Cómo bloquear dispositivos Windows Home para que no se registren en Intune

Un problema común con la inscripción de Intune es que, una vez que habilita la inscripción de usuarios, nada impide que sus usuarios inscriban cualquier dispositivo en su entorno de forma predeterminada. Por supuesto, puedes evitar que dispositivos no autorizados o no compatibles accedan a recursos mediante el acceso condicional, pero esto no impide que se registren en primer lugar.

En este tutorial, le mostraré cómo puede usar filtros de dispositivos para evitar que los dispositivos Windows Home y otras versiones de Windows se registren en Intune.

Requisitos previos

Para completar las tareas de este tutorial, debe tener asignado el rol de administrador de Intune a su usuario administrador. También puede crear asignaciones de roles personalizadas para limitar las tareas que pueden realizar sus usuarios administradores; consulte: Cómo crear asignaciones de roles personalizadas de Intune.

También debe asegurarse de que todos sus usuarios tengan asignada una licencia de Intune; los siguientes SKU de licencia incluyen Microsoft Intune:

• Microsoft 365E5
• Microsoft 365E3
• Movilidad empresarial + seguridad E5
• Movilidad empresarial + seguridad E3
• Microsoft 365 Empresa Premium
• Microsoft 365 F1
• Microsoft 365 F3
• Microsoft 365 Gobierno G5
• Microsoft 365 Gobierno G3
• Intune para la educación

Cree un filtro de dispositivo para apuntar a Windows Home

Un filtro de dispositivo es una regla o un conjunto de reglas que se aplican a los dispositivos dentro de Intune. Pueden ser usuarios al asignar políticas, aplicaciones y perfiles para apuntar dinámicamente a un dispositivo en función de un atributo específico. Dependiendo de la lógica que aplique al crear políticas, puede incluir o excluir dispositivos según su filtro, de los cuales existen varias plataformas y propiedades compatibles.

Plataformas compatibles

Se admiten las siguientes plataformas al crear un filtro de dispositivo:

• Windows 10 y posteriores
• iOS/iPadOS
• Administrador de dispositivos Andrion
• Mac OS
• Empresa Android

Propiedades del dispositivo de soporte

Hay varias propiedades admitidas a las que puede dirigirse al crear un filtro de dispositivo, entre las que se incluyen:

• Nombre del dispositivo (nombre del dispositivo)
• fabricante (Fabricante)
• modelo (modelo)
• Categoría de dispositivo (deviceCategory)
• Versión del sistema operativo (osVersion)
• Propiedad (propiedad del dispositivo)
• Nombre del perfil de inscripción (enrollmentProfileName)
• SKU del sistema operativo (operatingSystemSKU)

Cree un filtro de dispositivo dirigido a Windows Home

Veamos cómo crear un filtro de dispositivo dirigido a dispositivos Windows Home.

1. Comience iniciando sesión en Microsoft Intune en https://endpoint.microsoft.com/ o https://intune.microsoft.com/

2. Seleccione Administración de inquilinos en el menú de la izquierda.

3. Seleccione Filtros.

4. Haga clic en Crear para iniciar el asistente de creación de nuevos filtros.

5. Comience ingresando un nombre significativo para el filtro y seleccionando el tipo de plataforma Windows 10 y posterior, luego haga clic en Siguiente.

6. En la pestaña de reglas, seleccione las siguientes opciones:

• Propiedad: Sistema OperativoSKU
• Operador: Contiene
• Valor: Básico

Esto creará la siguiente sintaxis de regla para apuntar a todos los dispositivos donde el SKU del sistema operativo incluya la palabra Core (equivalente a Inicio). (device.operatingSystemSKU -contiene “Núcleo”)

Si no está seguro del SKU específico de su dispositivo, puede ejecutar el siguiente comando para generar el ID usando PowerShell:

Get-WmiObject -Class Win32_OperatingSystem |select operatingsystemSKU

Su resultado será similar al siguiente y le proporcionará un valor numérico:

Una vez que tenga el valor de su sistema operativo, use la siguiente tabla para buscar qué versión de Windows está ejecutando y cuál es el valor admitido para incluir en su regla.

BusinessN

Windows 10/11 Profesional N (49)

CloudEdition

Edición en la nube (Windows 11 SE (203)

CloudEditionN

CloudEditionN (Windows 11 SE N (202)

Core

Windows 10/11 Inicio (10/111)

CoreCountrySpecific

Windows 10/11 Inicio China (99)

CoreN

Windows 10/11 Inicio N (98)

CoreSingleLanguage

Windows 10/11 Home un solo idioma (100)

Education

Windows 10/11 Educación (121)

EducationN

Windows 10/11 Educación (122)

Enterprise

Windows 10/11 Empresarial (4)

EnterpriseEval

Evaluación empresarial de Windows 10/11 (72)

EnterpriseG

Windows 10/11 Empresa G (171)

EnterpriseGN

Windows 10/11 Enterprise G N (172)

EnterpriseN

Windows 10/11 Empresa N (27)

EnterpriseNEval

Evaluación de Windows 10/11 Enterprise N (84)

EnterpriseS

Windows 10 Empresa LTSC (125)

EnterpriseSEval

Evaluación de Windows 10 Enterprise LTSC (129)

EnterpriseSN

Windows 10 Empresa LTSC N (162)

Holographic

Windows 10 holográfico (136)

IoTUAP

Núcleo de IoT de Windows 10 (123)

IoTUAPCommercial

Comercial de Windows 10 IoT Core (131)

IoTEnterprise

Windows 10/11 IoT empresarial (188)

PPIPro

Windows 10 TeamOS (119)

Professional

Windows 10/11 Profesional (48)

