Solución de problemas de sincronización de usuarios

By Mirko Peters · 2026-04-24 · Updated 2026-07-18

Soluciona un usuario que no se sincroniza con Microsoft Entra ID, con comprobaciones paso a paso del origen de identidad, el ámbito, los atributos, los conectores y el estado de la sincronización.

Automatically translated with AI from the original post. Read the English original

Si has llegado hasta aquí, seguramente te enfrentas al problema tan habitual de que las cuentas de usuario no aparecen en la nube de Microsoft. Tanto si falta un usuario en Microsoft Entra ID, como si la sincronización híbrida de AD está incompleta o hay una cuenta concreta que se resiste a sincronizarse, estás en el lugar adecuado. Estas situaciones son un quebradero de cabeza para cualquiera que administre Microsoft 365, Azure o entornos de identidad híbrida.

Esta guía desglosa los fallos de sincronización más comunes: sincronizaciones lentas, usuarios que desaparecen o se duplican, errores de «no encontrado» y mensajes de estado poco útiles. Obtendrás un plan de actuación que cubre tanto los fundamentos como los escenarios avanzados, desde instalaciones fallidas del agente de directorio hasta conflictos complejos en la coincidencia de objetos. Repasaremos todos los puntos de control críticos, los registros y las herramientas que necesitas, y explicaremos por qué un enfoque minucioso y paso a paso es fundamental para resolver los problemas de sincronización de usuarios.

Encontrarás instrucciones claras, explicaciones de la mecánica subyacente de la sincronización, estrategias de intervención y formas de validar la solución. Partimos de que te manejas bien con Active Directory, Windows Server y los portales de administración de Microsoft, pero no hace falta ser un experto para seguir la guía. Ponte el sombrero de administrador y hagamos que los usuarios se sincronicen donde deben estar.

Diagnóstico de fallos de sincronización en la nube en integraciones locales de Microsoft Entra

Sincronizar los usuarios de tu Active Directory local con Microsoft Entra ID es esencial para mantener al día la identidad y el acceso en los servicios en la nube. El proceso lo impulsa Microsoft Entra Connect, un puente que copia los cambios de tu entorno a la nube. Cuando ese puente empieza a fallar, o peor aún, se rompe, los usuarios y las organizaciones pagan el precio con inicios de sesión que no funcionan o cuentas que desaparecen.

En esencia, una integración correcta depende de una arquitectura sólida, de los requisitos previos adecuados y de flujos de sincronización predecibles. Incluso una pequeña configuración incorrecta, una regla de firewall olvidada o un permiso de cuenta de servicio que no se concedió pueden desencadenar una larga búsqueda de un usuario o grupo que falta. Por eso, antes de entrar en los detalles, es crucial entender el panorama general: el paso de lo local a la nube, los túneles de red implicados y las dependencias de los servicios.

Esta sección sienta las bases de lo que hace funcionar la sincronización híbrida y de los errores en los que más suelen caer los equipos de TI, sobre todo cuando nuevos requisitos o cambios en el entorno los pillan por sorpresa. Entender la lógica de cada pieza hará que cada sesión de resolución de problemas sea menos misteriosa y mucho más rápida.

Cómo se sincronizan los objetos locales de Microsoft Entra con la nube

En las configuraciones de Microsoft Entra Connect, los objetos de AD locales, como usuarios y grupos, se asignan a la nube mediante un conjunto único de atributos. El más importante es el Immutable ID, generado a partir del objectGUID de tu directorio local y que se usa como criterio definitivo de coincidencia en Microsoft Entra ID.

Cuando se crea o modifica un objeto, Entra Connect obtiene los datos, aplica las reglas de sincronización o las asignaciones de atributos y decide si debe crear, actualizar o vincular el objeto correspondiente en la nube. Así se garantiza una identidad coherente para cada usuario en todos los entornos, siempre que los nombres, los GUID y la lógica de coincidencia estén bien configurados. La mayoría de las discrepancias y de las paradas de sincronización se deben a una mala alineación de atributos o a no tener claro qué objeto es el «propietario» de la identidad en escenarios híbridos.

