Intune en Windows, macOS, iOS y Android: perfiles de configuración, cumplimiento y un dispositivo que no cumple

Qué vas a conseguir

Que un dispositivo de cualquier plataforma, al enrolarse (guías de Android, iPhone y Windows del Nivel 1, Jamf aparte), reciba su cumplimiento y su configuración sin que nadie lo asigne a mano, y que Conditional Access (guía anterior) pueda confiar en el estado Conforme. Y el procedimiento de siete minutos para un dispositivo No conforme.

Antes de empezar

• Rol Intune Administrator y, para el enrolamiento de Apple, el certificado APNs y el token de Apple Business Manager ya configurados (Dispositivos → Inscripción).
• Grupos de Entra ID: uno de usuarios por tipo (sg-intune-users-standard, sg-intune-users-vip) y los grupos dinámicos de dispositivos o los filtros que separan plataformas.
• Un dispositivo de prueba por plataforma, enrolado con un usuario que no sea tú.

1. Grupos y filtros: la base

Crea cuatro filtros (f-windows-corp, f-macos-corp, f-ios-corp, f-android-corp) y asigna todo a Todos los usuarios o a sg-intune-users-* con el filtro de plataforma. Es más rápido y más claro que un grupo dinámico de dispositivos por cada combinación, y los filtros se evalúan en el momento del check-in, no cada media hora.

2. Una política de cumplimiento por plataforma

Las otras tres con el mismo esqueleto: macOS (FileVault, firewall, versión mínima, integridad del sistema), iOS/iPadOS (código de acceso, sin jailbreak, versión mínima), Android Enterprise (código, sin root, nivel de parche de seguridad no anterior a X, Play Protect). La acción de "marcar inmediatamente" es la que alimenta Conditional Access; la gracia de un día con correo evita que un parche de madrugada bloquee a la gente a las 9:00.

Consejo: en Dispositivos → Cumplimiento → Configuración de la directiva de cumplimiento, deja Marcar dispositivos sin directiva de cumplimiento como: No conforme. Si no, un dispositivo al que no le llega ninguna política cuenta como conforme y entra.

3. El perfil de configuración con el catálogo de ajustes

El catálogo de configuración sustituye a las plantillas antiguas y, para macOS, a buena parte de los .mobileconfig manuales: es el mismo cuadro de búsqueda en las cuatro plataformas. Un perfil por tema (cifrado, bloqueo, Wi-Fi, certificados) es más fácil de diagnosticar que uno con cien ajustes. Para iOS y Android, el equivalente son las restricciones de dispositivo y, para Wi-Fi/VPN/certificados, sus plantillas propias (la guía de NDES usa una).

4. El dispositivo que no cumple

Siete minutos, en este orden:

1. Qué regla falla (la pantalla de arriba). No es "el equipo", es BitLocker.
2. Sincronizar desde el portal y, en el equipo, Configuración → Cuentas → Acceso a trabajo → Información → Sincronizar. Muchos "no conforme" son estado antiguo: el equipo lleva tres días apagado.
3. Si sigue, mira la causa en el equipo: en este caso manage-bde -status C: dice Protection Off porque se suspendió para una actualización de firmware y nadie la reanudó: manage-bde -protectors -enable C:.
4. Comprueba en el Visor de eventos Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin que el check-in llega sin errores 0x8018xxxx.
5. Vuelve a sincronizar y espera al siguiente ciclo (hasta 8 horas; Sincronizar lo adelanta). Ya en Conforme, Conditional Access deja pasar.

Para macOS, sudo profiles list y el Portal de empresa → Comprobar estado; para iOS/Android, el mismo botón en el Portal de empresa y, si no hay check-in desde hace días, el dispositivo está apagado, sin red o el usuario quitó la app.

5. Lo que revisas cada mes

• Informes → Cumplimiento del dispositivo: no conformes por regla, no por dispositivo. Si el 30 % falla por versión mínima, el problema es el anillo de actualizaciones, no 60 tickets.
• Dispositivos sin check-in en 30 días: retirar o investigar (Todos los dispositivos → filtro Último check-in).
• Perfiles con Error o Conflicto en Configuración → la directiva → Estado del dispositivo: dos perfiles que fijan el mismo ajuste con valores distintos.
• Que las versiones mínimas de las políticas de cumplimiento se han subido tras el martes de parches, con el día de gracia por delante.

Siguientes pasos

• Autopilot (Windows) y ADE (Apple): que el dispositivo salga de la caja y termine en este estado sin pasar por IT; la guía de MECM del Nivel 2 explica el camino intermedio con co-administración.
• Líneas base de seguridad (Seguridad de los puntos de conexión → Líneas base) para no inventar la configuración desde cero; compara con tu perfil antes de aplicarla.
• La guía de Intune EPM quita el administrador local a los usuarios una vez que el cumplimiento y la configuración están estables.

¿Quieres practicarlo? Resuelve el ticket «'Tu dispositivo no cumple los requisitos'» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.