Qué vas a conseguir
Que un dispositivo de cualquier plataforma, al enrolarse (guías de Android, iPhone y Windows del Nivel 1, Jamf aparte), reciba su cumplimiento y su configuración sin que nadie lo asigne a mano, y que Conditional Access (guía anterior) pueda confiar en el estado Conforme. Y el procedimiento de siete minutos para un dispositivo No conforme.
Antes de empezar
- Rol Intune Administrator y, para el enrolamiento de Apple, el certificado APNs y el token de Apple Business Manager ya configurados (
Dispositivos → Inscripción). - Grupos de Entra ID: uno de usuarios por tipo (
sg-intune-users-standard,sg-intune-users-vip) y los grupos dinámicos de dispositivos o los filtros que separan plataformas. - Un dispositivo de prueba por plataforma, enrolado con un usuario que no sea tú.
1. Grupos y filtros: la base
Crea cuatro filtros (f-windows-corp, f-macos-corp, f-ios-corp, f-android-corp) y asigna todo a Todos los usuarios o a sg-intune-users-* con el filtro de plataforma. Es más rápido y más claro que un grupo dinámico de dispositivos por cada combinación, y los filtros se evalúan en el momento del check-in, no cada media hora.
2. Una política de cumplimiento por plataforma
Las otras tres con el mismo esqueleto: macOS (FileVault, firewall, versión mínima, integridad del sistema), iOS/iPadOS (código de acceso, sin jailbreak, versión mínima), Android Enterprise (código, sin root, nivel de parche de seguridad no anterior a X, Play Protect). La acción de "marcar inmediatamente" es la que alimenta Conditional Access; la gracia de un día con correo evita que un parche de madrugada bloquee a la gente a las 9:00.
Consejo: en Dispositivos → Cumplimiento → Configuración de la directiva de cumplimiento, deja Marcar dispositivos sin directiva de cumplimiento como: No conforme. Si no, un dispositivo al que no le llega ninguna política cuenta como conforme y entra.
3. El perfil de configuración con el catálogo de ajustes
El catálogo de configuración sustituye a las plantillas antiguas y, para macOS, a buena parte de los .mobileconfig manuales: es el mismo cuadro de búsqueda en las cuatro plataformas. Un perfil por tema (cifrado, bloqueo, Wi-Fi, certificados) es más fácil de diagnosticar que uno con cien ajustes. Para iOS y Android, el equivalente son las restricciones de dispositivo y, para Wi-Fi/VPN/certificados, sus plantillas propias (la guía de NDES usa una).
4. El dispositivo que no cumple
Siete minutos, en este orden:
- Qué regla falla (la pantalla de arriba). No es "el equipo", es BitLocker.
- Sincronizar desde el portal y, en el equipo,
Configuración → Cuentas → Acceso a trabajo → Información → Sincronizar. Muchos "no conforme" son estado antiguo: el equipo lleva tres días apagado. - Si sigue, mira la causa en el equipo: en este caso
manage-bde -status C:diceProtection Offporque se suspendió para una actualización de firmware y nadie la reanudó:manage-bde -protectors -enable C:. - Comprueba en el Visor de eventos
Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Adminque el check-in llega sin errores 0x8018xxxx. - Vuelve a sincronizar y espera al siguiente ciclo (hasta 8 horas;
Sincronizarlo adelanta). Ya en Conforme, Conditional Access deja pasar.
Para macOS, sudo profiles list y el Portal de empresa → Comprobar estado; para iOS/Android, el mismo botón en el Portal de empresa y, si no hay check-in desde hace días, el dispositivo está apagado, sin red o el usuario quitó la app.
5. Lo que revisas cada mes
- Informes → Cumplimiento del dispositivo: no conformes por regla, no por dispositivo. Si el 30 % falla por versión mínima, el problema es el anillo de actualizaciones, no 60 tickets.
- Dispositivos sin check-in en 30 días: retirar o investigar (
Todos los dispositivos → filtro Último check-in). - Perfiles con Error o Conflicto en
Configuración → la directiva → Estado del dispositivo: dos perfiles que fijan el mismo ajuste con valores distintos. - Que las versiones mínimas de las políticas de cumplimiento se han subido tras el martes de parches, con el día de gracia por delante.
Siguientes pasos
- Autopilot (Windows) y ADE (Apple): que el dispositivo salga de la caja y termine en este estado sin pasar por IT; la guía de MECM del Nivel 2 explica el camino intermedio con co-administración.
- Líneas base de seguridad (
Seguridad de los puntos de conexión → Líneas base) para no inventar la configuración desde cero; compara con tu perfil antes de aplicarla. - La guía de Intune EPM quita el administrador local a los usuarios una vez que el cumplimiento y la configuración están estables.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A device on any platform that, once enrolled (Level 1 Android, iPhone and Windows guides; Jamf aside), receives its compliance and configuration without anyone assigning it by hand, so that Conditional Access (previous guide) can trust the Compliant state. Plus the seven-minute procedure for a device that is Not compliant.
Before you start
- The Intune Administrator role and, for Apple enrolment, the APNs certificate and the Apple Business Manager token already configured (
Devices → Enrollment). - Entra ID groups: one of users per type (
sg-intune-users-standard,sg-intune-users-vip) and the dynamic device groups or filters that separate platforms. - One test device per platform, enrolled with a user who is not you.
1. Groups and filters: the foundation
Create four filters (f-windows-corp, f-macos-corp, f-ios-corp, f-android-corp) and assign everything to All users or to sg-intune-users-* with the platform filter. It is faster and clearer than one dynamic device group per combination, and filters are evaluated at check-in time, not every half hour.
2. One compliance policy per platform
The other three with the same skeleton: macOS (FileVault, firewall, minimum version, system integrity), iOS/iPadOS (passcode, no jailbreak, minimum version), Android Enterprise (passcode, no root, security patch level not before X, Play Protect). The "mark immediately" action is what feeds Conditional Access; the one-day grace with an email stops a late-night patch from locking people out at 9:00.
Tip: in Devices → Compliance → Compliance policy settings, keep Mark devices with no compliance policy assigned as: Not compliant. Otherwise a device that receives no policy counts as compliant and gets in.
3. The configuration profile with the Settings Catalog
The Settings Catalog replaces the old templates and, for macOS, a good part of the manual .mobileconfig files: it is the same search box across all four platforms. One profile per topic (encryption, lock, Wi-Fi, certificates) is easier to diagnose than one with a hundred settings. For iOS and Android, the equivalent is device restrictions and, for Wi-Fi/VPN/certificates, their own templates (the NDES guide uses one).
4. The device that is non-compliant
Seven minutes, in this order:
- Which rule fails (the screen above). It is not "the laptop", it is BitLocker.
- Sync from the portal and, on the device,
Settings → Accounts → Access work or school → Info → Sync. Many "not compliant" are stale state: the laptop was off for three days. - If it persists, look at the cause on the device: here
manage-bde -status C:saysProtection Offbecause it was suspended for a firmware update and nobody resumed it:manage-bde -protectors -enable C:. - Check in Event Viewer
Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Adminthat check-in arrives without 0x8018xxxx errors. - Sync again and wait for the next cycle (up to 8 hours;
Syncbrings it forward). Once Compliant, Conditional Access lets it through.
For macOS, sudo profiles list and Company Portal → Check status; for iOS/Android, the same button in Company Portal and, if there has been no check-in for days, the device is off, offline or the user removed the app.
5. What you review each month
- Reports → Device compliance: non-compliant by rule, not by device. If 30% fail on minimum version, the problem is the update ring, not 60 tickets.
- Devices with no check-in in 30 days: retire or investigate (
All devices → Last check-in filter). - Profiles with Error or Conflict in
Configuration → the policy → Device status: two profiles setting the same value differently. - That the minimum versions in the compliance policies were raised after Patch Tuesday, with the grace day ahead.
Next steps
- Autopilot (Windows) and ADE (Apple): the device comes out of the box and ends up in this state without passing through IT; the Level 2 MECM guide explains the intermediate path with co-management.
- Security baselines (
Endpoint security → Baselines) so you don't invent the configuration from scratch; compare with your profile before applying. - The Intune EPM guide removes local admin from users once compliance and configuration are stable.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →