Office 365: asignación de licencias por perfil con el service desk, de la tienda a la oficina centralOffice 365: assigning licences by role through the service desk, from the store to head office

Qué vas a conseguir

Que cada persona tenga la licencia que necesita su puesto, que llegue sola al darla de alta y que vuelva al bolsillo cuando se va. En una cadena con cientos de dependientes, rotación alta y campañas con personal temporal, asignar licencias a mano persona a persona acaba en dos problemas: gente sin correo el primer día y licencias pagadas de quien se fue hace meses.

Antes de empezar

• Las suscripciones contratadas y cuántas hay de cada una (Centro de administración de Microsoft 365 › Facturación › Licencias).
• Saber si el contrato es con Teams incluido o con suites sin Teams más Teams Enterprise aparte: cambia qué hay que asignar para que el usuario tenga Teams.
• El origen de los usuarios: Entra ID directo o sincronizados desde Active Directory, y qué atributos llegan rellenos (departamento, país, tipo de empleado).
• El rol Administrador de licencias para el service desk: puede asignar licencias y cambiar la ubicación de uso sin ser administrador de usuarios ni global.

1. Qué licencia lleva cada perfil

La decisión de quién es "de tienda" y quién "de oficina" la toma el negocio, no IT. Lo que hace IT es traducirla en grupos y en un criterio que se pueda auditar.

2. Licencias por grupo en Entra ID

Un grupo por licencia, y la membresía la decide un atributo:

• LIC-M365-F3-Tiendas: grupo dinámico con la regla (user.department -eq "Tiendas") and (user.accountEnabled -eq true).
• LIC-M365-E3-Oficina: grupo dinámico por departamento de la central, o asignado si el criterio no es limpio.
• LIC-M365-E3-Excepciones: grupo asignado para los casos aprobados fuera de la regla, con propietario y revisión.

• Los planes de servicio se activan o desactivan en el grupo, no usuario a usuario. Si se desactiva Teams en el grupo, ningún dependiente tendrá Teams.
• Un usuario no debe tener la misma licencia directa y por grupo: es más difícil de auditar y, al quitarle el grupo, la directa se queda.
• Los grupos dinámicos necesitan Entra ID P1, que incluyen tanto F3 como E3.

3. El flujo con el service desk

1. Petición: RR. HH. da de alta a la persona con su departamento y su tienda. Si el atributo está bien, la licencia llega sola. Solo se pide por ticket lo que se sale de la regla (un encargado con E3, un temporal con un plan extra).
2. Aprobación: las excepciones las aprueba el responsable del área en el ticket, no un correo al técnico.
3. Asignación: el service desk añade al usuario al grupo de excepciones. Nunca licencia directa.
4. Recuperación en las bajas: al desactivar la cuenta, el usuario sale de los grupos dinámicos y la licencia vuelve a estar disponible. Si el buzón tiene que conservarse (un encargado, una tienda), se convierte en buzón compartido antes de quitar la licencia.

Antes de quitar la licencia a alguien que se va, comprueba si tiene retención o si su responsable necesita el correo. Al quitarla, Exchange da un periodo de gracia y después el buzón se elimina.

4. La conciliación mensual

›Connect-MgGraph -Scopes Organization.Read.All, User.Read.All, AuditLog.Read.All›Get-MgSubscribedSku | Select-Object SkuPartNumber, ConsumedUnits, @{n='Compradas';e={$_.PrepaidUnits.Enabled}}SkuPartNumber  ConsumedUnits  Compradas-------------  -------------  ---------SPE_F1                   812        850SPE_E3                   236        240›$limite = (Get-Date).AddDays(-45)›Get-MgUser -All -Filter 'accountEnabled eq true' -Property DisplayName,Department,SignInActivity,AssignedLicenses | Where-Object { $_.AssignedLicenses -and $_.SignInActivity.LastSuccessfulSignInDateTime -lt $limite } | Select-Object DisplayName, Department, @{n='UltimoInicio';e={$_.SignInActivity.LastSuccessfulSignInDateTime}}DisplayName      Department  UltimoInicio-----------      ----------  ------------Marta Ruiz       Tiendas     02/08/2026 9:14:03Sergio Lázaro    Compras     21/07/2026 17:40:51

(SPE_F1 es el identificador interno de Microsoft 365 F3, SPE_E3 el de Microsoft 365 E3.)

• Cuentas activas sin inicio de sesión en 45 días: en tienda suelen ser bajas que RR. HH. no ha comunicado o temporales de campaña. Se pregunta a RR. HH., no se desactivan por tu cuenta.
• Licencias directas que no deberían existir: se pasan al grupo que corresponde o se quitan.
• Margen de cada producto antes de campañas: si en noviembre entran 120 temporales, las F3 tienen que estar compradas antes.

5. El ticket: "el usuario no tiene Outlook ni Teams tras asignarle la licencia"

Javier Ruiz empieza hoy en la tienda T045, en plena incorporación de temporales de campaña. Está en el grupo de F3 desde ayer, pero Outlook web dice que no tiene buzón y Teams no le deja entrar.

1. ¿Le ha llegado la licencia? En el usuario, Licencias: puede aparecer la licencia con estado de error en lugar de activa.
2. El estado de la asignación:

›$u = Get-MgUser -Filter "mailNickname eq 'javier.ruiz'" -Property Id,DisplayName,UsageLocation,LicenseAssignmentStates›$u.UsageLocationES›$u.LicenseAssignmentStates | Select-Object SkuId, State, ErrorSkuId                                 State  Error-----                                 -----  -----66b55226-6b4f-492c-910c-a3b7a3c9d993  Error  CountViolation

No quedan F3 libres: las altas de campaña han consumido todas. El grupo no puede asignarle la licencia y el error se queda en el usuario, sin aviso a nadie.

1. La solución: se liberan licencias de las bajas que salieron en la conciliación (o se compran más) y se reprocesa al usuario.

# Tras liberar licencias de bajas ya desactivadas›Invoke-MgLicenseUser -UserId $u.Id›(Get-MgUserLicenseDetail -UserId $u.Id).ServicePlans | Where-Object ServicePlanName -in 'EXCHANGE_S_DESKLESS','TEAMS1' | Select-Object ServicePlanName, ProvisioningStatusServicePlanName      ProvisioningStatus---------------      ------------------EXCHANGE_S_DESKLESS  SuccessTEAMS1               PendingProvisioning

1. La propagación: con la licencia ya en Success, el buzón puede tardar un rato en crearse y Teams algo más. Se le pide que cierre sesión y vuelva a entrar pasado ese tiempo, no que reinstale nada.

Si había licencias, las otras causas habituales:

• Plan desactivado en el grupo: Teams o Exchange en Disabled. Se corrige en el grupo, para todos.
• Ubicación de uso vacía o equivocada: en asignación directa no deja asignar; por grupo se usa la del tenant, que puede no ser el país del usuario. Se corrige en el usuario o en el origen.
• Planes en conflicto (MutuallyExclusiveViolation): tiene F3 por grupo y una E3 directa antigua. Se quita la directa.
• Suite sin Teams: el usuario de oficina tiene E3 (no Teams) y le falta la licencia de Teams Enterprise.
• Sincronizado desde AD sin el departamento correcto: no entra en el grupo dinámico. Se corrige en AD, no en Entra ID.

Siguientes pasos

• La guía de Microsoft 365 y licencias del Nivel 1 explica los productos y los planes de servicio.
• La guía de Microsoft Graph cubre la conexión y los permisos para automatizar estos informes.
• La guía de Azure AD Connect ayuda cuando el atributo que decide la licencia viene de Active Directory.
• La guía de Outlook y Exchange Online sigue donde termina esta: el buzón ya existe y algo no funciona.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.