Concepto de sincronización entre inquilinos

La sincronización entre inquilinos automatiza la creación, la actualización y la eliminación de usuarios de colaboración B2B de Microsoft Entra en distintos inquilinos de una organización. Permite a los usuarios acceder a las aplicaciones y colaborar entre inquilinos, a la vez que permite el desarrollo de la organización.

Estos son los objetivos principales de la sincronización entre inquilinos:

• Colaboración perfecta para una organización multiinquilino
• Automatización de la administración del ciclo de vida de los usuarios de colaboración B2B en una organización multiinquilino
• Eliminación automática de cuentas B2B cuando un usuario abandona la organización.

Conveniencia de usar la sincronización entre inquilinos

La sincronización entre inquilinos automatiza la creación, actualización y eliminación de usuarios de colaboración B2B. Los usuarios creados con sincronización entre inquilinos pueden acceder a aplicaciones de Microsoft (como Teams y SharePoint) y distintas de Microsoft (como ServiceNow, Adobe y muchas más), independientemente del inquilino con el que se integren las aplicaciones. Estos usuarios siguen beneficiándose de las capacidades de seguridad de Microsoft Entra ID, como el Acceso condicional de Microsoft Entra y la configuración de acceso entre inquilinos, y se pueden regir mediante características como la administración de derechos de Microsoft Entra.

En el diagrama siguiente se muestra cómo puede usar la sincronización entre inquilinos para permitir que los usuarios accedan a aplicaciones entre inquilinos de su organización.

¿Quién debe usarlo?

• Organizaciones que poseen varios inquilinos de Microsoft Entra y quieren simplificar el acceso a aplicaciones entre inquilinos dentro de la organización.
• La sincronización entre inquilinos se puede usar en todas las organizaciones, pero hacerlo puede introducir responsabilidades de cumplimiento adicionales. Los clientes son responsables de garantizar que su uso cumpla los requisitos normativos, de seguridad y privacidad aplicables, incluido el Reglamento general de protección de datos (RGPD) de la Unión Europea. Microsoft no facilita la recopilación de consentimiento del usuario a través de la sincronización entre inquilinos. Los clientes deben evaluar si su escenario requiere consentimiento del usuario, minimización de datos u otras medidas de seguridad, y consultar a sus equipos legales o de cumplimiento antes de habilitar la sincronización entre organizaciones o la sincronización entre inquilinos.

Ventajas

Gracias a la sincronización entre inquilinos, puede hacer lo siguiente:

• Permite crear automáticamente usuarios de colaboración B2B en su organización y proporcionarles acceso a las aplicaciones que necesitan, sin crear ni mantener scripts personalizados.
• Mejora la experiencia del usuario y asegura que los usuarios puedan acceder a los recursos, sin recibir ninguna invitación por correo electrónico ni tener que aceptar un mensaje de petición de consentimiento en cada inquilino.
• Los usuarios se actualizan automáticamente y se quitan cuando dejan la organización.

Teams y Microsoft 365

Los usuarios que ha creado la sincronización entre inquilinos tendrán la misma experiencia al acceder a Microsoft Teams y a otros servicios de Microsoft 365 que los usuarios de colaboración B2B creados mediante una invitación manual. Si su organización usa canales compartidos, consulte el documento de problemas conocidos para obtener más detalles. Con el tiempo, los distintos servicios de Microsoft 365 usarán el valor de userType member a fin de proporcionar experiencias de usuario final diferenciadas para los usuarios de una organización multiinquilino.

Propiedades

Al configurar la sincronización entre inquilinos, se define una relación de confianza entre un inquilino de origen y uno de destino. La sincronización entre inquilinos tiene las propiedades siguientes:

• Basado en el motor de aprovisionamiento de Microsoft Entra.
• Es un proceso de inserción del inquilino de origen, no un proceso de extracción del inquilino de destino.
• Admite la inserción únicamente de miembros internos del inquilino de origen. No admite la sincronización de usuarios externos desde el inquilino de origen.
• Los usuarios del ámbito de sincronización se configuran en el inquilino de origen.
• La asignación de atributos se configura en el inquilino de origen.
• Se admiten atributos de extensión.
• Los administradores de inquilinos de destino pueden detener una sincronización en cualquier momento.

En la tabla siguiente se muestran las partes de la sincronización entre inquilinos y qué inquilino configuran.

Inquilino	Entre inquilinos Configuración de acceso	Canje automático	Configuración de sincronización configuración	Usuarios en el ámbito
Inquilino de origen		✔️	✔️	✔️
Inquilino de destino	✔️	✔️

Configuración de la sincronización entre inquilinos

La configuración de la sincronización entre inquilinos es de tipo organizativa únicamente de entrada para permitir que el administrador de un inquilino de origen sincronice los usuarios en un inquilino de destino. Esta configuración es una casilla con el nombre Permitir que los usuarios se sincronicen en este inquilino especificado en el inquilino de destino. Esta configuración no afecta a las invitaciones B2B creadas mediante otros procesos, como la invitación manual o la administración de derechos de Microsoft Entra.

Para configurar este valor mediante Microsoft Graph, vea la API de actualización crossTenantIdentitySyncPolicyPartner. Para obtener más información, vea Configuración de la sincronización entre inquilinos.

Configuración de canje automático

La configuración de canje automático es de tipo de confianza organizativa de entrada y salida. De este modo, se canjean automáticamente invitaciones a fin de que los usuarios no tengan que aceptar el aviso de consentimiento la primera vez que acceden al inquilino de destino o al recurso. Esta configuración es una casilla con el siguiente nombre:

• Canjee automáticamente las invitaciones con el inquilino <tenant>

Comparación de la configuración en diferentes escenarios

La configuración de canje automático se aplica a la sincronización entre inquilinos, la colaboración B2B y la conexión directa B2B en las situaciones siguientes:

• Cuando los usuarios se crean en un inquilino de destino mediante la sincronización entre inquilinos.
• Cuando los usuarios se agregan a un inquilino de recursos mediante la colaboración B2B.
• Cuando los usuarios acceden a los recursos de un inquilino de recursos mediante la conexión directa B2B.

En la tabla siguiente se muestra la comparación de esta configuración habilitada en los distintos escenarios:

Artículo	Sincronización entre inquilinos	Colaboración B2B	Conexión directa B2B
Configuración de canje automático	Obligatorio	Opcional	Opcional
Los usuarios reciben un correo electrónico de invitación de colaboración B2B	No	No	N/D
Los usuarios deben aceptar un mensaje de consentimiento	No	No	No
Los usuarios reciben un correo electrónico de notificación de colaboración B2B	No	Sí	N/D

Esta configuración no afecta a las experiencias de consentimiento de la aplicación. Para más información, consulte Experiencia de consentimiento para aplicaciones en Microsoft Entra ID. Esta configuración es compatible con las organizaciones en diferentes entornos en la nube de Microsoft, como Azure commercial y Azure Government, pero actualmente está en versión preliminar. Para obtener más información, vea Configuración de la sincronización entre inquilinos.

¿Cuándo se suprime la solicitud de consentimiento?

La configuración de canje automático solo suprimirá la solicitud de consentimiento y el correo electrónico de invitación si el inquilino de inicio u origen (salida) y el inquilino de destino o recurso (entrada) comprueban esta configuración.

En la tabla siguiente se muestra el comportamiento de la solicitud de consentimiento para los usuarios del inquilino de origen cuando se comprueba la configuración de canje automático para distintas combinaciones de configuración de acceso entre inquilinos.

Inquilino de inicio u origen	Inquilino de recurso o destino	Comportamiento de solicitud de consentimiento para usuarios de inquilinos de origen
Saliente	Entrante
		Suprimida
		No suprimida
		No suprimida
		No suprimida
Entrante	Saliente
		No suprimida
		No suprimida
		No suprimida
		No suprimida

Para configurar esta opción mediante Microsoft Graph, vea la API de Actualización de crossTenantAccessPolicyConfigurationPartner. Para obtener más información, vea Configuración de la sincronización entre inquilinos.

¿Cómo saben los usuarios a qué inquilinos pertenecen?

Para la sincronización entre inquilinos, los usuarios no reciben un correo electrónico ni tienen que aceptar una solicitud de consentimiento. Si los usuarios quieren ver a qué inquilinos pertenecen, pueden abrir su página Mi cuenta y seleccionar Organizaciones. En el Centro de administración de Microsoft Entra, los usuarios pueden abrir la configuración de su portal, ver sus Directorios + suscripciones y cambiar de directorio.

Para obtener más información, incluida la información de privacidad, vea Salir de una organización como usuario externo.

Primeros pasos

Estos son los pasos básicos para empezar a usar la sincronización entre inquilinos.

Paso 1: Definir cómo estructurar los inquilinos de la organización

La sincronización entre inquilinos brinda una solución flexible para permitir la colaboración, pero cada organización es diferente. Por ejemplo, puede tener un inquilino central, inquilinos satélite o una red de inquilinos. La sincronización entre inquilinos admite cualquiera de estas topologías. Para obtener más información, vea Topologías de la sincronización entre inquilinos.

Paso 2: Habilitación de la sincronización entre inquilinos en los inquilinos de destino

En el inquilino de destino donde se crean los usuarios, vaya a la página Configuración de acceso entre inquilinos. Aquí habilitará la sincronización entre inquilinos y la configuración de canje automático B2B mediante la activación de las casillas correspondientes. Para obtener más información, vea Configuración de la sincronización entre inquilinos.

Paso 3: Habilitar la sincronización entre inquilinos en los inquilinos de origen

En cualquier inquilino de origen, vaya a la página Configuración de acceso entre inquilinos y habilite la característica de canje automático B2B. Después, use la página Sincronización entre inquilinos para configurar un trabajo de sincronización entre inquilinos y especifique lo siguiente:

• Qué usuarios quiere sincronizar.
• Qué atributos quiere incluir.
• Cualquier transformación.

Para cualquier persona que haya usado Microsoft Entra ID a fin de aprovisionar identidades en una aplicación SaaS, esta experiencia le resultará familiar. Una vez configurada la sincronización, puede empezar a probar con algunos usuarios y asegurarse de que se creen con todos los atributos que necesita. Una vez completada la prueba, puede agregar rápidamente usuarios adicionales para sincronizarlos e implementarlos en toda la organización. Para obtener más información, vea Configuración de la sincronización entre inquilinos.

Requisitos de licencia

En la tabla siguiente se enumeran las licencias necesarias en función de su escenario.

Escenario	Inquilino de origen	Inquilino de destino
Sincronización entre inquilinos (misma nube)	Licencias de Microsoft Entra ID P1	N/D
Sincronización entre nubes	Microsoft Entra ID Governance o licencias de Microsoft Entra Suite	N/D

Inquilino de origen: cada usuario que esté sincronizado con la sincronización entre inquilinos debe tener una licencia de Microsoft Entra ID P1 en su inquilino principal o de origen. Cada usuario que esté sincronizado con la sincronización entre nubes debe tener una licencia de gobernanza de identificadores de Microsoft Entra o Microsoft Entra Suite en su inquilino principal o de origen. Para obtener más información, consulte Planes y precios de Microsoft Entra y Aspectos básicos de las licencias de gobernanza de identificadores de Microsoft Entra.

Entidad destino: No se requieren licencias para la sincronización entre entidades o la sincronización entre nubes en la entidad destino. Sin embargo, en función de las características que use en el inquilino de destino, es posible que necesite licencias adicionales para esas características usadas en el inquilino de destino. Por ejemplo, a los clientes que han habilitado la facturación de Identificador Externo y que están aprovisionando invitados externos se les puede cobrar según el modelo de facturación de Identificador Externo de Microsoft Entra.

Preguntas más frecuentes

Nubes

Dentro de la misma nube, ¿en qué nubes se puede usar la sincronización entre inquilinos?

• La sincronización entre inquilinos se admite en la nube comercial y Azure Government.

• La sincronización entre inquilinos no es compatible con la nube Microsoft Azure operada por 21Vianet.

  Fuente	Objetivo	Dominios de enlace del portal de Azure
  Azure Commercial	Azure Commercial	portal.azure.com -->portal.azure.com
  Azure Government (servicio de nube de Microsoft para el gobierno)	Azure Government (servicio de nube de Microsoft para el gobierno)	portal.azure.us -->portal.azure.us

¿Se admite la sincronización entre nubes ?

• La sincronización entre diferentes nubes (como de la nube pública a Azure Government) está actualmente en versión preliminar pública.
• Para obtener información sobre la relación entre los entornos de nube de Azure y Microsoft 365 (GCC, GCCH), consulte integración de Microsoft 365.

¿Qué pares de nube se admiten para la sincronización entre nubes?

• La sincronización entre nubes admite estos pares de nube:

  Fuente	Objetivo	Dominios de enlace del portal de Azure
  Azure Commercial	Azure Government (servicio de nube de Microsoft para el gobierno)	portal.azure.com -->portal.azure.us
  Azure Government (servicio de nube de Microsoft para el gobierno)	Azure Commercial	portal.azure.us -->portal.azure.com
  Azure Commercial	Azure operado por 21Vianet (Azure en China)	portal.azure.com -->portal.azure.cn

¿Cuáles son las diferencias entre la sincronización entre inquilinos y la sincronización entre nubes?

• La sincronización entre inquilinos y la sincronización entre nubes se crean con las mismas tecnologías y son fundamentalmente las mismas. La principal diferencia es que la sincronización se produce entre nubes en lugar de dentro de la misma nube.

¿Existen limitaciones para la sincronización entre nubes?

• La sincronización del atributo manager aún no se admite en la sincronización entre nubes.
• Para conocer las limitaciones de la organización multiinquilino, consulte Preguntas más frecuentes sobre la organización multiinquilino.
• Para ver las limitaciones de Microsoft 365 con miembros externos, consulte Colaboración con invitados de otros entornos de nube de Microsoft 365.

Usuarios B2B existentes

¿La sincronización entre inquilinos administrará los usuarios B2B existentes?

• Sí. La sincronización entre inquilinos usa un atributo interno denominado alternativeSecurityIdentifier para hacer coincidir de forma única a un usuario interno en el inquilino de origen con un usuario externo o B2B en el inquilino de destino. La sincronización entre inquilinos puede actualizar los usuarios B2B existentes, lo que garantiza que cada usuario solo tenga una cuenta.
• La sincronización entre inquilinos no puede igualar a un usuario interno del inquilino de origen con un usuario interno del inquilino de destino (tanto de tipo miembro como de tipo invitado).

Frecuencia de sincronización

¿Con qué frecuencia se ejecuta la sincronización entre inquilinos?

• El intervalo de sincronización está fijado actualmente para que comience a intervalos de 40 minutos. La duración de la sincronización varía en función del número de usuarios que hay en el ámbito. Es probable que el ciclo de sincronización inicial tarde mucho más que los siguientes ciclos de sincronización incrementales.

Ámbito

¿Cómo se controla qué se sincroniza en el inquilino de destino?

• En el inquilino de origen, puede controlar qué usuarios se aprovisionan con los filtros basados en atributos o la configuración. También puede controlar qué atributos del objeto de usuario se sincronizan. Para obtener más información, vea Asignación de ámbito a los usuarios o grupos que se van a aprovisionar con filtros de ámbito.

Si se quita un usuario del ámbito de sincronización en un inquilino de origen, ¿la sincronización entre inquilinos lo eliminará temporalmente en el destino?

• Sí. Si se quita un usuario del ámbito de sincronización en un inquilino de origen, la sincronización entre inquilinos lo eliminará temporalmente en el inquilino de destino.

Tipos de objeto

¿Qué tipos de objeto pueden sincronizarse?

• Los usuarios de Microsoft Entra pueden sincronizarse entre inquilinos. (Actualmente no se admiten grupos, dispositivos ni contactos).

¿Qué tipos de usuario pueden sincronizarse?

• Los miembros internos pueden sincronizarse desde inquilinos de origen. Los invitados internos no pueden sincronizarse desde inquilinos de origen.
• Los usuarios pueden sincronizarse con los inquilinos de destino como miembros externos (valor predeterminado) o invitados externos.
• Para obtener más información acerca de las definiciones de UserType, vea Propiedades de un usuario de colaboración B2B de Microsoft Entra.

Tengo usuarios de colaboración B2B existentes. ¿Qué pasará con ellos?

• La sincronización entre inquilinos coincidirá con el usuario y realizará las actualizaciones necesarias en el usuario, como actualizar el nombre para mostrar. De manera predeterminada, UserType no se actualizará de invitado a miembro, pero puede configurar esta opción en las asignaciones de atributos.

Atributos

¿Qué atributos de usuario pueden sincronizarse?

• La sincronización entre inquilinos sincronizará los atributos usados habitualmente en el objeto de usuario de Microsoft Entra ID, incluidos (entre otros) displayName, userPrincipalName y atributos de extensión de directorio.
• La sincronización entre inquilinos admite el aprovisionamiento del atributo manager en la nube comercial de Azure. La sincronización del administrador aún no se admite en la nube de la Administración Pública de EE. UU. Tanto el usuario como su administrador deben estar en el ámbito de la sincronización entre inquilinos para aprovisionar el atributo manager.
  • Para configuraciones de sincronización entre inquilinos creadas después de enero de 2024 con las asignaciones de atributos o esquema predeterminadas:
    • El atributo manager se agregará automáticamente a las asignaciones de atributos.
    • Las actualizaciones de administrador se aplicarán en el ciclo incremental de los usuarios que están realizando cambios (por ejemplo, cambio de administrador). El motor de sincronización no actualiza automáticamente todos los usuarios existentes que se aprovisionaron anteriormente.
    • Para actualizar el administrador para los usuarios existentes que están en el ámbito de aprovisionamiento, puede usar aprovisionamiento a petición para usuarios específicos o realizar un reinicio para aprovisionar el administrador para todos los usuarios.
  • Para configuraciones de sincronización entre inquilinos creadas antes de enero de 2024 con asignaciones de atributos o esquemas personalizados (por ejemplo, ha agregado un atributo a las asignaciones o ha cambiado las asignaciones predeterminadas):
    • Debe agregar el atributo manager a las asignaciones de atributos. Esto desencadenará un reinicio y actualizará todos los usuarios que están en el ámbito del aprovisionamiento. Debe ser una asignación directa del atributo manager en el inquilino de origen al administrador en el inquilino de destino.
  • Si se elimina al responsable de un usuario en el arrendatario de origen y no se asigna ningún nuevo responsable en el arrendatario de origen, el atributo de responsable no se actualizará en el arrendatario de destino.

¿Qué atributos no pueden sincronizarse?

• Los atributos, incluidos (entre otros) fotos, atributos de seguridad personalizados y atributos de usuario fuera del directorio no pueden sincronizarse mediante la sincronización entre inquilinos.

¿Puedo controlar dónde se crean o administran los atributos de usuario?

• La sincronización entre inquilinos no ofrece control directo sobre el origen de autoridad. El usuario y sus atributos se consideran autoritativos en el inquilino de origen. Hay orígenes paralelos de flujos de trabajo de autoridad que evolucionarán el origen de los controles de autoridad para los usuarios hasta el nivel de atributo y un objeto de usuario en el origen podría reflejar en última instancia varios orígenes subyacentes. Para el proceso de inquilino a inquilino, esto se sigue tratando como los valores del inquilino de origen que son autoritativos para el proceso de sincronización (incluso si las partes se originan realmente en otro lugar) en el inquilino de destino. Actualmente, no hay compatibilidad para revertir el origen de autoridad del proceso de sincronización.
• La sincronización entre inquilinos solo admite el origen de autoridad en el nivel de objeto. Esto significa que todos los atributos de un usuario deben proceder del mismo origen, incluidas las credenciales. No es posible invertir el origen de autoridad ni la dirección de federación de un objeto sincronizado.

¿Qué ocurre si se cambian los atributos de un usuario sincronizado en el inquilino de destino?

• La sincronización entre inquilinos no consulta los cambios en el destino. Si no se realizan cambios en el usuario sincronizado en el inquilino de origen, los cambios en los atributos de usuario realizados en el inquilino de destino se conservarán. Pero si se realizan cambios en el usuario en el inquilino de origen, durante el siguiente ciclo de sincronización el usuario del inquilino de destino se actualizará para que coincida con el usuario en el inquilino de origen.

¿Puede el inquilino de destino bloquear manualmente el inicio de sesión de un usuario de inquilino de inicio u origen específico que esté sincronizado?

• Si no se realizan cambios en el usuario sincronizado en el inquilino de origen, la configuración de inicio de sesión de bloqueo en el inquilino de destino se conservará. Si se detecta un cambio en el usuario en el inquilino de origen, la sincronización entre inquilinos volverá a habilitar ese usuario bloqueado para iniciar sesión en el inquilino de destino.

Estructura

¿Puedo sincronizar una red entre varios inquilinos?

• La sincronización entre inquilinos se configura como sincronización entre iguales de una sola dirección, lo que significa que la sincronización se configura entre un inquilino de origen y otro de destino. Se pueden configurar varias instancias de sincronización entre inquilinos para que se sincronicen desde un único origen a varios destinos y desde varios orígenes a un único destino. Pero solo puede existir una instancia de sincronización entre un origen y un destino.
• La sincronización entre inquilinos solo sincroniza los usuarios que son internos para el inquilino de inicio u origen, lo que garantiza que no puede terminar con un bucle en el que un usuario se vuelve a escribir en el mismo inquilino.
• Se admiten varias topologías. Para obtener más información, vea Topologías de la sincronización entre inquilinos.

¿Puedo utilizar la sincronización entre inquilinos entre organizaciones (fuera de mi organización multiinquilino)?

• Por motivos de privacidad, la sincronización entre inquilinos está pensada para su uso dentro de una organización. Se recomienda usar la administración de derechos para invitar a usuarios de colaboración B2B entre organizaciones.

¿Se puede usar la sincronización entre inquilinos para migrar usuarios de un inquilino a otro?

• No. La sincronización entre inquilinos no es una herramienta de migración porque el inquilino de origen se necesita para que los usuarios sincronizados se autentiquen. Además, las migraciones de inquilinos requerirían migrar datos de usuario como, por ejemplo, de SharePoint y OneDrive.

Colaboración B2B

¿Resuelve la sincronización entre inquilinos alguna limitación de colaboración B2B presente?

• Dado que la sincronización entre inquilinos se basa en la tecnología de colaboración B2B existente, se aplican limitaciones existentes. Algunos ejemplos son los siguientes:

  Aplicación o servicio	Limitaciones
  Power BI	- La compatibilidad con el miembro UserType en Power BI se encuentra actualmente en versión preliminar. Para obtener más información, consulte Distribuir contenido de Power BI a usuarios invitados externos con Microsoft Entra B2B.
  Azure Virtual Desktop	- Para ver las limitaciones, consulte Requisitos previos para Azure Virtual Desktop.
  Equipos de Microsoft	- Para ver las limitaciones, consulte Colaborar con invitados de otros entornos en la nube de Microsoft 365.

Conexión directa B2B

¿Cómo se relaciona la sincronización entre inquilinos con la conexión directa B2B?

• La conexión directa B2B es la tecnología de identidad subyacente necesaria para canales compartidos de Teams Connect.
• Se recomienda usar la colaboración B2B para todos los demás escenarios de acceso a aplicaciones entre inquilinos, incluidas las aplicaciones de Microsoft y las que no son de Microsoft.
• La conexión directa B2B y la sincronización entre inquilinos están diseñadas a fin de coexistir, y puede habilitarlas para una amplia cobertura de escenarios entre inquilinos.

Estamos intentando determinar en qué medida necesitaremos usar la sincronización entre inquilinos en nuestra organización multiinquilino. ¿Tiene previsto ampliar la compatibilidad con la conexión directa B2B más allá de Teams Connect?

• No hay planes para ampliar la compatibilidad con la conexión directa B2B más allá de los canales compartidos de Teams Connect.

Microsoft 365

¿Mejora la sincronización entre inquilinos cualquier experiencia del usuario de acceso a aplicaciones entre inquilinos de Microsoft 365?

• La sincronización entre inquilinos utiliza una característica que mejora la experiencia del usuario suprimiendo el primer proceso de solicitud de consentimiento B2B y el proceso de canje en cada inquilino.
• Los usuarios sincronizados tendrán las mismas experiencias entre inquilinos de Microsoft 365 disponibles para cualquier otro usuario de colaboración B2B.

¿La sincronización entre inquilinos permite escenarios de búsqueda de personas en Microsoft 365?

• Sí, la sincronización entre inquilinos puede habilitar la búsqueda de personas en Microsoft 365. Asegúrese de que el atributo showInAddressList esté establecido en True en los usuarios del inquilino de destino. El atributo showInAddressList se establece en True de forma predeterminada en las asignaciones de atributos de sincronización entre inquilinos.
• La sincronización entre inquilinos crea usuarios de colaboración B2B y no crea contactos.

Equipos

¿Mejora la sincronización entre inquilinos alguna experiencia actual de Teams?

• Los usuarios sincronizados tendrán las mismas experiencias entre inquilinos de Microsoft 365 disponibles para cualquier otro usuario de colaboración B2B.

Integración

¿Qué opciones de federación se admiten para los usuarios del inquilino de destino de vuelta al inquilino de origen?

• Para cada usuario interno del inquilino de origen, la sincronización entre inquilinos crea un usuario externo federado (que se usa normalmente en B2B) en el destino. Admite la sincronización de usuarios internos. Esto incluye usuarios internos federados a otros sistemas de identidad mediante la federación de dominio (como, por ejemplo, Servicios de federación de Active Directory (AD FS)). No admite la sincronización de usuarios externos.

¿La sincronización entre inquilinos usa System for Cross-domain Identity Management (SCIM)?

• No. Actualmente, Microsoft Entra ID admite un cliente SCIM, pero no un servidor SCIM. Para obtener más información, consulte Sincronización de SCIM con Microsoft Entra ID.

Desaprovisionamiento

¿La sincronización entre inquilinos admite el desaprovisionamiento de usuarios?

• Sí, cuando se produzcan las acciones siguientes en el inquilino de origen, el usuario se eliminará temporalmente en el inquilino de destino.

  • Eliminación del usuario en el inquilino de origen
  • Anulación de la asignación del usuario de la configuración de sincronización entre inquilinos
  • Quitar el usuario de un grupo asignado a la configuración de sincronización entre inquilinos
  • Un atributo del usuario cambia de tal forma que ya no cumple las condiciones del filtro de alcance definidas en la configuración de sincronización entre inquilinos.

• Si el usuario está bloqueado para iniciar sesión en el inquilino de origen (accountEnabled = false), se le bloqueará el inicio de sesión en el destino. Esto no es una eliminación, sino una actualización de la propiedad accountEnabled.

• Los usuarios no se eliminan de forma reversible de la instancia de destino en este escenario:

  1. Agregue un usuario a un grupo y asígnelo a la configuración de sincronización entre inquilinos en el inquilino de origen.
  2. Aprovisione el usuario a petición o mediante el ciclo incremental.
  3. Actualice el estado habilitado de la cuenta a false en el usuario del inquilino de origen.
  4. Aprovisione el usuario a petición o mediante el ciclo incremental. El estado habilitado de la cuenta se cambia a false en el inquilino de destino.
  5. Quite al usuario del grupo en el entorno de origen.

¿La sincronización entre inquilinos admite la restauración de usuarios?

• Si se restaura el usuario en el inquilino de origen, se reasigna a la aplicación y vuelve a cumplir la condición de ámbito en los 30 días siguientes a la eliminación temporal, se restaurará en el inquilino de destino.
• Los administradores de TI también pueden restaurar manualmente el usuario directamente en el inquilino de destino.

¿Cómo puedo desaprovisionar todos los usuarios que están actualmente en el ámbito de la sincronización entre inquilinos?

• Cancele la asignación de todos los usuarios o grupos de la configuración de sincronización entre inquilinos. Esto desencadenará que todos los usuarios sin asignar, ya sea directamente o a través de la pertenencia a grupos, se desaprovisionen en ciclos de sincronización posteriores. Tenga en cuenta que el inquilino de destino deberá mantener habilitada la directiva de entrada para la sincronización hasta que se complete el desaprovisionamiento. Si el ámbito está establecido en Sincronizar todos los usuarios y grupos, también tendrá que cambiarlo a Sincronizar solo usuarios y grupos asignados. La sincronización entre inquilinos eliminará de forma automática y temporal a los usuarios. Los usuarios se eliminarán de forma automática y permanente después de 30 días o puede optar por eliminarlos de forma permanente y directamente del inquilino de destino. Puede optar por eliminar de forma permanente y directamente en el inquilino de destino o esperar 30 días para que los usuarios se eliminen de forma automática y permanente.

Si la relación de sincronización se pierde, ¿se eliminan los usuarios externos que ha administrado previamente la sincronización entre inquilinos en el inquilino de destino?

• No. Si la relación está rota (por ejemplo, si se elimina la directiva de sincronización entre inquilinos), no se realizan cambios en los usuarios externos que ha administra previamente la sincronización entre inquilinos.

Pasos siguientes

• Topologías para la sincronización entre inquilinos
• Configuración de la sincronización entre inquilinos