¿Qué es Microsoft Entra ID?

Microsoft Entra ID (anteriormente Azure Active Directory) es el servicio de administración de identidades y acceso basado en la nube de Microsoft. Es la base de identidades de Azure y Microsoft 365, y gestiona la autenticación y la autorización de millones de usuarios y aplicaciones en todo el mundo. Cada suscripción de Azure está asociada a un inquilino de Entra ID que almacena las identidades de los usuarios y administra el acceso a los recursos.

Los Active Directory Domain Services (AD DS) tradicionales locales gestionan las identidades mediante los protocolos Kerberos y LDAP, adecuados para equipos Windows unidos a un dominio dentro de una red corporativa. Entra ID es nativo de la nube y utiliza protocolos modernos — OAuth 2.0, OpenID Connect y SAML — para autenticar usuarios en aplicaciones web, servicios SaaS y API desde cualquier dispositivo y lugar. Ambos pueden coexistir mediante Microsoft Entra Connect, que sincroniza las identidades locales con la nube.

Un inquilino es una instancia dedicada de Entra ID que recibe una organización al registrarse en Azure o Microsoft 365. Cuenta con su propio directorio de usuarios, grupos y aplicaciones. Su inquilino tiene un nombre de dominio como yourcompany.onmicrosoft.com, y puede añadir dominios personalizados como yourcompany.com. Cada suscripción de Azure confía exactamente en un inquilino para la autenticación.

Una suscripción de Azure es un límite de facturación y recursos: contiene recursos de Azure como máquinas virtuales, bases de datos y cuentas de almacenamiento. Una suscripción confía en un inquilino de Entra ID, lo que significa que solo se puede conceder acceso a los recursos de la suscripción a identidades de ese inquilino (o a identidades federadas). Varias suscripciones pueden confiar en el mismo inquilino, que es la forma en que las grandes empresas gestionan muchos entornos con un único almacén de identidades.

Comprender la diferencia es fundamental. La autenticación (AuthN) es el proceso de demostrar quién es usted: Entra ID verifica su nombre de usuario y contraseña (o el token de MFA). La autorización (AuthZ) es el proceso de determinar qué tiene permitido hacer: Azure RBAC comprueba las asignaciones de roles para decidir qué operaciones puede realizar su identidad en los recursos de Azure una vez completada correctamente la autenticación.

Entra ID ofrece tres ediciones principales. Free (incluida con cualquier suscripción de Azure) proporciona administración básica de usuarios y grupos, SSO para un máximo de 10 aplicaciones e informes de seguridad básicos. P1 añade acceso condicional, identidad híbrida con AD local y administración de grupos de autoservicio. P2 añade protección de identidades con acceso condicional basado en riesgos y Privileged Identity Management (PIM) para la activación de roles justo a tiempo.

Entra ID admite usuarios solo en la nube (creados directamente en el directorio) y usuarios sincronizados (sincronizados desde AD local mediante Entra Connect). Puede crear usuarios mediante el portal de Azure, el centro de administración de Microsoft 365, Azure CLI o PowerShell. Cada objeto de usuario almacena atributos como el nombre para mostrar, el correo electrónico, el cargo, el departamento y el responsable, además de las credenciales de autenticación.

Entra ID admite dos tipos de grupos. Los grupos de seguridad se utilizan para asignar permisos: añada un usuario a un grupo de seguridad y conceda al grupo un rol de RBAC para evitar gestionar asignaciones individuales. Los grupos de Microsoft 365 reúnen un buzón compartido, un calendario, un sitio de SharePoint y un espacio de trabajo de Teams para la colaboración. Se pueden asignar membresías de grupo de forma dinámica según los atributos de los usuarios, lo que reduce la administración manual.

Cuando desea permitir que una aplicación autentique usuarios mediante Entra ID, debe crear un App Registration. Esto representa su aplicación en el directorio y le proporciona un ID de cliente. A continuación, configura las URI de redirección permitidas y los permisos de API y, para los clientes confidenciales, genera un secreto de cliente o carga un certificado. La aplicación utiliza flujos de OAuth 2.0 / OIDC para obtener tokens de acceso en nombre de los usuarios.

Una identidad administrada es una identidad de Entra ID administrada automáticamente y asignada a un recurso de Azure, como una máquina virtual o App Service. El recurso puede obtener tokens de Entra ID sin credenciales almacenadas ni gestión de su rotación. Las identidades administradas asignadas por el sistema existen mientras exista el recurso; las identidades administradas asignadas por el usuario son objetos independientes que se pueden asociar a varios recursos.

Self-Service Password Reset (SSPR) permite a los usuarios restablecer sus propias contraseñas de Entra ID sin llamar al servicio de asistencia de TI, mediante métodos de verificación como una aplicación de autenticación, el teléfono, el correo electrónico o preguntas de seguridad. SSPR reduce considerablemente las solicitudes al servicio de asistencia y permite a los usuarios desbloquearse fuera del horario laboral. Está disponible en Entra ID P1 y P2, y puede escribir las contraseñas de nuevo en AD local en entornos híbridos.

Compruebe sus conocimientos sobre los conceptos de Microsoft Azure Fundamentals (AZ-900) de esta lección.

En esta lección ha aprendido que Entra ID es el servicio de identidades nativo de la nube de Azure que utiliza OAuth 2.0 y OpenID Connect, que los inquilinos son instancias de directorio dedicadas en las que las suscripciones confían para la autenticación y que las identidades administradas permiten que los recursos de Azure se autentiquen sin credenciales almacenadas. A continuación, exploraremos los usuarios, los grupos y las asignaciones de roles de RBAC en Entra ID.