- Controlar la asignación masiva de licencias en Office 365 evita duplicidades y reduce costes.
- Los grupos de Azure AD permiten automatizar la concesión y retirada de licencias por rol.
- PowerShell es esencial para auditar, eliminar y actualizar licencias de muchos usuarios a la vez.
- Definir perfiles claros entre planes como E3 y F3 ayuda a optimizar el uso de licencias.
Gestionar licencias en Office 365 puede convertirse en un auténtico quebradero de cabeza cuando la organización crece, se crean nuevos departamentos o se cambian los modelos de trabajo. Es muy habitual que, con el tiempo, los usuarios acumulen suscripciones que no necesitan, se solapen planes diferentes o se mantengan activas licencias de personas que ya no deberían tener determinados servicios.
En ese contexto, la eliminación y actualización masiva de licencias de usuario en Office 365 se vuelve una tarea clave para ahorrar costes, evitar duplicidades y asegurarse de que cada trabajador dispone solo de lo que realmente requiere para su puesto. En muchas empresas, por ejemplo, se han asignado licencias de tipo E3 de forma indiscriminada, cuando en realidad gran parte del personal encaja mejor en planes más básicos como F3, pensados para empleados de primera línea.
Por qué es crucial controlar las licencias en Office 365
Asignar bien las licencias no es solo una cuestión de orden interno, también tiene un impacto directo en la factura mensual de Microsoft 365. Si se combinan planes de forma incorrecta o se mantienen licencias innecesarias, el presupuesto de TI se dispara sin aportar ningún valor adicional para la empresa.
Casos típicos son aquellos en los que los usuarios tienen una licencia E3 asignada además de otra licencia que realmente es la que necesitan, como F3 u otros planes específicos. Esto provoca que haya usuarios con servicios redundantes, aplicaciones que nunca utilizarán y almacenamiento que no necesitan, mientras el departamento financiero se pregunta por qué la suscripción está subiendo mes a mes.
Además, desde una perspectiva de gobernanza, controlar de forma centralizada qué licencias se aplican a cada tipo de usuario ayuda a estandarizar el entorno, aplicar políticas de seguridad coherentes y simplificar el soporte técnico. Un perfil bien definido por rol permite que el alta y baja de personal sea mucho más rápida.
Por eso muchas organizaciones crean contenedores o grupos en Azure Active Directory (AAD) para que la concesión de licencias sea automática. Según el departamento, el puesto o el grupo asignado, el usuario recibe una combinación de licencias concreta. Esto facilita muchísimo la incorporación de nuevos empleados, pero también hace más visible cuando algo se ha hecho mal en el pasado y hay que corregirlo en bloque.
Cuando se detecta que, por ejemplo, un colectivo entero lleva tiempo con licencias E3 que deberían ser F3, ya no basta con quitar y poner licencias a mano usuario por usuario. Es el momento de plantearse estrategias de eliminación y actualización masiva, apoyándose en las herramientas de Microsoft 365 y en la automatización mediante PowerShell o reglas de asignación basadas en grupos, o herramientas como Copilot para administración.
Escenario habitual: licencias E3 y F3 mal asignadas
Un problema que se repite en muchas empresas es el siguiente: durante un tiempo se han dado licencias E3 “por defecto” a casi todo el mundo, sin una reflexión profunda sobre qué servicios necesitaba realmente cada empleado. Años después, al revisar los costes, se descubre que buena parte de la plantilla podría trabajar perfectamente con licencias F3, pensadas para usuarios de primera línea o trabajadores que solo usan servicios básicos.
En paralelo, se han creado grupos o contenedores en Azure AD para mejorar la asignación automática de licencias por rol o departamento. Por ejemplo, un grupo para oficinas, otro para personal de tienda, otro para logística, etc. Cada uno de ellos lleva asociada una licencia específica (E3, F3, Business Premium, etc.) para que el alta de usuarios sea más sencilla.
El resultado es que hay personas con doble asignación: la licencia antigua E3 y la licencia nueva F3 aplicada automáticamente por pertenecer a un grupo. Esto supone un consumo innecesario de licencias y una configuración poco limpia, que complica cualquier auditoría o cambio posterior.
La pregunta que se hace mucha gente en este punto es clara: ¿se puede quitar de forma masiva la licencia E3 a todos los usuarios que ahora deberían tener solo F3, y viceversa si se ha producido el caso contrario? La respuesta es sí, pero hay que tener en cuenta varias estrategias y herramientas para hacerlo de forma segura y sin dejar a nadie sin servicios críticos.
Antes de tocar nada, es fundamental analizar con detalle qué grupos asignan qué licencias, cómo están configuradas las asignaciones heredadas y qué combinaciones de planes se están produciendo. Una auditoría rápida con el portal de administración, Azure AD y, si hace falta, consultas con PowerShell, ayuda a evitar errores y a diseñar un plan de limpieza ordenado.
Opciones nativas en el portal de administración de Microsoft 365
El punto de partida para muchos administradores es el Centro de administración de Microsoft 365, donde se pueden revisar y modificar licencias de usuario de forma relativamente sencilla. Aunque no es la herramienta más potente para cambios realmente masivos, sí permite una primera aproximación y sirve para pequeños ajustes.
Desde la sección de usuarios activos, se puede filtrar por tipo de licencia y seleccionar en bloque a los usuarios que tienen, por ejemplo, E3. A partir de ahí, el portal permite modificar la asignación y desmarcar determinados planes o servicios. Sin embargo, esta aproximación presenta límites claros cuando se quiere hacer una limpieza exhaustiva o cuando se combinan licencias otorgadas por grupos con licencias asignadas de forma directa.
Otro aspecto a tener en cuenta es que las licencias aplicadas a través de grupos en Azure AD tienen prioridad en la forma en que se gestionan. Si a un usuario se le asigna una licencia por pertenecer a un grupo, no se puede quitar manualmente esa parte específica de la licencia en el portal de Microsoft 365 sin modificar también su pertenencia al grupo o la configuración del propio grupo.
Para organizaciones con muchos usuarios, el portal web se queda corto. La gestión masiva real exige apoyarse en PowerShell y en las capacidades de asignación basada en grupos. Aun así, el portal es útil para verificar rápidamente los resultados de los cambios, revisar el estado de un usuario concreto o actuar sobre grupos pequeños de personas con necesidades muy específicas.
En definitiva, aunque el centro de administración de Microsoft 365 es un buen punto de control, no suele ser suficiente para abordar una eliminación y actualización de licencias a gran escala, especialmente cuando hay que distinguir entre diversas fuentes de asignación y combinar distintos tipos de planes como E3 y F3.
Asignación y retirada de licencias basada en grupos de Azure AD
Azure Active Directory (hoy Microsoft Entra ID) incorpora desde hace tiempo la opción de asignación de licencias basada en grupos. Esta funcionalidad permite que, al añadir un usuario a un grupo, se le otorguen automáticamente una o varias licencias, y al quitarlo del grupo, pierda esas licencias. Es una forma muy eficaz de estandarizar configuraciones por rol.
Si ya se han creado dos contenedores o grupos en Azure AD para asignar licencias automáticamente (por ejemplo, uno para usuarios E3 y otro para usuarios F3), la clave está en revisar qué usuarios pertenecen a cada grupo y cómo se solapan esas pertenencias con licencias asignadas manualmente en el pasado.
La estrategia recomendada suele pasar por decidir un modelo objetivo claro: qué planes de licencias corresponden a cada tipo de puesto, qué grupos representarán esos puestos y qué usuarios deben estar en cada uno. Una vez definido ese mapa, el siguiente paso es ajustar la pertenencia a los grupos y dejar que sea Azure AD quien aplique y retire las licencias de forma automática.
Para resolver el problema de las licencias duplicadas entre E3 y F3, lo normal es identificar a los usuarios que deberían tener F3, asegurarse de que están en el grupo correspondiente y que se les retiran las licencias E3 sobrantes. Al revés, si hay personal que debería escalar de F3 a E3, se les mueve al grupo adecuado y se eliminan las asignaciones antiguas.
Una ventaja importante de este enfoque es que las reglas se mantienen en el tiempo. No es un cambio puntual, sino una forma permanente de garantizar que cualquier alta, baja o cambio de puesto se refleje automáticamente en el tipo de licencia asignada, evitando así que se repita el cúmulo progresivo de licencias incorrectas que a menudo vemos después de varios años de uso de la plataforma.
Uso de PowerShell para eliminación y actualización masiva
Cuando el volumen de usuarios es grande o el escenario es complejo, PowerShell se convierte en el aliado indispensable para gestionar licencias en Office 365 de forma masiva. A través de los módulos de Microsoft 365, Azure AD o MSOnline, es posible consultar, asignar y quitar licencias de cientos o miles de usuarios con unos pocos comandos bien diseñados.
El enfoque típico consiste en conectarse al entorno de Microsoft 365 via PowerShell, extraer un listado de usuarios y sus licencias actuales y, en base a esa información, construir reglas que detecten duplicidades. Por ejemplo, se puede generar un informe con todos los usuarios que tengan una licencia E3 y, al mismo tiempo, pertenezcan a un grupo que les otorga la licencia F3.
A partir de ese informe, se diseña un script que retira la licencia E3 a todos aquellos usuarios que no deberían tenerla, asegurándose de que mantienen la licencia F3 y, por tanto, no pierden acceso a los servicios que realmente necesitan. Del mismo modo, se puede hacer lo contrario: identificar usuarios que se han quedado cortos de funcionalidades y que deben pasar de F3 a E3, asignando la nueva licencia y retirando la anterior.
PowerShell permite también documentar y auditar toda la operación. Es posible exportar a CSV antes y después de los cambios, para comparar cuántas licencias se han liberado, cuántos usuarios han cambiado de plan y qué impacto económico aproximado tiene la limpieza realizada. Esta trazabilidad es esencial para justificar el trabajo ante dirección y para poder revertir cambios si hiciera falta.
Eso sí, al trabajar con scripts que modifican licencias en masa, es crucial probar siempre primero con un subconjunto reducido de usuarios. Un pequeño grupo piloto permite validar que la lógica del script es correcta, que no se está dejando a nadie sin servicios críticos y que los cambios se reflejan como se espera en el portal de administración y en la experiencia de los usuarios.
Buenas prácticas antes de realizar cambios masivos de licencias
Antes de lanzarse a tocar licencias a lo loco, conviene seguir una serie de recomendaciones que minimicen riesgos y eviten sorpresas desagradables. Aunque la tentación de liberar licencias y reducir costes sea grande, una limpieza mal hecha puede dejar a personas sin acceso a correo, Teams u otras herramientas clave en mitad de la jornada laboral.
Lo primero es realizar un inventario completo de las licencias actuales: qué tipos de planes se están usando (E3, F3, Business, etc.), cuántas licencias hay contratadas de cada una y cuántas están realmente asignadas. Esta foto inicial es imprescindible para entender el problema, dimensionar el ahorro potencial y definir el objetivo final.
Después, es recomendable clasificar a los usuarios por perfiles de uso: administrativos, personal de tienda, técnicos, directivos, etc. Cada uno de estos grupos suele tener necesidades distintas, y eso se refleja en los planes de licencias que más les convienen. Esta clasificación será la base de la asignación basada en grupos de Azure AD.
También es importante comunicar los cambios a los departamentos afectados. Aunque idealmente los usuarios no deberían notar nada (porque se pasan de una licencia a otra manteniendo los servicios necesarios), siempre existe la posibilidad de que se pierda acceso a alguna aplicación marginal que alguien utilizaba. Tener a los responsables informados ayuda a gestionar cualquier incidencia.
Por último, conviene preparar un plan de reversión: copias de los listados de licencias previos, scripts de asignación que permitan devolver licencias concretas a un grupo de usuarios si algo falla, y una ventana de tiempo razonable para hacer las pruebas iniciales en horario de bajo impacto para la organización.
Al aplicar estas buenas prácticas, la eliminación y actualización masiva de licencias en Office 365 deja de ser una operación arriesgada y se convierte en un proyecto controlado, con metas claras y un retorno de inversión fácilmente medible.
Evitar duplicidades y optimizar costes con E3 y F3
Uno de los grandes objetivos de revisar las licencias es asegurar que cada persona tenga el plan adecuado, sin pagar de más. En el caso concreto de E3 y F3, suele existir un potencial de ahorro muy significativo, porque E3 es un plan mucho más completo y caro, mientras que F3 está más enfocado a trabajadores que no necesitan todas esas capacidades avanzadas.
Para optimizar, suele ser útil definir criterios claros para decidir quién debe tener E3 y quién F3. Por ejemplo, E3 para personal que usa intensivamente aplicaciones de escritorio, necesita almacenamiento ampliado o requiere funcionalidades avanzadas de seguridad y cumplimiento; y F3 para trabajadores de primera línea, personal en movilidad que solo accede a correo, Teams y algunas aplicaciones básicas.
A partir de esos criterios, se revisa la situación actual y se reubican licencias en bloque, sustituyendo E3 por F3 en los usuarios que no necesitan el plan completo. En muchos casos, este simple ajuste, llevado a cabo con cuidado, permite liberar un gran número de licencias E3 que pueden reasignarse a otros perfiles más críticos o, directamente, reducir el número de licencias contratadas.
La clave está en no dejar licencias antiguas “colgando”. Si un usuario ha pasado a estar controlado por un grupo de Azure AD que le asigna F3, no tiene sentido que mantenga además una asignación directa de E3. Limpiar estas inconsistencias es lo que de verdad da resultados en la optimización de costes.
Con una combinación de análisis inicial, uso inteligente de grupos y automatización con PowerShell, es perfectamente posible dejar el entorno de licencias de Office 365 mucho más limpio, coherente y económico, sin comprometer la productividad ni la seguridad de los usuarios.
Siguiendo este enfoque estructurado, las organizaciones pueden convertir un caos de licencias heredado en un sistema ordenado donde cada usuario tiene exactamente lo que necesita. Esto se traduce en menos incidencias, una administración más sencilla y un ahorro constante en la factura de Microsoft 365 que, con el tiempo, resulta difícil de ignorar.
Redactor apasionado del mundo de los bytes y la tecnología en general. Me encanta compartir mis conocimientos a través de la escritura, y eso es lo que haré en este blog, mostrarte todo lo más interesante sobre gadgets, software, hardware, tendencias tecnológicas, y más. Mi objetivo es ayudarte a navegar por el mundo digital de forma sencilla y entretenida.