ProfessionalEducation

Educación profesional de Windows 10/11 (164)

ProfessionalEducationN

Windows 10/11 Educación Profesional N (165)

ProfessionalWorkstation

Windows 10/11 Professional para estación de trabajo (161)

ProfessionalN

Windows 10/11 Professional para estación de trabajo N (162)

ProfessionalSingleLanguage

Idioma único profesional de Windows 10/11 (138)

ServerRdsh

Windows 10/11 Enterprise multisesión (175)

7. Una vez que haya completado sus Reglas, haga clic en Siguiente y en la página final haga clic en Crear.

Crear las restricciones de la plataforma de inscripción de dispositivos

Ahora que hemos creado nuestro filtro de dispositivo, necesitamos crear algunas restricciones de inscripción de dispositivos y aplicar algo de lógica. La idea detrás de las restricciones es que si el dispositivo no coincide con la asignación del primer perfil, se aplicarán al segundo. El primer perfil permitirá la inscripción y el segundo (o el predeterminado en la mayoría de los escenarios) bloqueará la inscripción.

1. Comience iniciando sesión en Microsoft Intune y seleccionando Dispositivos, luego Restricciones de plataforma de dispositivo de inscripción.

2. Abra la pestaña Restricciones de Windows y seleccione Crear restricción.

3. Introduzca un nombre significativo y haga clic en Siguiente.

4. En la página de configuración de la plataforma, establezca las opciones MDM y Dispositivos de propiedad personal en Permitir y luego haga clic en Siguiente.

5. En la página Etiquetas de alcance, defina las etiquetas de alcance que necesite si está utilizando RBAC para controlar el acceso de administrador a los recursos y luego haga clic en Siguiente.

6. Haga clic en Agregar todos los usuarios en la pestaña de asignaciones.

7. Haga clic en Siguiente y luego en Crear. Esto creará la política; sin embargo, ahora necesitamos editar la política y aplicar el filtro.

8. Haga clic en la nueva política que creó, luego haga clic en Propiedades y luego en Editar junto a las asignaciones.

7. Junto a Todos los usuarios, debajo de los grupos que se dirigen al lado derecho, seleccione Editar filtro.

8. La idea en este paso es excluir los dispositivos filtrados; sin embargo, la opción Excluir falta en la lista de comportamientos. Para resolver esto, podemos usar la herramienta Explorador de Microsoft Graph para exponer y aplicar la configuración necesaria.

Haga clic en Incluir dispositivos filtrados en la tarea y seleccione el filtro que creó, luego haga clic en Siguiente y Revisar + guardar.

9. Antes de hacer clic en el botón de guardar final, abriremos las herramientas de desarrollador de su página web para robar la URL de solicitud y el cuerpo de la solicitud de Microsoft Graph. Haga clic derecho en la página y haga clic en Inspeccionar.

10. Una vez que las herramientas de desarrollo estén abiertas, se verá como la captura de pantalla siguiente. Seleccione la pestaña Red .

11. Mientras las herramientas para desarrolladores estén abiertas, haga clic en Guardar en los pasos finales del asistente de restricción del perfil de inscripción.

12. En la pestaña Red, ahora verá aparecer algunas solicitudes de red debajo del encabezado del nombre. Seleccione asignar de la lista, luego haga clic en Encabezados y copie la URL de solicitud. Guarde esto en algún lugar para usarlo en breve.

13. Ahora seleccione la pestaña Carga útil y haga clic derecho y copie la carga útil de la solicitud como la que se muestra a continuación, también guárdela en algún lugar para usarla a continuación.< /lapso>

14. Ahora, en una nueva pestaña del navegador, abra la herramienta Microsoft Graph Explorer en https://developer.microsoft.com/en-us/graph/graph-explorer.

15. Haga clic en el icono de perfil e inicie sesión como su administrador de inquilinos de Microsoft 365.

16. Copie y pegue el encabezado de solicitud en el cuadro de texto de la URL de solicitud y cambie el método a POST.

17. Ahora haga clic en la pestaña Modificar permisos y acepte todos los permisos enumerados.

18. Ahora seleccione la pestaña Cuerpo de la solicitud y pegue la carga útil de la solicitud que copiamos anteriormente.

19. Cambie el tipo de filtro de dispositivo en el cuerpo de la solicitud de incluir a excluir. Su solicitud ahora se verá como la siguiente.

19. Haga clic en Ejecutar ahora en la parte superior derecha y debería ver una respuesta exitosa pero vacía.

20. Si ahora regresa a las propiedades de su nuevo perfil de restricción de inscripción en el portal de Intune, el modo de filtro ahora se mostrará como Excluir.

Configuración de la política predeterminada para bloquear dispositivos personales

Una vez que se haya creado su política personalizada, de manera predeterminada, cuando los dispositivos Windows Home omitan la nueva política debido al filtro de exclusión, se adherirán a la política predeterminada.

Esto significa que para garantizar que estén bloqueados, debemos impedir que los dispositivos personales se inscriban en la política predeterminada.

1. En la página Restricciones de plataforma de dispositivos de inscripción, seleccione Todos los usuarios junto a la política de prioridad predeterminada.

2. Seleccione Propiedades y luego Editar junto a la configuración de la plataforma.

3. Asegúrese de que la inscripción personal esté configurada en bloquear. Luego haga clic en Revisar + guardar y luego en Guardar.

La experiencia del usuario final

Desde la perspectiva del usuario, cuando abra su configuración e intente inscribirse o intente inscribirse manualmente utilizando la aplicación del portal de la empresa, será bloqueado.

Una vez que ingresen los datos de inicio de sesión de su empresa, el dispositivo será evaluado y recibirán el siguiente error: