Cómo añadir un dispositivo BYOD a la gestión de dispositivos de Intune

Con una política de BYOD (Bring Your Own Device), los empleados pueden usar sus dispositivos personales para trabajar. Esto implica un nivel mínimo de control sobre esos dispositivos y, normalmente, exige inscribirlos en una plataforma de MDM (Gestión de dispositivos móviles) o MAM (Mobile Application Management), como Microsoft Intune. Así, los equipos de TI pueden aplicar políticas de cumplimiento, proteger los datos corporativos mediante MDM o MAM y reducir los costes de hardware.

A diferencia de los dispositivos propiedad de la empresa, la inscripción BYOD requiere un trato más cuidadoso con la privacidad del usuario y un control mínimo del dispositivo. En este artículo te explicamos cómo añadir un dispositivo BYOD a la gestión de dispositivos de Intune.

¿Prefieres un resumen visual? Mira nuestra guía rápida: Cómo añadir un dispositivo BYOD a la gestión de dispositivos de Intune.

Métodos de inscripción en Intune para dispositivos BYOD

Puedes inscribir dispositivos BYOD desde la configuración de Windows o con la aplicación Portal de empresa de Intune. PowerShell, el Editor del Registro, el Símbolo del sistema y las directivas de grupo también ayudan a preparar, configurar y solucionar problemas de inscripción.

Nota: si tu plan de Microsoft 365 incluye Intune, iniciar sesión en una aplicación o servicio de Microsoft 365 con una cuenta de trabajo en un dispositivo BYOD no gestionado puede mostrar un aviso para inscribir el dispositivo en Intune, según las políticas de acceso condicional y de cumplimiento de tu organización.

Requisitos previos:

• Suscripción a Microsoft Intune con licencias disponibles
• Identidad de Azure AD (Entra ID) para cada usuario
• Credenciales de administrador para configurar las políticas del tenant
• Restricciones de inscripción de Intune correctamente delimitadas
• Windows 10, 11, Pro, Education, Enterprise, Android 10+ o iOS 13+

Estrategias de despliegue recomendadas:

Haz clic para elegir un método	Ideal para usuarios individuales	Ideal para empresas
Método de inscripción 1: Desde la configuración de Windows	✓
Método de inscripción 2: Con el Portal de empresa	✓
Configuración de la inscripción: Con PowerShell	✓	✓
Preparación de la inscripción automática: Desde el Editor del Registro	✓	✓
Resolución de problemas de inscripción: Con el Símbolo del sistema	✓	✓
Inscripción de dispositivos unidos a Azure AD híbrido: Con directivas de grupo		✓

Método de inscripción 1: inscripción manual desde la configuración de Windows

Los usuarios de Windows 10 u 11 pueden inscribir su dispositivo desde la configuración de Windows.

Casos de uso: usuarios que inscriben manualmente dispositivos personales con Windows 10 u 11

1. Pulsa la tecla Win, escribe Configuración y pulsa Intro.
2. Ve a Cuentas > Acceso al trabajo o al centro educativo.

3. Haz clic en Conectar e introduce tu dirección de correo electrónico de trabajo.
4. Inicia sesión, sigue las indicaciones para registrar el dispositivo y acepta las condiciones de MDM.

Cuando termines, el dispositivo debería aparecer en Intune como dispositivo personal.

Nota: los administradores pueden comprobar el estado del dispositivo en el Centro de administración de Endpoint Manager.

Advertencia: asegúrate de introducir las credenciales de Intune correctas para que la inscripción se complete bien. (Más información en: Aspectos a tener en cuenta)

Método de inscripción 2: con la aplicación Portal de empresa de Intune

Microsoft Intune Portal de empresa es la aplicación recomendada para inscribir dispositivos.

Caso de uso: usuarios que quieren inscribir su propio dispositivo

1. Abre Microsoft Store, App Store o Google Play en tu dispositivo, busca «Intune Company Portal» y descárgala.
2. Inicia sesión con tu cuenta de trabajo o del centro educativo.
3. Sigue el proceso de configuración del dispositivo.
4. Acepta los acuerdos de gestión de dispositivos y de privacidad.

Azure AD registrará el dispositivo como «Workplace Joined» en Windows. En Android o iOS, la aplicación configura un perfil de trabajo o la inscripción MDM, según la plataforma.

Advertencia: la aplicación puede quedarse bloqueada durante la inscripción y provocar que esta falle. (Más información en: Aspectos a tener en cuenta)

Configuración de la inscripción con PowerShell

PowerShell no permite inscribir dispositivos directamente, pero los administradores de TI pueden usarlo para facilitar el proceso de registro.

