Guía de usuarios en Microsoft Entra ID

By Mirko Peters · 2026-04-30 · Updated 2026-07-18

Aprende a gestionar usuarios en Microsoft Entra ID con orientación práctica sobre seguridad, gobernanza, control de acceso, implementación y uso en el mundo real.

Automatically translated with AI from the original post. Read the English original

Si quieres tener la seguridad de tu organización bien blindada y la productividad funcionando sin fricciones, entender los usuarios en Microsoft Entra ID (antes Azure Active Directory) es tan esencial como recordar tu aniversario. Los usuarios no son solo direcciones de correo electrónico: son la base de cómo se gestionan las identidades y los accesos en la nube de Microsoft.

Esta guía desglosa todo, desde los tipos de usuario (como miembros completos e invitados) hasta la gestión masiva, el acceso a aplicaciones y los roles de administrador. Tanto si acabas de empezar con la identidad en la nube como si eres un responsable de TI con mucha experiencia, encontrarás orientación clara para organizar, proteger y sacar el máximo partido a los usuarios en Entra ID. Pongamos la identidad donde debe estar: en el centro de tu estrategia en la nube y de los cimientos de tu seguridad.

Qué es Microsoft Entra ID y por qué importa la gestión de identidades

Los días de proteger una sola oficina con Active Directory local han quedado atrás. Bienvenido a Microsoft Entra ID: la evolución de Azure Active Directory de Microsoft y tu centro de mando para la gestión de identidades y accesos en la era de la nube híbrida.

Entra ID es un directorio de identidades nativo de la nube, concebido desde el principio para la nube, que reúne en un solo lugar los inicios de sesión de los usuarios, los permisos de acceso y las conexiones con las aplicaciones. Tanto si tus usuarios están en la oficina, trabajan de forma remota o cambian constantemente entre entornos, Entra ID simplifica quién puede acceder a qué, manteniendo la experiencia fluida para los usuarios y la seguridad a prueba de fallos.

Entonces, ¿qué diferencia a Entra ID del Active Directory tradicional que tienes en ese Windows Server lleno de polvo? Pues que está diseñado para la nube desde cero: se integra sin fricciones con Microsoft 365, Azure, las aplicaciones SaaS e incluso con tus cargas de trabajo locales heredadas si las necesitas. Puede gestionar usuarios que nunca se conectan a la red corporativa, admite inicios de sesión sin contraseña y directivas basadas en riesgo, y te permite controlar los recursos desde cualquier lugar.

Un sistema de identidad sólido como Entra ID importa más que nunca. No se trata solo de los inicios de sesión: es tu escudo frente a las fugas de datos, los dolores de cabeza del cumplimiento normativo y las ciberamenazas. Centralizar la gestión de identidades reduce tu superficie de ataque y te permite reaccionar rápidamente ante los riesgos, algo clave en cualquier proceso de transformación digital. Con Entra ID, tu directorio de usuarios es la primera línea de tu postura de seguridad y el motor de la productividad moderna en la nube.

Comprender los perfiles, los tipos y los atributos de usuario en Entra ID

1. Tipos de usuario

• Usuarios miembro: son tus usuarios internos: empleados, estudiantes o personal que pertenece a tu organización. Tienen acceso completo a los recursos de la empresa en función de sus roles y permisos asignados.
• Usuarios invitados: también llamados «usuarios externos» o «invitados B2B», son personas externas a tu organización a las que invitas (socios, proveedores, clientes). Su acceso es más restringido y puede controlarse de forma estricta por motivos de seguridad.

1. Atributos clave del perfil de usuario

• Nombre de usuario/UPN (nombre principal de usuario): normalmente es una dirección de correo electrónico y es el dato con el que los usuarios inician sesión.
• Nombre para mostrar: el nombre fácil de reconocer que aparece en Teams, Outlook y otras aplicaciones de Microsoft.
• Dirección de correo electrónico: el principal punto de contacto de cada usuario.
• Departamento, cargo y puesto de trabajo: facilitan la automatización y la asignación dinámica a grupos.
• Responsable: organiza las líneas de reporte y los flujos de aprobación.
• Atributos personalizados: puedes ir más allá de los valores predeterminados y añadir centro de coste, códigos de proyecto o cualquier campo personalizado que necesites mediante extensiones del directorio o del esquema.

