Migraciones de tenant de Microsoft 365: inventario, identidades, buzones, OneDrive y el día del corte

Qué vas a conseguir

Llevar los usuarios, el correo y los archivos de una empresa de un tenant de Microsoft 365 a otro con un fin de semana de corte y un lunes tranquilo. Saber desde el principio qué se migra con herramientas, qué hay que rehacer a mano y qué no se puede mover, para que nadie se entere el lunes.

Antes de empezar

• El escenario claro: fusión (dos tenants pasan a uno), escisión (una parte de la empresa sale a un tenant nuevo, normalmente con un acuerdo de servicios transitorios, TSA, que fija hasta cuándo el origen da servicio) o cambio de marca (el dominio cambia de tenant).
• Roles administrativos en los dos tenants, activados por PIM (guía de Global Admin y PIM).
• Las herramientas: la migración nativa de buzones y de OneDrive entre tenants necesita una licencia Cross-Tenant User Data Migration por usuario migrado; la alternativa son herramientas de terceros (para correo, OneDrive, SharePoint y Teams) con su propio coste.
• El repo 29 del portfolio, Tenant Separation Cutover Planner, sirve de plantilla para el plan del corte y sus dependencias.

1. El inventario

Todo lo que no está en el inventario aparece el lunes como ticket.

›Connect-ExchangeOnline›Get-EXOMailbox -ResultSize Unlimited -Properties RecipientTypeDetails | Group-Object RecipientTypeDetails | Select-Object Name, Count›Get-EXOMailbox -ResultSize Unlimited | Get-EXOMailboxStatistics | Sort-Object TotalItemSize -Descending | Select-Object -First 5 DisplayName, TotalItemSize, ItemCountName                  Count----                  -----UserMailbox           412SharedMailbox         37RoomMailbox           18EquipmentMailbox      3DisplayName           TotalItemSize                      ItemCount-----------           -------------                      ---------Carlos Martín         48.71 GB (52,302,131,200 bytes)    398112Facturación           31.02 GB (33,307,705,344 bytes)    521007

2. Las identidades en el destino

• Cada usuario existe en el destino antes del corte, con un UPN provisional en el dominio onmicrosoft.com del destino (el dominio de verdad aún está en el origen).
• Un CSV de correspondencias es la columna vertebral de todo el proyecto: SourceUPN,TargetUPN,FinalUPN. Lo usan los scripts de buzones, de OneDrive, de licencias y de UPN final.
• Los usuarios tendrán que registrar MFA otra vez en el tenant destino: se prepara la comunicación y, si se puede, se usan Temporary Access Pass el lunes para que el primer inicio de sesión sea sencillo.

3. Los buzones entre tenants

Las piezas de la migración nativa: una aplicación de migración en el tenant destino con consentimiento del origen, una relación de organización en cada tenant que permite mover buzones, y un punto de conexión de migración en el destino.

En el destino, cada usuario es primero un usuario de correo (MailUser) que se convierte en buzón al migrar. Tres atributos tienen que coincidir con el origen:

›Set-MailUser -Identity "laura.prado" -ExchangeGuid "4f1d2a9c-0b3e-4c8e-9a51-7c2d1e6b3f10" -ArchiveGuid "9b7e3c21-5d4a-4e0f-8c6b-2a1f9d0e7c45"›Set-MailUser -Identity "laura.prado" -EmailAddresses @{ add = "x500:/o=ExchangeLabs/ou=Exchange Administrative Group (FYDIBOHF23SPDLT)/cn=Recipients/cn=7a1c0e5b9d2f4c3a8e6b1d0f2a9c4e7b-laura.prado" }

• ExchangeGuid y ArchiveGuid iguales a los del buzón de origen: sin ellos, la migración no encuentra destino.
• La dirección x500 con el LegacyExchangeDN del origen: sin ella, responder a un correo antiguo o a una convocatoria vieja rebota con un error IMCEAEX. Es el fallo que más tickets genera tras una migración.

›New-MigrationBatch -Name "ola1-finanzas" -SourceEndpoint "ep-origen" -CSVData ([System.IO.File]::ReadAllBytes("C:\mig\ola1.csv")) -TargetDeliveryDomain "fabrikam.onmicrosoft.com" -Autostart›Get-MigrationUser -BatchId "ola1-finanzas" | Get-MigrationUserStatistics | Format-Table Identity, Status, SyncedItemCount, SkippedItemCountIdentity                     Status    SyncedItemCount   SkippedItemCount--------                     ------    ---------------   ----------------laura.prado@fabrikam.com     Synced    84211             0carlos.martin@fabrikam.com   Syncing   301455            12

Los lotes se crean y sincronizan semanas antes del corte: copian casi todo y se quedan en Synced, actualizándose. El día del corte solo se completa el último incremento, que tarda minutos y no días. Los elementos omitidos (SkippedItemCount) se revisan antes, no el lunes.

4. OneDrive, SharePoint y Teams

• OneDrive: la migración nativa entre tenants (Start-SPOCrossTenantUserContentMove en SharePoint Online PowerShell, tras confiar los dos tenants) mueve el OneDrive completo y deja una redirección en el origen. Con herramientas de terceros, el modelo es el mismo: copia previa y delta el fin de semana.
• SharePoint y Teams: sitio a sitio con la herramienta de migración, con los propietarios de cada sitio validando antes del corte qué se lleva y qué se archiva.
• Los chats de Teams no viajan: se avisa con tiempo para que lo importante se guarde en un canal o un documento.

5. El fin de semana del corte

El dominio no puede estar en dos tenants a la vez, y Entra ID no te deja quitarlo del origen mientras algún objeto lo use. Encontrarlos lleva tiempo; se ensaya antes con un script:

›Get-Recipient -ResultSize Unlimited | Where-Object { $_.EmailAddresses -match "@fabrikam\.com" } | Select-Object Name, RecipientTypeDetails

Dispositivos: los equipos unidos a Entra ID y gestionados por Intune no se pueden mover entre tenants. Se borra su registro de Autopilot en el origen, se importa el hash en el destino y se restablecen (en el corte o por olas, con los datos ya en OneDrive). Los equipos unidos a un AD local se vuelven a unir al dominio del destino.

6. La semana de hipercuidado

• Rebotes: seguimiento de mensajes en el destino buscando 550 5.1.1 e IMCEAEX; cada uno suele ser una x500 que falta.
• MFA y primer inicio de sesión: el pico de llamadas del lunes. Los Temporary Access Pass y una guía de una página con capturas reducen la cola.
• Outlook: perfiles que hay que volver a crear y buzones compartidos que no aparecen (los permisos se vuelven a aplicar en el destino desde el inventario).
• Un parte diario a dirección: incidencias abiertas, cerradas y las que requieren decisión.
• Al cerrar el TSA: retirar licencias y cerrar el tenant de origen (o la parte que corresponda) con copia de lo que haya que conservar por cumplimiento.

Siguientes pasos

• Si los tenants van a convivir, sincronización entre tenants y la organización multiinquilino de Microsoft 365: los usuarios se ven en el directorio y en Teams sin migrar nada.
• Acceso B2B durante el TSA: que los usuarios ya migrados entren como invitados a lo que aún vive en el origen.
• La guía de Azure AD Connect del Nivel 2: en una migración híbrida es la pieza que se desmonta en el origen y se monta en el destino.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.