Microsoft 365: asignar y retirar licencias, y saber qué incluye cada una

Qué vas a conseguir

Un usuario nuevo con su licencia y sus aplicaciones en marcha, un usuario que se va sin que la empresa pierda su correo, y una idea clara de qué da cada licencia para no asignar E5 a quien solo necesita correo.

Antes de empezar

• Un rol que pueda tocar licencias: Administrador de licencias es el mínimo; no uses Administrador global para esto.
• Saber si tu empresa asigna licencias por grupo (licencias basadas en grupos de Entra ID) o directamente al usuario. Si es por grupo, tu trabajo es meter al usuario en el grupo correcto, no asignar la licencia a mano.
• Para PowerShell, el módulo Microsoft.Graph (Install-Module Microsoft.Graph -Scope CurrentUser). El módulo antiguo MSOnline ya no funciona.

1. Qué incluye cada licencia (lo que preguntan en los tickets)

Las que más líos dan: F3 (primera línea: correo de 2 GB, sin Office de escritorio), Exchange Online Plan 1/2 (solo correo, para buzones de servicio con usuario) y los complementos (Teams Phone, Power BI Pro, Copilot) que se suman a una base.

2. Asignar desde el centro de administración

Dos cosas que fallan siempre:

• Ubicación de uso vacía: la licencia no se puede asignar hasta ponerla. Si el usuario viene de Active Directory, el atributo msExchUsageLocation o la sincronización deberían rellenarla; si no, ponla a mano.
• 0 disponibles: no quedan licencias. No reasignes la de otro sin un ticket aprobado: pide compra o pregunta al propietario de las licencias qué usuario de baja todavía la tiene.

3. Asignar con PowerShell (Graph)

›Connect-MgGraph -Scopes "User.ReadWrite.All","Organization.Read.All"›Get-MgSubscribedSku | Select-Object SkuPartNumber, @{n="Usadas";e={$_.ConsumedUnits}}, @{n="Total";e={$_.PrepaidUnits.Enabled}}SkuPartNumber   Usadas Total-------------   ------ -----SPE_E3             312   350POWER_BI_PRO        40    40EXCHANGESTANDARD    18    25›Update-MgUser -UserId laura.prado@contoso.com -UsageLocation ES›$e3 = (Get-MgSubscribedSku | Where-Object SkuPartNumber -eq "SPE_E3").SkuId›Set-MgUserLicense -UserId laura.prado@contoso.com -AddLicenses @{SkuId = $e3} -RemoveLicenses @()›(Get-MgUserLicenseDetail -UserId laura.prado@contoso.com).SkuPartNumberSPE_E3

Los nombres internos no coinciden con los comerciales: SPE_E3 es Microsoft 365 E3, ENTERPRISEPACK es Office 365 E3, SPB es Business Premium, DESKLESSPACK es F3. Hay una tabla oficial de Microsoft con todos; ten el enlace a mano.

Si la licencia viene por grupo, Get-MgUserLicenseDetail la muestra igual, pero al intentar quitarla a mano dará error: hay que sacar al usuario del grupo.

4. El usuario tiene licencia pero "no le funciona"

• Outlook o Teams dicen que no tiene licencia: espera hasta 30 minutos tras asignarla, y que cierre sesión y vuelva a entrar. Si persiste, en el centro de administración el usuario mostrará un error de aprovisionamiento en la licencia (texto rojo bajo el servicio).
• Office de escritorio pide activación: tiene E1 o Basic (solo web). O tiene E3 pero el servicio Microsoft 365 Apps for enterprise está desmarcado en la licencia.
• Error de aprovisionamiento con conflicto: dos licencias con el mismo servicio (Exchange Online Plan 1 junto a E3, por ejemplo). Quita la pequeña.
• La licencia la pone un grupo y el usuario no la tiene: mira en Entra ID → Grupos → el grupo → Licencias → Errores de procesamiento; casi siempre es ubicación de uso vacía o que no quedan licencias.

5. La baja: retirar la licencia sin perder el buzón

El error clásico es quitar la licencia el primer día y descubrir que el buzón desaparece a los 30 días con el correo que necesitaba el responsable. El orden correcto:

1. Bloquear el inicio de sesión (Update-MgUser -AccountEnabled:$false) y revocar las sesiones (Revoke-MgUserSignInSession).
2. Convertir el buzón en compartido desde Exchange Online (no necesita licencia si tiene menos de 50 GB y no tiene archivo) y dar permiso al responsable. Esto va en la guía de Outlook y Exchange Online.
3. Quitar la licencia. Ahora sí: el buzón compartido se queda.
4. Si la licencia es por grupo, sacar al usuario de los grupos de licencia; si es directa, Set-MgUserLicense -RemoveLicenses @($e3) -AddLicenses @().
5. Apuntar en el ticket la fecha de cada paso y cuándo caduca la retención del buzón compartido según vuestra política.

Siguientes pasos

• Si asignáis licencias a mano, propón pasar a licencias por grupo: una alta es meter al usuario en un grupo y no se olvida ningún servicio.
• Un informe mensual de licencias asignadas a usuarios deshabilitados o sin inicio de sesión en 90 días paga más de una renovación.
• En el Nivel 4 verás el gobierno del tenant completo: roles de administración, PIM, Conditional Access y la revisión mensual con el proveedor.

¿Quieres practicarlo? Resuelve el ticket «Nueva incorporación sin Outlook ni Teams» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.