El módulo Sincronización de Microsoft 365 de Portail ZAPP crea las cuentas de los miembros de grupos de Microsoft 365 (Microsoft Entra ID) y mantiene al día la pertenencia de esas cuentas a los grupos de la aplicación. La sincronización va en un solo sentido: de Microsoft 365 a Portail ZAPP. Nunca modifica Microsoft 365.
La pantalla está reservada a los administradores. Se accede a ella desde Administración › Conectores y automatización › Sincronización M365 (/m365-sync).
Configurar la conexión
El bloque Configuración de Microsoft Entra ID contiene los identificadores de un registro de aplicación de Microsoft Entra ID (el nuevo nombre de Azure AD), que debe tener permiso para leer los usuarios, los grupos y sus miembros:
- ID del inquilino e ID del cliente: identificadores de tu inquilino y de la aplicación, por ejemplo
00000000-0000-0000-0000-000000000000; - Secreto del cliente: nunca se vuelve a mostrar. Una vez guardado un secreto, el campo pasa a ser opcional: déjalo vacío para conservar el secreto guardado, escribe uno nuevo para sustituirlo;
- Comportamiento de huérfanos: Deshabilitar o Informar (ver más abajo). El campo muestra el ajuste guardado: volver a guardar la configuración no lo cambia.
El ID del inquilino y el ID del cliente son obligatorios. Si el guardado falla, se muestra el mensaje «Error al guardar la configuración.»; como los valores se guardan uno tras otro, una parte puede haberse guardado: comprueba los valores mostrados antes de volver a intentarlo.
Estos ajustes son independientes de los del inicio de sesión de los usuarios con su cuenta de Microsoft 365, que se configura en Autenticación.
Probar conexión prueba los valores escritos en el formulario, sin guardarlos. Un campo vacío retoma el valor guardado; el secreto guardado solo se reutiliza para el inquilino y el cliente guardados: para probar otro inquilino u otra aplicación, escribe también el secreto. El resultado aparece en un mensaje: conexión correcta, configuración incompleta o error (el detalle está entonces en los registros del servidor).
Orígenes y mapeos
Sincronización de usuarios: los orígenes, es decir, los grupos de Microsoft 365 cuyos miembros deben tener una cuenta. Elige el tipo (Grupo, Equipo o Grupo de seguridad), busca el grupo por el principio de su nombre y haz clic en Agregar origen. Un mismo grupo no se puede añadir dos veces.
Sincronización de pertenencia a grupos: los mapeos, que vinculan un grupo de Microsoft 365 con un grupo de Portail ZAPP. En cada sincronización, los miembros del grupo de Microsoft 365 que tienen en Portail ZAPP una cuenta de origen Microsoft 365 — creada por la sincronización o por un inicio de sesión con una cuenta de Microsoft 365 — se añaden al grupo correspondiente; un miembro que todavía no tiene cuenta se omite (no se crea en este paso). Las retiradas siguen la misma regla: solo una cuenta de origen Microsoft 365 se retira de un grupo cuando ya no forma parte del grupo de Microsoft 365; una cuenta local colocada a mano en el grupo nunca se retira. Una cuenta local, o de otro origen, que tiene el mismo identificador de inicio de sesión o la misma dirección que un miembro de Microsoft 365 nunca se añade al grupo: recibiría sus permisos sin que nadie lo haya decidido. Un grupo ya sincronizado por otro mecanismo (por ejemplo las organizaciones) no se modifica.
Se leen todos los miembros de un grupo, sea cual sea su tamaño. Si Microsoft 365 limita el ritmo de las llamadas, la lectura se reintenta varias veces antes de abandonar. Una lectura fallida nunca retira a nadie.
