Microsoft Entra ID presentó esta semana dos novedades importantes: hallazgos reveladores de Identiverse 2026 sobre la proliferación de agentes de IA en entornos empresariales, y una integración más profunda con los sistemas de identidad de SAP que posiciona Entra ID Governance como el sucesor estratégico de SAP Identity Management. Ambos anuncios tienen implicaciones significativas para los administradores de TI que gestionan la identidad en la era de la IA.

Los agentes de IA están en todas partes: conclusiones de las mesas redondas de Identiverse 2026

En Identiverse 2026, Microsoft Security organizó un Power Breakfast que reunió a 150 profesionales de la identidad en 10 mesas redondas simultáneas. Los participantes procedían de los sectores de servicios financieros, sanidad, administración pública y energía, y representaban todas las etapas de adopción de la IA. Las conclusiones dibujan un panorama crudo del estado actual de la gobernanza de los agentes de IA.

La proliferación de agentes es una realidad actual

Nueve de cada diez mesas redondas describieron la proliferación de agentes sin gestionar no como un riesgo futuro, sino como una realidad presente. Lo que empezó como decenas de agentes se convirtió en decenas de miles en meses o incluso semanas. Un participante contó que descubrió por accidente 44 000 agentes en el inquilino (tenant) de su empresa durante una demostración. Ninguna auditoría por sí sola podía captar el panorama completo, y los profesionales describieron haber encontrado muchos más agentes de los que esperaban cuando por fin se pusieron a buscar.

IA en la sombra y agentes sin propietario

Ocho de cada diez mesas redondas afirmaron que la IA en la sombra (shadow AI) ya está presente en sus organizaciones y se ejecuta en plataformas que actualmente ninguna capa de gobernanza cubre por completo. Estos agentes solo se rastrean mediante registros de red, si es que se rastrean. Nueve de cada diez plantearon el problema de los agentes sin propietario: los agentes se crean, se vinculan a la identidad de su creador y siguen ejecutándose mucho después de que esa persona haya cambiado de puesto o dejado la organización, sin revisar, con permisos excesivos y sin ser detectados.

Cadenas de agente a agente: el mayor desafío

Ocho de cada diez mesas redondas identificaron las cadenas de agente a agente como el desafío de seguridad más difícil al que se habían enfrentado. Varios equipos revirtieron despliegues de agente a agente tras comprobar que no podían mantener una gobernanza coherente a lo largo de la cadena. Como señaló un participante: «Puedo controlar del punto A al punto B, pero el punto B necesita hablar con el punto C, y ahí es donde se perdía el contexto».

Tres puntos de partida prácticos

Microsoft describió tres pasos prácticos para las organizaciones que lidian con la proliferación de agentes:

1. Crea tu inventario antes de hacer cualquier otra cosa. Empieza en el Centro de administración de Microsoft Entra, en Entra ID > Agents > Agents overview, para ver el número total de agentes con identidad, cuántos se han creado recientemente, cuántos están activos y cuántos no están gestionados. Para los agentes que se ejecutan fuera del ecosistema de Microsoft, regístralos con la CLI y el SDK de Agent 365 o con credenciales de identidad federada. No necesitas migrarlos: necesitas incluirlos en el registro para que sean visibles y se puedan gobernar.

2. Asigna un propietario y un patrocinador a cada agente. Cada identidad de agente en Microsoft Entra Agent ID requiere un patrocinador (la persona responsable de lo que hace el agente) y un propietario (la persona responsable de su gestión técnica). Asigna ambos en el momento de la creación, en la capa de blueprint. Cuando alguien deja tu organización, los flujos de trabajo de ciclo de vida de Microsoft Entra pueden desencadenar automáticamente una revisión de la propiedad de cada agente asociado a esa persona.

3. Limita los permisos al máximo y aplica el acceso condicional a nivel de blueprint. Usa ámbitos enumerados en cada blueprint: solo los permisos delegados específicos que necesita el agente, nada más. Para los agentes que actúan en nombre de un usuario, usa el flujo on-behalf-of para que se apliquen las directivas de acceso a nivel de usuario. Para los agentes autónomos, usa el flujo de credenciales de cliente con un ámbito estrecho. Aplica las directivas de acceso condicional a nivel de blueprint, no agente por agente, para que cada instancia de agente creada a partir de ese blueprint herede la directiva automáticamente.

Consideraciones sobre licencias

A partir de julio de 2026, las capacidades de seguridad de agentes, incluidos el acceso condicional y la Identity Protection específicos para agentes, requieren licencias de Microsoft 365 Agent o M365 E7. Las organizaciones deben confirmar que su tenant tiene licencias aptas para Agent 365 y que los administradores necesarios las tienen asignadas. Se debe habilitar la opción Security for AI Agents en Microsoft Defender, y los equipos del SOC deben actualizar las consultas de Advanced Hunting de la tabla heredada AIAgentInfo a la nueva tabla AgentInfo.

Moderniza SAP Identity Management con Microsoft Entra

El 23 de julio, Microsoft publicó una guía detallada sobre la modernización de la gestión de identidades de SAP con Microsoft Entra, dirigida a las organizaciones que están dejando SAP Identity Management (SAP IDM) para pasar a una plataforma de identidad nativa de la nube.

Capacidades de integración ampliadas

Durante los dos últimos años, Microsoft Entra y SAP han seguido profundizando en su interoperabilidad. Las principales novedades incluyen:

  • Patrones de aprovisionamiento más flexibles entre Microsoft Entra y SAP Cloud Identity Services, compatibles con una gama más amplia de modelos de implementación
  • Atributos de extensión personalizados en los usuarios de Microsoft Entra para escenarios específicos de SAP, lo que facilita alinear los datos de identidad con las necesidades de las aplicaciones de SAP
  • Detección de cuentas para identificar cuentas en SAP Cloud Identity Services que aún no están correlacionadas con usuarios de Microsoft Entra, lo que reduce la investigación manual y refuerza la gobernanza
  • Compatibilidad con credenciales de cliente OAuth 2.0 para proteger la comunicación entre servicios de Microsoft Entra y SAP Cloud Identity Services, en sustitución de métodos de autenticación más antiguos y menos seguros
  • Integración entre Entra ID Governance y SAP Identity Access Governance (IAG), que permite a las organizaciones solicitar y gobernar roles de negocio de SAP junto con otros derechos de acceso mediante paquetes de acceso de Entra

Cómo funciona la integración con SAP IAG

Cuando un usuario solicita la asignación a un paquete de acceso con un rol de negocio de SAP a través de Microsoft Entra, la solicitud se envía automáticamente a SAP Identity Access Governance. SAP IAG aplica entonces las aprobaciones y las comprobaciones adicionales dentro de su propio proceso de gobernanza. Este enfoque conecta los paquetes de acceso de toda la empresa en Entra con el contexto de roles de negocio y de riesgo disponible en SAP IAG, creando una experiencia de gobernanza unificada entre aplicaciones de SAP y de otros fabricantes.

Esta integración es importante porque la gobernanza del acceso suele abarcar varias aplicaciones: empleados, contratistas y socios pueden necesitar acceso coordinado a recursos de SAP y de otros sistemas. Las organizaciones pueden usar la integración para gestionar esas solicitudes de forma coherente.

Caso de éxito: Cenibra

Cenibra, una empresa de celulosa, utilizó Microsoft Entra ID Governance para modernizar la gestión de identidades en más de 80 sistemas, con SAP como plataforma principal. El enfoque ayudó a reducir el trabajo manual, mejorar la preparación para auditorías y crear una base más escalable para gestionar el acceso, lo que demuestra el valor práctico de la integración entre Entra y SAP en entornos empresariales complejos.

Contexto más amplio de Microsoft Security para SAP

La identidad sienta las bases para proteger SAP en tu entorno de seguridad. Microsoft ofrece capacidades adicionales adaptadas a SAP y alineadas con el NIST Cybersecurity Framework:

  • Identificar: Microsoft Purview detecta y clasifica los datos sensibles de SAP, incluidos los datos replicados en Microsoft Fabric a través de SAP Datasphere
  • Proteger: Microsoft Defender protege los endpoints, servidores y recursos en la nube que rodean a las aplicaciones de SAP
  • Detectar: Microsoft Sentinel conecta las señales de SAP para detectar incidentes con reglas de análisis integradas en una solución certificada por SAP
  • Responder: Microsoft Security Copilot acelera la investigación y guía la respuesta ante incidentes de SAP

Acciones recomendadas para la migración de SAP IDM

Para las organizaciones que evalúan su estrategia de identidad de SAP, Microsoft recomienda un enfoque por fases:

  1. Realiza una evaluación del panorama de identidades de SAP: inventaría qué sistemas de SAP están en el alcance, qué gestiona actualmente SAP IDM e identifica las fuentes autorizadas que alimentan SAP IDM
  2. Diseña tu modelo de integración Entra-SAP: asigna los atributos de identidad de SAP a atributos de extensión de Entra, planifica la detección y conciliación de cuentas y configura las credenciales de cliente OAuth 2.0
  3. Integra Entra ID Governance con SAP IAG: establece flujos de solicitud de acceso en Entra que desencadenen asignaciones de roles en SAP IAG y define el reparto de responsabilidades entre las plataformas
  4. Planifica la migración y retirada de SAP IDM: empieza con la coexistencia (Entra orquesta mientras SAP IDM ejecuta), pasa a una transición progresiva (el nuevo aprovisionamiento se hace únicamente a través de Entra + SAP IAG) y termina con la retirada
  5. Alinéate con las iniciativas más amplias de seguridad de Entra y de la IA: aplica los principios de Zero Trust al acceso a SAP, gobierna las cuentas de servicio de integración de SAP como identidades de carga de trabajo y trata a los usuarios de SAP como parte del mismo perímetro de identidad que los agentes de IA y las aplicaciones SaaS

Qué significa esto para tu organización

Estos dos anuncios reflejan la estrategia más amplia de Microsoft de convertir cada identidad, ya sea humana, un agente de IA o una cuenta de servicio de SAP, en una entidad de primer nivel y gobernable dentro del tejido de identidad de Entra. Para los administradores de TI, el mensaje es claro: las herramientas para gestionar la proliferación de agentes de IA y modernizar sistemas IAM heredados como SAP IDM ya están disponibles, y el coste de no actuar crece cada mes que pasa.

Si tu organización está desplegando agentes de IA sin gobernanza, empieza hoy mismo con un inventario en el Centro de administración de Entra. Si utilizas SAP IDM, empieza a planificar tu ruta de migración a Entra ID Governance antes de que la retirada de la autenticación básica para las API de SuccessFactors que SAP prevé para noviembre de 2026 añada más presión.

Sigue la conversación en X en https://x.com/kkaminsk para no perderte la cobertura continua de las novedades de Microsoft Entra ID y los análisis sobre seguridad de identidades.