Mover una conexión de flujo a una cuenta de servicio: lista de verificación de gobernanza

Cuando un flujo de Microsoft Power Automate utiliza una cuenta de usuario como su conexión, ese flujo se interrumpe si el usuario deja la organización o cambia su contraseña. Debe mover la conexión del flujo a una cuenta de servicio para mantener el flujo en ejecución sin interrupciones. Este artículo explica la lista de verificación de gobernanza para mover una conexión de flujo a una cuenta de servicio. Cubre las razones para el cambio, el proceso paso a paso y los errores comunes que se deben evitar.

Por qué mover una conexión de flujo a una cuenta de servicio

Una cuenta de servicio es una identidad no humana que se utiliza para ejecutar procesos automatizados. En Power Automate, una conexión de flujo define las credenciales que el flujo utiliza para acceder a orígenes de datos como SharePoint, Outlook o SQL Server. Cuando un flujo utiliza una cuenta de usuario normal, la conexión depende de la identidad y la contraseña de ese usuario. Si la cuenta del usuario se deshabilita, la contraseña expira o el usuario deja la empresa, el flujo deja de funcionar. Mover la conexión a una cuenta de servicio desvincula el flujo de cualquier persona individual. Esto garantiza que el flujo siga ejecutándose incluso cuando se produzcan cambios de personal. Las cuentas de servicio también simplifican la auditoría porque toda la actividad del flujo se atribuye a una única identidad controlada.

Antes de mover una conexión, debe crear una cuenta de servicio en Microsoft Entra ID (anteriormente Azure Active Directory). La cuenta de servicio necesita una licencia de Microsoft 365 que incluya Power Automate. Para los flujos que acceden a SharePoint, la cuenta de servicio debe tener al menos acceso de lectura al sitio correspondiente. Para los flujos que envían correo electrónico, la cuenta de servicio debe tener un buzón o tener permisos de Enviar como. También necesita asignaciones de licencia de Power Automate —por flujo o por usuario— según el modelo de licencias de su organización. Planifique documentar las credenciales de la cuenta de servicio de forma segura, como en un administrador de contraseñas o Azure Key Vault.

Pasos para mover una conexión de flujo a una cuenta de servicio

Siga esta lista de verificación para mover una conexión de flujo de una cuenta de usuario a una cuenta de servicio. Realice cada paso en el orden indicado.

1. Identifique el flujo y su propietario actual
   Vaya a Power Automate en make.powerautomate.com. En la navegación izquierda, seleccione Mis flujos. Localice el flujo que utiliza la conexión de la cuenta de usuario. Abra la página de detalles del flujo y anote el campo Propietario. Esto muestra quién posee actualmente el flujo. Si el propietario se va, primero debe transferir la propiedad a la cuenta de servicio u otro administrador.
2. Cree la cuenta de servicio en Microsoft Entra ID
   Abra el centro de administración de Microsoft Entra en entra.microsoft.com. Seleccione Usuarios y luego Nuevo usuario. Complete el nombre de usuario (por ejemplo, svc-flowname@yourcompany.com) y asigne una contraseña segura. En Asignaciones, agregue las licencias necesarias: una licencia de Microsoft 365 y una licencia de Power Automate. Haga clic en Crear. Registre las credenciales en su almacén de contraseñas seguro.
3. Otorgue a la cuenta de servicio acceso a los orígenes de datos
   Para cada origen de datos que utilice el flujo, otorgue a la cuenta de servicio los permisos mínimos necesarios. Para SharePoint: agregue la cuenta de servicio al sitio con acceso de Lectura o Colaboración. Para Outlook: la cuenta de servicio debe tener un buzón con licencia. Para SQL Server: otorgue a la cuenta de servicio db_datareader o db_datawriter según sea necesario. Pruebe la cuenta iniciando sesión y accediendo manualmente al origen de datos.
4. Cree una nueva conexión en Power Automate
   En Power Automate, seleccione Datos > Conexiones. Haga clic en Nueva conexión. Elija el conector que utiliza el flujo (por ejemplo, SharePoint). Cuando se le solicite, inicie sesión con las credenciales de la cuenta de servicio. La nueva conexión aparece en su lista de conexiones. Asígnele un nombre claro, como “Conexión de cuenta de servicio – SharePoint”.
5. Edite el flujo para usar la nueva conexión
   Abra el flujo en el diseñador. Seleccione cada acción o desencadenador que utilice la conexión anterior. Haga clic en los puntos suspensivos (…) en la acción y elija Cambiar conexión. Seleccione la nueva conexión de la cuenta de servicio de la lista. Repita para cada acción del flujo. Guarde el flujo.
6. Pruebe el flujo con la cuenta de servicio
   Ejecute el flujo manualmente seleccionando Probar en el menú superior. Elija Manualmente y luego Probar. Verifique que todas las acciones se realicen correctamente. Revise el historial de ejecución para detectar errores. Si el flujo utiliza desencadenadores como “Cuando se crea un elemento”, cree un elemento de prueba y confirme que el flujo se desencadena.
7. Actualice el propietario del flujo (si corresponde)
   Si el propietario original se va, transfiera la propiedad a la cuenta de servicio u otro administrador. Vaya a la página de detalles del flujo. Seleccione Administrar uso compartido. Agregue la cuenta de servicio u otro usuario como copropietario. Elimine al propietario original solo después de confirmar que el flujo funciona. Nota: las cuentas de servicio no pueden poseer flujos en todos los escenarios; consulte la política de su inquilino.

Errores comunes y limitaciones al mover una conexión de flujo

La cuenta de servicio no tiene una licencia de Power Automate

Sin una licencia, la cuenta de servicio no puede usar conexiones de Power Automate. Asigne un plan por usuario de Power Automate o un plan por flujo. Si su organización utiliza planes por flujo, asigne el plan al flujo en sí en lugar de a la cuenta. Revise la sección de licencias en el centro de administración de Power Automate.

El flujo utiliza un conector premium que requiere una licencia diferente

Algunos conectores, como SQL Server o HTTP con Azure AD, requieren un plan por usuario de Power Automate con RPA atendido o un plan por flujo. Si el flujo utiliza dichos conectores, asegúrese de que la cuenta de servicio o el flujo tenga la licencia adecuada. Los conectores estándar (SharePoint, Outlook, Teams) funcionan solo con una licencia de Microsoft 365.

La cuenta de servicio no puede iniciar sesión para crear una conexión debido a MFA

Si su inquilino requiere autenticación multifactor para todos los usuarios, la cuenta de servicio se bloqueará. Excluya la cuenta de servicio de las directivas de Acceso condicional que aplican MFA. En el centro de administración de Entra, vaya a Protección > Acceso condicional. Localice la directiva que se aplica a todos los usuarios y agregue la cuenta de servicio como exclusión. Como alternativa, cree una directiva de Acceso condicional independiente que bloquee el inicio de sesión interactivo de la cuenta de servicio pero permita la autenticación moderna.

El flujo se interrumpe después de que cambia la contraseña del usuario original

Si no mueve la conexión antes de que cambie la contraseña del usuario, el flujo fallará con un error de conexión. Para recuperarlo, inicie sesión en Power Automate como administrador, abra el flujo y edite cada acción para usar una nueva conexión creada con la cuenta de servicio. Si el usuario original ya está deshabilitado, no puede crear una nueva conexión con esa identidad; debe usar la cuenta de servicio desde el principio.

El buzón de la cuenta de servicio no está aprovisionado

Para los flujos que envían correo electrónico, la cuenta de servicio debe tener un buzón de Exchange Online con licencia. Cuando asigna una licencia de Microsoft 365 E3 o E5, el buzón se aprovisiona automáticamente. Si asigna una licencia inferior, verifique que el buzón exista en el centro de administración de Exchange. Si la cuenta es solo en la nube, el buzón puede tardar hasta 24 horas en aparecer.

Cuenta de usuario vs cuenta de servicio para flujos de Power Automate

Elemento	Cuenta de usuario	Cuenta de servicio
Dependencia de una persona	Se interrumpe cuando el usuario se va o cambia la contraseña	Sin dependencia de una sola persona
Licencia requerida	Licencia de Microsoft 365 del usuario	Licencia de Microsoft 365 más licencia de Power Automate
Pista de auditoría	Acciones atribuidas al usuario específico	Acciones atribuidas a la identidad controlada
Complejidad de configuración	Baja: usar el usuario existente	Media: crear cuenta, otorgar permisos, crear conexión
Ideal para	Flujos personales o proyectos a corto plazo	Flujos críticos para el negocio o de larga duración

Después de mover la conexión del flujo a una cuenta de servicio, el flujo se ejecutará independientemente de cualquier usuario individual. El beneficio clave es la confiabilidad: el flujo sigue funcionando incluso cuando el creador original se va o cambia su contraseña. A continuación, considere configurar una alerta de supervisión para el flujo utilizando el centro de administración de Power Automate. Cree una regla que notifique a su equipo si el flujo no se ejecuta. Como sugerencia avanzada, almacene la contraseña de la cuenta de servicio en Azure Key Vault y use el conector de Key Vault en su flujo para recuperarla dinámicamente. Esto evita codificar credenciales de forma rígida y mejora el cumplimiento de seguridad.