Registros de aplicaciones vs aplicaciones empresariales (service principals), permisos de API, consentimiento de administrador y configuración de consentimiento de usuario

Cuando registras una aplicación en Microsoft Entra ID intervienen dos objetos. El objeto de aplicación (application object), que ves en App registrations, es la definición global de la aplicación: su nombre, el ID de aplicación (cliente), los URI de redirección, las credenciales (secretos de cliente o certificados), los permisos que solicita y los roles de aplicación o ámbitos (scopes) que expone. Vive en el tenant de origen de la aplicación. El service principal, que ves en Enterprise applications, es la instancia local de esa aplicación en un tenant específico. Es lo que realmente inicia sesión, recibe usuarios asignados, obtiene consentimiento y es objetivo de Conditional Access. Un objeto de aplicación puede tener service principals en muchos tenants (una aplicación multitenant), cada uno con su propio consentimiento y sus propias asignaciones.