Cómo convertir usuarios invitados de Azure B2B en miembros mientras se mantiene la colaboración del usuario

El desafío de hoy

Los proyectos de integración y migración entre inquilinos utilizan cada vez más usuarios invitados de Azure B2B como parte de la funcionalidad de la cuenta de empresa a empresa (B2B) de Microsoft para proporcionar una experiencia de colaboración más rica durante la etapa de coexistencia de un proyecto de migración.

Durante un evento de fusión y adquisición (M&A), las organizaciones empresariales asignarán algunos usuarios como cuentas de invitado B2B para que los equipos de ambas organizaciones puedan compartir y administrar información durante la integración empresarial y tecnológica.

Durante estos eventos, los administradores o usuarios internos invitarán a diferentes personas de las organizaciones adquiridas a participar en debates, programar reuniones y compartir datos de Microsoft Teams, Grupos y sitios de SharePoint. Estos usuarios externos que ahora tienen cuentas de invitado B2B en su directorio eventualmente deberán migrarse. Pero antes de eso, se necesitarán licencias para crear sus buzones de correo y contenedores de OneDrive en SharePoint antes de poder migrar cualquier dato.

Esto es un problema para las cuentas de invitados B2B, ya que no reconocen que tienen licencia y no pueden poseer un buzón en Exchange Online. Se podría eliminar la cuenta de invitado y crear una cuenta nueva con licencia, pero se perderían todos los permisos previamente asignados a los archivos y recursos compartidos, lo que causa otros problemas con la capacidad de respuesta del correo electrónico y las identidades almacenadas en caché. Y si se vuelve a crear la cuenta, el usuario final se verá obligado a administrar dos conjuntos de credenciales hasta que se migren por completo si desea seguir colaborando con los miembros del equipo de la organización adquirente.

Entonces, ¿cómo preservamos los permisos y seguimos colaborando sin administrar dos conjuntos de credenciales mientras preparamos la cuenta de usuario para las migraciones de datos?

La solución actual

¡La respuesta simple es la conversión! Este blog describe cómo convertir sus cuentas de invitados invitados existentes en una cuenta de miembro estándar para mantener los permisos asignados actuales, actualizar el UPN y otorgar licencias a las cuentas para prepararse para las migraciones de datos. Y, por último, demostraré cómo la experiencia de acceso y colaboración para el usuario sigue siendo la misma hasta que finaliza la migración.

Cómo convertir usuarios invitados B2B de Azure en miembros B2B

Actualmente, Microsoft admite invitar a usuarios internos a la colaboración B2B, donde permanecen como tipo de usuario miembro. Básicamente, eso es lo que demostraré aquí, pero en un orden diferente. En lugar de comenzar como Usuario miembro y luego enviar una invitación, comenzaremos como Usuario invitado pero terminaremos como Usuario miembro . que fue originalmente invitado a la colaboración B2B; Nos referiremos a este tipo de usuario como Miembro B2B.

El proceso de conversión es un proceso de varios pasos que se puede ejecutar a través de PowerShell y el script que cree debe constar de las acciones clave que se describen en el resto de este artículo. Los siguientes comandos son solo ejemplos de cómo ejecutar estas acciones contra un solo usuario. Asegúrese de tener los permisos adecuados y de haber instalado los módulos de PowerShell, AzureAD y MSOnline adecuados para completar estos pasos.

Comience iniciando sesión en su inquilino de Microsoft 365 de destino con PowerShell donde reside actualmente la cuenta de Invitado. Antes de comenzar, querrás obtener el ID de objeto de la cuenta de Invitado específica que vas a convertir en miembro B2B.

Obtener el ID del objeto invitado
Para encontrar el ID del objeto del directorio externo del usuario invitado determinado, ejecute este comando:

Get-User -UserPrincipleName 
"JaneDoe_contoso.com#EXT#@contoso.onmicrosoft.com" | select 
ExternalDirectoryObjectId

Actualizar tipo de usuario
Para modificar el tipo de usuario de Invitado a Miembro, ejecute este comando:

Set-AzureADUser -objectid <ExternalDirectoryObjectId> -UserType “Member”

Actualizar UPN
Para modificar el ID de inicio de sesión del formato Invitado a un formato estándar, ejecute este comando:

Set-MsolUserPrincipalName -UserPrincipalName 
"JaneDoe_contoso.com#EXT#@contoso.onmicrosoft.com" -NewUserPrincipalName 
"janedoe@contoso.com"

Establecer la ubicación de uso
Antes de asignar un plan de suscripción, la cuenta debe tener asignada una ubicación de uso. Para hacerlo, ejecute este comando:

Set-MsolUser -UserPrincipalName janedoe@contoso.com -UsageLocation "US"

Establecer una contraseña predeterminada
Para generar una contraseña predeterminada aleatoria y obligar al usuario a cambiarla en el siguiente inicio de sesión, ejecute este comando:

Set-MsolUserPassword -UserPrincipalName "janedoe@contoso.com" -
ForceChangePassword $true

*Consejo: esta acción se puede ejecutar durante el evento de transición final si así lo desea. Si su organización utiliza administración de identidades híbrida, le recomiendo que sincronice sus contraseñas de Active Directory para facilitar el proceso a sus usuarios durante el evento de transición.

