AB-900: Microsoft Copilot and Agent Administration Fundamentals

Qué vas a aprender

AB-900: Microsoft Copilot and Agent Administration Fundamentals es el punto de entrada para comprender el ecosistema Microsoft 365 desde la perspectiva administrativa, con énfasis en la protección de datos y en la gestión de Copilot y agentes de IA.

Esta guía está revisada el 24 de octubre de 2026, alineada con los objetivos vigentes desde el 14 de octubre de 2026. Cubre los servicios principales de M365, las herramientas de gobernanza de datos de Microsoft Purview y las capacidades de administración de Microsoft 365 Copilot y Microsoft Copilot Studio.

Para practicar el repaso tienes el simulador de AB-900 de LarrúaTech, con preguntas originales en español, explicaciones y referencias oficiales.

Antes de empezar

Conviene tener familiaridad con el entorno de Microsoft 365: saber qué es un tenant, haber usado el Centro de administración de M365 y conocer conceptos básicos como usuarios, grupos y licencias. No se requiere experiencia técnica avanzada en desarrollo ni en Azure.

Si Microsoft 365 es nuevo para ti, empieza por la descripción general de M365 antes de continuar con esta guía.

Temario vigente y formato del examen

La guía oficial de AB-900 publica tres dominios con los pesos siguientes:

MS-900 fue retirado el 31 de marzo de 2026 y no debe confundirse con AB-900. El alcance y los objetivos son diferentes; preparar AB-900 con materiales de MS-900 puede dejar áreas importantes sin cubrir.

Microsoft describe 45 minutos de examen y 65 minutos de cita para Fundamentals. La aprobación requiere 700 puntos en la escala oficial, lo que no equivale necesariamente a acertar el 70 %. Fuentes: duración y experiencia y puntuación de exámenes.

1. Servicios y objetos de Microsoft 365

El ecosistema M365

Microsoft 365 es una plataforma en la nube que integra productividad, colaboración, identidad y seguridad. Los servicios principales son:

Cuando un usuario crea un equipo en Teams se genera automáticamente un grupo de Microsoft 365 con un buzón de grupo, un calendario compartido, un sitio de SharePoint y un canal de Teams. Estos recursos están vinculados: eliminar el grupo afecta a todos ellos.

Identidades y objetos

El directorio de Microsoft 365 se basa en Microsoft Entra ID (antes Azure Active Directory). Todos los usuarios, grupos y dispositivos se gestionan desde Entra ID.

Un tenant es la instancia exclusiva y aislada de Entra ID y los servicios M365 de una organización. Los servicios son multiinquilino, pero cada organización tiene su partición de datos y configuración independiente.

Centros de administración y roles

El Centro de administración de Microsoft 365 es el portal web centralizado para gestionar usuarios, licencias, grupos y la configuración general de los servicios. Desde él también se accede a los centros específicos:

Los roles de administrador siguen el principio de privilegio mínimo. Algunos roles habituales:

• Administrador global: acceso completo a todos los servicios. Microsoft recomienda 2-4 como máximo y el uso de PIM para activaciones temporales.
• Administrador de usuarios: crea y gestiona cuentas, restablece contraseñas y asigna licencias.
• Administrador de seguridad: gestiona directivas de seguridad y puede ver informes de seguridad.
• Lector global: acceso de solo lectura a todos los centros de administración.

Las licencias basadas en grupo permiten asignar y revocar licencias automáticamente según la pertenencia a un grupo de Entra ID, evitando la asignación manual uno a uno.

2. Protección y gobernanza de datos

Microsoft Purview

Microsoft Purview es la plataforma de gobernanza, protección y cumplimiento de datos de Microsoft. El portal de cumplimiento de Microsoft Purview centraliza todas las capacidades: etiquetas, DLP, retención, eDiscovery y administración de riesgos internos.

Las capacidades se organizan en tres grandes áreas:

Etiquetas de confidencialidad

Las etiquetas de confidencialidad clasifican el contenido según su nivel de sensibilidad —como Público, Interno o Confidencial— y pueden aplicar automáticamente:

• Cifrado que persiste en el archivo aunque se comparta fuera de M365
• Marcas visuales: encabezados, pies de página o marcas de agua
• Restricciones de acciones: impedir reenviar, imprimir o copiar un correo

La protección va asociada al archivo, no al servicio de almacenamiento. Un documento cifrado con una etiqueta de confidencialidad sigue cifrado al descargarlo o adjuntarlo a un correo.

Las etiquetas no sustituyen a las directivas DLP: son complementarias. Las etiquetas protegen el contenido en el origen; las DLP controlan su movimiento.

Prevención de pérdida de datos (DLP)

Las directivas DLP detectan información sensible cuando se intenta compartir y aplican una acción: bloquear, avisar al usuario o registrar el evento para auditoría.

Los tipos de información sensible predefinidos incluyen: números de tarjeta de crédito, documentos de identidad, números de cuenta bancaria y datos sanitarios, entre otros. También se pueden crear tipos personalizados con expresiones regulares o palabras clave.

DLP puede aplicarse en:

• Correo electrónico (Exchange Online)
• Documentos (SharePoint Online, OneDrive, Teams)
• Aplicaciones en la nube supervisadas (con Defender for Cloud Apps)
• Endpoints (dispositivos administrados)

Autenticación y acceso seguro

La autenticación multifactor (MFA) requiere un segundo factor además de la contraseña —como una notificación en el móvil o un código TOTP— para completar el inicio de sesión. Si la contraseña queda expuesta, el atacante no puede acceder sin el segundo factor.

El acceso condicional evalúa señales en tiempo real —ubicación, dispositivo, usuario, aplicación, riesgo— y decide si permite el acceso, lo bloquea o exige MFA. Permite, por ejemplo, requerir MFA solo fuera de ubicaciones de confianza o bloquear el acceso desde dispositivos no administrados.

El acceso condicional se asigna a usuarios o grupos: no aplica automáticamente a todos. Los administradores pueden configurar exclusiones para sus propias cuentas o usar directivas separadas para ellos.

Privileged Identity Management (PIM) de Entra ID controla el acceso just-in-time a roles con privilegios: los usuarios solicitan el rol cuando lo necesitan, puede requerirse aprobación y cada activación queda registrada. Reduce el tiempo que una cuenta permanece con privilegios máximos.

Ciclo de vida de los datos

Las etiquetas de retención controlan cuánto tiempo se conserva el contenido y qué ocurre al final del período: eliminación automática, revisión de disposición o marca como registro.

Una etiqueta con retención obligatoria impide que los usuarios eliminen el contenido durante el período definido, aunque lo intenten manualmente.

eDiscovery de Microsoft Purview permite buscar contenido en Exchange, SharePoint, Teams y OneDrive, aplicar suspensiones legales para preservar evidencia y exportar los resultados para revisión legal.

La administración de riesgos internos analiza señales de comportamiento —descargas masivas, uso de almacenamiento personal, copias a dispositivos extraíbles— para detectar actividades potencialmente arriesgadas de usuarios con acceso al sistema.

El registro de auditoría de Microsoft 365 recoge actividades de usuarios y administradores en todos los servicios: quién accedió a qué, qué se eliminó, qué configuración cambió y desde qué dirección IP.

3. Administración de Copilot y agentes

Microsoft 365 Copilot

Microsoft 365 Copilot es un asistente de IA integrado en las aplicaciones de M365 que combina modelos de lenguaje grandes (LLMs) con los datos del inquilino a través del Microsoft Graph. Está disponible en Word, Excel, PowerPoint, Outlook, Teams y otras apps.

Lo que Copilot puede hacer en cada aplicación:

Copilot solo accede a los datos a los que el usuario ya tiene permiso. No puede leer contenido restringido del tenant aunque exista en él. Respeta el modelo de permisos de M365.

Microsoft ha comprometido que los datos del tenant —incluidas las conversaciones con Copilot— no se usan para entrenar los modelos de lenguaje globales ni se comparten con otros clientes.

Administración de Copilot

La gestión de Microsoft 365 Copilot se realiza principalmente desde la sección Copilot del Centro de administración de Microsoft 365. Desde ahí el administrador puede:

• Asignar y revocar licencias de Copilot por usuario o grupo
• Controlar el acceso a extensiones y agentes disponibles para los usuarios
• Configurar ajustes de privacidad y de datos del asistente
• Ver informes de uso

Para usar Copilot se necesita una licencia base de M365 elegible (E3, E5, Business Standard o Business Premium) más la licencia adicional de Microsoft 365 Copilot. No funciona sin la licencia base.

Microsoft Copilot Studio y agentes

Microsoft Copilot Studio es la plataforma de Microsoft para crear agentes conversacionales personalizados. Forma parte de Power Platform y permite diseñar, probar y publicar agentes con y sin código.

Un agente puede conectarse a bases de conocimiento internas —como sitios de SharePoint— y a sistemas externos mediante acciones o conectores. Los agentes pueden publicarse en Teams, sitios web, canales de mensajería y otras plataformas.

Un agente declarativo es una extensión de Microsoft 365 Copilot: define instrucciones del sistema, orígenes de conocimiento y acciones disponibles, sin escribir código de orquestación propio. Copilot actúa como motor.

Las acciones permiten al agente llamar a APIs externas —mediante conectores de Power Platform o HTTP personalizados— para consultar o modificar datos en tiempo real.

Gobernanza de Copilot y agentes

El Centro de administración de Microsoft Teams es donde el administrador gestiona qué aplicaciones y agentes están disponibles para los usuarios en Teams: puede bloquear, permitir o preinstalar aplicaciones mediante directivas.

Las directivas de gobernanza de agentes en el Centro de administración de M365 controlan qué agentes de Copilot Studio pueden publicarse y usarse en el tenant. El equipo de TI puede aprobar o restringir los agentes disponibles para los empleados.

Ruta de práctica

Combina estos recursos para preparar el examen:

1. Explora el Centro de administración de Microsoft 365 con una cuenta de prueba o de la empresa
2. Revisa la guía oficial de AB-900 y sus objetivos completos
3. Practica con el simulador de AB-900 de LarrúaTech: empieza en modo práctica, lee las explicaciones y abre las fuentes cuando una respuesta no encaje
4. Repasa los conceptos de Purview en el portal de cumplimiento
5. Explora Microsoft Copilot Studio con una cuenta de prueba de Power Platform

Errores que conviene evitar

• Confundir grupos de Microsoft 365 con grupos de seguridad. Solo los primeros incluyen buzón, calendario y sitio de SharePoint.
• Pensar que las etiquetas de confidencialidad reemplazan a las DLP. Son complementarias: las etiquetas protegen el contenido, las DLP controlan su movimiento.
• Asumir que MFA y acceso condicional son lo mismo. MFA es un método de verificación; el acceso condicional es la directiva que decide cuándo y cómo aplicarlo.
• Confundir MS-900 con AB-900. MS-900 fue retirado en marzo de 2026; son exámenes distintos con alcances diferentes.
• Pensar que Copilot accede a todos los datos del tenant. Solo puede acceder a los datos a los que el usuario ya tiene permiso.
• Confundir Microsoft 365 Copilot con Copilot Studio. El primero es un asistente de productividad; el segundo es una plataforma para construir agentes.

Recursos oficiales para continuar