Modo controlado por el usuario de Windows Autopilot

El modo controlado por usuario de Windows Autopilot configura un nuevo dispositivo Windows y lo transforma de su estado de fábrica a un estado listo para usar. El personal de TI no necesita tocar el dispositivo.

El proceso es simple. Enviar o distribuir dispositivos al usuario final con las siguientes instrucciones:

  1. Saque el dispositivo de la caja, conéctelo y actívelo.
  2. Si el dispositivo usa varios idiomas, seleccione un idioma, una configuración regional y un teclado.
  3. Conecte el dispositivo a una red inalámbrica o cableada con acceso a Internet. Si usa una conexión inalámbrica, primero conéctese a la red Wi-Fi.
  4. Especifique una cuenta de dirección de correo electrónico y una contraseña para la organización.

El resto del proceso está automatizado. El dispositivo realiza los pasos siguientes:

  1. Únase a la organización.
  2. Inscríbase en Microsoft Intune u otro servicio de administración de dispositivos móviles (MDM).
  3. Configure según lo definido por la organización.

Puedes suprimir otras consultas durante la configuración rápida. Para obtener más información sobre las opciones disponibles, consulte Configuración de perfiles de Windows Autopilot.

Importante

Si usa los Servicios de federación de Active Directory (AD FS) (ADFS), un problema conocido puede permitir que el usuario final inicie sesión con una cuenta diferente a la asignada a ese dispositivo.

El modo controlado por el usuario de Windows Autopilot admite la unión de Microsoft Entra y los dispositivos unidos híbridos de Microsoft Entra. Para obtener más información sobre estas dos opciones de combinación, consulte los siguientes artículos:

Los pasos del proceso controlado por el usuario son los siguientes:

  1. Después de que el dispositivo se conecta a una red, descarga un perfil de Windows Autopilot. El perfil define la configuración usada para el dispositivo. Por ejemplo, define las consultas suprimidas durante la OOBE.

  2. Windows comprueba si hay actualizaciones OOBE críticas. Si las actualizaciones están disponibles, Windows las instala. Si es necesario, el dispositivo se reinicia.

  3. Se solicitarán al usuario las credenciales de Microsoft Entra. Esta experiencia de usuario personalizada muestra el nombre, el logotipo y el texto de inicio de sesión del inquilino de Microsoft Entra.

  4. El dispositivo se une a Microsoft Entra ID o Active Directory, en función de la configuración del perfil de Windows Autopilot.

  5. El dispositivo se inscribe en Intune u otro servicio MDM configurado. En función de las necesidades de la organización, esta inscripción se produce:

    • Durante el proceso de unión a Microsoft Entra, mediante la inscripción automática de MDM.

    • Antes del proceso de unión a Active Directory.

  6. Si se configura, muestra la página de estado de inscripción (ESP).

  7. Una vez completadas las tareas de configuración del dispositivo, el usuario inicia sesión en Windows con las credenciales que proporcionó anteriormente. Si el dispositivo se reinicia durante el proceso ESP del dispositivo, el usuario debe volver a introducir sus credenciales. Estos detalles no se conservan después del reinicio.

  8. Después de iniciar sesión, se muestra la página de estado de inscripción para las tareas de configuración dirigidas al usuario.

Si se produce algún problema, consulte Información general sobre la solución de problemas de Windows Autopilot.

Para obtener más información acerca de las opciones de combinación disponibles, consulte las secciones siguientes:

Modo controlado por el usuario para la unión a Microsoft Entra

Para completar una implementación controlada por el usuario con Windows Autopilot, siga estos pasos de preparación:

  1. Asegúrese de que los usuarios que realizan implementaciones de modo controlado por el usuario puedan unir dispositivos a Microsoft Entra ID. Para obtener más información, consulte Configurar dispositivos en la documentación de Microsoft Entra.

  2. Cree un perfil de Windows Autopilot para el modo controlado por el usuario con la configuración deseada.

    • En Intune, elija explícitamente este modo al crear un perfil.

    • En la Microsoft Store para Empresas y el Centro de partners, el modo controlado por el usuario es el predeterminado.

  3. Si usa Intune, cree un grupo de dispositivos en Microsoft Entra ID y asigne el perfil de Windows Autopilot a ese grupo.

Para cada dispositivo que implemente mediante la implementación controlada por el usuario, siga estos pasos adicionales:

  • Agregue el dispositivo a Windows Autopilot. Puede completar este paso de dos maneras:

  • Asigna un perfil de Windows Autopilot al dispositivo:

    • Si usa grupos de dispositivos dinámicos de Intune y Microsoft Entra, esta asignación se puede realizar automáticamente.

