Microsoft Entra ID, mediados de julio de 2026: control de SSO, passkeys en Connect Sync, autorización MCP y cifrado del directorio

Las actualizaciones de Microsoft Entra ID siguen llegando a un ritmo vertiginoso este mes de julio. Mientras el gran anuncio de la semana pasada sobre las passkeys como opción predeterminada todavía resuena en los departamentos de TI de todo el mundo, Microsoft ha publicado discretamente varias actualizaciones más entre el 14 y el 18 de julio que merecen atención. Desde la gestión de los avisos de SSO en Windows hasta los patrones de autorización de MCP y los controles de cifrado a nivel de directorio, aquí tienes un análisis completo.

1. Control administrativo de los avisos de SSO en Windows

Anunciado: 14 de julio de 2026 Fuente: Microsoft Learn

El problema que resuelve

En el Espacio Económico Europeo (EEE), Microsoft cambió el comportamiento del inicio de sesión de Windows para que los usuarios ya no inicien sesión automáticamente en otras aplicaciones y servicios de Microsoft después de iniciar sesión en Windows. En su lugar, Windows ahora muestra a los usuarios un cuadro de diálogo de consentimiento: «¿Continuar con el inicio de sesión?», que les pregunta si quieren usar sus credenciales de Windows para acceder a aplicaciones y servicios adicionales.

Fue una medida de cumplimiento normativo que da a los usuarios la posibilidad de elegir cómo se usa su cuenta de Windows. Pero en entornos empresariales administrados, donde TI ya controla las directivas de inicio de sesión y las relaciones de confianza, este aviso genera fricción innecesaria y tickets de soporte.

La solución

A partir de la actualización de seguridad mensual de julio de 2026 (KB5101650) para Windows 11 versión 24H2 y 25H2, los administradores de TI pueden implementar una directiva de registro para aceptar automáticamente los permisos de SSO en los dispositivos Windows administrados que cumplan los requisitos:

Ruta del registro: HKLM\SOFTWARE\Policies\Microsoft\Windows\AAD Valor: AutoAcceptSsoPermission (DWORD) = 1

Opciones de implementación

Esta directiva se puede implementar mediante:

• Directiva de grupo (GPO): implementación tradicional basada en AD
• Microsoft Intune o herramientas MDM similares
• Microsoft Configuration Manager
• Cualquier herramienta de administración que admita la implementación de directivas de registro

Limitaciones importantes del alcance

• ✅ Se aplica a: dispositivos empresariales Windows administrados con cuentas de Microsoft Entra ID
• ❌ Cuentas personales (MSA): no hay control administrativo disponible; los avisos se mantienen
• ❌ Dispositivos no administrados: no hay control administrativo disponible; los avisos se mantienen
• SO compatibles: solo Windows 11 versión 24H2 y 25H2 (con KB5101650)

Qué deben hacer los administradores de TI

1. Verifica que tus dispositivos ejecutan Windows 11 24H2 o 25H2 con la actualización de seguridad de julio de 2026 aplicada
2. Implementa la directiva de registro con tu herramienta de administración preferida
3. Valida el comportamiento del SSO en todo tu parque de dispositivos administrados
4. Supervisa si aparecen avisos inesperados después de la implementación

Es un cambio sencillo pero bienvenido para los administradores de TI que gestionan parques empresariales de Windows, sobre todo para quienes operan en el EEE o dan servicio a usuarios de esa región.

2. Entra Connect Sync v2.6.84.0: las passkeys llegan al asistente de configuración

Anunciado: 7-14 de julio de 2026 Fuente: Microsoft Learn

Puede que Microsoft Entra Connect Sync vaya camino de quedar obsoleto en favor de Cloud Sync, pero sigue recibiendo actualizaciones relevantes. La versión 2.6.84.0 (que sustituye a la 2.6.79.0, que fue retirada) incorpora varias mejoras significativas de seguridad y funcionalidad.

Función estrella: autenticación con passkeys en el asistente de configuración (versión preliminar)

Los administradores ahora pueden iniciar sesión con passkeys y llaves de seguridad FIDO2 a través de Windows Web Account Manager (WAM) al configurar Microsoft Entra Connect. Se trata de una función en versión preliminar que hay que habilitar mediante el registro:

# Enable passwordless authentication
New-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Azure AD Connect" -Name "EnablePasswordlessAuth" -Value 1 -PropertyType DWORD -Force

Una vez habilitada, al ejecutar el instalador, selecciona Opciones de inicio de sesión → Cara, huella digital, PIN o llave de seguridad y completa el aviso con tu passkey o llave de seguridad registrada.

Esto encaja con el impulso más amplio de Microsoft para eliminar las contraseñas de los flujos de trabajo administrativos: si estás configurando la sincronización de identidades, no deberías necesitar una contraseña para hacerlo.

Otros cambios destacados en v2.6.84.0

Compatibilidad con la nube soberana de Francia:

• La autenticación de paso a través (Pass-through Authentication), el SSO de conexión directa (Seamless SSO), la escritura diferida de contraseñas y la supervisión de Health Agent ahora son compatibles con el entorno de nube soberana de Francia

Refuerzo de la seguridad:

• Se acabó el retroceso silencioso a la cuenta heredada de sincronización de directorios cuando falla la autenticación basada en aplicaciones (Application-Based Authentication): el asistente ahora se detiene con un error claro
• No hay cambio automático de los servidores existentes de la cuenta heredada de sincronización de directorios a la autenticación basada en aplicaciones durante la sincronización en segundo plano
• Los cmdlets de PowerShell (Set-ADSyncAADCompanyFeature, Set-ADSyncAADPasswordSyncState) ahora requieren -AADUsername de forma explícita para la autenticación interactiva del administrador
• Mejor gestión de los certificados respaldados por TPM: comprueba de antemano la capacidad de firma y gestiona correctamente la verificación de firmas TPM

Eliminación de la autorreparación de PHS:

• La sincronización de hash de contraseñas (Password Hash Sync) ya no vuelve a habilitar automáticamente su marca de característica en la nube en segundo plano. Si PHS está deshabilitada, un administrador debe volver a habilitarla de forma explícita. Esto evita la deriva silenciosa de la configuración.

Actualizaciones de componentes incluidos:

• MSAL: 4.64.1 → 4.83.3
• SQL LocalDB: SQL Server 2019 → SQL Server 2022
• Visual C++ redistribuible: 2013 → 2015-2022 (14.42.34438)
• Se elimina la dependencia del redistribuible de VC++ 2013

Acciones recomendadas

Si ejecutas Entra Connect Sync, planifica la actualización a 2.6.84.0. Las mejoras de seguridad por sí solas (sin retrocesos silenciosos, autenticación interactiva del administrador, gestión de TPM) justifican la actualización. Si quieres probar la autenticación con passkeys durante la configuración, habilita la clave de registro antes de ejecutar el asistente.

3. Autorización administrada por la empresa de MCP con Entra ID y App Service

Anunciado: 16 de julio de 2026 Fuente: Microsoft Tech Community

Model Context Protocol (MCP) se ha convertido en la capa de conectividad estándar para los agentes de IA, y Microsoft se está asegurando de que Entra ID ocupe un lugar central en la forma en que las organizaciones gobiernan el acceso de los agentes a herramientas y servicios.

¿Qué es la autorización administrada por la empresa (Enterprise-Managed Authorization, EMA)?

EMA es una extensión estable de MCP (desde el 18 de junio de 2026) que cambia de raíz la forma en que los agentes de IA y sus usuarios obtienen autorización para usar servidores MCP. En lugar del flujo tradicional de consentimiento OAuth por servidor, en el que cada nuevo servidor MCP requiere una redirección del navegador y un clic del usuario, EMA convierte al proveedor de identidades de la organización en el punto de decisión de directivas.

Así funciona el flujo:

1. Autenticación SSO: el cliente MCP autentica al usuario a través del IdP empresarial mediante OpenID Connect o SAML
2. Emisión de ID-JAG: el IdP emite un Identity Assertion JWT Authorization Grant (ID-JAG), un JWT de corta duración y vinculado a una audiencia que valida la identidad del usuario y la directiva de la organización
3. Intercambio de tokens: el cliente presenta el ID-JAG al servidor de autorización del servidor MCP (mediante la concesión de portador JWT de RFC 7523) y recibe un token de acceso específico del recurso
4. No hace falta pantalla de consentimiento: el IdP ya evaluó la directiva

Cómo encajan Entra ID y App Service

La guía de Microsoft muestra cómo crear hoy un endpoint MCP con una gobernanza sólida usando Azure App Service:

• App Service Authentication se sitúa delante de la aplicación y valida los tokens de acceso de Microsoft Entra antes de que una solicitud llegue a tu proceso de Python
• App Service puede actuar como servidor de recursos MCP
• Para el flujo EMA completo, el IdP empresarial debe poder emitir ID-JAG (mediante el intercambio de tokens de RFC 8693)
• Microsoft ofrece una implementación de referencia completa en Python con un laboratorio local de ID-JAG en GitHub

Estado actual de la compatibilidad

Por qué importa a los administradores de Entra ID

Aunque la emisión nativa de ID-JAG en Entra ID todavía no está disponible de forma general, este anuncio es importante porque:

1. Define la arquitectura: Microsoft muestra cómo Entra ID + App Service pueden servir hoy como límite de autorización para los servidores MCP
2. Se alinea con Entra Agent ID: las identidades de agentes obtienen una gobernanza de primer nivel con los mismos marcos de directivas
3. Llega la especificación MCP 2026-07-28: esta especificación formaliza los cambios del protocolo sin estado y la extensión EMA; las organizaciones deberían empezar a planificar ya
4. Los equipos de seguridad obtienen control centralizado: conceden y revocan el acceso a los servidores MCP desde un único lugar, con registros de auditoría

Para las organizaciones que crean infraestructura de agentes de IA, esto es lectura obligatoria.

4. Cifrado en reposo configurable para los datos del directorio

Anunciado: ~10-15 de julio de 2026 Fuente: análisis de terceros que hace referencia a anuncios oficiales de Microsoft

Microsoft ha lanzado lo que podría ser la mejora de seguridad más importante del almacén de directorio de Entra ID en años: cifrado en reposo configurable para los objetos del directorio, con granularidad por atributo y compatibilidad con claves administradas por el cliente.

Novedades

Controles de cifrado por atributo: Los administradores ahora pueden aplicar de forma selectiva una protección de cifrado reforzada a los atributos del directorio de alto riesgo, como números de teléfono, secretos de MFA o campos de extensión personalizados, mediante los nuevos objetos Encryption Policy expuestos a través de Microsoft Graph API:

PATCH https://graph.microsoft.com/v1.0/directory/encryptionPolicies/{policyId}
{
  "attributes": [
    "extensionAttribute1",
    "mobilePhone",
    "authMethods"
  ],
  "encryptionType": "AES256",
  "scope": "User"
}

No se trata de un cifrado generalizado, sino dirigido, lo que permite a los equipos de cumplimiento proteger los datos confidenciales sin romper integraciones heredadas ni añadir latencia a las lecturas de atributos no críticos.

Claves administradas por el cliente (CMK): Entra ID ahora admite claves administradas por el cliente para el cifrado en reposo, usando claves respaldadas por Azure Key Vault. Esto cierra una carencia histórica para los sectores regulados, que antes no podían cumplir los requisitos de soberanía de datos solo con claves administradas por Microsoft.

Experiencia en el portal: El portal de administración muestra el cifrado de atributos en Identity Governance > Protection Policies, con registros de auditoría que registran cada cambio de directiva. Las respuestas de la API ahora incluyen una propiedad encryptionStatus por atributo para verificar el cumplimiento mediante programación.

Limitaciones que debes tener en cuenta

• Objetos compatibles: el cifrado de atributos solo está disponible para objetos de usuario y de grupo; las entidades de servicio, los dispositivos y los registros de aplicaciones todavía no son aptos
• Licencias: las claves administradas por el cliente requieren licencias de Entra ID P2
• Retención de auditoría: los registros de auditoría de los cambios en las directivas de cifrado se conservan 90 días de forma predeterminada (configura una retención más larga si la necesitas por cumplimiento)

Próximamente en el cuarto trimestre de 2026 (versión preliminar pública)

Microsoft ha anunciado dos próximas funciones en versión preliminar:

• Rotación granular de claves: rota las claves de cifrado por atributo o grupo de usuarios para minimizar el radio de impacto en caso de compromiso
• Cifrado condicional: cifrado basado en directivas según las señales de riesgo de Identity Protection; aplica un cifrado más fuerte a los usuarios marcados como de alto riesgo

Valoración

Si estas capacidades se confirman en la documentación oficial de Microsoft, suponen un gran avance para las organizaciones de sectores regulados (sanidad, finanzas, administración pública) que necesitan un control granular sobre cómo se cifran en reposo los datos de identidad. El enfoque por atributo es especialmente acertado: evita el impacto en el rendimiento de un cifrado generalizado y, al mismo tiempo, protege los campos más sensibles.

5. Actualizaciones de Microsoft Graph API de julio de 2026

Anunciado: 16 de julio de 2026 Fuente: Microsoft Learn - Novedades de Microsoft Graph

Las actualizaciones de Graph API de julio combinan promociones a v1.0 y nuevas capacidades en versión preliminar que amplían lo que los desarrolladores pueden hacer con Entra ID mediante programación.

Novedades en v1.0 (listas para producción)

API de carga BYOD para revisiones de acceso: Las API de carga Bring Your Own Data (BYOD) han pasado de beta a v1.0, lo que permite cargar datos de acceso externos para las revisiones de acceso. Esto incluye el recurso base customDataProvidedResourceUploadSession y los tipos relacionados, lo que permite a las organizaciones incorporar datos de acceso externos a Entra ID Governance para su revisión.

