Cómo configurar una organización multiinquilino en Microsoft 365
Las organizaciones multiinquilino en Microsoft 365 le permiten crear confianza entre dos o más inquilinos para crear una mejor experiencia de comunicación interna entre usuarios que son miembros de diferentes inquilinos.
La idea detrás de esto es que cada inquilino sea propiedad de la organización y confíe en ella, lo que le permitirá brindar una experiencia perfecta sin la necesidad de esfuerzos de migración intrusivos.
En este tutorial, le mostraré cómo configurar una organización multiinquilino paso a paso en Microsoft 365, además de demostrarle la experiencia del usuario final y enseñarle lo que sucede detrás de escena.
¿Qué es una organización multiinquilino en Microsoft 365?
La característica de organización multiinquilino en Microsoft 365 le permite formar un grupo de confianza de inquilinos dentro de su organización. Cuando crea una nueva organización multiinquilino. para cada inquilino que se agrega, se forma una relación de confianza y cualquier transferencia de información entre los inquilinos se rige por la configuración de acceso entre inquilinos configurada en Microsoft Entra.
La siguiente imagen representa la topología básica de una organización multiinquilino:
Cuando crea una organización multiinquilino, el inquilino para el que inició sesión cuando la creó se convierte en el propietario de la organización. Otros inquilinos de la organización se consideran inquilinos miembros. De cualquier manera, la sincronización se puede realizar de salida y aceptarse de entrada desde cualquier inquilino, según la configuración que configure. Desde la perspectiva del usuario final, no importa qué inquilino sea el propietario de la organización multiinquilino.
Casos de uso para utilizar una organización multiinquilino
Configurar una organización multiinquilino es sin duda una solución moderna para las empresas modernas. Tradicionalmente, en el caso de fusiones de empresas, por ejemplo, la solución a la que recurrir cuando se necesita colaboración entre organizaciones dentro de un grupo sería una migración de inquilino a inquilino, reuniendo todos los recursos en un solo inquilino.
Dependiendo del tamaño de ese inquilino, una migración de inquilino a inquilino a menudo implicaría mucho estrés, dinero e interrupción del servicio. Sin embargo, a menudo se sufrieron esfuerzos para simplificar el control continuo, la gobernanza y el cumplimiento y la confianza de los datos críticos a largo plazo.
Hoy en día, especialmente gracias a las funciones de organización multiinquilino, todas estas cosas se pueden mantener fácilmente mientras cada inquilino de la empresa permanece separado. Esto no sólo reduce los costes de consultoría y la interrupción de los servicios, sino que también simplifica el control de costes y la gestión de recursos gracias a la separación física.
En casi todos los casos de uso de organizaciones multiinquilino, varios inquilinos son (y deberían ser) propiedad de la empresa. Esto se debe a que los usuarios sincronizados son tratados como miembros de una organización, en lugar de miembros invitados externos.
Puede validar que esto sea cierto ejecutando el siguiente comando, utilizando el ID de su usuario sincronizado:
Get-MgBetaUser -UserId %userid% | Select UserPrincipalName, UserTypeSus resultados deberían verse como los siguientes:
Requisitos previos
Para completar los pasos de esta guía y configurar su propia organización multiinquilino, deberá asegurarse de cumplir con los siguientes requisitos tanto para el inquilino propietario (principal) como para los inquilinos miembros.
- Licencia mínima de Microsoft Entra ID P1 (anteriormente Azure Active Directory P1)
- La función de Administrador de seguridad para configurar el acceso entre inquilinos
- El rol de Administrador global para dar consentimiento a los permisos
Cómo configurar una organización multiinquilino
Continúe siguiendo los pasos a continuación para configurar su propia organización multiinquilino.
Paso 1: crear una nueva organización multiinquilino
Comience iniciando sesión en el inquilino propietario como administrador global. Este inquilino se convertirá en su inquilino principal y también en el inquilino propietario de la relación de organización multiinquilino.
Una vez que haya iniciado sesión, siga los pasos a continuación:
1. Desde admin.microsoft.com, expanda Configuración y seleccione Configuración de la organización > Perfil de la organización > Colaboración multiinquilino . .
2. Haga clic en Comenzar, seleccione Crear una nueva organización multiinquilino y haga clic en Siguiente.
3. En la página de detalles de la organización, ingrese el nombre de su organización multiinquilino y también el TenantID de cualquier inquilino miembro al que desee unirse. organización multiinquilino.
4. En la página de configuración de sincronización, habilite ambas opciones y haga clic en Siguiente.
Al permitir que los usuarios se sincronicen con este inquilino desde otros inquilinos, simplemente se asegura de que, cuando esté habilitado, se puedan crear usuarios en este inquilino; esto no iniciará automáticamente la sincronización cuando estas configuraciones estén habilitadas. También puede dejar esta configuración desactivada si no desea que se creen usuarios en este inquilino.
Además, asegúrese de marcar la casilla para suprimir las solicitudes de consentimiento; esto garantizará que cuando los miembros intenten acceder a los recursos, ya se haya otorgado el consentimiento a los usuarios miembros. Esto garantizará una buena experiencia de usuario para los usuarios miembros de un inquilino.
5. Revise la configuración en la página final y haga clic en Crear organización multiinquilino.
Paso 2: Únase a la organización multiinquilino
Una vez que el inquilino miembro se haya agregado al inquilino principal (o propietario), desde el inquilino miembro, deberá unirse a una organización multiinquilino existente. Siga los pasos a continuación para unirse a la organización multiinquilino.
1. Desde admin.microsoft.com, expanda Configuración y seleccione Configuración de la organización > Perfil de la organización > Colaboración multiinquilino .
2. Haga clic en Comenzar y seleccione Unirse a una organización multiinquilino existente. Ingrese el ID de inquilino del inquilino principal (propietario) y seleccione ambas casillas de verificación para permitir a los usuarios sincronizar y suprimir las solicitudes de consentimiento.
Una vez que seleccione unirse a la organización Multitenant, verá la siguiente página en la página de configuración de colaboración Multitenant:
Esto puede aparecer durante uno o dos minutos y luego, cuando actualice, verá la siguiente página:
¿No puedes unirte a la organización Multitenant?
Por algún motivo, no puede unirse a la organización multiinquilino a través del centro de administración de Microsoft 365; por ejemplo, si recibe un mensaje de error genérico, debe unirse usando Microsoft Graph PowerShell.
Comience conectándose a Microsoft Graph PowerShell con los siguientes alcances de permisos recomendados: (Asegúrese de conectarse al inquilino miembro)
Connect-MgGraph -scopes MultiTenantOrganization.ReadWrite.All, `
Policy.Read.All, `
Policy.ReadWrite.CrossTenantAccess, `
Application.ReadWrite.All, `
Directory.ReadWrite.AllUtilice la siguiente secuencia de comandos para unirse a la organización multiinquilino: (Asegúrese de reemplazar el ID del inquilino del propietario por el ID de su inquilino principal).
$uri = "https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/joinRequest"
$body = @'
{
"addedByTenantId": "Owner tenant ID"
}
'@
Invoke-MgGraphRequest -uri $uri -body $body -Method PATCH -ContentType "application/json"Puedes comprobar que esto ha funcionado con los siguientes comandos:
$uri = "https://graph.microsoft.com/beta/tenantRelationships/multiTenantOrganization/joinRequest"
Invoke-MgGraphRequest -uri $uri -Method GETSi su inquilino miembro se ha unido con éxito a la organización multiinquilino, debería recibir la siguiente respuesta:
Paso 3: Sincronice usuarios en su organización multiinquilino
Una vez establecida la relación de su organización multiinquilino, deberá configurar la sincronización de usuarios entre sus inquilinos. Los usuarios sincronizados entre inquilinos de esta manera se sincronizarán como usuarios miembros en lugar de usuarios invitados. Como miembros de los inquilinos relacionados, tendrán una mejor experiencia de colaboración ya que estarán representados como usuarios dentro de su organización.
Siga los pasos a continuación para habilitar la sincronización de usuarios:
1. Desde admin.microsoft.com, expanda Configuración y seleccione Configuración de la organización > Perfil de la organización > Colaboración multiinquilino .
2. En la página de colaboración multiinquilino, seleccione Compartir usuarios.
3. En el cuadro de texto, escriba el nombre de los usuarios o grupos que desea sincronizar desde el inquilino con el que inició sesión actualmente hasta el inquilino asociado y haga clic en Guardar.
Es importante que agregue sus usuarios y grupos compartidos mediante el método anterior (la configuración de la organización de Microsoft 365), ya que la sincronización se habilitará automáticamente. Si modifica manualmente la configuración de sincronización entre inquilinos, la sincronización del usuario no se realizará automáticamente.
Ahora que la sincronización está habilitada, puede confirmar que la sincronización inicial se completó exitosamente haciendo clic en el inquilino de destino desde su página de colaboración Multiinquilino y viendo el estado de sincronización del directorio como se resalta a continuación.
