Sincronizar grupos con Microsoft Entra ID

Si tu organización ya organiza a su gente en grupos de Microsoft Entra ID, Zoan Cloud puede traerlos: los miembros y el responsable se actualizan solos, y las tareas dirigidas a un grupo llegan a quien esté en él hoy. Quien sale de un grupo en Entra deja de recibir su trabajo en la siguiente sincronización. Si quieres, Zoan Cloud también crea las cuentas de la gente de tus grupos con los roles y ambientes de cada grupo y suspende el acceso de quien sale.

La conexión usa la aplicación de Entra de tu organización, con sus propias claves. Si el inicio de sesión único ya usa una aplicación de Entra, puedes reutilizarla: solo le agregas los permisos de lectura de grupos.

Qué necesitas

• Plan con inicio de sesión único (SSO).
• En Zoan Cloud, permiso para cambiar la configuración de la organización (Propietario o Administrador) y, para elegir y sincronizar grupos, Crear y editar grupos.
• En Entra, alguien que pueda registrar aplicaciones y conceder consentimiento de administrador (por ejemplo, Administrador de aplicaciones o Administrador global).

Permisos de Microsoft Graph

Agrega estos permisos de aplicación (no delegados) de Microsoft Graph y concede el consentimiento de administrador:

Permiso	Para qué	También sirve
GroupMember.Read.All	Leer los grupos, sus miembros y sus propietarios.	Group.Read.All
User.Read.All	Leer el correo, el nombre y el estado (habilitada o no) de cada miembro; con la creación de cuentas, también comprobar sus grupos al iniciar sesión.	—

Directory.Read.All también cubre los dos. Son permisos de solo lectura: Zoan Cloud nunca escribe en tu directorio. Crear cuentas, dar roles y ambientes por grupo y suspender no necesita ningún permiso más.

Paso a paso en Microsoft Entra

1. Registra la aplicación (o reutiliza la del SSO)

1. Entra al centro de administración de Microsoft Entra › Identidad › Aplicaciones › Registros de aplicaciones.
2. Si ya tienes la aplicación del inicio de sesión único, ábrela y sigue en el paso 2. Si no, pulsa Nuevo registro, ponle un nombre (por ejemplo, «Zoan Cloud») y elige Solo cuentas de este directorio organizativo. No hace falta URL de redirección para la sincronización.
3. En Información general, copia el Id. de aplicación (cliente) y el Id. de directorio (inquilino).

2. Agrega los permisos

1. En la aplicación, abre Permisos de API › Agregar un permiso › Microsoft Graph › Permisos de aplicación.
2. Busca y marca GroupMember.Read.All y User.Read.All. Pulsa Agregar permisos.

3. Concede el consentimiento de administrador

En Permisos de API, pulsa Conceder consentimiento de administrador para <tu organización> y confirma. La columna Estado debe decir Concedido en los dos permisos.

4. Crea el secreto

1. Abre Certificados y secretos › Secretos de cliente › Nuevo secreto de cliente.
2. Elige la vigencia (Entra permite hasta 24 meses) y pulsa Agregar.
3. Copia el Valor del secreto en ese momento (Entra no lo vuelve a mostrar). Ojo: el valor, no el Id. del secreto.
4. Anota la fecha de vencimiento: Zoan Cloud te avisa 30 días antes.

Si reutilizas la aplicación del SSO, no necesitas otro secreto: Zoan Cloud usa el que ya tiene guardado para el inicio de sesión.

Paso a paso en Zoan Cloud

1. Entra a Administración › Organización y SSO y busca Grupos de Microsoft Entra ID. Pulsa Conectar.
2. Si el SSO es de Entra, marca Usar la aplicación del inicio de sesión (SSO). Si no, escribe el Id del directorio, el Id de la aplicación y el Valor del secreto, y opcionalmente la fecha en que vence.
3. Elige cada cuánto sincronizar (cada hora por defecto; o solo manual).
4. Pulsa Guardar y verificar. Zoan Cloud pide acceso con la aplicación y te dice si tiene los permisos o cuál falta exactamente. Puedes repetirlo cuando quieras con Verificar permisos.
5. En Grupos sincronizados, busca el grupo por su nombre y pulsa Sincronizar. El grupo aparece en Administración › Grupos con origen Microsoft Entra ID y sus miembros de inmediato.

El secreto se guarda cifrado y no se vuelve a mostrar. Para cambiarlo, edita la conexión y escribe el nuevo valor; vacío conserva el actual.

Cómo se sincroniza

• Miembros: los miembros del grupo en Entra, incluidos los de grupos anidados. Cada uno se reconoce por su correo o su nombre principal (UPN) frente a las personas activas de tu organización.
• Sin cuenta: quien está en Entra pero no en Zoan Cloud aparece en el detalle del grupo como Sin cuenta en Zoan Cloud, con Invitar; al aceptar la invitación, entra al grupo en la siguiente sincronización. Con Crear cuentas encendida, en cambio, su cuenta se crea sola.
• Responsable: los propietarios del grupo en Entra que tienen cuenta. Si prefieres elegirlo en Zoan Cloud, agrégalo en el detalle del grupo; Tomarlo de Entra vuelve a usar los propietarios.
• Solo lectura: el nombre y los miembros de un grupo sincronizado se cambian en Entra.
• Cuándo: según el intervalo que elegiste, y cuando pulses Sincronizar ahora. Las cuentas deshabilitadas en Entra no cuentan.
• Bitácora: Últimas sincronizaciones muestra cada pasada (manual o programada), cuántas personas entraron y salieron, cuentas nuevas, suspendidas, reactivadas, licencias sin cupo, accesos a ambientes dados y quitados, y cualquier error. Cada sincronización queda además en la auditoría, igual que cada cuenta creada (user.provisioned), suspendida (user.suspended) o reactivada (user.reactivated).

Si un grupo se borra en Entra, conserva sus miembros actuales en Zoan Cloud y se marca con el aviso; Dejar de sincronizar lo quita. Si la aplicación pierde el acceso (secreto vencido, consentimiento retirado), la sincronización se detiene sin tocar a nadie y el estado de la conexión muestra el motivo.

Crear las cuentas desde Entra

Con la opción Crear cuentas para los miembros de los grupos sincronizados (apagada por defecto), Zoan Cloud da de alta solo a la gente de tus grupos: en cada sincronización, quien está en un grupo sincronizado y no tiene cuenta en tu organización recibe una, con su correo (o UPN), nombre y apellido tal como están en Entra. Así incorporas a un equipo entero sin invitar persona por persona, y Entra sigue siendo el lugar donde decides quién entra.

• Entran con Microsoft: las cuentas creadas así no tienen contraseña de Zoan Cloud; inician sesión con el botón de Microsoft del inicio de sesión único. Por eso la opción exige que tu organización inicie sesión con Microsoft Entra ID, del mismo directorio que la conexión. Si no lo tienes configurado, la opción aparece deshabilitada con el motivo.
• Gestionadas por Microsoft Entra: en Usuarios se marcan con Gestionado por Microsoft Entra; su nombre y correo vienen de Entra.
• Bienvenida (opcional): marca Enviar un correo de bienvenida con el enlace de inicio de sesión si quieres que reciban el enlace. No se envían invitaciones ni contraseñas.
• Roles: los que da cada grupo (ver abajo). Si sus grupos no dan ninguno, reciben el rol por defecto del inicio de sesión único, igual que el alta al primer acceso.
• Ambientes: los que da cada grupo. Entran y ya ven dónde trabajar, sin esperar a que un administrador les dé acceso.
• Licencias: nunca se asignan solas. Solo si el grupo da una licencia de forma explícita, y siempre dentro del cupo de tu plan: si no queda cupo, la persona se crea sin licencia y la sincronización lo anota en Últimas sincronizaciones.
• Cuántas por pasada: hasta 500 cuentas nuevas en cada sincronización; las demás, en la siguiente.

Ver qué cambiaría

Antes de activar la opción, o en cualquier momento, pulsa Ver qué cambiaría: Zoan Cloud consulta Entra y te muestra lo que haría la próxima sincronización, sin aplicar nada: cuentas nuevas (con sus roles y ambientes), quién entra y sale de cada grupo, cambios de rol, de licencia y de acceso a ambientes, suspensiones, reactivaciones y las suspensiones que esperarían tu confirmación.

Roles y ambientes por grupo

En el detalle de un grupo sincronizado (Administración › Grupos), Lo que reciben sus miembros › Cambiar te deja elegir uno o varios roles, si quieres una licencia, y los Ambientes a los que entran. Lo reciben todas las personas del grupo con cuenta, también las que invitaste a mano.

• Los roles y ambientes que da un grupo quedan marcados De Microsoft Entra en el acceso de la persona. No se quitan a mano: se quitan sacando a la persona del grupo en Entra o quitándolos del grupo.
• Lo que un administrador asignó a mano nunca lo quita la sincronización. Si una persona ya entraba a un ambiente por asignación manual, lo sigue teniendo como manual.
• Si una persona sale del grupo, pierde los roles y ambientes que le daba ese grupo, salvo que otro de sus grupos le dé lo mismo.
• En los ambientes que da un grupo, cada persona trabaja con sus roles. Todas las carpetas se puede marcar a mano en su acceso; si el grupo deja de darle ese ambiente, se va con él.
• Solo se eligen ambientes activos. Si archivas un ambiente, la sincronización no da ni quita su acceso mientras siga archivado; al reactivarlo, vuelve a sincronizarse.
• Owner y Administrador entran a todos los ambientes: no hace falta dárselos por grupo.
• El rol Owner no se da por grupo: se asigna a mano a cada persona, así un cambio en Entra nunca deja a tu organización sin Owner.
• Para cambiar lo que da un grupo necesitas Crear y editar grupos y poder asignar roles, y solo puedes dar los roles, licencias y ambientes que tú podrías asignar: si no eres Owner ni Administrador, solo los ambientes donde tú trabajas, y solo si con sus roles los miembros del grupo no podrían hacer ahí más que tú. Los cambios se aplican en la siguiente sincronización.
• Un rol que administra la organización (por ejemplo, Administrador) no se puede dar por un grupo de Microsoft 365 público, al que cualquiera del directorio se une solo: usa un grupo de seguridad.
• Si una sola sincronización quitaría roles, licencias o ambientes de Entra a muchas personas a la vez (por ejemplo, porque un grupo quedó vacío por error), no los quita: Ver qué cambiaría lo muestra y quien puede cambiar roles y quitar personas lo confirma con Sincronizar y quitarlos.
• Con la creación de cuentas encendida, o si el grupo da roles, licencias o ambientes, dejar de sincronizarlo o eliminarlo exige también poder cambiar roles y quitar personas.

Cuando alguien sale

Con la opción de crear cuentas encendida, si una persona gestionada por Microsoft Entra sale de todos los grupos sincronizados, o su cuenta está deshabilitada en Entra, su acceso se suspende en la siguiente sincronización:

• No puede iniciar sesión y sus sesiones abiertas se cierran. No recibe trabajo nuevo de sus grupos.
• No se borra nada: su historial, sus tareas y sus datos siguen ahí. Sus tareas abiertas quedan visibles para quien administra tareas, que las puede reasignar; los Owner y Administradores reciben un aviso (en la campana y por correo) con cuántas tareas tenía cada persona.
• Si vuelve a un grupo sincronizado con la cuenta habilitada, se reactiva sola en la siguiente sincronización (o al iniciar sesión).
• Las personas que invitaste a mano no se suspenden por esto: solo pierden los roles y ambientes que les daban los grupos.

Para que un error en Entra no deje a tu organización sin quien la administre, algunas suspensiones esperan tu confirmación en lugar de aplicarse solas:

• la de un Owner;
• la de quien configuró la conexión o activó la opción;
• todas, cuando una sola sincronización suspendería a muchas personas a la vez (más de 3, o más de la cuarta parte de las cuentas gestionadas por Entra).

Mientras esperan, esas personas conservan sus roles y ambientes. Aparecen en la conexión con Suspender; confirmarlas exige poder quitar personas de la organización. Nadie puede suspenderse a sí mismo, y siempre queda al menos un Owner activo. Si un grupo no se puede leer en Entra en esa pasada, no se suspende a nadie.

En Usuarios, una persona suspendida se ve como Suspendido y tiene Reactivar. Si la gestiona Entra y sigue fuera de los grupos, la siguiente sincronización la vuelve a suspender.

Alta al iniciar sesión

Con la opción encendida, alguien que entra por primera vez con el botón de Microsoft no necesita esperar la sincronización: Zoan Cloud consulta Entra en ese momento y, si está en un grupo sincronizado, crea su cuenta con los roles y ambientes de sus grupos y entra.

Si no está en ningún grupo sincronizado, depende de Al entrar con Microsoft, solo los miembros de un grupo sincronizado tienen cuenta nueva (marcada por defecto):

• Marcada: no entra, con un mensaje claro para que pida que lo agreguen al grupo.
• Desmarcada: sigue la regla del inicio de sesión único: si tienes Crear usuarios automáticamente al primer acceso, se crea con el rol por defecto (sin gestionarla Entra); si no, necesita invitación.

¿Cuál opción uso?

Quiero…	Configura
Que solo entren las personas de ciertos grupos de Entra, con roles y ambientes según su grupo, y que pierdan el acceso al salir	Crear cuentas para los miembros de los grupos sincronizados, con roles y ambientes por grupo.
Que entre cualquiera de mi dominio con un mismo rol	En el inicio de sesión único, Crear usuarios automáticamente al primer acceso.
Decidir persona por persona	Ninguna de las dos: invita desde Usuarios (pueden entrar con Microsoft igual).

Problemas comunes

Mensaje	Qué hacer
Falta el permiso de aplicación User.Read.All…	Agrega el permiso que dice y concede el consentimiento de administrador (pasos 2 y 3).
El secreto de la aplicación no es válido	Copiaste el Id. del secreto en lugar del valor, o se escribió mal. Crea uno nuevo y pega su Valor.
El secreto de la aplicación venció	Crea un secreto nuevo en Entra y cárgalo al editar la conexión.
No hay una aplicación con ese id en este directorio	Revisa el Id de la aplicación y el del directorio.
Falta el consentimiento de administrador	Pulsa Conceder consentimiento de administrador en Permisos de API.
Para crear cuentas desde Microsoft Entra ID, la organización debe iniciar sesión con Microsoft Entra ID…	Configura y activa el inicio de sesión único con Entra.
El inicio de sesión único usa otro directorio…	La conexión y el SSO deben ser del mismo directorio de Entra. Lo más simple: Usar la aplicación del inicio de sesión (SSO).
Tu cuenta de Microsoft no pertenece a ningún grupo habilitado… (al iniciar sesión)	Agrega a la persona a un grupo sincronizado en Entra, o invítala desde Usuarios.

Siguientes pasos

• Grupos, destinatarios y suplencias
• Mi cuenta y Organización y SSO