{"id":902074,"date":"2026-10-14T18:08:47","date_gmt":"2026-10-14T18:08:47","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/automatizar-entra-id-aprovisionamiento-usuarios\/"},"modified":"2026-10-14T18:08:48","modified_gmt":"2026-10-14T18:08:48","slug":"automatizar-entra-id-aprovisionamiento-usuarios","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-entra-id-aprovisionamiento-usuarios\/","title":{"rendered":"C\u00f3mo automatizar el aprovisionamiento y desaprovisionamiento de usuarios con Entra ID (Azure AD) y SCIM"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Puntos clave<\/h2>\n<ul>\n<li>Aplicaci\u00f3n empresarial con aprovisionamiento SCIM: configura una aplicaci\u00f3n empresarial de Entra ID con aprovisionamiento SCIM para crear, actualizar y desaprovisionar usuarios autom\u00e1ticamente en aplicaciones SaaS seg\u00fan los cambios en el directorio.<\/li>\n<li>Aprovisionamiento din\u00e1mico basado en grupos: asigna usuarios a grupos de seguridad o din\u00e1micos en Entra ID y vincula esos grupos a aplicaciones empresariales, de modo que el acceso se conceda o se revoque autom\u00e1ticamente seg\u00fan los cambios de rol o de atributos.<\/li>\n<li>Automatizaci\u00f3n con PowerShell y Microsoft Graph: usa PowerShell y las API de Microsoft Graph para automatizar el aprovisionamiento, la asignaci\u00f3n y el desaprovisionamiento de usuarios y grupos, incorporando una l\u00f3gica personalizada de onboarding y offboarding.<\/li>\n<li>Flujos de trabajo de ciclo de vida activados por RR. HH.: usa los flujos de trabajo de ciclo de vida sin c\u00f3digo de Entra ID Governance para aprovisionar, actualizar o desaprovisionar usuarios autom\u00e1ticamente a partir de eventos de RR. HH. como la fecha de incorporaci\u00f3n, un cambio de puesto o una baja, sin scripts personalizados.<\/li>\n<li>CMD y directivas de grupo para controlar las cuentas locales: aplica comandos de CMD y directivas de grupo para bloquear, cerrar sesi\u00f3n o restringir las cuentas locales de Windows despu\u00e9s de desaprovisionar a un usuario en Entra ID.<\/li>\n<li>Aplicaci\u00f3n del ciclo de vida de las cuentas desde el registro: modifica la configuraci\u00f3n del Registro de Windows para deshabilitar las credenciales en cach\u00e9 y hacer un seguimiento del \u00faltimo inicio de sesi\u00f3n, con el fin de identificar y corregir cuentas obsoletas o hu\u00e9rfanas.<\/li>\n<li>Monitorizaci\u00f3n y auditor\u00eda del aprovisionamiento: supervisa la actividad de aprovisionamiento y configura alertas con los registros de auditor\u00eda de Azure, el registro de auditor\u00eda unificada y herramientas de seguridad para detectar fallos, anomal\u00edas o cambios no autorizados.<\/li>\n<\/ul>\n<\/div>\n<p>El aprovisionamiento y desaprovisionamiento de usuarios es un ciclo de vida continuo: alta \u2192 cambio \u2192 baja. Hecho a mano, este proceso no solo consume mucho tiempo, sino que tambi\u00e9n puede provocar retrasos, incoherencias y riesgos de seguridad. Automatizar el proceso mediante el <strong>aprovisionamiento de usuarios de Microsoft Entra ID (Azure AD)<\/strong> con SCIM y los flujos de trabajo de ciclo de vida de Entra ID Governance elimina esos riesgos.<\/p>\n<p>Las organizaciones pueden crear, actualizar o desactivar autom\u00e1ticamente <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/personalizar-perfil-usuario-predeterminado-windows\/\">cuentas de usuario<\/a> en Microsoft 365, aplicaciones SaaS y sistemas de negocio a partir de activadores de RR. HH., pertenencia a grupos o cambios de rol. Con la automatizaci\u00f3n en marcha, consigues:<\/p>\n<ul>\n<li>Creaci\u00f3n y eliminaci\u00f3n de cuentas sin intervenci\u00f3n manual<\/li>\n<li>Asignaci\u00f3n autom\u00e1tica de roles, grupos y licencias<\/li>\n<li>Desactivaci\u00f3n casi en tiempo real al producirse una baja o un offboarding<\/li>\n<li>Registro de auditor\u00eda centralizado y visibilidad del cumplimiento<\/li>\n<li>Menos riesgo de cuentas hu\u00e9rfanas en plataformas de terceros<\/li>\n<\/ul>\n<p>Esta gu\u00eda explica c\u00f3mo implementar el aprovisionamiento y desaprovisionamiento basados en SCIM en Microsoft Entra ID (antes Azure AD), adem\u00e1s de la v\u00eda sin c\u00f3digo de los flujos de trabajo de ciclo de vida que Microsoft recomienda ahora para el onboarding y offboarding impulsados por RR. HH., desde la configuraci\u00f3n inicial hasta la supervisi\u00f3n y los controles de cumplimiento.<\/p>\n<table style=\"width: 100%; height: 452px;\">\n<tbody>\n<tr style=\"height: 116px;\">\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 58.7522%;\"><strong>Haz clic para elegir un m\u00e9todo<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 20.9705%;\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Mejor para usuarios individuales<\/strong><\/td>\n<td style=\"text-align: center; vertical-align: middle; height: 116px; width: 19.2374%;\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Mejor para empresas<\/strong><\/td>\n<\/tr>\n<tr style=\"height: 72px;\">\n<td style=\"height: 72px; width: 58.7522%;\"><a href=\"#method-1\"><strong>M\u00e9todo 1: Configurar una aplicaci\u00f3n empresarial con aprovisionamiento SCIM en Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 72px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 72px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-2\"><strong>M\u00e9todo 2: Usar el acceso basado en grupos para el aprovisionamiento din\u00e1mico<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-3\"><strong>M\u00e9todo 3: Automatizar las tareas de aprovisionamiento con PowerShell y Microsoft Graph<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\">\u2713<\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 72px;\">\n<td style=\"height: 72px; width: 58.7522%;\"><a href=\"#method-4\"><strong>M\u00e9todo 4: Automatizar el onboarding y el offboarding con los flujos de trabajo de ciclo de vida de Entra ID<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 72px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 72px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr>\n<td style=\"width: 58.7522%;\"><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/automatizar-entra-id-aprovisionamiento-usuarios\/#method-4\"><strong>M\u00e9todo 5: Usar CMD y GPO para controlar el comportamiento de las cuentas locales tras el desaprovisionamiento en el cloud<\/strong><\/a><\/td>\n<td style=\"text-align: center; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-5\"><strong>M\u00e9todo 6: Controles de registro para aplicar el ciclo de vida de las cuentas<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\">\u2713<\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<tr style=\"height: 48px;\">\n<td style=\"height: 48px; width: 58.7522%;\"><a href=\"#method-6\"><strong>M\u00e9todo 7: Supervisar y auditar los eventos de aprovisionamiento<\/strong><\/a><\/td>\n<td style=\"text-align: center; height: 48px; width: 20.9705%;\"><\/td>\n<td style=\"text-align: center; height: 48px; width: 19.2374%;\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>\ud83c\udfa5 La gu\u00eda visual muestra en pantalla los seis m\u00e9todos: <a href=\"https:\/\/www.ninjaone.com\/videos\/security\/how-to-automate-user-provisioning-and-deprovisioning-with-entra-id-azure-ad-and-scim\/\">C\u00f3mo automatizar el aprovisionamiento y desaprovisionamiento de usuarios con Entra ID (Azure AD) y SCIM<\/a>.<\/p>\n<h2>M\u00e9todos que necesitas para automatizar el aprovisionamiento y desaprovisionamiento de usuarios con Entra ID y SCIM<\/h2>\n<p>Antes de entrar en los m\u00e9todos, aseg\u00farate de cumplir los siguientes requisitos para evitar errores:<\/p>\n<p><strong>Requisitos generales:<\/strong><\/p>\n<ul>\n<li>\u201cLicencia de Microsoft Entra ID Premium (P1 o P2).<\/li>\n<li>Acceso al portal de Azure (rol de administrador global o administrador de identidades)<\/li>\n<li>Aplicaciones SaaS compatibles con SCIM 2.0 (por ejemplo, Slack, Zoom, GitHub, Adobe, Salesforce)<\/li>\n<li>Endpoints de API o tokens SCIM para integraciones personalizadas<\/li>\n<li>M\u00f3dulo de PowerShell: Microsoft.Graph<\/li>\n<\/ul>\n<p>Opcional: integraci\u00f3n con una plataforma RMM (por ejemplo, NinjaOne) para gestionar los cambios en los endpoints<\/p>\n<h3 id=\"method-1\">M\u00e9todo 1: Configurar una aplicaci\u00f3n empresarial con aprovisionamiento SCIM en Microsoft Entra ID<\/h3>\n<p>Este m\u00e9todo utiliza el motor de aprovisionamiento de Entra ID para enviar autom\u00e1ticamente los datos de los usuarios a las aplicaciones <a href=\"https:\/\/azure.microsoft.com\/en-in\/resources\/cloud-computing-dictionary\/what-is-saas\/?msockid=208385443ab862671df990d93b256348\" target=\"_blank\" rel=\"noopener\">SaaS<\/a> a trav\u00e9s de SCIM.<\/p>\n<p><strong>Casos de uso: <\/strong>\u00fasalo cuando integres Entra ID con aplicaciones SaaS como Zoom, Slack, etc.<\/p>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Abre <strong>Centro de administraci\u00f3n de Microsoft Entra &gt; Microsoft Entra ID &gt; Aplicaciones empresariales<\/strong>.<\/li>\n<li>Haz clic en <strong>+ Nueva aplicaci\u00f3n <\/strong>y selecciona la aplicaci\u00f3n compatible con SCIM que quieras (por ejemplo, GitHub, Dropbox, ServiceNow); despu\u00e9s, haz clic en <strong>crear<\/strong>.<\/li>\n<li>Ve a la pesta\u00f1a <strong>Aprovisionamiento <\/strong>dentro del men\u00fa <strong>Administrar<\/strong>.<\/li>\n<li>Establece el <strong>modo de aprovisionamiento <\/strong>en<strong> Autom\u00e1tico<\/strong>.<\/li>\n<li>Introduce la <strong>URL del endpoint SCIM <\/strong>y el <strong>token secreto <\/strong>(facilitado por el proveedor SaaS).<\/li>\n<li>Haz clic en <strong>Autorizar <\/strong>en la secci\u00f3n <strong>Credenciales de administrador<\/strong>. Se te redirigir\u00e1 a la p\u00e1gina de inicio de sesi\u00f3n del proveedor SaaS (por ejemplo, Dropbox), donde deber\u00e1s iniciar sesi\u00f3n con una cuenta de administrador para conceder acceso a Microsoft Entra.<\/li>\n<li>Cuando la autorizaci\u00f3n se haya completado, usa <strong>Probar conexi\u00f3n <\/strong>para confirmar la configuraci\u00f3n.<\/li>\n<li>En <strong>Asignaciones<\/strong>, define las transformaciones de atributos (por ejemplo, userName, emails. value, userPrincipalName).<\/li>\n<li>Haz clic en <strong>Guardar <\/strong>y pon el estado de aprovisionamiento en <strong>Activado<\/strong>.