Identidad y autenticación de Windows 365

La identidad de un usuario de un PC en la nube define qué servicios de administración de acceso administran ese usuario y PC en la nube. Esta identidad define:

  • Los tipos de PC en la nube tiene acceso el usuario.
  • Los tipos de recursos de PC que no son de nube tiene acceso el usuario.

Un dispositivo también puede tener una identidad determinada por su tipo de combinación a Microsoft Entra ID. Para un dispositivo, el tipo de combinación define:

  • Si el dispositivo requiere una línea de visión a un controlador de dominio.
  • Cómo se administra el dispositivo.
  • Cómo se autentican los usuarios en el dispositivo.

Tipos de identidad

Existen cuatro tipos de identidad:

  • Identidad híbrida: usuarios o dispositivos que se crean en Active Directory local Servicios de dominio y luego se sincronizan con Microsoft Entra ID.
  • Identidad solo en la nube: usuarios o dispositivos que se crean y solo existen en Microsoft Entra ID.
  • Identidad federada: usuarios creados en un proveedor de identidad de terceros, distinto de Microsoft Entra ID o Servicios de dominio de Active Directory, luego federados con Microsoft Entra ID.
  • Identidad externa: Usuarios que se crean y administran fuera del inquilino de Microsoft Entra, pero que están invitados a su inquilino de Microsoft Entra para acceder a los recursos de su organización.

Nota:

Identidad externa

La compatibilidad con identidades externas le permite invitar a usuarios a su inquilino de Entra ID y proporcionarles PC en la nube. Existen varios requisitos y limitaciones al proporcionar PC en la nube a identidades externas:

  • Requisitos
    • Sistema operativo de PC en la nube: el PC en la nube debe ejecutarse Windows 11 Empresas, versiones 24H2 o posteriores con el Novedades acumulativo 2025-09 para Windows 11 (KB5065789) o posterior instalado.
    • Tipo de unión a la PC en la nube: la PC en la nube debe estar unida a Entra.
    • Inicio de sesión único: el inicio de sesión único debe configurarse para el PC en la nube.
    • Aplicación de Windows cliente: la compatibilidad con identidades externas está disponible con carácter general en Aplicación de Windows en Windows, macOS, iOS, Android o un explorador web. Consulte la sección Identidad de la documentación de Aplicación de Windows para obtener más información.
    • Licencias: asegúrese de que las identidades externas tengan los derechos adecuados para el software y los servicios en el PC en la nube. Consulte las instrucciones de licencias de Windows 365 para obtener más información.
  • Limitaciones

    • Directivas de configuración de dispositivos de Intune: las directivas de configuración de dispositivos asignadas a la identidad externa no se aplicarán al PC en la nube del usuario. En su lugar, asigne directivas de configuración de dispositivo al dispositivo.

    • Disponibilidad de Windows 365 Administración pública: se admite Windows 365 Administración Pública y los usuarios pueden conectarse con la aplicación de Aplicación de Windows en Windows, macOS, iOS y Android.

    • Invitaciones entre nubes: no se admiten usuarios entre nubes. Solo puede proporcionar PC en la nube a los usuarios a los que invite de proveedores de identidades sociales, usuarios de Microsoft Entra de la misma nube de Microsoft Azure que la oferta de Windows 365 u otros proveedores de identidad registrados en el inquilino de su plantilla. No puede aprovisionar PC en la nube para los usuarios a los que invite desde Microsoft Azure operado por 21Vianet.

    • Protección de tokens: Microsoft Entra tiene ciertas limitaciones para la protección de tokens para identidades externas. Obtenga más información sobre la compatibilidad de las Aplicación de Windows para la protección de tokens por plataforma.

    • Autenticación Kerberos: las identidades externas no se pueden autenticar en recursos locales mediante protocolos Kerberos o NTLM.

    • Aplicaciones de Microsoft 365: Solo puede iniciar sesión en la versión de escritorio de Windows de las aplicaciones de Microsoft 365 si:

      1. El usuario invitado es una cuenta basada en Entra o una cuenta de Microsoft con licencia para Aplicaciones Microsoft 365.
      2. Una directiva de acceso condicional de la organización principal no bloquea el acceso al usuario invitado a las aplicaciones de Microsoft 365.

      Independientemente de la cuenta invitada, puede acceder a los archivos de Microsoft 365 compartidos con usted mediante la aplicación de Microsoft 365 adecuada en el explorador web del PC en la nube.

    • Proveedores de identidad: puede iniciar sesión como una identidad externa con cualquiera de los proveedores de identidad enumerados, excepto el inicio de sesión con un código de acceso de un solo uso. Los siguientes clientes de Aplicación de Windows tienen limitaciones adicionales:

      • iOS, Android: el único proveedor de identidades sociales compatible con el que puede iniciar sesión es una cuenta de Microsoft configurada como una cuenta conectada en la aplicación Microsoft Authenticator que se ejecuta en el mismo dispositivo que el cliente. No puede iniciar sesión con Facebook o Google.

    • Federación sin dominios: Windows 365 admite identidades externas a través de la federación de IdP SAML sin dominio, pero estos usuarios deben canjear su invitación (incluido el domain_hint parámetro) antes de iniciar la Aplicación de Windows. Si el usuario se conecta a la Aplicación de Windows pero aún no ha canjeado su invitación al IdP de SAML sin dominio, el usuario no podrá autenticarse ni aceptar la invitación.

Consulte los procedimientos recomendados B2B de Microsoft Entra para obtener recomendaciones sobre cómo configurar el entorno para identidades externas y las instrucciones de licencias de Windows 365.

Tipos de combinación de dispositivos

Hay dos tipos de unión que puede seleccionar cuando aprovisiona un PC en la nube:

En la tabla siguiente se muestran las funcionalidades o requisitos clave basados en el tipo de combinación seleccionado:

Capacidad o requisito Unión híbrida a Microsoft Entra Unión a Microsoft Entra
Suscripción de Azure Obligatorio Opcional
Red virtual de Azure con línea de visión al controlador de dominio Obligatorio Opcional
Tipo de identidad de usuario compatible con el inicio de sesión Solo usuarios híbridos Usuarios híbridos, usuarios solo en la nube o identidades externas
Administración de directivas Objetos de directiva de grupo (GPO) o MDM de Intune Solo MDM de Intune
Inicio de sesión Windows Hello para empresas compatible Sí, y el dispositivo que se conecta debe tener una línea de visión al controlador de dominio a través de la red directa o una VPN. Sí

Autenticación

Cuando un usuario accede a un PC en la nube, hay tres fases de autenticación independientes:

  • Autenticación de servicio en la nube: la autenticación en el servicio de Windows 365, que incluye la suscripción a los recursos y la autenticación en la puerta de enlace, se realiza con Microsoft Entra ID. Aquí es donde puede aplicar las directivas de acceso condicional de Entra ID. Además, aquí es donde puede federar desde el ID de Entra a un proveedor de identidad de terceros.
  • Autenticación de sesión remota: autenticación en el PC en la nube. Hay varias maneras de autenticarse en la sesión remota, incluido el inicio de sesión único (SSO) recomendado.
  • Autenticación en sesión: autenticación en aplicaciones y sitios web dentro del PC en la nube.

A continuación se muestra una breve comparación de las opciones de autenticación de usuario en cada fase de autenticación:

Autenticación del servicio en la nube Autenticación de sesión remota Autenticación en sesión
  • Autenticación sin contraseña (incluidas las claves de seguridad FIDO, Windows Hello para empresas con Kerberos en la nube o Key Trust, autenticación multifactor Microsoft Authenticator y mucho más)
  • Federación a proveedor de identidades de terceros
  • Tarjeta inteligente (incluida la autenticación basada en certificados Entra y la confianza de certificados de Windows Hello para empresas)
  • Password
  • Cualquier método de autenticación de servicio en la nube, cuando se configura con inicio de sesión único
  • Tarjeta inteligente (incluido el certificado de confianza de Windows Hello para empresas)
  • Password
  • Autenticación sin contraseña, cuando se configura para la sesión sin contraseña
  • Tarjeta inteligente (incluido el certificado de confianza de Windows Hello para empresas)
  • Password

Se trata de un superconjunto de opciones de autenticación por fase de autenticación. Para obtener la lista de credenciales disponibles en los distintos clientes para cada una de las fases de autenticación, compare los clientes entre plataformas.

Importante

Para que la autenticación funcione correctamente, el equipo local del usuario también debe poder acceder a las direcciones URL de la sección Clientes de Escritorio remoto de la lista de direcciones URL necesarias de Azure Virtual Desktop.

Windows 365 ofrece inicio de sesión único (definido como un mensaje de autenticación único que puede satisfacer tanto la autenticación de servicio de Windows 365 como la autenticación de PC en la nube) como parte del servicio. Para obtener más información, consulte inicio de sesión único.

En las secciones siguientes se proporciona más información sobre estas fases de autenticación.

Autenticación del servicio en la nube

Los usuarios deben autenticarse con el servicio de Windows 365 cuando:

Para acceder al servicio de Windows 365, los usuarios deben autenticarse primero en el servicio iniciando sesión con una cuenta de Microsoft Entra ID.

Autenticación multifactor

Siga las instrucciones que se indican en Establecer directivas de acceso condicional para obtener información sobre cómo aplicar la autenticación multifactor de Microsoft Entra para los PC en la nube. En ese artículo también se explica cómo configurar la frecuencia con la que se pide a los usuarios que escriban sus credenciales.

Autenticación sin contraseña

Los usuarios pueden usar cualquier tipo de autenticación compatible con Microsoft Entra ID, como Windows Hello para empresas y otras opciones de autenticación sin contraseña (por ejemplo, claves FIDO), para autenticarse en el servicio.

Autenticación con tarjeta inteligente

Para utilizar una tarjeta inteligente para autenticarse en Microsoft Entra ID, primero debe configurar la autenticación basada en certificados de Microsoft Entra o configurar AD FS para la autenticación de certificado de usuario.

Proveedores de identidad de terceros

Puede usar proveedores de identidad de terceros siempre que se federen con Microsoft Entra ID.

Autenticación de sesión remota

Si aún no ha habilitado el inicio de sesión único y los usuarios no han guardado sus credenciales localmente, también deben autenticarse en el PC en la nube al iniciar una conexión.

Inicio de sesión único (SSO)

El inicio de sesión único (SSO) permite a la conexión omitir la petición de credenciales del PC en la nube e iniciar sesión automáticamente al usuario en Windows mediante la autenticación de Microsoft Entra. La autenticación de Microsoft Entra ofrece otras ventajas, como la autenticación sin contraseña y la compatibilidad con proveedores de identidades de terceros. Para empezar, revise los pasos para configurar el inicio de sesión único.

Importante

El SSO debe configurarse para que las identidades externas inicien sesión en el PC en la nube. Si SSO no está configurado, el usuario se bloqueará en el aviso de autenticación de sesión remota.

Sin SSO, el cliente solicita a los usuarios sus credenciales de PC en la nube para cada conexión. La única manera de evitar que se le pidan es guardar las credenciales en el cliente. Le recomendamos que solo guarde las credenciales en dispositivos seguros para evitar que otros usuarios accedan a sus recursos.

Autenticación en sesión

Después de conectarse al PC en la nube, es posible que se le solicite autenticación dentro de la sesión. En esta sección se explica cómo usar credenciales distintas del nombre de usuario y la contraseña en este escenario.

Autenticación sin contraseña en sesión

Windows 365 admite la autenticación sin contraseña dentro de la sesión mediante Windows Hello para empresas o dispositivos de seguridad como claves FIDO cuando se usa el Aplicación de Windows. La autenticación sin contraseña se habilita automáticamente cuando el host de sesión y el equipo local usan los siguientes sistemas operativos:

Para conocer el comportamiento de autenticación sin contraseña en sesión y los requisitos de aplicación al conectarse desde otros clientes de Aplicación de Windows, consulte el comportamiento de redirección de WebAuthn en la documentación de Aplicación de Windows

Cuando está habilitada, todas las solicitudes WebAuthn de la sesión se redirigen al equipo local. Puedes usar Windows Hello para empresas o dispositivos de seguridad conectados localmente para completar el proceso de autenticación.

Para acceder a los recursos de Microsoft Entra con Windows Hello para empresas o dispositivos de seguridad, debe habilitar la clave de seguridad FIDO2 como método de autenticación para los usuarios. Para habilitar este método, siga los pasos descritos en Habilitar el método de clave de seguridad FIDO2.

Sugerencia

En Windows 11 versión 24H2 y posteriores, los controles de privacidad permiten a los usuarios decidir si una aplicación o un sitio web pueden usar las claves de paso. Si un usuario rechaza la solicitud de consentimiento de privacidad, es posible que el registro de clave de paso y la autenticación no funcionen en las sesiones de PC en la nube. Para resolver este problema, indique al usuario que vuelva a habilitar el acceso a la clave de paso en Configuración Privacidad>& seguridad>Acceso a la clave de paso. Para obtener más información, consulte Solucionar problemas de consentimiento de privacidad de clave de paso de Windows 11.

Autenticación con tarjeta inteligente en sesión

Para usar una tarjeta inteligente en la sesión, asegúrese de instalar los controladores de tarjeta inteligente en el PC en la nube y permita el redireccionamiento de tarjetas inteligentes como parte de la administración de redireccionamientos de dispositivos RDP para PC en la nube. Revise el cuadro de comparación de clientes para asegurarse de que el cliente admite el redireccionamiento con tarjeta inteligente.

Siguientes pasos

Obtenga información sobre el ciclo de vida del PC en la nube.

  • Se actualizó por última vez el