Después de una migración de identidad, los usuarios migrados tienen cuentas en el inquilino de destino, pero sin contraseñas. ShareGate usa el restablecimiento de contraseña de autoservicio (SSPR) de Microsoft Entra ID como mecanismo de incorporación. Este es el paso seguro que permite que cada usuario reclame su nueva cuenta.
Antes de migrar: confirma que SSPR esté listo
SSPR no está habilitado de forma predeterminada en Microsoft Entra ID. Antes de ejecutar la migración, confirma lo siguiente en el inquilino de destino:
SSPR está habilitado para todos los usuarios que se están migrando. Esto requiere una licencia de Entra ID P1, P2 o Microsoft 365 Business Premium.
Las directivas de acceso condicional no bloquearán el flujo de SSPR. Los usuarios migrados aún no tendrán MFA registrada. Si tus directivas de acceso condicional requieren MFA para completar un restablecimiento de contraseña, esos usuarios quedarán bloqueados antes de poder reclamar su nueva cuenta.
Los buzones del inquilino de origen siguen activos cuando los usuarios pasan por el flujo de SSPR. Si los buzones antiguos se dan de baja antes de que los usuarios reclamen sus nuevas cuentas, no podrán recuperar el código de verificación.
Cómo habilitar el flujo de SSPR durante la migración
Cuando ejecutas la migración de identidad, ShareGate te da la opción de establecer la dirección de correo electrónico anterior de cada usuario (por ejemplo, [email protected]) como método de autenticación alternativo en su cuenta recién creada en el inquilino de destino. Habilita esta opción. Es lo que hace posible el flujo de SSPR.
Nota: Actualmente, ShareGate solo admite la dirección de correo electrónico anterior como método de autenticación alternativo para SSPR. El número de teléfono y otros métodos no son compatibles por el momento.
Nota: El mismo cuadro de diálogo de confirmación también incluye un interruptor Suppress welcome emails, que evita que Microsoft notifique a los usuarios agregados a nuevos grupos o equipos durante la migración. Aparece solo cuando se creará al menos un grupo. Consulta Resumen de Copy identities para más detalles.
Si desactivaste la opción y deseas habilitarla más tarde, vuelve a ejecutar la migración con los usuarios afectados seleccionados y activa el interruptor.
Cómo reclaman los usuarios su nueva cuenta
Una vez que la migración esté completa, usa el informe posterior a la migración generado por ShareGate para identificar qué usuarios deben completar el flujo de SSPR.
Abre el informe posterior a la migración e identifica qué usuarios deben completar el flujo de SSPR.
Notifica a esos usuarios que deben restablecer su contraseña para acceder a su nueva cuenta. Entrégales la URL de SSPR de Microsoft para que la escriban ellos mismos. Consulta Cómo comunicar el flujo de SSPR a los usuarios más abajo para orientación sobre cómo redactar la notificación de forma segura.
Cada usuario navega a la página de SSPR de Microsoft e ingresa su nombre de usuario principal (UPN) nuevo, por ejemplo, [email protected].
Microsoft envía un código de verificación a su dirección de correo electrónico anterior, [email protected].
El usuario inicia sesión en su buzón anterior con las credenciales de su inquilino de origen, recupera el código y lo ingresa en la página de SSPR.
El usuario establece una nueva contraseña para la nueva cuenta.
A partir de ahí, puede registrar métodos de MFA y comenzar a trabajar con normalidad en el nuevo inquilino.
Por qué este flujo es seguro
El flujo de SSPR tiene una segunda barrera integrada: para recuperar el código de verificación, el usuario debe autenticarse en el inquilino de origen con sus credenciales anteriores. Esto significa que, incluso si un atacante sabe que existe una nueva cuenta y conoce el nuevo UPN, no puede completar el flujo sin acceso al buzón anterior.
Cómo comunicar el flujo de SSPR a los usuarios
Mantén el correo de notificación libre de vínculos. Indica a los usuarios que naveguen ellos mismos a la página de SSPR de Microsoft y bríndales la URL para que la escriban. No incluyas un vínculo en el que se pueda hacer clic.
Un mensaje con un vínculo directo de "haz clic aquí para restablecer tu contraseña" tiene el mismo formato que un ataque de phishing. Los usuarios con conciencia de seguridad, especialmente en entornos empresariales, están entrenados para desconfiar exactamente de ese patrón. Una URL en texto simple que ellos mismos escriben elimina cualquier ambigüedad, y si el correo se reenvía o se intercepta, no hay nada que se pueda usar en su contra.
Este artículo fue traducido con inteligencia artificial. En caso de duda, consulta la versión original en inglés.