Cómo crear grupos dinámicos en Microsoft Entra ID

Los grupos dinámicos de Microsoft Entra ID gestionan la pertenencia de forma automática mediante reglas vinculadas a atributos de usuarios o dispositivos. Son imprescindibles para escalar las asignaciones de Intune, las políticas de acceso condicional y el aprovisionamiento automatizado.

La configuración es sencilla, pero los problemas suelen aparecer a gran escala, cuando las reglas se vuelven demasiado complejas o se descuida la gobernanza. Esta guía se basa en las buenas prácticas de Microsoft, con automatización y registro de evidencias, para que puedas mantener los grupos dinámicos de Microsoft Entra predecibles, seguros y fáciles de gestionar.

Cómo crear grupos dinámicos en Microsoft Entra paso a paso

Antes de empezar, asegúrate de tener lo básico en orden.

📌 Requisitos generales:

• Rol de administrador global o administrador de grupos en Microsoft Entra ID.
• Atributos definidos para determinar la pertenencia (department, deviceOwnership, userType o enrollmentProfileName).
• Un tenant piloto o un grupo de pruebas para validar antes del despliegue en producción.
• PowerShell 7 y el módulo de Microsoft Graph instalados para la automatización y las auditorías.

Paso 1: elige el tipo de grupo correcto (seguridad o Microsoft 365) y el ámbito de pertenencia (usuarios o dispositivos)

Empieza seleccionando el tipo de grupo según su finalidad y según si se dirige a usuarios o a dispositivos. Esta decisión afecta al control de acceso, a la colaboración y al comportamiento de la automatización.

📌 Casos de uso:

• Grupo de seguridad: asignar permisos de aplicaciones, aplicar políticas de acceso condicional o desplegar configuraciones de Intune.
• Grupo de Microsoft 365: habilitar la colaboración en Teams, SharePoint y Outlook para un departamento o un proyecto.

Instrucciones:

1. Inicia sesión en el centro de administración de Microsoft Entra.
2. Ve a Grupos > Todos los grupos > + Nuevo grupo.
3. En Tipo de grupo, selecciona:
   • Seguridad: admite pertenencia dinámica de usuarios o de dispositivos (no ambos en un mismo grupo)
   • Microsoft 365: admite solo usuarios para funciones de colaboración
4. En Tipo de pertenencia, selecciona:
   • Usuario dinámico: según atributos de usuario (por ejemplo, departamento o puesto)
   • Dispositivo dinámico: según atributos del dispositivo (por ejemplo, sistema operativo o estado de cumplimiento)
5. Crea grupos específicos para cada tipo, así ganarás claridad y trazabilidad.

💡 Consejo: utiliza una convención de nombres coherente (por ejemplo, Auto-Dept-Marketing-Users, Auto-Device-Windows-Endpoints) para simplificar la gobernanza y las auditorías.

6. Documenta la finalidad, el propietario y las dependencias de cada grupo, como las políticas de Intune vinculadas o las asignaciones de acceso condicional.

Paso 2: escribe la regla de pertenencia dinámica

A continuación, crea la regla que define qué usuarios o dispositivos entran o salen del grupo automáticamente. Las reglas de pertenencia dinámica usan una lógica basada en atributos que Entra ID evalúa de forma continua a medida que cambian los datos del directorio.

📌 Casos de uso:

• Añadir a un grupo de Microsoft 365 a todos los usuarios de un departamento concreto, como Finanzas.
• Dirigir las políticas de cumplimiento de Intune a todos los dispositivos propiedad de la empresa.
• Incluir usuarios de varios departamentos.

Instrucciones:

1. En el centro de administración de Microsoft Entra, ve a Grupos y selecciona tu grupo.
2. En Tipo de pertenencia, elige Usuario dinámico o Dispositivo dinámico según lo que configuraste en el paso 1.
3. Haz clic en Agregar consulta dinámica.
4. Elige un editor:
   • Generador de reglas: para condiciones sencillas. Usa los menús desplegables para seleccionar un atributo, un operador y un valor.
   • Editor de sintaxis: para lógica avanzada. Escribe las reglas manualmente con expresiones y comentarios.
5. Escribe tu regla:

• • Ejemplo para usuarios:

(user.department -eq "Finance")

• • Ejemplo para dispositivos:

(device.deviceOwnership -eq "Company")

6. Mantén la lógica sencilla siempre que puedas. Las reglas compuestas con -and, -or y -not aumentan el tiempo de procesamiento y el esfuerzo de mantenimiento.
7. Si usas el editor de sintaxis, añade comentarios breves que expliquen la finalidad y las condiciones de la regla para los administradores que vengan después.
8. Haz clic en Guardar para aplicar la regla.

