Iñigo GonzálezIT Operations · Infra

GuíasGuides · Sector 2Sector 2

Alta de usuario: red, correo y aplicaciones de negocio en tiendas y oficina centralNew starter: network, email and business apps in stores and head office

La incorporación completa en una cadena de tiendas: la petición de RR. HH. con plazo, la cuenta y la licencia según el rol, buzones y buzones compartidos, la red de tienda y la VPN de oficina, el usuario del TPV y del ERP, la entrega del equipo y el encargado que no puede entrar en el TPV el primer día.The complete onboarding in a store chain: the HR request with lead time, the account and licence by role, mailboxes and shared mailboxes, the store network and the head office VPN, the POS and ERP user, the device handover and the store manager who can't log in to the POS on day one.

Sector 2Sector 2 · Alta de usuario - Red, correo y aplicaciones de negocioNew starter - Network, email and business apps · 7 min6 min read · ActualizadoUpdated 28 oct 202628 Oct 2026

Qué vas a conseguir

Que una persona nueva, sea dependienta en una tienda a 400 km o analista en la oficina central, llegue el primer día y pueda trabajar: entrar en el TPV, fichar, leer el correo y abrir el ERP. En retail las altas llegan en oleadas (campaña de Navidad, rebajas, apertura de tienda), la tienda no tiene a nadie de IT y el primer día suele ser un sábado. Lo que no está listo el viernes por la tarde se convierte en una llamada al soporte con cola en caja.

Antes de empezar

  • Un formulario de alta único que rellena RR. HH. o el responsable, con los campos que IT necesita (los vemos abajo), en la herramienta de tickets.
  • Un plazo mínimo pactado: por ejemplo, 5 días laborables para oficina y 3 para tienda. Lo que llega tarde se hace, pero con prioridad y avisando de lo que no estará.
  • Una plantilla por rol: qué grupos, licencia, buzones compartidos y aplicaciones lleva cada puesto (dependiente, encargado, jefe de área, oficina).
  • Saber quién da de alta cada aplicación de negocio: el TPV y el ERP muchas veces no son de IT sistemas, sino de un equipo de aplicaciones o de un proveedor.

1. La petición: lo que IT necesita saber

Jira Service Management · Nueva solicitud · Alta de empleado
PortalPersonasAlta de empleado
Nombre y apellidosLaura Prado Sanz
PuestoEncargada de tienda
CentroTienda 042 · Valladolid Centro
Fecha de incorporaciónsábado 07/11/2026
Tipo de contratoIndefinido
ResponsableJavier Ruiz (Jefe de área Norte)
Sustituye aMarta Gil (baja 31/10)
Usuario de TPV con rol de encargado
Usuario de ERP (consultas de stock y pedidos)
Portátil
Móvil de empresa
Enviar
  • El centro decide casi todo: red, impresora, buzón compartido de la tienda y grupo del TPV. Un código de tienda mal puesto es la causa de la mitad de las altas que fallan.
  • "Sustituye a" te ahorra trabajo: ves qué tenía la persona anterior, pero no copias sus permisos a ciegas, aplicas la plantilla del rol.
  • La fecha marca la prioridad. Una incorporación en sábado se deja lista el jueves, porque el viernes ya no hay margen para corregir.

2. La cuenta y la licencia por rol

La cuenta se crea en Active Directory (o directamente en Entra ID si no hay AD) con la convención de nombres de la empresa y el atributo del centro rellenado, porque de ahí cuelgan los grupos dinámicos y la sincronización con otras aplicaciones.

RolLicencia habitualQué incluye en la práctica
DependienteMicrosoft 365 F3Correo y Teams en web y móvil, sin aplicaciones de escritorio
Encargado de tiendaMicrosoft 365 F3 + acceso al buzón compartido de la tiendaLo anterior y el correo de la tienda
Jefe de áreaMicrosoft 365 E3Aplicaciones de escritorio, portátil y VPN
Oficina centralMicrosoft 365 E3 o E5Puesto completo
  • La licencia se asigna por grupo, no a mano: la persona entra en el grupo del rol y la licencia llega sola.
  • En tienda suele haber equipos compartidos (el PC de trastienda): el usuario personal sirve para el correo y el ERP, no para dejar la sesión abierta todo el día.
  • El buzón compartido de la tienda recibe pedidos, incidencias de mantenimiento y circulares. Se da acceso al encargado y al segundo, no a toda la plantilla.
PowerShell · comprobar la cuenta y la licencia antes del primer día
Get-ADUser lprado -Properties Enabled, Office, Department, AccountExpirationDate | Select-Object SamAccountName, Enabled, Office, Department, AccountExpirationDateSamAccountName Enabled Office      Department AccountExpirationDate-------------- ------- ------      ---------- ---------------------lprado            True Tienda 042  TiendasGet-MgUserLicenseDetail -UserId $upn | Select-Object SkuPartNumberSkuPartNumber-------------SPE_F1

SPE_F1 es el identificador interno de Microsoft 365 F3. Si la lista sale vacía, la persona no está en el grupo de licencias o la sincronización todavía no ha pasado.

