En realidad, la mayoría de la gente piensa que la identidad es solo un nombre de usuario y una contraseña. Los escribes, obtienes acceso y listo. Pero cuando eres una empresa que atiende clientes, la identidad se vuelve mucho más compleja. ¿Qué pasa cuando tu aplicación necesita permitir que miles de personas se registren o inicien sesión con su cuenta de Google en lugar de crear otra contraseña? ¿Y cómo mantienes seguros todos esos datos de clientes sin mezclarlos con tu directorio de empleados? Ese es exactamente el problema que Microsoft entre ExternalID fue creado para resolver. ¿Qué tal punto? Está reemplazando a Azure a DB2C por completo. Al final de este episodio, entenderás qué es realmente ExternalID, las tres formas principales de usarlo y por qué es importante para cualquier aplicación orientada al cliente. A vieja forma, siglos de identidad separados. Imagina que hace 20 años construiste una aplicación para clientes.

En aquel entonces, tenías que crear tu propio sistema. De inicio de sesión, escribir el código para las contraseñas, configurar una base de datos para almacenarlas y crear el flujo de recuperación de contraseña. Todo es decir. Eso funcionaba bien para una pequeña aplicación con unos pocos cientos de usuarios, pero a medida que las aplicaciones crecían, todo se complica rápidamente. Las empresas necesitaban permitir que los usuarios iniciaran sesión con Google o Facebook, requerían autenticación multifactor y necesitaban manejar millones de cuentas sin fallar. Construir todo eso por tu cuenta se convierte en una pesadilla. La primera respuesta de Microsoft fue Azure a DB2C. Era un servicio de identidad para clientes y en su momento resolvió un problema real. Pero aquí es donde empezó el dolor de cabeza. El mayor problema eran las llamadas políticas personalizadas. Y esas políticas estaban inscritas en XML.

Si alguna vez has trabajado con archivos XML de cientos de líneas, sabes exactamente lo doloroso que es. Difícil de configurar, difícil de depurar y cuando algo fallaba. Buena suerte tratando de averiguar por qué. Además de eso, Azure AD B2C estaba separado de la plataforma de identidad principal de Microsoft. Entonces, si ya tenías Microsoft 365 o Azure AD para tus empleados B2C, se sentía como aprender un producto completamente nuevo. Como era de esperar, los equipos de TI luchaban por mantenerlo, los desarrolladores temían trabajar con él y los clientes terminaban con una experiencia de registro torpe que los hacía querer irse. Microsoft se dio cuenta de que necesitaban algo más simple y unificado y eso es exactamente lo que se convirtió en Microsoft Entra External ID. ¿Qué es realmente Microsoft Entra External ID? Entonces, ¿qué es exactamente Microsoft Entra External ID? Aquí está la definición máxima.

Es un servicio de identidad en la nube para usuarios externos, clientes, socios e invitados, no para empleados. No para empleados. Piénsalo de esta manera. Imagina que tu empresa tiene un edificio oficinal. Ese es tu inquilino de fuerza global. Es donde trabajan sus empleados, donde están sus escritorios, donde su credencial les permite tener acceso. Entra ID y gestiona ese edificio. Ahora, imagina que abre un escaparate para clientes, un espacio separado, con su propia entrada, sus propias reglas, y sus propias reglas y su propia seguridad. Los clientes no entran por error en la sala de descanso y los empleados no acceden accidentalmente a las cuentas de los clientes. Eso es External ID. Es parte de la familia Microsoft Entra, pero con un enfoque diferente. Está diseñado para CIEM, gestión de identidades y accesos de clientes, y maneja todo el ciclo de vida de un usuario externo. Registro, inicio de sesión, restablecimiento de contraseña, gestión de perfiles, MFI y emisión de tokens.

