CertifyDeckCargando contenido…
El temario oficial de Microsoft Identity and Access Administrator, organizado por dominio. Marca cada punto según lo vayas repasando.
Inicia sesión para guardar tu progreso entre sesiones.
Configure and manage a Microsoft Entra tenant
Los roles integrados tienen permisos fijos que no se pueden modificar; los roles personalizados son una colección de permisos que se elige de una lista predefinida. Conceder acceso es un proceso de dos pasos: definir el rol y asignarlo a una entidad de seguridad (usuario, grupo o entidad de servicio) en un ámbito, como el inquilino, una unidad administrativa o un recurso.
Overview of Microsoft Entra role-based access control (RBAC) ↗Create a custom role in Microsoft Entra ID ↗
Las unidades administrativas restringen los permisos de un rol a la parte de la organización que se define, por ejemplo una región o una facultad, y no se pueden anidar. Si hace falta proteger objetos sensibles incluso frente a administradores de nivel de inquilino, se usa una unidad administrativa de administración restringida, que se debe crear con ese valor desde el principio.
Administrative units in Microsoft Entra ID ↗Restricted management administrative units in Microsoft Entra ID ↗
Un Privileged Role Administrator crea unidades administrativas en el centro de administración de Microsoft Entra, PowerShell o Microsoft Graph, agrega usuarios, grupos o dispositivos como miembros y asigna roles con ámbito de unidad. La pertenencia puede ser asignada o dinámica (usuarios o dispositivos, no ambos), y antes de eliminar una unidad se quitan sus asignaciones de rol.
Create or delete administrative units ↗Manage users or devices for an administrative unit with rules for dynamic membership groups ↗
Los permisos efectivos resultan de todas las asignaciones de rol que se aplican al usuario, directas o mediante grupos, y de su ámbito: inquilino, unidad administrativa o recurso. Un rol con ámbito de unidad solo actúa sobre sus miembros y sobre usuarios sin roles de administrador, y no sobre valores de todo el inquilino. Algunas acciones sobre cuentas con roles exigen roles más privilegiados.
Overview of Microsoft Entra role-based access control (RBAC) ↗Privileged roles and permissions in Microsoft Entra ID ↗
Domain Name Administrator es el rol con menos privilegios para administrar dominios. Un dominio personalizado se verifica con un registro TXT o MX en el registrador y solo puede verificarse en un directorio; los subdominios se verifican con el dominio raíz. Para eliminar un dominio hay que quitar antes sus referencias, o usar ForceDelete, que las cambia al dominio inicial.
Add your custom domain ↗Add and verify custom domain names ↗
Organizational Branding Administrator es el rol mínimo para personalizar la marca de la empresa en Personalización de marca de Microsoft Entra: fondo, logotipos, texto, pie de página y plantilla, con entradas opcionales por idioma de navegador. No se aplica a cuentas personales de Microsoft, y en aplicaciones multiinquilino la marca aparece tras escribir el correo salvo que se use whr.
Las propiedades del inquilino incluyen contacto técnico, contacto global de privacidad y dirección URL de la declaración de privacidad. Los valores de usuario (registro de aplicaciones, acceso de invitados, portal de administración) requieren Global Administrator. La directiva de nomenclatura y la expiración de grupos de Microsoft 365 las gestiona Groups Administrator; los valores de dispositivo, Cloud Device Administrator.
Add your organization's privacy information ↗Manage devices in Microsoft Entra ID using the Microsoft Entra admin center ↗
Create, configure, and manage Microsoft Entra identities
Los usuarios se crean en Entra ID > Usuarios como miembros internos, invitados internos, miembros externos o invitados externos. User Administrator es el rol de menor privilegio para crear usuarios y Guest Inviter puede invitar a invitados externos. Un usuario eliminado permanece 30 días en Usuarios eliminados, donde se puede restaurar, y sus licencias quedan libres para otros.
How to create, invite, and delete users in Microsoft Entra ID ↗
Los grupos de seguridad gestionan el acceso y pueden contener usuarios, dispositivos y entidades de servicio; los grupos de Microsoft 365 solo contienen usuarios, pero admiten invitados externos. La pertenencia puede ser asignada o dinámica (de usuarios o de dispositivos, nunca ambos). Los grupos aptos para roles se crean como tales, usan pertenencia asignada y no admiten anidamiento.
