Azure AD Connect: forzar una sincronización y arreglar un objeto que no pasa a Entra ID

Qué vas a conseguir

Entender el camino que sigue una cuenta desde Active Directory hasta Entra ID, forzar una sincronización cuando no puedes esperar 30 minutos, y resolver los tres errores que explican casi todos los "no aparece en Microsoft 365".

Antes de empezar

• Acceso al servidor donde está instalado Microsoft Entra Connect (el nombre nuevo de Azure AD Connect). Suele ser un servidor miembro, no un controlador de dominio.
• Pertenecer al grupo local ADSyncAdmins de ese servidor, o ser administrador local. No necesitas ser Global Admin para forzar un ciclo.
• Saber qué OUs están incluidas en la sincronización: si el usuario está en una OU fuera del filtro, nunca pasará, haga lo que haga.

1. Cómo viaja un objeto

Entra Connect sincroniza cada 30 minutos en tres pasos: importa de AD al espacio del conector, lo pasa al metaverso aplicando las reglas, y exporta a Entra ID. Un cambio en AD tarda, como mucho, 30 minutos más lo que tarde Entra ID en aprovisionar el buzón y las licencias.

Lo que sí es instantáneo es lo contrario: si quieres que algo se vea hoy, se fuerza; si se ve mal, el origen casi siempre es el objeto en AD, no el conector.

2. Forzar el ciclo

›Import-Module ADSync›Get-ADSyncScheduler | Select-Object SyncCycleEnabled, NextSyncCycleStartTimeInUTC, SyncCycleInProgressSyncCycleEnabled            : TrueNextSyncCycleStartTimeInUTC : 21/10/2026 15:30:02SyncCycleInProgress         : False›Start-ADSyncSyncCycle -PolicyType DeltaResult------Success

Delta sincroniza solo los cambios y tarda un par de minutos. Initial relee todo y solo se usa tras cambiar el filtrado de OUs o las reglas. Si SyncCycleInProgress es True, espera a que acabe: lanzar otro no lo acelera.

Si SyncCycleEnabled es False, alguien lo desactivó (suele hacerse durante una migración o un cambio de reglas) y se olvidó de volver a activarlo. Set-ADSyncScheduler -SyncCycleEnabled $true lo devuelve a la normalidad.

3. El usuario sigue sin aparecer

Abre Synchronization Service Manager (miisclient.exe, en la carpeta de instalación) y mira la pestaña Operations: cada ejecución muestra el conector, el perfil y si hubo errores.

Los tres errores que verás una y otra vez:

• AttributeValueMustBeUnique: otro objeto en Entra ID ya tiene ese correo o proxyAddresses. Suele ser un usuario antiguo (en la papelera de Entra ID o un invitado) o un buzón compartido. Busca el valor en Entra ID y en los eliminados (Get-MgDirectoryDeletedItemAsUser) y resuelve el duplicado.
• InvalidSoftMatch o LargeObject: el UPN o el correo contienen caracteres no permitidos, o un atributo tiene más valores de la cuenta. IdFix (herramienta gratuita de Microsoft) recorre todo el AD y lista estos problemas antes de que lleguen al conector.
• El objeto no está en el espacio del conector: no es error, es filtro. En Connectors → contoso.local → Properties → Configure Directory Partitions → Containers se ve qué OUs se sincronizan. Si la OU no está marcada, el usuario no existe para Entra ID.

Para ver un objeto concreto: pestaña Metaverse Search, busca por displayName y abre Connectors: tiene que aparecer en los dos (AD y Entra ID). Si solo está en AD, mira Lineage y la regla que lo dejó fuera (cloudFiltered).

4. Atributos que importan

• userPrincipalName tiene que ser un dominio verificado en Entra ID. Un UPN @contoso.local se convierte en @contoso.onmicrosoft.com y el usuario no podrá iniciar sesión con su correo.
• mail y proxyAddresses definen las direcciones del buzón. La principal lleva SMTP: en mayúsculas.
• msExchUsageLocation rellena la ubicación de uso que exige la licencia (guía de Microsoft 365 y licencias).
• extensionAttribute1-15 viajan si se seleccionaron en el asistente: son útiles para grupos dinámicos.

5. Qué poner en el ticket

Hora del último ciclo, el conector que dio error, el nombre del objeto y el texto del error. Con eso, quien administre Entra ID sabe si es un duplicado o un filtro sin abrir la consola.

Siguientes pasos

• Pasa IdFix antes de incorporar una OU nueva: evita los errores de exportación en bloque.
• Activa Entra Connect Health para ver los ciclos y los errores desde el portal, sin entrar en el servidor.
• En el Nivel 4 verás las migraciones de tenant, donde Entra Connect es la pieza que hay que desmontar y volver a montar con cuidado.

¿Quieres practicarlo? Resuelve el ticket «Creada en AD esta mañana, no aparece en Microsoft 365» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.