Plan de salida de la federación local

Salir de la federación significa que la nube pase a validar el inicio de sesión sin el servicio local. La documentación oficial de Microsoft Entra describe para esto un despliegue por etapas: se mueve a un grupo pequeño de usuarios, se comprueba, y se amplía. Funciona solo si la nube ya puede validar a esas personas, y eso exige que el hash de contraseña esté activo y comprobado antes de la primera ola.

Pide SELECT * FROM criterios_de_salida y lee el primero con calma: es el que habilita todos los demás.

Cada aplicación que confía en la federación local necesita una alternativa en la nube registrada antes de la ola que la usa. Casi todas la tienen: se registran como aplicaciones en el proveedor de identidad de la nube. Una no, y no por falta de tiempo, sino por una dependencia externa. Esa aplicación es la que puede bloquear todo el plan.

Pide SELECT * FROM dependencias_de_la_federacion y revisa la columna de alternativa.

El criterio SAL-2 exige que en cada ola el 90 % o más de los usuarios tenga un segundo factor registrado: sin él, mover a la gente a la nube con solo contraseña baja la seguridad. Compara el porcentaje de cada ola de plan_de_migracion contra ese umbral y suma los usuarios de las olas que no lo cumplen.

El certificado de firma de avisos del servicio local tiene fecha de vencimiento. Si vence con usuarios aún federados, la nube deja de confiar en los avisos y esas personas no entran. El criterio SAL-4 pide que cada ola sea anterior a ese vencimiento. Pide SELECT * FROM certificados y compara la fecha con el calendario de las olas.