Cosas que he construido y lo que salió de cada una, contadas en un artículo corto.
Un informe mensual que le dice a cada país qué asientos puede recuperar y enseña en qué se apoya cada veredicto. Empezó con lo que parecía el ahorro más fácil del año, cerca del 40% de las licencias de Visio y Planner sin usar, y terminó siendo una lección sobre qué debe hacer un informe cuando una fuente se queda vacía y no avisa.
Todo tenant con unos años encima arrastra cientos de app registrations cuyos secretos y certificados caducan sin avisar. Lo fácil es el aviso. Lo difícil es saber de quién es cada aplicación y avisar solo de lo que se usa de verdad, para que el responsable se entere el primero y en un lenguaje que entienda.
Un informe mensual con todas las cuentas privilegiadas de Entra ID y de Active Directory, y con lo que ha cambiado desde el anterior. Dos automatizaciones, un informe, cifrado y dirigido a quien tiene que leerlo. El patrón es lo bastante sencillo como para copiarlo en una semana.
El phishing y la suplantación estaban llegando a las bandejas de entrada, así que la empresa decidió poner una pasarela dedicada delante de Exchange Online. Cambiar un registro MX son cinco minutos. Los tres inventarios que tienen que existir antes de tocarlo costaron meses, y son la parte que merece la pena contar mientras la migración sigue en marcha.
Entra ID → Event Hubs → Stream Analytics → CrowdStrike NG-SIEM, con Azure Automation manteniendo al día la tabla de usuario a país. Más allá de filtrar: cada país se convierte en una unidad medible, con sus propios eventos, volúmenes e indicadores de seguridad.
El centro de operaciones de seguridad detecta y analiza; el equipo de Workplace es el que tiene las manos en los dispositivos. Sin un proceso acordado entre los dos, cada alerta era una conversación. Con uno, pasó a ser un playbook. Y los playbooks se pueden automatizar.
En una escuela de negocios, una clase no se puede parar porque un PC pida una contraseña. Cada tipo de dispositivo acabó con su propio perfil de inscripción, su baseline y su parte del catálogo de aplicaciones. Dar de alta un equipo pasó a ser elegir el perfil correcto.
La gestión de dispositivos en Intune se apoya en siete certificados, tokens y conectores externos, cada uno con su caducidad y su forma de fallar. Si se te pasa la ventana de renovación del certificado APNs, hay que reinscribir a mano todos los dispositivos iOS. Dos recurrencias de Logic Apps comprueban los siete contra Microsoft Graph y avisan con 30 días de margen, con los valores y el enlace a consola necesarios para actuar.
En Intune casi siempre hay más de una forma de llegar al mismo resultado, y la documentación se queda a medio camino de decirte cuál elegir. Un diseño que aguanta cuando el tenant crece: cómo estructurar grupos y asignaciones, qué método de segmentación usar en cada sitio y cómo decidir cuándo se permite que un cambio aterrice.
Una pregunta que vuelve una y otra vez en gestión de dispositivos: ¿por qué el inventario nunca acaba de cuadrar con la realidad? Porque un mismo endpoint físico puede existir como varios objetos repartidos entre Entra ID e Intune, y eso no lo limpia nadie solo. Tres automatizaciones lo mantienen honesto.
El control de acceso a la red suena a producto que se enciende. En realidad son dos equipos que se encuentran en una interfaz muy pequeña (un certificado que lleva el Intune Device ID y una consulta a Graph) más una serie de preguntas sobre tu propia madurez que deciden si el proyecto debería siquiera arrancar.