Solución: el usuario de Teams no aparece en el centro de administración para un grupo de seguridad

Cuando agrega un usuario a un grupo de seguridad asignado a una directiva de Teams o a una directiva de configuración de aplicaciones, es posible que el usuario no aparezca en el Centro de administración de Teams durante varias horas. Esta demora se produce porque el Centro de administración de Teams almacena en caché los datos de pertenencia a grupos y los sincroniza según una programación. Este artículo explica por qué falta el usuario y proporciona métodos paso a paso para forzar la sincronización y verificar la asignación.

La causa principal es el ciclo de sincronización entre Azure Active Directory y el servicio de Teams. Los cambios de pertenencia a grupos pueden tardar hasta 24 horas en propagarse, pero puede desencadenar una sincronización inmediata con PowerShell o el portal de Azure. Los pasos a continuación cubren tanto el enfoque estándar de esperar y verificar como el método de sincronización manual más rápido.

Por qué el Centro de administración de Teams no muestra al usuario después de un cambio de grupo

El Centro de administración de Teams lee la pertenencia a grupos de Azure Active Directory, pero no consulta Azure AD en tiempo real. En su lugar, el Centro de administración se basa en un trabajo de sincronización en segundo plano que se ejecuta cada pocas horas. Cuando agrega un usuario a un grupo de seguridad vinculado a una directiva de Teams, la asignación de directiva también se procesa de forma asincrónica. Esto significa que el usuario puede no aparecer en el Centro de administración hasta que finalice el trabajo de sincronización.

Otro factor es la diferencia entre las asignaciones de directiva directas y basadas en grupos. Las asignaciones directas aparecen de inmediato porque se escriben directamente en el objeto de usuario. Las asignaciones de grupo requieren un paso de procesamiento adicional en el que el servicio de Teams resuelve la pertenencia al grupo y aplica la directiva. Esta resolución puede tardar hasta 24 horas, pero normalmente se completa en 1 a 4 horas.

Si usa Azure AD Connect para sincronizar desde Active Directory local, el ciclo de sincronización agrega otra demora. Azure AD Connect ejecuta una sincronización delta cada 30 minutos de forma predeterminada, pero puede forzarla para que se ejecute de inmediato. Las siguientes secciones muestran cómo desencadenar una sincronización manual y verificar la asignación.

Cómo forzar una sincronización y verificar la asignación de grupo

Puede forzar la sincronización de dos maneras: usando Azure AD Connect en su servidor de sincronización o usando el portal de Azure para actualizar el grupo. Después de forzar la sincronización, puede verificar la asignación con PowerShell.

Método 1: Forzar una sincronización delta con Azure AD Connect

1. Abra PowerShell como administrador en el servidor de Azure AD Connect
   Inicie sesión en el servidor que ejecuta Azure AD Connect. Haga clic con el botón derecho en Windows PowerShell y seleccione Ejecutar como administrador.
2. Ejecute el comando de sincronización delta
   Escriba Start-ADSyncSyncCycle -PolicyType Delta y presione Entrar. Esto fuerza una sincronización delta que envía todos los cambios pendientes a Azure AD.
3. Espere a que finalice la sincronización
   La sincronización suele finalizar en menos de un minuto. Revise el registro de eventos para detectar errores de sincronización si falla.
4. Abra el Centro de administración de Teams y actualice la lista de usuarios
   Vaya a Centro de administración de Teams > Usuarios. Presione F5 para actualizar la página. El usuario ahora debería aparecer en la lista.

Método 2: Actualizar el grupo en el portal de Azure

1. Inicie sesión en el portal de Azure
   Vaya a portal.azure.com e inicie sesión con una cuenta que tenga el rol Administrador global o Administrador de usuarios.
2. Navegue hasta el grupo de seguridad
   Seleccione Azure Active Directory > Grupos. Busque el grupo de seguridad asignado a la directiva de Teams.
3. Abra el grupo y haga clic en Actualizar
   En la página de información general del grupo, haga clic en el botón Actualizar de la barra de herramientas. Esto fuerza que el portal vuelva a cargar la pertenencia.
4. Revise la sección Miembros
   Seleccione Miembros en el menú izquierdo. Verifique que el usuario aparezca en la lista. Si no es así, haga clic en Agregar miembro y agregue el usuario de nuevo.

Verificar la asignación de directiva con PowerShell

1. Instale el módulo de PowerShell de Teams
   Abra Windows PowerShell como administrador y ejecute Install-Module -Name MicrosoftTeams. Presione Y cuando se le solicite.
2. Conéctese a Teams
   Ejecute Connect-MicrosoftTeams e inicie sesión con sus credenciales de administrador.
3. Compruebe la asignación de directiva de grupo
   Ejecute Get-CsGroupPolicyAssignment y busque el nombre del grupo de seguridad. Esto muestra qué directiva está asignada al grupo.
4. Compruebe la directiva efectiva para el usuario
   Ejecute Get-CsUserPolicyAssignment -Identity user@domain.com. Esto muestra la directiva que el usuario recibe realmente, incluidas las asignaciones basadas en grupos.

Si el usuario sigue sin aparecer después de la sincronización

El usuario no es miembro del grupo de seguridad

Abra el grupo en el portal de Azure y compruebe la pertenencia. Si el usuario no aparece, haga clic en Agregar miembro y búsquelo. Guarde el cambio y espere la sincronización.

El grupo no está asignado a ninguna directiva de Teams

En el Centro de administración de Teams, vaya a la página de directivas y verifique que el grupo aparezca en Asignación de directiva de grupo. Si no es así, asigne la directiva al grupo seleccionando la directiva y haciendo clic en Administrar grupos.

Azure AD Connect no está sincronizando el grupo

Si usa Azure AD Connect, compruebe que el grupo esté dentro del ámbito de sincronización. Abra el asistente de Azure AD Connect y confirme que el grupo esté incluido en las unidades organizativas seleccionadas.

La caché del Centro de administración de Teams está obsoleta

Cierre el navegador y vuelva a abrirlo. Como alternativa, use una ventana de InPrivate o Incógnito para omitir la caché. Esto fuerza que el Centro de administración vuelva a cargar la lista de usuarios.

Sincronización del Centro de administración de Teams frente a asignación directa de directivas: diferencias clave

Elemento	Asignación de directiva basada en grupos	Asignación directa de directiva
Tiempo de propagación	Hasta 24 horas	Inmediato
Visibilidad en el Centro de administración	Retrasada hasta la sincronización	Se muestra de inmediato
Esfuerzo de administración	Bajo para muchos usuarios	Alto para muchos usuarios
Propenso a errores	Menos, porque los cambios están centralizados	Más, porque se edita cada usuario

Para la mayoría de las organizaciones, las asignaciones basadas en grupos son el método preferido porque escalan bien. Sin embargo, si necesita un efecto inmediato para un solo usuario, puede asignar la directiva directamente de forma temporal. Una vez completada la sincronización del grupo, quite la asignación directa para evitar conflictos.

Ahora tiene los pasos para forzar una sincronización y verificar la asignación. A continuación, pruebe el cmdlet Get-CsUserPolicyAssignment para confirmar la directiva efectiva de cualquier usuario. Recuerde que el Centro de administración de Teams aún puede mostrar una vista en caché durante unos minutos después de la sincronización, así que actualice la página dos veces si es necesario.