- Automatización del despliegue de Windows 10 y 11 mediante la integración de Microsoft Intune y Azure AD.
- Uso de reglas dinámicas basadas en atributos físicos y etiquetas de grupo para organizar equipos.
- Personalización de la experiencia de usuario y asignación de aplicaciones según el perfil del dispositivo.
Montar un entorno de trabajo moderno ya no implica pasar horas configurando cada ordenador a mano, algo que sinceramente es un dolor de cabeza para cualquier administrador. Gracias a Windows Autopilot, podemos automatizar todo el proceso de despliegue de Windows 10 y 11, haciendo que los equipos lleguen directamente al usuario final ya configurados y listos para dar caña desde el primer minuto.
Esta tecnología no es solo una herramienta de instalación, sino un ecosistema que se apoya en Microsoft Intune y Microsoft Entra ID para gestionar la seguridad, las aplicaciones y las políticas de empresa. En este sentido, la clave para que todo funcione como un reloj suizo reside en saber organizar los dispositivos en grupos, permitiendo que cada perfil reciba exactamente lo que necesita sin que nosotros tengamos que mover un dedo.
Cómo crear grupos de dispositivos en Intune
Para empezar a organizar tus equipos, lo primero es entrar en el Centro de administración de Microsoft Intune y dirigirse a la sección de Grupos para generar uno nuevo. Al configurar las propiedades, es fundamental elegir el tipo de grupo de Seguridad y asegurarse de que no se asignen roles de Microsoft Entra para evitar conflictos de permisos.
El punto donde la magia ocurre es en el tipo de suscripción, donde debemos marcar la opción de Dispositivo dinámico. Esto permite que los equipos se unan al grupo automáticamente si cumplen ciertas condiciones, evitando así el tedioso trabajo de añadirlos uno a uno. Para definir quién entra en el grupo, utilizamos expresiones basadas en los atributos del dispositivo:
- Si quieres meter absolutamente todos los equipos de Autopilot, la regla es:
(device.devicePhysicalIDs -any (_ -startsWith "[ZTDid]")). - Para filtrar por una etiqueta de grupo específica (que se mapea en el atributo OrderID), usa:
(device.devicePhysicalIds -any (_ -eq "[OrderID]:tu_codigo")). - Si necesitas agrupar por un ID de pedido de compra concreto, la expresión sería:
(device.devicePhysicalIds -any (_ -eq "[PurchaseOrderId]:tu_id")).
Una vez guardadas estas expresiones y creado el grupo, el sistema se encarga de rastrear los dispositivos y meterlos en la lista sin que tengamos que intervenir manualmente.
Asignación de usuarios y gestión de dispositivos
A veces no basta con que el equipo esté en un grupo; necesitamos que esté vinculado a una persona concreta. Podemos asignar un usuario con licencia a un dispositivo específico desde la sección de inscripción de Windows Autopilot. Esto es especialmente útil porque, en fabricantes compatibles, el usuario verá su nombre y correo ya escritos en la pantalla de bienvenida, lo que hace que la experiencia sea mucho más profesional y fluida.
Para hacer esto, navegamos por Dispositivos > Windows > Inscripción y seleccionamos el equipo deseado para ejecutar la opción de asignar usuario. Solo hay que elegir la cuenta de Microsoft Entra ID correspondiente y guardar los cambios. Cabe mencionar que, si alguien no quiere usar Intune como MDM, existen otros portales, aunque lo más recomendable es centralizar todo en Intune para no perder la sincronización de perfiles ni el control de las asignaciones.
Estrategias para equipos compartidos y licencias de Office
Un reto común es diferenciar entre laptops personales y PCs compartidas, sobre todo al gestionar el licenciamiento de Microsoft 365 Apps. Si mezclamos todo en un solo grupo por departamento, corremos el riesgo de que la activación de Office no sea la correcta. Una estrategia viable es usar etiquetas de grupo diferenciadas por departamento y tipo de dispositivo, aunque esto aumente el número de grupos a gestionar.
Otra alternativa es desplegar las aplicaciones de Office con licencia basada en el dispositivo para todo el mundo inicialmente, y posteriormente lanzar un script o política que cambie la activación a base de usuario en los equipos individuales. Respecto a los perfiles de despliegue, se puede optar por uno general para simplificar, pero crear perfiles específicos según el uso del equipo garantiza que la configuración del OOBE (Out-of-Box Experience) sea la idónea para cada escenario.
Preparación de dispositivos y despliegue de software
Cuando hablamos de la preparación de dispositivos controlada por el usuario, tenemos la posibilidad de preinstalar software crítico antes de que el empleado inicie sesión. Intune permite meter hasta 25 aplicaciones administradas y 10 scripts de PowerShell en este proceso de configuración rápida.
Es vital que estas aplicaciones se configuren para instalarse en el contexto del sistema, ya que en ese momento no hay ningún usuario autenticado en la máquina. El flujo es sencillo: seleccionamos la aplicación Win32 o LOB, vamos a sus propiedades y la asignamos como Requerida al grupo de seguridad que creamos para la preparación de dispositivos.
Con los scripts de PowerShell pasa lo mismo: se asignan al grupo de seguridad correspondiente desde el menú de Scripts y correcciones. Esto asegura que, cuando el equipo se encienda por primera vez, ejecute todas las tareas de fondo necesarias para que el usuario no tenga que esperar a que se instalen programas básicos una vez dentro del escritorio.
Autopilot para equipos ya existentes
No todos los dispositivos vienen configurados de fábrica. Para los equipos que ya están en la empresa, se utiliza un identificador de correlación dentro del archivo de configuración de Autopilot. Esto hace que el atributo enrollmentProfileName se asigne automáticamente, permitiendo crear grupos dinámicos basados en ese nombre de perfil.
Si activamos la opción de convertir todos los dispositivos de destino en Autopilot, el registro será automático, aunque hay que tener paciencia ya que el proceso puede tardar hasta 48 horas. Si en algún momento queremos dar de baja un equipo, no basta con quitarle el perfil; es obligatorio eliminar el dispositivo del registro de Windows Autopilot para que el proceso sea limpio.
La implementación de este sistema transforma la gestión de TI, eliminando el despliegue manual y reduciendo costes operativos. Al combinar el uso de reglas dinámicas, la asignación precisa de usuarios y la preinstalación de software en el contexto del sistema, las empresas logran un control total sobre su parque informático, asegurando que la seguridad y la productividad estén garantizadas desde el primer encendido del equipo.