Modelos de autenticación híbrida y sus compromisos

Cuando una organización conecta su directorio local con una nube, la pregunta de fondo es dónde se valida la contraseña. Hay tres respuestas habituales. En la primera, la nube guarda un derivado del hash de la contraseña y valida ella misma. En la segunda, un agente instalado en la red local recibe la contraseña cifrada y la comprueba contra el dominio. En la tercera, la nube delega todo en un servicio de federación local, que responde con un aviso firmado.

Ninguna es «la mejor»: cada una cambia lo que el grupo debe operar y lo que sigue funcionando cuando algo falla. La documentación oficial de Microsoft Entra describe estos tres modelos con esa misma lógica.

Pide el cuadro con SELECT * FROM modelos_de_autenticacion y compara las columnas de infraestructura y de cuenta deshabilitada.

Las plantas no piden «un modelo», piden capacidades: aplicar el horario del dominio en cada entrada, seguir operando con el dominio caído, integrar un proveedor externo de segundo factor, no abrir puertos. Primero se escriben las capacidades; el modelo sale de ellas, no al revés.

Lee SELECT * FROM capacidades y SELECT * FROM plantas. Busca la exigencia que un solo modelo ofrece y que además no es la que cualquier otro pueda reemplazar.

Hoy las cinco plantas entran por la federación local, que es la opción con más infraestructura que operar. Si el grupo quisiera pasar a hash de contraseña a quienes no pierden nada con el cambio, tendría que sumar los usuarios de las plantas cuya exigencia ese modelo sí cubre. Es un cálculo sobre dos tablas: la de capacidades dice qué modelo las da, la de plantas dice quién las pide.

La guía oficial de Microsoft recomienda activar el hash de contraseña con cualquier modelo principal que se elija. La razón es de continuidad: con paso a través o federación, si el servicio local cae, nadie entra a la nube. Con el hash ya sincronizado, el grupo puede cambiar el método de inicio de sesión y recuperar el acceso en horas. Ojo: el cambio hay que hacerlo a mano, y solo funciona si el hash se activó antes de la falla.