Managed Entra
Entra ID decide mil veces al día quién puede acceder a vuestro tenant. Las reglas que lo gobiernan las configuró alguien en el portal hace años, alguien que hoy trabaja en otro sitio. Managed Entra es un Managed Service de glueckkanja AG con el que operamos esas reglas como código: documentadas, monitorizadas, y vosotros sabéis de antemano qué va a cambiar.
El castillo ya no tiene murallas
Durante dos décadas rigió una regla sencilla: quien está en la red corporativa, pertenece a ella. Tres cambios le han quitado toda la base.
- El trabajo se ha idoLos datos viven en Microsoft, las personas trabajan en el tren, en casa, en casa del cliente. La muralla sigue protegiendo el edificio. Solo que ya nadie trabaja allí.
- Cada contraseña es una puerta en la murallaQuien puede autenticarse, está dentro. La red no puede saber si detrás del login está vuestra contable o alguien que compró su contraseña por unos pocos dólares.
- Los atacantes no fuerzan la entrada. Se autenticanLas credenciales robadas son hoy un producto con lista de precios y servicio posventa. El 97 % de los ataques de identidad apuntan a contraseñas. Para el firewall, eso tiene el mismo aspecto que un martes por la mañana cualquiera: alguien iniciando sesión.
La plantilla invisible
Lo que aparece en el sistema de RRHH es visible: personas con expediente, altas, cambios, bajas. La mayor parte no está ahí. Invitados y partners, cuentas de administrador y compartidas, Enterprise Apps y, más recientemente, agentes tienen acceso como cualquier otro, pero sin expediente y sin proceso de baja. El IAM clásico no los conoce, porque la nube nunca le pregunta a RRHH.
Cada una de estas identidades pasa por el mismo punto: Entra ID.
Tres preguntas antes de emitir un token
En Entra ID, Zero Trust es una política: Conditional Access evalúa cada identidad ante cada app con el mismo patrón, empleados e invitados, apps y agentes por igual. Para eso construimos una baseline que aplica a todos, en lugar de un mosaico de excepciones. Cada excepción no documentada es una brecha, y con una basta.
- 1¿Quién eres?Autenticación robusta: Passkeys (FIDO2), Windows Hello for Business, Microsoft Authenticator Passkey. SMS y llamada desaparecen en febrero de 2027 de todas formas.
- 2¿Con qué trabajas?Solo dispositivos que Intune marque como compliant. Una identidad sin dispositivo, como un agente, asume la verificación por sí sola.
- 3¿Cuánto riesgo hay ahora mismo?User Risk, Sign-in Risk, ubicación, sesión. Si algo llama la atención, el acceso se corta de inmediato, sin esperar al siguiente login.
Con una brecha basta
La mejor armadura no sirve de nada si la visera tiene una rendija abierta. En entornos de Entra que han crecido con el tiempo hay muchas: políticas que llevan años en modo audit-only, excepciones que se convirtieron en norma, admins con acceso permanente, invitados sin anfitrión.
Nadie lo decidió así. Fue creciendo porque la identidad siempre fue algo secundario. Por eso nosotros no configuramos Entra. Lo operamos.
Cada cambio sigue el mismo camino
En muchas organizaciones, la configuración del tenant vive en la memoria y los clics de unas pocas personas. En nuestro caso vive en un blueprint que llevamos más de diez años desarrollando y que desde hace tres operamos como código. Cada cambio en vuestro tenant sigue los mismos cinco pasos, incluidos los nuestros propios. Si aun así alguien modifica algo a mano en el portal, Drift Control restaura el estado deseado y os lo notifica.
- 1Pull RequestCada cambio empieza como un Pull Request en el repositorio. En ningún otro sitio.
- 2Revisión por dos personasUna segunda persona de nuestro equipo revisa cada cambio antes de que se ejecute nada.
- 3PlanEl plan muestra línea por línea qué va a cambiar. Si hay desviación, todo se detiene.
- 4AprobaciónSi el cambio no afecta a los usuarios, lo aplicamos y os informamos. En caso contrario, consultamos primero.
- 5DeploymentLa pipeline despliega, deja registro y es reproducible, también en un tenant nuevo.
Por qué cloud-native
La tecnología está ahí. La usamos.
Entra ID e Intune pueden hacer hoy lo que antes requería un centro de datos: los dispositivos llegan al tenant de fábrica, los usuarios se autentican con un passkey y cada acceso lo decide una política, no una VPN. Apostamos exactamente por esta tecnología porque es más segura, requiere menos mantenimiento y mejora mes a mes.
Vuestros servidores de archivos, impresoras y aplicaciones especializadas siguen siendo accesibles. Windows Hello for Business Cloud Trust y Entra Private Access tienden el puente sin que ningún dispositivo necesite ver el Domain Controller. Quien hoy es híbrido recorre el camino con nosotros paso a paso, y casi siempre es más corto de lo que todos pensaban.
- Passkeys en lugar de contraseñasResistentes al phishing, con autenticación en segundos, y el ticket de helpdesk «contraseña olvidada» desaparece.
- Conditional Access en lugar de VPNCada acceso se evalúa, desde donde sea. La red corporativa es un lugar más, no el único.
- Entra ID Join en lugar de HybridUn solo directorio, un estado de dispositivo, sin directivas de grupo peleando con Intune.
- Private Access como puenteLas aplicaciones antiguas siguen siendo accesibles, pero a través de Entra, no a través de la red.
Every time you choose Hybrid Join over Entra Join, an angel loses its wings.
Así aparece en nuestro pitch. Lo decimos con una sonrisa, pero lo decimos siempre.
Qué operamos
Base de licencias: Entra ID P1 (Microsoft 365 E3) para la base. PIM, Access Packages, Access Reviews e ID Protection requieren P2 (Microsoft 365 E5).
Vosotros conocéis a vuestra gente, nosotros operamos el resto
Quién entra, quién sale, quién recibe qué rol: eso lo decidís vosotros o vuestro partner, y así seguirá siendo. Todo lo que hay debajo lo asumimos nosotros: la operación continua del tenant, los usuarios y los accesos, y el fundamento formado por Conditional Access, autenticación y Enterprise Applications, que corre como código e incorpora cada novedad de Microsoft.
Quién entra, quién sale, quién tiene qué rol: eso lo sabéis vosotros, no nosotros.
- User Support
- Identity Lifecycle desde el sistema de RRHH
- Crear y mantener identidades
- Comunicación con partners
La operación continua: monitorizar, alertar, informar e incorporar las novedades de Microsoft.
- Configuración del tenant
- Configuración de usuarios
- Configuración de accesos
- Global Secure Access
El fundamento que nadie quiere mantener a mano y que por eso operamos como código.
- Conditional Access
- Autenticación y autorización
- Cross-Tenant Access
- Enterprise Applications
¿Cuánto queréis delegar?
La misma tecnología en tres niveles. Podéis empezar con TerraProvider. Con Workplace Foundation lo tenéis incluido automáticamente, y con Managed Entra, ambos.
ProductoTerraProviderEl Terraform Provider para Microsoft 365 con el que trabajamos nosotros mismos. Community Edition gratuita hasta 100 usuarios. | SuscripciónWorkplace FoundationNuestro blueprint como suscripción, actualizado de forma continua. El repositorio y la pipeline los operáis vosotros. | Managed ServiceManaged EntraNosotros desplegamos, alertamos e informamos. El repositorio está en nuestro lado, el Technical Account Manager en vuestro calendario. | |
|---|---|---|---|
| Configuración del tenant como código, con Terraform u OpenTofu | incluido | incluido | incluido |
| Blueprint listo: Identity y Conditional Access Baseline, actualizado de forma continua | no incluido | incluido | incluido |
| Operación por nuestra parte: despliegue, alertas, informes y Service Review | no incluido | no incluido | incluido |
| RealmJoin: más de 80 Runbooks para la operación | no incluido | no incluido | incluido |
| Vosotros aportáis | Terraform u OpenTofu, Git y CI/CD, conocimiento profundo de Entra. | Evaluar cambios en el blueprint, definir parámetros y mantener el código propio. | Conocimientos básicos de Entra para el First Level. Sin Terraform, sin Git. |
| Evidencia | Terraform y OpenTofu, Disaster Recovery para la configuración del tenant | 10+ años de blueprint, 150+ releases | Alertas KQL, informe mensual, Technical Account Manager |
- Configuración del tenant como código, con Terraform u OpenTofu
- Blueprint listo: Identity y Conditional Access Baseline, actualizado de forma continua
- Operación por nuestra parte: despliegue, alertas, informes y Service Review
- RealmJoin: más de 80 Runbooks para la operación
Vosotros aportáis: Terraform u OpenTofu, Git y CI/CD, conocimiento profundo de Entra.
Terraform y OpenTofu, Disaster Recovery para la configuración del tenant
- Configuración del tenant como código, con Terraform u OpenTofu
- Blueprint listo: Identity y Conditional Access Baseline, actualizado de forma continua
- Operación por nuestra parte: despliegue, alertas, informes y Service Review
- RealmJoin: más de 80 Runbooks para la operación
Vosotros aportáis: Evaluar cambios en el blueprint, definir parámetros y mantener el código propio.
10+ años de blueprint, 150+ releases
- Configuración del tenant como código, con Terraform u OpenTofu
- Blueprint listo: Identity y Conditional Access Baseline, actualizado de forma continua
- Operación por nuestra parte: despliegue, alertas, informes y Service Review
- RealmJoin: más de 80 Runbooks para la operación
Vosotros aportáis: Conocimientos básicos de Entra para el First Level. Sin Terraform, sin Git.
Alertas KQL, informe mensual, Technical Account Manager
Managed Entra incluye Workplace Foundation y TerraProvider. Quien contrata con nosotros, obtiene los tres.
Vuestro camino hacia Managed Entra
- Kickstarter WorkshopKickstarter WorkshopUn día en vuestras instalaciones: Zero Trust, vuestro blueprint de Conditional Access, Identity Governance. Salís con una imagen objetivo clara.
- ParametrizaciónParametrizaciónDos a cuatro semanas: el blueprint se convierte en vuestro blueprint, con las excepciones que decidís mantener de forma consciente. Todo como código, antes de que nada se ejecute.
- OnboardingOnboardingUn día: SLA, prioridades P1 a P4, escalación, Named Persons en ambos lados. Después el blueprint se despliega en oleadas, primero en Report-only, luego en producción.
- OperaciónOperaciónBase Fee y un precio mensual fijo por usuario, Technical Account Manager, Service Review mensual, Drift Control, Evergreen.
Un día en vuestras instalaciones
Kickstarter Workshop
Antes de construir nada como código, revisamos con vosotros el tenant tal como está hoy. Vosotros traéis el Admin Center y las personas que conocen las excepciones. Nosotros traemos el blueprint.
Zero TrustPrincipioEn qué accesos confiáis hoy sin saberlo.
Conditional AccessBlueprintQué silos necesita vuestro tenant y qué excepciones se mantienen.
Identity GovernanceRoles e invitadosQuién necesita qué rol, durante cuánto tiempo, y quién responde por quién.
Imagen objetivoResultadoUn documento que podéis presentar internamente y una oferta a precio cerrado.
Preguntas que escuchamos en la primera conversación
Respuestas breves. Si vuestra pregunta no está, hacédnosla abajo.
Eso lo gestiona nuestra IT sin ayuda externa.
Para los empleados con expediente, sí, en la mayoría de casos. Para invitados, cuentas de administrador, apps y agentes, casi nadie se siente responsable, y Microsoft cambia las reglas de forma continua. Entra e Intune juntos abarcan 18 áreas en movimiento constante, lo que por nuestra experiencia equivale a entre 1,5 y 3 puestos a tiempo completo. Nosotros operamos muchos tenants con un mismo blueprint y detectamos patrones antes que un equipo aislado.
¿Perdemos el control sobre nuestro tenant?
Vuestro tenant sigue siendo vuestro tenant, los logs se quedan en vuestra infraestructura y cada cambio lo veis de antemano en el plan. Hay una regla, eso sí: los componentes de la Foundation los modificamos exclusivamente nosotros. De lo contrario no sería operación, sino convivencia sin orden.
¿Qué licencias necesitamos?
Entra ID P1, es decir Microsoft 365 E3, para la base. PIM, Access Packages, Access Reviews e ID Protection requieren P2, es decir E5. Las licencias se quedan con vosotros.
Todavía somos híbridos.
Híbrido con Entra Connect Sync no es ningún problema. El Hybrid Join en dispositivos lo sustituimos con Managed Intune, paso a paso.
¿Qué no está incluido?
El soporte a usuarios finales, incluido el registro en MFA. Un modelo de roles para áreas de negocio y la limpieza de permisos antiguos son proyectos propios que podemos llevar a cabo con vosotros. El proceso Joiner-Mover-Leaver del sistema de RRHH se queda en vuestro IAM.
¿Qué pasa si queremos desviarnos del blueprint?
Se convierte en un Custom Override: documentado en el código, decidido de forma consciente. Queda fuera del proceso Evergreen, y os decimos qué implica antes de que lo hagáis.
¿Y los agentes?
Con Agent 365, cada agente recibe su propia identidad en Entra, con sponsor y permisos igual que una persona. Los tratamos como cuentas de administrador: Access Packages, Review, Conditional Access. El alcance dentro del servicio lo estamos definiendo ahora. A un compañero nuevo nadie le da una tarjeta de crédito corporativa sin límite el primer día, y a un agente tampoco debería.
¿Cuánto cuesta Managed Entra?
Una Base Fee más una User Fee por usuario activo y mes. Las Standard Requests y el Monitoring están incluidos; los proyectos van aparte. El Kickstarter Workshop tiene precio cerrado.
Quién trabaja está claro. Queda la pregunta de dónde.
Más sobre el tema
Autopilot Device Preparation se convierte en estándar, Hybrid Join se queda atrás
Desde septiembre, Microsoft recomienda Autopilot Device Preparation como método estándar para los despliegues de Windows controlados por el usuario. El ...
¿Quién ha creado estos agentes?
E7 combina E5, Copilot, la Entra Suite y Agent 365. Pero una licencia no ordena ningún tenant. Quién responde por ...
El fin de la MFA por SMS
Por qué las empresas deben pasar ahora a métodos de autenticación resistentes al phishing y, en lo posible, sin contraseña.
AuthCodeFix aka ConsentFix
Just before year's end, ConsentFix emerges: a clever OAuth-based attack that abuses legitimate authentication flows to steal the authorization code, ...