Cuenta de licencia
Para establecer un plan de suscripción para un usuario, en este ejemplo un E3 Enterprise Pack, ejecute este comando. La mayoría de las soluciones de migración contemporáneas requieren que el usuario tenga una licencia antes de realizar la migración de datos, con algunas excepciones que utilizan herramientas nativas.

Set-MsolUserLicense -UserPrincipalName "janedoe@contoso.com" -AddLicenses 
"contoso:ENTERPRISEPACK"

Una vez que se completen las acciones anteriores contra los usuarios designados, estarán casi listos para comenzar las migraciones. Exchange Online debe terminar de adquirir el buzón y el contenedor de OneDrive debe aprovisionarse manualmente o utilizando la herramienta de migración elegida.

Las tomas de antes y después

A continuación, echemos un vistazo a los cambios realizados en la cuenta de usuario desde la perspectiva de Azure AD. Durante mis pruebas, utilicé una cuenta de Invitado sólo en la nube, no híbrida, aunque el principio es el mismo en ambos casos.

La Figura 1 muestra la cuenta de Invitado que fue invitada a participar en la colaboración B2B y la invitación fue aceptada. También tenga en cuenta que el Tipo de usuario está configurado como Invitado y que el Nombre principal del usuario tiene el formato según cómo se inició la cuenta:

La Figura 2 ilustra la misma cuenta de usuario después de ejecutar la conversión. Se actualizó el Tipo de Usuario, se estandarizó el UPN y el estado de la invitación sigue siendo el mismo:

¿Cómo es la experiencia del usuario?

Para ilustrar cómo el acceso de un usuario a recursos compartidos entre inquilinos de Microsoft 365 no se interrumpe durante este proceso, usemos un ejemplo de un usuario invitado que colabora en Teams.

La Figura 3 muestra a nuestra usuaria de ejemplo, Jane Doe, como invitada dondequiera que se muestre su nombre. Jane puede cambiar fácilmente entre organizaciones como se ilustra en el panel derecho. Actualmente, está en un equipo ubicado en el inquilino de Microsoft 365 de destino donde finalmente se migrará. Si Jane quiere volver a conectarse a sus equipos de origen, puede volver a cambiar fácilmente entre organizaciones:

En la figura 4, Jane pasó de ser un usuario invitado B2B de Azure a un miembro B2B. Para ella no hay mucha diferencia: ya no verá la palabra "Invitado" junto a su nombre, pero aparte de eso, no estará al tanto de los cambios que se realizaron en su nueva cuenta objetivo.

Jane ha conservado todo su acceso, todo su historial de chat y no ha perdido ninguna funcionalidad. De hecho, cuando Jane finalmente migre al destino, todo su acceso e historial permanecerán intactos, lo que hará que su experiencia de migración sea lo más fluida posible y al mismo tiempo conservará los permisos previamente otorgados.

Cosas a considerar

A continuación se presentan algunas preguntas sobre este proceso que escucho con frecuencia, junto con mi respuesta:

1. Antes de que las migraciones sean definitivas, ¿podría el usuario iniciar sesión en el destino con su nueva cuenta si tiene las credenciales?

Sí, es posible. Sin embargo, al igual que con cualquier migración entre inquilinos, esto no se recomienda. No comunicar ni facilitar al usuario los medios para hacerlo hasta el momento correcto.

2. Una vez finalizadas las migraciones, ¿cómo evito que la cuenta de origen se autentique con el inquilino de destino?

Deshabilite, elimine, elimine la licencia o deniegue el acceso a la cuenta de origen como parte de su proceso de flujo de trabajo de migración. Puede reemplazar la cuenta con un contacto de correo para fines de enrutamiento de correo y eliminar la cuenta original si es posible. De lo contrario, puede impedir que el usuario inicie sesión y luego decidir cómo manejar la visibilidad de GAL y el enrutamiento del correo.

3. Después de convertir y obtener la licencia de la cuenta de destino, ¿no necesitaré configurar un reenvío de buzón para que los mensajes se dirijan al buzón activo en el origen?

Sí, en la mayoría de los casos querrás configurar un reenvío de buzón para que cualquier correo entrante de esta cuenta se entregue al buzón de origen mientras el usuario todavía está activo allí.

Mis conclusiones

La funcionalidad B2B de Microsoft llegó para quedarse, cambiando la gama de opciones para configurar la coexistencia entre inquilinos durante un proyecto de migración de integración. Antes de que apareciera B2B, para otorgar acceso a recursos compartidos en Teams y SharePoint, un administrador tenía que crear un nuevo conjunto de credenciales y el usuario tenía que gestionar el cambio entre identidades cuando fuera necesario, lo que no era una situación ideal.

Además, utilizar sus propias credenciales de origen para acceder a los recursos de destino antes de la migración es una opción espectacular para cualquier proyecto de integración futuro y una gran ventaja.

Sin embargo, no estoy sugiriendo que planee que todos sus usuarios invitados de Azure B2B se configuren de esta manera; solo usaría este método de forma selectiva. Aíslelo para usuarios avanzados que requieren este nivel de colaboración enriquecida. Pero es bueno saber que cuando surge este caso de uso, existe un método que ahora puede utilizar para administrar fácilmente la cuenta y satisfacer sus necesidades.