Además de MFA y el acceso condicional, el temario oficial del dominio 2 de SC-900 (25–30%) enumera como elementos separados "métodos de autenticación", "funciones de protección y administración de contraseñas", "identidad híbrida" y "tipos de identidades, incluidas las identidades de carga de trabajo". La revisión de octubre de 2026 menciona de forma explícita las identidades de carga de trabajo, y en identidad híbrida Microsoft Entra Cloud Sync ha sustituido al Azure AD Connect de los materiales antiguos como herramienta recomendada, así que un resumen desactualizado puede confundirte con facilidad.
Este artículo recorre esos elementos en orden. Cubre las diferencias entre identidades de usuario, de carga de trabajo y de dispositivo; los métodos de autenticación y la autenticación resistente al phishing; la protección de contraseñas, que bloquea contraseñas débiles con listas de contraseñas prohibidas; el autoservicio de restablecimiento de contraseña (SSPR); y las herramientas de sincronización y los métodos de inicio de sesión (PHS, PTA, federación) que conectan el entorno local con la nube.
---
Tipos de Identidad en Entra ID: Personas, Dispositivos y Software
El sistema de acceso de una empresa no gestiona solo las tarjetas de los empleados. Los coches de empresa registrados y los robots de reparto que circulan por el edificio también necesitan sus propios registros de acceso. Microsoft Entra ID divide igualmente a quién asigna identidades en tres grupos: personas (identidades de usuario), dispositivos físicos (identidades de dispositivo) y software (identidades de carga de trabajo).
Identidades de Usuario
Los usuarios se clasifican según dónde se autentican (interno o externo) y según el tipo de usuario (miembro o invitado). Los empleados suelen ser miembros internos, y el empleado de un socio que entra con la cuenta de su propia empresa es un invitado externo. De forma predeterminada, los invitados tienen privilegios más limitados que los miembros. La colaboración B2B para invitar a usuarios externos se trató en Microsoft Entra ID y autenticación.
Identidades de Carga de Trabajo
Una identidad de carga de trabajo es la identidad que recibe un software, como una aplicación, una máquina virtual, un servicio o un contenedor, para autenticarse y acceder a otros recursos.
| Tipo | Descripción | Gestión de credenciales | |------|------|------| | Entidad de servicio | La identidad de la aplicación, creada en cada inquilino cuando la aplicación se registra en Entra ID | Los desarrolladores deben proteger ellos mismos los secretos o certificados | | Identidad administrada (asignada por el sistema) | Se activa directamente en un recurso de Azure, como una VM, y se elimina junto con el recurso | Azure la administra automáticamente sin coste adicional | | Identidad administrada (asignada por el usuario) | Se crea como recurso independiente de Azure y se asocia a varios recursos | Azure la administra automáticamente; existe hasta que la eliminas |
La formación más reciente de Microsoft Learn también presenta Microsoft Entra Agent ID, una identidad dedicada a los agentes de IA. Cada agente tiene un responsable (patrocinador), y se le aplican el acceso condicional y la administración del ciclo de vida.
Identidades de Dispositivo
| Método | Para | Ejemplo | |------|------|------| | Registrado en Microsoft Entra | Dispositivos personales (BYOD) | Un empleado lee el correo del trabajo en su teléfono personal | | Unido a Microsoft Entra | Dispositivos de la organización, con inicio de sesión mediante cuenta de la organización | Un portátil entregado por la empresa | | Unido a Microsoft Entra híbrido | Unido tanto al AD local como a Entra ID | Conectar a la nube los PC de dominio existentes |
Consejo para el examen: "acceder a recursos de Azure sin que los desarrolladores gestionen credenciales" es una identidad administrada. "La identidad se elimina al eliminar la VM" es asignada por el sistema, y "varios recursos comparten la misma identidad" es asignada por el usuario.
---
Métodos de Autenticación: Cómo Demuestras Quién Eres
Iniciar sesión solo con una contraseña es como proteger una casa con una sola llave. Las contraseñas fáciles se descifran con facilidad, y las difíciles se olvidan y detienen el trabajo. Entra ID admite muchos métodos que complementan o reemplazan por completo las contraseñas.
