Microsoft Entra ID, finales de julio de 2026: retirada de OTP de SharePoint, migración a Cloud Sync y Teams Rooms sin contraseña

Las actualizaciones de Microsoft Entra ID de finales de julio de 2026 se centran en las transiciones: alejar a las organizaciones de los métodos heredados de autenticación y sincronización para llevarlas hacia arquitecturas modernas basadas primero en la identidad. Desde el calendario actualizado de retirada del código de acceso de un solo uso (One-Time Passcode) de SharePoint hasta el inicio de los avisos de migración de Entra Connect Sync a Cloud Sync, Microsoft está cerrando sistemáticamente las vías heredadas. Si a eso le sumas Teams Rooms sin contraseña y la integración de Purview con GSA en la capa de red, los administradores de TI tienen mucho sobre lo que actuar.

1. Retirada del código de acceso de un solo uso de SharePoint: calendario actualizado (MC1243549)

Anunciado: 17 de julio de 2026 (actualizado) Fuente: M365 Message Center (MC1243549)

Qué ha cambiado

Microsoft ha actualizado el calendario de retirada de la autenticación mediante código de acceso de un solo uso de SharePoint (SPO OTP), el método heredado que permitía a los usuarios externos acceder a contenido compartido de SharePoint y OneDrive mediante un código de un solo uso enviado por correo electrónico, sin necesidad de una cuenta Microsoft.

El calendario revisado es:

• Fase 1 (completada): las nuevas invitaciones de uso compartido externo usan ahora Microsoft Entra B2B en lugar de SPO OTP. Esta fase está completamente implementada en los entornos de producción desde mediados de julio de 2026.
• Fase 2 (reprogramada): la retirada de la autenticación SPO OTP comienza el 1 de octubre de 2026 y se espera que finalice el 31 de octubre de 2026. Antes, el plazo era más amplio.
• GCC, GCCH y DoD: excluidos de ambas fases. Las nuevas fechas para estos entornos se comunicarán a través del Message Center.

Por qué importa

Cuando entre en vigor la fase 2, los usuarios externos que no tengan una cuenta de invitado de Entra B2B recibirán un error de «Acceso denegado» al intentar acceder a vínculos de «personas específicas» compartidos anteriormente. Para restablecer el acceso:

• Debe crearse una cuenta de invitado para el usuario externo en Entra B2B, o
• Un usuario interno autorizado debe volver a compartir al menos un archivo, una carpeta o un sitio con el usuario externo

La configuración EnableAzureADB2BIntegration dejará de controlar el comportamiento del uso compartido externo, y se eliminará por completo la opción de deshabilitar la integración con Entra B2B.

Qué deben hacer los administradores de TI

1. Identificar el contenido afectado: audita SharePoint y OneDrive en busca de vínculos de uso compartido que dependan actualmente de la autenticación OTP
2. Inventariar los usuarios externos: identifica a los colaboradores externos recurrentes y crea cuentas de invitado de Entra B2B para ellos antes del 1 de octubre
3. Actualizar las directivas de uso compartido: asegúrate de que tu configuración de Entra External ID y de invitaciones B2B admita la incorporación de invitados a escala
4. Comunicarlo a los propietarios de sitios: informa a los propietarios de sitios de SharePoint sobre el cambio del 1 de octubre para que puedan volver a compartir contenido de forma proactiva con los usuarios externos
5. Probar el acceso de invitados: verifica que los usuarios externos con cuentas de invitado recién creadas puedan acceder al contenido compartido anteriormente

Es una fecha límite firme: el 1 de octubre se acerca rápidamente, y las organizaciones con mucha colaboración externa en SharePoint deben empezar a prepararse ya.

2. Comienzan los avisos de migración de Entra Connect Sync a Cloud Sync

Anunciado: julio de 2026 Fuente: M365 Message Center + Entra Connect Health + correo electrónico dirigido

Qué está pasando

Microsoft ha empezado a enviar avisos de migración dirigidos a los inquilinos (tenants) que cumplen los requisitos para pasar de Microsoft Entra Connect Sync al servicio nativo en la nube Microsoft Entra Cloud Sync. Esto sigue al anuncio de «Plan for change» de abril de 2026 y representa la primera oleada de asignación de ventanas de migración reales.

Detalles clave:

• Los avisos se envían a través de M365 Message Center, Entra Connect Health y correo electrónico dirigido
• Cada tenant recibe su propia ventana de migración asignada y sus indicaciones de migración
• NO es una fecha límite de cambio universal: es un enfoque por fases, tenant a tenant

Advertencia crítica: siguen existiendo carencias de funcionalidad

Los tenants que dependen de funciones aún no disponibles en Cloud Sync no están obligados a migrar. Las preguntas frecuentes de migración de Microsoft indican expresamente que las organizaciones pueden seguir usando Connect Sync mientras supervisan la comparación de funciones para saber cuándo sus escenarios necesarios pasan a ser compatibles con Cloud Sync.

Sin embargo, la dirección es clara: Cloud Sync se está convirtiendo en la plataforma preferida para la sincronización de identidades híbridas, mientras que Connect Sync sigue en servicio para las organizaciones con dependencias no compatibles.

Qué deben hacer los administradores de TI

Paso 1: inventariar tus dependencias de Connect Sync Documenta todo lo que gestiona actualmente Connect Sync: unidades organizativas, dominios, reglas de sincronización personalizadas, asignaciones de atributos, configuraciones de escritura diferida de contraseñas, sincronización de dispositivos y cualquier instalación de extensiones.

Paso 2: comparar con las capacidades de Cloud Sync Revisa la comparación oficial de funciones entre Connect Sync y Cloud Sync publicada por Microsoft. No lo reduzcas a una simple etiqueta de «compatible/no compatible»: crea una lista escrita de las capacidades necesarias con una decisión y un responsable para cada una.

Paso 3: diseñar el perímetro del piloto Si tu tenant cumple los requisitos, diseña un perímetro de piloto basado en unidades organizativas (OU) antes de tocar producción. Microsoft no admite que Connect Sync y Cloud Sync gestionen los mismos objetos simultáneamente: es una restricción técnica estricta que debe respetarse.

Paso 4: validar antes de ampliar

• Confirma que Connect Sync dejará de gestionar los objetos del piloto antes de que Cloud Sync asuma la responsabilidad
• Valida Cloud Sync en un subconjunto aislado antes de ampliarlo a más OU
• Mantén un registro de qué herramienta de sincronización es responsable de cada OU de producción durante la transición

Paso 5: documentar los bloqueos Si tienes funciones no compatibles, documéntalas con claridad. Conserva las evidencias y sigue con Connect Sync mientras supervisas las actualizaciones de la comparación de funciones de Microsoft.

En resumen

Es la señal más clara hasta ahora de que le ha llegado la hora a Cloud Sync, pero Microsoft ha dejado sabiamente una vía de salida para las organizaciones que todavía no pueden migrar. La preparación más útil no es apresurarse a migrar, sino crear un registro de decisiones claro que nombre tus dependencias actuales, identifique qué OU están dentro del alcance e indique si Cloud Sync admite cada escenario necesario.

3. Compatibilidad de Teams Rooms con cuentas de recursos sin contraseña (RM558853)

Anunciado: julio de 2026 Fuente: M365 Roadmap (RM558853)

Novedades

Los dispositivos Microsoft Teams Rooms en Windows admiten ahora la autenticación sin contraseña para cuentas de recursos a través de Microsoft Entra ID. Esto permite que Teams Rooms se autentique con credenciales modernas y resistentes al phishing, en lugar de depender de las combinaciones tradicionales de nombre de usuario y contraseña en las cuentas compartidas de las salas de reuniones.

Por qué importa

Las cuentas de recursos de las salas de reuniones han sido durante mucho tiempo un quebradero de cabeza para los equipos de TI:

• Carga de la rotación de contraseñas: las contraseñas de las cuentas de recursos deben rotarse con regularidad, lo que resulta costoso operativamente en grandes parques de salas
• Riesgo de exposición de credenciales: las credenciales compartidas en los dispositivos de las salas de reuniones son intrínsecamente vulnerables; cualquiera con acceso físico podría llegar a extraerlas
• Dificultades con el acceso condicional: las cuentas basadas en contraseña son más difíciles de incluir en directivas de autenticación sólida

La autenticación sin contraseña para Teams Rooms resuelve los tres problemas y alinea los dispositivos de las salas de reuniones con la estrategia más amplia de Microsoft de Zero Trust y autenticación resistente al phishing.

Qué deben hacer los administradores de TI

1. Identificar los dispositivos aptos: determina qué dispositivos Teams Rooms en Windows de tu parque tienen cuentas de recursos unidas a Entra ID
2. Revisar las directivas de métodos de autenticación: asegúrate de que tu directiva de métodos de autenticación de Entra ID permita credenciales sin contraseña para los grupos de seguridad que contienen las cuentas de Teams Rooms
3. Hacer un piloto con una sola sala: prueba el flujo sin contraseña en un entorno controlado antes de un despliegue amplio
4. Comprobar el acceso condicional: revisa las directivas de acceso condicional que puedan bloquear o exigir verificación en los inicios de sesión de los dispositivos de sala; asegúrate de que tus condiciones de cumplimiento y de estado del dispositivo contemplen los dispositivos de las salas de reuniones
5. Actualizar la documentación de aprovisionamiento: si tienes scripts automatizados de implementación de Teams Rooms, actualízalos para configurar la autenticación sin contraseña durante la configuración inicial

4. Integración de Microsoft Purview con Entra GSA Internet Access (RM522096)

Anunciado: julio de 2026 Fuente: M365 Roadmap (RM522096)

Novedades

Microsoft ha anunciado la integración entre Microsoft Purview y Entra Global Secure Access (GSA) Internet Access para habilitar el filtrado de archivos confidenciales en la capa de red. Esto amplía el anuncio de integración de Purview + Entra del 1 de julio de 2026 (que abarcaba la protección de datos en aplicaciones SaaS y de IA) para incluir ahora la aplicación de directivas en la capa de red.

Cómo funciona

La integración permite a las organizaciones aplicar etiquetas de confidencialidad de Purview y directivas de prevención de pérdida de datos (DLP) al tráfico de red inspeccionado por Entra GSA Internet Access. Esto significa que:

• Los archivos que se cargan o descargan a través de GSA Internet Access pueden inspeccionarse en busca de etiquetas de confidencialidad
• Las directivas DLP pueden bloquear o supervisar las transferencias de archivos confidenciales a nivel de red, antes de que lleguen a un destino no administrado
• La aplicación de directivas se produce antes en el flujo de datos y complementa los controles a nivel de aplicación

Por qué importa

La DLP tradicional funciona a nivel de aplicación o de servicio: detecta datos confidenciales cuando alguien intenta compartirlos a través de una aplicación concreta. Pero ¿qué ocurre con los datos que se mueven por rutas de red que eluden los controles a nivel de aplicación? El filtrado de archivos confidenciales en la capa de red cierra esa brecha:

• Detecta las transferencias de shadow IT: archivos movidos a través de aplicaciones no administradas o de transferencias de red directas
• Añade defensa en profundidad: aunque se eluda la DLP a nivel de aplicación, el filtrado en la capa de red actúa como respaldo
• Permite directivas coherentes: las mismas etiquetas y directivas de Purview se aplican tanto en los puntos de aplicación de la capa de aplicación como en los de red

Qué deben hacer los administradores de TI

1. Coordinar entre equipos: esta integración afecta a identidad (Entra), seguridad (Purview/DLP) y redes (GSA); asegúrate de que todos los equipos implicados participen en la planificación
2. Inventariar las etiquetas de confidencialidad: revisa tus etiquetas de confidencialidad y directivas DLP de Purview existentes para determinar cuáles deben aplicarse en la capa de red
3. Planificar un piloto controlado: el filtrado en la capa de red puede afectar al tráfico legítimo; pruébalo en un entorno controlado con un grupo reducido de usuarios antes de un despliegue amplio
4. Mapear los patrones de tráfico: comprende qué rutas de red de tu organización transportan datos confidenciales y cómo está posicionado GSA Internet Access para inspeccionarlas
5. Vigilar los falsos positivos: el filtrado por tipo de archivo y por contenido a velocidad de red puede generar falsos positivos; establece un proceso de ajuste antes de pasar al modo de aplicación

El panorama general: la identidad sustituye al acceso heredado

Al observar estas cuatro actualizaciones en conjunto, surge un tema claro: Microsoft está sustituyendo sistemáticamente los métodos de acceso implícitos y heredados por una autenticación explícita basada en la identidad.

Cada una de estas transiciones se ha anunciado con meses o años de antelación, y Microsoft está pasando ahora del anuncio a la aplicación efectiva. Las organizaciones que afrontarán esto sin problemas son las que han estado inventariando sus dependencias heredadas y planificando sus migraciones, no las que esperan hasta el último momento.

Para la retirada de OTP de SharePoint, el 1 de octubre es una fecha límite firme. Para la migración a Cloud Sync, la ventana específica de tu tenant puede llegar en cualquier momento. Teams Rooms y Purview-GSA son capacidades que puedes adoptar a tu propio ritmo, pero la dirección es clara.

Resumen de acciones

Para seguir las actualizaciones de Entra ID, sigue a @kkaminsk en X y vuelve a consultar este blog con regularidad. Big Hat Group Inc. ofrece servicios de consultoría de Microsoft centrados en tecnologías de IA e identidad.