Microsoft 365 / Desvinculación: bloquear el acceso y entregar el correo electrónico y OneDrive

Al dar de baja a un empleado en Microsoft 365, bloquee primero el acceso, compruebe después la entrega del correo y los datos de OneDrive y, por último, decida la retirada de licencias y la eliminación de la cuenta. Retirar la licencia o eliminar la cuenta antes de tiempo puede dificultar el acceso a los datos necesarios. Coordine los requisitos de conservación, las obligaciones legales y los procedimientos de Recursos Humanos (RR. HH.).

Decisiones a tomar antes de la desvinculación

Registre el momento del bloqueo de acceso, la persona responsable de la transferencia, los correos electrónicos/archivos/materiales de Teams que deben conservarse, el método de manejo de dispositivos personales y de la empresa, y la fecha planificada de eliminación de la cuenta. Si existen obligaciones legales de retención o el empleado está sujeto a investigación, consulte con el personal legal/de seguridad antes de proceder con los procedimientos estándar de eliminación. En un entorno de identidad híbrida, que conecta identidades locales y en la nube, también verifique la cuenta local y el estado de sincronización.

Microsoft organiza el procedimiento de baja de empleados en bloqueo del acceso, conservación de datos, tratamiento de dispositivos, entrega y eliminación de la cuenta. Las opciones disponibles dependen de las políticas y licencias de la organización.

No identifique la cuenta únicamente por el nombre para mostrar. Compare la dirección completa de inicio de sesión y la organización a la que pertenece el empleado antes de efectuar cambios.

En la lista de tareas, cree elementos separados para “Bloqueo de Acceso”, “Entrega de Datos”, “Reemplazo del Propietario” y “Manejo de Producto/Cuenta”. Incluso si el administrador de tecnologías de la información (TI) ha completado el bloqueo, la desvinculación general no se considera completa si el departamento no ha verificado los datos. Además, verifique si el usuario es el único propietario de algún equipo, grupo o aplicación compartida, y prepare un reemplazo del propietario.

Comience bloqueando el acceso

1. En el centro de administración de Microsoft 365, abra Usuarios → Usuarios activos y verifique la dirección completa de inicio de sesión y el inquilino antes de seleccionar la cuenta. Use un administrador autorizado para gestionar ese objetivo; los permisos para restablecer contraseñas o finalizar sesiones de usuarios comunes no cubren automáticamente a los administradores privilegiados.
2. Bloquee el inicio de sesión del usuario objetivo y restablezca la contraseña. Además, considere medidas para invalidar las sesiones de inicio de sesión existentes. No suponga que simplemente cambiar la contraseña terminará inmediatamente las sesiones existentes.
3. Revise el rol de administrador, los grupos, el acceso a aplicaciones, la integración con servicios externos y el registro de dispositivos, y elimínelos o revoquelos según sea necesario. Al eliminar datos de la empresa de un dispositivo móvil, primero verifique su impacto en los datos personales.

En los detalles del usuario seleccionado, elija Bloquear inicio de sesión → Bloquear el inicio de sesión de este usuario → Guardar cambios. Restablezca la contraseña y use Cuenta → Cerrar sesión de todas las sesiones como acciones separadas. El procedimiento de bloqueo de acceso y cierre de sesión de Microsoft señala que el bloqueo de la cuenta puede tardar hasta 24 horas en surtir efecto y que los tokens existentes o la sesión de servicio actual pueden retrasar el cierre de sesión. No interprete una configuración guardada como prueba de que cada aplicación haya dejado de funcionar de inmediato. Para una contención urgente, haga que el personal de seguridad evalúe restricciones adicionales específicas del servicio.

Verifique el estado de la cuenta guardada y los registros de inicio de sesión relevantes. No obtenga las credenciales del exempleado ni se haga pasar por él para comprobar el resultado. Iniciar sesión con una cuenta de prueba no relacionada no establece que el empleado que se va haya sido bloqueado; evalúe el estado de esa cuenta y las acciones realizadas en sus sesiones.

¿Cómo transfiero correo y OneDrive?

Si se necesita continuidad del negocio, decida cómo se entregará el buzón. La conversión a buzón compartido, el acceso delegado y la exportación del correo pueden tener requisitos diferentes de licencia y conservación. Apruebe los destinatarios y la duración de cualquier reenvío automático, por sus implicaciones para la privacidad y la salida de información. Consulte la guía de Microsoft para entregar datos de correo y OneDrive para las vías compatibles.

Para mantener el buzón en servicio, parta de un buzón de usuario con licencia y abra Usuarios → Usuarios activos → el usuario → Correo → Convertir en buzón compartido → Convertir. Verifique el tipo de buzón resultante antes de retirar licencias; quitarlas primero puede ocultar la opción de conversión. La guía de Microsoft para convertir buzones indica que un buzón compartido sin licencia tiene un límite de 50 GB. Un mayor tamaño, el archivado o las funciones de conservación legal pueden exigir licencias adicionales. La conversión no autoriza por sí sola a retirar todas las licencias.

La cuenta de usuario base de un buzón compartido no debe eliminarse. Incluso si el usuario se ha ido, la cuenta conectada es necesaria mientras se mantiene el buzón compartido. El inicio de sesión directo debe permanecer bloqueado y otorgue al sucesor permisos de delegación para leer y enviar para que puedan acceder a él usando su propia cuenta. Revise las reglas de la bandeja de entrada y la configuración de reenvío ya que pueden permanecer, para asegurarse de que esté en el estado previsto.

Para OneDrive, acuerde el propietario receptor, los archivos necesarios y el período de acceso. Para el uso empresarial a largo plazo, mover el material necesario a un sitio de equipo adecuado de SharePoint puede ser preferible a dar a otro empleado acceso indefinido a toda un área personal de almacenamiento de trabajo. Verifique los enlaces existentes y los destinatarios después de la transferencia.

Orden para revisar y transferir archivos de OneDrive

1. Un administrador aprobado abre Usuarios → Usuarios activos → el usuario → OneDrive → Obtener acceso a archivos → Crear vínculo a archivos. Use esta vía administrativa respaldada, no la contraseña del empleado. Confirme que la cuenta y el contenido están en un estado que permite el acceso; el contenido archivado o restringido sin licencia puede requerir primero la licencia correspondiente o la reactivación.
2. Acuerde con el responsable del trabajo los archivos necesarios, el destino final y los requisitos de conservación. Limite el acceso al alcance aprobado y asigne responsables, en lugar de conceder acceso indefinido a todo el espacio de almacenamiento personal del empleado.
3. Utilice un método de mover o copiar compatible para transferir los archivos requeridos al destino aprobado, como un sitio de equipo. No asuma que una copia o descarga incluye el historial de versiones. La guía de desvinculación advierte acerca de las transferencias solo de la última versión; si se deben conservar versiones anteriores, valide el método elegido y el historial del destino antes de eliminar el original. Verifique también los enlaces y permisos.
4. Abra documentos importantes con la cuenta del sucesor y verifique si existen el contenido, los permisos y el historial requerido. No considere que la transferencia está completa simplemente porque el número de archivos coincida.
5. Elimine el acceso administrativo temporal cuando ya no sea necesario y registre el cambio. La guía de entrega proporciona una ruta para el Administrador de SharePoint a través de Centro de administración de SharePoint → Más características → Perfiles de usuario → Abrir → Administrar perfiles de usuario → el usuario anterior → Administrar propietarios de colecciones de sitios. Retire al administrador innecesario de la lista de administradores de la colección de sitios y verifique el resultado guardado; conserve cualquier acceso que todavía sea requerido por un propietario aprobado.

Si la cuenta o OneDrive ya se han eliminado, no utilice la ruta de usuario activo. Consulte la guía de Microsoft para restaurar un OneDrive eliminado y determine si puede recuperarse. La retención de OneDrive para usuarios eliminados es configurable y tiene un valor predeterminado de 30 días; después existe un período separado de 93 días como sitio eliminado, durante el cual un administrador de SharePoint puede restaurarlo. Estos períodos no equivalen a la papelera de un archivo individual. Las opciones de la pestaña OneDrive de usuarios activos no son compatibles con inquilinos Multi-Geo; utilice la vía documentada para ese entorno.

Verificaciones antes de la eliminación de licencias y cuentas

• Confirme que el correo electrónico, OneDrive, Teams, etc., hayan sido entregados y que la persona encargada pueda acceder a los materiales.
• Verifique los requisitos de licencia necesarios para la conversión del buzón compartido o las políticas de retención. No todos los buzones compartidos siempre funcionan sin una licencia.
• Revise la auditoría/retención legal, el período de recuperación y las reglas internas de mantenimiento de registros.
• Luego, obtenga la aprobación para el momento de la eliminación de la licencia y la eliminación de la cuenta, ejecútelo y mantenga un registro de la finalización.

¿Es seguro dejar la cuenta mientras solo se elimina la licencia?

Un OneDrive sin licencia no es un archivo gratuito de forma indefinida. Para los clientes cubiertos por la política actual de cuentas sin licencia de Microsoft, el ciclo de vida predeterminado coloca la cuenta en modo de solo lectura después de 60 días sin licencia y la archiva, o la procesa según el estado de la cuenta y de retención, después de 93 días. Los requisitos aplicables de licencias, facturación y reactivación pueden afectar el acceso. Estos cambios de política no se aplican a los clientes educativos, clientes del Government Community Cloud ni clientes del Departamento de Defensa de EE. UU. El período de almacenamiento activo configurado por una organización también puede cambiar el tiempo predeterminado; consulte los Controles de almacenamiento estándar para cuentas de OneDrive sin licencia de Microsoft.

Desde el 1 de julio de 2026, las cuentas de OneDrive sin licencia incluidas en esta política y sin cobertura de una licencia pagada o una opción de facturación o almacenamiento aplicable acumulan un período de impago de 365 días. Para las cuentas que ya estaban en ese estado el 1 de julio de 2026, el riesgo de eliminación no comienza antes del 1 de julio de 2027. Los casos posteriores dependen de cuándo se alcancen los 365 días acumulados. Conservar la cuenta de usuario no basta como plan de preservación. Compruebe la guía de administración de cuentas de OneDrive sin licencia de Microsoft y Centro de administración de SharePoint → Informes → Cuentas de OneDrive para conocer el estado y las condiciones de conservación y facturación. El responsable de cumplimiento debe aprobar el enfoque de licencias, almacenamiento y archivado cuando los datos deban conservarse.

El período recuperable después de la eliminación y el comportamiento de retención de datos varían según el servicio y la configuración. El registro final incluye el estado del bloqueo, las acciones de la sesión, la persona que confirmó la entrega de los datos, si se debe mantener la cuenta debido a buzones compartidos, licencias revocadas, permisos restantes de admin/aplicación/dispositivo y la próxima fecha de revisión. Si se procesó el objetivo incorrecto, detenga cambios adicionales, verifique el estado actual y los servicios afectados, y luego proceda con los procedimientos de recuperación aprobados.