Compartir a través de


Introducción a los inquilinos de Microsoft Entra

Como institución educativa, puede registrarse para obtener una evaluación gratuita de Microsoft 365 Educación y completar un asistente de verificación de elegibilidad para comprar suscripciones a precios académicos.

Creación de un inquilino de Microsoft Entra

Al registrarse para obtener una suscripción de Microsoft 365 Educación de pago o de prueba, se crea un inquilino de Microsoft Entra como parte de los servicios de Office 365 subyacentes. Del mismo modo, se crea un inquilino de Microsoft Entra al registrarse en Azure.

Los clientes deben poseer un plan de licencia de Microsoft de pago para crear un inquilino Microsoft Entra adicional.

Importante

Al crear un inquilino de Microsoft Entra, debe especificar una región lógica que determine la ubicación del centro de datos. Esto debe elegirse con mucho cuidado porque no se puede cambiar después de la creación.

Para obtener más información, consulte la guía de implementación de Microsoft 365 Educación.

¿Qué es un inquilino Microsoft Entra?

Un inquilino de Microsoft Entra proporciona funcionalidades de administración de identidades y acceso (IAM) a las aplicaciones y recursos que usa la organización. Una identidad es un objeto de directorio que se puede autenticar y autorizar para el acceso a un recurso. Existen objetos de identidad para identidades humanas, como alumnos y profesores, e identidades no humanas como dispositivos educativos y estudiantiles, aplicaciones y principios de servicio.

El inquilino Microsoft Entra es un límite de seguridad de identidad que está bajo el control del departamento de TI de la organización. Dentro de este límite de seguridad, los administradores de TI controlan la administración de objetos (como los objetos de usuario) y la configuración de la configuración de todo el inquilino.

Inquilino de Azure.

Recursos de un inquilino

Recursos de un inquilino.

Microsoft Entra ID se usa para conceder a los objetos que representan identidades acceso a recursos como aplicaciones y sus recursos subyacentes de Azure, que pueden incluir bases de datos y sistemas de administración de aprendizaje (LMS).

Acceso a aplicaciones que usan Microsoft Entra ID

A las identidades se les puede conceder acceso a muchos tipos de aplicaciones, incluidos, entre otros, los siguientes:

  • Servicios de productividad de Microsoft, como Exchange Online, Microsoft Teams y SharePoint Online

  • Servicios de TI de Microsoft, como Azure Sentinel, Microsoft Intune y MICROSOFT DEFENDER ATP

  • Microsoft Herramientas de desarrollo como Azure DevOps

  • Aplicaciones de terceros, como Sistemas de administración de aprendizaje (LMS)

  • Aplicaciones locales integradas con funcionalidades de acceso híbrido, como Microsoft Entra proxy de aplicación

  • Aplicaciones personalizadas desarrolladas internamente

Las aplicaciones que usan Microsoft Entra ID requieren que los objetos de directorio se configuren y administren en el inquilino de Microsoft Entra de confianza. Algunos ejemplos de objetos de directorio son registros de aplicaciones, entidades de servicio, grupos y extensiones de atributos de esquema.

Aunque algunas aplicaciones pueden tener varias instancias por inquilino, por ejemplo, una instancia de prueba y una instancia de producción, algunos servicios de Microsoft, como Exchange Online, solo pueden tener una instancia por inquilino.

Acceso a objetos de directorio

Las identidades, los recursos y sus relaciones se representan en un inquilino Microsoft Entra como objetos de directorio. Algunos ejemplos de objetos de directorio son usuarios, grupos, entidades de servicio y registros de aplicaciones.

Objetos de directorio en un inquilino.

Cuando los objetos están en un inquilino de Microsoft Entra, se produce lo siguiente:

  • Visibilidad. Las identidades pueden detectar o enumerar recursos, usuarios, grupos y acceder a informes de uso y registros de auditoría si tienen los permisos adecuados. Por ejemplo, un miembro del directorio puede detectar usuarios en el directorio con permisos de usuario predeterminados.

  • Las aplicaciones pueden afectar a los objetos. Las aplicaciones pueden manipular objetos de directorio a través de Microsoft Graph como parte de su lógica de negocios. Algunos ejemplos típicos son leer o establecer atributos de usuario, actualizar el calendario del usuario y enviar correos electrónicos en nombre del usuario. El consentimiento es necesario para permitir que las aplicaciones afecten al inquilino. Los administradores pueden dar su consentimiento a todos los usuarios. Para obtener más información, consulte Permisos y consentimiento en el Plataforma de identidad de Microsoft.

    Nota:

    Tenga cuidado al usar permisos de aplicación. Por ejemplo, con Exchange Online, debe limitar los permisos de aplicación a buzones y permisos específicos.

  • Límites de limitación y servicio. El comportamiento en tiempo de ejecución de un recurso puede desencadenar la limitación para evitar el uso excesivo o la degradación del servicio. La limitación puede producirse en el nivel de servicio completo, inquilino o aplicación. Normalmente se produce cuando una aplicación tiene un gran número de solicitudes dentro o entre inquilinos.

Cada inquilino tiene un límite total de objetos. De forma predeterminada, un inquilino está limitado a 50 000 objetos totales. Después de agregar un dominio personalizado, el límite aumenta a 300 000. Para aumentar aún más este límite de objetos, póngase en contacto con el equipo de éxito del cliente de EDU . Se recomienda que un único inquilino de Microsoft Entra no supere el millón de usuarios, lo que normalmente equivale a aproximadamente 3 millones de objetos totales. Para obtener más información sobre los límites de servicio en Microsoft Entra ID, consulte Microsoft Entra límites y restricciones del servicio.

Configuración en un inquilino

Las directivas y la configuración de Microsoft Entra ID afectan a los recursos del inquilino de Microsoft Entra a través de configuraciones dirigidas o de todo el inquilino. Configuración en un inquilino.

Entre los ejemplos de directivas y configuraciones de todo el inquilino se incluyen:

  • Identidades externas. Los administradores globales del inquilino identifican y controlan las identidades externas que se pueden aprovisionar en el inquilino.

    • Si se permiten identidades externas en el inquilino

    • Desde qué dominios se pueden agregar identidades externas

    • Si los usuarios pueden invitar a usuarios de otros inquilinos

  • Ubicaciones con nombre. Los administradores globales pueden crear ubicaciones con nombre, que se pueden usar para:

    • Bloquear el inicio de sesión desde ubicaciones específicas.

    • Desencadenar directivas de acceso condicional como MFA.

  • Métodos de autenticación permitidos. Los administradores globales establecen los métodos de autenticación permitidos para el inquilino.

  • Opciones de autoservicio. Los administradores globales establecen opciones de autoservicio, como el autoservicio de restablecimiento de contraseña y crean grupos de Office 365 en el nivel de inquilino.

La implementación de algunas configuraciones de todo el inquilino se puede limitar siempre y cuando no se invaliden por directivas de administración global. Por ejemplo:

  • Si el inquilino está configurado para permitir identidades externas, un administrador de recursos puede excluir esas identidades de acceder a un recurso.

  • Si el inquilino está configurado para permitir el registro de dispositivos personales, un administrador de recursos puede excluir esos dispositivos del acceso a recursos específicos.

  • Si se configuran ubicaciones con nombre, un administrador de recursos puede configurar directivas que permiten o excluyen el acceso desde esas ubicaciones.

Administración en un inquilino

La administración incluye la administración de objetos de identidad y la implementación con ámbito de las configuraciones de todo el inquilino. Los objetos incluyen usuarios, grupos y dispositivos, y principios de servicio. Puede limitar los efectos de las configuraciones de todo el inquilino para la autenticación, la autorización, las opciones de autoservicio, etc.

Administración en un inquilino.

Los administradores de todo el inquilino, o los administradores globales, pueden:

  • Concesión de acceso a cualquier recurso a cualquier usuario

  • Asignación de roles de recursos a cualquier usuario

  • Asignación de roles de administrador de ámbito inferior a cualquier usuario

Administración de objetos de directorio

Los administradores administran cómo los objetos de identidad pueden acceder a los recursos y en qué circunstancias. También pueden deshabilitar, eliminar o modificar objetos de directorio en función de sus privilegios. Los objetos de identidad incluyen:

  • Las identidades de la organización, como las siguientes, se representan mediante objetos de usuario:

    • Administradores

    • Usuarios de la organización

    • Desarrolladores de la organización

    • Probar usuarios **

  • Las identidades externas representan usuarios de fuera de la organización, como:

    • Asociados u otras instituciones educativas aprovisionadas con cuentas locales en el entorno de la organización

    • Asociados u otras instituciones educativas aprovisionadas mediante la colaboración B2B de Azure

  • Los grupos se representan mediante objetos como:

    • Grupos de seguridad

    • Grupos de Office 365

  • Los dispositivos se representan mediante objetos como:

    • Microsoft Entra dispositivos unidos a híbridos (equipos locales sincronizados desde Active Directory local)

    • Microsoft Entra dispositivos unidos

    • Microsoft Entra dispositivos móviles registrados que usan los empleados para acceder a sus aplicaciones de área de trabajo.

Nota:

En un entorno híbrido, las identidades se suelen sincronizar desde el entorno de Active Directory local mediante Microsoft Entra Connect.

Administración de servicios de identidad

Los administradores con permisos adecuados pueden administrar cómo se implementan las directivas de todo el inquilino en el nivel de grupos de recursos, grupos de seguridad o aplicaciones. Al considerar la administración de recursos, tenga en cuenta lo siguiente. Cada uno de ellos puede ser una razón para mantener los recursos juntos o para aislarlos.

  • Una identidad asignada a un rol de administrador de autenticación puede requerir que los no administradores vuelvan a registrarse para la autenticación MFA o FIDO.

  • Un administrador de acceso condicional (CA) puede crear directivas de CA que requieran que los usuarios inicien sesión en aplicaciones específicas para hacerlo solo desde dispositivos propiedad de la organización. También pueden limitar las configuraciones. Por ejemplo, incluso si se permiten identidades externas en el inquilino, pueden excluir esas identidades del acceso a un recurso.

  • Un administrador de aplicaciones en la nube puede dar su consentimiento a los permisos de aplicación en nombre de todos los usuarios.

  • Un administrador global puede tomar el control de una suscripción.

Licencias

Los servicios en la nube de pago de Microsoft, como Office 365, requieren licencias. Estas licencias se asignan a cada usuario que necesita acceso a los servicios. Microsoft Entra ID es la infraestructura subyacente que admite la administración de identidades para todos los servicios en la nube de Microsoft y almacena información sobre los estados de asignación de licencias para los usuarios. Tradicionalmente, los administradores usarían uno de los portales de administración (Office o Azure) y los cmdlets de PowerShell para administrar licencias. Microsoft Entra ID admite licencias basadas en grupos, lo que le permite asignar una o varias licencias de productos a un grupo de usuarios.

Microsoft Entra ID en escenarios de Microsoft 365 Educación

Microsoft Entra ID ayuda a los alumnos y profesores a iniciar sesión y acceder a recursos y servicios en, incluidos:

  • Inicio de sesión y autorización en los recursos

    • Los dominios para el inicio de sesión y el correo electrónico están configurados para la autenticación en la nube en Microsoft Entra ID.

    • La mayoría de las funcionalidades de colaboración externas usan Microsoft Entra colaboración B2B.

  • Funcionalidades de Microsoft Office 365

    • Microsoft Entra identidades se asignan Office 365 licencias, lo que desencadena el aprovisionamiento.

    • Office 365 objetos como listas de distribución, grupos modernos, contactos y Microsoft Teams, se representan mediante Microsoft Entra objetos de directorio y se administran en Microsoft Entra ID.

    • Office 365 servicios proporcionan autorización mediante grupos de Microsoft Entra.

    • El acceso a Office 365 se controla mediante Microsoft Entra ID.

  • Gobernanza y seguridad

  • Entornos híbridos

Pasos siguientes