On-Premises Data Gateway: el silencioso punto único de fallo detrás de Power Automate

Desde hace meses, un flujo de Power Automate extrae de forma fiable datos de pedidos del SQL Server de la sala de servidores. Entonces se reinstala el equipo en el que se ejecuta la puerta de enlace de datos local, y de un día para otro todos los flujos que necesitan datos locales se detienen. La puerta de enlace es la dependencia más invisible de toda la cadena: no la ve en el diseñador de flujos, pero sin ella no funciona nada.

¿Qué es la puerta de enlace de datos local y cuándo la necesita?

La puerta de enlace de datos local (On-Premises Data Gateway) es un software que se instala en un equipo Windows dentro de su propia red y que actúa como puente entre los servicios en la nube de Microsoft y sus datos locales. Power Automate la necesita siempre que un flujo acceda a un sistema que no esté en la nube. Microsoft Learn enumera para Power Automate 14 tipos de conexión a través de la puerta de enlace, entre ellos SQL Server, sistema de archivos, Oracle Database, MySQL, PostgreSQL, DB2, SAP ERP, SharePoint local y conectores creados a medida.

Técnicamente, la puerta de enlace solo establece conexiones salientes. Según Microsoft Learn, se comunica a través de los puertos salientes TCP 80, 443, 433, 5671, 5672 y del 9350 al 9354, y no necesita ni un solo puerto entrante. Por tanto, no necesita abrir ningún firewall desde fuera. Sus puertas de enlace existentes las encontrará en Power Automate en Datos > Puertas de enlace.

Modo estándar o modo personal: para Power Automate solo hay una respuesta

Para Power Automate solo es viable el modo estándar. Según Microsoft Learn, el modo personal solo funciona con Power BI, no se puede compartir y no admite ni clustering ni alta disponibilidad. La documentación de Power Automate exige explícitamente la instalación en modo estándar.

En materia de licencias, la puerta de enlace no es un tema menor. Microsoft incluye las puertas de enlace locales entre las funciones premium en las preguntas frecuentes sobre licencias, y las licencias de Office 365 no incluyen expresamente el acceso a la puerta de enlace. Quien acceda a SQL Server o a un ERP local a través de la puerta de enlace necesita, por tanto, Power Automate Premium por usuario o Power Automate Process por proceso. Puede consultar el detalle del cálculo en nuestro artículo sobre los costes de los conectores premium. Si desea calcular con precisión su situación de licencias, nuestra consultoría de licencias de Power Automate es el punto de partida adecuado.

Por qué una única puerta de enlace es un punto único de fallo

Una única puerta de enlace hace que cada conexión de datos local esté disponible solo en la medida en que lo esté el equipo en el que está instalada. Si ese equipo falla o entra en reposo, todos los flujos que dependen de él se detienen a la vez. Microsoft advierte expresamente en los requisitos de instalación de no instalar la puerta de enlace en un dispositivo, como un portátil, que pueda apagarse o entrar en reposo.

La respuesta a esto es el clúster. Un clúster de puertas de enlace agrupa hasta 10 miembros. El servicio en la nube utiliza siempre la puerta de enlace principal y solo cambia al siguiente miembro cuando la principal no está disponible. Como en cada equipo solo puede ejecutarse una puerta de enlace estándar, cada miembro adicional del clúster debe estar en una máquina distinta. Por tanto, la redundancia no surge de una segunda instalación, sino de una segunda máquina. En Power Automate se puede activar además la opción Distribuir las solicitudes entre todas las puertas de enlace activas de este clúster para que la carga no recaiga siempre únicamente sobre el miembro principal.

Otras dos causas de fallo no tienen nada que ver con el hardware. La primera es la clave de recuperación: la asigna el administrador durante la instalación y es un requisito indispensable para trasladar la puerta de enlace, restaurarla o cambiar la cuenta de servicio. Microsoft aclara que no tiene acceso a esta clave y que no puede recuperarla. La segunda es la cuenta de servicio de Windows. De forma predeterminada, el servicio se ejecuta con la cuenta local NT SERVICE\PBIEgwService. Si en su lugar se utiliza una cuenta de dominio normal y su contraseña caduca, el servicio se detiene. Microsoft recomienda aquí una cuenta de servicio administrada por grupo (gMSA), porque su contraseña no requiere mantenimiento manual.

¿Con qué frecuencia hay que actualizar la puerta de enlace de datos local?

Microsoft publica una nueva versión de la puerta de enlace cada mes y solo da soporte activo a las últimas seis versiones. La actualización no es automática. Por tanto, una puerta de enlace que nadie ha tocado en medio año ha quedado, en la práctica, fuera de soporte.

Actualmente existe una fecha límite estricta para esto. Microsoft está cambiando el inicio de sesión de la plataforma de identidad y, según indica, aplicará esta medida antes del 31 de agosto de 2026 en todos los inquilinos. En compilaciones más antiguas, el inicio de sesión interactivo al instalar, restaurar o administrar una puerta de enlace puede fallar. Se ven afectadas todas las versiones anteriores a mayo de 2026, así como las versiones de enero a abril por debajo de estas compilaciones corregidas:

• Enero de 2026: Compilación 3000.302.7
• Febrero de 2026: Compilación 3000.306.5
• Marzo de 2026: Compilación 3000.310.3
• Abril de 2026: Compilación 3000.314.6
• Mayo de 2026 y posteriores: todas las versiones incluyen la corrección

Para actualizar se necesitan permisos de administrador de la puerta de enlace y al menos 10 GB de espacio libre en disco. En un clúster, los miembros se actualizan uno por uno: desactivar, esperar unos 30 minutos hasta que finalicen los trabajos en curso, actualizar, volver a activar y pasar al siguiente. Todos los miembros deben ejecutar la misma versión, ya que las versiones distintas provocan errores esporádicos en los que la misma consulta funciona en un miembro y falla en otro.

¿Qué debería proteger en concreto una empresa mediana?

Seis medidas cubren la gran mayoría de los fallos reales de las puertas de enlace y pueden implementarse en una mañana.

• Un servidor dedicado en lugar de un puesto de trabajo: Microsoft recomienda una CPU de 8 núcleos, 8 GB de memoria RAM, Windows Server 2019 o posterior y almacenamiento SSD. Quedan descartados los controladores de dominio, las instalaciones Server Core y los contenedores de Windows, y una conexión por cable es preferible al Wi-Fi.
• Un clúster desde el primer flujo crítico para el negocio: Con dos miembros en dos máquinas es suficiente. Un clúster que se crea solo después de un fallo no ayuda durante ese fallo.
• La clave de recuperación en un gestor de contraseñas: No en la cabeza del administrador, ni en un correo electrónico. Sin ella, una puerta de enlace no se puede ni trasladar ni restaurar.
• Una cuenta de servicio sin caducidad de contraseña: Una gMSA evita el clásico problema de que un cambio de contraseña periódico deje fuera de servicio, sin que nadie lo note, la mitad de la automatización. El cambio se realiza en la aplicación de la puerta de enlace, en la configuración del servicio, y requiere la clave de recuperación.
• Una ventana de actualización en el calendario: Una fecha mensual fija le mantiene dentro de las seis versiones compatibles.
• Recursos compartidos de red documentados y verificados: La prueba de puertos de red de la aplicación de la puerta de enlace, en diagnóstico, comprueba si todas las conexiones salientes necesarias están abiertas. Ejecútela una vez tras cada cambio en el firewall.

En nuestros proyectos de Power Automate, el hallazgo más habitual no es un servidor averiado, sino una puerta de enlace que alguien instaló años atrás, a toda prisa, en un puesto de trabajo. Mientras ese equipo siga funcionando, nadie lo nota. Cuando se sustituye, falta la clave de recuperación. Esta cuestión pertenece a la arquitectura, no al análisis de incidencias. Precisamente ahí es donde entra nuestra consultoría de Power Automate.

Preguntas frecuentes sobre la puerta de enlace de datos local

¿Necesita cada flujo de Power Automate una puerta de enlace?

No. Una puerta de enlace solo es necesaria si un flujo accede a datos de su propia red, por ejemplo un SQL Server, un recurso compartido de archivos o un ERP local. Los flujos que trabajan exclusivamente con servicios en la nube como Outlook, SharePoint Online o Teams no necesitan puerta de enlace.

¿Tiene coste adicional la puerta de enlace de datos local?

El software de la puerta de enlace en sí es gratuito. Sin embargo, su uso cuenta como función premium en Power Automate, y las licencias de Office 365 no la incluyen, según las preguntas frecuentes de Microsoft sobre licencias. Por eso, los flujos con acceso a la puerta de enlace requieren Power Automate Premium por usuario o Power Automate Process por proceso.

¿Cuántas puertas de enlace debe tener un clúster?

Un clúster admite hasta 10 miembros. Para una empresa mediana bastan de dos a tres, repartidos en máquinas distintas, ya que en cada equipo solo puede ejecutarse una puerta de enlace estándar. Todos los miembros deben usar la misma versión, y los miembros que estén fuera de línea deben eliminarse o desactivarse.

¿Qué ocurre si perdemos la clave de recuperación?

En ese caso, la puerta de enlace no se puede ni trasladar ni restaurar, y tampoco se puede cambiar la cuenta de servicio. Microsoft no tiene acceso a esta clave y no puede reconstruirla. Solo queda registrar una nueva puerta de enlace y volver a configurar cada conexión en Power Automate.