Funciona con protocolos estándar como OAuth 2.0, OpenID, Connect y XAML, por lo que casi cualquier aplicación que cree puede conectarse. Pero aquí está la gran diferencia respecto a la antigua Azure AD B2C. External ID es más sencillo. Acabó el uso de directivos de XMD. En su lugar, usted configura los flujos de usuario directamente en el centro de administración. O bien utiliza extensiones de autenticación personalizadas que se conectan a su lógica de backend existente. La misma potencia, menos complicación. Los tres casos de uso principal. Entonces, ¿cómo se utiliza realmente External ID? Hay tres escenarios principales. Cubre en casi cualquier situación en la que necesite gestionar a alguien que no es un empleado. Empecemos por el más común, la identidad de cliente o B2C. Imagine que está creando una aplicación para pedir pizza. Necesita que la gente se registre, haga pedidos y vuelva la próxima semana.

Quiere que inicie en sesión con su cuenta de Google en lugar de crear otra contraseña. Y necesita recopilar su nombre, número de teléfono y preferencias de entrega. External ID maneja todo eso. Obtiene flujos de registro en preconfigurados. Usted configura qué atributos recopilar, nombre, teléfono, lo que necesite. Configura el inicio de sesión social con Google, Facebook o App. Y cuando un usuario se autentica, External ID emite un token a su aplicación para que sepa quién es esa persona. Este es el reemplazo de Azure ID B2C y es por donde empiezan la mayoría de las organizaciones. Otro escenario es la colaboración entre empresas o B2B. Es cuando necesita dar acceso a socios o proveedores a sus aplicaciones internas. Quizás tenga un sitio de SharePoint que su socio logístico externo debe haber o una herramienta de gestión de proyectos que usen sus diseñadores independientes. En este escenario, usted los invita como usuarios, invitados en su inquilino de fuerza laboral.

External ID maneja el correo de invitación, el proceso de canje donde aceptan la invitación y las políticas de acceso que controlan lo que pueden ver. Esto ha existido durante años como colaboración B2B dentro de Azure ID. Pero ahora es parte del paraguas de External ID, así que lo administras desde el mismo lugar que las identidades de tus clientes. Luego está el Machine to Machine o M2M. Este es menos visible para los usuarios finales, pero igual le importa. A veces, tu servicio backend necesita comunicarse con otra API, un procesador de pagos, un servicio de análisis de datos o un microservicio interno. No hay intervención humana, es simplemente una aplicación llamando a otra. External ID utiliza el flujo de credenciales de cliente de OAuth 2.0. Tu servicio se autentica usando una ID de cliente y un secreto y obtiene un token para llamar a la API de destino. Esto requiere el complemento Premium M2M, por lo que hay un factor de costo, pero si necesitas asegurar la comunicación API a API, ya está integrado.

Ahora, estos tres escenarios cubren casi todas las situaciones de identidad externa que encontrarás. Pero hay una gran decisión que debes tomar, y es dónde viven realmente sus usuarios. Porque External ID puede ejecutarse en dos lugares muy diferentes, el inquilino de fuerza laboral frente al inquilino externo. Analicemos las dos opciones. External ID puede ejecutarse dentro de tu inquilino de fuerza laboral existente o puede ejecutarse como un inquilino externo completamente separado. No es lo mismo, y elegir el incorrecto puede causar problemas en el futuro. Comencemos con la opción del inquilino de fuerza laboral. ¿Tu empresa ya tiene un inquilino? Entra ID para tus empleados. Ese es tu inquilino de fuerza laboral. Si habilitas una función llamada Registro Autoservicio de Invitados dentro de Sinkivino, los usuarios externos pueden registrarnos, pueden registrarse y aterrizar en el mismo directorio que tus empleados.

Sus cuentas se ubican justo al lado de la cuenta de tu director ejecutivo. Para escenarios B2B más simples, como invitar un puñado de socios a un sitio de SharePoint, mezclarlos en el mismo directorio está perfectamente bien. Es sencillo de configurar y no necesitas administrar un inquilino separado. Pero aquí está el punto. Si estás creando una aplicación orientada al cliente con miles de usuarios, no querrás que sus clientes vivan en el mismo directorio que tus empleados. Eso es un riesgo de seguridad. Un empleado podría tropezar accidentalmente con datos de clientes. Un cambio de configuración destinado a los empleados podría afectar el acceso a los clientes. Y tu marca para las páginas de inicio de sesión de los clientes estaría ligada a lo que hayas configurado para tu empresa. Es una ciudad. La alternativa es la opción del inquilino externo. Creas un directorio aislado completamente nuevo específicamente para la identidad de los clientes.