Qué hace una sincronización
Para cada miembro de los orígenes activos:
- cuenta inexistente: se crea con su nombre, sus apellidos y su dirección; el identificador de inicio de sesión es la dirección de correo (o, en su defecto, el nombre principal de usuario). Un miembro sin dirección se omite;
- cuenta existente: no se modifica (el nombre, los apellidos y la dirección no se actualizan). La columna Actualizados del registro cuenta esas cuentas ya existentes. Una cuenta de origen Microsoft 365 se sigue por su identificador de Microsoft Entra: un cambio de dirección en Microsoft 365 no crea una segunda cuenta;
- cuenta local con el mismo identificador de inicio de sesión: se cuenta en Actualizados, pero no pasa a estar bajo el control de la sincronización (no se sigue, no se añade a los grupos mapeados, no se trata como huérfana). Al no seguirse por su identificador de Microsoft Entra, se vuelve a buscar en cada pasada por su identificador de inicio de sesión: si la dirección de la persona cambia en Microsoft 365, la sincronización siguiente crea una segunda cuenta;
- dirección reasignada: si la dirección de una cuenta ya vinculada a una persona de Microsoft 365 pertenece ahora a otra persona, el nuevo titular nunca recupera esa cuenta (no se vincula, no se reactiva, no se añade a los grupos). El nuevo titular no obtiene ninguna cuenta, y no se cuenta como error: el administrador debe tratar el caso a mano. Solo se indica en el detalle de errores de la sincronización (ver «Seguir las sincronizaciones»), no en el mensaje de Sincronizar ahora.
La sincronización crea las cuentas sin contraseña: la forma en que estas personas inician sesión se configura en Autenticación.
Responsable jerárquico
El ajuste M365Sync:SyncManagers de la pantalla Configuración (categoría M365Sync, desactivado por defecto), puesto en true, hace que también se rellene el responsable jerárquico de las cuentas sincronizadas, según el responsable indicado en Microsoft Entra ID. Las reglas son las de la sincronización de Google Workspace:
- un vínculo bloqueado (introducido a mano, por defecto) nunca se modifica;
- el responsable solo se busca entre las cuentas que sigue esta sincronización: un responsable desconocido, o cuya cuenta se creó a mano o con otro conector, no cambia nada;
- a un usuario sin responsable en Entra ID solo se le cierra el vínculo si este venía de una sincronización;
- un nuevo responsable cierra el vínculo actual y abre otro: el historial se conserva en la página Responsables e historial de la cuenta, con el origen «Microsoft 365».
Si la lectura de los responsables falla, no se cambia ningún vínculo y el error se cuenta en el historial de la sincronización.
Las cuentas huérfanas
Una huérfana es una cuenta creada por la sincronización de Microsoft 365 que ya no aparece en ningún origen activo. Las cuentas locales o procedentes de otra fuente nunca se ven afectadas.
- Deshabilitar (valor por defecto): la cuenta se desactiva en Portail ZAPP. Es reversible: si la persona vuelve a aparecer en un origen, la cuenta se reactiva automáticamente. Una cuenta que desactivaste a mano nunca se reactiva.
- Informar: la lista de huérfanas se escribe en el registro de la sincronización; no se modifica nada.
No se trata ninguna huérfana, y el motivo se escribe en el registro, si un origen está en error, si un origen no devolvió ningún miembro o si un miembro no se pudo procesar. Sin ningún origen activo, no se hace nada. Retirar un origen deja huérfanas las cuentas que solo él aportaba.
Ejecutar y planificar
Sincronizar ahora ejecuta la sincronización de inmediato; después, un mensaje resume el número de cuentas creadas, actualizadas y los errores.
La tarea planificada «M365Sync» del Planificador ejecuta la sincronización cada noche a las 2:30. Se entrega desactivada: actívala en el Planificador una vez hecha la configuración.
Seguir las sincronizaciones
El bloque Sincronizaciones recientes indica, para cada ejecución, la fecha, el estado (Success, PartialSuccess si hubo errores parciales, Error), el número de cuentas creadas y actualizadas, los errores y la duración. Cuando el módulo Cuadrículas de datos está instalado, la cuadrícula añade las cuentas desactivadas, los miembros añadidos y retirados de los grupos y el detalle de los errores (haz doble clic en una fila para leerlo): indica por qué no se trataron las huérfanas y enumera las huérfanas informadas y las direcciones reasignadas. Sin ese módulo, no es visible en ninguna parte de la pantalla.