Un tenant de Microsoft Entra es la instancia dedicada de Microsoft Entra ID (el servicio de identidad en la nube antes llamado Azure Active Directory) que contiene los usuarios, grupos, dispositivos y aplicaciones de tu organización. Todo tenant empieza con un dominio inicial que termina en onmicrosoft.com. Ese dominio es permanente: no puedes eliminarlo, y sigue siendo útil como nombre de inicio de sesión de respaldo para cuentas de emergencia. Luego, la mayoría de las organizaciones agrega un dominio personalizado como contoso.com para que las personas inicien sesión con un nombre principal de usuario (UPN) familiar como ana@contoso.com.
Agregar un dominio personalizado es un proceso de dos pasos. Primero agregas el nombre en el Centro de administración de Microsoft Entra, en Domain names. Luego Entra te da un valor de verificación (se ve como MS=ms12345678) que publicas como registro TXT, o alternativamente como registro MX, en tu proveedor de DNS público. Cuando seleccionas Verify, Entra busca el registro; solo alguien que controla el DNS del dominio pudo haberlo creado, así que esto demuestra la propiedad. Los cambios de DNS pueden tardar en propagarse, así que un primer intento fallido normalmente solo significa que hay que esperar. Un dominio puede estar verificado en un solo tenant a la vez, y más adelante puedes convertir un dominio verificado en el dominio principal, que se vuelve el sufijo predeterminado para los usuarios nuevos. Para quitar un dominio personalizado, primero debes mover o eliminar todos los usuarios, grupos y aplicaciones que todavía lo usan.
La personalización de marca de la empresa (company branding) adapta la experiencia de inicio de sesión: imagen de fondo, logotipo de banner, logotipo cuadrado, color de fondo, texto de la página de inicio de sesión y vínculos para el restablecimiento de contraseña de autoservicio o una declaración de privacidad. Configuras una experiencia de inicio de sesión predeterminada y puedes agregar versiones específicas por idioma para los usuarios cuyo navegador solicita otro idioma. La marca aparece después de que el usuario escribe un nombre de usuario de tu dominio, lo cual también es una señal discreta contra el phishing: los usuarios aprenden cómo se ve la página real. La personalización de marca requiere un nivel de licencia de pago, no la edición gratuita.
Las propiedades del tenant contienen datos a nivel de organización: el nombre del tenant, el tenant ID (un GUID que las aplicaciones y los scripts usan para identificar el directorio), el país o región elegido al crearlo (que no se puede cambiar después y determina la ubicación de los datos), el contacto técnico, y el contacto de privacidad global y la URL de la declaración de privacidad que ven los usuarios invitados.
La configuración de usuarios (user settings) son interruptores a nivel de todo el tenant que definen lo que los miembros comunes pueden hacer. Algunos ejemplos: si los usuarios pueden registrar aplicaciones, si se restringe a quienes no son administradores el acceso al Centro de administración de Microsoft Entra, si los usuarios pueden crear grupos de seguridad o grupos de Microsoft 365, si pueden conectar cuentas de LinkedIn y si pueden leer los perfiles de otros usuarios. Endurecer estos valores predeterminados es una victoria rápida de mínimo privilegio en un tenant nuevo, porque la configuración de fábrica favorece la colaboración por encima del control.
Términos clave
- Initial domain (dominio inicial)
- El dominio permanente nombredeltenant.onmicrosoft.com que se crea con cada tenant; no se puede quitar.
- Domain verification (verificación de dominio)
- Demostrar que eres propietario de un dominio personalizado publicando en el DNS público un registro TXT o MX con un valor proporcionado por Entra.
- Primary domain (dominio principal)
- El dominio verificado que se usa como sufijo UPN predeterminado al crear usuarios nuevos.
- Tenant ID (identificador del tenant)
- El GUID que identifica de forma única a un tenant de Microsoft Entra; lo usan aplicaciones, scripts y configuraciones de federación.
- Company branding (personalización de marca)
- Personalización de la página de inicio de sesión con tus logotipos, fondo, colores y texto, con versiones opcionales por idioma.
Fabrikam compra fabrikam.com y quiere que el personal inicie sesión como nombre@fabrikam.com. La administradora agrega el dominio en Entra, copia el valor MS=ms en un registro TXT en el registrador, espera a que el DNS se actualice, selecciona Verify y lo establece como principal. Después sube el logotipo y el fondo corporativos como personalización de marca y desactiva la configuración de usuario que permite a los miembros registrar aplicaciones.
Comprueba lo que sabes
¿Qué tipos de registro DNS puedes usar para verificar un dominio personalizado en Microsoft Entra ID?
Un registro TXT (el más común) o un registro MX que contenga el valor de verificación MS=ms que te da Entra.
¿Por qué un administrador podría no poder eliminar un dominio personalizado del tenant?
Porque objetos como usuarios, grupos o aplicaciones todavía hacen referencia al dominio en sus nombres o URI; primero hay que renombrarlos o quitarlos.
¿Qué propiedad del tenant queda fija al crearlo y no se puede cambiar?
El país o región, que además determina dónde se ubican los datos del tenant.