<\/li>\n<\/ol>\n<p>Entra ID <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/app-provisioning\/user-provisioning\" target=\"_blank\" rel=\"noopener\">aprovisionar\u00e1 autom\u00e1ticamente<\/a> a los usuarios seg\u00fan su pertenencia a grupos o los cambios en el directorio.<\/p>\n<h3 id=\"method-2\">M\u00e9todo 2: Usar el acceso basado en grupos para el aprovisionamiento din\u00e1mico<\/h3>\n<p>Este m\u00e9todo aprovisiona usuarios en las aplicaciones autom\u00e1ticamente seg\u00fan su pertenencia a grupos. Cuando un usuario entra o sale de un grupo, el acceso se concede o se revoca de forma autom\u00e1tica.<\/p>\n<p><strong>Casos de uso: <\/strong>\u00fasalo cuando concedas acceso a aplicaciones seg\u00fan el departamento o el rol (por ejemplo, todas las personas del grupo Marketing obtienen acceso a Canva).<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Grupos de seguridad o de Microsoft 365 en Entra ID<\/li>\n<li>Aplicaci\u00f3n empresarial configurada para el aprovisionamiento<\/li>\n<\/ul>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Crea o identifica un <strong>grupo de seguridad <\/strong>o un <strong>grupo din\u00e1mico <\/strong>en Entra ID.<\/li>\n<li>Asigna el grupo a una aplicaci\u00f3n empresarial conectada por SCIM en <strong>Aplicaci\u00f3n empresarial &gt; [Nombre de la app] &gt; Usuarios y grupos &gt; Agregar grupo<\/strong>.<\/li>\n<li>Define reglas de pertenencia din\u00e1mica (por ejemplo, seg\u00fan el departamento, el puesto o la ubicaci\u00f3n).<\/li>\n<\/ol>\n<p>(Lee el punto 1 de <em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.<\/em>)<\/p>\n<p>Regla de ejemplo:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong><code>(user.department -eq \"Sales\") and (user.accountEnabled -eq true)<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Los usuarios que se a\u00f1aden a este grupo (mediante la sincronizaci\u00f3n con RR. HH. o durante el onboarding) se aprovisionan autom\u00e1ticamente en la aplicaci\u00f3n conectada con los roles o permisos asignados.<\/p>\n<h3 id=\"method-3\">M\u00e9todo 3: Automatizar las tareas de aprovisionamiento con PowerShell y Microsoft Graph<\/h3>\n<p>Este m\u00e9todo utiliza scripts de PowerShell y la <a href=\"https:\/\/learn.microsoft.com\/en-us\/graph\/use-the-api\" target=\"_blank\" rel=\"noopener\">API de Microsoft Graph<\/a> para gestionar usuarios y tareas de aprovisionamiento de forma program\u00e1tica.<\/p>\n<p><strong>Casos de uso: <\/strong>\u00fasalo cuando gestiones onboarding u offboarding masivos, integres sistemas de RR. HH. o necesites una l\u00f3gica de aprovisionamiento personalizada<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Debes ejecutar PowerShell como administrador.<\/li>\n<li>SDK de PowerShell de Microsoft Graph<\/li>\n<\/ul>\n<p>Paso a paso:<\/p>\n<p>Ejecuta los siguientes comandos:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Abre PowerShell como administrador (lee el punto 2 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.<\/em>)<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module Microsoft.Graph -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module Microsoft.Graph.Groups<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Con\u00e9ctate a Microsoft Graph con los \u00e1mbitos suficientes<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\",\"Group.ReadWrite.All\",\"GroupMember.ReadWrite.All\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"3\" style=\"list-style-type: upper-alpha;\">\n<li>Crea un usuario nuevo en Entra ID<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong>New-MgUser `<\/strong><br \/>\n<code><strong>-DisplayName \"Jane Doe\" `<\/strong><\/code><br \/>\n<code><strong>-UserPrincipalName \"jane.doe@domain.com\" `<\/strong><\/code><br \/>\n<code><strong>-MailNickname \"janedoe\" `<\/strong><\/code><br \/>\n<strong>$PasswordProfile = @{<\/strong><br \/>\n<strong>Password = \u00ab&lt;Generate-a-strong-temporary-password&gt;\u00bb<\/strong><br \/>\n<strong>ForceChangePasswordNextSignIn = $true<\/strong><br \/>\n<strong>}<\/strong><br \/>\n<strong> ForceChangePasswordNextSignIn=$true } `<\/strong><br \/>\n<strong>-AccountEnabled:$true<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"4\" style=\"list-style-type: upper-alpha;\">\n<li>A\u00f1ade el usuario al grupo de aprovisionamiento:<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code># $GroupId = target group's object ID<\/code><\/strong><br \/>\n<strong><code># $UserId = user's object ID<\/code><\/strong><br \/>\n<strong><code>$params = @{<\/code><\/strong><br \/>\n<strong><code> \"@odata.id\" = \"https:\/\/graph.microsoft.com\/v1.0\/directoryObjects\/$UserId\"<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><br \/>\n<strong><code>New-MgGroupMemberByRef -GroupId $GroupId -BodyParameter $params<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"5\" style=\"list-style-type: upper-alpha;\">\n<li>Deshabilita un usuario para desaprovisionarlo<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Update-MgUser -UserId $UserId -BodyParameter @{ accountEnabled = $false }<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"6\" style=\"list-style-type: upper-alpha;\">\n<li>Quita al usuario de todos los grupos de aplicaciones<\/li>\n<\/ol>\n<table style=\"margin-left: 40px;\">\n<tbody>\n<tr>\n<td><strong><code>Get-MgUserMemberOfAsGroup -UserId $UserId -All | ForEach-Object {<\/code><\/strong><br \/>\n<strong><code> Remove-MgGroupMemberByRef -GroupId $_.Id -DirectoryObjectId $UserId<\/code><\/strong><br \/>\n<strong><code>}<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p><strong>Notas: <\/strong><\/p>\n<ul>\n<li>Sustituye los valores de ejemplo (como Jane Doe, jane.doe@domain.com, $GroupId, $UserId y TempPass123!) por los datos reales de tu tenant.<\/li>\n<li>No puedes quitar miembros de los grupos din\u00e1micos: la pertenencia se basa en reglas.<\/li>\n<li>Usa scripts de RMM programados o activados por eventos para ejecutarlos durante el onboarding o el offboarding.<\/li>\n<\/ul>\n<h3>M\u00e9todo 4: Automatizar el onboarding y el offboarding con los flujos de trabajo de ciclo de vida de Entra ID<\/h3>\n<p>Mientras que los m\u00e9todos 1 a 3 exigen que crees y mantengas t\u00fa mismo la l\u00f3gica de automatizaci\u00f3n, los flujos de trabajo de ciclo de vida te ofrecen plantillas predefinidas y sin c\u00f3digo para esos mismos eventos de alta, cambio y baja.<\/p>\n<p><strong>Caso de uso:<\/strong> \u00fasalo cuando quieras un onboarding y offboarding impulsados por RR. HH. sin mantener PowerShell personalizado ni Logic Apps.<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Licencias de Microsoft Entra ID Governance o Microsoft Entra Suite para los usuarios incluidos en los flujos de trabajo de ciclo de vida.<\/li>\n<li>El atributo employeeHireDate rellenado en Entra ID para que los flujos de onboarding se activen correctamente<\/li>\n<li>En los flujos basados en fechas, employeeHireDate y\/o employeeLeaveDateTime deben estar rellenados y sincronizados en Microsoft Entra ID.<\/li>\n<li>Atributos de responsable asignados a las cuentas de usuario, si los flujos incluyen notificaciones o aprobaciones basadas en el responsable<\/li>\n<\/ul>\n<p>Paso a paso:<\/p>\n<ol>\n<li>Inicia sesi\u00f3n en el <strong>centro de administraci\u00f3n de Microsoft Entra<\/strong> en entra.microsoft.com.<\/li>\n<li>En el men\u00fa de la izquierda, ve a <strong>Gobernanza de identidades &gt; Flujos de trabajo de ciclo de vida<\/strong>.<\/li>\n<li>Comprueba que la funci\u00f3n est\u00e1 habilitada para tu organizaci\u00f3n.<\/li>\n<li>Haz clic en <strong>Crear flujo de trabajo<\/strong> y elige una plantilla de onboarding u offboarding (por ejemplo, \u00abIncorporar empleado antes de su alta\u00bb o \u00abDar de baja a un empleado\u00bb).<\/li>\n<li>Define la condici\u00f3n de activaci\u00f3n (por ejemplo, \u00ab2 d\u00edas antes de la fecha de inicio\u00bb o \u00abel \u00faltimo d\u00eda del empleado\u00bb).<\/li>\n<li>A\u00f1ade tareas al flujo de trabajo, como generar un pase de acceso temporal, enviar un correo de bienvenida o deshabilitar la cuenta y quitar las pertenencias a grupos.<\/li>\n<li>Revisa el flujo en el <strong>historial de flujos de trabajo<\/strong> y en los <strong>registros de auditor\u00eda<\/strong> antes de habilitarlo en producci\u00f3n.<\/li>\n<\/ol>\n<h3 id=\"method-4\">M\u00e9todo 5: Usar CMD y GPO para controlar el comportamiento de las cuentas locales tras el desaprovisionamiento en el cloud<\/h3>\n<p>Este m\u00e9todo garantiza que las cuentas locales de Windows se bloqueen o se eliminen despu\u00e9s de desaprovisionar a un usuario en Entra ID, de modo que no queden riesgos de seguridad.<\/p>\n<p><strong>Casos de uso: <\/strong>\u00fasalo cuando tengas dispositivos unidos a Entra ID h\u00edbrido o cogestionados y quieras bloquear el acceso local tras el desaprovisionamiento.<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Acceso a la directiva de grupo<\/li>\n<li>Dispositivos unidos a un dominio o h\u00edbridos<\/li>\n<\/ul>\n<p>Instrucciones:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Deshabilita los inicios de sesi\u00f3n de dominio almacenados en cach\u00e9 tras el desaprovisionamiento\n<ol>\n<li>Pulsa <strong>Win + S<\/strong> y escribe <strong>cmd<\/strong>.<\/li>\n<li>Haz clic con el bot\u00f3n derecho en el <strong>S\u00edmbolo del sistema<\/strong> y selecciona <strong>Ejecutar como administrador<\/strong>.<\/li>\n<li>Ejecuta el siguiente comando:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>rundll32 netplwiz.dll,ClearAutoLogon<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Usa la directiva de grupo para forzar el cierre de sesi\u00f3n o el bloqueo de las sesiones tras la desactivaci\u00f3n en el cloud (lee el punto 3 \u26a0\ufe0f <em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.<\/em>)\n<ol start=\"1\">\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>gpedit<\/strong>.msc y pulsa <strong>Intro <\/strong>para abrir el <strong>Editor de directivas de grupo<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\"><strong>Nota<\/strong>: usa <strong>gpmc<\/strong>.msc para abrir la Consola de administraci\u00f3n de directivas de grupo en los controladores de dominio.<\/p>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"2\">\n<li>Ve a:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>Configuraci\u00f3n del equipo \u2192 Configuraci\u00f3n<\/strong><strong> de Windows <\/strong><strong>\u2192 Configuraci\u00f3n<\/strong><strong> de seguridad <\/strong><strong>\u2192 Directivas locales \u2192 Opciones de seguridad<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Busca y modifica la opci\u00f3n:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>Inicio de sesi\u00f3n interactivo: n\u00famero de inicios de sesi\u00f3n anteriores en cach\u00e9<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Establece el valor en 0<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"3\" style=\"list-style-type: upper-alpha;\">\n<li>Programa un script de apagado o bloqueo para los usuarios desaprovisionados<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pulsa <strong>Win + S<\/strong>, escribe <strong>cmd<\/strong> o <strong>PowerShell<\/strong> y pulsa <strong>Intro <\/strong>para abrir la herramienta.<\/li>\n<li>Ejecuta:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>shutdown -l<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Integra estos scripts en el RMM para alinear el comportamiento del endpoint con el estado en Azure.<\/p>\n<h3 id=\"method-5\">M\u00e9todo 6: Controles de registro para aplicar el ciclo de vida de las cuentas<\/h3>\n<p>Este m\u00e9todo modifica claves del Registro de Windows para aplicar reglas m\u00e1s estrictas de sesi\u00f3n de usuario o de eliminaci\u00f3n de cuentas.<\/p>\n<p><strong>Casos de uso: <\/strong>\u00fasalo si quieres un control detallado en equipos Windows (on-premise o h\u00edbridos).<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Acceso de administrador al Editor del Registro<\/li>\n<\/ul>\n<p><strong>Advertencia: <\/strong>editar el registro puede provocar problemas en el sistema. <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/copia-de-seguridad-registro-de-windows\/\">Crea una copia de seguridad<\/a> antes de continuar.<\/p>\n<p>Instrucciones: (lee el punto 4 de <em><a href=\"#things-to-look-out-for\">Aspectos a tener en cuenta<\/a>.<\/em>)<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Bloquea las credenciales persistentes en cach\u00e9<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>regedit<\/strong> y pulsa <strong>Intro <\/strong>para abrir el Editor del Registro.<\/li>\n<li>Ve a:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows NT<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\W<\/strong><strong>inlogon<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Busca y haz doble clic en el valor llamado <strong>CachedLogonsCount<\/strong>.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 80px;\">Si el valor no existe todav\u00eda, cr\u00e9alo manualmente como <strong>Nuevo &gt; Valor de cadena (REG_SZ)<\/strong>.<\/p>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"4\">\n<li>Establece su valor en 0.<\/li>\n<li>Cierra el Editor del Registro.<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Registra el \u00faltimo inicio de sesi\u00f3n correcto para detectar cuentas hu\u00e9rfanas<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Pulsa <strong>Win + R<\/strong>, escribe <strong>regedit<\/strong> y pulsa <strong>Intro <\/strong>para abrir el Editor del Registro.<\/li>\n<li>Ve a:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>HKEY_LOCAL_MACHINE<\/strong><strong>\\S<\/strong><strong>OFTWARE<\/strong><strong>\\M<\/strong><strong>icrosoft<\/strong><strong>\\W<\/strong><strong>indows<\/strong><strong>\\C<\/strong><strong>urrentVersion<\/strong><strong>\\A<\/strong><strong>uthentication<\/strong><strong>\\L<\/strong><strong>ogonUI<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Busca el valor:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong>LastLoggedOnUser<\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 40px;\">Usa scripts de RMM para analizar los valores del registro e identificar cuentas obsoletas o sin uso que haya que corregir.<\/p>\n<h3 id=\"method-6\">M\u00e9todo 7: Supervisar y auditar los eventos de aprovisionamiento<\/h3>\n<p><strong>Casos de uso: <\/strong>\u00fasalo cuando necesites seguir las acciones de aprovisionamiento para resolver incidencias, reforzar la seguridad y cumplir normativas.<\/p>\n<p><strong>Requisitos previos:<\/strong><\/p>\n<ul>\n<li>Entra ID Premium con una licencia de Exchange Online<\/li>\n<li>Registro de auditor\u00eda unificada habilitado en Microsoft Purview<\/li>\n<\/ul>\n<p>Instrucciones:<\/p>\n<ol style=\"list-style-type: upper-alpha;\">\n<li>Usa los registros de auditor\u00eda de Azure para revisar la actividad de aprovisionamiento<\/li>\n<\/ol>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol>\n<li>Abre <a href=\"https:\/\/www.ninjaone.com\/es\/it-hub\/endpoint-management\/powershell\/\"><strong>PowerShell<\/strong><\/a>.<\/li>\n<li>Instala e importa el m\u00f3dulo de Exchange Online<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Install-Module ExchangeOnlineManagement -Scope CurrentUser<\/code><\/strong><br \/>\n<strong><code>Import-Module ExchangeOnlineManagement<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"3\">\n<li>Con\u00e9ctate a Microsoft Purview<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Connect-ExchangeOnline<\/code><\/strong><br \/>\n<strong><code>Connect-IPPSSession<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol>\n<li style=\"list-style-type: none;\">\n<ol start=\"4\">\n<li>Ejecuta la b\u00fasqueda en el registro de auditor\u00eda unificada:<\/li>\n<\/ol>\n<\/li>\n<\/ol>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -Operations \"Add user\", \"Delete user\", \"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p style=\"padding-left: 80px;\"><strong>\ud83d\udca1 <\/strong>Puedes a\u00f1adir filtros de fecha para delimitar el intervalo:<\/p>\n<table style=\"margin-left: 80px;\">\n<tbody>\n<tr>\n<td><strong><code>Search-UnifiedAuditLog -StartDate (Get-Date).AddDays(-30) -EndDate (Get-Date) -Operations \"Add user\",\"Delete user\",\"Update user\"<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<ol start=\"2\" style=\"list-style-type: upper-alpha;\">\n<li>Configura alertas para anomal\u00edas de aprovisionamiento en Azure<\/li>\n<\/ol>\n<p style=\"padding-left: 40px;\">Usa Microsoft Sentinel o Microsoft 365 Defender para generar alertas sobre:<\/p>\n<ul>\n<li style=\"list-style-type: none;\">\n<ul>\n<li>Creaci\u00f3n excesiva de usuarios<\/li>\n<li>Cambios no autorizados en la pertenencia a grupos<\/li>\n<li>Llamadas de aprovisionamiento SCIM fallidas<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Aspectos a tener en cuenta<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Riesgos<\/strong><\/td>\n<td><strong>Posibles consecuencias<\/strong><\/td>\n<td><strong>C\u00f3mo revertirlo<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Asignaci\u00f3n de grupos mal configurada<\/td>\n<td>Los usuarios no se aprovisionan ni se desaprovisionan como se esperaba.<\/td>\n<td>Ajusta las reglas de los grupos din\u00e1micos o actualiza manualmente la pertenencia en <strong>Grupos &gt; [Nombre del grupo] &gt; Miembros<\/strong>.<\/td>\n<\/tr>\n<tr>\n<td>2. Ejecutar PowerShell sin permisos elevados<\/td>\n<td>Los comandos de PowerShell fallan con errores de acceso.<\/td>\n<td>Vuelve a abrir PowerShell como administrador.<\/td>\n<\/tr>\n<tr>\n<td>3. GPO mal configuradas<\/td>\n<td>Los usuarios locales pueden seguir iniciando sesi\u00f3n despu\u00e9s de ser desaprovisionados.<\/td>\n<td>Verifica la configuraci\u00f3n en <strong>gpedit<\/strong>.msc o en la <strong>Consola de administraci\u00f3n de directivas de grupo<\/strong> y pru\u00e9bala en un equipo de muestra.<\/td>\n<\/tr>\n<tr>\n<td>4. Ediciones incorrectas del registro<\/td>\n<td>Pueden provocar problemas de inicio de sesi\u00f3n o inestabilidad del sistema<\/td>\n<td>Haz siempre una copia de seguridad del registro antes de cambiar algo; deshaz los cambios con un archivo <strong>.reg<\/strong> o un punto de restauraci\u00f3n.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Otras consideraciones<\/h2>\n<p>Estas son las consideraciones operativas y de seguridad fundamentales que debes conocer sobre una implementaci\u00f3n basada en SCIM con Microsoft Entra ID:<\/p>\n<h3>Limitaci\u00f3n de solicitudes SCIM<\/h3>\n<p>Las API SCIM tienen l\u00edmites de velocidad fijados por los proveedores SaaS. Esos l\u00edmites controlan cu\u00e1ntas operaciones de aprovisionamiento pueden procesarse en un periodo determinado.<\/p>\n<p>Un volumen alto puede activar la limitaci\u00f3n o el rechazo de solicitudes, lo que retrasa la sincronizaci\u00f3n.. Revisa siempre los l\u00edmites de velocidad SCIM del proveedor y su comportamiento bajo carga.<\/p>\n<h3>Asignaci\u00f3n de atributos<\/h3>\n<p>Microsoft Entra ID env\u00eda a las aplicaciones de destino atributos de usuario como el nombre, el correo electr\u00f3nico y el departamento. Estos deben coincidir con el esquema que espera la aplicaci\u00f3n; si no, el aprovisionamiento puede fallar sin avisar o dar lugar a accesos mal configurados.<\/p>\n<p>Usa la funci\u00f3n de asignaci\u00f3n de atributos personalizada de Microsoft Entra ID para alinear los campos con el esquema SCIM. Adem\u00e1s, prueba las asignaciones en un entorno de preproducci\u00f3n antes de activar el aprovisionamiento autom\u00e1tico.<\/p>\n<h3>Asignaci\u00f3n de licencias<\/h3>\n<p>Algunas aplicaciones requieren que el usuario tenga una licencia v\u00e1lida para poder completar el aprovisionamiento. Usa las licencias basadas en grupos de Microsoft Entra ID para automatizar la asignaci\u00f3n de licencias.<\/p>\n<h3>Conectores SCIM personalizados<\/h3>\n<p>Para las aplicaciones que no admiten SCIM de forma nativa, puedes crear un puente con Azure SCIM Gateway o desarrollar integraciones personalizadas con Azure Logic Apps, Azure Functions o Power Automate.<\/p>\n<h3>Seguridad y cumplimiento<\/h3>\n<p>Las cuentas obsoletas suponen riesgos de seguridad graves. Si el desaprovisionamiento se retrasa, los usuarios pueden conservar el acceso a sistemas sensibles. Para lograr la m\u00e1xima seguridad, usa activadores de desaprovisionamiento autom\u00e1tico y registra todos los eventos de acceso.<\/p>\n<h2>Resoluci\u00f3n de problemas<\/h2>\n<p>As\u00ed puedes identificar y resolver los problemas m\u00e1s habituales en las implementaciones de aprovisionamiento SCIM con Microsoft Entra ID:<\/p>\n<h3>Retraso en el aprovisionamiento<\/h3>\n<p>El aprovisionamiento de Entra ID mediante SCIM no es en tiempo real. Los ciclos de sincronizaci\u00f3n suelen ejecutarse cada 20-40 minutos en la mayor\u00eda de las aplicaciones empresariales, y pueden producirse retrasos por limitaci\u00f3n de solicitudes o llamadas de API fallidas. Esto es lo que puedes hacer:<\/p>\n<ol>\n<li>Ve a <strong>Portal de Azure &gt; Azure AD &gt; Aplicaciones empresariales &gt; [Tu app] &gt; Aprovisionamiento<\/strong><\/li>\n<li>Comprueba:\n<ul>\n<li>La hora de inicio y de fin de la \u00faltima sincronizaci\u00f3n<\/li>\n<li>El estado de la conexi\u00f3n SCIM<\/li>\n<li>Los registros de aprovisionamiento (revisa las causas de los fallos, los reintentos y el estado de cuarentena).<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<h3>Usuarios sin sincronizar<\/h3>\n<p>Si los usuarios no aparecen en la aplicaci\u00f3n de destino tras el aprovisionamiento:<\/p>\n<ul>\n<li>Confirma que los usuarios est\u00e1n asignados a la aplicaci\u00f3n:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>Azure AD &gt; Aplicaciones empresariales &gt; [App] &gt; Usuarios y grupos<\/strong><\/p>\n<ul>\n<li>Verifica la asignaci\u00f3n de atributos:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong>Azure AD &gt; Aplicaci\u00f3n empresarial &gt; Aprovisionamiento &gt; Asignaciones<\/strong><\/p>\n<p>Aseg\u00farate de que el grupo est\u00e1 dentro del \u00e1mbito del aprovisionamiento.<\/p>\n<h3>El desaprovisionamiento falla<\/h3>\n<p>Si los usuarios siguen activos en la aplicaci\u00f3n despu\u00e9s de eliminarlos, esto es lo que debes hacer:<\/p>\n<ul>\n<li>Comprueba si el token SCIM sigue siendo v\u00e1lido y tiene permisos de eliminaci\u00f3n.<\/li>\n<li>Algunas aplicaciones deshabilitan a los usuarios estableciendo active=false en lugar de eliminarlos. Revisa el esquema SCIM de la aplicaci\u00f3n.<\/li>\n<li>Si es necesario, elimina al usuario manualmente o llama directamente a la API de la aplicaci\u00f3n.<\/li>\n<\/ul>\n<h3>Errores de PowerShell<\/h3>\n<p>Los fallos de PowerShell suelen deberse a la falta de permisos delegados (\u00e1mbitos) de Microsoft Graph, tokens caducados, IDs de objeto incorrectos o roles insuficientes en Microsoft Entra ID. Esto es lo que puedes hacer:<\/p>\n<ul>\n<li>Con\u00e9ctate a Microsoft Graph con los \u00e1mbitos correctos:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong><code>Connect-MgGraph -Scopes \"User.ReadWrite.All\", \"Group.ReadWrite.All\"<\/code><\/strong><\/p>\n<ul>\n<li>Comprueba tu contexto:<\/li>\n<\/ul>\n<p style=\"padding-left: 40px;\"><strong><code>Get-MgContext<\/code><\/strong><\/p>\n<p>Valida los IDs de objeto antes de pasarlos a las operaciones de Graph.<\/p>\n<h2>Servicios de NinjaOne<\/h2>\n<p>Aunque el ciclo de vida del usuario se controla en Entra ID y en las plataformas SaaS, NinjaOne refuerza el cumplimiento y su aplicaci\u00f3n en los endpoints durante el aprovisionamiento y el desaprovisionamiento:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Servicios de NinjaOne<\/strong><\/td>\n<td><strong>C\u00f3mo complementa NinjaOne la automatizaci\u00f3n del aprovisionamiento aplicando el cumplimiento en los endpoints<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Automatizaci\u00f3n de scripts<\/td>\n<td>Activa la deshabilitaci\u00f3n, el bloqueo o la limpieza de la cuenta local cuando se desaprovisiona una cuenta de Microsoft Entra ID.<\/td>\n<\/tr>\n<tr>\n<td>Visibilidad de los endpoints<\/td>\n<td>Detecta cuentas hu\u00e9rfanas o equipos que siguen con la sesi\u00f3n iniciada con usuarios inactivos.<\/td>\n<\/tr>\n<tr>\n<td>Aplicaci\u00f3n de pol\u00edticas<\/td>\n<td>Despliega GPO o claves de registro acordes con las pol\u00edticas de acceso basadas en SCIM.<\/td>\n<\/tr>\n<tr>\n<td>Supervisi\u00f3n de eventos<\/td>\n<td>Avisa de los intentos de inicio de sesi\u00f3n local de usuarios deshabilitados o desconocidos.<\/td>\n<\/tr>\n<tr>\n<td>Registro e informes<\/td>\n<td>Permite exportar registros listos para auditor\u00eda de las acciones en endpoints relacionadas con el aprovisionamiento.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Con NinjaOne, los MSP y los equipos de TI pueden asegurarse de que la gobernanza de identidades en el cloud se apoya plenamente en un comportamiento \u00e1gil y alineado con las pol\u00edticas a nivel de dispositivo.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Gu\u00eda de inicio r\u00e1pido<\/h2><p><strong>Funciones principales:<\/strong><br \/>\n\u2013 Creaci\u00f3n autom\u00e1tica de usuarios: los nuevos usuarios de Azure AD se aprovisionan autom\u00e1ticamente en NinjaOne.<br \/>\n\u2013 Eliminaci\u00f3n autom\u00e1tica de usuarios: cuando se elimina a un usuario de Azure AD, su cuenta se desactiva en NinjaOne.<br \/>\n\u2013 Asignaci\u00f3n de grupos a roles: asigna roles de NinjaOne seg\u00fan la pertenencia a grupos de Azure AD.<br \/>\n\u2013 Gesti\u00f3n de tokens SCIM: los tokens caducan a los seis meses y hay que volver a generarlos.<\/p>\n<p><strong>Requisitos previos:<\/strong><br \/>\n1. Habilita el <a href=\"https:\/\/www.ninjaone.com\/es\/blog\/saml-vs-sso\/\">SSO<\/a> en <a href=\"https:\/\/www.ninjaone.com\/es\/\">NinjaOne<\/a> con Azure AD.<br \/>\n2. Habilita el aprovisionamiento SCIM mediante una solicitud al equipo de ventas de NinjaOne.<br \/>\n3. Usa Azure AD u Okta como IdP (otros proveedores no est\u00e1n totalmente admitidos).<\/p>\n<p><strong>Pasos de configuraci\u00f3n:<\/strong><br \/>\n1. Habilita <a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">SCIM<\/a> en NinjaOne:<br \/>\n\u2013 Ve a Administraci\u00f3n &gt; Cuentas &gt; Proveedor de identidades.<br \/>\n\u2013 Activa el conmutador \u00abHabilitar el aprovisionamiento SCIM\u00bb y genera un token SCIM.<\/p>\n<p>2. Configura SCIM en Azure AD:<br \/>\n\u2013 En la aplicaci\u00f3n empresarial de Azure para NinjaOne, ve a la pesta\u00f1a Aprovisionamiento.<br \/>\n\u2013 Pega el token SCIM y la URL del tenant que obtuviste en NinjaOne.<br \/>\n\u2013 Asigna los atributos de Azure AD a los atributos de NinjaOne (por ejemplo, userPrincipalName a userName).<\/p>\n<p>3. Asignaci\u00f3n de grupos:<br \/>\n\u2013 En NinjaOne, asigna los grupos de Azure AD a roles en Administraci\u00f3n &gt; Cuentas &gt; Proveedor de identidades &gt; Asignaci\u00f3n de grupos.<\/p>\n<p>4. Prueba la conexi\u00f3n:<br \/>\n\u2013 Usa la opci\u00f3n \u00abProbar conexi\u00f3n\u00bb de Azure AD para comprobar que el aprovisionamiento funciona correctamente.<\/p>\n<p><strong>Notas importantes:<\/strong><br \/>\n\u2013 IdP admitidos: Azure AD y Okta est\u00e1n totalmente admitidos. Otros IdP compatibles con SCIM pueden funcionar, pero no cuentan con soporte completo.<br \/>\n\u2013 Tipos de usuario: los administradores del sistema no pueden asignarse mediante SCIM y deben crearse manualmente en NinjaOne.<br \/>\n\u2013 Desactivaci\u00f3n frente a eliminaci\u00f3n: SCIM desactiva a los usuarios en NinjaOne, pero no los elimina. Si hace falta, los usuarios eliminados deben borrarse manualmente.<\/p>\n<p>Para instrucciones detalladas, consulta los art\u00edculos de NinjaOne Dojo sobre <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/23029590977677-System-for-Cross-domain-Identity-Management-SCIM\" target=\"_blank\" rel=\"noopener\">configuraci\u00f3n de SCIM<\/a> y <a href=\"https:\/\/ninjarmm.zendesk.com\/hc\/en-us\/articles\/24967296262285-SCIM-Internal-Troubleshooting\" target=\"_blank\" rel=\"noopener\">resoluci\u00f3n interna de problemas de SCIM<\/a>.<\/p>\n<\/div>\n<h2>Automatizar el aprovisionamiento y desaprovisionamiento de usuarios con Microsoft Entra ID (Azure AD) y SCIM<\/h2>\n<p>Automatizar el aprovisionamiento y desaprovisionamiento de usuarios con Microsoft Entra ID y SCIM mejora la gesti\u00f3n del ciclo de vida de las identidades, reduce los riesgos de seguridad y favorece el cumplimiento. Y lo m\u00e1s importante: acelera enormemente el onboarding y el offboarding en las aplicaciones cloud y los dispositivos conectados.<\/p>\n<p>Esta gu\u00eda ha repasado los componentes clave de un marco de aprovisionamiento seguro y escalable, desde la configuraci\u00f3n de Microsoft Entra ID y SCIM hasta la ampliaci\u00f3n de la automatizaci\u00f3n con PowerShell y Microsoft Graph. Tambi\u00e9n ha explicado c\u00f3mo aplicar las pol\u00edticas de acceso a nivel de endpoint con scripts de CMD, directivas de grupo y controles del registro, adem\u00e1s de c\u00f3mo supervisar y auditar los cambios de identidad para tener visibilidad total.<\/p>\n<p>Por \u00faltimo, hemos visto c\u00f3mo NinjaOne enriquece este ecosistema alineando el comportamiento de los dispositivos con la pol\u00edtica de identidades.<\/p>\n<p><strong>Temas relacionados:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/hybrid-azure-ad-join-2\/\">Qu\u00e9 es Hybrid Azure AD Join y c\u00f3mo configurarlo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/blog\/azure-ad-connect-que-es-como-configurarlo\/\">Azure AD Connect: qu\u00e9 es y c\u00f3mo configurarlo<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/es\/docs\/inscripcion-de-dispositivos-y-herramientas-de-gestion\/politicas\/aprovisionamiento-de-dispositivos\/\">Aprovisionamiento de dispositivos<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/user-management\/sso-and-scim\/\">Integraci\u00f3n de SSO y SCIM<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/docs\/endpoint-management\/remote-control\/active-directory-user-management\/\">Gesti\u00f3n de usuarios en Active Directory<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>El aprovisionamiento y desaprovisionamiento de usuarios es un ciclo de vida continuo: alta \u2192 cambio \u2192 baja. Hecho a mano, este proceso no solo consume mucho tiempo, sino que tambi\u00e9n puede provocar retrasos, incoherencias y riesgos de seguridad. Automatizar el proceso mediante el aprovisionamiento de usuarios de Microsoft Entra ID (Azure AD) con SCIM y [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":602569,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4357],"tags":[],"class_list":["post-902074","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-operaciones-de-ti"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902074","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/comments?post=902074"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902074\/revisions"}],"predecessor-version":[{"id":902075,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/posts\/902074\/revisions\/902075"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media\/602569"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/media?parent=902074"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/categories?post=902074"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/es\/wp-json\/wp\/v2\/tags?post=902074"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}