fallo catastrófico.

4. Aprovecha Privileged Identity Management (PIM)

Si el nivel de licencias de tu organización lo permite (normalmente Microsoft Entra ID P2 o Microsoft 365 E5), despliega PIM cuanto antes. Elimina el acceso administrativo permanente y exige flujos de trabajo de justificación y aprobación para la activación de todos los roles sensibles.

5. Revisa periódicamente el acceso de invitados y la colaboración B2B

La colaboración externa es esencial para las empresas actuales, pero las cuentas de invitado no gestionadas representan un importante punto ciego de seguridad. Implementa revisiones de acceso en Entra ID para volver a certificar periódicamente si los invitados externos siguen necesitando acceso a tus recursos corporativos. Elimina automáticamente a los invitados que ya no necesiten acceso.

Conclusión

Microsoft Entra ID es mucho más que un directorio de usuarios: es la capa de seguridad fundamental de todo tu ecosistema en la nube. Al entender cómo gestionar usuarios, grupos, dispositivos y aplicaciones empresariales, y al aplicar una autenticación estricta, acceso condicional y permisos de privilegios mínimos, puedes convertir la identidad de una vulnerabilidad en la defensa más sólida de tu organización's.

Gracias por sintonizar nuestro podcast y leer este artículo del blog. Si te ha resultado útil este resumen, compártelo con tus compañeros de TI, suscríbete al podcast para más información sobre arquitectura en la nube y escríbenos con cualquier pregunta o tema que quieras que tratemos en próximos episodios. ¡Mantente seguro ahí fuera!