Upsert por lotes de permisos en fileStorageContainer: El límite de operaciones de permisos en un contenedor de almacenamiento de archivos ha aumentado de 10 a 40 objetos de permiso por solicitud, una mejora notable para los flujos de aprovisionamiento de SharePoint y Teams.

Relación sponsorOf en el recurso de usuario: Una nueva relación sponsorOf en el tipo de recurso de usuario representa los objetos de directorio que patrocina un usuario, lo que da soporte directo al modelo de ciclo de vida de patrocinio de Entra Agent ID.

Novedades en versión preliminar

Registro de passkeys FIDO2 mediante programación: Los desarrolladores ahora pueden registrar passkeys mediante programación usando la función creationOptions para obtener las opciones de creación de credenciales de WebAuthn y, después, completar el registro enviando la nueva propiedad publicKeyCredential al recurso fido2AuthenticationMethod. Esto permite flujos de registro personalizados fuera del portal estándar de información de seguridad.

Endpoints de Web Push para notificaciones de cambios: Las suscripciones de Microsoft Graph ahora admiten la entrega nativa del navegador mediante Web Push gracias a nuevas propiedades: vapidPublicKey, webPushEncryptionP256dhPublicKey y webPushEncryptionSecret. Las aplicaciones basadas en navegador pueden recibir notificaciones de cambios a través del canal de la API Push del W3C sin operar un webhook público, una simplificación importante para los desarrolladores del lado del cliente.

Administración de la organización en Windows 365 for Agents: Los nuevos métodos cloudPC: organizationAction y cloudPC: retrieveOrganizationActionDetail permiten activar o desactivar una organización para Windows 365 for Agents.

Mejoras en los flujos de trabajo del ciclo de vida (Lifecycle Workflows):

• Método cancelProcessing para cancelar ejecuciones de flujos de trabajo en curso o en cola
• Operaciones de vista previa de flujos de trabajo para validar sin afectar a los usuarios de producción
• Cuarentena automática con umbrales configurables (propiedad quarantineConfiguration)

Sugerencias de paquetes de acceso: El nuevo tipo de recurso accessPackageSuggestion, con la función filterByCurrentUser, ofrece sugerencias personalizadas de paquetes de acceso basadas en información de personas relacionadas y en el historial de asignaciones.

Asignaciones de roles basadas en PIM en paquetes de acceso: La propiedad type de accessPackageResourceRole indica si un rol de recurso de Azure está activo o es apto, lo que permite asignaciones de roles basadas en PIM dentro de los paquetes de acceso.

Validación de notificaciones personalizadas de Verified ID: Los nuevos tipos de recurso onVerifiedIdClaimValidationCustomExtension y onVerifiedIdClaimValidationListener admiten lógica personalizada para validar las notificaciones (claims) de las presentaciones de credenciales de Verified ID durante los flujos de autenticación.

Integración con Defender: Las nuevas acciones alert: moveAlerts e incident: mergeIncidents permiten mover alertas y combinar incidentes en Microsoft Defender.

Entra Connect Sync: Nueva propiedad allowOnPremUpdateOfOnPremisesObjectIdentifierEnabled en el recurso onPremisesDirectorySynchronizationFeature.

Qué priorizar

Para la mayoría de las organizaciones, esto es lo que yo priorizaría de este lote:

1. Implementa la directiva de registro de control administrativo de SSO si tienes dispositivos Windows administrados en el EEE: poco esfuerzo, gran impacto
2. Planifica la actualización de Entra Connect Sync a v2.6.84.0: solo el refuerzo de la seguridad ya lo justifica
3. Evalúa los patrones de EMA de MCP si estás creando infraestructura de agentes de IA: la arquitectura se está aclarando y planificar con antelación te ahorrará retrabajo
4. Estate atento a la documentación oficial sobre el cifrado en reposo del directorio: si se confirma, empieza a planificar qué atributos merecen una protección reforzada
5. Explora el registro de passkeys mediante programación si quieres flujos de inscripción personalizados: Graph API ya lo admite

El ritmo de innovación de Entra ID sigue acelerándose. El anuncio de las passkeys como opción predeterminada de la semana pasada fue el titular, pero en conjunto estas actualizaciones representan una maduración significativa de la plataforma: desde la gestión del SSO y la seguridad de la sincronización de identidades hasta la gobernanza de agentes de IA y los controles de cifrado a nivel de directorio.

Para seguir las novedades de Entra ID, sigue a @kkaminsk en X y vuelve por aquí con regularidad. Big Hat Group Inc. ofrece servicios de consultoría de Microsoft centrados en tecnologías de IA e identidad.