El primer bloque del dominio 1 de AZ-104 es "administrar usuarios y grupos de Microsoft Entra". Incluye crear usuarios y grupos, administrar sus propiedades, administrar licencias, administrar usuarios externos y configurar el autoservicio de restablecimiento de contraseña (SSPR), y en nuestro banco de preguntas pesa mucho, con 24 preguntas. Aparecen a menudo preguntas prácticas como "la asignación de licencia falla con un error", "los nuevos comerciales deben recibir automáticamente el grupo y la licencia correctos" o "solo se pueden invitar usuarios del dominio de la empresa asociada".
Este artículo recorre esas tareas en orden: formas de crear usuarios y cómo restaurar los eliminados, tipos de grupos y reglas de pertenencia dinámica, licencias basadas en grupos y errores de licencia, invitación de usuarios externos y configuración de colaboración externa, configuración y licencias de SSPR, y las unidades administrativas que dividen el ámbito de administración. Los conceptos básicos de Entra ID se explican primero en Identidad y Gobernanza.
---
Crear Usuarios: Internos y Externos
Las personas llegan a una empresa de dos maneras: las contratan y reciben su credencial de empleado, o vienen de una empresa asociada y reciben un pase de visitante. Entra ID también distingue los usuarios que creas dentro de la organización de los invitados que traes de fuera.
| Método | Resultado | Cuándo usarlo | |------|------|------| | Crear un usuario nuevo | Un usuario miembro con un UPN del dominio de tu inquilino | Cuentas de empleados | | Invitar a un usuario externo | Un usuario invitado (B2B) que inicia sesión con la cuenta de su propia organización | Contactos de socios y clientes | | Operaciones masivas (CSV) | Crear, invitar o eliminar muchos usuarios a la vez | Incorporar un lote de empleados nuevos | | Sincronizar desde el entorno local | Usuarios cuyas cuentas de AD se sincronizan con Entra ID | Entornos híbridos |
Tres propiedades de usuario aparecen a menudo en el examen. La ubicación de uso debe estar definida antes de asignar una licencia; atributos como departamento, puesto y país alimentan las reglas de los grupos dinámicos; y el administrador (manager) se usa para organigramas y flujos de aprobación.
Un usuario eliminado no desaparece de inmediato; la cuenta queda en estado suspendido durante 30 días. En ese plazo puedes restaurarla con todas sus propiedades. Pasados los 30 días, o tras una eliminación permanente, ya no se puede recuperar.
Consejo para el examen: "Recuperar a un usuario eliminado por error ayer, junto con sus pertenencias a grupos" significa restaurarlo desde Usuarios eliminados en el Centro de administración de Entra. Crear una cuenta nueva genera otro objeto y no hereda los permisos anteriores.
---
Tipos de Grupo y Tipos de Pertenencia
Los grupos varían en dos ejes: para qué se usan y cómo se decide quién es miembro.
| Eje | Tipo | Características | |------|------|------| | Tipo de grupo | Grupo de seguridad | Administra el acceso a recursos (RBAC, asignación de aplicaciones, licencias); pueden ser miembros usuarios y dispositivos | | Tipo de grupo | Grupo de Microsoft 365 | Para colaborar con buzón, sitio de equipo y calendario compartidos; solo usuarios | | Pertenencia | Asignada | Un administrador o propietario agrega y quita miembros directamente | | Pertenencia | Usuario dinámico | Los miembros entran y salen automáticamente según una regla de atributos de usuario | | Pertenencia | Dispositivo dinámico | Los miembros entran y salen automáticamente según una regla de atributos de dispositivo; solo grupos de seguridad |
Una regla de grupo dinámico es una expresión que compara atributos de usuario. Por ejemplo, convierte en miembros a todos los usuarios cuyo departamento es Sales y cuyo país es Korea. Cuando cambia el departamento de un usuario, la regla se vuelve a evaluar y el usuario sale del grupo automáticamente.
Cada usuario de un grupo dinámico necesita una licencia de Microsoft Entra ID P1 (o Intune for Education) No se pueden agregar ni quitar miembros de un grupo dinámico a mano Una misma regla no puede mezclar usuarios y dispositivos, y las reglas de dispositivo solo pueden usar atributos del dispositivo Un inquilino puede tener hasta 15 000 grupos dinámicos
Consejo para el examen: "Agregar a un directivo al grupo dinámico como excepción" es un requisito imposible. Cambia la regla o crea un grupo asignado aparte. Si necesitas "un grupo con dispositivos como miembros", debe ser un grupo de seguridad, no uno de Microsoft 365.
---
Administrar Licencias: Ubicación de Uso y Licencias Basadas en Grupos
Puedes asignar una licencia directamente a cada usuario o asignarla a un grupo para que todos sus miembros la reciban. Si combinas las licencias basadas en grupos con un grupo dinámico, basta con cambiar un atributo del usuario para que el grupo y la licencia le sigan automáticamente.
!Cambia un atributo del usuario y el grupo dinámico y la licencia basada en grupos le siguen automáticamente
Algunos servicios de Microsoft no están disponibles en todos los países, así que la ubicación de uso del usuario debe estar definida antes de asignar una licencia Con licencias basadas en grupos, los usuarios sin ubicación de uso heredan la ubicación del inquilino Las licencias basadas en grupos no admiten grupos anidados, así que los usuarios de un grupo dentro del grupo no reciben la licencia La documentación actual de Microsoft indica asignar licencias a grupos en Facturación > Licencias del Centro de administración de Microsoft 365 (también con Microsoft Graph PowerShell) Las asignaciones directas y por grupo pueden coexistir, y una licencia asignada por grupo se retira automáticamente cuando el usuario sale del grupo
Las licencias basadas en grupos no muestran los errores al momento; los registran en el objeto de usuario. Los errores típicos son:
| Error | Causa | Solución | |------|------|------| | No hay suficientes licencias | Se compraron menos licencias que miembros del grupo | Comprar más licencias o depurar la pertenencia | | Planes de servicio en conflicto | Un servicio se solapa con otra licencia que el usuario ya tiene | Deshabilitar el plan de servicio solapado en la asignación | | Otros productos dependen de esta licencia | Se quita un servicio que otro producto necesita | Resolver primero la dependencia | | La ubicación de uso no está permitida | Falta la ubicación de uso o es un país donde el servicio no está disponible | Corregir la ubicación de uso del usuario |
Consejo para el examen: Cuando una pregunta dice "no se puede asignar una licencia al usuario", la primera propiedad que hay que revisar es la ubicación de uso. "Se asignaron licencias a un grupo anidado, pero algunos usuarios no las recibieron" se debe a que no se admiten los grupos anidados.
---
Administrar Usuarios Externos (Invitados B2B)
Cuando invitas a un usuario externo, este inicia sesión en tus aplicaciones y recursos con la cuenta de su propia organización o con una cuenta personal. En tu inquilino aparece un objeto con tipo de usuario Invitado, y la persona solo puede iniciar sesión después de aceptar (canjear) la invitación. Quién puede invitar y qué pueden ver los invitados se define en la configuración de colaboración externa.
| Configuración | Opciones | Pistas en la pregunta | |------|------|------| | Acceso de usuarios invitados | Mismo acceso que los miembros · acceso limitado (predeterminado) · solo sus propios objetos (el más restrictivo) | "Los invitados no deben ver la lista de otros usuarios" | | Configuración de invitaciones | Cualquiera · miembros y roles de administrador concretos · solo roles de administrador concretos · nadie | "Los empleados normales no pueden invitar; solo personas designadas" | | Restricciones de colaboración | Permitir solo dominios concretos o bloquear dominios concretos | "Invitaciones solo al socio contoso.com" | | Configuración de acceso entre inquilinos | Permisos B2B de entrada y salida por organización, confiar en la MFA del inquilino socio | "Aceptar la MFA que ya hizo la empresa asociada" |
Consejo para el examen: "Solo unos pocos empleados concretos pueden invitar a invitados" significa poner la configuración de invitaciones en "solo los usuarios asignados a roles de administrador concretos" y dar a esos empleados el rol Guest Inviter. Un requisito de permitir o bloquear por dominio es una restricción de colaboración.
---
Autoservicio de Restablecimiento de Contraseña (SSPR)
SSPR permite que los usuarios que olvidaron su contraseña la restablezcan sin el departamento de soporte. Para responder las preguntas hay que conocer tanto la configuración como las licencias.
| Configuración | Qué abarca | |------|------| | Ámbito | Ninguno · Seleccionado (un grupo) · Todos | | Métodos de autenticación | Elegir cuáles permitir: notificación o código de Authenticator, correo, teléfono móvil, teléfono de la oficina, preguntas de seguridad | | Número de métodos necesarios | 1 o 2 para restablecer | | Registro | Exigir el registro al iniciar sesión y fijar cada cuánto se reconfirma la información | | Notificaciones | Avisar a usuarios y administradores cuando se restablece una contraseña | | Escritura diferida local | Escribe en el AD local la nueva contraseña de un usuario sincronizado |
Las cuentas de administrador tienen siempre SSPR habilitado con una directiva aparte de dos puertas que exige dos datos de autenticación y prohíbe las preguntas de seguridad; no se puede cambiar Microsoft Entra ID Free solo permite el cambio de contraseña de usuarios en la nube; el restablecimiento requiere Microsoft 365 Business Standard o superior, o P1 o P2 La escritura diferida local requiere P1 o P2, o Microsoft 365 Business Premium Está previsto retirar las preguntas de seguridad de SSPR en marzo de 2027
Consejo para el examen: "Probar primero SSPR con el equipo de ventas" significa poner el ámbito en Seleccio