Windows Autopilot permite que un nuevo dispositivo Windows reciba tus aplicaciones, configuraciones y políticas de seguridad de la empresa en el momento en que el empleado inicia sesión con su cuenta de Microsoft. Utilízalo cuando desees que las laptops con Windows lleguen listas para configurarse solas, sin necesidad de configuración manual por parte de TI.

Funcionalidad

Descripción general

Antes de comenzar, verifica que tengas:

• Una cuenta de Microsoft con el rol de Administrador Global en tu inquilino de Entra.
• Una licencia que cubra tanto Microsoft Entra ID Plan 1 (o Plan 2) como Windows Autopilot. La licencia más económica que incluye ambos es Enterprise Mobility + Security E3 (compara planes).
• Tu dirección MDM, {company}.mdm.getprimo.com, y en particular su subdominio {company}. Si no lo conoces, escribe a support@factorial.it.

Cosas que debes saber sobre cómo se comportan los dispositivos Autopilot:

• Utilizan cuentas de Entra, no cuentas locales. Microsoft está eliminando gradualmente las cuentas locales a favor de Entra.
• Tu administrador de Entra decide si los empleados obtienen derechos estándar o de administrador. Cualquiera con el rol de Administrador Global en Entra se convierte en administrador en cada dispositivo Autopilot al que inicie sesión.
• El dispositivo debe estar en línea en el primer arranque para que pueda autenticarse con Entra.

Cómo usar 

Configurar cero toques

La configuración tiene cinco pasos. Los primeros tres coinciden con los tres pasos de la ventana Agregar Windows Autopilot en la consola. Para abrirla, ve a MDM > Configuración, haz clic en Windows bajo Plataformas, luego haz clic en Agregar bajo Windows Autopilot. Si ya comenzaste, haz clic en Finalizar configuración en su lugar. Trabaja en orden: cada paso desbloquea el siguiente. Los pasos 4 y 5 ocurren después, solo en las consolas de Microsoft.

El paso 3 necesita tres valores de Entra: tu ID de inquilino, el ID de aplicación (cliente) de la aplicación Fleet y el Dominio principal que utilizan tus empleados para iniciar sesión. Los recopilas mientras avanzas y los pegas en la consola tú mismo. Lo único que envías al soporte es el código de verificación de dominio en el paso 2.

Paso 1. Conectar Microsoft Entra.

Necesitas un usuario de Entra con el rol de Administrador Global, además de permiso para gestionar SaaS en Factorial IT. No registras ninguna aplicación tú mismo: das consentimiento a una aplicación que ya existe en el directorio de Microsoft.

Los dispositivos Autopilot inician sesión con credenciales de Entra en lugar de nombres de usuario y contraseñas separados, así que Entra es lo primero. Los pasos 2 y 3 permanecen bloqueados hasta que esta conexión esté activa.

1. Abre la ventana Agregar Windows Autopilot desde MDM > Configuración > Windows.
2. En el paso 1, haz clic en Conectar Microsoft Entra.
3. Inicia sesión con tu cuenta de Administrador Global y acepta los permisos en la pantalla de consentimiento de Microsoft. Las cuentas sin ese rol no pueden otorgarlos.
4. Regresas a la configuración de Windows Autopilot. El paso 1 ahora muestra Conectado a seguido de tu instancia de Entra, y el paso 2 se abre.

Si Entra ya está conectado bajo SaaS, el paso 1 lo lista. Haz clic en Usar este junto a la instancia que deseas, o Conectar otra.

Conectar aquí añade Microsoft Entra a tu SaaS conectado sin costo adicional. Factorial IT solo lee tus usuarios y grupos de Entra. No crea ninguna regla y no convierte a Entra en tu proveedor de correo electrónico. Establecer Entra como proveedor de correo electrónico es una opción separada: crea la dirección de correo electrónico laboral de cada nuevo empleado durante la incorporación. Lee "Conectar tu proveedor de correo electrónico" antes de cambiarlo.

Si la conexión falla o la cancelas, aparece un error sobre el botón en el paso 1. Asegúrate de haber iniciado sesión como Administrador Global, luego intenta de nuevo.

Paso 2. Declarar el dominio Fleet.

El dominio Fleet es tu dirección MDM, {company}.mdm.getprimo.com. No es el dominio de correo electrónico de tu empresa; ese se utiliza en el paso 3.

Este paso necesita soporte. Microsoft te da un código de verificación, y solo el equipo de soporte puede agregarlo al DNS. Permite hasta 2 días hábiles una vez que lo hayas enviado.

1. Inicia sesión en Microsoft Azure como administrador.
2. Abre Nombres de dominio y haz clic en + Agregar dominio personalizado.
3. Escribe {company}.mdm.getprimo.com y haz clic en Agregar dominio.
4. Copiar la Dirección de destino o de enrutamiento (se ve como MS=ms12345678) y envíala a support@factorial.it.
5. Cuando el soporte confirme, haz clic en Verificar.

Paso 3. Conectar Azure y Fleet.

Dos de los tres valores en el paso 3 provienen de una aplicación Fleet que ahora creas en Entra. El tercero es el dominio con el que inician sesión tus empleados.

Crear la aplicación Fleet

1. Ve a Movilidad (MDM y WIP), haz clic en + Agregar aplicación > + Crear tu propia aplicación, nómbrala Fleet (esta guía usa ese nombre en todo momento) y haz clic en Crear.
2. Ingresa las dos URL de MDM, reemplazando {company} por tu subdominio, y luego haz clic en Guardar:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Haz clic en Configuraciones de aplicación MDM personalizadas, luego en el enlace bajo URI de ID de aplicación, luego en Editar. Ingresa https://{company}.mdm.getprimo.com y haz clic en Guardar.
4. Desde el menú de la izquierda, abre Permisos de API > + Agregar un permiso > Microsoft Graph. Agrega estos bajo Permisos delegados:

   Group.Read.All
   Group.ReadWrite.All

5. Agrega estos bajo Permisos de aplicación:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Haz clic en Otorgar consentimiento de administrador para {Tu Empresa}.

Hacer de Fleet el MDM predeterminado para nuevos dispositivos

1. Regresa a Movilidad (MDM y WIP).
2. Haz clic en Microsoft Intune, establece tanto alcance de usuario MDM como alcance de usuario WIP en Ninguno, y haz clic en Guardar.
3. Haz clic en Fleet, establece alcance de usuario MDM en Todos, y haz clic en Guardar.

Cualquier dispositivo ya inscrito a través de Intune antes de este cambio debe ser migrado por ti (consulta "Despliegue de agente silencioso", sección sobre migrar desde otro MDM). Si lo omites, esos dispositivos permanecerán medio configurados y los empleados lo notarán.

Pegar los valores de conexión en la consola

Factorial IT se autentica en tu inquilino con tres valores de Entra. Los escribes en el paso 3 de la ventana y se aplican automáticamente; nada se envía al soporte. Hasta que los tres se guarden, la consola muestra un banner de alerta de token y el cero toques de Windows no funciona completamente. Esto también se aplica a los inquilinos configurados antes de que existiera el paso 3.

En MDM > Configuración > Windows, haz clic en Finalizar configuración en tu configuración de Windows Autopilot, completa los tres campos del paso 3 y haz clic en Guardar.

Dos errores fáciles:

• Dominio significa el dominio de inicio de sesión de tus empleados (company.com), no el dominio MDM del paso 2.
• Ambos IDs son GUIDs y se parecen. Lee la etiqueta antes de pegar: el ID de inquilino apunta a tu inquilino de Entra, el ID de cliente a la aplicación Fleet.

Paso 4. Crear perfiles de implementación de Autopilot.

Un perfil de implementación establece los valores predeterminados para los dispositivos que llegan a través de Autopilot, por ejemplo, el tipo de cuenta (Administrador o Estándar), el país y el idioma del teclado predeterminados, y el patrón de nombramiento ({company}-%RAND:5% da {company}-23456). La documentación de perfiles de Microsoft tiene la lista completa.

1. Crear el perfil. En Microsoft Intune, abre Dispositivos > Inscripción > Perfiles de implementación, haz clic en + Crear perfil y pasa por las tres pantallas: nombre, modo de implementación, asignación.
2. Crear un grupo de dispositivos dinámico. En portal.azure.com, haz clic en + Crear grupo, dale un nombre como "Dispositivos Windows Autopilot", elige Dispositivos dinámicos y usa esta regla:

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Crear una Página de Estado de Inscripción. En Microsoft Intune, abre Dispositivos > Inscripción > Página de Estado de Inscripción, haz clic en + Crear, nómbrala, activa la visualización del progreso y asígnala a tu grupo dinámico.

Paso 5. Agregar la marca de tu empresa.

El logo que subas se mostrará en la pantalla de inicio de sesión de Autopilot junto al título ¡Bienvenido a {Tu Empresa}!. Verlo también es la prueba más rápida de que un dispositivo realmente pasó por Autopilot en el primer arranque.

1. Inicia sesión en Microsoft Azure, busca Marca de la empresa y haz clic en Configurar (o Editar si existe una experiencia de inicio de sesión predeterminada).
2. En la pestaña Formulario de inicio de sesión, sube tu logo tanto a Logo cuadrado (tema claro) como a Logo cuadrado (tema oscuro).
3. Haz clic en Revisar + guardar, luego en Guardar.

Registrar tus dispositivos en Autopilot

Un perfil de implementación solo alcanza a los dispositivos que están registrados en Autopilot. Registrar no es lo mismo que inscribir: vincula la identidad de hardware del dispositivo a tu inquilino de Entra, para que Windows lo reconozca en el primer arranque y comience el flujo de Autopilot.

Los dispositivos comprados a través de Factorial IT son registrados por los revendedores acreditados (consulta "Configurar implementación de cero toques en tu catálogo"). Los pasos a continuación son solo para dispositivos que compraste en otro lugar.

1. Exportar el hash de hardware. En el dispositivo, abre PowerShell como administrador y ejecuta:

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Obtienes un archivo CSV con el hash de hardware. Microsoft documenta otras formas de exportarlo.

2. Importar el CSV en Intune.

1. En Microsoft Intune, abre Dispositivos > Inscripción > Windows Autopilot > Dispositivos.
2. Haz clic en Importar y sube el CSV. Toma unos minutos; actualiza hasta que el dispositivo aparezca.
3. Verifica que el Estado del perfil diga Asignado. Si permanece en No asignado, revisa cómo se asigna tu perfil de implementación (paso 4).

Lo que ve el empleado

Cuando un nuevo empleado recibe un dispositivo registrado en Autopilot, él/ella:

1. Lo enciende.
2. Selecciona su país, idioma y diseño de teclado.
3. Se conecta a Internet.
4. Inicia sesión con sus credenciales de Microsoft, además de la autenticación multifactor si la tienes activada.
5. Establece un PIN y una huella digital si el hardware tiene un lector.
6. Comienza a trabajar. Las aplicaciones y controles que definiste en la consola se aplican por sí solos.

Probar la inscripción

Prueba todo el flujo en un dispositivo registrado antes de implementarlo para todos.

1. Restablece el dispositivo de prueba (Configuración > Sistema > Recuperación > Restablecer este PC) o reimáginalo.
2. Enciéndelo, elige país y teclado, y conéctate a Internet.
3. Verifica que la pantalla de inicio de sesión diga ¡Bienvenido a {Tu Empresa}! con tu logo. Eso prueba que el dispositivo pasó por Autopilot.
4. Inicia sesión con la cuenta de Entra de un empleado de prueba. Windows luego pide un PIN (Windows Hello) y una huella digital si es compatible.
5. Cuando aparece el escritorio, verifica que el dispositivo aparezca en Dispositivos en la consola y reciba tus aplicaciones y políticas.

Los dispositivos no registrados en Autopilot aún pueden inscribirse por su cuenta. Durante la configuración de Windows, elige Configurar para trabajo o escuela e inicia sesión con Entra. El dispositivo se inscribe en Factorial IT pero omite las pantallas de Autopilot con marca y la Página de Estado de Inscripción.

Restablecer o reasignar un dispositivo

Cuando un dispositivo se traslada a otra persona (desvinculación, reemplazo, reutilización), borra sus registros antiguos para que Autopilot lo trate como un nuevo dispositivo.

1. Bórralo. Envía un borrado remoto desde la consola, o restablece localmente desde Configuración > Sistema > Recuperación > Restablecer este PC.
2. Elimina el registro del dispositivo antiguo. No puedes eliminar un dispositivo inscrito, así que primero desvincúlalo con Acciones > Desvincular (o Marcar como desvinculado si está fuera de línea). Luego, en la página del dispositivo, haz clic en Acciones > Eliminar y confirma. La próxima inscripción comenzará con un registro limpio.
3. Limpia Entra. En Microsoft Azure, ve a Dispositivos > Todos los dispositivos y elimina el objeto obsoleto para el dispositivo borrado.
4. Sincroniza Autopilot. En Microsoft Intune, abre Dispositivos > Inscripción > Windows Autopilot > Dispositivos. Verifica que el dispositivo siga allí con Estado del perfil Asignado, haz clic en Sincronizar y espera hasta que termine. Nunca elimines el dispositivo de esta lista: el registro debe sobrevivir al borrado.
5. Arranca el dispositivo. La pantalla de bienvenida con marca confirma que Autopilot lo ha recogido. Si omite Autopilot, espera unos minutos y reinicia: Microsoft aún puede estar procesando la limpieza.

Solución de problemas y FAQ

Solución de problemas

• Los pasos 2 y 3 permanecen bloqueados. La conexión de Entra en el paso 1 aún no está activa. Termínalo primero.
• El paso 1 muestra un error sobre el botón. La conexión falló o fue cancelada. Asegúrate de haber iniciado sesión con una cuenta de Administrador Global y vuelve a intentarlo.
• La consola muestra un banner de alerta de token. One o más de los tres valores del paso 3 están faltando. Abre Finalizar configuración, completa los tres y haz clic en Guardar.
• El estado del perfil permanece en No asignado. El perfil de implementación no está asignado al dispositivo. Revisa su asignación y tu grupo dinámico de dispositivos.
• El dispositivo no muestra la pantalla de bienvenida con marca. Probablemente no esté registrado en Autopilot, o el registro aún no se ha sincronizado. Verifica Windows Autopilot > Dispositivos en Intune, sincroniza, espera unos minutos y reinicia.
• Los dispositivos que anteriormente estaban en Intune se comportan de manera inconsistente. No fueron migrados antes de que Fleet se convirtiera en el MDM predeterminado. Migralos.

FAQ

1. ¿Necesito registrar una aplicación propia para el paso 1?
   No. Das consentimiento a una aplicación que ya existe en el directorio de Microsoft. Solo creas la aplicación Fleet, en el paso 3.
    
2. ¿Conectar Entra lo convierte en mi proveedor de correo electrónico?
   No. Factorial IT solo lee usuarios y grupos. Establecer Entra como proveedor de correo electrónico es una configuración separada.
    
3. ¿Cuál es la diferencia entre el dominio Fleet y el campo Dominio?
   El dominio Fleet es tu dirección MDM, declarada en el paso 2. El campo Dominio en el paso 3 es el dominio con el que inician sesión tus empleados, como company.com.
    
4. ¿Puede un dispositivo inscribirse automáticamente si no está registrado en Autopilot?
   Sí. El empleado elige Configurar para trabajo o escuela e inicia sesión con Entra. Omite las pantallas con marca y la Página de Estado de Inscripción.
    
5. ¿Los empleados serán administradores en sus dispositivos?
   Eso depende de cómo lo configure tu administrador de Entra. Los Administradores Globales en Entra son siempre administradores en los dispositivos Autopilot a los que inician sesión.
    
6. ¿Necesito registrar dispositivos comprados a través de Factorial IT?
   No. Los revendedores acreditados los registran. Solo los dispositivos comprados en otro lugar necesitan la importación del hash de hardware.