Microsoft 365 / Configuración de un nuevo empleado: cuentas, licencias y acceso

Para incorporar a un empleado que utilizará Microsoft 365, cree la cuenta, confirme la ubicación de uso y las licencias necesarias, conceda las pertenencias a grupos y los roles aprobados y verifique su primer inicio de sesión y acceso. Crear una cuenta por sí solo no deja preparados el correo y los servicios de colaboración. Empiece por una lista aprobada de requisitos de acceso y compruebe que el empleado pueda utilizar los servicios necesarios.

Información a obtener antes de comenzar

Confirme con Recursos Humanos y los responsables del negocio el nombre para mostrar, el nombre de usuario y la dirección de correo electrónico del nuevo empleado a utilizar, la fecha de inicio, el departamento, el país/región de trabajo, las aplicaciones requeridas, el alcance de acceso al equipo/sitio y el rol de administrador. También verifique que no existan cuentas con el mismo nombre o alias existentes. Incluso al crear varias cuentas a la vez, no copie uniformemente los permisos y licencias; verifíquelos según las funciones laborales.

Las licencias solo se pueden asignar si la organización tiene una suscripción y licencias disponibles. La ubicación de uso aplicada al usuario se designa en función de la información real del trabajo, ya que está relacionada con la disponibilidad del servicio. Puede verificar el menú actual y las condiciones de permisos en la guía de Microsoft para agregar usuarios y la guía para asignar licencias.

División de responsabilidades de solicitud, aprobación, ejecución y verificación

Una solicitud para copiar la configuración de un empleado cercano no reemplaza una lista de permisos aprobada: ese empleado puede tener acceso temporal a proyectos o privilegios administrativos. Para una reincorporación, inspeccione cuentas existentes y eliminadas y los requisitos de transferencia de datos antes de crear otra cuenta. En una organización que sincroniza un directorio local, primero establezca cuál directorio es el autorizado y cree la cuenta a través de ese proceso aprobado.

Orden de configuración de cuenta y licencia para un nuevo empleado

1. En la vista del panel del centro de administración de Microsoft 365, abra Usuarios → Usuarios activos, busque el nombre de inicio de sesión y las direcciones existentes, y verifique los licencias disponibles. Utilice una cuenta autorizada para crear usuarios, como un Administrador de usuarios dentro de su alcance permitido. Un Administrador de licencias puede administrar asignaciones de licencias pero no puede crear usuarios únicamente por tener ese rol; consulte los permisos de Administrador de licencias de Microsoft.
2. Seleccione Agregar un usuario. Ingrese el nombre, nombre de usuario y dominio, verifique las reglas de nomenclatura de la organización y establezca la ubicación de uso al asignar licencias de productos. Revise la configuración de la contraseña, incluyendo requerir un cambio de contraseña al primer inicio de sesión para esta cuenta basada en contraseña. Si el inquilino utiliza un directorio de origen sincronizado, siga su proceso aprobado de creación y sincronización en lugar de crear una cuenta en la nube duplicada.
3. Seleccione las licencias de productos y planes de servicio requeridos. Elija según las funciones realmente necesarias para el trabajo, como correo, Teams y aplicaciones de escritorio, y no asigne productos innecesarios por costumbre.
4. Revise la configuración y seleccione Finalizar la adición. Vuelva a abrir al usuario en Usuarios → Usuarios activos → Licencias y aplicaciones y verifique los productos y planes de servicio guardados. La asignación de licencias y la provisión de servicios son estados separados; un buzón aún puede estar en preparación después de que se asigna una licencia.

Decida el método de entrega de la contraseña inicial y el método de verificación del usuario antes de crear la cuenta. Haga que el usuario cambie la contraseña y registre la autenticación durante su primer inicio de sesión y no le pida que proporcione la nueva contraseña o el código de autenticación al administrador. Las rutas detalladas de entrada y las ramas de errores se pueden consultar en guía de creación de cuentas y asignación de licencias.

¿Cómo se otorgan los grupos y permisos de acceso?

Los grupos de seguridad pueden controlar el acceso a aplicaciones o recursos y el alcance de las políticas; los grupos de Microsoft 365 pueden conectar recursos de colaboración como Teams y SharePoint. Obtenga la aprobación del negocio y de los propietarios de los recursos antes de agregar al empleado. Si las licencias se basan en grupos, identifique qué asignaciones son directas y cuáles son heredadas, y verifique productos o planes de servicio incompatibles en lugar de agregar asignaciones directas adicionales para ocultar un error. La guía de Microsoft sobre licencias basadas en grupos explica el flujo de trabajo de asignación y solución de problemas.

El rol de administrador se trata por separado de los permisos generales de usuario. Solo conceda los permisos mínimos necesarios para las tareas asignadas y, si es posible, separe las cuentas de trabajo generales de las cuentas administrativas.