Verificar puertos y URL de acceso para Microsoft Cloud Sync

• Comprueba los puertos TCP de salida: asegúrate de que tu servidor de sincronización puede conectarse a los servicios clave de Microsoft. Normalmente, los puertos TCP 80 (HTTP) y 443 (HTTPS), y a veces el 8080, deben estar abiertos para el tráfico saliente.
• Valida el acceso a las URL necesarias: Microsoft Entra Connect debe poder llegar a puntos de conexión como login.microsoftonline.com, graph.windows.net y *.servicebus.windows.net. Puedes consultar la lista completa y actualizada de URL necesarias en la documentación de Microsoft.
• Prueba con PowerShell o el navegador: usa herramientas como Test-NetConnection, curl o incluso un navegador para confirmar que los puntos de conexión responden. Las conexiones bloqueadas pueden revelar problemas de DNS, firewall o proxy.
• Revisa los registros del firewall y del proxy: comprueba que no haya una intercepción TLS/SSL silenciosa ni un problema de autenticación en el proxy que esté bloqueando tu tráfico saliente, sobre todo en entornos empresariales muy restringidos.

Comprobar el estado del servicio para entornos de sincronización híbrida

Para que la sincronización funcione sin problemas, todos los servicios críticos tanto en el servidor de Microsoft Entra Connect como en la nube deben estar en buen estado y en ejecución. En local, esto significa comprobar el servicio de sincronización de Microsoft Entra Connect mediante services.msc o la consola Synchronization Service Manager. Fíjate en los servicios detenidos, deshabilitados o que fallan, ya que a menudo detienen la sincronización por completo.

En la nube, revisa el panel de estado del servicio de Microsoft para detectar informes de incidentes que puedan afectar a la sincronización. Los registros de servicio, las alertas y los mensajes de estado te indican si hay actualizaciones, interrupciones o problemas transitorios que afectan a la conectividad de la identidad híbrida. Reconocer rápidamente el estado del servicio te permite descartar problemas del entorno frente a problemas de configuración específicos.

Solución de problemas del agente y de la configuración del servidor de sincronización

Pueden ocurrir muchos problemas antes de que un solo objeto de usuario salga de tu servidor, sobre todo durante la implementación inicial o las actualizaciones. Los agentes de sincronización necesitan los permisos adecuados, los requisitos previos de software y acceso de red. Pero los entornos reales son complejos: las directivas de grupo pueden bloquear la ejecución, el antivirus puede bloquear los pasos de instalación o pueden faltar derechos de administrador.

Esta sección se centra en por qué aparecen tan a menudo los problemas del lado del agente. Desde instalaciones fallidas hasta caídas inesperadas de servicios, muchos de los problemas recurrentes tienen su origen en cómo se configura el agente de sincronización y en cómo se mantiene en buen estado en su host de Windows Server. Las actualizaciones fallidas, las dependencias huérfanas o el mantenimiento descuidado pueden detener la sincronización y hacer que tus directorios de usuarios dejen de estar alineados.

Antes de culpar a la nube, conviene revisar el agente que se ejecuta localmente. Las siguientes secciones te guiarán por comprobaciones rápidas y soluciones sólidas, para que puedas confirmar que tu servidor de sincronización cumple su parte antes de investigar problemas en la nube.

Problemas habituales de instalación del agente y pasos de configuración del servidor

• Permisos insuficientes durante la configuración: una de las principales causas de fallo en la instalación del agente es no ejecutar la instalación como administrador local o no tener los derechos delegados necesarios en Active Directory. Confirma siempre los permisos antes de iniciar el instalador.
• Configuración incorrecta de la cuenta de servicio: el servicio de sincronización necesita una cuenta dedicada con derechos específicos en el directorio y en el servidor local. Usar una cuenta con un alcance incorrecto o dejar que caduquen las contraseñas de las cuentas provoca errores de inicio y fallos en tiempo de ejecución.
• Problemas de certificados y de confianza TLS/SSL: los entornos híbridos, sobre todo con controles de seguridad estrictos, suelen fallar por autoridades de certificación raíz que faltan o han caducado. Esto provoca fallos silenciosos en el protocolo de enlace TLS entre el agente y la nube. Valida que el almacén de certificados de Windows incluya todas las autoridades de certificación raíz de confianza necesarias.
• SO y requisitos previos desactualizados: ejecutar Entra Connect en versiones de Windows Server no compatibles o sin parches, o sin las dependencias de .NET Framework, es un problema recurrente. Comprueba siempre cuál es el sistema operativo compatible más reciente y las actualizaciones de requisitos previos antes de instalar o actualizar.
• Software en conflicto o directivas de GPO: el software de protección de endpoints, los cortafuegos o los objetos de directiva de grupo restrictivos pueden interferir en el inicio y el funcionamiento del agente. Revisa los registros del software de seguridad y la configuración de directivas de grupo si las instalaciones fallan repetidamente o los servicios se bloquean sin errores claros.

Supervisar el estado de sincronización de objetos y realizar pasos de sincronización delta

• Ver el estado de sincronización: abre Synchronization Service Manager en tu servidor de Microsoft Entra Connect. Consulta la pestaña «Operations» para ver los ciclos de sincronización recientes, los errores y el número de objetos importados y exportados.
• Ejecutar una sincronización delta manual: usa PowerShell en el servidor de sincronización: Start-ADSyncSyncCycle -PolicyType Delta. Esto activa la sincronización solo de los cambios recientes, lo que reduce el tiempo de espera frente a una sincronización completa.
• Verificar los resultados de la sincronización: cuando termine el ciclo, revisa la lista «Operations» y los registros de eventos por si hay errores nuevos. Confirma que los cambios de usuarios, grupos o atributos se reflejan en la nube comprobándolo en el centro de administración de Microsoft Entra.
• Interpretar los mensajes de error: busca los detalles de los fallos en los registros del servicio de sincronización o en la salida de PowerShell: usuarios sin coincidencia, denegaciones de permisos o conflictos de atributos que explican las sincronizaciones perdidas.

Investigar los problemas de sincronización de objetos y los errores de coincidencia

No todos los problemas de sincronización se deben a un fallo general del servidor o del servicio. Muchas veces el origen es una cuenta o un grupo concreto con un conflicto de atributos, un duplicado o una discrepancia entre lo que existe en local y lo que existe en la nube. Son los errores que quitan el sueño a cualquier profesional de TI: un entorno de sincronización en perfecto estado, pero esa cuenta obstinada que no aparece, no se combina o no se actualiza correctamente.

La causa raíz puede ir desde un error tipográfico en un UPN hasta un objeto obsoleto que conserva una dirección de correo o un atributo proxy coincidente. La identidad híbrida de Microsoft se basa en un proceso llamado "coincidencia": la coincidencia flexible (soft matching), basada en atributos principales, y la coincidencia estricta (hard matching), que usa el ID inmutable. Cuando algún paso falla, los objetos no se sincronizan o, peor aún, aparecen como duplicados o huérfanos.

Esta sección te ayuda a diagnosticar fallos de sincronización a nivel de objeto y te prepara para detectar colisiones de nombres, discrepancias de atributos y errores de autorización, por muy profundo que tengas que llegar. Después sabrás cómo conseguir que incluso las cuentas más esquivas se emparejen y sincronicen correctamente.

Diagnóstico de objetos locales y estado de sincronización de objetos del directorio

• Comprueba si hay conflictos de atributos: Usa herramientas como el Administrador de servicios de sincronización o PowerShell (Get-ADUser, Get-MsolUser) para comparar los atributos clave (UPN, correo y proxyAddresses) entre las cuentas locales y las de la nube.
• Revisa los registros y el estado de la sincronización: Analiza los ciclos de sincronización recientes en busca de errores a nivel de usuario, como "errores de exportación" o advertencias de "no sincronizando" en la pestaña de operaciones del servicio de sincronización.
• Verifica la lógica de coincidencia: Confirma que el ID inmutable del objeto local (derivado de objectGUID) coincide con el que hay en Microsoft Entra ID. Las discrepancias en este punto son una señal de alarma para los problemas de sincronización.
• Busca duplicados: Ejecuta consultas o usa filtros del portal para localizar objetos solo de la nube que podrían estar bloqueando la sincronización local por existir previamente con los mismos atributos.

Resolución de problemas de cuarentena del aprovisionamiento y de autorización del servicio de directorio

• Identifica los estados de cuarentena: En el Centro de administración de Microsoft Entra o en los registros de sincronización, busca usuarios marcados como "en cuarentena" por problemas de datos o de permisos.
• Revisa los permisos del directorio: Asegúrate de que la cuenta de servicio que usa Entra Connect tiene acceso de lectura y escritura a los objetos y atributos necesarios de AD.
• Comprueba si hay infracciones de atributos: Los usuarios pueden quedar en cuarentena si sus atributos incumplen una directiva (por ejemplo, formatos no válidos o valores restringidos). Corrige estos atributos en local y, después, vuelve a ejecutar la sincronización.
• Quita el estado de cuarentena: Una vez resueltas las causas raíz, saca a los usuarios de la cuarentena desde el portal o con PowerShell y, a continuación, inicia una sincronización delta para restaurar el funcionamiento normal.

Solución de problemas de sincronización en la nube con registros, archivos y el portal de Microsoft

Cuando las comprobaciones básicas y las configuraciones no bastan para que los usuarios se sincronicen, el siguiente paso es analizar las amplias herramientas de diagnóstico disponibles. Microsoft Entra Connect y sus servicios en la nube generan un registro detallado de lo ocurrido en cada ciclo de sincronización: desde los archivos de registro del servidor Windows, pasando por los mensajes de error codificados del Visor de eventos, hasta los paneles de estado completos del Centro de administración de Microsoft Entra.

Revisar los registros adecuados y aprovechar la información en tiempo real del portal te ayuda a pasar de las suposiciones a los hechos: verás qué errores se han producido, qué objetos se han quedado bloqueados y si el problema está en tu implementación o en el propio servicio de Microsoft. Las herramientas de automatización y los informes basados en grafos del portal incluso pueden ayudarte a detectar patrones y programar futuras correcciones para evitar que los fallos se repitan.

Esta sección presenta las herramientas básicas para llegar al fondo de las caídas silenciosas de sincronización, las discrepancias misteriosas o esos casos extraños en los que el servicio de sincronización indica "correcto", pero un usuario sigue sin aparecer. Con estas herramientas a mano, incluso los retos más complicados de identidad híbrida resultan más fáciles de desenredar y de prevenir la próxima vez.

Revisión de archivos de registro y de la salida de solución de problemas de sincronización en la nube

• Registros del Administrador de servicios de sincronización: Se encuentran en C:\ProgramData\Microsoft\Azure AD Connect\Trace. Detallan cada acción de sincronización y los códigos de error más habituales.
• Visor de eventos de Windows: Revisa los registros de Aplicación y Sistema en busca de eventos de "Directory Synchronization" o "Azure AD Connect". Filtra por advertencias o errores.
• Registros del portal de Entra Connect Health: Ofrecen una visualización basada en la nube y un historial de errores, ideales para detectar problemas continuos o intermitentes.
• Salida de PowerShell: Scripts como Get-ADSyncScheduler o Get-ADSyncRunProfile muestran en tiempo real los resultados de sincronización de objetos y los detalles de los errores.

Uso del portal de Microsoft y del Centro de automatización para supervisar la sincronización

El portal de administración de Microsoft Entra es tu punto de referencia para ver la sincronización en tiempo real. Desde la sección "Identidad" puedes consultar el estado de la sincronización, seguir los errores a nivel de objeto y revisar en detalle los ciclos de sincronización recientes. El Centro de automatización te permite programar sincronizaciones, configurar alertas ante fallos y aplicar soluciones con un solo clic para problemas comunes.

Los recursos del Centro de ayuda en línea, junto con los informes de Microsoft Graph, aportan contexto para los problemas persistentes o los bloqueos a nivel de usuario. Con estas herramientas, la resolución de problemas deja de ser un juego de adivinanzas y se convierte en un proceso medido y basado en datos, lo que te permite pasar de apagar incendios a gestionar la identidad de forma proactiva.

Confirmación de la resolución de la sincronización y pasos de informe

• Valida la presencia del objeto: Busca el usuario o grupo sincronizado tanto en AD local como en el portal de la nube para confirmar que el objeto se ha transferido correctamente.
• Prueba los inicios de sesión y los permisos: Intenta iniciar sesión en la nube con el usuario afectado para comprobar que las credenciales y las directivas de acceso ahora funcionan como se espera.
• Revisa los registros de sincronización: Verifica que los ciclos recientes no muestren errores y que los objetos marcados previamente aparezcan ahora como "correcto" o "completado".
• Documenta la solución: Registra los pasos, los síntomas y los resultados del problema en el registro de incidentes o la base de conocimiento de tu equipo para futuras referencias.
• Programa sincronizaciones de seguimiento: Configura comprobaciones rutinarias o supervisión para detectar señales de alerta temprana si el mismo problema vuelve a aparecer.

Envía comentarios y aprende de los debates de la comunidad (21)

• Envía comentarios a Microsoft: Usa el botón de comentarios del portal de administración de Entra o de Microsoft Docs para notificar errores o solicitar nuevas funciones. Así se mejoran las herramientas para todos los administradores.
• Participa en los foros: Únete a Microsoft Tech Community y a los espacios dedicados a Entra ID para hacer preguntas y aportar respuestas. Al menos otros 21 administradores han publicado sobre situaciones similares: aprovecha su experiencia o las peculiaridades que hayan descubierto.
• Comparte tu caso en los comentarios: Añade los detalles de tu problema de sincronización particular a los artículos de la base de conocimiento para que los lectores futuros puedan consultar soluciones reales.
• Aprovecha los recursos del portal de administración: Usa los enlaces a las guías de solución de problemas y a podcasts como este episodio sobre Entra ID y el acceso condicional para profundizar en tus conocimientos.

Comprender los conflictos de Immutable ID y de coincidencia de objetos en la sincronización híbrida

Aquí las cosas se complican un poco: la coincidencia de objetos en la sincronización híbrida no es infalible, y una de las fuentes más difíciles de fallos de sincronización son los conflictos de Immutable ID. Cada usuario sincronizado desde tu directorio local tiene en la nube un Immutable ID único, derivado de su objectGUID original. Si recreas o migras un usuario sin una limpieza adecuada, el nuevo objeto local recibe un objectGUID nuevo, pero el Immutable ID antiguo sigue asociado a la cuenta en la nube. Esta discrepancia oculta bloquea la sincronización en silencio o genera duplicados.

A esto se suma que los objetos de usuario solo en la nube a veces quedan como restos de migraciones anteriores e impiden nuevos intentos de sincronización desde el entorno local. Si no identificas y limpias estos objetos obsoletos o huérfanos, los usuarios nuevos no aparecerán o, peor aún, acabarás con dos cuentas para la misma persona. La mayoría de las guías pasan por alto estos escenarios, pero son de los mayores quebraderos de cabeza en las implementaciones de identidad reales.

En esta sección se explica con detalle cómo y por qué se producen los conflictos de Immutable ID y se describen procesos prácticos para aislar y resolver estos errores. Si las soluciones sencillas no han funcionado y sospechas de una discrepancia de identidad, estos próximos apartados son lectura imprescindible para tu caja de herramientas.

Análisis de causa raíz de las discrepancias de Immutable ID durante el reaprovisionamiento de usuarios

Las discrepancias de Immutable ID se producen cuando un usuario local se elimina y se vuelve a crear sin antes quitar o actualizar el objeto en la nube. El nuevo usuario local puede tener el mismo UPN o correo electrónico, pero un objectGUID distinto, por lo que el Immutable ID generado no coincide con lo que hay en Microsoft Entra ID. Como resultado, la sincronización falla en silencio o devuelve errores de coincidencia, y la cuenta queda huérfana o duplicada en la nube.

Para resolverlo, los administradores deben identificar el objeto conflictivo en la nube y, o bien vincularlo de forma manual al nuevo usuario local actualizando el Immutable ID, o bien eliminar el objeto obsoleto antes de una nueva sincronización. Este proceso es fundamental al migrar, restaurar o reaprovisionar usuarios, ya que garantiza una transición sin problemas y evita bloqueos invisibles en la capa de directorio.

Detección y resolución de objetos de usuario duplicados entre entornos locales y en la nube

• Identifica los usuarios obsoletos solo en la nube: Usa el filtrado del portal y PowerShell (Get-MsolUser -All | Where-Object {$_.LastDirSyncTime -eq $null}) para encontrar los objetos de usuario que nunca se sincronizaron desde el entorno local.
• Comprueba si hay colisiones de atributos: Compara atributos principales como el UPN y el correo electrónico entre las cuentas solo en la nube y las locales para detectar coincidencias.
• Elimina o combina los duplicados: Borra o combina el objeto solo en la nube desde el portal o con PowerShell antes de volver a sincronizar desde el entorno local. Así se libera el bloqueo y el objeto correcto puede aparecer.
• Vuelve a sincronizar el usuario local: Inicia una sincronización delta y confirma que el nuevo objeto llega a la nube con los atributos correctos y el Immutable ID adecuado.
• Documenta la limpieza: Registra todos los cambios y los pasos de resolución para evitar confusiones e impedir que el problema vuelva a aparecer en futuras migraciones o reorganizaciones.

También te puede interesar escuchar

Si estás investigando usuarios que no se sincronizan con Microsoft Entra ID, estos episodios aportan contexto práctico sobre seguridad de identidades, gobernanza y operaciones fiables de Microsoft 365.

• Conditional Access – Simply Explained — Entiende cómo la identidad, el dispositivo, la ubicación y las señales de riesgo determinan las decisiones de acceso.
• Privileged Identity Management – Simply Explained — Descubre cómo el privilegio just-in-time y los flujos de aprobación reducen la exposición administrativa.
• Microsoft Defender XDR – Simply Explained — Conecta las señales de identidad con la detección, la investigación y la respuesta a incidentes.
• Microsoft Teams Governance – Simply Explained — Aprende cómo una propiedad clara y las reglas del ciclo de vida hacen sostenible la colaboración segura.

Estos episodios ayudan a trasladar los pasos técnicos a una estrategia más amplia de identidad y gobernanza.