Tema 2 de 5
Identidad híbrida e identidades externas
Muchas organizaciones siguen teniendo Active Directory local y a la vez trabajan con socios y clientes externos. Este artículo cubre cómo se conecta AD con Entra ID, dónde se valida la contraseña en cada método y cómo dar acceso a personas de fuera.
Contenido
- ¿Qué es la identidad híbrida?
- Cloud Sync y Connect Sync
- Dónde se valida la contraseña
- Sincronización de hash (PHS)
- Autenticación de paso a través (PTA)
- Federación con AD FS
- Comparación de los tres métodos
- Por qué habilitar siempre PHS
- Microsoft Entra External ID
- Escenarios de examen
- Trampas frecuentes del examen
¿Qué es la identidad híbrida?
Una identidad común para autenticarse y autorizarse en todos los recursos, estén en local o en la nube. Los usuarios esperan acceso sencillo a cualquier aplicación, esté donde esté alojada.
Aprovisionamiento entre directorios
Crear una identidad entre dos servicios de directorio distintos. El caso más común: un usuario que ya existe en Active Directory se aprovisiona en Entra ID.
Sincronización
Mantener la información de usuarios y grupos locales igual a la de la nube.
Cloud Sync y Connect Sync
| Microsoft Entra Cloud Sync | Microsoft Entra Connect Sync | |
|---|---|---|
| Estado | Herramienta recomendada; las funciones nuevas se desarrollan aquí | Herramienta anterior que Cloud Sync está reemplazando |
| Qué se instala en local | Un agente de aprovisionamiento ligero (en local o en IaaS) | Un servidor de sincronización local |
| Dónde vive la configuración | En Entra ID, administrada como parte del servicio | En el servidor local |
| Alta disponibilidad | Con varios agentes; soporta bosques desconectados | Con un segundo servidor en modo de ensayo (staging) |
El agente de Cloud Sync usa SCIM (System for Cross-domain Identity Management), un estándar para automatizar el intercambio de identidades de usuarios y grupos entre dominios de identidad. El método de autenticación que elijas funciona igual con cualquiera de las dos herramientas.
Dónde se valida la contraseña
Elegir el método de autenticación es la primera decisión al llevar apps a la nube: controla el acceso a todos los datos y recursos y es la base de las demás funciones de seguridad. Cambiarlo después exige planificación y pruebas. Hay dos familias:
Autenticación en la nube
Entra ID gestiona el inicio de sesión. Dos opciones: PHS y PTA.
Autenticación federada
Entra ID entrega la autenticación a un sistema de confianza aparte, como AD FS local, que valida la contraseña.
Sincronización de hash de contraseña (PHS)
La forma más simple de habilitar la autenticación de objetos locales en Entra ID. Los usuarios usan el mismo usuario y contraseña que en local sin desplegar infraestructura adicional. Las contraseñas nunca se guardan en texto claro ni con un cifrado reversible en Entra ID.
- Esfuerzo: el menor en despliegue, mantenimiento e infraestructura. La sincronización del hash corre cada dos minutos.
- Requisito de otras funciones: ID Protection (informe de credenciales filtradas) y Microsoft Entra Domain Services requieren PHS, sea cual sea el método principal.
- Limitación: no aplica al instante los cambios de estado de las cuentas locales. Un usuario deshabilitado sigue entrando a la nube hasta que se sincroniza el cambio (hasta unos 30 minutos para cuentas deshabilitadas).
- MFA: se usa MFA de Entra; no admite MFA de terceros que dependa de federación.
Autenticación de paso a través (PTA)
Un agente de software en uno o varios servidores locales valida a los usuarios directamente contra Active Directory local, así que la validación de la contraseña no ocurre en la nube.
- Cuándo: cuando hay que aplicar al instante estados de cuenta, políticas de contraseña y horas de inicio de sesión locales.
- Qué aplica: deniega el acceso si la cuenta local está deshabilitada, bloqueada, expirada, con la contraseña vencida o fuera de su horario permitido.
- Infraestructura: agentes ligeros en servidores existentes con acceso a los controladores de dominio y salida a internet. No se pueden desplegar en una red perimetral. Microsoft recomienda tres agentes en total para alta disponibilidad.
- Respaldo: PHS puede servir de método de respaldo, pero el cambio no es automático: hay que cambiar el método manualmente con Entra Connect.
Federación con AD FS
Entra ID delega la autenticación en un sistema externo de confianza. El mantenimiento de ese sistema queda fuera del control de Entra ID y es responsabilidad de la organización.
Cuándo hace falta
- Proveedores de MFA de terceros que requieren federación
- Soluciones de autenticación de terceros
- Inicio de sesión con sAMAccountName (DOMINIO\usuario) en vez de UPN
- Sistemas de autenticación multisitio de baja latencia
Qué implica
- Una granja de servidores AD FS y servidores proxy (WAP) en la red perimetral
- Certificado TLS/SSL y balanceo de carga
- Más inversión y más complejidad de operar y diagnosticar
- Suele elegirse si ya existe esa inversión
Comparación de los tres métodos
| PHS | PTA | Federación | |
|---|---|---|---|
| Dónde se autentica | En la nube | En la nube, tras verificar con el agente local | En local |
| Servidores extra | Ninguno | Uno por agente adicional | Varios AD FS y WAP |
| Estados de cuenta | Cuentas deshabilitadas, con retraso | Deshabilitada, bloqueada, expirada, contraseña vencida, horario | Los mismos que PTA |
| MFA de terceros federado | No | No | Sí |
| Certificado TLS | No | No | Sí |
Con PHS o PTA, si los equipos no están unidos a Entra, Microsoft recomienda habilitar Seamless SSO para evitar avisos de credenciales innecesarios.
Por qué habilitar siempre PHS
Microsoft recomienda activar PHS sea cual sea el método principal, por tres motivos:
Alta disponibilidad y recuperación
PTA y federación dependen de infraestructura local (servidores, red y controladores de dominio) que puede fallar. PHS sirve de respaldo si se configuró antes del fallo.
Sobrevivir a una caída local
Ante un ataque de ransomware que tumba los servidores locales, las organizaciones que ya tenían PHS cambiaron el método y volvieron a operar en horas; las que no, tardaron semanas en restaurar su identidad local.
ID Protection
Microsoft busca credenciales filtradas en internet y las compara con las de tu organización. Ese informe de credenciales filtradas (con P2) requiere PHS.
Microsoft Entra External ID
Permite que personas de fuera accedan con seguridad a tus apps y recursos con sus propias identidades: cuentas corporativas o gubernamentales, o proveedores sociales como Google o Facebook. Cubre dos escenarios, y cada uno usa una configuración de tenant distinta:
Tenant de personal (workforce)
Para empleados, apps internas y recursos de la organización. Aquí se invita a socios e invitados: colaborar con invitados de negocio.
Tenant externo
Exclusivo para escenarios de External ID: publicar apps para consumidores o clientes empresariales.
Colaboración B2B
Comparte apps y servicios de la empresa con invitados manteniendo el control de tus datos. Puedes invitar a cualquiera a iniciar sesión con sus propias credenciales para acceder a Office 365, apps SaaS y de línea de negocio. No hay credenciales del invitado en tu tenant: se autentica con su organización o proveedor y tu organización comprueba si puede colaborar.
Conexión directa B2B
Crea una confianza mutua entre dos organizaciones de Entra. Hoy habilita los canales compartidos de Teams Connect para chat, llamadas y archivos. A diferencia de B2B, los usuarios no se añaden como invitados en tu directorio: acceden directamente desde su tenant de origen.
CIAM (clientes y consumidores)
La solución de administración de identidades y accesos de clientes de Microsoft: registro de autoservicio, inicio de sesión personalizado con SSO de identidades sociales y empresariales, y administración de cuentas de clientes, con la seguridad y escala de la plataforma Entra.
Las funciones principales de External ID son gratis para los primeros 50.000 usuarios activos mensuales.
Escenarios de examen
| Situación | Respuesta | Por qué |
|---|---|---|
| La empresa solo usa Microsoft 365 y SaaS y quiere lo más simple | PHS | Menor esfuerzo de despliegue y mantenimiento, sin infraestructura extra. |
| Una cuenta bloqueada en AD local debe dejar de entrar a la nube al instante | PTA | Valida contra AD en cada inicio de sesión y aplica estados de cuenta. |
| Se exige un MFA de terceros que solo funciona con federación | Federación (AD FS) | Es un requisito que Entra no cubre de forma nativa. |
| Se quiere detectar credenciales filtradas aunque se use PTA | Habilitar también PHS | El informe de credenciales filtradas de ID Protection requiere PHS. |
| Una nueva implementación de sincronización | Microsoft Entra Cloud Sync | Es la herramienta recomendada y donde se desarrollan las funciones nuevas. |
| Socios de negocio entran a Teams y SharePoint con sus propias cuentas | Colaboración B2B | Se invitan como invitados al tenant de personal. |
| Una app de comercio para consumidores con registro propio y login con Google | External ID en un tenant externo (CIAM) | Escenario de clientes y consumidores. |
| Usuarios de otra organización en canales compartidos de Teams sin ser invitados | Conexión directa B2B | Confianza mutua; acceden desde su tenant de origen. |
Trampas frecuentes del examen
❓ La empresa necesita que una cuenta deshabilitada en AD local no pueda entrar a Microsoft 365 al instante. ¿PHS o PTA?
PTA: valida contra AD en cada inicio de sesión y aplica estados de cuenta, contraseñas vencidas y horas de inicio. PHS solo refleja el cambio tras sincronizar.
❓ ¿Con PHS se guarda la contraseña en la nube?
No. Se sincroniza un hash; las contraseñas nunca se guardan en texto claro ni con cifrado reversible.
❓ ¿Con PTA la contraseña se valida en la nube?
No. La validan los agentes locales contra Active Directory.
❓ ¿Si falla PTA se pasa solo a PHS?
No. PHS puede ser respaldo, pero el cambio de método se hace manualmente.
❓ ¿Los usuarios de conexión directa B2B aparecen como invitados en tu directorio?
No. Eso es colaboración B2B. En conexión directa B2B acceden desde su propio tenant (canales compartidos de Teams).
❓ ¿Una app para consumidores se publica desde el tenant de personal?
No. Se usa un tenant externo con las capacidades CIAM de External ID.
❓ ¿Qué herramienta de sincronización recomienda Microsoft para despliegues nuevos?
Microsoft Entra Cloud Sync. Connect Sync es la herramienta anterior que se está reemplazando.
¿Entendiste este tema?
Pon a prueba lo que acabas de aprender
Una empresa crea una app para consumidores y quiere que se registren solos e inicien sesión con Google o Facebook. ¿Qué debe usar?
¿Listo para poner a prueba "Identidad híbrida e identidades externas"?
Preguntas originales, cada una con su explicación.
Empezar un simulacroInicia sesión para guardar tu progreso.