Para la membresía de Teams, abra el centro de administración de Teams → Equipos → Administrar equipos → el equipo objetivo → Miembros y agregue la cuenta aprobada; Microsoft documenta estos controles en su guía para asignar propietarios y miembros del equipo . Para la seguridad o grupos de Microsoft 365, use Equipos y grupos → Equipos y grupos activos en el centro de administración de Microsoft 365. No otorgue a un lector de SharePoint la membresía completa del equipo solo para que un archivo sea accesible, porque la membresía puede otorgar permisos de edición y otras colaboraciones. Verifique la lectura del buzón compartido y la delegación de envío por separado de la membresía del grupo.

Secuencia de verificación para organizaciones que usan licencias basadas en grupos

1. Primero, verifique los productos y aplicaciones asociados con el grupo de licencias para el rol de trabajo correspondiente. Para grupos dinámicos, también asegúrese de que los atributos de los nuevos empleados, como el departamento, coincidan con las reglas.
2. Agregue al usuario al grupo aprobado y lea la lista de miembros nuevamente. No asuma que una estructura anidada donde un usuario se agrega solo a otro grupo dentro del grupo propagará las asignaciones de licencias.
3. Verifique los resultados reales de la asignación en Facturación → Licencias bajo los detalles del producto y del usuario. La adición exitosa a un grupo y la asignación exitosa del producto son estados separados.
4. Si la asignación falla, abra Facturación → Licencias → el producto → Errores y problemas. Inspeccione al usuario afectado por falta de licencias, ubicación de uso inválida o conflictos entre planes de servicio. Corrija la causa, luego seleccione Volver a procesar en los detalles del error del usuario y verifique nuevamente la asignación resultante. No asigne directamente otro producto únicamente para ocultar el error original.

Un usuario puede recibir licencias por varias vías; registre las asignaciones directas y los grupos de los que proceden las heredadas. Para trasladarlo a otro grupo de licencias, agréguelo primero al grupo de destino, compruebe que la nueva licencia se haya aplicado y solo entonces retírelo del grupo anterior. Verifique por separado la asignación de licencias y la retirada del acceso a los datos.

Qué verificar antes del primer inicio de sesión

• Asegúrese de que la contraseña inicial y el método de entrega cumplan con los procedimientos de seguridad de la organización y guíe al usuario a cambiar la contraseña en el primer inicio de sesión.
• Explique la autenticación multifactor (MFA), que verifica la identidad utilizando más de un tipo de factor, y comunique al empleado qué métodos de registro permite la organización. Explique también cualquier requisito de inscripción de dispositivos y de Acceso Condicional. Deje tiempo para preparar un método de autenticación aprobado; los administradores no deben recopilar los códigos de verificación del empleado.
• Verifique con el nuevo empleado o la persona responsable la dirección de recepción de correo electrónico, el acceso requerido al equipo/sitio y la disponibilidad de la aplicación.
• Si hay un problema, acote la causa revisando los resultados de asignación de licencias, membresía en grupos, registros de inicio de sesión y estado del servicio.

Prueba de trabajo del primer día y registros de entrega

Por ejemplo, utilice los siguientes controles al incorporar a un representante de ventas. Use documentos sin información real de clientes y destinatarios de correo electrónico aprobados.

1. El nuevo empleado inicia sesión con la cuenta de empresa correcta y completa el registro y la autenticación MFA. Si se requiere el registro del PC de la empresa, verifique también la preparación del dispositivo y los resultados de acceso condicional.
2. Abra el buzón en Outlook para la web y verifique el envío y recepción de pruebas internas y externas. Si utiliza un buzón compartido, también verifique el acceso de delegación de su cuenta y la identidad del remitente permitido.
3. Abra documentos de prueba en el equipo/sitio designado y realice la lectura y edición de acuerdo con sus funciones laborales. El simple hecho de poder abrir enlaces de carpetas no significa que todos los permisos de datos sean apropiados.
4. Instale y active las aplicaciones de escritorio necesarias y guarde los documentos. Distinga dónde ocurren fallos entre los derechos de licencia de la aplicación, el acceso a archivos y las políticas del dispositivo.
5. Proporcione al empleado y al contacto del departamento un registro de las verificaciones completadas y pendientes, junto con el contacto de soporte. Registre quién eliminará el acceso temporal y limpiará los materiales de prueba, y cuándo se debe realizar ese trabajo.

Si el paso de inicio de sesión falla, verifique el registro de inicio de sesión; si solo la aplicación no se abre, verifique la licencia y la preparación del servicio; si solo un archivo específico no se abre, verifique los permisos de almacenamiento reales. No cree cuentas nuevas repetidamente solo porque un nuevo empleado no pueda iniciar sesión en su primer día. Para grupos o roles asignados incorrectamente, revoque solo ese elemento y también verifique si permanece el acceso a otros trabajos.