AB-900: Microsoft Copilot and Agent Administration Fundamentals

What you will learn

AB-900: Microsoft Copilot and Agent Administration Fundamentals es el punto de entrada para comprender el ecosistema Microsoft 365 desde la perspectiva administrativa, con énfasis en la protección de datos y en la gestión de Copilot y agentes de IA.

This guide was reviewed on 24 October 2026, alineada con los objetivos vigentes desde el 14 de octubre de 2026. Cubre los servicios principales de M365, las herramientas de gobernanza de datos de Microsoft Purview y las capacidades de administración de Microsoft 365 Copilot y Microsoft Copilot Studio.

For revision practice, you have the simulador de AB-900 de LarrúaTech, con questions originales en español, explicaciones y referencias oficiales.

Before you start

Conviene tener familiaridad con el entorno de Microsoft 365: saber qué es un tenant, haber usado el Centro de administración de M365 y conocer conceptos básicos como usuarios, grupos y licencias. No se requiere experiencia técnica avanzada en desarrollo ni en Azure.

Si Microsoft 365 es nuevo para ti, empieza por la descripción general de M365 antes de continuar con esta guía.

Current syllabus and exam format

The guía oficial de AB-900 publica tres dominios con los pesos siguientes:

MS-900 fue retirado el 31 de marzo de 2026 y no debe confundirse con AB-900. El alcance y los objetivos son diferentes; preparar AB-900 con materiales de MS-900 puede dejar áreas importantes sin cubrir.

Microsoft describes 45 minutes of exam time and a 65-minute appointment for Fundamentals. La aprobación requiere 700 points on the official scale, which does not necessarily mean 70% correct. Sources: duration and exam experience and exam scoring.

1. Servicios y objetos de Microsoft 365

El ecosistema M365

Microsoft 365 es una plataforma en la nube que integra productividad, colaboración, identidad y seguridad. Los servicios principales son:

Cuando un usuario crea un equipo en Teams se genera automáticamente un grupo de Microsoft 365 con un buzón de grupo, un calendario compartido, un sitio de SharePoint y un canal de Teams. Estos recursos están vinculados: eliminar el grupo afecta a todos ellos.

Identidades y objetos

El directorio de Microsoft 365 se basa en Microsoft Entra ID (antes Azure Active Directory). Todos los usuarios, grupos y dispositivos se gestionan desde Entra ID.

An tenant es la instancia exclusiva y aislada de Entra ID y los servicios M365 de una organización. Los servicios son multiinquilino, pero cada organización tiene su partición de datos y configuración independiente.

Centros de administración y roles

The Centro de administración de Microsoft 365 es el portal web centralizado para gestionar usuarios, licencias, grupos y la configuración general de los servicios. Desde él también se accede a los centros específicos:

The roles de administrador siguen el principio de privilegio mínimo. Algunos roles habituales:

• Administrador global: acceso completo a todos los servicios. Microsoft recomienda 2-4 como máximo y el uso de PIM para activaciones temporales.
• Administrador de usuarios: crea y gestiona cuentas, restablece contraseñas y asigna licencias.
• Administrador de seguridad: gestiona directivas de seguridad y puede ver informes de seguridad.
• Lector global: acceso de solo lectura a todos los centros de administración.

The licencias basadas en grupo permiten asignar y revocar licencias automáticamente según la pertenencia a un grupo de Entra ID, evitando la asignación manual uno a uno.

2. Protección y gobernanza de datos

Microsoft Purview

Microsoft Purview es la plataforma de gobernanza, protección y cumplimiento de datos de Microsoft. El portal de cumplimiento de Microsoft Purview centraliza todas las capacidades: etiquetas, DLP, retención, eDiscovery y administración de riesgos internos.

Las capacidades se organizan en tres grandes áreas:

Etiquetas de confidencialidad

The etiquetas de confidencialidad clasifican el contenido según su nivel de sensibilidad —como Público, Interno o Confidencial— y pueden aplicar automáticamente:

• Cifrado que persiste en el archivo aunque se comparta fuera de M365
• Marcas visuales: encabezados, pies de página o marcas de agua
• Restricciones de acciones: impedir reenviar, imprimir o copiar un correo

La protección va asociada al archivo, no al servicio de almacenamiento. Un documento cifrado con una etiqueta de confidencialidad sigue cifrado al descargarlo o adjuntarlo a un correo.

Las etiquetas no sustituyen a las directivas DLP: son complementarias. Las etiquetas protegen el contenido en el origen; las DLP controlan su movimiento.

Prevención de pérdida de datos (DLP)

The directivas DLP detectan información sensible cuando se intenta compartir y aplican una acción: bloquear, avisar al usuario o registrar el evento para auditoría.

The tipos de información sensible predefinidos incluyen: números de tarjeta de crédito, documentos de identidad, números de cuenta bancaria y datos sanitarios, entre otros. También se pueden crear tipos personalizados con expresiones regulares o palabras clave.

DLP puede aplicarse en:

• Correo electrónico (Exchange Online)
• Documentos (SharePoint Online, OneDrive, Teams)
• Aplicaciones en la nube supervisadas (con Defender for Cloud Apps)
• Endpoints (dispositivos administrados)

Autenticación y acceso seguro

The autenticación multifactor (MFA) requiere un segundo factor además de la contraseña —como una notificación en el móvil o un código TOTP— para completar el inicio de sesión. Si la contraseña queda expuesta, el atacante no puede acceder sin el segundo factor.

The acceso condicional evalúa señales en tiempo real —ubicación, dispositivo, usuario, aplicación, riesgo— y decide si permite el acceso, lo bloquea o exige MFA. Permite, por ejemplo, requerir MFA solo fuera de ubicaciones de confianza o bloquear el acceso desde dispositivos no administrados.