Paso 3: valida y previsualiza los resultados de pertenencia

Antes de desplegar un grupo dinámico, valida y previsualiza los resultados de pertenencia para confirmar que la lógica de la regla funciona como esperabas. Este paso te ayuda a detectar pronto errores de inclusión o exclusión.

📌 Casos de uso:

• Probar una nueva regla de usuarios basada en el departamento.
• Comprobar que solo los dispositivos propiedad de la empresa reciben las políticas de cumplimiento.

Instrucciones:

1. Abre el centro de administración de Microsoft Entra > Grupos y selecciona tu grupo dinámico.
2. Ve a Reglas de pertenencia dinámica y haz clic en Validar reglas.
3. Introduce un ID de objeto de ejemplo o valores de atributos para probar la regla.
4. Haz clic en Validar.
5. Revisa los resultados de la previsualización:
   • Confirma que están incluidos los miembros previstos.
   • Comprueba los casos límite, como usuarios con atributos vacíos o inexistentes.
6. Haz capturas de pantalla o exporta los resultados de la validación como evidencia de referencia para tus registros de gobernanza.

Paso 4: supervisa la evaluación de la pertenencia y el estado de sincronización

Los grupos dinámicos se reevalúan automáticamente cuando cambian los atributos de usuarios o dispositivos, pero las actualizaciones no son inmediatas. En tenants grandes o con reglas complejas, el procesamiento puede tardar varias horas. Supervisar el estado de la evaluación te permite confirmar que cada grupo se actualiza correctamente y sigue siendo preciso con el tiempo.

📌 Casos de uso: seguimiento de las actualizaciones de reglas dinámicas tras cambios en los atributos de usuario.

Instrucciones:

1. Abre el centro de administración de Microsoft Entra > Grupos y selecciona tu grupo dinámico.
2. En la pestaña Visión general, comprueba:
   • Último cambio de pertenencia: indica cuándo se actualizó por última vez la pertenencia al grupo.
   • Estado de procesamiento de la regla de pertenencia: indica si la evaluación de la regla está en curso, se ha completado o ha fallado.
3. Cuando cambia un atributo de un usuario o un dispositivo, Entra ID pone en cola una reevaluación de todos los grupos dinámicos afectados.

💡 Cuenta con retrasos en tenants grandes o en grupos con lógica anidada. El procesamiento puede tardar horas según el tamaño y la complejidad del directorio.

4. Si el estado aparece como Error, revisa la sintaxis de la regla y confirma que los atributos necesarios existen en el directorio.
5. Para un diagnóstico detallado, consulta los registros de procesamiento con PowerShell o la API de Microsoft Graph.
6. Haz capturas de pantalla o guarda los registros de evaluación para la documentación de cumplimiento y de ciclo de vida.

Paso 5: automatiza y audita los grupos dinámicos con Microsoft Graph PowerShell

La supervisión manual no escala bien en entornos grandes. Usa Microsoft Graph PowerShell para obtener de forma programada el texto de las reglas, el estado de procesamiento, los propietarios y el número de miembros. También puedes usarlo para crear grupos dinámicos nuevos a partir de una plantilla estándar y mantener actualizados tus registros de configuración.

📌 Casos de uso: obtener todos los grupos dinámicos y sus reglas de pertenencia para documentación y auditorías.

Instrucciones:

1. Abre PowerShell 7 y conéctate a Microsoft Graph:

Connect-MgGraph -Scopes "Group.Read.All","Directory.Read.All"

2. Obtén los grupos dinámicos para su supervisión:

Get-MgGroup -Filter "membershipRuleProcessingState ne null" |
Select-Object DisplayName, MembershipRule, MembershipRuleProcessingState, CreatedDateTime

Esto muestra todos los grupos dinámicos con sus reglas y su estado de procesamiento.

3. Exporta semanalmente las reglas y el número de miembros a CSV o JSON como evidencia.

Get-MgGroup -Filter "membershipRuleProcessingState ne null" |
Select-Object DisplayName, MembershipRule, MembershipRuleProcessingState, CreatedDateTime |
Export-Csv "DynamicGroups_Audit.csv" -NoTypeInformation

4. Integra el script en tu flujo de trabajo de documentación de auditoría.

Export-Clixml "DynamicGroups_Audit.json"

5. Guarda cada exportación en tu espacio de documentación de auditoría para crear un historial de versiones y facilitar las revisiones de cumplimiento.

Paso 6: mantén la gobernanza y la gestión del ciclo de vida

El último paso consiste en asegurarte de que tu automatización siga alineada con los roles cambiantes, la normativa de cumplimiento y las políticas de dispositivos. Una gobernanza sólida garantiza que los grupos dinámicos sigan siendo precisos, conformes y fáciles de auditar.

📌 Casos de uso: revisar los grupos dinámicos cada mes para ajustarlos a la estructura actual del negocio y a la política de TI.

Instrucciones:

1. Asigna un propietario a cada grupo dinámico. El propietario se encarga de las actualizaciones, la validación y el cumplimiento.
2. Trata el texto de las reglas como si fuera código. Registra cada cambio en un documento con control de versiones. Incluye el motivo de la actualización, la referencia de aprobación y las notas de validación.
3. Realiza auditorías mensuales o trimestrales para confirmar que las reglas siguen correspondiéndose con los roles actuales, los ajustes de cumplimiento de Intune y las asignaciones de licencias.
4. Archiva las versiones antiguas del texto de las reglas y los registros de validación en tu espacio de documentación. Etiqueta cada una con una marca de tiempo y el ID de la solicitud de cambio.
5. Vincula los resultados de las revisiones a tu sistema de auditoría o de gestión de cambios, como ServiceNow, para ganar trazabilidad y responsabilidad.

Tabla resumen de buenas prácticas

Estas son las prácticas clave para que tu configuración sea predecible, eficiente y esté lista para auditorías.

Ejemplo de punto de contacto con la automatización

Un script bien diseñado puede convertir una tarea manual de cumplimiento en una rutina predecible. Aquí tienes un ejemplo de flujo de trabajo que puedes adaptar a tu entorno.

Un script semanal de PowerShell se conecta a Microsoft Graph y ejecuta el siguiente proceso:

• Exporta todas las definiciones de grupos dinámicos y el número de miembros.
• Compara los resultados con los de la semana anterior para detectar cambios.
• Marca las reglas actualizadas para su revisión.
• Adjunta el informe a una carpeta de cumplimiento o a un ticket para el seguimiento de la gobernanza.

Integración con NinjaOne

Llevar la automatización de Microsoft Entra a NinjaOne cierra el círculo entre la gestión de identidades y la gobernanza operativa. Así puede NinjaOne agilizar tu proceso:

Gobernanza escalable con los grupos dinámicos de Microsoft Entra

Cuando se crean y mantienen con criterio, los grupos dinámicos de Microsoft Entra reducen el trabajo manual y mantienen un acceso coherente en todo tu entorno. Mantén las reglas sencillas, valida los cambios antes de desplegarlos, automatiza las auditorías y conserva las evidencias históricas para consultarlas cuando haga falta.

Estos hábitos dan a los MSP y a los equipos de TI un control constante: configuraciones estables, políticas predecibles y un cumplimiento que crece con el negocio.

Temas relacionados:

• Simplifica la comprobación de conexiones de Microsoft Entra (Azure AD) con PowerShell
• Integrar el entorno local y el cloud con la unión híbrida a Azure AD
• Cómo etiquetar automáticamente dispositivos de Intune según el método de inscripción (BYOD, corporativo, Autopilot)
• Cómo etiquetar automáticamente dispositivos de Azure AD según su estado de seguridad o su propiedad
• La importancia del ámbito y el comportamiento en las integraciones modernas con Entra