Tutorial: Configuración de puntos de conexión de Windows nativos de la nube con Microsoft Intune

En este tutorial paso a paso se muestra cómo configurar un punto de conexión de Windows nativo de la nube mediante Microsoft Intune y Windows Autopilot. Un punto de conexión de Windows nativo de la nube (a veces escrito como Windows nativo en la nube) se une a Microsoft Entra, se inscribe en Microsoft Intune y se administra completamente desde la nube: no se requiere ninguna unión a un dominio de Active Directory ni infraestructura local.

Al final de este tutorial, tiene un dispositivo Windows totalmente configurado que es:

Para obtener información general, consulte ¿Qué son los puntos de conexión nativos de la nube? y Cómo planear la implementación de combinación de Microsoft Entra.

Como empezar

Complete las cinco fases en orden: cada una se basa en la anterior.

Una vez implementados los puntos de conexión, use la sección Supervisión de los puntos de conexión de Windows nativos de la nube para validar el estado de directiva, aplicación y cumplimiento del centro de administración de Intune como parte de las operaciones en curso.

Fase 1: configurar el entorno

Antes de crear su primer punto de conexión nativo de Windows en la nube, hay algunos requisitos y configuraciones clave que deberán comprobarse. Esta fase le guía a través de la comprobación de los requisitos, la configuración de Windows Autopilot y la creación de algunos ajustes y aplicaciones.

Paso 1: requisitos de la red

El punto de conexión de Windows en la nube necesita acceso a varios servicios de Internet. Inicie las pruebas en una red abierta. O utilice su red corporativa después de proporcionar acceso a todos los puntos de conexión que se enumeren en los requisitos de red de Windows Autopilot.

Si su red inalámbrica requiere certificados, puede comenzar con una conexión Ethernet durante las pruebas mientras determina el mejor enfoque para las conexiones inalámbricas para el aprovisionamiento de dispositivos.

Paso 2: inscripción y licencias

Para poder unirse a Microsoft Entra e inscribirse en Intune, hay algunas cosas que debe comprobar. Puede crear un nuevo grupo de Microsoft Entra, como el nombre Intune usuarios de MDM. Después, agregue cuentas de usuario de prueba específicas y dirija cada una de las siguientes configuraciones a ese grupo para limitar quién puede inscribir dispositivos mientras establece su configuración. Para crear un grupo de Microsoft Entra, vaya a Administrar grupos Microsoft Entra y pertenencia a grupos.

• Restricciones de inscripción Las restricciones de inscripción le permiten controlar qué tipos de dispositivos pueden inscribirse en la administración con Intune. Para que esta guía tenga éxito, asegúrese de que la inscripción de Windows (MDM) está permitida, que es la configuración por defecto.

  Para obtener información sobre la configuración de las restricciones de inscripción, vaya a establecer restricciones de inscripción en Microsoft Intune.

• Microsoft Entra Configuración de MDM del dispositivo Al unir un dispositivo Windows a Microsoft Entra, Microsoft Entra se puede configurar para indicar a los dispositivos que se inscriban automáticamente con una MDM. Esta configuración es necesaria para que Windows Autopilot funcione.

  Para comprobar que la configuración de MDM del dispositivo Microsoft Entra está habilitada correctamente, vaya a Inicio rápido: Configuración de la inscripción automática en Intune.

• Microsoft Entra personalización de marca de la empresa Agregar el logotipo corporativo e imágenes a Microsoft Entra garantiza que los usuarios vean una apariencia familiar y coherente al iniciar sesión en Microsoft 365. Esta configuración es necesaria para que Windows Autopilot funcione.

  Para obtener información sobre cómo configurar la personalización de marca personalizada en Microsoft Entra, vaya a Agregar personalización de marca a la página de inicio de sesión Microsoft Entra de su organización.

• Licencias Los usuarios que inscriben dispositivos Windows desde la experiencia rápida (OOBE) en Intune requieren dos funcionalidades clave.

  Los usuarios necesitan las siguientes licencias:

  • Una licencia Microsoft Intune o Microsoft Intune de educación
  • Una licencia como una de las siguientes opciones que permite la inscripción automática de MDM:
    • Microsoft Entra Premium P1
    • Microsoft Intune for Education

  Para asignar licencias, vaya a Asignación de licencias de Microsoft Intune.

  Nota:

  Ambos tipos de licencias suelen incluirse en paquetes de licencias como Microsoft 365 E3 (o A3) y superior. Vea las comparaciones de licencias de Microsoft 365 aquí.

Paso 3: importar dispositivo de prueba

Para probar los puntos de conexión de Windows nativo de la nube, tendremos que empezar por conseguir una máquina virtual o un dispositivo físico listo para las pruebas. Los siguientes pasos recopilan los detalles del dispositivo y los cargan en el servicio Windows Autopilot para que se usen más adelante en este artículo.

1. Instale Windows en una máquina virtual o restablezca un dispositivo físico para que esté esperando en la pantalla de configuración de OOBE. Para una máquina virtual, puede crear opcionalmente un punto de control.

2. Complete los pasos necesarios para conectarse a Internet.

3. Abra un símbolo del sistema utilizando la combinación de teclado Mayús+F10.

4. Compruebe que tiene acceso a Internet haciendo ping a bing.com:

   • ping bing.com

5. Cambie a PowerShell ejecutando el comando:

   • powershell.exe

6. Descargue el script Get-WindowsAutopilotInfo ejecutando los comandos siguientes:

   • Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process
   • Install-Script Get-WindowsAutopilotInfo

7. Cuando se le solicite, escriba S para aceptar.

8. Escriba el siguiente comando:

   • Get-WindowsAutopilotInfo.ps1 -GroupTag CloudNative -Online

   Nota:

   Las etiquetas de grupo permiten crear grupos de Microsoft Entra dinámicos basados en un subconjunto de dispositivos. Las etiquetas de grupo pueden establecerse al importar los dispositivos o modificarse posteriormente en el Centro de administración de Microsoft Intune. Usamos la etiqueta de grupo CloudNative en el paso 4. Puede establecer el nombre de la etiqueta con algo diferente para sus pruebas.

9. Cuando se le soliciten credenciales, inicie sesión con su cuenta de administrador de Intune.

10. Dejar el ordenador en la experiencia de configuración rápida hasta la fase 2.

Paso 4: Creación de Microsoft Entra grupo dinámico para el dispositivo

Para limitar las configuraciones de esta guía a los dispositivos de prueba que importe a Windows Autopilot, cree un grupo de Microsoft Entra dinámico. Este grupo debería incluir automáticamente los dispositivos que se importen a Windows Autopilot y tener la etiqueta de grupo CloudNative. A continuación, puede dirigir todas sus configuraciones y aplicaciones a este grupo.

1. Abra el Centro de administración de Microsoft Intune.

2. Seleccione Grupos>Nuevo grupo. Escriba los detalles siguientes:

   • Tipo de grupo: seleccione Seguridad.
   • Nombre del grupo: escriba Autopilot Cloud-Native puntos de conexión de Windows.
   • Tipo de pertenencia: seleccione Dispositivo dinámico.

3. Seleccione Agregar consulta dinámica.

4. En la sección Sintaxis de regla, seleccione Editar.

5. Pegue el siguiente texto:

   (device.devicePhysicalIds -any (_ -eq "[OrderID]:CloudNative"))

6. Seleccione Aceptar>Guardar>Crear.

Paso 5: configurar la página de estado de la inscripción

La página de estado de inscripción (ESP) es el mecanismo que un profesional de TI utiliza para controlar la experiencia del usuario final durante el aprovisionamiento de puntos finales. Consulte Configurar la página de estado de la inscripción. Para limitar el ámbito de la página de estado de inscripción, puede crear un nuevo perfil y dirigirse al grupo Autopilot Cloud-Native puntos de conexión de Windows creado en el paso anterior, Crear Microsoft Entra grupo dinámico para el dispositivo.

• Para las pruebas, recomendamos los siguientes ajustes, pero siéntase libre de ajustarlos según sea necesario:

  Configuración	Valor
  Mostrar el progreso de la configuración de la aplicación y del perfil	Sí
  Mostrar la página sólo a los dispositivos aprovisionados por la experiencia lista para usar (OOBE)	Sí (valor predeterminado)

Paso 6: crear y asignar el perfil de Windows Autopilot

Ahora podremos crear un perfil de Windows Autopilot y asignarlo a nuestro dispositivo de prueba. Este perfil indica al dispositivo que se una a Microsoft Entra y qué configuración se aplicará durante OOBE.

1. Abra el Centro de administración de Microsoft Intune.

2. Seleccione DispositivosInscripción>>de incorporación de> dispositivosPerfiles de implementación deWindows Autopilot> deWindows>.

3. Seleccione Crear perfil>Windows PC.

4. Escriba el nombre Autopilot Cloud-Native Puntos de conexión de Windows y, a continuación, seleccione Siguiente.

5. En la configuración de la experiencia rápida (OOBE), confirme los siguientes valores de clave y seleccione Siguiente:

   Configuración	Valor
   Modo de implementación	Controlado por el usuario
   Unirse a Microsoft Entra ID como	Microsoft Entra unidos
   Tipo de cuenta de usuario	Estándar
   Aplicar plantilla de nombre de dispositivo	Opcional. Una plantilla de nomenclatura como CloudPC-%SERIAL% hace que los dispositivos se identifiquen fácilmente en el centro de administración.

   Importante

   Establecer Tipo de cuenta de usuario en Standard es un procedimiento recomendado de seguridad. Evita que los usuarios instalen software no aprobado y reduce la superficie expuesta a ataques en puntos de conexión nativos de la nube.

6. Deje las etiquetas de alcance y seleccione Siguiente.

7. Asigne el perfil al grupo de Microsoft Entra que creó denominado Autopilot Cloud-Native puntos de conexión de Windows, seleccione Siguiente y, a continuación, crear.

Paso 7: sincronizar dispositivos con Windows Autopilot

El servicio de Windows Autopilot se sincroniza varias veces al día. También puede activar una sincronización inmediatamente para que tu dispositivo esté listo para la prueba. Para sincronizar inmediatamente:

1. Abra el Centro de administración de Microsoft Intune.

2. Seleccione DispositivosInscripción>de> dispositivosWindows>Autopilot>Devices.>

3. Seleccione Sincronizar.

La sincronización tarda varios minutos y continua en segundo plano. Cuando la sincronización se ha completado, el estado del perfil para el dispositivo importado muestra Asignado.

Paso 8: configurar los ajustes para una experiencia óptima de Microsoft 365

Hemos seleccionado algunas opciones para configurar. Esta configuración demostrará una experiencia óptima de usuario final de Microsoft 365 en dispositivos nativos en la nube de Windows. Estos ajustes se configuran mediante un perfil de catálogo de ajustes de configuración del dispositivo. Para obtener más información, vaya a Crear una directiva mediante el catálogo de configuración en Microsoft Intune.

Después de crear el perfil y agregar la configuración, asigne el perfil al grupo Autopilot Cloud-Native puntos de conexión de Windows creados anteriormente.

• Microsoft Outlook : para mejorar la primera experiencia de ejecución para Microsoft Outlook, la siguiente configuración configura automáticamente un perfil cuando Outlook se abre por primera vez.

  Configuración de la categoría	Configuración	Valor
  Microsoft Outlook 2016\Configuración de la cuenta\Exchange (configuración del usuario)	Configurar automáticamente solo el primer perfil basado en la dirección SMTP principal de Active Directory	Enabled

• Microsoft Edge : para mejorar la primera experiencia de ejecución de Microsoft Edge, las siguientes opciones configuran Microsoft Edge para sincronizar la configuración del usuario y omitir la primera experiencia de ejecución.

  Configuración de la categoría	Configuración	Valor
  Microsoft Edge	Ocultar la experiencia de primera ejecución y la pantalla de presentación	Enabled
  	Forzar la sincronización de datos del explorador y no mostrar la solicitud de consentimiento de sincronización	Enabled

• Microsoft OneDrive : para mejorar la primera experiencia de inicio de sesión, las siguientes opciones configuran Microsoft OneDrive para iniciar sesión automáticamente y redirigir escritorio, imágenes y documentos a OneDrive. También se recomienda Archivos a petición (FOD). Está habilitado de forma predeterminada y no se incluye en la lista siguiente. Para obtener más información sobre la configuración recomendada para la aplicación de sincronización de OneDrive, vaya a Configuración de la aplicación de sincronización recomendada para Microsoft OneDrive.

  Configuración de la categoría	Configuración	Valor
  OneDrive	Iniciar silenciosamente la sesión de los usuarios en la aplicación de sincronización de OneDrive con sus credenciales de Windows	Enabled
  	Mover silenciosamente las carpetas conocidas de Windows a OneDrive	Enabled

  Nota:

  Para obtener más información, vaya a Redirigir carpetas conocidas.

La siguiente captura de pantalla muestra un ejemplo de un perfil del catálogo de configuración con cada uno de los ajustes sugeridos configurados:

Paso 9: crear y asignar algunas aplicaciones

Su punto de conexión nativo en la nube necesita algunas aplicaciones. Para empezar, recomendamos configurar las siguientes aplicaciones y dirigirlas al grupo Puntos de conexión nativos en la nube de Windows Autopilot creado anteriormente.

• Aplicaciones Microsoft 365 (anteriormente Office 365 ProPlus): Aplicaciones Microsoft 365 como Word, Excel y Outlook se pueden implementar fácilmente en dispositivos mediante el perfil integrado de aplicaciones de Microsoft 365 para Windows en Intune.

  • Seleccione el diseñador de configuración para el formato de los ajustes, en lugar de XML.
  • Seleccione Canal actual para el canal de actualización.

  Para implementar Aplicaciones de Microsoft 365, vaya a Agregar aplicaciones de Microsoft 365 a dispositivos Windows mediante Microsoft Intune

• Portal de empresa aplicación: se recomienda implementar la aplicación Intune Portal de empresa en todos los dispositivos como una aplicación necesaria. La aplicación Portal de empresa es el centro de autoservicio para los usuarios que utilizan para instalar aplicaciones desde múltiples fuentes, como Intune, Microsoft Store y Administrador de configuración. Los usuarios también utilizan la aplicación del Portal de empresa para sincronizar su dispositivo con Intune, comprobar el estado de cumplimiento, etc.

  Para implementar el Portal de empresa según sea necesario, consulte Agregar y asignar la aplicación Portal de empresa de Windows para dispositivos administrados por Intune.

• Aplicación de Microsoft Store (Pizarra): aunque Intune puede implementar una amplia variedad de aplicaciones, implementamos una aplicación de tienda (Pizarra de Microsoft) para facilitar las cosas para esta guía. Siga los pasos de Agregar aplicaciones de Microsoft Store a Microsoft Intune para instalar Microsoft Whiteboard.

Fase 2: Creación de un punto de conexión de Windows nativo de la nube

Para compilar el primer punto de conexión de Windows nativo de la nube, use la misma máquina virtual o dispositivo físico que recopiló y, a continuación, cargó el hash de hardware en el servicio Windows Autopilot en la fase 1, Paso 3: Importación del dispositivo de prueba. Con este dispositivo, siga el proceso de Windows Autopilot.

1. Reanude (o reinicie si es necesario) su PC con Windows a la experiencia de configuración rápida (OOBE).

   Nota:

   Si se le pide que elija la configuración para personal o para una organización, el proceso de Windows Autopilot no se inició. En esa situación, reinicie el dispositivo y asegúrese de que tiene acceso a Internet. Si sigue sin funcionar, intente reiniciando el PC o reinstalando Windows.

2. Inicie sesión con Microsoft Entra credenciales (UPN o AzureAD\username).

3. La página de estado de la inscripción muestra el estado de la configuración del dispositivo.

Enhorabuena. Ha aprovisionado el primer punto de conexión de Windows nativo de la nube.

Validación del punto de conexión

Compruebe las siguientes tareas en el nuevo dispositivo antes de pasar a la fase 3:

Si se le pide que escriba una contraseña al usar Windows Hello para acceder a los recursos locales, Windows Hello para empresas híbrido aún no está configurado. Para continuar con las pruebas, seleccione el icono de clave en la pantalla de inicio de sesión y use su nombre de usuario y contraseña en su lugar. Para obtener más información, consulte Windows Hello para empresas Híbrido.

Fase 3: proteger su punto de conexión de Windows nativo de la nube

Esta fase está diseñada para ayudarle a construir la configuración de seguridad de su organización. Esta sección llama su atención sobre los diversos componentes de Seguridad de puntos de conexión en Microsoft Intune, incluyendo:

• Antivirus de Microsoft Defender (MDAV)
• Firewall de Microsoft Defender
• Cifrado de BitLocker
• Solución de contraseñas de administrador local de Windows (LAPS)
• Líneas base de seguridad
• directivas de cliente de Windows Update
• Directiva de cumplimiento
• Acceso condicional

Antivirus de Microsoft Defender (MDAV)

Los siguientes ajustes se recomiendan como configuración mínima para el antivirus de Microsoft Defender, un componente del sistema operativo Windows incorporado. Esta configuración no requiere ningún contrato de licencia específico, como E3 o E5, y se puede habilitar en el Centro de administración de Microsoft Intune.

POST https://graph.microsoft.com/beta/deviceManagement/configurationPolicies
Content-Type: application/json

{"name":"_MSLearn_Example_Windows - Defender Antivirus","description":"","settings":[{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"905921da-95e2-4a10-9e30-fe5540002ce1"},"value":"device_vendor_msft_policy_config_defender_allowbehaviormonitoring_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowbehaviormonitoring","settingInstanceTemplateReference":{"settingInstanceTemplateId":"8eef615a-1aa0-46f4-a25a-12cbe65de5ab"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"16fe8afd-67be-4c50-8619-d535451a500c"},"value":"device_vendor_msft_policy_config_defender_allowcloudprotection_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowcloudprotection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"7da139f1-9b7e-407d-853a-c2e5037cdc70"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"fdf107fd-e13b-4507-9d8f-db4d93476af9"},"value":"device_vendor_msft_policy_config_defender_allowemailscanning_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowemailscanning","settingInstanceTemplateReference":{"settingInstanceTemplateId":"b0d9ee81-de6a-4750-86d7-9397961c9852"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"df4e6cbd-f7ff-41c8-88cd-fa25264a237e"},"value":"device_vendor_msft_policy_config_defender_allowioavprotection_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowioavprotection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"fa06231d-aed4-4601-b631-3a37e85b62a0"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"0492c452-1069-4b91-9363-93b8e006ab12"},"value":"device_vendor_msft_policy_config_defender_allowrealtimemonitoring_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowrealtimemonitoring","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f0790e28-9231-4d37-8f44-84bb47ca1b3e"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"7b8c858c-a17d-4623-9e20-f34b851670ce"},"value":"device_vendor_msft_policy_config_defender_allowscanningnetworkfiles_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowscanningnetworkfiles","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f8f28442-0a6b-4b52-b42c-d31d9687c1cf"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"ab9e4320-c953-4067-ac9a-be2becd06b4a"},"value":"device_vendor_msft_policy_config_defender_allowscriptscanning_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowscriptscanning","settingInstanceTemplateReference":{"settingInstanceTemplateId":"000cf176-949c-4c08-a5d4-90ed43718db7"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSimpleSettingInstance","settingDefinitionId":"device_vendor_msft_policy_config_defender_cloudextendedtimeout","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f61c2788-14e4-4e80-a5a7-bf2ff5052f63"},"simpleSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationIntegerSettingValue","settingValueTemplateReference":{"settingValueTemplateId":"608f1561-b603-46bd-bf5f-0b9872002f75"},"value":50}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSimpleSettingInstance","settingDefinitionId":"device_vendor_msft_policy_config_defender_daystoretaincleanedmalware","settingInstanceTemplateReference":{"settingInstanceTemplateId":"6f6d741c-1186-42e2-b2f2-8582febcfd60"},"simpleSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationIntegerSettingValue","settingValueTemplateReference":{"settingValueTemplateId":"214b6feb-c9b2-4a17-af54-d51c805473e4"},"value":30}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"ee58fb51-9ae5-408b-9406-b92b643f388a"},"value":"device_vendor_msft_policy_config_defender_enablenetworkprotection_2"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_enablenetworkprotection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f53ab20e-8af6-48f5-9fa1-46863e1e517e"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"2d790211-18cb-4e32-b8cc-97407e2c0b45"},"value":"device_vendor_msft_policy_config_defender_puaprotection_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_puaprotection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"c0135c2a-f802-44f4-9b71-b0b976411b8c"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"6b4e3497-cfbb-4761-a152-de935bbf3f07"},"value":"device_vendor_msft_policy_config_defender_realtimescandirection_0"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_realtimescandirection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f5ff00a4-e5c7-44cf-a650-9c7619ff1561"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"826ed4b6-e04f-4975-9d23-6f0904b0d87e"},"value":"device_vendor_msft_policy_config_defender_submitsamplesconsent_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_submitsamplesconsent","settingInstanceTemplateReference":{"settingInstanceTemplateId":"bc47ce7d-a251-4cae-a8a2-6e8384904ab7"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"ed077fee-9803-44f3-b045-aab34d8e6d52"},"value":"device_vendor_msft_policy_config_defender_allowonaccessprotection_1"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_allowonaccessprotection","settingInstanceTemplateReference":{"settingInstanceTemplateId":"afbc322b-083c-4281-8242-ebbb91398b41"}}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationSetting","settingInstance":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationGroupSettingCollectionInstance","groupSettingCollectionValue":[{"children":[{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"settingValueTemplateReference":{"settingValueTemplateId":"764256b4-e4d7-46d9-bbc8-003bf23591a1"},"value":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_highseveritythreats_quarantine"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_highseveritythreats","settingInstanceTemplateReference":{"settingInstanceTemplateId":"f55b8c9c-d831-460e-a041-e47e29f2aa17"}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","settingDefinitionId":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_severethreats","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"value":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_severethreats_quarantine"}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","settingDefinitionId":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_lowseveritythreats","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"value":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_lowseveritythreats_quarantine"}},{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingInstance","settingDefinitionId":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_moderateseveritythreats","choiceSettingValue":{"@odata.type":"#microsoft.graph.deviceManagementConfigurationChoiceSettingValue","children":[],"value":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction_moderateseveritythreats_quarantine"}}]}],"settingInstanceTemplateReference":{"settingInstanceTemplateId":"f6394bc5-6486-4728-b510-555f5c161f2b"},"settingDefinitionId":"device_vendor_msft_policy_config_defender_threatseveritydefaultaction"}}],"roleScopeTagIds":["0"],"platforms":"windows10","technologies":"mdm,microsoftSense","templateReference":{"templateId":"804339ad-1553-4478-a742-138fb5807418_1"}}

Para obtener más información sobre la configuración de Windows Defender, incluyendo Microsoft Defender para punto de conexión para clientes con licencia para E3 y E5, consulte:

• Protección de próxima generación en Windows, Windows Server 2016 y Windows Server 2019
• Evaluar Antivirus de Microsoft Defender

Firewall de Microsoft Defender

Usar Seguridad de puntos de conexión en Microsoft Intune para configurar el firewall y las reglas del mismo. Para obtener más información, vaya a Directiva de firewall para la seguridad de los puntos de conexión en Intune.

Firewall de Microsoft Defender puede detectar una red de confianza mediante el CSP de NetworkListManager. Además, puede cambiar al perfil de firewall de dominio en puntos de conexión que ejecutan Windows.

El uso del perfil de red de dominio permite separar las reglas de firewall en función de una red de confianza, una red privada y una red pública. Esta configuración se puede aplicar mediante un perfil personalizado de Windows.

Cifrado de BitLocker

Use Seguridad de puntos de conexión en Microsoft Intune para configurar el cifrado con BitLocker.

• Para obtener más información sobre cómo administrar BitLocker, vaya a Cifrar dispositivos Windows con BitLocker en Intune.
• Consulte nuestra serie de blogs sobre BitLocker en Habilitar BitLocker con Microsoft Intune.

Esta configuración se puede habilitar en el centro de administración de Microsoft Intune. En el Centro de administración, vaya a Seguridad> de punto de conexiónAdministrar>cifrado> de discoCrear directiva>Windows y, más adelante>, Perfil de = BitLocker.

Al configurar las siguientes opciones del BitLocker, habilitan silenciosamente el cifrado de 128 bits para los usuarios estándares, que es una situación común. Sin embargo, es posible que su organización tenga requisitos de seguridad diferentes. Por ello, use la documentación de BitLocker para otras configuraciones.

Solución de contraseñas de administrador local de Windows (LAPS)

De forma predeterminada, la cuenta de administrador local integrada (SID conocido S-1-5-500) está deshabilitada. Hay algunos escenarios en los que una cuenta de administrador local puede ser beneficiosa, como la solución de problemas, el soporte técnico para el usuario final y la recuperación de dispositivos. Si decide habilitar la cuenta de administrador integrada o crear una nueva cuenta de administrador local, es importante proteger la contraseña de esa cuenta.

La solución de contraseñas de administrador local de Windows (LAPS) es una de las características que puede usar para almacenar la contraseña de forma aleatoria y segura en Microsoft Entra. Si usa Intune como servicio MDM, siga estos pasos para habilitar LAPS de Windows.

1. Asegúrese de que los dispositivos Windows tengan instalada la actualización de seguridad de abril de 2023 (o posterior).

   Para obtener más información, vaya a Microsoft Entra actualizaciones del sistema operativo.

2. Habilite Windows LAPS en Microsoft Entra:

   1. Inicie sesión en Microsoft Entra.
   2. Para la configuración de Habilitar Solución de contraseñas de administrador local (LAPS), seleccione Sí>Guardar (parte superior de la página).

   Para obtener más información, vaya a Habilitación de Windows LAPS con Microsoft Entra.

3. En Intune, cree una directiva de seguridad de puntos de conexión:

   1. Inicie sesión en el Centro de administración de Microsoft Intune.
   2. Seleccione Endpoint Security>Account Protection>Create Policy>WindowsLocal admin password solution (Windows LAPS)Create (Crear una solución de contraseña de administrador local de Windows).>>

   Para obtener más información, vaya a Crear una directiva de LAPS en Intune.

Líneas base de seguridad

Puede utilizar líneas base de seguridad para aplicar un conjunto de configuraciones que se sabe que aumentan la seguridad de un punto de conexión de Windows. Para obtener más información sobre las líneas base de seguridad, vaya a Configuración de la línea base de seguridad de Windows MDM para Intune.

Las líneas base pueden aplicarse utilizando los ajustes sugeridos y personalizarse según sus necesidades. Algunas configuraciones dentro de las líneas base pueden causar resultados inesperados o ser incompatibles con las aplicaciones y servicios que se ejecutan en sus puntos de conexión de Windows. Como resultado, las líneas base deben probarse de forma aislada. Aplique únicamente la línea de base a un grupo selectivo de puntos de conexión de prueba, sin ningún otro perfil de configuración o ajuste.

Problemas conocidos de las líneas base de seguridad

Los siguientes ajustes en la línea base de seguridad de Windows pueden causar problemas con Windows Autopilot o al intentar instalar aplicaciones como usuario estándar:

• Opciones de seguridad de las directivas locales/Comportamiento de la solicitud de elevación del administrador (valor predeterminado = Solicitar el consentimiento en el escritorio seguro)
• Comportamiento estándar de la solicitud de elevación del usuario (valor predeterminado = Denegar automáticamente las solicitudes de elevación)

Para obtener más información, consulte Solución de problemas de conflictos de directivas con Windows Autopilot.

directivas de cliente de Windows Update

Windows Update directivas de cliente es la tecnología en la nube para controlar cómo y cuándo se instalan las actualizaciones en los dispositivos. En Intune, Windows Update directivas de cliente se pueden configurar mediante:

• Anillos de actualización de Windows
• Actualizaciones de características de Windows

Para obtener más información, vaya a:

• Obtenga información sobre el uso de directivas de cliente de Windows Update en Microsoft Intune
• Módulo 4.2 - Fundamentos de Windows Update para Empresas de la serie de vídeos del taller de implementación de Intune para el sector educativo

Directiva de cumplimiento

Una directiva de cumplimiento informa sobre el estado de los puntos de conexión de Windows nativos de la nube, por ejemplo, si BitLocker está habilitado, el arranque seguro está activado y Microsoft Defender Antivirus está en ejecución. La directiva también es la base del acceso condicional, por lo que puede impedir que los dispositivos no conformes accedan a los recursos de la organización.

Para crear una directiva de cumplimiento de Windows:

1. Inicie sesión en el Centro de administración de Microsoft Intune.

2. Seleccione Directivade creaciónde cumplimiento de>dispositivos>.

3. En Plataforma, seleccione Windows 10 y versiones posteriores>Crear.

4. En Aspectos básicos, escriba un nombre para la directiva y seleccione Siguiente.

5. En Configuración de cumplimiento, configure los siguientes valores recomendados y seleccione Siguiente:

   Configuración de la categoría	Configuración	Valor
   Estado del dispositivo	Require BitLocker	Obligatoria
   	Requerir que arranque seguro esté habilitado en el dispositivo	Obligatoria
   	Requerir integridad de código	Obligatoria
   Seguridad del sistema	Firewall	Obligatoria
   	Antivirus	Obligatoria
   	Antiespía	Obligatoria
   	Requerir una contraseña para desbloquear dispositivos móviles	Obligatoria
   	Contraseñas sencillas	Bloquear
   	Tipo de contraseña	Alfanumérica
   	Longitud mínima de la contraseña	14
   	Máximo de minutos de inactividad antes de solicitar la contraseña	1 minuto
   	Expiración de contraseña (días)	365
   	Número de contraseñas anteriores que no se pueden reutilizar	5
   Defender	Antimalware de Microsoft Defender	Obligatoria
   	Actualización de la inteligencia de seguridad de Antimalware de Microsoft Defender	Obligatoria
   	Protección en tiempo real	Obligatoria

   Sugerencia

   Microsoft y las instrucciones actuales de NIST ya no recomiendan la expiración periódica de contraseñas. La línea de base de seguridad de Windows quitó la expiración de contraseña en 2019. En el caso de los puntos de conexión nativos de la nube, la postura más segura es mover a los usuarios al inicio de sesión sin contraseña con claves de seguridad Windows Hello para empresas y passkeys/FIDO2, y bloquear contraseñas débiles con Microsoft Entra Protección con contraseña. Ajuste los valores anteriores para que coincidan con la directiva de su organización. Para más información, consulte Autenticación sin contraseña con Microsoft Intune.

6. En Actions for noncompliance (Acciones para no cumplimiento), establezca la programación mark device noncompliant en day (u otro período de gracia que se adapte a 1 su organización).

   Sugerencia

   Si usa el acceso condicional, configure un período de gracia para que los dispositivos no conformes no pierdan inmediatamente el acceso a los recursos de la organización. También puede agregar una acción a los usuarios de correo electrónico con los pasos necesarios para que sean compatibles.

7. Asigne la directiva al grupo Autopilot Cloud-Native puntos de conexión de Windows del paso 4: Creación de Microsoft Entra grupo dinámico para el dispositivo.

Para obtener más información sobre la configuración de cumplimiento de Windows, consulta Configuración de cumplimiento de dispositivos Windows en Microsoft Intune.

Acceso condicional

El acceso condicional en Microsoft Entra usa la señal de cumplimiento de Intune para permitir o bloquear el acceso a los recursos de la organización. El patrón nativo de nube más común es requerir un dispositivo compatible para aplicaciones de Microsoft 365 y otros servicios en la nube. Este patrón garantiza que solo Intune dispositivos administrados y en buen estado puedan acceder a los datos.

Una línea de base de acceso condicional nativa de la nube típica incluye:

• Requerir autenticación multifactor para todos los usuarios.
• Requerir un dispositivo compatible (o un dispositivo híbrido Microsoft Entra unido) para las aplicaciones en la nube.
• Bloquee los protocolos de autenticación heredados.

Para obtener instrucciones paso a paso, consulte:

• Acceso condicional: requerir un dispositivo unido a Microsoft Entra híbrido o compatible
• Planeamiento de una implementación de acceso condicional
• Directivas comunes de acceso condicional

Fase 4: aplicar las personalizaciones y revisar la configuración local

En esta fase, aplicará la configuración específica de la organización, las aplicaciones y revisará la configuración local. La fase le ayudará a crear cualquier personalización específica para su organización. Observe los distintos componentes de Windows y cómo puede revisar las configuraciones existentes desde un entorno de directiva de grupo de AD local y aplicarlas a los puntos de conexión nativos en la nube. Hay secciones para cada una de las siguientes áreas:

• Experiencia del usuario
  • Microsoft Edge
  • Diseño de la barra de tareas y de inicio
• Configuración del dispositivo
  • Catálogo de configuraciones
  • Restricciones de dispositivos
  • Optimización de distribución
  • Administradores locales
• Migración desde el entorno local
  • Migración de la directiva de grupo a la configuración de MDM
  • Scripts
  • Asignación de unidades de red e impresoras
• Aplicaciones
  • Aplicaciones

Microsoft Edge

Implementación de Microsoft Edge

Microsoft Edge se incluye en los dispositivos que funcionan:

• Windows

Después de que los usuarios inicien sesión, Microsoft Edge se actualizará automáticamente. Para desencadenar una actualización de Microsoft Edge durante la implementación, puede ejecutar el siguiente comando:

Start-Process -FilePath "C:\Program Files (x86)\Microsoft\EdgeUpdate\MicrosoftEdgeUpdate.exe" -argumentlist "/silent /install appguid={56EB18F8-B008-4CBD-B6D2-8C97FE7E9062}&appname=Microsoft%20Edge&needsadmin=True"

Para implementar Microsoft Edge a versiones anteriores de Windows, vaya a Agregar Microsoft Edge para Windows a Microsoft Intune.

Configuración de Microsoft Edge

Dos componentes de la experiencia Microsoft Edge, que se aplican cuando los usuarios inician sesión con sus credenciales de Microsoft 365, se pueden configurar desde el Administración de Microsoft 365 web.

• El logotipo de la página de inicio en Microsoft Edge se puede personalizar configurando la sección Tu organización dentro del centro de administración de Microsoft 365. Para obtener más información, vaya a Personalización del tema de Microsoft 365 para su organización.

• La experiencia de la página de nueva pestaña predeterminada en Microsoft Edge incluye información de Office 365 y noticias personalizadas. La forma en que se muestra esta página se puede personalizar desde el Centro de administración de Microsoft 365 en Configuración>Configuración de la organización>Noticias>Página de la nueva pestaña de Microsoft Edge.

También puede establecer otras configuraciones para Microsoft Edge utilizando los perfiles del catálogo de configuraciones. Por ejemplo, es posible que desee configurar ajustes de sincronización específicos para su organización.

• Microsoft Edge
  • Configurar la lista de tipos que se excluyen de la sincronización - contraseñas

Diseño de la barra de tareas y de inicio

Puede personalizar y establecer un diseño estándar para el inicio y la barra de tareas mediante Intune.

• Para Windows 11:

  • Para crear y aplicar un diseño al menú Inicio, vaya a Personalizar el diseño del menú Inicio en Windows 11.
  • Para crear y aplicar un diseño de barra de tareas, vaya a Personalizar la barra de tareas en Windows 11.

• Para Windows 10:

  • Para obtener más información sobre la personalización de la barra de inicio y de tareas, vaya a Administrar el diseño de la barra de inicio y de tareas de Windows (Windows).
  • Para crear un diseño de inicio y barra de tareas, vaya a Personalizar y exportar el diseño de inicio (Windows).

  Una vez creado el diseño, se puede cargar en Intune configurando un perfil de restricciones de dispositivo. La configuración se encuentra en la categoría Inicio.

  Importante

  El 14 de octubre de 2025, Windows 10 llegó al final del soporte técnico y no recibirá actualizaciones de calidad y características. Windows 10 es una versión permitida en Intune. Los dispositivos que ejecutan esta versión todavía pueden inscribirse en Intune y usar características aptas, pero la funcionalidad no se garantizará y puede variar.

Catálogo de configuraciones

El catálogo de configuraciones es una ubicación única en la que aparecen todas las opciones configurables de Windows. Esta función simplifica la creación de una directiva y la visualización de todas las opciones de configuración disponibles. Para obtener más información, vaya a Crear una directiva mediante el catálogo de configuración en Microsoft Intune.

A continuación se presentan algunos ajustes disponibles en el catálogo de ajustes que podrían ser relevantes para su organización:

• Azure dominio de inquilino preferido de Active Directory: esta configuración configura el nombre de dominio de inquilino preferido que se anexará al nombre de usuario de un usuario. Un dominio de inquilino preferido permite a los usuarios iniciar sesión en Microsoft Entra puntos de conexión con solo su nombre de usuario en lugar de todo el UPN, siempre y cuando el nombre de dominio del usuario coincida con el dominio de inquilino preferido. Para los usuarios que tienen diferentes nombres de dominio, pueden escribir su UPN completo.

  Configuración de la categoría	Configuración	Valor
  Autenticación	Nombre de dominio de inquilino de AAD preferido	Escriba el nombre de dominio, como contoso.onmicrosoft.com.

  Nota:

  La etiqueta de configuración usa terminología heredada. "AAD" hace referencia a Microsoft Entra ID.

• Contenido destacado de Windows : de forma predeterminada, se habilitan varias características de consumidor de Windows, lo que da como resultado la instalación de aplicaciones de la Tienda seleccionadas y sugerencias de terceros en la pantalla de bloqueo. Puede controlar esto utilizando la sección Experiencia del catálogo de configuraciones.

  Configuración de la categoría	Configuración	Valor
  Experiencia > permitir contenido destacado de Windows	Permitir características de consumidor de Windows	Bloquear
  	Permitir sugerencias de terceros en Contenido destacado de Windows (usuario)	Bloquear

• Microsoft Store : las organizaciones suelen querer restringir las aplicaciones que se pueden instalar en puntos de conexión. Utilice esta configuración si su organización desea controlar qué aplicaciones pueden instalarse desde Microsoft Store. Esta configuración evita que los usuarios instalen aplicaciones a menos que sean aprobadas.

  Configuración de la categoría	Configuración	Valor
  Microsoft App Store	Requerir solo la tienda privada	Solo la tienda privada está habilitada

  Nota:

  Esta configuración se aplica a Windows 10. En Windows 11, esta configuración bloquea el acceso al almacén público de Microsoft. Para obtener más información, vaya a:

  • Integración de Update a Intune con la Microsoft Store en Windows
  • Preguntas más frecuentes: compatibilidad con experiencias de Microsoft Store en dispositivos administrados

• Bloquear juegos : es posible que las organizaciones prefieran que los puntos de conexión corporativos no se puedan usar para jugar a juegos. La página de Juegos dentro de la aplicación de Configuración se puede ocultar por completo utilizando la siguiente configuración. Para obtener más información sobre la visibilidad de la página de configuración, vaya a la documentación de CSP y a la referencia de esquema URI de la configuración MS.

  Configuración de la categoría	Configuración	Valor
  Configuración	Lista de visibilidad de páginas	hide:gaming-gamebar; gaming-gamedvr; juegos de difusión; gaming-gamemode; gaming-trueplay; gaming-xboxnetworking; quietmomentsgame

• Controle a qué inquilinos puede iniciar sesión el cliente de escritorio de Teams: cuando esta directiva está configurada en un dispositivo, los usuarios solo pueden iniciar sesión con cuentas que se encuentran en un inquilino de Microsoft Entra que se incluye en la "Lista de permitidos de inquilinos" definida en esta directiva. La "Lista de permitidos de inquilinos" es una lista separada por comas de Microsoft Entra identificadores de inquilino. Al especificar esta directiva y definir un inquilino de Microsoft Entra, también se bloquea el inicio de sesión en Teams para su uso personal. Para obtener más información, vaya a Cómo restringir el inicio de sesión en dispositivos de escritorio.

  Configuración de la categoría	Configuración	Valor
  Microsoft Teams	Restringir el inicio de sesión en Teams a cuentas de inquilinos específicos (usuario)	Enabled

Restricciones de dispositivos

Las plantillas de restricciones de dispositivos de Windows contienen muchas de las configuraciones necesarias para proteger y administrar un punto de conexión de Windows mediante los proveedores de servicios de configuración de Windows (CSP). Con el tiempo, habrá más ajustes disponibles en el catálogo de configuraciones. Para obtener más información, vaya a Restricciones de dispositivos.

Para crear un perfil que use la plantilla Restricciones de dispositivos, en el centro de administración de Microsoft Intune, vaya a Dispositivos>Administrar dispositivos>Configuración>Crear>nueva directiva> Seleccione Windows 10 y versiones posteriores para Plantillas de plataforma>Restricciones de dispositivos para el tipo de perfil.

• Dirección URL de imagen de fondo de escritorio (solo escritorio): use esta opción para establecer un fondo de pantalla en las SKU de Windows Enterprise o Windows Education. El archivo se hospeda en línea o hace referencia a un archivo que se copia localmente. Para configurar esta opción, en la pestaña Configuración del perfil Restricciones de dispositivos, expanda Personalización y configure La dirección URL de la imagen de fondo del escritorio (solo escritorio).

• Requerir que los usuarios se conecten a una red durante la instalación del dispositivo : esta configuración reduce el riesgo de que un dispositivo pueda omitir Windows Autopilot si el equipo se restablece. Esta configuración requiere que los dispositivos tengan una conexión de red durante la fase de experiencia de configuración rápida. Para configurar esta opción, en la pestaña Configuración del perfil Restricciones de dispositivos, expanda General y configure Requerir que los usuarios se conecten a la red durante la instalación del dispositivo.

  Nota:

  La configuración se hace efectiva la próxima vez que se borra o restablece el dispositivo.

Optimización de entrega

La optimización de la entrega se utiliza para reducir el consumo de ancho de banda compartiendo el trabajo de descarga de los paquetes compatibles entre varios puntos de conexión. La optimización de la entrega es una caché distribuida auto organizada que permite a los clientes descargar esos paquetes desde fuentes alternativas, como los pares en la red. Estas fuentes paritarias complementan los servidores tradicionales basados en Internet. Puede conocer todos los ajustes disponibles para la optimización de la entrega y qué tipos de descargas son compatibles en Optimización de la entrega para las actualizaciones de Windows.

Para aplicar la configuración de Optimización de entrega, cree un perfil de una Optimización de entrega de Intune o un perfil de catálogo de configuración.

Algunos ajustes que suelen usar las organizaciones son:

• Restringir selección del mismo nivel: subred : esta configuración restringe el almacenamiento en caché del mismo nivel a los equipos de la misma subred.
• Id. de grupo : los clientes de optimización de distribución solo se pueden configurar para compartir contenido con dispositivos del mismo grupo. Las Id. de grupo pueden configurarse directamente enviando un GUID a través de la directiva o utilizando las opciones de DHCP en los ámbitos de DHCP.

Los clientes que utilizan Microsoft Configuration Manager pueden implementar servidores de caché conectados que pueden utilizarse para alojar contenidos de Optimización de entrega. Para obtener más información, vaya a Caché conectada de Microsoft en el administrador de configuración.

Administradores locales

Si solo hay un grupo de usuarios que necesita acceso de administrador local a todos Microsoft Entra dispositivos Windows unidos, puede agregarlos al administrador local de dispositivos unidos a Microsoft Entra.

Es posible que el servicio de asistencia de TI u otro personal de apoyo necesite tener derechos de administrador local en un grupo selecto de dispositivos. Para cumplir este requisito, use los siguientes proveedores de servicios de configuración (CSP).

• CSP de usuarios y grupos locales (preferido)
• CSP de grupos restringidos (sin acción de actualización, solo reemplazar)

Para obtener más información, vaya a Administración del grupo de administradores locales en Microsoft Entra dispositivos unidos

Migración de la directiva de grupo a la configuración de MDM

Hay varias opciones para crear la configuración de los dispositivos cuando se valore hacer una migración de la directiva de grupo a la administración de dispositivos nativa en la nube:

• Empiece de cero y aplique los ajustes personalizados que necesite.
• Revise las directivas de grupo existentes y aplique la configuración necesaria. Puede utilizar herramientas de ayuda, como Análisis de directiva de grupo.
• Utilice el análisis de directiva de grupo para crear perfiles de configuración de dispositivos directamente para los ajustes admitidos.

La transición a un punto de conexión de Windows nativo en la nube representará una oportunidad para revisar sus requisitos informáticos de usuario final y establecer una nueva configuración para el futuro. Siempre que sea posible, empiece de cero con un conjunto mínimo de directivas. Evitar traer configuraciones innecesarias o heredadas de un entorno unido a un dominio o de sistemas operativos antiguos, como Windows 7 o Windows XP.

Para empezar de cero, revise sus requisitos actuales e implemente una colección mínima de configuraciones para cumplir con estos requisitos. Los requisitos pueden incluir ajustes de seguridad reglamentarios u obligatorios y ajustes para mejorar la experiencia del usuario final. La empresa crea una lista de requisitos, no TI. Todos los escenarios deben estar documentados, comprendidos y deben servir para algo.

La migración de la configuración de las directivas de grupo existentes a MDM (Microsoft Intune) no es el enfoque preferido. Cuando realice la transición a Windows nativo en la nube, la intención no debería ser aumentar y cambiar la configuración de las directivas de grupo existentes. En su lugar, hay que tener en cuenta el público al que se dirige y los ajustes que necesita. Lleva mucho tiempo y probablemente no es práctico revisar cada configuración de directiva de grupo en su entorno para determinar su relevancia y compatibilidad con un dispositivo administrado moderno. Evite tratar de evaluar cada directiva de grupo y cada ajuste individual. En su lugar, concéntrese en evaluar aquellas directivas comunes que cubren la mayoría de los dispositivos y escenarios.

En su lugar, identifique las configuraciones de la directiva de grupo que son obligatorias y revise esas configuraciones contra las configuraciones disponibles de MDM. Cualquier brecha podría representar bloqueos que podrían impedirle avanzar con un dispositivo nativo en la nube si no se resolvieran. Se pueden utilizar herramientas como Análisis de directiva de grupo para analizar la configuración de las directivas de grupo y determinar si se pueden migrar a las directivas de MDM o no.

Scripts

Puede utilizar scripts de PowerShell para cualquier ajuste o personalización que necesite configurar fuera de los perfiles de configuración incorporados. Para obtener más información, vaya a Agregar scripts de PowerShell a dispositivos Windows en Microsoft Intune.

Asignación de unidades de red e impresoras

Los escenarios nativos en la nube no tienen una solución integrada para las unidades de red asignadas. En su lugar, se recomienda que los usuarios migren a Teams, SharePoint y OneDrive. Si la migración no es posible, considere el uso de scripts si es necesario.

Para el almacenamiento personal, en el Paso 8: configurar los ajustes para una experiencia óptima de Microsoft 365, configuramos el movimiento de carpetas conocidas de OneDrive. Para obtener más información, vaya a Redirigir carpetas conocidas.

Para el almacenamiento de documentos, los usuarios también pueden beneficiarse de la integración de SharePoint con el Explorador de archivos y la posibilidad de sincronizar bibliotecas localmente, como se indica aquí: sincronizar archivos de SharePoint y Teams con el ordenador.

Si utilizas las plantillas de documentos corporativos de Office, que suelen estar en servidores internos, considera el nuevo equivalente basado en la nube que permite a los usuarios acceder a las plantillas desde cualquier lugar.

• Crear una organización de biblioteca de activos

Para las soluciones de impresión, considere La impresión universal. Para obtener más información, vaya a:

• ¿Qué es impresión universal?
• Se anuncia la disponibilidad general de Impresión universal
• Tareas que puede completar mediante el catálogo de configuración en Intune

Aplicaciones

Intune admite la implementación de muchos tipos de aplicaciones de Windows diferentes.

• Windows Installer (MSI): agregar una aplicación de línea de negocio de Windows a Microsoft Intune
• MSIX: agregar una aplicación de línea de negocio de Windows a Microsoft Intune
• Aplicaciones Win32 (MSI, EXE, instaladores de secuencias de comandos), administración de aplicaciones Win32 en Microsoft Intune
• Aplicaciones de la tienda: agregar aplicaciones de Microsoft Store a Microsoft Intune
• Vínculos web: agregar aplicaciones web a Microsoft Intune

Si tiene aplicaciones que utilizan instaladores MSI, EXE o de secuencias de comandos, puede implementar todas estas aplicaciones mediante la administración de aplicaciones Win32 en Microsoft Intune. Envolver estos instaladores en el formato Win32 proporcionará más flexibilidad y beneficios, como notificaciones, optimización de la entrega, dependencias, reglas de detección y soporte para la página de estado de inscripción en Windows Autopilot.

Fase 5: escalado de la implementación con Windows Autopilot

Ha demostrado que funciona de forma nativa en la nube en un dispositivo. En esta fase se explica cómo pasar de un dispositivo de prueba a su flota de producción: cómo se registran los dispositivos, cómo los agrupa por persona, cómo se realiza la implementación provisional y cómo se controlan los equipos existentes que ya administra.

Registro de dispositivos a escala

En la fase 1, cargó manualmente un hash de hardware. Eso está bien para un laboratorio, pero no escala. Las opciones listas para producción son:

Para obtener detalles completos, consulte Registro de dispositivos Autopilot.

Uso de etiquetas de grupo para personas

Ya usó la etiqueta de grupo en la CloudNative fase 1 para dirigir un grupo dinámico. El mismo patrón se escala a varios usuarios del dispositivo. Defina una etiqueta de grupo por persona, una dinámica Microsoft Entra grupo por etiqueta y un perfil de implementación de Autopilot más página estado de inscripción por grupo.

Este patrón mantiene las directivas de configuración, aplicaciones y seguridad aisladas por persona y evita que se produzcan excepciones puntuales en todo el inquilino.

Implementación en anillos

No se implemente en toda la flota a la vez. Usa el mismo concepto de anillo que usas para Windows Novedades:

Use filtros de asignación para los anillos de destino en lugar de crear grupos duplicados para cada directiva. Supervise cada anillo mediante la sección Supervisión de los puntos de conexión de Windows nativos de la nube antes de promover al siguiente.

Controlar dispositivos existentes

En el caso de los equipos Windows que ya administra, Microsoft recomienda pasar a Autopilot en la siguiente actualización de hardware en lugar de volver a aprovisionar toda la flota hoy en día. Windows nativo de la nube obtiene todas sus ventajas de un inicio de OOBE limpio y los ciclos de actualización le permiten realizar la transición de forma natural con una interrupción mínima del usuario.

Si no puede esperar a la actualización, hay dos rutas de acceso disponibles:

• Regístrese y restablezca en su lugar. Recopile el hash de un dispositivo existente, regístrelo en Autopilot y restablezca el equipo. El dispositivo vuelve a través de OOBE como un punto de conexión nativo de la nube. Consulta Agregar dispositivos existentes a Windows Autopilot.
• Vuelva a crear una imagen en la actualización. Solo el hardware nuevo o actualizado se inscribe como nativo de la nube. Los dispositivos existentes permanecen en su administración actual hasta que llegan al final de su vida útil.

Más información

• Introducción a Windows Autopilot
• Perfiles de implementación de Windows Autopilot
• Módulo 6.4, Fundamentos de Windows Autopilot, YouTube

Si Windows Autopilot no es la opción adecuada para su escenario, consulte Intune métodos de inscripción para dispositivos Windows para obtener alternativas.

Supervisión de los puntos de conexión de Windows nativos de la nube

Una vez aprovisionados y configurados los puntos de conexión de Windows nativos de la nube, use las vistas de supervisión en el Centro de administración de Microsoft Intune para confirmar que las directivas, scripts y aplicaciones se implementan correctamente y detectar problemas en un primer momento. La supervisión es una tarea operativa en curso, no un paso de configuración única.

Siga las instrucciones sobre puntos de conexión nativos de la nube

1. Información general: ¿qué son los puntos de conexión nativos de la nube?
2. 🡺 Tutorial: Configuración de puntos de conexión de Windows nativos de la nube con Microsoft Intune (está aquí)
3. Concepto: Microsoft Entra unidos frente a Microsoft Entra híbridos unidos
4. Concepto: puntos de conexión nativos en la nube y recursos locales
5. Guía de planeación de alto nivel
6. Problemas conocidos e información importante

Preguntas frecuentes

¿Qué es un punto de conexión de Windows nativo de la nube?

Un punto de conexión de Windows nativo de la nube es un dispositivo Windows que está Microsoft Entra unido e inscrito en Microsoft Intune, sin dependencia de Active Directory local, directiva de grupo o controladores de dominio. Toda la configuración, la seguridad y la implementación de aplicaciones se administran desde la nube mediante Microsoft Intune y Windows Autopilot.

¿Cuál es la diferencia entre la Microsoft Entra unida a la nube y la híbrida?

Un dispositivo unido a Microsoft Entra híbrido se une a Active Directory local y Microsoft Entra. Todavía depende de los controladores de dominio para la autenticación y directiva de grupo para la configuración. Un dispositivo nativo de la nube (solo Microsoft Entra unido) no tiene dependencia local: la identidad, la directiva y las aplicaciones proceden de la nube. Para obtener una comparación detallada, consulte Microsoft Entra unidos frente a híbridos Microsoft Entra unidos.

¿Necesito Windows 11 para los puntos de conexión nativos de la nube?

No. Windows nativo de la nube funciona con Windows 10 22H2 o posterior. Microsoft recomienda Windows 11 para obtener la mejor experiencia con Windows Autopilot, Windows Hello para empresas y características de seguridad modernas.

¿Puedo mover los dispositivos existentes unidos a un dominio a nativo de la nube?

Sí, pero Microsoft recomienda hacerlo en la siguiente actualización de hardware en lugar de volver a aprovisionar toda la flota. Windows nativo de la nube obtiene todas sus ventajas de un inicio de OOBE limpio. Para los dispositivos que no puede esperar a actualizar, consulte Control de dispositivos existentes en la fase 5.

¿Funciona Windows nativo de la nube con recursos locales, como recursos compartidos de archivos e impresoras?

Sí, con algo de planeamiento. Los dispositivos nativos de la nube pueden acceder a los recursos locales a través de VPN o a través de Microsoft Entra proxy de aplicación. Para el almacenamiento de archivos, Microsoft recomienda migrar a OneDrive y SharePoint. Para imprimir, considere La impresión universal. Consulte Puntos de conexión nativos de la nube y recursos locales para obtener instrucciones detalladas.

Recursos en línea útiles

• Administración conjunta para dispositivos Windows
• Activación de la suscripción a Windows
• Configuración de una directiva de cumplimiento de dispositivos de Intune que pueda permitir o denegar el acceso a los recursos en función de una directiva de acceso condicional de Microsoft Entra
• Agregar aplicaciones de Tienda
• Agregar aplicaciones de Win32
• Usar certificados para la autenticación en Intune
• Implementación de perfiles de red, incluyendo VPN y Wi-Fi
• Implementación de la autenticación multifactor
• Línea base de seguridad para Microsoft Edge