Caso de uso: administradores de TI que quieren gestionar el registro de dispositivos

Requisito previo: privilegios de administrador

1. Pulsa Win, escribe PowerShell y pulsa Intro.
2. Copia y pega los siguientes scripts en la consola y pulsa Intro.

• • Configurar las URL de MDM de Intune para la detección automática y la inscripción de dispositivos:

$enrollPath = 'HKLM:\SOFTWARE\Microsoft\Enrollments'if (-not (Test-Path $enrollPath)) {

New-Item -Path $enrollPath -Force

}

Set-ItemProperty -Path $enrollPath -Name DiscoveryServiceFullURL -Value "https://enrollment.manage.microsoft.com"

Start-Process "C:\Windows\System32\deviceenroller.exe" -ArgumentList "/c /AutoEnrollMDM"

• • Auditar el registro y el estado del dispositivo:

dsregcmd /status

Get-MsolDevice -RegisteredOwners

• • Iniciar la sincronización:

Start-DeviceEnrollment

Nota: para automatizarlo por completo necesitas integrarlo con herramientas de aprovisionamiento.

Preparar la inscripción automática desde el Editor del Registro

Puedes usar el Editor del Registro para garantizar que la inscripción automática funcione correctamente.

Caso de uso: administradores de TI que quieren preparar la inscripción automática

Requisito previo: privilegios de administrador

1. Pulsa Win + R, escribe regedit y pulsa Intro.
2. Ve a:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\MDM

3. Crea o actualiza las siguientes entradas:
   • AutoEnrollMDM (DWORD): 1
   • UseAADCredentialType (DWORD): 1
4. Ve a:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CloudDomainJoin\TenantInfo\{YOUR-TENANT-ID-HERE}

5. Crea o actualiza lo siguiente:
   • MDMEnrollmentURL (String): https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
6. Reinicia el dispositivo para aplicar los cambios.

Consejo: para crear las entradas, haz clic derecho en el panel derecho y selecciona Nuevo > Valor DWORD (32 bits) o Valor de cadena.

Nota: estos valores funcionan mejor en escenarios BYOD con dispositivos registrados en Azure AD.

Diagnóstico y resolución de problemas de inscripción con el Símbolo del sistema

No puedes inscribir un dispositivo desde el Símbolo del sistema, pero los administradores de TI sí pueden usarlo para diagnosticar el registro.

Caso de uso: administradores de TI que quieren supervisar el estado de la inscripción

Requisitos previos: privilegios de administrador

1. Pulsa Win, escribe CMD y haz clic en Ejecutar como administrador.
2. Copia y pega los siguientes scripts en la consola y pulsa Intro.

• • Comprobar el estado de registro del dispositivo:

dsregcmd /status

• • Forzar la comprobación del registro en Azure AD:

dsregcmd /join

• • Reparar un registro dañado:dsregcmd /leavedsregcmd /join

• • Comprobar la disponibilidad del servicio de inscripción:

ping enrollment.manage.microsoft.com

Inscripción de dispositivos unidos a Azure AD híbrido con directivas de grupo

Este método resulta útil para los usuarios que necesitan reducir al mínimo los pasos de inscripción. El objeto de directiva de grupo también sirve en escenarios de unión híbrida a Azure AD o como alternativa para BYOD.

Caso de uso: administradores de TI que buscan una inscripción rápida

Requisitos previos: privilegios de administrador

1. Pulsa Win, escribe gpedit.msc y pulsa Intro.
2. Ve a:
   • Configuración del equipo > Plantillas administrativas > Componentes de Windows > MDM
3. Habilita la política:
   • Habilitar la inscripción automática en MDM con las credenciales predeterminadas de Azure AD
   • Configúrala como Credencial de usuario
4. Fuerza la actualización del GPO (objeto de directiva de grupo):

gpupdate /force

5. Reinicia el dispositivo para que los cambios surtan efecto.

Aspectos a tener en cuenta

Riesgos	Posibles consecuencias	Cómo revertirlo
El usuario introduce credenciales incorrectas	El dispositivo no se inscribirá.	Elimina el perfil en Acceso al trabajo o al centro educativo y vuelve a intentar la inscripción
La aplicación se bloquea o el usuario deniega permisos durante la configuración	La inscripción fallará o quedará incompleta, con un registro de dispositivo incorrecto	Desinstala y reinstala la aplicación, borra su caché, comprueba que hay acceso a internet y repite la inscripción
Editar el registro sin copia de seguridad	Editar mal el registro puede corromperlo, así que conviene hacer antes una copia de seguridad.	Exporta la clave del registro antes de hacer cambios desde Archivo > Exportar.

Buenas prácticas para gestionar BYOD en Microsoft Intune

La línea entre aplicar seguridad en los dispositivos BYOD e invadir el espacio personal es muy fina. Teniendo esto en cuenta, estas son algunas prácticas que te ayudarán a gestionar BYOD en Intune de forma eficaz y a mantener protegidos los datos corporativos sin vulnerar la privacidad del usuario.

Privacidad personal

Al gestionar endpoints BYOD, es fundamental proteger los datos corporativos sin entrometerse en el espacio personal del usuario. Usa las políticas de protección de aplicaciones de Intune para aplicar la seguridad a nivel de aplicación en lugar de gestionar todo el dispositivo. Así, los administradores de TI pueden evitar fugas de datos sin borrar ni consultar contenido personal.

Etiquetado de dispositivos

Los administradores de TI deben distinguir los endpoints BYOD de los corporativos para aplicar las políticas adecuadas a cada dispositivo. El equipo de TI puede configurar categorías o etiquetas de dispositivo durante la inscripción, o bien usar grupos dinámicos de dispositivos de Azure AD o filtros basados en atributos del dispositivo para dirigir las políticas correctamente.

Configuración de cumplimiento

Evita aplicar ajustes que puedan interferir con el uso personal. En su lugar, los equipos de TI pueden configurar políticas de cumplimiento eficaces pero poco intrusivas. Algunos ejemplos:

• Exigir una versión mínima del SO para bloquear dispositivos obsoletos
• Comprobar la presencia de las aplicaciones requeridas

Estas políticas refuerzan la seguridad y reducen al mínimo el impacto en la configuración, las aplicaciones y los hábitos de uso personales.

Resolución de problemas habituales

Estos son los problemas de inscripción en Intune más comunes y cómo solucionarlos.

La inscripción falla

Hay dispositivos que no puedes inscribir en Intune porque ya están inscritos en otra solución MDM.

1. Pulsa Win, escribe Configuración, pulsa Intro y ve a Cuentas > Acceso al trabajo o al centro educativo para comprobar el estado de la inscripción.
2. Elimina los perfiles de MDM existentes.
3. Después, reinicia el dispositivo y vuelve a intentar la inscripción.

La página de inscripción en MDM no aparece

Si la página de inscripción en MDM no aparece, comprueba las siguientes claves del registro para confirmar que la inscripción está habilitada:

• HKLM\SOFTWARE\Microsoft\Enrollments
• HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update

Confirma también que la URL de detección de MDM del tenant de Azure AD es correcta. Puedes usar el Visor de eventos para buscar errores relacionados con Intune o MDM.

1. Pulsa Win, escribe Visor de eventos y pulsa Intro.
2. Ve a:
   • Registros de aplicaciones y servicios > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Enrollment

La aplicación Portal de empresa no se abre

Si el Portal de empresa se queda bloqueado o no se abre, desinstálalo y vuelve a instalarlo. También puedes borrar los datos en caché de la aplicación desde Configuración > Aplicaciones > Portal de empresa > Almacenamiento en tu teléfono.

dsregcmd muestra «Not Joined»

Ejecuta dsregcmd /status en el Símbolo del sistema para confirmar que AzureAdJoined = NO. Si el dispositivo no está unido, inicia sesión con credenciales válidas de Azure AD.

Servicios de NinjaOne para una inscripción BYOD segura

NinjaOne MDM BYOD Management ofrece a los equipos de TI y a los MSP herramientas para agilizar el onboarding de dispositivos BYOD y hacer que la gestión de endpoints sea más eficiente y segura en entornos híbridos.

Servicio de NinjaOne	Qué es	Cómo ayuda en la inscripción BYOD
Scripts personalizados	Los scripts personalizados ejecutan scripts de PowerShell o modificaciones en el registro para configurar dispositivos BYOD con Windows.	Eliminan la configuración manual de cada dispositivo y garantizan unos ajustes de seguridad y cumplimiento homogéneos.
Monitorización de dispositivos	La monitorización de dispositivos ofrece visibilidad en tiempo real de todos los endpoints BYOD conectados.	Los equipos de TI pueden saber qué dispositivos son propiedad del usuario, controlar su estado, confirmar el cumplimiento de las políticas de la empresa y detectar problemas de conectividad.
Portales de autoservicio	Los portales de autoservicio de NinjaOne permiten que los propios usuarios inscriban sus dispositivos.	Los usuarios pueden incorporar dispositivos de forma segura y con muy poca ayuda, usando scripts o paquetes de software preconfigurados.
Despliegue de políticas	El despliegue de políticas consiste en distribuir y aplicar de forma centralizada ajustes de configuración, como los objetos de directiva de grupo (GPO), en entornos híbridos y BYOD.	Los administradores de TI pueden enviar estas políticas automáticamente para que todos los dispositivos cumplan los estándares de seguridad, control de acceso y usabilidad de la organización.
Alertas	NinjaOne incluye un mecanismo de alertas que avisa a los equipos de TI cuando un dispositivo no logra inscribirse.	Las alertas evitan brechas de seguridad y permiten una remediación rápida para mantener el cumplimiento y proteger los datos sensibles de la empresa.

Añadir dispositivos BYOD a Intune

BYOD permite que los empleados usen sus dispositivos personales para trabajar sin renunciar a aplicar políticas de cumplimiento, proteger los datos mediante MDM o MAM e incluso reducir los costes de hardware.

Temas relacionados:

• Cómo elegir la herramienta de despliegue de software adecuada: Intune frente a NinjaOne, la perspectiva de un usuario
• Intune frente a RMM: ¿puede Microsoft Intune sustituir a un RMM?
• Cómo desplegar aplicaciones con el Centro de administración de Microsoft Intune
• Intune frente a SCCM: comparativa de las soluciones de Microsoft