    • Si usa grupos de dispositivos estáticos de Intune y Microsoft Entra, agregue manualmente el dispositivo al grupo de dispositivos.

    • Si usas otros métodos, como la Microsoft Store para Empresas o el Centro de partners, asigna manualmente un perfil de Windows Autopilot al dispositivo.

Sugerencia

Si el estado final previsto del dispositivo es la administración conjunta, configure la inscripción de dispositivos en Intune para habilitar la administración conjunta. Esta configuración se produce durante el proceso de Windows Autopilot. Este comportamiento dirige la autoridad de la carga de trabajo de forma organizada entre el Administrador de configuración e Intune. Para obtener más información, consulte Cómo inscribirse con Windows Autopilot.

Modo controlado por el usuario para la unión híbrida de Microsoft Entra

Importante

Le recomendamos que implemente nuevos dispositivos como nativos en la nube mediante la unión a Microsoft Entra. No se recomienda implementar nuevos dispositivos como dispositivos de unión híbrida de Microsoft Entra, incluso a través de Windows Autopilot. Para obtener más información, consulte Unión a Microsoft Entra frente a Microsoft Entra híbrido unido en puntos de conexión nativos de nube: qué opción es la adecuada para su organización.

Windows Autopilot requiere que los dispositivos se unan a Microsoft Entra. Para un entorno de Active Directory local, los dispositivos se pueden unir al dominio local. Para unir los dispositivos, configure los dispositivos Windows Autopilot para que se unan de forma híbrida a Microsoft Entra ID.

Sugerencia

Al hablar con clientes que usan Microsoft Intune y Microsoft Configuration Manager para implementar, administrar y proteger sus dispositivos cliente, a menudo recibimos preguntas sobre la administración conjunta de dispositivos y los dispositivos unidos híbridos de Microsoft Entra. Muchos clientes confunden estos dos temas. La administración conjunta es una opción de administración, mientras que Microsoft Entra ID es una opción de identidad. Para obtener más información, consulte Descripción de la administración híbrida de Microsoft Entra y co-administración. Esta entrada de blog tiene como objetivo aclarar la unión híbrida y la administración conjunta de Microsoft Entra, cómo funcionan juntas, pero no son lo mismo.

No se puede implementar el cliente de Administrador de configuración al aprovisionar un equipo nuevo en el modo controlado por el usuario de Windows Autopilot para la unión híbrida de Microsoft Entra. Esta limitación se debe al cambio de identidad del dispositivo durante el proceso de unión a Microsoft Entra. Implemente el cliente de Administrador de configuración después del proceso de Windows Autopilot. Consulte Métodos de instalación de cliente en Administrador de configuración para ver opciones alternativas para instalar el cliente.

Requisitos para el modo controlado por el usuario con Microsoft Entra ID híbrido

  • Crear un perfil de Windows Autopilot para el modo controlado por el usuario.

    En el perfil de Windows Autopilot, en Unirse a Microsoft Entra ID como, seleccione Unido híbrido de Microsoft Entra.

  • Si usa Intune, cree un grupo de dispositivos en Microsoft Entra ID. Asigne el perfil de Windows Autopilot al grupo.

  • Si usa Intune, cree y asigne un perfil de unión a dominio. Un perfil de configuración de unión a un dominio incluye información de dominio de Active Directory local.

  • El dispositivo necesita acceso a Internet. Para obtener más información, consulte los requisitos de red.

  • Instale el conector de Intune para Active Directory.

    Nota:

    Intune Connector para Active Directory une el dispositivo al dominio local. Los usuarios no necesitan permisos para unir dispositivos al dominio local. Este comportamiento supone que el conector está configurado para esta acción en nombre del usuario. Para obtener más información, consulte Aumento del límite de cuentas informáticas en la unidad organizativa (OU).

  • Si usas un proxy, habilita y configura la opción de configuración de proxy del Protocolo de detección automática de proxy web (WPAD).

Además de estos requisitos básicos para la unión híbrida de Microsoft Entra controlada por el usuario, los siguientes requisitos se aplican a los dispositivos locales:

  • El dispositivo tiene actualmente una versión compatible de Windows.

  • El dispositivo está conectado a la red interna y tiene acceso a un controlador de dominio de Active Directory.

    • Debe resolver los registros DNS del dominio y de los controladores de dominio.

    • Necesita comunicarse con el controlador de dominio para autenticar al usuario.

