Enrolar un Android con perfil de trabajo en Intune

Qué vas a conseguir

Un móvil Android personal o corporativo con un perfil de trabajo: un contenedor separado donde viven el correo, Teams y las aplicaciones de la empresa, con sus políticas, sin tocar las fotos ni las apps personales del usuario. Es el modelo más habitual para "trae tu propio móvil" y el más fácil de dar soporte.

Antes de empezar

• El usuario tiene licencia que incluye Intune y cuenta en Entra ID.
• En Intune, Inscripción de Android → Perfil de trabajo de propiedad personal está permitido para su grupo (si no, el Portal de empresa dirá que el dispositivo no se puede inscribir).
• El móvil tiene Android 8 o superior, Google Play y espacio libre. Los teléfonos sin servicios de Google (algunos modelos chinos) no pueden crear perfil de trabajo.
• Si usáis Conditional Access, el usuario verá "necesitas registrar el dispositivo" al abrir Outlook o Teams: es el camino esperado, no un error.

1. Lo que hace el usuario

Mándale estos pasos tal cual. Son cinco minutos.

Al terminar, Android muestra una pestaña Trabajo en el cajón de aplicaciones, y las apps de trabajo llevan un maletín pequeño en el icono. Outlook, Teams y Authenticator aparecen allí solas si están asignadas como obligatorias.

Si el usuario ya tenía Outlook instalado en la parte personal, que lo deje: el de trabajo es otra copia y la cuenta corporativa solo entra en esa.

2. Comprueba en Intune

Si aparece No conforme, entra en el dispositivo → Cumplimiento del dispositivo y mira qué regla falla. Las habituales: versión de Android por debajo del mínimo, sin bloqueo de pantalla, o el dispositivo está rooteado. La política de cumplimiento te lo dice y el Portal de empresa se lo dice al usuario con el mismo texto.

3. Las aplicaciones no llegan

La causa más común es la espera: Google Play administrado tarda unos minutos en instalar en el perfil de trabajo. Si pasan más de 15:

1. En el móvil: Portal de empresa → Dispositivos → el móvil → Comprobar estado. Eso fuerza un check-in.
2. En Intune: Aplicaciones → Android → la app → Estado de instalación del dispositivo. Si pone "No aplicable", el grupo asignado no incluye al usuario o la app está asignada como disponible y no obligatoria.
3. Si la app es de Google Play administrado, comprueba que está aprobada en Google Play administrado y sincronizada con Intune (Aplicaciones → Google Play administrado → Sincronizar).

4. Retirar el perfil (baja o cambio de móvil)

Desde Intune, Retirar borra solo el perfil de trabajo: correo, apps y datos de empresa. Las fotos y las apps personales no se tocan. Desde el móvil, el usuario puede hacerlo en Ajustes → Cuentas → Quitar perfil de trabajo. Apunta en el ticket la fecha y desde dónde se retiró.

Borrar (wipe) devuelve el móvil a fábrica y solo tiene sentido en dispositivos corporativos. En un móvil personal, retira, no borres.

Siguientes pasos

• Para móviles corporativos sin uso personal, mira el modo dispositivo dedicado o totalmente administrado con Zero-touch.
• Las políticas de protección de aplicaciones (APP/MAM) permiten proteger Outlook y Teams sin inscribir el dispositivo. Es la alternativa cuando el usuario no quiere perfil de trabajo.
• Un filtro de dispositivos por fabricante y versión de Android evita sorpresas con modelos sin servicios de Google.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.