AB-650 · CHEAT SHEET

Microsoft 365 Certified: Microsoft 365 and AI Services Administrator Associate

Conceptos clave agrupados según el peso oficial del examen.

Descargar en PDF (gratis, sin registro)

1. Configure and manage Microsoft 365 tenants and workloads

20–25%

Configure and manage a Microsoft 365 tenant

El tema de la organización controla el logotipo, los colores y el texto de la barra superior de Microsoft 365; se configura en Perfil de la organización > Temas personalizados y solo lo modifica un administrador global. Un inquilino admite hasta cinco temas: uno predeterminado y cuatro de grupo, ligados solo a grupos de Microsoft 365. La marca de la página de inicio de sesión se configura aparte, con Microsoft Entra ID.
Agregar, modificar o quitar un dominio personalizado en Microsoft 365 exige el rol Administrador de nombres de dominio. Con un registrador compatible con Domain Connect, la propiedad y los registros DNS se confirman solos; si no, se verifica con un registro TXT, uno MX o un archivo en el sitio web. Puede haber hasta cinco dominios onmicrosoft.com por inquilino y, una vez creados, no se eliminan.
En Configuración de la organización, Seguridad y privacidad tiene la directiva de expiración de contraseñas (no expiran por defecto; exige Administrador de usuarios), y Perfil de la organización tiene las preferencias de versión, con versión estándar o de destino para todos o para usuarios concretos, lo que exige Administrador global. El sistema operativo predeterminado de los PC en la nube, en Servicios, solo afecta a los creados después.
La concesión de licencias por grupo asigna licencias a grupos de seguridad, con correo o de Microsoft 365 desde Facturación > Licencias, y exige al menos Administrador de grupos, de licencias o de usuarios; no admite grupos anidados y Errores y problemas muestra los fallos. El pago por uso conecta una suscripción de Azure con una directiva y un presupuesto opcional, pero llegar al 100 % no detiene el servicio; solo desconectar el pago lo hace.
Los administradores supervisan las licencias de IA desde varios portales: el centro de administración de Microsoft 365 muestra los informes de Copilot con el rol Administrador de IA, Power Platform gestiona la capacidad de Copilot Studio por entorno, y Purview audita la actividad de Copilot. Agent 365 se licencia por usuario, y su registro de agentes limita la gobernanza al Administrador de IA o al Administrador global.

Manage Microsoft 365 workloads

Un buzón compartido permite que varias personas lean y envíen correo desde una dirección común sin una cuenta para cada una. El acceso se da con tres permisos de delegado: Acceso completo para abrir y gestionar el contenido, Enviar como para que el mensaje parezca salir del buzón, y Enviar en nombre de, que muestra quién lo envió. Si un delegado tiene los dos últimos, Exchange Online usa Enviar como.
Quien crea un equipo en Microsoft Teams pasa a ser su propietario. Los propietarios pueden eliminar el equipo, agregar miembros a un equipo privado y ascender o degradar a otros usuarios; los miembros no. Los canales estándar están abiertos a todo el equipo, los privados limitan la pertenencia a una parte de él y los compartidos permiten incorporar a personas o a otros equipos sin añadirlos al equipo.
La disponibilidad de Copilot en las reuniones se define en las directivas de reunión del centro de administración de Teams, junto a la grabación y la transcripción, y también con Set-CsTeamsMeetingPolicy. El administrador decide si Copilot exige guardar la transcripción o si el organizador puede elegir. Cuando el organizador desactiva Copilot en una reunión, la grabación y la transcripción se desactivan con él.
Un administrador de SharePoint crea sitios de equipo, conectados a un grupo de Microsoft 365, o sitios de comunicaciones. En los primeros los permisos se gestionan con los propietarios y miembros del grupo; en los segundos, con los grupos de SharePoint de propietarios, miembros y visitantes. El uso compartido externo debe permitirse primero en la organización para poder activarlo en un sitio concreto.
Restricted Content Discovery oculta el contenido de un sitio de SharePoint a Copilot y a la búsqueda de toda la organización sin cambiar sus permisos. Restricted Access Control, en cambio, limita quién puede entrar al sitio a un grupo definido. Los informes de gobernanza de acceso a datos de SharePoint Advanced Management ayudan a localizar sitios con riesgo de sobreexposición antes de extender Copilot.

2. Govern and secure Microsoft 365 tenants and workloads

40–45%

Manage identities in Microsoft Entra

En Microsoft Entra ID, crear un usuario requiere al menos el rol Administrador de usuarios, e invitar a un invitado externo requiere el rol Invitador de invitados. Al crear la cuenta se define su nombre principal, su contraseña inicial y si el inicio de sesión queda habilitado. Al eliminarla, queda suspendida 30 días antes del borrado definitivo, y en ese plazo puede restaurarse junto con sus licencias.
La configuración de colaboración externa de Microsoft Entra controla quién puede invitar usuarios invitados, su acceso al directorio y qué dominios se permiten o bloquean. Por defecto cualquiera puede invitar invitados, que reciben acceso limitado al directorio, y el rol Invitador de invitados permite delegar esa tarea sin un rol administrativo más amplio. Si entra en conflicto con el acceso entre inquilinos, se aplica la opción más restrictiva.
Microsoft 365 ofrece varios tipos de grupo: los de Microsoft 365 admiten correo y pertenencia dinámica; los de seguridad conceden acceso a recursos y pueden contener usuarios o dispositivos; los de distribución y los habilitados para correo envían correo pero no admiten pertenencia dinámica. El tipo de grupo no se puede cambiar tras crearlo, y se necesita el rol Administrador de grupos para crear, editar, eliminar y restaurar grupos.
Microsoft 365 ofrece roles de distinto alcance, como Administrador de contraseñas para tareas limitadas frente a Administrador global, con acceso casi ilimitado. Privileged Identity Management convierte las asignaciones de roles en asignaciones aptas que exigen activación, con posible aprobación y autenticación multifactor, y solo un Administrador de roles con privilegios o un Administrador global puede gestionarlas para otros administradores.
Las unidades administrativas de Microsoft Entra ID agrupan usuarios, grupos o dispositivos para delegar la administración a una parte concreta de la organización, no a todo el inquilino. Un Administrador de roles con privilegios las crea y puede convertirlas en unidades de administración restringida, que protegen objetos sensibles incluso frente a Administradores globales sin un rol asignado en ese ámbito.

Implement and manage authentication and access in Microsoft Entra

La directiva de métodos de autenticación de Microsoft Entra ID es la forma recomendada de administrar cómo inician sesión los usuarios y realizan la autenticación multifactor, sustituyendo a las directivas heredadas de MFA y de restablecimiento de contraseña. Un Administrador de directivas de autenticación la edita desde Entra ID > Métodos de autenticación, habilitando cada método para todo el inquilino o para grupos concretos.
Microsoft Entra Password Protection bloquea contraseñas débiles comparándolas, tras normalizarlas, con una lista global (automática y no configurable) y una lista personalizada de hasta 1000 términos propios de la organización, gestionada por un Administrador de directivas de autenticación. La misma protección se puede extender a Active Directory local mediante un proxy y un agente de controlador de dominio, empezando en modo Auditoría.
El restablecimiento de contraseña de autoservicio (SSPR) permite a los usuarios restablecer o desbloquear su cuenta sin ayuda de TI. Configurarlo requiere al menos el rol de Administrador de directivas de autenticación, y se recomienda exigir un método más para el registro que para el restablecimiento. Con Password Writeback la nueva contraseña también se escribe en Active Directory local.
Los administradores investigan fallos de inicio de sesión en Entra ID > Supervisión y estado > Registros de inicio de sesión, filtrando por usuario, aplicación o estado de error; el rol Lector de informes basta para consultarlos. Cada entrada fallida incluye un motivo de error y detalles adicionales que suelen indicar la causa y la solución, además de un código de error consultable en la herramienta de búsqueda de errores.
El acceso condicional aplica directivas si-entonces basadas en señales como usuario, ubicación, dispositivo, aplicación y riesgo, y se aplica después de la autenticación de primer factor. Microsoft Entra ID Protection detecta y ayuda a corregir el riesgo de identidad, con roles diferenciados (Lector, Operador y Administrador de seguridad) que otorgan distinto acceso a informes, gestión de riesgo o configuración de directivas.

Secure Microsoft 365 workloads

Las directivas de alerta del portal de Microsoft Defender generan alertas cuando una actividad maliciosa o sospechosa afecta a una entidad, como el correo, un usuario o un buzón; hay directivas predeterminadas que vigilan, por ejemplo, la asignación de privilegios de administrador en Exchange Online. Microsoft recomienda gestionar las alertas desde la cola de Incidentes, correlacionadas con investigaciones automatizadas (AIR).
En Defender for Office 365, el correo se protege con directivas antimalware, antispam, antiphishing, Safe Links y Safe Attachments, gestionadas en Threat policies. Standard y Strict aplican la configuración recomendada por Microsoft y siempre tienen prioridad sobre las directivas personalizadas, sin importar su prioridad; Built-in protection da Safe Links y Safe Attachments básicos a quien no esté cubierto por otra directiva.
Threat Explorer (Plan 2) y Real-time detections (Plan 1) permiten buscar correo malicioso ya entregado con propiedades como Delivery action y Directionality, y corregirlo moviéndolo o eliminándolo (soft delete, hard delete); aprobar esas acciones requiere el rol Search and Purge. AIR, con Plan 2, inicia investigaciones automáticas desde alertas como denuncias de usuarios y pone en cola acciones para que SecOps las apruebe.
Attack simulation training permite lanzar simulaciones de phishing con técnicas como Credential Harvest, Malware Attachment, OAuth Consent Grant o Drive-by URL, eligiendo destinatarios, carga útil, notificaciones y entrenamiento. Las Training campaigns asignan módulos de entrenamiento sin simulación previa. Gestionarlo requiere Attack Simulation Administrator (control total) o Attack Payload Author (solo cargas útiles).

Protect data in Microsoft 365 by using Microsoft Purview

Microsoft Purview DLP identifica y protege información confidencial en Exchange, SharePoint, OneDrive, los mensajes de Teams, los dispositivos mediante DLP de endpoint y, en versión preliminar, Microsoft 365 Copilot. Cada ubicación admite condiciones y acciones distintas: SharePoint y OneDrive pueden bloquear el acceso externo, y los dispositivos pueden auditar la copia a USB. Las directivas se crean en el portal de Purview.
Las etiquetas de confidencialidad de Microsoft Purview clasifican y protegen contenido mediante cifrado, marcas de contenido (encabezados, pies de página, marcas de agua) y protección de contenedores como sitios de Teams. Se publican a usuarios y grupos mediante directivas de etiquetas, que fijan una etiqueta predeterminada y pueden exigir justificación al reducir la confidencialidad. Un elemento solo lleva una etiqueta a la vez.
Las directivas de retención aplican la misma configuración a todo el contenido de un sitio o buzón, mientras que las etiquetas de retención permiten excepciones por elemento, con funciones como iniciar la retención según un evento o marcar como registro. Cuando coexisten varias configuraciones, la retención siempre gana a la eliminación y el período más largo prevalece. Teams solo admite directivas, no etiquetas.
Una alerta de DLP recorre seis fases: activación, notificación, triaje, investigación, corrección y ajuste. Se investigan principalmente en el portal de Microsoft Defender, que las agrupa en incidentes y las conserva seis meses, o en el panel de alertas de DLP de Purview, que solo las conserva 30 días. Acceder al panel requiere los roles Manage alerts y DLP Compliance Management, o su versión de solo lectura.
Microsoft Purview Data Security Posture Management (DSPM) para IA ofrece un punto central para supervisar el uso de Copilot, agentes y otras aplicaciones de IA generativa. Incluye directivas preconfiguradas de un clic, evaluaciones de riesgo de datos que detectan el exceso de uso compartido, con una evaluación semanal automática para los 100 sitios de SharePoint más usados, y un Activity explorer con los prompts y respuestas detectados.

3. Manage and secure AI services in Microsoft 365

35–40%

Enable and manage Microsoft 365 Copilot

El centro de administración de Microsoft 365 ofrece el informe de preparación de Copilot (Informes > Uso > Microsoft Copilot), con la elegibilidad de licencias, el canal de actualización y el uso por aplicación de cada usuario. El agente Microsoft 365 Admin complementa esto respondiendo preguntas de preparación en lenguaje natural, con cambios que siempre requieren confirmación del administrador.
SharePoint Advanced Management ofrece el Content Management Assessment e informes de gobernanza de acceso a datos para detectar contenido sobrecompartido antes de habilitar Copilot. Controles como el acceso restringido y el descubrimiento de contenido restringido limitan después el acceso o la visibilidad para Copilot, y Purview Data Security Posture Management añade directivas que detectan, y a veces bloquean, datos confidenciales.
La directiva Allow web search in Copilot, disponible solo en Cloud Policy service para Microsoft 365, controla si Copilot y Copilot Chat pueden apoyarse en Bing, con opciones para habilitarla, deshabilitarla o deshabilitarla solo en el modo de trabajo. Un interruptor a nivel de usuario permite además desactivarla; en GCC y DoD permanece desactivada de forma predeterminada hasta configurar la directiva.
Microsoft 365 Copilot Search no requiere configuración inicial: los usuarios con licencia apta la obtienen automáticamente en el módulo de búsqueda, y los conectores, marcadores y acrónimos ya definidos para Microsoft Search se reutilizan sin cambios. Desde Copilot > Search, los administradores publican, guardan como borrador, programan o excluyen acrónimos y marcadores, uno a uno o por CSV.
Desde Copilot > Settings, los administradores deciden si los usuarios pueden autoadquirir Copilot (permitir, solo prueba o no permitir), si el personal admin puede usar Copilot en los centros de administración de Microsoft 365, Exchange, SharePoint y Teams, y si Copilot genera imágenes nuevas o solo ofrece stock. El aviso de IA requiere el rol Administrador de IA, y las preferencias de lanzamiento, Administrador global.

Implement and manage agents in Microsoft 365 and Agent 365

Microsoft Entra Agent ID exige un patrocinador humano responsable de las decisiones de acceso y permanencia de cada identidad de agente. Si el patrocinador deja la organización, el patrocinio se transfiere automáticamente a su gestor, y Lifecycle Workflows añade tareas de tipo mover o leaver para notificarlo o transferirlo activamente. Cada tarea de administración de agentes exige un rol de Microsoft Entra distinto.
Los paquetes de acceso conceden a las identidades de agente grupos, roles de Microsoft Entra y permisos de API OAuth de forma auditable y limitada en el tiempo, mediante solicitud del propio agente, de su patrocinador o asignación directa. El acceso condicional se dirige al usuario en el flujo on-behalf-of, a la identidad de agente en el de credenciales de cliente, y a la cuenta de usuario de agente cuando esta existe.
En Microsoft Entra Agent ID, los propietarios son administradores técnicos (usuarios individuales o entidades de servicio, nunca grupos) que pueden modificar credenciales y reactivar identidades deshabilitadas; los patrocinadores aportan responsabilidad de negocio con permisos limitados a acciones no destructivas. En los agentes de Agent Builder, varios usuarios comparten el rol de propietario y los administradores pueden reasignarlo.
La página Agent settings del centro de administración de Microsoft 365 centraliza el gobierno de los agentes: Allowed agent types decide qué categorías aparecen en el catálogo, Sharing controla el uso compartido de los agentes de Agent Builder, y User access decide quién puede usarlos. Las plantillas de Agent 365 agrupan controles de Entra, Purview, SharePoint y Defender que solo se aplican a nuevas activaciones, no de forma retroactiva.
El Registro de agentes, en Agentes > Todos los agentes > Registro, ofrece una vista centralizada de todos los agentes del inquilino, clasificados en agentes de Microsoft, de partners externos, publicados por la organización y compartidos por su creador. Permite filtrar por estado, canal y origen de datos, exportar el inventario, identificar agentes sin propietario y revisar señales de riesgo agregadas de Entra, Defender y Purview.

Secure and govern agents by using Agent 365

En el Centro de administración de Microsoft 365, la pestaña Seguridad de cada agente permite supervisar su actividad apoyándose en Microsoft Purview. La actividad se revisa con Activity explorer, que muestra la actividad de etiquetado en Exchange, SharePoint, OneDrive y endpoints, y también se puede buscar en el registro de auditoría unificado, que cubre interacciones agente-humano, humano-agente, agente-herramientas y agente-agente.
La pestaña Seguridad de un agente remite a AI observability, dentro de Data Security Posture Management for AI, para ver la actividad de riesgo de los agentes: uso compartido excesivo, exfiltración y comportamiento poco ético. Purview también permite proteger las instancias de agente con DLP, etiquetas de confidencialidad, Insider Risk Management y eDiscovery, tratándolas de forma explícita como a un usuario en cada directiva.
Desde la pestaña Seguridad de un agente, si existe una evaluación de referencia de IA disponible, el administrador puede evaluar sus brechas de cumplimiento con Microsoft Purview Compliance Manager. Compliance Manager ofrece plantillas normativas premium para regulaciones de IA, como la Ley de IA de la UE y el NIST AI Risk Management Framework, y cada instancia de agente de Agent 365 se incluye automáticamente en esas evaluaciones al crearse.

Monitor AI services in Microsoft 365

En el centro de administración de Microsoft 365, los administradores gestionan el gasto de IA desde Billing > Cost management, donde revisan costes y crean presupuestos, y desde Copilot > Cost Management, donde configuran directivas de gasto de Créditos de Copilot para servicios como Cowork. Los servicios de pago por uso, como Copilot Chat, se activan con directivas de facturación que enlazan una suscripción de Azure a un grupo de usuarios.
El informe de uso de Microsoft Copilot, en Reports > Usage > Microsoft Copilot del centro de administración de Microsoft 365, muestra usuarios habilitados y activos, tasa de adopción y prompts enviados, además de un desglose de adopción por aplicación (Word, Excel, Teams, Outlook, etc.) que revela qué cargas de trabajo adoptan Copilot con más fuerza. Un usuario cuenta como activo solo al realizar una acción intencionada, como enviar un prompt.
El Copilot Control System reparte la medición y los informes de adopción de Copilot entre varias herramientas: el Copilot Dashboard de Viva Insights muestra tendencias de adopción por aplicación e impacto en la productividad; el Advanced Insights Analyst Workbench crea consultas e informes de Power BI personalizados; y el Power Platform admin center, con Copilot Studio Analytics, ofrece métricas de consumo y rendimiento de agentes.
Los administradores comprueban el estado del servicio de Microsoft Copilot y del resto de servicios de Microsoft 365 en Health > Service health, dentro del centro de administración de Microsoft 365. Esta página distingue entre advisories, que afectan a algunos usuarios pero mantienen el servicio disponible, e incidents, que dejan una función importante inaccesible, y permite configurar notificaciones por correo para uno o varios servicios.

Practicar esta certificación