Modo controlado por el usuario para la unión híbrida de Microsoft Entra con compatibilidad con VPN

Los dispositivos unidos a Active Directory necesitan conectividad a un controlador de dominio de Active Directory para muchas actividades. Estas actividades incluyen validar las credenciales del usuario cuando inicia sesión y aplicar la configuración de directiva de grupo. El proceso controlado por el usuario de Windows Autopilot para dispositivos unidos híbridos de Microsoft Entra comprueba que el dispositivo puede ponerse en contacto con un controlador de dominio haciendo ping a ese controlador de dominio.

Al agregar compatibilidad con VPN para este escenario, puede configurar el proceso de unión híbrida de Microsoft Entra para omitir la comprobación de conectividad. Este cambio no elimina la necesidad de comunicarse con un controlador de dominio. En su lugar, Intune proporciona la configuración de VPN necesaria para permitir la conexión a la red de la organización antes de que el usuario intente iniciar sesión en Windows.

Requisitos para el modo controlado por el usuario con Microsoft Entra ID híbrido y VPN

Además de los requisitos básicos para el modo controlado por el usuario con la unión híbrida de Microsoft Entra, los siguientes requisitos adicionales se aplican a un escenario remoto con soporte de VPN:

  • Una versión de Windows actualmente compatible.

  • En el perfil de unión híbrida de Microsoft Entra para Windows Autopilot, habilite la siguiente opción: Omitir comprobación de conectividad de dominio.

  • Una configuración de VPN con una de las siguientes opciones:

    • Se puede implementar con Intune y permite al usuario establecer manualmente una conexión VPN desde la pantalla de inicio de sesión de Windows.

    • Establece automáticamente una conexión VPN según sea necesario.

La configuración de VPN específica que necesites depende del software y la autenticación de VPN que uses. En el caso de las soluciones VPN que no son de Microsoft, esta configuración suele implicar la implementación de una aplicación Win32 mediante las extensiones de administración de Intune. Esta aplicación incluye el software cliente de VPN y cualquier información de conexión específica, como los nombres de host del punto de conexión VPN. Para obtener detalles de configuración específicos de ese proveedor, consulte la documentación del proveedor de VPN.

Nota:

Los requisitos de VPN no son específicos de Windows Autopilot. Por ejemplo, si implementas una configuración de VPN para habilitar el restablecimiento remoto de contraseñas, puedes usar esa misma configuración con Windows Autopilot. Esta configuración permite a un usuario iniciar sesión en Windows con una nueva contraseña cuando no se encuentra en la red de la organización. Después de que el usuario inicie sesión y sus credenciales se almacenen en caché, los intentos de inicio de sesión posteriores no necesitan conectividad, ya que Windows usa las credenciales almacenadas en caché.

Si el software VPN requiere autenticación de certificado, use Intune para implementar también el certificado de dispositivo necesario. Puede implementar este certificado mediante las funcionalidades de inscripción de certificados de Intune y destinar los perfiles de certificado al dispositivo.

Algunas configuraciones no se admiten porque no se aplican hasta que el usuario inicia sesión en Windows:

  • Certificados de usuario
  • Complementos VPN para UWP que no son de Microsoft de la Tienda Windows

Validation

Antes de intentar una combinación híbrida de Microsoft Entra mediante VPN, confirme que el modo controlado por el usuario para el proceso de unión híbrida de Microsoft Entra funciona en la red interna. Esta prueba simplifica la solución de problemas al garantizar que el proceso principal funciona antes de agregar la configuración de VPN.

A continuación, confirme que puede usar Intune para implementar la configuración de VPN y sus requisitos. Pruebe estos componentes con un dispositivo existente que ya esté unido a la solución híbrida de Microsoft Entra. Por ejemplo, algunos clientes VPN crean una conexión VPN por equipo como parte del proceso de instalación. Valide la configuración mediante los siguientes pasos:

  1. Compruebe que ha creado al menos una conexión VPN por equipo.

    Get-VpnConnection -AllUserConnection

  2. Intenta iniciar manualmente la conexión VPN.

    RASDIAL.EXE "ConnectionName"

  3. Cerrar sesión en Windows. Comprueba que el icono de conexión VPN aparezca en la página de inicio de sesión de Windows.

  4. Quite el dispositivo de la red interna e intente establecer la conexión mediante el icono de la página de inicio de sesión de Windows. Inicie sesión en una cuenta que no tenga credenciales almacenadas en caché.

En el caso de las configuraciones de VPN que se conectan automáticamente, los pasos de validación pueden ser diferentes.

Nota:

Puedes usar una VPN siempre activa para este escenario. Para obtener más información, consulte Implementar VPN siempre activa.

Pasos siguientes

Contenido relacionado

  • Se actualizó por última vez el