| Método | Uso principal | Características | |------|------|------| | Contraseña | Inicio de sesión principal | El más débil si se usa solo | | SMS y llamada de voz | Método secundario para MFA y SSPR (el SMS también puede ser inicio de sesión principal) | Microsoft recomienda pasar a métodos más modernos | | Tokens OATH | Método secundario para MFA y SSPR | Una aplicación o dispositivo de hardware genera un código de un solo uso cada 30–60 segundos | | Microsoft Authenticator | Inicio de sesión sin contraseña, notificaciones push con coincidencia de números, claves de acceso | Aplicación gratuita para iOS y Android | | Windows Hello para empresas | Inicio de sesión sin contraseña | Una clave ligada al dispositivo más un PIN o biometría | | Claves de acceso (FIDO2) | Inicio de sesión sin contraseña | Criptografía de clave pública; solo funciona en el sitio donde se registró | | Autenticación basada en certificados (CBA) | Inicio de sesión sin contraseña, MFA | Autentica directamente con certificados X.509, sin necesidad de AD FS | | Pase de acceso temporal (TAP) | Incorporación de nuevos empleados, recuperación tras perder credenciales | Un código con límite de tiempo emitido por un administrador |
Autenticación Resistente al Phishing
Los códigos de un solo uso por SMS o correo son vulnerables al phishing remoto, en el que los atacantes engañan a los usuarios para que entreguen el código. Los métodos resistentes al phishing usan criptografía de clave pública, y la credencial está ligada a la dirección (dominio) del sitio donde se registró, así que simplemente no funciona en un sitio falso idéntico al real.
Windows Hello para empresas Credencial de plataforma para macOS Claves de acceso sincronizadas y llaves de seguridad FIDO2 Claves de acceso en Microsoft Authenticator Autenticación basada en certificados
Consejo para el examen: si te piden el método más resistente al phishing, elige llaves de seguridad FIDO2, Windows Hello para empresas o la autenticación basada en certificados. El SMS es compatible, pero rara vez es la respuesta correcta.
---
Protección de Contraseñas: Frenar las Contraseñas Débiles Desde el Principio
Igual que un banco rechaza "1234" o una fecha de nacimiento como PIN, la protección de contraseñas de Microsoft Entra rechaza las contraseñas débiles conocidas y sus variantes en el momento en que un usuario cambia o restablece su contraseña.
| Aspecto | Lista global de contraseñas prohibidas | Lista personalizada de contraseñas prohibidas | |------|------|------| | Quién la crea | Microsoft (a partir del análisis de ataques reales de difusión de contraseñas) | Tu organización | | Contenido | Contraseñas débiles de uso común o filtradas | Nombre de la empresa, nombres de productos, ubicación de la sede, abreviaturas internas | | Configuración | Se aplica automáticamente a todos los usuarios; no se puede desactivar | Los administradores añaden hasta 1000 términos |
Una contraseña nueva se evalúa frente a la combinación de ambas listas, en este orden.
Normalización: pasa a minúsculas y deshace sustituciones habituales, como "@" por "a" y "$" por "s" Coincidencia aproximada: también rechaza variantes que difieren en un carácter de un término prohibido Comprobación de subcadenas: busca el nombre del usuario y el nombre del inquilino Puntuación: un punto por término prohibido y un punto por cada carácter restante; necesita al menos cinco puntos para aceptarse
Un ataque de difusión de contraseñas (password spray), en lugar de probar muchas contraseñas en una cuenta, prueba unas pocas contraseñas comunes en muchas cuentas para evitar bloqueos. La lista global se construye con contraseñas usadas de verdad en esos ataques. El bloqueo inteligente lo complementa bloqueando temporalmente solo los intentos del atacante tras fallos de inicio de sesión repetidos.
Puedes aplicar la misma protección al AD DS local. Instala un servicio proxy en un servidor unido al dominio y un agente de DC en los controladores de dominio, y estos descargan las listas prohibidas de la nube y comprueban los cambios de contraseña locales con las mismas reglas. Los controladores de dominio nunca necesitan comunicarse directamente con internet y no hace falta cambiar el esquema.
Consejo para el examen: "prohibir contraseñas que contengan el nombre de la empresa o de un producto" es la lista personalizada de contraseñas prohibidas. La lista que se aplica a todos los inquilinos sin configuración es la lista global de contraseñas prohibidas.
---
SSPR: Restablecer Contraseñas sin el Servicio de Asistencia
El SSPR (autoservicio de restablecimiento de contraseña) permite que los usuarios que olvidaron su contraseña o quedaron bloqueados la cambien ellos mismos, sin un administrador ni el servicio de asistencia. Para usarlo, el usuario necesita una licencia de Entra ID, un administrador debe activar el SSPR y el usuario debe haber registrado métodos de autenticación de antemano.
Métodos disponibles: notificaciones de Authenticator, tokens OATH, SMS, llamada de voz, código de un solo uso por correo, preguntas de seguridad Está previsto retirar las preguntas de seguridad del SSPR en marzo de 2027 Los administradores deciden si se requieren uno o dos métodos para restablecer (las cuentas de administrador requieren dos de forma predeterminada) Para los usuarios sincronizados desde el entorno local, activar la escritura diferida de contraseñas aplica también la nueva contraseña en el AD local
Consejo para el examen: "los usuarios restablecen su propia contraseña para reducir las llamadas al serv