3. Red y aplicaciones de negocio

  • Tienda: el personal no se conecta con su usuario a la red de la tienda; el TPV y el PC de trastienda van por cable o por la Wi-Fi corporativa con certificado de equipo. El móvil de empresa entra en la Wi-Fi de personal si existe. La Wi-Fi de clientes nunca es una solución.
  • Oficina central y jefes de área: Wi-Fi corporativa y VPN en el portátil, con MFA registrado antes de salir de la oficina.
  • TPV: el usuario del TPV es distinto del de Windows, con un código o PIN y un rol (dependiente o encargado; el encargado puede anular tickets, hacer devoluciones y cerrar caja). Se crea en el back-office central y llega a las tiendas en la siguiente sincronización.
  • ERP: si el ERP corre en IBM i (AS400), el perfil se crea con la plantilla del rol (guía de AS400). Si es otro ERP, igual: rol y centro, no permisos sueltos.

4. Entrega del equipo y checklist del primer día

En tienda no hay nadie de IT, así que lo que llega tiene que estar listo y explicado en una hoja:

  1. El móvil enrolado en Intune y asignado a la persona, con la aplicación de correo y Teams.
  2. La contraseña inicial se entrega por un canal distinto al usuario (SMS al móvil personal o en mano al responsable), nunca escrita en el ticket.
  3. El primer inicio de sesión: cambio de contraseña y registro de MFA, acompañado por el responsable.
  4. Comprobar en el TPV que el usuario aparece en la lista y que el rol es el correcto.
  5. Abrir el ERP y una consulta sencilla (stock de un artículo).
  6. Correo: el personal y el buzón compartido de la tienda visibles.
  7. Cerrar el ticket con lo entregado: número de serie del móvil, aplicaciones y fecha.

Para aperturas de tienda o campañas con muchas altas, prepara una carga masiva desde un CSV de RR. HH. y revisa el resultado en una sola lista antes de la fecha.

5. El ticket: "la nueva encargada no puede entrar en el TPV el primer día"

Sábado, 9:45, la tienda abre a las 10:00. La encargada nueva teclea su código y el TPV dice que el usuario no existe.

  1. ¿Existe en el back-office del TPV? Si no está, el alta del TPV no se pidió o se quedó en una cola de otro equipo. Se crea ahora y se fuerza la sincronización de esa tienda, si el TPV lo permite.
  2. ¿Existe pero en otra tienda? El código de centro estaba mal en el formulario: el usuario se sincronizó a la tienda 024 en vez de la 042. Se corrige el centro y se sincroniza de nuevo.
  3. ¿Existe y en su tienda, pero el TPV no lo ve? El TPV no ha recibido la sincronización de la noche (estuvo apagado o sin conexión con la central). Se revisa la fecha de última sincronización del terminal.
  4. Mientras tanto: la tienda no abre sin encargado en el TPV. El segundo de la tienda o el jefe de área abre caja con su usuario y queda anotado en el ticket. Nadie usa el código de la encargada anterior.
  5. Al cerrar: si la causa fue el formulario, se añade una validación (lista cerrada de tiendas); si fue la sincronización, se revisa por qué ese TPV estaba apagado.

6. Lo que revisas cada mes

  • Altas del mes: cuántas llegaron fuera de plazo y de qué departamento, para hablarlo con RR. HH. con datos.
  • Licencias asignadas frente a personas activas: las F3 de personal de campaña que ya terminó, liberadas.
  • Usuarios del TPV y del ERP sin cuenta activa en el directorio: deben estar dados de baja.

Siguientes pasos

  • La guía de Active Directory cubre la cuenta, los grupos y la convención de nombres.
  • Microsoft 365 y licencias explica la asignación por grupos y las diferencias entre planes.
  • Outlook y Exchange Online detalla los buzones compartidos y sus permisos.
  • La guía de AS400 sigue con el perfil de usuario en el ERP.
  • Intune explica el enrolamiento del móvil de empresa.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

A new person, whether a sales assistant in a store 400 km away or an analyst at head office, arriving on day one able to work: log in to the POS, clock in, read email and open the ERP. In retail, new starters come in waves (Christmas season, sales, a store opening), the store has nobody from IT and day one is often a Saturday. Whatever isn't ready on Friday afternoon turns into a call to support with a queue at the till.

Before you start

  • A single new starter form, filled in by HR or the line manager, with the fields IT needs (see below), in the ticketing tool.
  • An agreed minimum lead time: for example, 5 working days for head office and 3 for stores. Late requests still get done, but with priority and a note on what won't be ready.
  • A template per role: which groups, licence, shared mailboxes and applications each job gets (sales assistant, store manager, area manager, head office).
  • Knowing who creates the user in each business application: the POS and the ERP are often not owned by the systems team, but by an applications team or a vendor.

1. The request: what IT needs to know

Jira Service Management · New request · New starter
PortalPeopleNew starter
Full nameLaura Prado Sanz
Job titleStore manager
LocationStore 042 · Valladolid Centre
Start dateSaturday 07/11/2026
Contract typePermanent
Line managerJavier Ruiz (North area manager)
ReplacesMarta Gil (left 31/10)
POS user with manager role
ERP user (stock enquiries and orders)
Laptop
Company mobile
Submit
  • The location decides almost everything: network, printer, the store's shared mailbox and the POS group. A wrong store code causes half the onboardings that fail.
  • "Replaces" saves you work: you see what the previous person had, but you don't copy their permissions blindly, you apply the role template.
  • The date sets the priority. A Saturday start is ready on Thursday, because on Friday there is no margin left to fix anything.

2. The account and the licence by role

The account is created in Active Directory (or directly in Entra ID if there is no AD) with the company's naming convention and the location attribute filled in, because dynamic groups and the sync to other applications hang off it.

RoleUsual licenceWhat it means in practice
Sales assistantMicrosoft 365 F3Email and Teams on web and mobile, no desktop apps
Store managerMicrosoft 365 F3 + access to the store's shared mailboxThe above plus the store's email
Area managerMicrosoft 365 E3Desktop apps, laptop and VPN
Head officeMicrosoft 365 E3 or E5Full desk setup
  • The licence is assigned by group, not by hand: the person joins the role group and the licence follows.
  • Stores often have shared devices (the back-office PC): the personal account is for email and the ERP, not for leaving a session open all day.
  • The store's shared mailbox receives orders, maintenance issues and memos. Access goes to the manager and the deputy, not the whole team.
PowerShell · check the account and licence before day one
Get-ADUser lprado -Properties Enabled, Office, Department, AccountExpirationDate | Select-Object SamAccountName, Enabled, Office, Department, AccountExpirationDateSamAccountName Enabled Office      Department AccountExpirationDate-------------- ------- ------      ---------- ---------------------lprado            True Store 042   StoresGet-MgUserLicenseDetail -UserId $upn | Select-Object SkuPartNumberSkuPartNumber-------------SPE_F1

SPE_F1 is the internal identifier for Microsoft 365 F3. If the list comes back empty, the person isn't in the licence group or sync hasn't run yet.

3. Network and business apps

  • Store: staff don't sign in to the store network with their own account; the POS and the back-office PC are on cable or on the corporate Wi-Fi with a device certificate. The company mobile joins the staff Wi-Fi if there is one. The customer Wi-Fi is never the answer.
  • Head office and area managers: corporate Wi-Fi and VPN on the laptop, with MFA registered before they leave the office.
  • POS: the POS user is separate from the Windows one, with a code or PIN and a role (sales assistant or manager; the manager can void receipts, process refunds and close the till). It is created in the central back office and reaches the stores at the next sync.
  • ERP: if the ERP runs on IBM i (AS400), the profile is created from the role template (AS400 guide). With any other ERP, the same idea: role and location, not loose permissions.

4. Device handover and day-one checklist

There is nobody from IT in the store, so whatever arrives must be ready and explained on one sheet:

  1. The mobile enrolled in Intune and assigned to the person, with the mail app and Teams.
  2. The initial password delivered through a different channel from the username (SMS to the personal mobile or by hand to the line manager), never written in the ticket.
  3. First sign-in: password change and MFA registration, with the line manager alongside.
  4. Check on the POS that the user shows in the list and the role is correct.
  5. Open the ERP and run a simple query (stock of one item).
  6. Email: the personal mailbox and the store's shared mailbox both visible.
  7. Close the ticket with what was handed over: mobile serial number, applications and date.

For store openings or seasonal peaks with many starters, prepare a bulk load from an HR CSV and review the result in a single list before the date.

5. The ticket: "the new store manager can't log in to the POS on day one"

Saturday, 9:45, the store opens at 10:00. The new manager types her code and the POS says the user doesn't exist.

  1. Does she exist in the POS back office? If not, the POS user was never requested or got stuck in another team's queue. Create it now and force a sync for that store, if the POS allows it.
  2. Does she exist but in another store? The location code was wrong on the form: the user synced to store 024 instead of 042. Fix the location and sync again.
  3. Does she exist in her store, but the POS can't see her? The POS missed the overnight sync (it was switched off or couldn't reach head office). Check the terminal's last sync date.
  4. In the meantime: the store doesn't open without a manager on the POS. The deputy or the area manager opens the till with their own user and that goes in the ticket. Nobody uses the previous manager's code.
  5. When closing: if the cause was the form, add a validation (a closed list of stores); if it was the sync, find out why that POS was off.

6. What you review each month

  • The month's starters: how many arrived late and from which department, to discuss with HR using numbers.
  • Assigned licences against active people: F3 licences of seasonal staff who have finished, released.
  • POS and ERP users without an active directory account: they must be removed.

Next steps

  • The Active Directory guide covers the account, groups and naming convention.
  • Microsoft 365 and licences explains group-based assignment and the differences between plans.
  • Outlook and Exchange Online details shared mailboxes and their permissions.
  • The AS400 guide continues with the user profile in the ERP.
  • Intune explains how the company mobile is enrolled.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →