En este post vamos a ver como realizar copias de seguridad y restauraciones de Microsoft Entra ID con Veeam Backup & Replication.

Microsoft Entra ID anteriormente era conocido como Azure Active Directory, es la solución integrada de identidad y acceso a la nube utilizada por Microsoft.

• Lo primero que vamos a realizar es agregar el inquilino de Microsoft Entra ID a Veeam Backup & Replication, para ello, accedemos a Inventory > Microsoft Entra ID > Add Microsoft Entra ID Tenant:

• Sobre Tenant, añadimos el ID de nuestro inquilino de MS Entra ID, le damos una descripción y seleccionamos el repositorio para la Cache:

• Para saber cuál es el ID de nuestro inquilino de MS Entra ID, accedemos al portal de Microsoft Entra ID y sobre Identidad > Información general lo podemos ver y copiar:

• Sobre Account Type, creamos una nueva cuenta:

• Sobre Authentication, nos copiamos el código que nos ha dado Veeam y accedemos a la web indicada de Microsoft:

• Copiamos el código y siguiente:

• Seleccionamos la cuenta con la que vamos a acceder, debe de ser un administrador global de Microsoft Entra ID:

• Continuamos:

• Y nos indica que ya podemos cerrar la ventana:

• Ahora volvemos de nuevo a nuestro servidor de Veeam y continuamos, Apply:

• Sobre Apply, podemos ver que se ha agregado correctamente:

• Sobre Summary, nos muestra un resumen y finalizamos:

• Como podemos ver, ya tenemos nuestro tenant de Microsoft Entra ID, agregado:

• Si accedemos al portal del Centro de administración de Microsoft Entra, y nos vamos a Identidad > Aplicaciones > Registro de aplicaciones, podemos ver, que ya tenemos añadido nuestro Veeam:

• Ahora vamos a crear los trabajos de backups, hay dos tipos de trabajos de copia de seguridad disponibles, copia de seguridad del inquilino y copia de seguridad del registro de auditoría, empezaremos por la copia de seguridad del inquilino:

• Sobre Name, le indicamos un nombre y una descripción:

• Sobre Tenant, le indicamos el inquilino y los días de retención:

• Sobre Schedule, vamos a programar la tarea, todos los días a las 11 de la noche:

• Sobre Summary, nos muestra un resumen de todo lo que hemos configurado, le indicamos que inicie la tarea cuando demos a finalizar:

• Aquí podemos ver, que se ha iniciado la tarea:

• Como podemos ver, la copia de seguridad se ha realizado correctamente:

• Ahora vamos a configurar la copia de seguridad del registro de auditoría:

• Sobre Name, le indicamos un nombre y una descripción:

• Sobre Tenant, le indicamos el inquilino:

• Sobre Storage, le indicamos el repositorio y los días de retención:

• Sobre Schedule, vamos a programar la tarea, todos los días a las 11:30 de la noche:

• Sobre Summary, nos muestra un resumen de todo lo que hemos configurado y finalizamos:

• Aquí podemos ver, la tarea programada, la lanzamos para hacer un backup, pulsando Start:

• Aquí vemos el progreso del backup:

• Como podemos ver, la copia de seguridad se ha realizado correctamente:

• Una vez que ya tenemos los trabajos de copias de seguridad configurados y alguna copia hecha, vamos a ver como restaurar varios usuarios de Microsoft Entra ID que hayamos eliminado por equivocación, eliminamos estos tres usuarios:

• Ahora, en nuestro servidor de Veeam Backup, accedemos a Home > Backups > Disk, seleccionamos la copia del inquilino de Entra ID y damos a Restore:

• Seleccionamos los tres usuarios que queremos recuperar, y damos a Restore > Full restore:

• Sobre Users, seleccionamos los tres usuarios y el punto de restauración:

• Sobre Logon, copiamos el código que nos ha dado y acedemos a la web que nos indica:

• Introducimos el código:

• Seleccionamos la cuenta con la que vamos a acceder, debe de ser un administrador global de Microsoft Entra ID:

• Estos son los permisos que solicita, aceptamos:

• Nos indica que ya hemos iniciado sesión y podemos cerrar la ventana:

• Si volvemos a nuestro servidor de Veeam, en Logon, nos indica que ya estamos logueados, clic en siguiente:

• Sobre Options, le indicamos que sobrescriba los objetos, ya que están totalmente eliminados, le asignamos un password, y que lo cambien y que lo cambien en el primer inicio de sesión:

• Sobre Reason, podemos indicar un comentario a la restauración:

• Sobre Summary, nos muestra un resumen de todo lo que hemos ido realizando:

• Confirmamos:

• Aquí vemos que los tres usuarios se han restaurado correctamente:

• Si accedemos al Centro de administración de Microsoft Entra ID, vemos que ya tenemos los tres usuarios restaurados:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear un grupo de seguridad en Azure Active Directory y le vamos a asignar usuarios dinámicamente cuando cumplan una determinada condición, en este caso, deben de cumplir que el usuario tenga como País o región España.

• Como podemos ver, este usuario, tiene como País o región España:

• Ahora nos creamos un nuevo grupo:

• Le indicamos como Tipo de grupo Seguridad, le damos un nombre al grupo, como Tipo de pertenencia le indicamos Usuario dinámico y Agregamos una consulta dinámica:

• En la consulta dinámica le indicamos que todos los usuarios que tengan en sus propiedades como país España van a pertenecer a este grupo, aquí podemos jugar con los tipos de consultas que nos interesen, incluso unir varias consultas con los operadores AND (Y) y OR (O):

• Creamos el grupo:

• Una vez creado el grupo, si accedemos a los miembros, podemos ver, que el usuario que creamos anteriormente con las propiedades del país en España se ha agregado de forma dinámica al grupo:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la integración con la autenticación de Azure Active Directory en máquinas virtuales Windows.

• Para ello, cuando estamos creando la máquina virtual, sobre Administración > Azure AD marcamos el check, para así habilitar esta opción, cuando hacemos esto, el check de Identidad > Identidad administrada asignada por el sistema se marca automáticamente, como podemos observar, nos indica, que una vez este la máquina desplegada, debemos de configurar las asignaciones de roles de Azure, para los usuarios que están autorizados para iniciar sesión en la máquina virtual:

• Aquí tenemos ya la máquina virtual creada:

• Ahora si accedemos a Extensiones + aplicaciones podemos observar cómo nos ha añadido la extensión AADLoginForWindows:

• Ahora que hemos creado la máquina virtual, debemos de configurar la directiva de Azure RBAC para determinar quién puede iniciar sesión en ella. Para autorizar el inicio de sesión de una VM se usan dos roles de Azure:
• Inicio de sesión de administrador de Virtual Machine, los usuarios que tienen asignado este rol pueden iniciar sesión en una máquina virtual de Azure con privilegios de administrador.
• Inicio de sesión de usuario de Virtual Machine, los usuarios que tienen asignado este rol pueden iniciar sesión en una máquina virtual de Azure con privilegios de usuario habitual.
• En nuestro caso, nos vamos a crear dos grupos, a los cuales les vamos a asignar el rol de Inicio de sesión de administrador de Virtual Machine a uno de ellos y al otro el de Inicio de sesión de usuario de Virtual Machine:

• Una vez creados los grupos, vamos a añadir los miembros a cada uno de ellos:

• Creados los grupos con sus miembros, ahora vamos a configurar el control de acceso y los roles, para ello, nos vamos a la Máquina virtual > Control de acceso (IAM) > Asignación de roles > Agregar y cómo podemos ver, a uno de los grupos le hemos asignado el rol de Inicio de sesión de administrador de Virtual Machine y al otro el rol de Inicio de sesión de usuario de Virtual Machine:

• Ahora desde otra máquina unida a AADLoginForWindows podemos iniciar sesión por RDP en esta máquina con los usuarios que hemos añadido a los grupos, por ejemplo, aquí tenemos esta máquina virtual unida a AADLoginForWindows, pues desde esta máquina vamos a acceder a la otra con los dos usuarios que hemos añadido a cada grupo, uno con permisos de administrador y el otro con permisos de usuario:

• Vamos a acceder primero con el usuario con permisos de administrador:

• Ahora vamos a acceder con el usuario con permisos de usuario normal:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo crear y configurar un dominio administrado de Azure Active Directory Domain Services, los servicios de dominio de Azure Active Directory (Azure AD DS) proporcionan servicios de dominio administrados como unión de dominio, directiva de grupo, LDAP, autenticación Kerberos / NTLM que es totalmente compatible con Windows Server Active Directory. Nosotros consumiremos estos servicios de dominio, sin implementar, administrar ni aplicar parches a los controladores de dominio. Azure AD DS se integra con el inquilino de Azure AD existente. Esta integración permite a los usuarios iniciar sesión con sus credenciales corporativas, y podremos usar grupos y cuentas de usuario existentes para proteger el acceso a los recursos.

Para entendernos, podemos decir, que esta es la parte de PaaS (Plataforma como Servicio) de nuestros controladores de dominio en Windows Server.

Para implementar Azure AD DS necesitamos:

• Una suscripción de Azure activa.
• Un inquilino de Azure Active Directory asociado con su suscripción, ya sea sincronizado con un directorio local o un directorio solo en la
• Privilegios de administrador global en el inquilino de Azure AD para habilitar Azure AD DS.
• Privilegios de colaborador en la suscripción de Azure para crear los recursos necesarios de Azure AD DS.
• Una red virtual con servidores DNS que pueden consultar la infraestructura necesaria, como el almacenamiento. Los servidores DNS que no pueden realizar consultas generales de Internet pueden impedir la capacidad de crear un dominio administrado.

• Lo primero que vamos a realizar será crearnos nuestro dominio administrado, para ello, desde Azure portal accedemos a Azure Active Directory> Información general > Azure AD Domain Services:

• Sobre Azure AD Domain Services damos a Crear Azure AD Domain Services:

• Sobre Datos básicos le indicamos la Suscripción y nos creamos un nuevo Grupo de recursos, le indicamos el Nombre de dominio DNS, la Región y el SKU y como Tipo de bosque seleccionamos Usuario, este tipo de bosque sincroniza todos los objetos de Azure AD, incluidas las cuentas de usuario creadas en un entorno de AD DS local, clic en Siguiente:

• Sobre Redes nos creamos una nueva Red virtual con una subred que ocupa todo el rango de direcciones, en este caso 192.168.254.0/24:

• Sobre Administración seleccionamos Administrar pertenencia al grupo e incluiremos los miembros que van a ser los Administradores de Azure Active Directory Domain Services:

• Agregamos los miembros que nos interesen y Siguiente:

• Sobre Sincronización seleccionamos el Tipo de sincronización, en este caso Todo, clic en Siguiente:

• Sobre Configuración de seguridad lo dejamos todo por defecto, clic en Siguiente:

• Sobre Etiquetas las podemos configurar ahora o a posteriori, en mi caso, no vamos a configurar ninguna en este momento, ya dedicaremos un post a las Etiquetas, que como veremos pueden ser muy útiles, clic en Siguiente:

• Sobre Revisar y crear nos muestra un resumen de todo lo configurado, clic en Crear:

• Aceptamos:

• Podemos ver que la implementación se ha completado correctamente:

• Si accedemos al grupo de recursos que nos creamos anteriormente, podemos ver todos los recursos que se han creado:

• Si accedemos al recurso Azure AD Domain Services, sobre información general, podemos ver, que el estado del dominio está En ejecución:

• Como podemos ver se muestra una advertencia que debemos corregir, pulsamos sobre la flecha:

• Ejecutamos el diagnóstico:

• El diagnóstico nos indica que debemos de establecer la configuración del servidor DNS de direcciones IP de servicio de dominios administrados 192.168.254.4,192.168.254.5 para las redes virtuales West Europe/aadds-vnet, estas dos direcciones IP podemos decir que son los dos controladores de dominio de nuestra PaaS, clic a Corregir:

• De nuevo nos indica los problemas detectados (Registros de DNS) y como solucionarlo, clic sobre Corregir:

• Si accedemos a Redes Virtuales > aadds-vnet > Servidores DNS, podemos ver que se han agregado:

• Si accedemos a Redes Virtuales > aadds-vnet > Información general, podemos ver los Dispositivos conectados:

• Si accedemos de nuevo a nuestro domino administrado de Azure AD DS, podemos ver los dos pasos de configuración necesarios que nos quedan, que son Habilitar la sincronización de hash de contraseñas de Azure AD Domain Services tanto para los usuarios de la nube como los usuarios de nuestro Active Directory local, esto lo vamos a ver en posts posteriores:

Saludos y espero que os resulte de ayuda

En este post vamos a ver los Usuarios, Grupos y Roles administrativos de Azure Active Directory.

• Para el acceder a los Usuarios, Grupos y Roles administrativos accedemos a Azure Active Directory y sobre la columna Administrar podemos encontrarlos para empezar su gestión y administración:

• Vamos a empezar por los Usuarios, que como ya hemos visto podemos tener usuarios locales, que son los que creamos directamente sobre el portal de Azure, y también podemos tener usuarios vinculados de un dominio Active Directory desplegado y configurado sobre un Windows Server, sobre esta parte vamos a poder gestionar y administrar nuestros usuarios de Azure AD, es decir, vamos a poder crear nuevos usuarios, eliminarlos, restablecer las contraseñas, etc…:

• Podemos ver los usuarios que hemos eliminado recientemente, y que van a permanecer durante 30 días, pasado este periodo van a ser eliminados definitivamente, podemos hacer una restauración masiva, que nos va a restaurar todos los usuarios que se encuentren como eliminados, y podemos seleccionar cualquier usuario y restaurarlo, todo ello, antes de los 30 días de su eliminación:

• Vamos a poder Restablecer la contraseña de nuestros usuarios, para ello, necesitamos un servicio de Azure Active Directory Premium, por lo que debemos de pasar por caja y se la irán cobrando de nuestra suscripción:

• Sobre Configuración de usuario vamos a tener distintas opciones generales sobre los usuarios de Azure AD, como son el registro de aplicaciones, y si los usuarios van a poder acceder al portal de Azure, aunque el acceso no esté restringido para el acceso al portal, para que un usuario pueda administrar el portal de Azure, deberá de tener los roles específicos para poder hacerlo:

• Ahora vamos a ver los Grupos que básicamente, es la misma filosofía que hemos seguido siempre con los grupos de un Active Directory en un Windows Server, es decir, nos creamos los grupos y dentro de ellos agregamos los usuarios que nos vayan interesando, luego iremos asignando permisos a estos grupos según nos interese, así tendremos una administración de nuestro sistema mucho más organizada y escalable a lo largo del tiempo:

• Si nos creamos un Nuevo grupo podemos ver que pueden ser del tipo Seguridad y Microsoft 365.
• Seguridad, se usa para administrar el acceso de miembros y del equipo a los recursos compartidos de un grupo de usuarios. Por ejemplo, puede crear un grupo de seguridad para una directiva de seguridad específica. De esta forma, puede conceder una serie de permisos a todos los miembros a la vez, en lugar de tener que agregar permisos a cada miembro individualmente. Un grupo de seguridad puede tener usuarios, dispositivos, grupos y entidades de servicio como miembros y usuarios y entidades de servicio como propietarios.
• Microsoft 365, ofrece oportunidades de colaboración al conceder acceso a los miembros a un correo compartido, calendarios, archivos, el sitio de SharePoint y mucho más. Esta opción también permite ofrecer a personas de fuera de su organización acceso al grupo. Un grupo de Microsoft 365 solo puede tener usuarios como miembros. Tanto los usuarios como las entidades de servicio pueden ser propietarios de registros de Microsoft 365.

Fuente: Microsoft Docs

• Aquí podemos ver un Grupo creado y todas sus opciones, dónde podemos ver sus propiedades, los miembros del grupo, propietarios, la asignación de roles, etc…:

• Para terminar, vamos a ver los Roles y administradores, en Azure Active Directory, si otro administrador o no administrador necesita administrar los recursos de Azure AD, se les asigna un rol de Azure AD que les proporcione los permisos que necesitan. Por ejemplo, podemos asignar roles para permitir la adición o modificación de usuarios, el restablecimiento de contraseñas de usuario, la administración de licencias de usuario o la administración de nombres de dominio, como podemos ver tenemos una granularidad impresionante con todos los roles integrados que vienen en Azure Active Directory, estos roles podemos asignarlos a usuarios para darles los permisos y los accesos necesarios que necesiten sobre la infraestructura de Azure, para crear roles personalizados necesitamos contratar un servicio Premium de Azure AD, el costo de este servicio irá asociado a nuestra suscripción:

• Veamos un ejemplo, vamos a ver el rol de Administrador global, este rol podemos decir que es el equivalente al rol de Administradores del dominio en Windows Server, tenemos las asignaciones, dónde vamos a ir agregando los usuarios que queremos que tengan este rol, desde aquí también podemos quitar estas asignaciones:

• Si nos vamos a Descripción podemos ver un resumen de lo que significa este rol y los permisos que tiene:

• Con estos roles predeterminados de Azure AD podemos realizar prácticamente toda la administración de permisos y controles de acceso de nuestra infraestructura de Azure, iremos añadiendo usuarios a estos roles según nos vaya interesando y según queramos ir añadiendo funcionalidades a nuestros usuarios, como podemos ver tenemos una gran cantidad de roles para ello:

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar y configurar Azure AD Connect, esta herramienta nos va a permitir sincronizar nuestros usuarios del Active Directory en un entorno de dominio Windows Server con Azure Active Directory.

Nos ofrece las siguientes características:

• Sincronización de hash de contraseñas, un método de inicio de sesión que sincroniza el hash de la contraseña de un usuario de AD local con Azure AD.
• Autenticación de paso a través, un método de inicio de sesión que permite a los usuarios usar la misma contraseña de forma local y en la nube, pero que no requiere la infraestructura adicional de un entorno federado.
• Integración de federación, la federación es una parte opcional de Azure AD Connect y puede utilizarse para configurar un entorno híbrido mediante una infraestructura local de AD FS. También proporciona funcionalidades de administración de AD FS, como la renovación de certificados e implementaciones de servidor de AD FS adicionales.
• Sincronización, responsable de la creación de usuarios, grupos y otros objetos. También de asegurar que la información de identidad de los usuarios y los grupos de su entorno local coincide con la de la nube. Esta sincronización también incluye los códigos hash de contraseña.
• Seguimiento de estado, Azure AD Connect Health puede proporcionar una sólida supervisión y una ubicación central en Azure Portal donde se puede ver esta actividad.

Fuente: Microsoft Docs

• Como buena práctica, vamos a instalar Azure AD Connect en un servidor miembro de nuestro dominio y con conexión a Internet, y NO en un controlador de dominio, lo podemos hacer, pero lo recomendable es NO hacerlo, lo instalaremos en este servidor entonces, este servidor es el que utilizamos como Windows Admin Center:

• Ahora nos vamos a nuestro portal de Azure, y accedemos a Azure Active Directory > Nombre de dominio personalizado > Nuestro domino empresarial:

• Una vez que hemos accedido a nuestro dominio, vamos a Descargar Azure AD Connect:

• Como podemos ver ya lo tenemos descargado:

• Procedemos entonces a su instalación, aceptamos el EULA y Continuar:

• Aquí nos muestra las configuraciones que se van a realizar con Azure AD Connect y las sincronizaciones entre nuestro Active Directory local y nuestro Azure Active Directory, seleccionamos Usar la configuración rápida:

• Para conectar con Azure AD, introducimos las credenciales de una cuenta con el rol de Administrador global:

• Aquí podemos ver que este usuario tiene el rol de Administrador global en Azure:

• Para conectar con nuestro Active Directory local introducimos las credenciales de un Administrador de empresa de Active Directory Domain Services:

• Como podemos ver, este usuario pertenece al grupo Administradores de empresa de nuestro Active Directory local:

• Para el Inicio de sesión de Azure, podemos ver que nuestro dominio empresarial está comprobado, marcamos el check Continuar sin relacionar todos los sufijos UPN con los dominios verificados, clic en Siguiente:

• Sobre Configurar nos muestra los pasos y los procesos que se van a realizar durante la instalación, desmarcamos el check Inicie el proceso de sincronización cuando se complete la configuración, ya que la sincronización la vamos a configurar más adelante, clic sobre Instalar:

• Comienza con la instalación:

• Como podemos ver se ha instalado correctamente:

• Una vez instalado, abrimos la aplicación Azure AD Connect, para configurar las opciones que nos interesen:

• Damos clic a Configurar:

• Vamos a Personalizar las opciones de sincronización, ya que ahora mismo, estamos sincronizando nuestro Active Directory local al completo, clic en Siguiente:

• Volvemos a Conectar con Azure AD, para ello, introducimos las credenciales de una cuenta con el rol de Administrador global, clic en Siguiente:

• Sobre Conectar directorios podemos ver que ya tenemos conectado nuestro Active Directory local, clic en Siguiente:

• Sobre Filtrado de dominios y unidades organizativas, vamos a sincronizar solamente las unidades organizativas que nos interesen, en este caso, hemos elegido la OU AzureAD, clic en Siguiente:

• Sobre las Características opcionales vamos a dejar todo lo que viene por defecto y vamos a marcar el check de Reescritura de contraseñas para que los cambios de contraseñas que se originen en Azure AD se reescriban en el Active Directory local, clic en siguiente:

• Comienza el proceso de configuración:

• En Configurar, nos muestra las opciones que van a implementar, marcamos el check Inicie el proceso de sincronización cuando se complete la configuración, clic sobre Configurar:

• Como podemos ver todo se ha configurado correctamente, clic en Salir:

• Ahora si accedemos a nuestro portal de Azure, sobre Azure Active Directory > Usuarios, podemos ver que los usuarios de la Unidad Organizativa que hemos configurado para sincronizar con AzureAD ya los tenemos en el portal:

• Si nos fijamos en la columna Origen, podemos ver el origen de los usuarios y los que sincronizan con nuestro Active Directory local los marca como Windows Server AD:

• Ahora para comprobar la sincronización, sobre el servidor dónde hemos instalado Azure AD Connect, nos abrimos la herramienta Synchronization Service:

• Esta herramienta nos muestra todas las tareas de sincronización que se han realizado entre Windows Server AD y Azure AD, incluyendo toda la información, como las cuentas que se han creado, eliminado, etc…:

• Con esta herramienta también vamos a poder forzar la sincronización entre Windows Server AD y Azure AD, para ello, sobre Connectors seleccionamos el conector que queremos sincronizar y sobre Run o Ctrl+F5 lo ejecutamos:

• Con este comando de PowerShell también vamos a poder sincronizar nuestro Windows Server AD con Azure AD, Start-ADSyncSyncCycle -PolicyType Delta
• Vamos a ver un ejemplo, hemos creado este nuevo usuario en Windows Server AD:

• Ahora nos vamos a nuestro servidor Azure AD Connect, nos abrimos un PowerShell con permisos de administrador y ejecutamos el comando para forzar la sincronización, que como vemos ha sido correcto:

• Si nos vamos a la herramienta Synchronization Service Manager, podemos ver, como este nuevo usuario se ha sincronizado correctamente con nuestro Azure AD:

• Aquí vemos ya el nuevo usuario en Azure AD:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo cambiar el sufijo UPN (User Principal Name) a nuestros usuarios del Active Directory local para sincronizarlos con Azure Active Directory, vamos a ver dos formas de hacerlo, una de ellas manual sobre la misma configuración de la cuenta de usuario y otra con un script de PowerShell que nos va a automatizar esta tarea.

• Vamos a ver primero la primera opción que es la manual, directamente sobre la configuración de la cuenta de usuario, para ello, desde la consola de Usuarios y equipos de Active Directory nos abrimos las propiedades del usuario que queremos modificar:

• Sobre la pestaña Cuenta cambiamos el sufijo UPN principal del usuario y seleccionamos el que hemos configurado en nuestro Azure Active Directory, guardamos los cambios:

• Este usuario ya estaría listo para ser sincronizado con nuestro Azure Active Directory a través de Azure AD Connect, para los demás usuarios que queramos sincronizar debemos de realizar la misma operación.

• Nos creamos el grupo de seguridad global AzureAD y añadimos como miembros a todos los usuarios a los que le hemos cambiado el sufijo UPN por el configurado en Azure, ya que Azure AD Connect lo vamos a configurar para sincronizarlo con una Unidad Organizativa y además que sólo sincronice los usuarios que pertenezcan a este grupo:

• Ahora imaginemos que tenemos que cambiarle el sufijo UPN a miles de usuarios, esto sería una tarea bastante tediosa, aburrida y que nos llevaría bastante tiempo, pues para eso tenemos PowerShell, para automatizar este tipo de tareas.

• En nuestro caso, vamos a cambiar el sufijo UPN, de todos los usuarios que se encuentran en la Unidad Organizativa AzureAD, que como podemos ver tiene el UPN local:

• Para ello, vamos a utilizar este script realizado por Jair Gómez, que nos explica cómo utilizarlo en su curso, Implementación de soluciones en Microsoft Azure el cuál recomiendo que hagan si están empezando con la plataforma Cloud de Microsoft, desde aquí pueden descargarlo:

• Ejecutamos el script:

• Y cómo podemos ver, el sufijo UPN de todos los usuarios de esta Unidad Organizativa ha cambiado del local al que hemos configurado en Azure Active Directory:

Saludos y espero que os resulte de ayuda

En este post vamos a ver como configurar un dominio personalizado (utilizaremos nuestro dominio empresarial), en Azure Active Directory, y una vez que tengamos este dominio operativo, vamos a configurar el sufijo UPN (User Principal Name) en nuestro Active Directory de Windows Server, esto lo vamos a realizar ya que en un post posterior vamos a sincronizar nuestro Active Directory local con AzureAD, utilizando la herramienta Azure AD Connect.

• Para configurar nuestro dominio personalizado, desde Azure Active Directory, accedemos a Nombres de domino personalizados:

• Como podemos ver, nos muestra el dominio inicial que configuramos cuando desplegamos un nuevo inquilino (nombredenuestrempresa.onmicrosoft.com), para añadir un dominio personalizado, nos vamos a Agregar un dominio personalizado:

• Introducimos el nombre de nuestro dominio empresarial y que tenemos comprado a un proveedor de dominios en Internet, y agregamos el dominio:

• Una vez agregado nuestro dominio, nos va a mostrar, el tipo de registro TXT que tenemos que crear en nuestro DNS público (el que hemos comprado al proveedor de dominios en Internet), una vez que lo hemos registrado, damos a clic a Comprobar, así verifica Azure que este dominio pertenece a nosotros:

• Aquí vemos cómo se añade el registro TXT en nuestro DNS público:

• Una vez comprobado, podemos ver que ya tenemos nuestro dominio empresarial personalizado configurado y listo para usarlo:

• Ahora sobre Información general > Cambiar inquilino vamos a convertirlo en el inquilino predeterminado:

• Vamos a realizar una prueba creando un usuario nuevo, así vamos a ver como ya nos asigna el sufijo DNS de nuestro dominio personalizado, para ello, accedemos a Usuarios > Nuevo usuario:

• Configuramos los datos de la identidad y la contraseña, creamos el usuario:

• Aquí vemos el usuario creado con nuestro dominio personalizado:

• Con esto ya tendríamos nuestro dominio personalizado, configurado en Azure Active Directory, ahora este dominio lo vamos a agregar como sufijo UPN (User Principal Name) en nuestro Active Directory local (el de Windows Server de toda la vida), para ello, vamos a acceder a cualquiera de nuestros controladores de dominio y nos abrimos la consola de Dominios y confianzas de Active Directory:

• Sobre Dominios y confianzas de Active Directory nos abrimos las Propiedades:

• Y agregamos el sufijo UPN alternativo, que en este caso va a ser el dominio personalizado que hemos configurado en Azure Active Directory:

• Una vez agregado, guardamos los cambios:

• Ahora si nos abrimos la consola de Usuarios y equipos de Active Directory y accedemos a las propiedades de cualquiera de nuestros usuarios, podemos ver que podemos configurar el sufijo UPN local y el sufijo UPN alternativo para utilizarlo con Azure Active Directory, para que las cuentas de los usuarios se sincronicen con Azure Active Directory a través de Azure AD Connect (que lo vamos a ver más adelante) debemos de tener configurado como UPN principal en la cuenta del usuario, el dominio personalizado de Azure:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo crear un nuevo inquilino en Azure Active Directory, un inquilino representa a una organización y se trata de una instancia dedicada de Azure Active Directory, cada inquilino es distinto e independiente de los demás inquilinos de Azure AD y cada uno maneja sus propias identidades.

• Para empezar, accedemos al portal de Azure con el usuario que hemos dado de alta para obtener una cuenta de Microsoft:

• Podemos ver el usuario con el que hemos iniciado sesión, que nos muestra el DIRECTORIO PREDETERMINADO, damos clic a Azure Active Directory:

• Sobre Información general vamos a Crear un inquilino, que será nuestra organización:

• Seleccionamos la opción Básico > Azure Active Directory > Siguiente:

• Sobre Configuración le indicamos el nombre de nuestra organización, el nombre de dominio inicial, que más tarde vamos a configurar con un dominio personalizado empresarial y el país o región:

• Sobre Revisión y creación nos muestra un resumen, nos indica que ha superado la validación, y damos clic a Crear para terminar:

• Aquí vemos que ya tenemos nuestro nuevo inquilino creado, y como nombre de dominio asociado, tenemos el que hemos configurado como inicial, nombredenuestrempresa.onmicrosoft.com, más tarde vamos a cambiarlo a un dominio personalizado empresarial:

• Ahora vamos a conmutar a este nuevo inquilino, y cómo podemos ver, tenemos una nueva instancia de Azure Active Directory completamente independiente de las demás instancias:

• Si nos vamos a los Usuarios, podemos ver, que el usuario principal con el que nos hemos registrado en Microsoft siempre lo mantiene entre instancias, pero los nuevos que nos vayamos creando, solo van a aparecer en esta instancia:

Saludos y espero que os resulte de ayuda

En los siguientes posts vamos a hablar de Azure Active Directory (Azure AD)

Azure Active Directory es un servicio de administración de identidades y acceso basado en la nube de Microsoft, que nos va a permitir iniciar sesión y acceder a recursos como Microsoft 365, Azure Portal, aplicaciones SaaS (Software como Servicio), por ejemplo, office 365, a recursos internos como aplicaciones corporativas, aplicaciones en la nube desarrolladas por nuestra propia organización.

Tenemos distintas opciones para implementar Azure Active Directory (Fuente: Microsoft Docs):

• Azure Active Directory Free, proporciona administración de grupos y usuarios, sincronización de directorios locales, informes básicos, cambio de contraseñas de autoservicio para usuarios en la nube e inicio de sesión único en Azure, Microsoft 365 y muchas aplicaciones SaaS populares.
• Azure Active Directory Premium P1, además de las características de la versión Free, P1 también permite a los usuarios de entornos híbridos acceder a recursos locales y en la nube. También admite la administración avanzada, como grupos dinámicos, administración de grupos de autoservicio, Microsoft Identity Manager (un conjunto de administración local de identidades y acceso) y funcionalidades de reescritura en la nube, que permiten el restablecimiento de contraseña de autoservicio a los usuarios locales.
• Azure Active Directory Premium P2, además de las características de las licencias Free y P1, la licencia P2 ofrece también Azure Active Directory Identity Protection, que proporciona acceso condicional basado en riesgos a sus aplicaciones y datos críticos de la compañía, y Privileged Identity Management, que permite detectar, restringir y supervisar los administradores y su acceso a los recursos, además de proporcionar acceso Just-In-Time cuando sea necesario.
• Licencias de la característica de «Pago por uso», también puede obtener licencias de características adicionales, como Azure Active Directory Business-to-Customer (B2C). B2C puede ayudarle a proporcionar soluciones de administración de acceso y de identidad para las aplicaciones orientadas al cliente.

Azure Active Directory NO es el Active Directory de Windows Server, es un servicio independiente del Active Directory que estamos acostumbrados a gestionar y administrar en un Windows Server, aunque si vamos a poder sincronizar ambos directorios con herramientas que Microsoft nos proporciona y que ya veremos más adelante.

Fuente esquema AzureAD y WSAD: Curso Implementación de soluciones en Microsoft Azure impartido por Jair Gómez

Este post lo vamos a dividir en varias partes:

• Crear inquilino
• Nombre de dominio personalizado en Azure Active Directory y sufijo UPN (User Principal Name) en Active Directory Windows Server
• Cambiar sufijo UPN a Usuarios de una Unidad Organizativa de Active Directory
• Instalación y configuración de Azure AD Connect
• Usuarios, Grupos y Roles Administrativos

Saludos y espero que os resulte de ayuda