Recordatorio: la expiración de cuentas AD no bloquea el acceso a Entra ID

En entornos híbridos donde Active Directory (AD) se sincroniza con Entra ID mediante Password Hash Synchronization, la expiración de una cuenta AD no corta automáticamente el acceso a los recursos en la nube.

Al fijar una fecha de expiración en una cuenta AD, el controlador de dominio deja de aceptar esa cuenta después de la fecha indicada. Sin embargo, si la sincronización de hash está habilitada, el mismo identificador sigue existiendo en Entra ID. A menos que la cuenta sea deshabilitada explícitamente en Azure AD, los usuarios pueden seguir iniciando sesión en Entra ID y en Microsoft 365 con la contraseña sincronizada.

Además, las políticas de expiración de contraseñas no se replican entre AD y Entra ID. Es posible que la contraseña de AD caduque mientras que la versión sincronizada permanezca válida en la nube. Por tanto, la única forma de garantizar que un usuario inactivo no acceda a los servicios de Entra ID es desactivar la cuenta en ambos directorios o aplicar una política de expiración de contraseñas directamente en Entra ID.

Para evitar sorpresas, los administradores deben:

1. Desactivar la cuenta en Azure AD cuando se establezca una fecha de expiración en AD.
2. Configurar y habilitar la política de expiración de contraseñas en Entra ID de forma independiente.
3. Verificar periódicamente que las cuentas caducadas en AD no siguen activas en la nube.

El mensaje original proviene de un hilo de r/sysadmin donde se recordaba esta diferencia crucial. No se trata de un cambio de producto, sino de una práctica operativa que puede pasar desapercibida y generar brechas de acceso no deseadas.

Mantener la coherencia entre los directorios locales y la nube sigue siendo una tarea manual; la automatización de desactivaciones cruzadas aún no es nativa. Mientras tanto, la mejor defensa es un proceso de revisión y documentación que incluya estos pasos.

Hilo original en Reddit