1. Importancia de tener bien la información del usuario
2. Tener perfiles precisos no es solo algo útil para TI: es lo que te permite controlar quién accede a los archivos sensibles, qué licencias necesita cada usuario y cómo funcionan las auditorías y la automatización. Los datos deficientes provocan problemas de cumplimiento normativo, alteran los grupos dinámicos y pueden dejar puertas abiertas a las personas equivocadas.
3. Diferencias entre perfiles: internos frente a externos
4. Los perfiles internos (miembros) tienen atributos más completos, pertenencia a la organización y un acceso más amplio a los recursos. Los usuarios invitados traen sus propias credenciales de otra organización y mantienen un perfil «ligero», ideal para una colaboración segura sin unirse por completo a tu dominio.

Gestión de perfiles de usuario, categorías y propiedades recomendadas

• Categorías de usuarios Empleados: tus usuarios habituales, con acceso interno completo según sus funciones.
• Contratistas/consultores: Internos, pero con acceso limitado o temporal; a menudo necesitan una marca especial en sus atributos para cumplimiento y generación de informes.
• Invitados: Colaboradores externos, como ya se explicó. Hacer seguimiento de ellos es clave para evitar cuentas inactivas y riesgos de seguridad.
• Coherencia en el nombre de las propiedades de perfil recomendadas: Usa formatos acordados, como nombre.apellido@dominio.com para los nombres de usuario, y nombres para mostrar estandarizados.
• Departamento y puesto: Completa siempre los atributos clave, como departamento, ubicación de oficina, responsable y cargo. Esto ayuda con la pertenencia dinámica a grupos y con las directivas de acceso.
• Campos de cumplimiento: Añade extensiones de esquema personalizadas para códigos de proyecto, centros de coste, región o entidad jurídica, algo fundamental en organizaciones grandes o entornos regulados.
• Foto de perfil: Sube una foto reconocible para facilitar la validación de identidad y mejorar la experiencia de usuario en Outlook y Teams.
• Recomendaciones de buenas prácticasRevisa periódicamente los datos de los usuarios para garantizar su exactitud. Esto implica usar herramientas de automatización, auditorías periódicas y sincronizaciones con tu sistema de RR. HH.
• Documenta tus convenciones de nomenclatura y tus estándares de propiedades de perfil para que RR. HH., TI y cumplimiento siempre estén alineados.
• Al auditar la actividad de los usuarios para cumplimiento e investigaciones, vincula estrechamente los perfiles de usuario con herramientas como Microsoft Purview Audit para hacer seguimiento del comportamiento y los riesgos en todo tu entorno de Microsoft 365.
• EjemplosEmpleado: john.smith@company.com, Departamento: TI, Centro de coste: 1001, Responsable: Alice Lee, Foto de perfil: Sí
• Contratista: jane.contractor@company.com, Departamento: Marketing, Fecha de fin de acceso: 31/10/2024
• Invitado: guest.partner@external.com, Invitado por: OpsAdmin, Acceso: solo canal compartido de Teams.

Definir bien estos datos desde el principio mantiene tu entorno de identidades limpio y preparado para auditorías, y facilita el trabajo de todos los departamentos.

Cómo actualizar varios usuarios y fotos de perfil en Entra ID

1. Actualizar un único usuario
2. Puedes editar los datos de un usuario, como el cargo, el responsable o el número de teléfono, directamente desde el centro de administración de Entra. ¿Necesitas cambiar su foto de perfil? Los propios usuarios pueden hacerlo en Outlook o Teams, pero los administradores pueden sustituir las fotos de forma centralizada por motivos de cumplimiento o de RR. HH.
3. Actualizar usuarios en lote

• Método con el portal: Usa las funciones de importación y exportación de CSV del portal de Entra para editar propiedades de usuario en lote.
• Automatización con PowerShell: Los administradores avanzados usan scripts de PowerShell para actualizar varios usuarios a la vez, algo muy útil en organizaciones grandes. Los scripts pueden actualizar atributos (como el departamento o el teléfono) e incluso orquestar la desaprovisionamiento en lote.
• Herramientas sincronizadas: Si usas un Active Directory local conectado, las actualizaciones allí (como el cargo o el departamento) pueden sincronizarse automáticamente mediante Azure AD Connect.

1. Gestión de fotos de perfil a escala
2. Automatiza la carga de fotos mediante scripts o herramientas de terceros. Recuerda que las fotos profesionales y coherentes ayudan a generar confianza y a defenderse de la ingeniería social, especialmente en organizaciones que trabajan con clientes.
3. Enfoques recomendados y consejos

• Valida siempre los cambios antes de aplicarlos en lote: ¡un pequeño error en el CSV podría bloquear a todo un equipo!
• Programa auditorías periódicas de atributos, sobre todo después de reestructuraciones de la empresa o de oleadas de incorporaciones.
• Ten en cuenta posibles limitaciones, como los límites de tamaño o los formatos admitidos, al cargar fotos de usuarios en lote.

1. Escenario real
2. Imagina que TI necesita actualizar el departamento de 300 empleados tras una fusión: PowerShell o una carga de CSV son mucho más eficientes que hacer clic en cada perfil. Para las organizaciones que quieran automatizar aún más, consulta los podcasts de Microsoft 365 o los recursos de gobernanza con PowerShell que te interesen (nota: el contenido puede redirigir a podcasts con debates de arquitectura empresarial si el tutorial original no está disponible).

Asignación de grupos a usuarios y gestión de la pertenencia dinámica

Gestionar los permisos de los usuarios de forma manual deja de ser viable cuando tu directorio se parece al metro en hora punta. Ahí es donde entra en juego agrupar usuarios en Entra ID. Al asignar usuarios a grupos, puedes agilizar la concesión de permisos, la asignación de licencias y la gestión del acceso a las aplicaciones, y hacer que el trabajo administrativo sea menos tedioso.

Tienes varias opciones: grupos estáticos para membresías predecibles y grupos dinámicos para asignaciones inteligentes basadas en reglas. Con los grupos dinámicos, los perfiles y los atributos de los usuarios (como el departamento o el país) determinan a qué grupo pertenece cada uno. Esto te quita de encima una enorme cantidad de trabajo repetitivo, sobre todo cuando llegan nuevas personas o cuando los equipos se reorganizan.

Además, la pertenencia dinámica no se limita a los empleados. Puedes asignar automáticamente a los invitados, como socios o contratistas, a los grupos de acceso adecuados según los datos de su perfil. Esto hace que la incorporación y la baja de usuarios externos sean más seguras, más rápidas y siempre estén basadas en directivas. Si controlas bien las asignaciones de grupo, te preparas para una seguridad sólida basada en grupos, revisiones de acceso más sencillas y una facturación de licencias predecible, todo lo cual analizaremos en detalle a lo largo de esta guía.

Conceder acceso a aplicaciones y asignar licencias a usuarios de Entra ID

• Asignar aplicaciones a usuarios o gruposVe al portal de Entra, busca «Aplicaciones empresariales», selecciona tu aplicación y, a continuación, agrega los usuarios o grupos que necesitan acceso.
• Usa grupos (estáticos o dinámicos) para asignar aplicaciones a gran escala y asegurarte de que las nuevas incorporaciones y los cambios de puesto reciban automáticamente las aplicaciones adecuadas.
• Asignar licenciasVe a «Licencias» en Entra ID. Asigna licencias de Microsoft 365, Entra ID P1 o P2 directamente a los usuarios, o aplícalas a nivel de grupo para una activación masiva. La licenciación basada en grupos garantiza que los derechos sigan a los usuarios cuando cambian de departamento, lo que mantiene el cumplimiento normativo en orden.
• En el caso de las aplicaciones SaaS que requieren licencias (por ejemplo, Salesforce o ServiceNow), agrégalas desde la galería de aplicaciones empresariales y asígnalas según sea necesario a usuarios o, mejor aún, a grupos, para facilitar el seguimiento y la baja.
• Usar grupos dinámicos para asignar aplicaciones y licenciasLas reglas de los grupos dinámicos (como «Departamento igual a Finanzas») hacen que las aplicaciones y las licencias se asocien automáticamente según los cambios en el perfil. Esto supone menos trabajo manual, menos demoras para los usuarios y registros de auditoría más sólidos.
• Solución de problemas de accesoSi un usuario no puede acceder a una aplicación después de que se le haya asignado, revisa el estado de la licencia, la pertenencia al grupo y posibles retrasos por la sincronización.
• Comprueba que las directivas de Acceso condicional no bloquean al usuario. Considera las prácticas de supervisión en tiempo real que se tratan en este podcast sobre el acceso condicional de Entra ID y aprende a generar confianza y a detectar exclusiones aplicando los principios de las estrategias de confianza en directivas de acceso condicional.

Disponer de un proceso de asignación claro y automatizado para aplicaciones y licencias reduce la fricción para tus usuarios, te ayuda a mantener el cumplimiento normativo y hace que el trabajo de TI sea un poco más manejable.

Delegar roles de administrador y usar Privileged Identity Management

Dejar que todo el mundo sea administrador es como repartir fichas de metro a cualquiera que pase por la calle: mucho riesgo y poca recompensa. En su lugar, Entra ID te ofrece roles de administrador estructurados (desde Administrador global hasta Administrador de usuarios y ámbitos personalizados definidos por ti) para que puedas delegar responsabilidades y, al mismo tiempo, limitar el alcance de los posibles daños.

Cuando necesites que alguien gestione usuarios o grupos, asígnale solo los roles que realmente necesite. Evita los privilegios excesivos: no es solo una buena práctica, es tu mejor seguro frente a cambios accidentales o malintencionados. Privileged Identity Management (PIM) de Entra ID lleva esto un paso más allá con el acceso de administrador just-in-time (JIT): haces que alguien sea elegible para un rol, pero exiges aprobación y establecs límites de tiempo cada vez que se necesiten privilegios más altos.

PIM también registra cada elevación de privilegios y proporciona registros de auditoría detallados para la seguridad y el cumplimiento normativo. Así puedes saber quién hizo qué, cuándo y por qué. En las organizaciones grandes que ejecutan cargas de trabajo críticas o manejan datos sensibles, PIM junto con el acceso basado en roles es esencial para evitar la proliferación de privilegios y proteger las operaciones vitales.

Aprovecha los enfoques avanzados de gobernanza: vincula las revisiones de acceso privilegiado y el alcance de los permisos con directivas de gobernanza como las que se describen en Microsoft Purview governance for agents and policies. Si sigues estas prácticas, no solo proteges el día a día, sino que también conservas un registro de auditoría claro de cada cambio sensible.

Gestión de usuarios invitados, limpieza de cuentas obsoletas e información de "Todos los usuarios" de Entra Directory

Dar acceso a invitados (proveedores, socios e incluso consultores de corta duración) puede impulsar mucho un proyecto, pero si dejas la puerta abierta cuando ya no están, estás invitando a los problemas. En Entra ID, gestionar los usuarios invitados empieza por controlar con rigor quién recibe una invitación y por hacer seguimiento del acceso de cada invitado desde el primer día.

Mantener un inventario preciso de los invitados es fundamental. Cada perfil de invitado debe estar asociado a una finalidad empresarial, y debes revisar periódicamente quién sigue necesitando acceso. Si un proyecto termina, utiliza revisiones automatizadas, fechas de caducidad o auditorías periódicas para revocar el acceso. Un proceso de invitación con plazo definido y justificación mantiene tu directorio limpio y tranquiliza a tus auditores.

Limpiar los invitados obsoletos no es un "estaría bien tenerlo": es un paso clave para reducir tu superficie de ataque y cerrar brechas de cumplimiento. Muchas organizaciones dejan que las cuentas de invitado permanezcan meses o incluso años, lo que genera riesgos ocultos y desorden operativo. Adopta la gestión del ciclo de vida, tal como se explica aquí, o aplica enfoques estructurados para la detección y la baja de cuentas.

Además, vigila el grupo "Todos los usuarios" en Entra ID: contiene todas las cuentas, incluidos los invitados. El uso compartido externo en herramientas como SharePoint u OneDrive solo es seguro si combinas las revisiones del directorio con una auditoría y unas alertas exhaustivas y automatizadas, como las que se describen en marcos como esta guía sobre detección de riesgos de uso compartido externo. La gobernanza no consiste solo en detener amenazas; consiste en asegurarse de que solo entren en tu casa digital las personas adecuadas, durante el tiempo adecuado.

Requisitos previos y configuración inicial de Entra ID con las prácticas recomendadas de Azure AD Connect

• Requisitos del directorioDefine con claridad una estructura de nombres de dominio que garantice estándares de nomenclatura en toda la organización. Si vas a extender un entorno local, asegúrate de que tu Active Directory de Windows Server esté en buen estado y actualizado.
• Consideraciones sobre licenciasDetermina qué licencia de Entra ID se ajusta a tus necesidades: Entra ID Free, P1 o P2. Las funciones avanzadas de seguridad y automatización (como el acceso condicional, PIM o los grupos dinámicos) suelen requerir P1 o P2.
• Cuenta todos los usuarios previstos (incluidos los invitados) para una planificación de licencias precisa; no olvides las cuentas de servicio ni los buzones de recursos.
• Sincronización con Azure AD ConnectInstala Azure AD Connect para sincronizar usuarios y grupos entre el AD local y Entra ID si tienes un entorno híbrido. Presta atención a las reglas de sincronización y sincroniza únicamente los atributos necesarios para evitar un crecimiento innecesario.
• Considera las extensiones de esquema cuando necesites atributos personalizados (casos de uso: datos de RR. HH., centros de coste, indicadores de cumplimiento), pero planifica con cuidado su nomenclatura y uso para que sigan siendo válidos en el futuro.
• Configuración inicialConfigura la gestión de contraseñas, el aprovisionamiento de usuarios y las opciones de autoservicio, y asegúrate de que la MFA sea obligatoria para todas las cuentas privilegiadas desde el primer día.
• Documenta las decisiones de configuración y establece ciclos de revisión para evitar el síndrome de "configurar y olvidar", una de las principales causas de la acumulación de riesgos en entornos cloud.
• Alineación con la gobernanzaAdopta desde el principio los principios de "gobernanza desde el diseño" y revisa guías como esta estrategia de gobernanza empresarial de Azure para evitar la desviación de las directivas, minimizar las excepciones y configurar la aplicación automatizada siempre que sea posible.

Si te centras en estos requisitos previos y en estas prácticas recomendadas, estarás preparado para una implantación de Entra ID fluida, segura y escalable, y te ahorrarás mucha limpieza posterior.

Próximos pasos, comentarios de los usuarios y recursos para empezar ahora mismo

• Revisa y aplica lo que has aprendido: Utiliza las listas de comprobación de esta guía para la configuración de usuarios, la gestión de grupos y la gobernanza, pero no te quedes aquí. Haz de las revisiones y auditorías mensuales un hábito para la mejora continua.
• Recopila comentarios de los usuarios: Abre canales de comunicación con tus usuarios y administradores. Sus problemas reales pueden impulsar mejoras en las directivas y descubrir brechas que no verías tú solo.
• Profundiza con lecturas y recursos de la comunidad: Amplía tus conocimientos con las perspectivas de otros profesionales, análisis de expertos y guías paso a paso publicadas en blogs de la comunidad relevantes y en las rutas de aprendizaje de Microsoft.
• Mantente al día: Microsoft evoluciona Entra ID constantemente. Suscríbete a las actualizaciones de la hoja de ruta, a los seminarios web o a los podcasts de expertos para no quedarte atrás con las nuevas funciones y los riesgos de seguridad.
• Practica con la mano en la masa: Crea un inquilino de prueba, experimenta con las licencias basadas en grupos, prueba los grupos dinámicos y usa las herramientas de informes para poner en práctica lo aprendido. Cuanto más lo pruebes, mejor dominarás la gestión de usuarios de Entra ID.

También deberías escuchar

Si estás investigando usuarios en Microsoft Entra ID, estos episodios aportan contexto práctico sobre seguridad de identidades, gobernanza, acceso privilegiado e implementación:

• Microsoft Defender XDR – Simply Explained — Conecta la gobernanza de identidades con las señales de seguridad, la investigación y la respuesta.
• Conditional Access – Simply Explained — Descubre cómo los controles de acceso basados en directivas aplican las decisiones sobre identidades.
• Privileged Identity Management – Simply Explained — Comprende el privilegio just-in-time, las aprobaciones y las revisiones de acceso.
• Microsoft Teams Governance – The Illusion of Control — Descubre cómo la gobernanza convierte los permisos y la propiedad en operaciones repetibles.