Learn About Groups, Group Membership, and Access ↗How to manage groups - Microsoft Entra ↗
Los atributos de seguridad personalizados son pares clave-valor, organizados en conjuntos de atributos, que se definen y se asignan a usuarios y aplicaciones empresariales. Global Administrator no tiene permisos por defecto: Attribute Definition Administrator define y Attribute Assignment Administrator asigna. Los atributos no se eliminan, solo se desactivan, y no sirven en reglas de grupos dinámicos.
What are custom security attributes in Microsoft Entra ID? ↗Manage access to custom security attributes in Microsoft Entra ID ↗
En el centro de administración, un User Administrator puede crear, eliminar e invitar usuarios de forma masiva, y un Groups Administrator o el propietario del grupo puede importar miembros, siempre con plantillas CSV que se conservan tal como se descargan. Los errores por fila se ven en Bulk operation results. Si el portal agota el tiempo en inquilinos grandes, se usan cmdlets de Microsoft Graph PowerShell.
Bulk create users in the Azure portal - Microsoft Entra ID ↗Bulk operations service limitations - Microsoft Entra ↗
Un dispositivo obtiene identidad mediante registro (BYOD y móviles), unión a Microsoft Entra (dispositivos de la organización con inicio de sesión de cuenta profesional) o unión híbrida (Active Directory local más Microsoft Entra). Los ajustes de dispositivos controlan quién puede unir o registrar, la MFA, el límite por usuario y los administradores locales; Cloud Device Administrator puede leerlos y cambiarlos.
What is device identity in Microsoft Entra ID? ↗Manage devices in Microsoft Entra ID using the Microsoft Entra admin center ↗
Las licencias se asignan a usuarios directamente o a grupos (licencias basadas en grupo); pueden hacerlo License Administrator o User Administrator, y también Groups Administrator en grupos. Antes debe fijarse la ubicación del usuario. Los grupos anidados no se admiten. La pestaña de errores permite ver y reprocesar fallos; en PowerShell se usan Get-MgSubscribedSku, Set-MgGroupLicense y Set-MgUserLicense.
Assign or unassign licenses to a group in the Microsoft 365 admin center ↗PowerShell examples for group-based licensing ↗
Implement and manage identities for external users and tenants
La configuración de colaboración externa define qué pueden ver los invitados en el directorio (mismo acceso que los miembros, acceso limitado por defecto o solo su propio perfil), quién puede invitar (todos, miembros y roles de administrador, solo roles como User Administrator o Guest Inviter, o nadie), el registro por autoservicio, la salida de usuarios externos y las restricciones de dominio (lista de permitidos o de bloqueados, nunca ambas).
Configure external collaboration - Microsoft Entra External ID ↗Allow or block invitations - Microsoft Entra External ID ↗
Se invita a un usuario externo desde Usuarios con al menos el rol User Administrator; se crea de inmediato una cuenta Guest en estado pendiente de aceptación y la invitación no caduca, aunque se puede reenviar. Al crearla se pueden asignar grupos y roles (los roles requieren Privileged Role Administrator). Para muchos usuarios, la invitación masiva usa una plantilla CSV cuyas dos primeras filas no deben modificarse.
Add B2B collaboration users - Microsoft Entra External ID ↗Bulk invite B2B users - Microsoft Entra External ID ↗
Un invitado es un objeto de usuario cuyo UserType (Guest o Member) es independiente de cómo inicia sesión, dato que muestra la propiedad Identidades. Restablecer el estado de canje (mínimo Helpdesk Administrator) permite cambiar el correo o el proveedor conservando el objeto, los grupos y las asignaciones. Las cuentas internas se pueden convertir a B2B, y los usuarios externos pueden abandonar la organización según la configuración de salida.
B2B guest user properties - Microsoft Entra External ID ↗Reset guest redemption status - Microsoft Entra External ID ↗
El acceso entre inquilinos controla la colaboración B2B y la conexión directa B2B con otras organizaciones de Microsoft Entra mediante configuración entrante, saliente y de confianza (MFA y dispositivos). Los valores predeterminados permiten la colaboración B2B y bloquean la conexión directa; la configuración organizativa prevalece sobre ellos. Requiere al menos Security Administrator y el canje automático debe marcarse en ambos inquilinos.
Cross-tenant access overview - Microsoft Entra External ID ↗Cross-tenant access settings - Microsoft Entra External ID ↗
La sincronización entre inquilinos envía usuarios internos desde un inquilino de origen a uno de destino como usuarios B2B, con miembro externo por defecto. El destino permite la sincronización en su configuración entrante y ambos activan el canje automático; la configuración, el ámbito y las asignaciones de atributos se definen en el origen. Quitar a un usuario del ámbito lo elimina temporalmente en el destino.
What is cross-tenant synchronization in Microsoft Entra ID? ↗Configure cross-tenant synchronization - Microsoft Entra ID ↗
Los invitados pueden usar cuentas de Microsoft Entra, cuentas Microsoft, Google (para Gmail), código de acceso de un solo uso, Facebook (solo en registro por autoservicio) o un proveedor SAML o WS-Fed propio. La federación SAML/WS-Fed exige emisor, punto de conexión pasivo con https y certificado; la dirección de metadatos permite renovar el certificado. Se configura con al menos External Identity Provider Administrator.
Add a SAML/WS-Fed identity provider - Microsoft Entra External ID ↗Identity providers for workforce tenants - Microsoft Entra External ID ↗
Implement and manage hybrid identity
Microsoft Entra Connect Sync es el motor de sincronización local de Microsoft Entra Connect: crea y mantiene usuarios, grupos y otros objetos, y sincroniza los hashes de contraseña. Solo puede haber un servidor activo; un segundo servidor en modo de ensayo (staging) importa y sincroniza pero no exporta, y sirve para tolerancia a fallos y para probar cambios antes de activarlo.
Microsoft Entra Connect Sync: Understand and customize synchronization ↗Microsoft Entra Connect Sync: Operational tasks and considerations ↗
Cloud Sync sincroniza usuarios, grupos y contactos de Active Directory con Microsoft Entra ID mediante agentes de aprovisionamiento ligeros que solo abren conexiones salientes; la configuración se administra en la nube. Admite varios agentes activos con conmutación por error y bosques desconectados. Incluye filtros de ámbito, asignación de atributos, aprovisionamiento a petición y protección contra eliminaciones accidentales.
What is Microsoft Entra Cloud sync? ↗Microsoft Entra Cloud Sync new agent configuration ↗
La sincronización de hash de contraseña envía a Microsoft Entra ID un hash derivado del hash de la contraseña local, de modo que el usuario emplea la misma contraseña en la nube y permite detectar credenciales filtradas. Las reglas de complejidad locales prevalecen sobre las de la nube y, por defecto, la contraseña en la nube no caduca. También puede servir de respaldo si se usa federación con AD FS.
What is password hash synchronization with Microsoft Entra ID? ↗Implement password hash synchronization with Microsoft Entra Connect Sync ↗
La autenticación transferida valida la contraseña directamente contra Active Directory mediante agentes ligeros que solo hacen conexiones salientes, sin almacenar contraseñas en la nube ni requerir red perimetral. Funciona con el acceso condicional. Para alta disponibilidad se instalan más agentes en otros servidores (uno por servidor); no hay conmutación automática a la sincronización de hash de contraseña.
Microsoft Entra Connect: Pass-through Authentication ↗Microsoft Entra pass-through authentication - Quickstart ↗
El SSO de conexión directa inicia sesión automáticamente a los usuarios de dispositivos unidos al dominio dentro de la red corporativa, sin componentes locales adicionales. Se combina con sincronización de hash de contraseña o autenticación transferida, no con AD FS. Crea la cuenta AZUREADSSOACC en cada bosque y exige añadir la URL de autologon a la zona Intranet local; conviene renovar periódicamente su clave Kerberos.
Microsoft Entra Connect: Seamless single sign-on ↗Quickstart: Microsoft Entra seamless single sign-on ↗
Para pasar de AD FS a autenticación en la nube (sincronización de hash de contraseña o autenticación transferida) se puede probar con la implementación por fases usando grupos de seguridad no anidados ni dinámicos y después convertir cada dominio de federado a administrado. Hay que revisar acceso condicional y MFA federada, y migrar las aplicaciones con el informe de migración de AD FS antes de retirar la relación de confianza.
Migrate from federation to cloud authentication in Microsoft Entra ID ↗Microsoft Entra Connect: Cloud authentication via Staged Rollout ↗
Microsoft Entra Connect Health supervisa la infraestructura de identidad local (sincronización, AD FS y AD DS) con un agente instalado en cada servidor; ofrece alertas, rendimiento, análisis de uso y errores de sincronización. Las notificaciones por correo están activadas por defecto y el acceso se delega con los roles Owner, Contributor y Reader. Eliminar un servidor del servicio no desinstala el agente.
What is Microsoft Entra Connect and Connect Health ↗Microsoft Entra Connect Health operations ↗
Practica por dominio oficial y revisa la explicación de cada respuesta.
Empezar a practicar