Qué revisar cuando un cambio funciona para unos usuarios y para otros no

Recoge el fallo sin perder su contexto

Anota acción, mensaje completo, hora con zona, aplicación, usuario y dispositivo. Pide identificadores de solicitud o correlación cuando el servicio los ofrezca, evitando recopilar secretos. Confirma si ocurre al entrar, al abrir un recurso o al ejecutar una operación. Son etapas distintas. Guarda también un intento correcto equivalente: saber que «a Ana le va» aporta poco si Ana utiliza otra aplicación, otra red o un documento distinto.

Busca diferencias que expliquen el alcance

Compara grupo, rol, licencia, versión de cliente, estado del dispositivo, ubicación de red y configuración recibida. Comprueba si el despliegue fue gradual y qué población debía recibirlo. Distingue una asignación prevista de su aplicación efectiva. Ordena hipótesis por la evidencia observada; si falla una sola sede, empieza por diferencias compartidas de esa sede antes de modificar cuentas individuales. No copies toda la pertenencia a grupos de una persona a otra.

Lee la decisión del sistema

En Microsoft Entra, el diagnóstico de acceso condicional parte del intento y de las políticas que se aplicaron. Usa sus registros para investigar ese caso específico, con los permisos de consulta necesarios. Un acceso denegado puede ser el comportamiento previsto para un equipo no admitido, no un error que debas eliminar. Si el problema aparece después de autenticarse, revisa autorización y aplicación; un inicio de sesión correcto no acredita permiso sobre todos los recursos.

Prueba una corrección limitada

Documenta una hipótesis y el resultado que esperas antes de cambiar nada. Ensaya con un grupo reducido y autorizado, manteniendo una vía de reversión. Repite el caso fallido y una comprobación de restricción para detectar privilegios excesivos. Después valida otros perfiles afectados y comunica el alcance resuelto. Si el resultado es parcial, conserva los casos restantes vinculados al cambio original; no cierres toda la incidencia por un único usuario recuperado.

Una matriz de comparación que reduzca cambios inútiles

Haz filas para los intentos observados y columnas para las variables relevantes. En un ejemplo hipotético, el mismo usuario entra por navegador desde su equipo corporativo, pero falla desde otro dispositivo. Esa comparación orienta la investigación hacia las condiciones del dispositivo o del cliente; no demuestra todavía una causa. Consulta el registro correspondiente y comprueba la política aplicada antes de modificar pertenencias a grupos.

Otra comparación útil puede ser dos usuarios del mismo perfil sobre la misma red y aplicación, cada uno con su sesión propia. Mantén constante lo que puedas y documenta lo que no puedas igualar. Nunca pidas contraseñas para reproducir el caso; utiliza las funciones de diagnóstico autorizadas o acompaña a la persona durante la prueba. Cuando encuentres una diferencia, comprueba si es prevista o errónea. La solución puede ser corregir una asignación, actualizar un cliente o explicar una restricción válida. No todas las diferencias de comportamiento requieren que todos reciban la misma configuración.

Fuentes y documentación

• Microsoft: diagnosticar acceso condicional — Relacionar el intento fallido con registros y políticas aplicadas antes de modificar controles.