El acceso condicional se asigna a usuarios o grupos: no aplica automáticamente a todos. Los administradores pueden configurar exclusiones para sus propias cuentas o usar directivas separadas para ellos.

Privileged Identity Management (PIM) de Entra ID controla el acceso just-in-time a roles con privilegios: los usuarios solicitan el rol cuando lo necesitan, puede requerirse aprobación y cada activación queda registrada. Reduce el tiempo que una cuenta permanece con privilegios máximos.

Ciclo de vida de los datos

The etiquetas de retención controlan cuánto tiempo se conserva el contenido y qué ocurre al final del período: eliminación automática, revisión de disposición o marca como registro.

Una etiqueta con retención obligatoria impide que los usuarios eliminen el contenido durante el período definido, aunque lo intenten manualmente.

eDiscovery de Microsoft Purview permite buscar contenido en Exchange, SharePoint, Teams y OneDrive, aplicar suspensiones legales para preservar evidencia y exportar los resultados para revisión legal.

The administración de riesgos internos analiza señales de comportamiento —descargas masivas, uso de almacenamiento personal, copias a dispositivos extraíbles— para detectar actividades potencialmente arriesgadas de usuarios con acceso al sistema.

The registro de auditoría de Microsoft 365 recoge actividades de usuarios y administradores en todos los servicios: quién accedió a qué, qué se eliminó, qué configuración cambió y desde qué dirección IP.

3. Administración de Copilot y agentes

Microsoft 365 Copilot

Microsoft 365 Copilot es un asistente de IA integrado en las aplicaciones de M365 que combina modelos de lenguaje grandes (LLMs) con los datos del inquilino a través del Microsoft Graph. Está disponible en Word, Excel, PowerPoint, Outlook, Teams y otras apps.

Lo que Copilot puede hacer en cada aplicación:

Copilot solo accede a los datos a los que el usuario ya tiene permiso. No puede leer contenido restringido del tenant aunque exista en él. Respeta el modelo de permisos de M365.

Microsoft ha comprometido que los datos del tenant —incluidas las conversaciones con Copilot— no se usan para entrenar los modelos de lenguaje globales ni se comparten con otros clientes.

Administración de Copilot

La gestión de Microsoft 365 Copilot se realiza principalmente desde la sección Copilot del Centro de administración de Microsoft 365. Desde ahí el administrador puede:

• Asignar y revocar licencias de Copilot por usuario o grupo
• Controlar el acceso a extensiones y agentes disponibles para los usuarios
• Configurar ajustes de privacidad y de datos del asistente
• Ver informes de uso

Para usar Copilot se necesita una licencia base de M365 elegible (E3, E5, Business Standard o Business Premium) más la licencia adicional de Microsoft 365 Copilot. No funciona sin la licencia base.

Microsoft Copilot Studio y agentes

Microsoft Copilot Studio es la plataforma de Microsoft para crear agentes conversacionales personalizados. Forma parte de Power Platform y permite diseñar, probar y publicar agentes con y sin código.

An agente puede conectarse a bases de conocimiento internas —como sitios de SharePoint— y a sistemas externos mediante acciones o conectores. Los agentes pueden publicarse en Teams, sitios web, canales de mensajería y otras plataformas.

An agente declarativo es una extensión de Microsoft 365 Copilot: define instrucciones del sistema, orígenes de conocimiento y acciones disponibles, sin escribir código de orquestación propio. Copilot actúa como motor.

The acciones permiten al agente llamar a APIs externas —mediante conectores de Power Platform o HTTP personalizados— para consultar o modificar datos en tiempo real.

Gobernanza de Copilot y agentes

The Centro de administración de Microsoft Teams es donde el administrador gestiona qué aplicaciones y agentes están disponibles para los usuarios en Teams: puede bloquear, permitir o preinstalar aplicaciones mediante directivas.

The directivas de gobernanza de agentes en el Centro de administración de M365 controlan qué agentes de Copilot Studio pueden publicarse y usarse en el tenant. El equipo de TI puede aprobar o restringir los agentes disponibles para los empleados.

Ruta de práctica

Combina estos recursos para preparar el examen:

1. Explora el Centro de administración de Microsoft 365 con una cuenta de prueba o de la empresa
2. Revisa la guía oficial de AB-900 y sus objetivos completos
3. Practica con el simulador de AB-900 de LarrúaTech: empieza en modo práctica, lee las explicaciones y abre las fuentes cuando una respuesta no encaje
4. Repasa los conceptos de Purview en el portal de cumplimiento
5. Explora Microsoft Copilot Studio con una cuenta de prueba de Power Platform

Mistakes to avoid

• Confundir grupos de Microsoft 365 con grupos de seguridad. Solo los primeros incluyen buzón, calendario y sitio de SharePoint.
• Pensar que las etiquetas de confidencialidad reemplazan a las DLP. Son complementarias: las etiquetas protegen el contenido, las DLP controlan su movimiento.
• Asumir que MFA y acceso condicional son lo mismo. MFA es un método de verificación; el acceso condicional es la directiva que decide cuándo y cómo aplicarlo.
• Confundir MS-900 con AB-900. MS-900 fue retirado en marzo de 2026; son exámenes distintos con alcances diferentes.
• Pensar que Copilot accede a todos los datos del tenant. Solo puede acceder a los datos a los que el usuario ya tiene permiso.
• Confundir Microsoft 365 Copilot con Copilot Studio. El primero es un asistente de productividad; el segundo es una plataforma para construir agentes.

Official resources to continue