Los cambios de documentación de identidad de Microsoft de octubre de 2026 sitúan la configuración de aplicaciones en el centro. Las novedades abarcan los bloqueos de propiedades de instancias de aplicación, las APIs de passkeys de Microsoft Entra External ID, los permisos de registro de Microsoft Entra Connect Health y las expresiones de aprovisionamiento de aplicaciones sensibles a la referencia cultural.
Para los administradores de identidad, los arquitectos de seguridad y los responsables de TI, la señal es clara: los cambios de documentación pueden alterar las líneas base de las aplicaciones, los procedimientos de configuración privilegiada y los resultados de los atributos aunque no se anuncie un despliegue amplio en los inquilinos (tenants). Tu equipo debería validar su aplicabilidad antes de cambiar los controles de producción.
1. Los bloqueos de propiedades de apps cubren ambos modelos de aplicación
Qué ha cambiado: según las actualizaciones de documentación de Entra de Microsoft del 2 de octubre de 2026, Microsoft actualizó sus directrices sobre los bloqueos de propiedades de instancias de aplicación. Las directrices cubren tanto las aplicaciones de un solo tenant como las multitenant y describen el comportamiento predeterminado de las nuevas aplicaciones creadas desde junio de 2026.
La actualización de la documentación no especifica el comportamiento predeterminado exacto. Tampoco identifica requisitos de licencia, fases de despliegue ni una configuración del tenant que los administradores deban cambiar.
Por qué importa: la fecha de creación de la aplicación es ahora un punto de revisión relevante. Esto no demuestra que todas las aplicaciones existentes necesiten corrección; es un motivo para no dar por hecho que las aplicaciones creadas antes y después de junio de 2026 comparten la misma línea base de bloqueo de propiedades.
Para los arquitectos de seguridad, el riesgo práctico es la incoherencia de configuración en todo el parque de aplicaciones. Un estándar basado en un periodo de creación puede no describir con precisión otro.
Acción para administradores: inventaría las aplicaciones de un solo tenant y multitenant por periodo de creación y, a continuación, compara su configuración de bloqueo de propiedades con las directrices actuales de Microsoft. Documenta cualquier diferencia antes de usar una aplicación como plantilla para otra.
2. External ID añade una referencia de API de passkeys para clientes
Qué ha cambiado: según las actualizaciones de documentación de Entra de Microsoft del 2 de octubre, Microsoft añadió una referencia de API de gestión de credenciales de Entra External ID. Su alcance documentado cubre el listado y el registro de passkeys para clientes con sesión iniciada.
La actualización de la documentación no aporta identificadores de endpoints, requisitos de licencia, dependencias de configuración ni una declaración de disponibilidad general. Una nueva referencia no prueba que todos los tenants puedan usar la capacidad en producción.
Por qué importa: la referencia de API abre una posible vía para integrar la gestión de passkeys en los recorridos de identidad orientados al cliente. Sin embargo, la decisión administrativa depende de la idoneidad del tenant y del estado de soporte documentado actual.
No se trata de un despliegue generalizado de passkeys. Es una superficie de integración que requiere verificación.
Acción para administradores: confirma que la capacidad aparece en la documentación y en el entorno aplicables a tu tenant de External ID. Si está disponible, haz un piloto del listado y el registro de passkeys con identidades de clientes de prueba, incluidos los registros fallidos y las rutas de recuperación, antes de conectar el flujo a una aplicación de producción.
3. Connect Health nombra el rol de registro predeterminado
Qué ha cambiado: según las actualizaciones de documentación de Entra de Microsoft del 2 de octubre, Microsoft actualizó las directrices de instalación de Connect Health para identificar a Global Administrator como la cuenta predeterminada con permiso de registro de agentes.
Las directrices no afirman que Global Administrator sea el único rol permitido. Tampoco presenta la asignación continua de ese rol como una recomendación de seguridad.
Por qué importa: la instalación del agente puede crear una dependencia administrativa breve pero con privilegios muy elevados. Los equipos que traten la cuenta predeterminada como un requisito operativo permanente podrían conservar un acceso más amplio del que exige la tarea de registro.
La distinción importa: un valor predeterminado documentado no es automáticamente un diseño de privilegios mínimos.
Acción para administradores: revisa quién realiza el registro de agentes de Connect Health y cómo se concede el acceso de Global Administrator para ese flujo de trabajo. Tras el registro, verifica el estado del agente y vuelve a evaluar si la asignación privilegiada sigue siendo necesaria desde el punto de vista operativo.
4. El aprovisionamiento añade normalización sensible a la referencia cultural
Qué ha cambiado: según las actualizaciones de documentación de Entra de Microsoft del 1 de octubre, Microsoft actualizó la referencia de expresiones de aprovisionamiento de aplicaciones de Entra con NormalizeDiacriticsByCulture(source, culture). Los ejemplos de transliteración documentados para el alemán incluyen convertir ä en ae y ß en ss.
La actualización de la documentación no indica si la función está en versión preliminar o en disponibilidad general, ni identifica requisitos de licencia. Los administradores deberían confirmar el soporte actual antes de depender de ella en asignaciones de producción.
Por qué importa: la normalización sensible a la referencia cultural puede hacer que los identificadores generados sean más predecibles para un sistema de destino, pero también puede cambiar valores de atributos que alimentan nombres de usuario, reglas de coincidencia o directorios posteriores. Por tanto, un solo cambio de expresión puede convertirse en un problema de correlación de cuentas.
No es una limpieza cosmética de cadenas. Es lógica de aprovisionamiento.
Acción para administradores: prueba NormalizeDiacriticsByCulture(source, culture) con nombres representativos, incluidos los caracteres relevantes para tu población de usuarios. Compara el resultado propuesto con los identificadores de cuenta existentes y las reglas de colisión antes de actualizar una asignación de aprovisionamiento activa.
Qué deberían hacer ahora los administradores de identidad
Inventaría las fechas de creación de las aplicaciones. Separa las aplicaciones creadas antes y desde junio de 2026 para poder validar las suposiciones sobre los bloqueos de propiedades con las directrices de Microsoft correspondientes.
Valida la idoneidad de External ID. Confirma si el listado y el registro de passkeys de clientes son compatibles con tu tenant antes de asignar trabajo de desarrollo a un flujo de inscripción basado en API.
Revisa el privilegio de registro de Connect Health. Determina cuándo se usa
Global Administrator, prueba el proceso de registro documentado y elimina el acceso permanente innecesario tras la verificación.Haz un piloto del aprovisionamiento sensible a la referencia cultural. Pasa identidades representativas por
NormalizeDiacriticsByCulture(source, culture)y comprueba si hay cambios de identificadores o colisiones antes del despliegue en producción.Registra los detalles de lanzamiento sin resolver. Trata la licencia y la disponibilidad como elementos de validación pendientes cuando las actualizaciones de documentación de octubre de Microsoft no los establezcan.