Desmitificando la descoordinación de UPN en la identidad híbrida: qué es lo que realmente se rompe y cómo solucionarlo

Microsoft recomienda que el nombre principal de usuario (UPN) de Active Directory local coincida con el ID de Microsoft Entra UPN. Muchas empresas no pueden seguir esa recomendación: el UPN local está vinculado a Kerberos, keytabs, integraciones LDAP, VPN, gestión de accesos privilegiados y una década de configuración de aplicaciones. Este artículo explica qué depende realmente del UPN local en un entorno de identidad híbrido, qué falla cuando los dos UPN difieren, la diferencia entre UPN enrutables y no enrutables, y las opciones soportadas cuando no es factible renombrar miles de cuentas on-premise. Todo lo que aparece a continuación se basa en un proyecto real de cliente con miles de usuarios, anonimizado y validado según la documentación actual de Microsoft.

1. Resumen Ejecutivo

En un entorno de identidad híbrida gestionada (sincronización de hash de contraseña o autenticación pasada, sin federación), Windows inicia sesión en Microsoft Entra ID con el UPN local, no con el UPN en la nube. La solicitud de Token de Actualización Primario (PRT) que se ejecuta en cada inicio de sesión de Windows en un dispositivo híbrido unido transporta el UPN local y depende de que el ID de Entra resuelva el sufijo UPN local al tenant. Si el sufijo no es un dominio verificado en el tenant, la solicitud falla con AADSTS50034 (el usuario no existe en el tenant), no se emite ningún PRT y todo lo que depende del PRT falla silenciosamente: inicio de sesión único en navegadores y Office, reclamaciones de dispositivo para Acceso Condicional, confianza Kerberos en Windows Hello for Business Cloud y registro automático en Intune, porque la URL de inscripción del MDM se descubre a través del token de usuario.

El propio dispositivo sigue informando de unión híbrida, por eso el problema se oculta durante meses. La solución no requiere UPN idénticos. La matriz de soporte de Microsoft requiere un sufijo UPN enrutable local que se verifique en el tenant y se sincronice con el atributo onPremisesUserPrincipalName (UsuarioNombrePrincipal) en las instalaciones. Verificar el dominio raíz del sufijo local restaura el PRT para toda la flota sin cambiar ni una sola cuenta local. Las funciones alternativas de ID de acceso, que suelen ser lo primero que la gente prueba, no arreglan la identidad del dispositivo.

2. Alcance, Supuestos y Modelo de Entorno

• Solo dominios gestionados de Microsoft Entra ID: Sincronización de Hash de Contraseña (PHS) o Autenticación Pass-through (PTA). Los entornos federados (AD FS o un proveedor de identidad externo) se comportan de forma diferente porque WS-Trust realiza la correspondencia de usuario y están fuera de alcance.
• Dispositivos Windows 10 y Windows 11 que están unidos a dominio y con Microsoft Entra híbrido.
• Sincronización de identidad con Microsoft Entra Connect Sync (la misma lógica se aplica a Microsoft Entra Cloud Sync).
• La inscripción automática de Microsoft Intune se activa por la Directiva de Grupo o por la cogestión del Gestor de Configuración.
• El UPN local y el UPN del ID Microsoft Entra son diferentes para el mismo usuario, y un cambio masivo de nombre de los UPN locales no es una opción.

3. Cuatro atributos que no deben confundirse

La mayoría de las discusiones sobre UPN salen mal porque cuatro valores diferentes se llaman «el nombre de usuario». Si los separas, el resto del análisis se vuelve sencillo.

• UPN local (userPrincipalName) – vive en el objeto de usuario de Active Directory. Utilizado por inicio de sesión en Windows, Kerberos, aplicaciones LDAP, teclas de teclado, VPN y PAM. Este es el valor que Windows aporta a Entra ID durante la adquisición de PRT. Ejemplo: jsmith7@corp.internal.contoso.com
• Cloud UPN (userPrincipalName) – vive en el objeto de usuario Microsoft Entra ID. Se usa como nombre de inicio de sesión en la página de inicio de sesión de Microsoft, por la mayoría de aplicaciones en la nube, licencias y asignaciones de grupo, y aplicaciones de Microsoft 365. Ejemplo: john.smith@fabrikam.com
• onPremisesUserPrincipalName – atributo de solo lectura en el objeto de usuario Entra ID, repoblado por Entra Connect. El puente que utiliza Entra ID para emparejar un inicio de sesión de Windows (UPN local) con un usuario en la nube cuando los dos UPN difieren. Ejemplo: jsmith7@corp.internal.contoso.com
• Direcciones de correo y proxy – Están en ambos directorios. Se utiliza para el enrutamiento de correos electrónicos, como fuente del UPN en la nube en Alternate login ID (Entra Connect), y para Email como un ID de inicio de sesión alternativo (política HRD). Ejemplo: john.smith@fabrikam.com

Regla general: Windows se comunica con Microsoft Entra ID mediante el UPN local. Los usuarios se comunican con Microsoft Entra ID mediante el UPN en la nube. Entra ID solo puede conectar ambos si el sufijo UPN local es un dominio que el inquilino conoce.

4. Cómo Microsoft Entra Connect construye el UPN en la nube

El UPN en la nube se calcula en el momento de sincronización. Dos ajustes determinan si el resultado coincide, no coincide o es inesperado onmicrosoft.com Dirección.

4.1 Atributo fuente

Por defecto, Entra Connect sincroniza el userPrincipalName local como el UPN en la nube. Durante la configuración inicial, el asistente permite seleccionar un atributo diferente, normalmente correo, como fuente del UPN en la nube. Microsoft llama a este ID de inicio de sesión alternativo en Entra Connect. Es el origen más común de una desadaptación UPN en entornos maduros: los usuarios obtienen un desajuste amigable first.last@company.com nombre de inicio de sesión en la nube, mientras que el UPN local permanece como un ID de inicio de sesión corto con un sufijo interno.

4.2 Verificación de sufijos

Independientemente del atributo fuente, Entra ID comprueba si el sufijo del valor es un dominio personalizado verificado en el tenant. Si lo es, el valor se conserva. Si no lo es, se mantiene el prefijo y el sufijo se reemplaza por el inicial tenant.onmicrosoft.com dominio. El mismo recálculo ocurre al revés cuando un dominio se verifica más adelante: en el siguiente ciclo de sincronización, los usuarios cuyo valor de origen tiene ese sufijo reciben el sufijo verificado en lugar de onmicrosoft.com.

• Fuente jsmith7@corp.internal.contoso.com, ninguno corp.internal.contoso.com ni contoso.com Verificado – el UPN en la nube se convierte en jsmith7@tenant.onmicrosoft.com. Resultado: desajuste no enrutable.
• Correo fuente = john.smith@fabrikam.com (ID de acceso alternativo), fabrikam.com Verificado – el UPN en la nube se convierte en john.smith@fabrikam.com. Resultado: UPN en la nube con aspecto enrutable, desajustado con el UPN local.
• Fuente jsmith7@corp.internal.contoso.com, raíz contoso.com Verificado – la UPN en la nube permanece jsmith7@corp.internal.contoso.com. Resultado: igualado.

Ubicación de configuración: Asistente de sincronización Microsoft Entra Connect, Configurar > Personalizar opciones de sincronización > Inicio de sesión con Microsoft Entra, campo Nombre principal de usuario (userPrincipalName o un atributo alternativo). Los dominios verificados se gestionan en el centro de administración de Microsoft Entra bajo Entra ID > Nombres de dominio.

5. Por qué Microsoft recomienda emparejar los UPN

Combinar UPN no es una preferencia estética. Cada uno de los siguientes componentes asume que la identidad que presenta Windows es la identidad que almacena el ID de Entra.

• Iniciar sesión de Windows en PRT. El plugin CloudAP en Windows envía el UPN local a Entra ID durante la adquisición del PRT. Con UPN coincidentes, la solicitud es un impacto directo en el objeto usuario.
• Matriz de soporte de unión híbrida. Para dominios gestionados, la unión híbrida solo se soporta cuando el sufijo UPN local es enrutable y verificado en Entra ID, y sincronizado con onPremisesUserPrincipalName.
• Una identidad para los usuarios. Los usuarios ven un nombre en Windows, Office, Teams y en la página de inicio de sesión. Menos accesos de cuentas incorrectas y menos tickets en el mostrador de servicio.
• Kerberos y confianza en la nube. Windows Hello for Business Cloud Kerberos trust, Seamless SSO y acceso a recursos locales se asignan todos a la cuenta de Active Directory.
• Restablecimiento de contraseña de autoservicio. El SSPR del ID Entra desde la pantalla de bloqueo de Windows se documenta como no soportado cuando el UPN local difiere del UPN del ID de Entra.
• Reclamaciones de solicitud. unique_name y preferred_username siguen el identificador de inicio de sesión. Las aplicaciones que tratan el UPN como inmutable se comportan de forma impredecible cuando difiere entre directorios.

La versión honesta: las UPN compatibles son el diseño limpio, pero la matriz de soporte no requiere UPN idénticas. Requiere un sufijo UPN enrutable y verificado en las instalaciones. Esa distinción es la base de cada opción descrita más adelante en este artículo.

6. Lo que realmente rompe: la cadena de dependencia del PRT

6.1 Cómo un dispositivo híbrido unido obtiene una PRT en un dominio gestionado

1. El usuario inicia sesión en Windows con las credenciales locales (jsmith7@corp.internal.contoso.com).
2. El plugin CloudAP realiza el descubrimiento del reino de origen: pregunta a Entra ID qué inquilino posee el sufijo corp.internal.contoso.com.
3. Entra ID resuelve el sufijo a un dominio verificado en el tenant. Un dominio raíz verificado (contoso.com) cubre todos los subdominios usados como sufijo UPN.
4. Entra ID localiza el objeto de usuario por onPremisesUserPrincipalName, no por el UPN en la nube.
5. Las credenciales se validan (agente PTA o PHS), y el dispositivo demuestra su unión híbrida con la clave del dispositivo.
6. Se emite el PRT. dsregcmd /status muestra AzureAdPrt YES, CloudTgt YES y MdmUrl poblados.

6.2 Donde muerde la descoordinación

El paso 3 falla cuando el sufijo en las instalaciones no se verifica en el inquilino. Entra ID o bien no encuentra teneador para el sufijo, o encuentra otro tenant diferente que haya verificado el dominio raíz (común en grupos de empresas donde la empresa matriz posee el dominio raíz). La solicitud PRT se rechaza con AADSTS50034 y la identidad de usuario registrada en el error es el UPN local, no el UPN en la nube. El dispositivo permanece unido híbrido, porque la unión híbrida es una operación de dispositivo que tuvo éxito. Solo falta el PRT de usuario.

6.3 Impacto por componente

• Hybrid join (dispositivo). Depende del punto de conexión de servicio, la clave del dispositivo y el objeto dispositivo sincronizados por Entra Connect. Sano: AzureAdJoined YES, DeviceAuthStatus ÉXITO. Con un desajuste no resuelto: sigue siendo SÍ y ÉXITO. Engañoso: el dispositivo está en buen estado, el usuario no.
• Token de actualización principal (usuario). Depende de que el sufijo sea resoluble para el inquilino y de que el usuario coincida en onPremisesUserPrincipalName. Saludable: AzureAdPrt SÍ, renovado cada cuatro horas. Con una discrepancia: AzureAdPrt NO, AADSTS50034 en el estado de intento PRT.
• Inicio de sesión único en navegadores y Office (WAM) y SSO sin interrupciones. Depende del PRT para Windows 10 y posteriores, y de un ticket de Kerberos para la cuenta de ordenador AZUREADSSOACC para Seamless SSO en otras plataformas. Saludable: inicio de sesión silencioso en Edge, Office, Teams. Con una discrepancia: prompts repetidos de credenciales, avisos de cuentas incorrectas, fallos de acceso condicional basado en dispositivos.
• Acceso condicional basado en dispositivos. Depende de las reclamaciones del dispositivo que se lleven dentro del PRT. Sano: presente una reclamación conjunta o de forma híbrida. Con una discrepancia: la política evalúa un dispositivo desconocido y bloquea o solicita avisos.
• Inscripción automática en Intune. Depende del PRT para descubrir MdmUrl desde la configuración de inscripción MDM del inquilino, además de un disparador (GPO o cogestión). Saludable: MdmUrl se ha llenado, la inscripción completada. Con un desajuste: MdmUrl vacía, cero eventos de inscripción, fallo silencioso en toda la flota.
• Windows Hello for Business Cloud Kerberos trust. Depende del PRT más el TGT de Cloud. Saludable: CloudTgt SÍ. Con una discrepancia: no provisionable.

6.4 Cómo reconocerlo en cinco minutos

Tres comandos en un solo dispositivo son suficientes para confirmar un problema de desajuste de UPN antes de abrir un caso de soporte.

dsregcmd /status
----- Device State --------------------------------
         AzureAdJoined : YES
          DomainJoined : YES
      DeviceAuthStatus : SUCCESS      <- device is fine
----- Tenant Details ------------------------------
            TenantName :              <- not resolved
                MdmUrl :              <- empty, no enrollment
----- SSO State -----------------------------------
            AzureAdPrt : NO           <- user is not
        Attempt Status : 0xc000006d  Server error: AADSTS50034
         User Identity : jsmith7@corp.internal.contoso.com

# Home realm discovery: which tenant owns the on-premises UPN suffix?
curl -s "https://login.microsoftonline.com/getuserrealm.srf?login=jsmith7@corp.internal.contoso.com&json=1"
{"NameSpaceType":"Managed","DomainName":"contoso.com","FederationBrandName":"<other tenant>"}
# DomainName resolves to a root verified in a different tenant:
# the PRT request lands in the wrong directory

# Microsoft Graph: the two UPNs side by side
GET https://graph.microsoft.com/v1.0/users/john.smith@fabrikam.com?$select=userPrincipalName,mail,onPremisesUserPrincipalName,onPremisesSamAccountName
userPrincipalName           : john.smith@fabrikam.com
mail                        : john.smith@fabrikam.com
onPremisesUserPrincipalName : jsmith7@corp.internal.contoso.com
onPremisesSamAccountName    : jsmith7
# Verified domains in the tenant
GET https://graph.microsoft.com/v1.0/domains?$select=id,isVerified,isDefault,isInitial

7. UPN enrutable vs no enrutable: La matriz oficial de soporte

Microsoft define la routabilidad con una pregunta: ¿es el sufijo UPN local un dominio público que posees y has verificado en Microsoft Entra?

• UPN enrutable en las instalaciones. El sufijo se registra en un registrador de dominios y se verifica en el tenant. No tiene por qué ser igual al sufijo UPN de la nube: contoso.org En las instalaciones y contoso.com En la nube sigue siendo enrutable, siempre que ambos estén verificados.
• UPN no enrutable en las instalaciones. El sufijo no tiene dominio verificado y solo tiene significado dentro de la red privada: contoso.local, corp.internal o un subdominio de aspecto público que nunca fue verificado.

La matriz de soporte de unión híbrida por tipo de UPN y tipo de dominio:

• UPN enrutable, dominio federado – Windows 10 1703 y posteriores. Generalmente disponible.
• UPN no enrutable, dominio federado – Windows 10 1803 y posteriores. Disponible en general; WS-Trust realiza la emparejamiento de usuarios.
• UPN enrutable, dominio gestionado (PHS o PTA) – Windows 10 1803 y posteriores. Generalmente disponible. El UPN local debe sincronizarse con onPremisesUserPrincipalName. El SSPR desde la pantalla de bloqueo de Windows no es compatible cuando los UPN difieren.
• UPN no enrutable, dominio gestionado (PHS o PTA) – No soportado. Sin PRT de usuario, sin SSO, sin inscripción automática en Intune.

La matriz se aplica únicamente al UPN de usuario local. No se ve afectado por el sufijo del dominio informático (por ejemplo computer1.corp.internal.contoso.com), que pueden permanecer no enrutables.

7.1 La zona gris: sufijos de aspecto público que no están verificados

La documentación utiliza contoso.local como ejemplo no enrutable, lo que lleva a muchos administradores a creer que cualquier nombre de dominio real es enrutable. En la práctica, los casos peligrosos parecen perfectamente enrutables y aun así fracasan:

• contoso.local – clásico no enrutable; No se puede verificar. Acción: añadir un sufijo UPN enrutable en los Dominios y Trusts de Active Directory y reasignar los UPN de usuario, o federar.
• corp.internal.contoso.com – subdominio de un dominio público. No enrutable para Entra ID hasta el subdominio o la raíz contoso.com se verifica en este inquilino. Acción: verificar el dominio raíz (que cubre todos los subdominios) o el subdominio.
• contoso.com verificado en otro inquilino – el descubrimiento del reino de origen envía todas las solicitudes de PRT a ese inquilino. No es enrutable para ti. Acción: liberar el dominio del otro tenant y verificarlo aquí, o añadir el subdominio a través de Microsoft Graph.
• contoso.com verificado en este inquilino – Enrutable. También versiones corp.internal.contoso.com y todos los demás subdominios para la emisión de PRT. Acción: nada, este es el estado objetivo.

De la documentación de Microsoft sobre la planificación de la incorporación híbrida: «Si contoso.com está registrado como un dominio personalizado confirmado, los usuarios pueden obtener un PRT incluso si su sufijo AD-DS UPN sincronizado en las instalaciones está en un subdominio como test.contoso.com.» Un dominio raíz verificado puede resolver todo un bosque de sufijos internos.

8. Proyecto del mundo real: síntomas, diagnóstico, causa raíz

8.1 El medio ambiente

• Un solo bosque de Active Directory con miles de usuarios; Microsoft Entra Connect Sync con un servidor activo y uno de staging; Autenticación de paso directo; SSO sin costuras desactivado; Sin federación.
• UPN local: un ID de inicio de sesión de ocho caracteres en un subdominio interno del dominio raíz público de la empresa (jsmith7@corp.internal.contoso.com en este artículo).
• Cloud UPN construido desde el atributo mail a través del ID de inicio de sesión alternativo en Entra Connect (john.smith@fabrikam.com). Los dominios de marca se verificaron en el tenant; el sufijo interno y su dominio raíz no lo eran. El dominio raíz había sido verificado en otro tenant del mismo grupo.
• Dispositivos Windows 11, unión híbrida, cogestión del Gestor de Configuración, Intune con licencia para todos los usuarios.
• Intercambio híbrido con todos los buzones locales; una plataforma de identidad Keycloak y varios sistemas de terceros vinculados al UPN local; Usa el correo electrónico como ID de usuario alternativo habilitado en el tenant.
• Restricción estricta: se rechazó un cambio masivo de nombre de las UPN locales debido al número de integraciones downstream y al riesgo operativo.

8.2 Síntomas

La inscripción automática de Windows en Intune nunca ocurrió. El registro de eventos DeviceManagement-Enterprise-Diagnostics-Provider/Admin en los dispositivos de prueba no contenía ningún evento de auto-inscripción (IDs 75 y 76). Todas las consolas informaban de los dispositivos como híbridos, por lo que el problema se clasificó inicialmente como una cuestión de configuración de Intune.

8.3 Diagnóstico

Primero tratamos el ticket como un problema de identidad, porque la inscripción de Intune en un dispositivo híbrido junto necesita un PRT de usuario para descubrir la URL de inscripción MDM. La cadena de pruebas:

1. dsregcmd /status: AzureAdJoined YES, DeviceAuthStatus SUCCESS, AzureAdPrt NO, TenantName y MdmUrl empty, PRT attempt status AADSTS50034 con el UPN local como identidad de usuario.
2. getuserrealm para el UPN local: NameSpaceType Managed, DomainName igual al dominio raíz que pertenecía a otro inquilino.
3. Microsoft Graph: userPrincipalName difería de onPremisesUserPrincipalName; el sufijo interno y su raíz estaban ausentes en la lista de dominios verificados. Un caso de control confirmó la fuente UPN en la nube: un usuario cuya dirección de correo estaba en el dominio raíz no verificado había recibido un tenant.onmicrosoft.com UPN en la nube con el prefijo de correo, que es exactamente el comportamiento de respaldo descrito en la sección 4.
4. Registro: la clave de política de auto-inscripción MDM (HKLM\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\MDM) no existía; las inscripciones existentes eran inscripciones en contexto de dispositivo para la gestión de configuración declarada y de la configuración de seguridad de Defender, sin inscripción de usuario.

8.4 Causa raíz

Un sufijo UPN no enrutable en las instalaciones en un dominio gestionado. Según la matriz de soporte, esta combinación no es compatible con la unión híbrida, por lo que no se podía emitir PRT para ningún usuario de la organización. Los eventos de inscripción ausentes, el MdmUrl vacío y los prompts SSO fueron todos efectos posteriores de la misma causa. El estado de la unión híbrida era verde porque el registro del dispositivo es una operación separada que no depende del sufijo de usuario.

9. Opciones al cambiar las UPN locales no es factible

No hay una respuesta universal. La opción correcta depende de si se puede tocar el UPN local y de si la organización posee el dominio público detrás del sufijo local.

• R. Renombrar los UPN locales para que coincidan con el UPN en la nube. Cambia userPrincipalName en Active Directory para cada usuario y añade un sufijo enrutable en Dominios y Trusts. Resultado: corregido, el estado final recomendado por Microsoft. Compensaciones: toda integración vinculada a UPN (SPNs de Kerberos, keytabs, aplicaciones LDAP, VPN, PAM) debe ser reprobada; los cambios de UPN in situ en dispositivos unidos requieren Windows 10 2004 o posterior; Carga de comunicación y soporte del usuario.
• B. Verificar el dominio raíz del sufijo local en el inquilino. Añadir contoso.com como un dominio personalizado con un registro DNS TXT, liberándolo primero de cualquier otro inquilino. Resultado: corregido, cubre todos los subdominios, UPNs locales intactos. Compensaciones: la raíz puede pertenecer a otro inquilino; los usuarios cuyo correo está en ese dominio reciben un UPN en la nube recalculado; Los dominios aceptados por Exchange y las direcciones proxyS deben ser revisados.
• C. Verificar solo el subdominio utilizado como sufijo UPN. Añadir corp.internal.contoso.com como un dominio personalizado con un registro DNS TXT en el subdominio. Resultado: corregido solo para ese sufijo. Compensaciones: si la raíz se verifica en otro tenant, el subdominio solo puede añadirse y verificarse a través de Microsoft Graph, no del centro de administración; otros sufijos internos permanecen sin resolver.
• D. Correo electrónico como ID de acceso alternativo (política de descubrimiento del reino de origen). Los usuarios pueden iniciar sesión en el ID de Entra con una dirección proxy verificada en lugar del UPN. Resultado: no arreglado, documentado como no compatible con dispositivos híbridos conectados, conectados a Entra y registrados en Entra. Compensaciones: solo comodidad de inicio de sesión web; los usuarios aún pueden ver el UPN; Salvedades sobre SSPR y Protección de Identidad.
• E. ID de inicio de sesión alternativo en Entra Connect (correo como UPN en la nube). Nada nuevo: esta es la configuración que creó la desadaptación. Resultado: no arreglado; el UPN en la nube parece amigable, pero el PRT aún necesita un sufijo enrutable local. Compensaciones: Microsoft documenta que no es compatible con todas las cargas de trabajo de Microsoft 365.
• F. Federar el dominio (AD FS). Pasar a la autenticación federada para que WS-Trust realice la coincidencia de usuarios. Resultado: fijado, incluyendo sufijos no enrutables. Compensaciones: nueva infraestructura, superficie de seguridad y coste; contrariamente a una dirección de la nube.

9.1 Por qué «simplemente activar el ID de inicio de sesión alternativo» no ayuda

Dos funciones diferentes comparten el nombre y ninguna cambia lo que Windows envía a Entra ID al iniciar sesión.

• ID de usuario alternativo en Entra Connect sincroniza otro atributo, normalmente correo, como userPrincipalName en la nube. Los usuarios reciben un nombre amigable para iniciar sesión. Windows sigue iniciando sesión con el UPN local y la solicitud PRT sigue llevando el sufijo local.
• Correo electrónico como ID de inicio de sesión alternativo es una política de descubrimiento de reino de origen que permite a los usuarios escribir una proxy Address verificada en lugar del UPN en la página de inicio de sesión del ID de Entra. Los escenarios no soportados que Microsoft enumera incluyen dispositivos híbridos unidos, dispositivos unidos a Entra, dispositivos registrados en Entra, acceso único móvil y protección de aplicaciones, y autenticación heredada.

Ninguna de las dos funciones modifica el UPN local que presenta CloudAP, hace que un sufijo no verificado sea resoluble en el descubrimiento del reino de origen, no llena MdmUrl, activa la inscripción en Intune ni añade reclamaciones de dispositivo para Acceso Condicional.

9.2 Flujo de decisiones

1. ¿Se pueden renombrar las UPN locales para todos los usuarios? Sí: añadir un sufijo enrutable en Active Directory, renombrar en oleadas, volver a probar cada integración vinculada a UPN. Este es el estado final recomendado. No: continúa.
2. ¿Eres propietario del dominio público detrás del sufijo local? Sí: verifica el dominio raíz (cubre todos los subdominios) o el subdominio exacto en el tenant. Los UPN en las instalaciones permanecen sin cambios. No, el sufijo es .local o un dominio que no posees: continúa.
3. ¿Es aceptable la federación? Sí: un dominio federado soporta UPNs no enrutables en Windows 10 1803 y posteriores, a costa de nueva infraestructura. No: los caminos restantes son un proyecto controlado de renombramiento UPN, o dispositivos unidos a Microsoft Entra en lugar de dispositivos híbridos unidos.

En el proyecto descrito aquí, la respuesta a la pregunta 1 era no y a la pregunta 2 sí. El dominio raíz fue liberado del otro tenant y verificado en el tenant de producción. No se realizó ningún cambio en la UPN local y se restauró el PRT para toda la flota.

10. Requisitos previos y comprobaciones de impacto antes de verificar un dominio

Verificar un dominio personalizado es un cambio a nivel de inquilino. Cada comprobación a continuación duraba minutos y evitaba una sorpresa en una flota de miles de dispositivos.

Ubicación de configuración: Centro de administración Microsoft Entra, Entra ID > Nombres de dominio > Añadir dominio personalizado. Microsoft Graph o Microsoft Graph PowerShell para las comprobaciones.

• ¿Quién es el propietario del dominio raíz hoy en día? Cómo: getuserrealm en el UPN local; GET /v1.0/dominios en el otro tenant. Por qué: un dominio solo puede verificarse en un solo tenido. Debe ser eliminado allí antes de poder verificarse aquí, y sus propios usuarios deben ser evaluados primero.
• Usuarios cuya dirección de correo está en el dominio a verificar. Cómo: GET /v1.0/users?$filter=endsWith(mail,’ @contoso.com‘)&$count=verdadero con ConsistencyLevel: eventual; repite para subdominios. Por qué: su UPN en la nube se recalcula en el siguiente ciclo de sincronización: se mantiene el prefijo y el sufijo cambia desde onmicrosoft.com al dominio verificado. Las sesiones, registros de MFA y asignaciones siguen al objeto, pero los usuarios deben estar informados.
• Duplicar direcciones proxyAddresses entre objetos. Cómo: exportar proxy Addresses desde Active Directory, agrupar por dirección, excluir entradas SIP y pares SMTP del mismo objeto. Por qué: direcciones duplicadas en una sincronización de bloques de dominio verificada de los objetos afectados.
• Intercambiar dominios aceptados. Cómo: Get-AcceptedDomain on-premises; dominios aceptados en Exchange Online. Por qué: el flujo de correo híbrido debe mantenerse consistente (autoritativo frente a relé interno) después de que el dominio aparece en el tenant.
• Buzones de sistema y de salud en otros sufijos. Cómo: confirma que están fuera del alcance de la sincronización. Por qué: evita que objetos inesperados aparezcan en la nube una vez que su sufijo se verifica.
• Propiedad del DNS y proceso de cambio. Cómo: identificar quién puede añadir el registro TXT en el registrador o en el DNS externo. Por qué: la verificación espera en este registro; Involucra al equipo de la red desde el principio.
• Proxy y cortafuegos. ¿Cómo?: bypass login.microsoftonline.com, .msauth.net, .msftauth.net, *.msauthimages.net y los extremos de registro de dispositivos de los dispositivos clientes; No hay inspección TLS en estos hosts. Por qué: El tráfico PRT y WAM debe llegar directamente a Entra ID, de lo contrario el PRT vuelve a fallar por una razón no relacionada.

# Blast radius: synced users whose mail uses the domain that will become verified
GET https://graph.microsoft.com/v1.0/users?$count=true&$filter=endsWith(mail,'@contoso.com')&$select=userPrincipalName,mail,onPremisesUserPrincipalName,onPremisesSyncEnabled
Header: ConsistencyLevel: eventual
# Expected result: users listed here will receive <mailprefix>@contoso.com as cloud UPN after the next delta sync

# Duplicate proxyAddresses across different objects (PowerShell, Active Directory module)
Get-ADObject -LDAPFilter '(proxyAddresses=*)' -Properties proxyAddresses |
  ForEach-Object { $dn = $_.DistinguishedName; $_.proxyAddresses |
    Where-Object { $_ -like 'smtp:*' } |
    ForEach-Object { [pscustomobject]@{ Address = $_.Substring(5).ToLower(); DN = $dn } } } |
  Group-Object Address | Where-Object { ($_.Group.DN | Select-Object -Unique).Count -gt 1 } |
  Select-Object Name, Count

11. Plan de Implementación

Siete pasos, la mayoría de ellos verificación. El cambio real es un registro DNS y una confirmación en el centro de administración.

1. Escaneo de impacto. Realizar todas las comprobaciones desde la sección 10; documentar los usuarios cuyo UPN en la nube cambiará y los objetos con direcciones duplicadas. Validación: lista de usuarios afectados desconectados; Cero duplicados sin resolver.
2. Libera el dominio. Si otro tenant verificó la raíz, haz el mismo escaneo de impacto allí y elimina el dominio de ese tenido. Validación: dominio ya no está listado en el otro tenant; getuserrealm devuelve Desconocido para el sufijo.
3. Añade y verifica. Añade el dominio personalizado en el centro de administración de Entra, publica el registro TXT en el registrador y verifica. No lo configures como dominio principal a menos que el diseño de UPN en la nube lo requiera. Validación: el dominio muestra Verificado; GET /v1.0/domains devuelve isVerified true.
4. Ciclo de sincronización. Deja que Entra Connect ejecute una sincronización delta (Start-ADSyncSyncCycle -PolicyType Delta) o espere al planificador. Validación: los UPN en la nube recalculados coinciden exactamente con la lista de impacto; no hay errores de exportación en el Administrador de Servicios de Sincronización.
5. Chequeo del dispositivo. En un dispositivo piloto, cierra sesión y vuelve a iniciar sesión con conectividad de red, luego ejecuta dsregcmd /status. Validation: AzureAdPrt YES, TenantName resolved, MdmUrl populated, CloudTgt YES; GetuserRealm ahora devuelve tu inquilino.
6. Desencadenante de inscripción. Activa el disparador que se aplica a tu flota: la Política de Grupo de Auto-inscripción MDM para dispositivos gestionados por GPO, o la Inscripción Automática en Intune en la política de co-gestión del Gestor de Configuración para dispositivos cogestionados (véase la sección 13). Validación: la tarea programada «Programar creado por el cliente de inscripción para inscribirse automáticamente en MDM desde AAD» se ejecuta; aparecen los IDs de evento 75 y 76.
7. Pilotar, luego saludos. Dos dispositivos piloto, luego ondas organizativas basadas en unidades o colecciones; monitoriza el registro de eventos del proveedor de inscripción y la lista de dispositivos de Intune. Validación: los dispositivos aparecen en Intune con el usuario principal correcto; evaluaciones de cumplimiento; Se aplican políticas.

Nota de tiempo: un PRT se renueva cada cuatro horas, pero un usuario que inició sesión durante el cambio obtiene el primer PRT en el siguiente inicio de sesión o desbloqueo con conectividad de red, no de inmediato. Prueba el dispositivo piloto tras cerrar sesión, no solo después de reiniciar.

12. Validación tras la solución

Mismo dispositivo, mismo usuario, después de verificar el dominio raíz y completar una sincronización delta. El UPN local no cambió.

dsregcmd /status
----- Tenant Details ------------------------------
            TenantName : <Organization>
                MdmUrl : https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
----- SSO State -----------------------------------
            AzureAdPrt : YES
  AzureAdPrtUpdateTime : 2026-08-19 09:18:41.000 UTC
  AzureAdPrtExpiryTime : 2026-09-02 09:18:41.000 UTC
         WamDefaultSet : YES
              CloudTgt : YES
# Microsoft Graph, unchanged on purpose:
userPrincipalName           : john.smith@fabrikam.com
onPremisesUserPrincipalName : jsmith7@corp.internal.contoso.com   <- still different, now supported

13. El segundo bloqueador: El dispositivo aún necesita un disparador de inscripción

Restaurar el PRT hizo posible la inscripción en Intune. No lo hizo posible. Un dispositivo híbrido unido se inscribe automáticamente solo cuando algo se lo indica, y en una flota cogestionada hay dos disparadores independientes. En el proyecto, ambos estaban fuera de lugar.

13.1 Disparador 1: Política de Grupo

Ubicación de la póliza: Editor de Gestión de Políticas de Grupo, Configuración del ordenador > Plantillas administrativas > Componentes de Windows > MDM > Activar la inscripción automática de MDM usando las credenciales predeterminadas de Azure AD (las versiones más recientes de ADMX usan la redacción de Microsoft Entra). A ajustar Habilitado con tipo de credencial Credencial de usuario. La política escribe HKLM\SOFTWARE\Políticas\Microsoft\Windows\CurrentVersion\MDM y crea una tarea programada que intenta la inscripción cada pocas horas.

En el proyecto, la política no existía en los dispositivos, y la Tienda Central aún contenía un conjunto ADMX obsoleto con nombres heredados y ajustes ausentes. Actualizar la Tienda Central a las plantillas actuales de Windows 11 es un requisito previo para redactar correctamente la política de inscripción.

13.2 Disparador 2: Co-gestión del Gestor de Configuración

Ubicación de la póliza: Consola del Gestor de Configuración, Administración > Servicios en la nube > Cloud Attach (o cogestión en consolas antiguas) > propiedades de la política de cogestión > Habilitación tab > Inscripción automática en Intune = Piloto o Todos. Asigna la colección de pilotos en la misma pestaña.

CoManagementHandler.log en el dispositivo de prueba mostraba que el dispositivo estaba co-gestionado desde 2024 con cargas de trabajo asignadas, pero CoManagementSettings_AutoEnroll = False en la política aplicada: la cogestión estaba activada, la inscripción automática estaba desactivada. El despliegue del piloto también falló con «No se pudo encontrar una de las reglas obligatorias» (0x8000ffff); la política se regeneró trasladando la carga de trabajo de políticas de cumplimiento a Gestor de Configuración y alternando la activación de Piloto a Ninguno y de nuevo a Piloto. Ambos dispositivos piloto se registraron en menos de una hora.

Fuentes de evidencia que merece la pena consultar en cualquier dispositivo co-gestionado:

• CoManagementHandler.log (C:\Windows\CCM\Inicia sesión en un dispositivo; CMPivot para la flota) – MDM Enrolled, CoMgmtPolicy habilitado, WorkloadFlags, el valor AutoEnroll en la política aplicada, errores de política.
• HKLM\SOFTWARE\Microsoft\CCM, value CoManagementFlags (consulta del Registro CMPivot; leerlo localmente requiere derechos de administrador) – estado de cogestión y máscara de carga de trabajo, por ejemplo 8197 (0x2005).
• HKLM\SOFTWARE\Microsoft\Enrollments (registro en el dispositivo; registro de eventos del proveedor de inscripción) – inscripciones existentes en contexto del dispositivo (configuración declarada, gestión de configuración de seguridad de Defender) frente a una inscripción MDM de usuario.
• DeviceManagement-Enterprise-Diagnostics-Provider/Admin (Visor de eventos, registros de aplicaciones y servicios, Microsoft, Windows) – IDs de evento 75 (inscripción exitosa) y 76 (inscripción fallida) para inscripción automática.

