Cuentas y SSO: Parte 5 — AWS Cognito y Microsoft Entra ID

AWS Cognito y Microsoft Entra ID — servicios de identidad de las dos mayores plataformas en la nube. Ambos gestionan el inicio de sesión de usuarios y la emisión de tokens, pero están pensados para distintos casos: Cognito — para los usuarios de tus aplicaciones en AWS, Entra ID — para los empleados de la empresa y su acceso a Microsoft 365 y sistemas corporativos.

AWS Cognito

Cognito consta de dos partes:

• pools de usuarios (User Pools) — almacenamiento de cuentas con registro, inicio de sesión, MFA y emisión de tokens OpenID Connect; aquí también se conectan proveedores externos mediante SAML y OIDC y redes sociales;
• pools de identidad (Identity Pools) — emisión a los usuarios de credenciales temporales de AWS para acceso directo a servicios como S3 o DynamoDB.

Para los user pools hay tres planes (precios en septiembre de 2026 según datos de AWS):

Los usuarios que inician sesión a través de un proveedor externo (SAML u OIDC) se facturan por separado: $0,015 por MAU además de 50 gratuitos. Los SMS y correos para verificación se facturan según las tarifas de SNS y SES.

Fortalezas: integración profunda con Lambda, API Gateway y otros servicios de AWS, escalado sin intervención del administrador, editor de páginas de inicio de sesión.

Limitaciones: Cognito es conveniente principalmente dentro de AWS; la configuración de flujos y triggers no es muy intuitiva; migrar desde él requiere exportar usuarios y las contraseñas no se exportan.

Microsoft Entra ID

Entra ID — nuevo nombre de Azure Active Directory. El 11 de julio de 2023 anunciaron el cambio de nombre, y los nombres de los planes cambiaron el 1 de octubre de 2023; las funciones, precios y todas las direcciones de inicio de sesión se mantuvieron igual.

• Entra ID Free — incluido en las suscripciones de Azure, Microsoft 365, Dynamics 365 e Intune: inicio de sesión único en aplicaciones SaaS y MFA.
• Entra ID P1 — $7 por usuario al mes con suscripción anual, incluido en Microsoft 365 E3 y Business Premium; añade acceso condicional y la conexión híbrida con Active Directory local.
• Entra ID P2 — $10 por usuario al mes, incluido en Microsoft 365 E5; añade protección de cuentas por nivel de riesgo y gestión de acceso privilegiado.

Para usuarios de aplicaciones cliente Microsoft ofrece Entra External ID con facturación por número de usuarios activos y un volumen gratuito. El producto anterior para esta tarea, Azure AD B2C, desde el 1 de mayo de 2025 no se vende a nuevos clientes, los clientes existentes continúan usándolo.

Fortalezas: inicio de sesión único para todo lo relacionado con Microsoft 365, acceso condicional, conexión con Active Directory local mediante Entra Connect, gran catálogo de integraciones listas para SaaS.

Limitaciones: Entra ID está orientado a los empleados de la organización, la licencia es compleja, y sin el ecosistema Microsoft la mayoría de sus ventajas se pierden.

Comparación

¿Se pueden utilizar en Rusia?

Para las empresas rusas ambos servicios son prácticamente inaccesibles.

• Microsoft suspendió las nuevas ventas en Rusia el 4 de marzo de 2022.
• El pago en AWS se realiza con tarjeta, y Visa y Mastercard emitidas en Rusia no funcionan en el extranjero.
• Datos personales. Desde el 1 de julio de 2025 la recopilación primaria de datos personales de ciudadanos de Rusia está permitida solo en bases ubicadas en el país, y el registro de usuarios en una nube extranjera no cumple ese requisito.

Si trabaja con usuarios rusos, la alternativa es un servidor de autenticación propio, por ejemplo Keycloak, y para cuentas en servidores Linux — FreeIPA.

Errores típicos

• Elegir Cognito para un proyecto fuera de AWS solo por el volumen gratuito.
• Considerar Entra ID un servicio para el registro de clientes: para eso existe External ID, y Azure AD B2C ya no se vende a nuevos clientes.
• No planear la exportación de usuarios: desde Cognito no se exportan las contraseñas, la migración requiere restablecimiento de contraseñas o una migración progresiva en el primer inicio de sesión.

Cuándo elegir

Cognito — si la aplicación ya funciona en AWS y necesita registro e inicio de sesión para sus usuarios. Entra ID — si la empresa vive en Microsoft 365 y necesita gestionar el acceso de los empleados. Para un proyecto en Rusia ambos servicios no están disponibles, y la elección debe hacerse entre soluciones alojadas en el servidor propio.