Desde el inquilino de destino, los usuarios sincronizados ahora serán visibles en su lista de usuarios:
La experiencia del usuario final para organizaciones multiinquilino
Una vez que los usuarios se sincronicen con su inquilino, o viceversa, podrá buscarlos a través de Microsoft Teams y aparecerán como miembros estándar de su organización.
Por ejemplo, a continuación, inicié sesión como miembro del propietario (inquilino principal) con el que se sincroniza la identidad del usuario John Smith (de un inquilino miembro). Cuando busco al usuario John Smith a través de Teams, aparece como un usuario de Internet estándar.
Cuando abro la tarjeta de contacto de John Smith en Microsoft Teams, su dirección de contacto demuestra que es un usuario externo ya que no coincide con uno de los dominios aceptados por los inquilinos propietarios.
Por otro lado, si inicio sesión como el usuario John Smith, puedo cambiar muy rápidamente qué organización estoy viendo en Microsoft Teams desde el ícono de perfil en la parte superior derecha, resaltado en naranja a continuación.
También puedo cambiar individualmente mi estado de presencia dentro de cada inquilino con el que estoy sincronizado, como se resalta en violeta a continuación.
Además, si John Smith necesitara comunicarse con cada inquilino al mismo tiempo, podría abrir una ventana de chat en su inquilino principal, luego cambiar al inquilino miembro y continuar comunicándose en ambos al mismo tiempo.
Revisión de la configuración de la organización multiinquilino a través de Microsoft Entra
Cuando configura su organización multiinquilino a través del centro de administración de Microsoft 365, las configuraciones de sincronización entre inquilinos se configuran automáticamente a través del centro de administración de Microsoft Entra. La configuración de sincronización de ross-tenant facilita la sincronización de usuarios entre cada inquilino miembro del MTO y la configuración de acceso entre inquilinos también define la configuración de confianza entre los miembros del MTO.
Cada configuración de sincronización entre inquilinos también tiene una entidad de servicio relacionada que coincide con el inquilino miembro con el que está sincronizado. Veamos cada una de estas configuraciones...
Sincronización entre inquilinos
La configuración de sincronización entre inquilinos se crea automáticamente cuando crea su organización multiinquilino desde el centro de administración de Microsoft 365. Puede encontrar esta configuración iniciando sesión en Microsoft Entra y seleccionando Identidad > Identidades externas > Sincronización entre inquilinos > < fuerte>Configuraciones.
Una vez que haga clic en su configuración de MTO, podrá ver los usuarios y grupos previamente asignados. Como método alternativo para asignar usuarios a través del centro de administración de Microsoft 365, también puede agregar y eliminar usuarios o grupos sincronizados desde aquí.
También se crea automáticamente una entidad de servicio relacionada en Microsoft Entra que coincide con el nombre de su configuración de sincronización entre inquilinos. Los usuarios asignados a su configuración (según la captura de pantalla anterior) también se asignarán a la entidad principal de servicio. Puede ver esto expandiendo Aplicaciones desde el centro de administración de Microsoft Entra y seleccionando Aplicaciones empresariales. Luego haga clic en la aplicación con el nombre correspondiente.
Es importante destacar que su configuración de sincronización entre inquilinos contendrá registros de provisiones relacionados con la sincronización, creación y modificación de cuentas de usuarios entre sus directorios sincronizados.
Configuración de acceso entre inquilinos
Cuando su configuración multiinquilino se configura automáticamente, las configuraciones de acceso entre inquilinos también se aprovisionan automáticamente para respaldar la colaboración entre inquilinos. Puede ver esta configuración iniciando sesión en Microsoft Entra y seleccionando Identidad > Identidades externas > Configuración de acceso entre inquilinos. > Configuración de acceso entre inquilinos.
En la imagen a continuación, puede ver que se han configurado las configuraciones de acceso entrante y saliente para la organización asociada.
Desde aquí, debes verificar la configuración de confianza entrante para esta organización. Seleccione Configurado en Acceso entrante y luego seleccione Configuración de confianza.
De forma predeterminada, se seleccionará la configuración predeterminada; si no se han realizado cambios aquí, los reclamos en acceso condicional de su inquilino miembro no se aceptarán en este inquilino. Le recomiendo que personalice estas configuraciones y marque qué casillas se aplican a usted.
La casilla resaltada arriba en verde ya debería estar seleccionada, pero si no lo está, asegúrese de que la casilla Canjear automáticamente invitaciones con el inquilino "nombre del inquilino" esté marcada.