Ningún empleado vive. Es un espacio completamente separado. ¿Recuerdas la analogía del edificio de oficinas de este mundo? El inquilino de fuerza laboral es tu sede corporativa. El inquilino externo es la tienda dedicada que abres para tus clientes. Tienen su propia entrada, sus propias reglas y su propia seguridad. Nada se mezcla. Entonces, ¿cuáles son los beneficios de un inquilino externo? Primero, obtienes un almacén de usuarios aislado. Los datos de los clientes se mantienen totalmente separados de los empleados, lo que reduce el riesgo y simplifica el cumplimiento. Segundo, obtienes una identidad visual separada. Puedes personalizar el aspecto de las páginas de inicio de sesión específicamente para tus clientes sin afectar nada en tu inquilino corporativo. Tercero, obtienes la app y de autenticación nativa para aplicaciones móviles, que te permite crear pantallas de inicio de sesión totalmente personalizadas dentro de tu app para iOS o Android, sin redirecciones al navegador ni vistas web poco fluidas.

Y cuarto, obtienes precios basados en MAU, usuarios activos mensuales. Solo pagas por los usuarios que realmente se autentican en un mes determinado a lo que escala naturalmente con el crecimiento de tus clientes. Entonces, ¿cuándo elegir cuál? Es bastante sencillo. Si estás creando una aplicación B2C con miles de clientes, elige un inquilino externo. Ese es el enfoque recomendado y para lo que se diseñó External ID. Si solo estás invitando a socios a acceder a recursos internos, la opción de inquilino de fuerza laboral está bien. La clave es entender la diferencia antes de empezar a crear, porque emigrar de uno a otro más tarde no es algo trivial. Seguridad, MFA y acceso condicional. Ahora hablemos de seguridad. Si vas a permitir que los clientes entren en tu aplicación, debes asegurarte de que no entren las personas equivocadas. External ID incluye las mismas funciones de seguridad a nivel empresarial que EntraID ofrece para los empleados.

Eso significa autenticación multifactor, acceso condicional y políticas basadas en riesgos. Para el MFA tienes dos opciones en este momento. El código de acceso único por electrónico es el. El sistema envía un código al correo del usuario, ellos lo ingresan y listo. El código de acceso único por SMS funciona igual, pero llega a su teléfono y conlleva costos de operador. Algo a tener en cuenta, todavía no hay soporte para Microsoft Authenticator. Esta es una limitación actual y algo en lo que Microsoft Powerade está trabajando, pero por ahora. Es correo o SMS. El acceso condicional es donde las cosas se van a interesar. Puedes definir reglas como solicitar MFA y cuando el inicio de sesión sea de riesgo medio o superior o bloquear el acceso desde países donde no operamos. El sistema evalúa cada intento de inicio de sesión en tiempo real. Si alguien intenta iniciar sesión desde una ubicación o dispositivo sospechoso, puede aumentar automáticamente los requisitos de seguridad sin que tengas que programar esa lógica.

Pero hay una función que realmente destaca, la autenticación escalonada. Así es como funciona. Imagina que un usuario inicia sesión en tu app solo con una contraseña para navegar por tu catálogo de productos. Eso está bien para actividades de bajo riesgo, pero cuando intentan ver su historial de pagos o descargar una factura, ¿quieres una verificación adicional? Con la autenticación de paso superior, este POP puede exigir MFI solo para secciones específicas de su aplicación. El usuario no recibe una solicitud hasta que intenta acceder a algo confidencial. Y todo lo maneja external ID en segundo plano mediante algo llamado contexto de autenticación. Usted define qué partes de su aplicación necesitan seguridad adicional y el sistema se encarga del resto. El usuario obtiene una experiencia fluida para la navegación básica, pero los datos confidenciales permanecen protegidos. Branding y experiencia del usuario El control de marca es una de las mayores razones por las que las organizaciones eligen external ID en lugar de crear su propio sistema de inicio de sesión.

Obtiene control total sobre el aspecto de sus páginas de registro e inicio de sesión. Suba su logotipo, configure colores de fondo, añade un favicón para la pestaña del navegador y personalice el encabezado y pie de página con enlaces a su política de privacidad y términos de servicio. Si desea aún más control, puede cargar un archivo CSS personalizado para anular fuentes, colores de botones y diseño. Es su marca, sus colores, todo lo que usted decida. Ahora bien, aquí es donde las cosas se complican un poco. El branding es global por inquilino, no por aplicación. Por lo tanto, si tiene varias aplicaciones, como un portal de clientes y una aplicación móvil, todas comparten las mismas páginas con la misma marca. No puede darle a cada aplicación su propio aspecto. El antiguo Azure ID B2C permitía el branding por aplicación, pero external ID aún no admite eso. Otra limitación, los mensajes de error en las páginas de inicio de sesión no se pueden personalizar.

Si alguien escribe un correo electrónico que no existe, verá algo como no pudimos encontrar una cuenta con esta dirección de correo electrónico y no puede cambiar ese texto. Para algunas organizaciones eso está bien, pero para otras, especialmente en sectores regulados o con una voz de marca estricta, es un problema real. Las aplicaciones móviles tienen una opción mejor. External ID tiene una app de autenticación nativa para iOS y Android. En lugar de redirigir a los usuarios a una página de inicio de sesión basada en navegador, puede crear pantallas de inicio de sesión totalmente personalizadas dentro de su aplicación. Sin redirecciones de navegador ni vistas web poco manejables, el usuario permanece en su aplicación todo el tiempo y usted controla cada píxel. Es una experiencia mucho más fluida y es una de esas funciones que Azure AD B2C nunca tuvo. Migración desde Azure AD B2C Si ya utiliza Azure AD B2C, probablemente se pregunte qué significa esto para usted.

La cuestión es esta. Microsoft seguirá dando soporte a B2C al menos hasta 2030. Por lo tanto, esos inquilinos actuales no dejarán de funcionar mañana, pero no habrá nuevas funciones. Toda la innovación como PASCIS, autenticación nativa y protección contra fraudes es exclusiva de External ID, donde está en una plataforma que esencialmente está común. Microsoft ha publicado herramientas y guías oficiales de migración y existen dos rutas dependiendo de su escala. Para inquilinos con menos de unos 5 millones de objetos de directorio, usuarios, grupos y atributos personalizados, la migración estándar es relativamente sencilla. Funciona como un traslado inquilino a inquilino. Usted crea un nuevo inquilino a External ID, migra a sus usuarios y sus credenciales, y luego transfiere sus aplicaciones. Microsoft proporciona herramientas para la exportación e importación masiva de usuarios y puede usar la migración de contraseñas justo a tiempo para reducir las interrupciones.

Para inquilinos más grandes, con más de 5 millones de objetos de directorio, existe modo de compatibilidad a gran escala o HSC. En este modo, Azure ID, B2C y External ID funcionan simultáneamente en el mismo inquilino. Sus puntos de conexión B2C existentes permanecen activos mientras traslada gradualmente las aplicaciones. Está diseñado para organizaciones que no pueden migrar millones de usuarios de la noche a la mañana, pero conlleva compromisos. Sin proveedores de identidad social, sin claves de acceso, PASC, acceso condicional limitado, y algunas funciones simplemente no están disponibles. Considéralo como una estrategia de puente, no como una solución permanente. Ahora, un cambio importante. Las directivas personalizadas han desaparecido. Si ha creado flujos de autenticación complejos usando el marco de experiencia y identidad basado en XML de Azure ID, B2C, no funcionarán en External ID.

No fue external. Tendrá que reconstruir esa lógica usando flujos de usuario y extensiones de autenticación personalizada. No existe una herramienta mágica que convierta su XML a nuevo formato. Simplemente tiene que hacer el trabajo. Entonces, esto es a lo que todo se reduce. Si comienza desde cero hoy, use External ID. No hay razón para siquiera considerar B2C. Si tiene un inquilino B2C existente, comience a planificar su migración ahora. Tiene hasta 2030, pero esperar hasta el último minuto significa que hará una migración compleja a toda prisa mientras intenta mantener las aplicaciones existentes funcionando. Piense poco a poco. Elija una aplicación, migréla, pruébela, aprenda el proceso y luego haga el resto. Experiencia de desarrollador y automatización. Microsoft realmente se enfocó en hacer que External ID sea fácil para los desarrolladores y es un cambio enorme respecto a las antiguas directivas personalizadas de B2C.

¿Recuerda esos archivos XML que se extendían por cientos de líneas y se rompían si colocaban mal un solo corchet? Eso ya no existe. Hay una extensión de Visual Studio Code llamada Microsoft Enter External ID. Después de autenticarse, puede explorar a su inquilino, ver flujos de usuario, descargarlos como archivos JSON, incluso obtener una vista previa de su marca, todo sin salir de su editor. Puede ver cómo se ve su página de inicio de sesión antes de publicar. Luego está la API de Microsoft Graph. Casi todos los recursos de External ID, flujos de usuario, registros de aplicaciones y marcas se pueden administrar mediante programación. Esto significa que puede automatizar la configuración del inquilino en su canalización desde CECD usando PowerShell o llamadas REST. Cree un nuevo inquilino, configure los flujos de usuario, registre su aplicación y establezca la identidad visual todo desde un escrito.

Si administra múltiples entornos, esto ahorra muchísimo tiempo. Las extensiones de autenticación personalizadas son donde reside el verdadero poder. En lugar de XML complejo, usted amplía los flujos de autenticación con simples llamadas HTTP Azure Functions. Hay cuatro eventos a los que puede conectarse. El inicio de emisión de tokens le permite agregar notificaciones personalizadas a los tokens como roles o información de nivel de lealtad. El inicio y envío de recolección de atributos le permiten validar o rellenar previamente los datos de registro llamando a su propio backend. Y el envío de OTP por correo electrónico le permite personalizar los correos de verificación. Es la misma flexibilidad que tenía B2C, pero en un modelo con el que cualquier desarrollador puede trabajar. Hay limitaciones que debe conocer. Aún no hay notificaciones de Microsoft GAF, por lo que no puede activar automáticamente un flujo de trabajo cuando un usuario nuevo se registra.

Algunas configuraciones aún deben realizarse manualmente en el centro y no hay una página integrada para editar el perfil. Si desea que los usuarios actualicen su información, debe crear esa página en su aplicación y llamar al lápiz de grafos del mismo, pero en la dirección escala. Microsoft quiere que la identidad externa sea totalmente automatizable. Eso facilita la administración a gran escala. Ahora ya sabe que Microsoft entra a ExternalID, es el reemplazo moderno de Azure AD B2C, unificado bajo la marca Entra. Los tres casos de uso, identidad de cliente, colaboración con socios y máquina a máquina, cubren casi cualquier necesidad de identidad externa que pueda encontrar. Y la decisión clave es si usar su inquilino de fuerza laboral o crear un inquilino externo separado. Para aplicaciones dirigidas a clientes, usar uno separado es casi siempre mejor. La identidad es la puerta de entrada a su aplicación.

Hacerlo bien de forma segura, con identidad visual y sencilla, impacta directamente en la confianza del usuario y el crecimiento del negocio. Su tarea, diríjese a Entra.Microsoft.com, cree un inquilino externo y pruebe la guía de introducción. Lo guiará a través de la configuración de una aplicación de muestra en minuto. Suscríbase para más explicaciones en lenguaje sencillo sobre la plataforma de identidad de Microsoft.