Migración de Active Directory On-Premise a Entra ID: Arquitectura y Estrategias Avanzadas

El Paradigma Cloud-Native: De AD DS a Entra ID#

La migración de un entorno Active Directory Domain Services (AD DS) tradicional hacia Microsoft Entra ID (anteriormente Azure AD) no es un simple "lift-and-shift". Exige un rediseño profundo en la gestión de identidades, pasando de protocolos basados en la red local (Kerberos, NTLM, LDAP) a estándares de federación modernos (SAML 2.0, OAuth 2.0, OpenID Connect).

Entra ID actúa como el plano de control central (Identity Control Plane) bajo una arquitectura Zero Trust, delegando el acceso a recursos según el contexto del usuario, el dispositivo y el riesgo en tiempo real, no según la topología de red.

Topologías de Identidad Híbrida vs. Cloud-Only

El enfoque más común en arquitecturas corporativas complejas es la Identidad Híbrida, utilizando Microsoft Entra Connect Sync o Entra Cloud Sync. Sin embargo, para infraestructuras greenfield o procesos de modernización agresivos, el modelo Cloud-Only elimina la dependencia de controladores de dominio locales.

Nota Importante: Si la infraestructura depende de GPOs (Group Policy Objects) masivas, el salto a Entra ID requiere transicionar hacia Microsoft Intune usando Configuration Profiles y Administrative Templates para la gestión del endpoint (MDM/MAM).

Entra Cloud Sync: El Nuevo Estándar de Sincronización#

A diferencia de Entra Connect tradicional (que requiere una base de datos SQL local), Entra Cloud Sync opera mediante agentes ligeros desplegados en los servidores on-premise, orquestando la sincronización directamente desde la nube. Esto aporta resiliencia: múltiples agentes pueden desplegarse para alta disponibilidad sin clusters complejos.

Despliegue del Agente de Cloud Sync por PowerShell

Para automatizar la instalación del agente en un Windows Server core, podemos usar el siguiente script en PowerShell. Es fundamental disponer de un Service Principal con permisos de Hybrid Identity Administrator.

# Descarga e instalación silenciosa del agente de Entra Cloud Sync
$DownloadUrl = "https://go.microsoft.com/fwlink/?linkid=2135805"
$InstallerPath = "C:\Temp\AADConnectProvisioningAgentSetup.exe"

Invoke-WebRequest -Uri $DownloadUrl -OutFile $InstallerPath

# Instalación desatendida
Start-Process -FilePath $InstallerPath -ArgumentList "/q" -Wait

# Nota: La configuración posterior requiere autenticación interactiva 
# o el uso de un token de API para registrar el agente en el tenant.

Estrategias Avanzadas: Password Hash Synchronization (PHS) y SSO Seamless#

Para evitar la complejidad y los puntos de fallo de Active Directory Federation Services (AD FS), la arquitectura recomendada es PHS (Password Hash Synchronization) combinada con Seamless Single Sign-On (SSO).

PHS no sincroniza la contraseña en texto plano, sino un hash del hash de la contraseña de AD DS. Esto permite a Entra ID validar la credencial sin consultar al entorno on-premise, mejorando la disponibilidad y habilitando capacidades de Identity Protection como la detección de credenciales filtradas.

Validación del Estado de Sincronización de Hashes

En entornos operativos, es crítico auditar que el PHS está funcionando correctamente. A continuación, un script de diagnóstico para el módulo ADSync:

Import-Module ADSync

# Forzar sincronización delta
Start-ADSyncSyncCycle -PolicyType Delta

# Verificar eventos de error en PHS
Get-EventLog -LogName Application -Source "Directory Synchronization" `
    -EntryType Error -Newest 10 | Select-Object TimeGenerated, Message

Conditional Access y Zero Trust Post-Migración#

Una vez las identidades residen en Entra ID, el perímetro de seguridad se desplaza a las políticas de Acceso Condicional (Conditional Access).

El siguiente bloque representa una configuración como código (Configuration as Code) en formato JSON, utilizable a través de Microsoft Graph API, para bloquear autenticaciones heredadas (Legacy Authentication) que no soportan MFA.

{
  "displayName": "Block Legacy Authentication",
  "state": "enabled",
  "conditions": {
    "clientAppTypes": [
      "exchangeActiveSync",
      "other"
    ],
    "users": {
      "includeUsers": ["All"]
    }
  },
  "grantControls": {
    "operator": "OR",
    "builtInControls": [
      "block"
    ]
  }
}

Nota Importante: Antes de activar políticas de bloqueo a nivel global, utiliza el modo reportOnly para evaluar el impacto en los logs de inicio de sesión de Entra ID y evitar disrupciones en servicios críticos como impresoras o escáneres antiguos (SMTP Auth).

Conclusión#

Migrar de Active Directory On-Premise a Entra ID es una transformación estructural. Exige reemplazar LDAP por Graph API, Kerberos por OIDC, y GPOs por políticas de Intune. Adoptar Entra Cloud Sync y arquitecturas de acceso condicional permite a la empresa escalar de forma segura hacia un ecosistema de Digital Workplace verdaderamente moderno y resistente.