En una flota cogestionada, el ajuste de cogestión es el disparador autoritario. Activar la Política de Grupo además no hace daño, pero no es lo que inscribe el dispositivo. Verifica qué disparador se aplica antes de concluir que la matrícula está rota.

14. Recomendaciones más allá de la solución

Ninguna de las siguientes medidas fue necesaria para restaurar la PRT. Todos ellos hacen que el entorno sea más fácil de manejar y se acerca más al diseño de referencia de Microsoft.

• Sincronización de hash de contraseña como método principal de inicio de sesión, con la PTA como respaldo cuando la política lo permita. PHS elimina la dependencia de los agentes locales para la renovación de PRT y permite la detección de credenciales filtradas en Microsoft Entra ID Protection.
• SSO sin interrupciones para las plataformas que no usan el PRT. Los dispositivos híbridos con Windows 10 y posteriores utilizan el PRT a través del Gestor de Cuentas Web y no necesitan SSO sin interrupciones; los navegadores de otras plataformas y los clientes antiguos se benefician del flujo basado en Kerberos.
• Mantén el servidor Entra Connect de staging en la misma versión que el servidor activo. Diferentes compilaciones durante un cambio a nivel de directorio crean un riesgo de rollback.
• Actualizar los archivos ADMX del almacenamiento central de la Directiva de Grupo antes de redactar cualquier inscripción en MDM o política de Windows Hello for Business.
• Planifica igualmente la alineación a largo plazo de la UPN. El dominio verificado corrige el PRT. Coincidir con los UPN sigue siendo el estado más limpio para SSPR desde la pantalla de bloqueo, las reclamaciones de la aplicación y el soporte.
• Trata el correo electrónico como un ID de inicio de sesión alternativo por conveniencia de usuario. Manténlo activado para iniciar sesión web si los usuarios lo valoran, pero nunca dependas de él para la identidad o la inscripción del dispositivo.

15. Riesgos clave y consideraciones de diseño

• Dominio raíz propiedad de otro inquilino. La verificación es exclusiva. Coordina la versión con los propietarios de los otros inquilinos y evalúa los UPN y direcciones de correo de sus usuarios antes de eliminar el dominio allí.
• Recálculo del UPN en la nube. Los usuarios cuya dirección de correo está en el dominio recién verificado reciben un nuevo UPN en la nube en el siguiente ciclo de sincronización. Los objetos, licencias, registros de MFA y membresías a grupos no se ven afectados, pero los nombres de inicio de sesión guardados en las aplicaciones y las expectativas de los usuarios sí lo son.
• Expectativas alternativas de ID de acceso. Los interesados suelen creer que la función resuelve la identidad del dispositivo. Establece expectativas antes de que se apruebe el cambio.
• Dos desencadenantes para la inscripción. La política de grupo y la inscripción automática de cogestión son independientes. En una flota cogestionada, la cogestión es autoritaria.
• Inspección de proxy y TLS. Los bypass ausentes para los endpoints de identidad de Microsoft bloquean el PRT incluso después de la corrección de identidad y producen un error diferente.
• Integraciones enlazadas por UPN. Incluso con la opción de dominio verificado, documenta qué sistemas clave en el UPN local ahora, para que un proyecto futuro de renombramiento empiece desde un inventario en lugar de un ejercicio de descubrimiento.
• Cambios en la versión de Windows para UPN. Si más adelante se produce un proyecto de renombramiento, los cambios de UPN in situ en dispositivos híbridos unidos están soportados desde Windows 10 2004; Las versiones antiguas requieren DSRCMD / leave y una reincorporación.

16. Conclusión: El desajuste es sobrevivible, lo irresoluble no

Microsoft pide UPN coincidentes porque el flujo PRT en un dispositivo híbrido unido se basa en la identidad local. Cuando no se pueden emparejar los dos UPNs, el requisito que realmente importa es que el sufijo UPN en las instalaciones sea enrutable: un dominio que el inquilino ha verificado y puede resolver durante el descubrimiento del reino de origen. Verificar el dominio raíz del sufijo local restauró el PRT, el inicio de sesión único y la inscripción en Intune para toda una flota sin ningún cambio en las cuentas locales.

Tres hábitos marcaron la diferencia. Primero, comprueba AzureAdPrt y MdmUrl en dsregcmd /status, no solo AzureAdJoined: un dispositivo sin un PRT de usuario no es un dispositivo gestionado, diga lo que diga la consola. Segundo, lee la matriz de soporte literalmente: enrutable y verificada, no idéntica. Tercero, fija una capa y busca inmediatamente la siguiente. La corrección de identidad reveló un disparador de inscripción que había estado desactivado todo el tiempo, y solo la combinación de ambos cambios produjo dispositivos inscritos.