Puntos clave
- La cogestión de Microsoft Intune permite que los dispositivos Windows se gestionen al mismo tiempo desde Configuration Manager (ConfigMgr) e Intune.
- Las organizaciones pueden trasladar de forma gradual cargas de trabajo como las políticas de cumplimiento, Windows Update, la protección de endpoints y la configuración de dispositivos desde la gestión on-premise al cloud.
- La cogestión respalda las iniciativas modernas de gestión de endpoints sin obligarte a sustituir de inmediato la infraestructura de SCCM que ya tienes.
- Los despliegues piloto, el traslado de cargas de trabajo por fases y una asignación clara de responsabilidades ayudan a evitar conflictos de políticas y errores de inscripción.
- Los administradores pueden validar la cogestión con dsregcmd, comprobaciones en el Registro, cmdlets de PowerShell y los archivos de registro de Configuration Manager.
Microsoft System Center Configuration Manager (SCCM) es una herramienta de gestión de sistemas que administra, sobre todo, dispositivos Windows on-premise. Intune, por su parte, presume de una arquitectura cloud-native que simplifica la gestión de entornos híbridos y remotos con Windows, iOS, Android y macOS.
Combinar ambos logra un equilibrio entre las funciones del software on-premise y del basado en el cloud de las dos soluciones de gestión de endpoints. Al integrar ConfigMgr con Intune, los administradores obtienen capacidades de gestión en el cloud sin perder el control detallado on-premise para cargas de trabajo heredadas y despliegues complejos.
Esta guía explica la cogestión con Microsoft Configuration Manager (ConfigMgr) e Intune, que permite adoptar un enfoque híbrido y moderno en la gestión de dispositivos.
¿Cuándo conviene usar la cogestión?
La cogestión se utiliza habitualmente en proyectos de modernización de endpoints, cuando una organización quiere adoptar la gestión cloud-native sin sustituir de inmediato su infraestructura de Configuration Manager.
Estos son algunos casos de uso frecuentes:
- Dar soporte a trabajadores remotos e híbridos
- Migrar cargas de trabajo a Intune de forma gradual
- Mantener flujos de despliegue de software heredados
- Gestionar dispositivos conectados a internet
- Habilitar el acceso condicional e iniciativas de Zero Trust
- Reducir la dependencia de endpoints conectados por VPN
Para muchas empresas, la cogestión funciona como una fase intermedia antes de pasar por completo a una gestión de endpoints cloud-native.
Configura la cogestión entre SCCM e Intune
En sus orígenes, SCCM solo admitía entornos on-premise, lo que limitaba la escalabilidad en el cloud. Sin embargo, su integración de cogestión con Intune permite a las organizaciones unir la infraestructura on-premise con una gestión moderna basada en el cloud.
La cogestión permite gestionar los endpoints de forma simultánea aprovechando las funciones on-premise de SCCM y las capacidades cloud-native de Intune. Así se consigue una transición gradual hacia la gestión moderna en el cloud, con acciones remotas y acceso condicional, sin abandonar el entorno de SCCM existente.
📌 Requisitos previos:
- SCCM Current Branch versión 1710 o posterior
- Cloud Management Gateway es opcional, pero recomendable.
- Microsoft Entra ID (licencia P1 o P2)
- Inscripción automática de Windows Intune habilitada
- Microsoft Entra Connect Sync configurado para la sincronización de identidades híbridas
- Acceso de administrador a Configuration Manager
- Licencia de Intune y acceso al centro de administración de Microsoft Intune
- Dispositivos con Windows 10/11 Pro, Enterprise o Education
📌 Estrategias de despliegue recomendadas:
Método de inscripción 1: habilitar la cogestión desde la consola de Configuration Manager (SCCM)
📌 Caso de uso: los administradores pueden inscribir en Intune los clientes gestionados por SCCM desde la consola de Configuration Manager, sin necesidad de reinstalar imágenes ni volver a inscribir los dispositivos.
⚠️ Advertencia: es importante probar antes la cogestión en un grupo piloto, en lugar de integrar de golpe todos los dispositivos de SCCM en Intune. (Consulta ⚠️ Aspectos a tener en cuenta.)
📌 Requisito previo: Configuration Manager, Current Branch 2111 o posterior
- Pulsa Win + S, escribe Configuration Manager, haz clic con el botón derecho y selecciona Ejecutar como administrador.
- Ve a Administración > Servicios en la nube > Cloud Attach.
- Haz clic con el botón derecho en Cloud Attach y selecciona Configurar Cloud Attach.
- Despliega el menú situado junto a Entorno de nube y selecciona la versión que corresponda:
- AzurePublicCloud
- AzureUSGovernmentCloud
- AzureChinacCloud
- 💡 AzureChinaCloud no admite Endpoint Analytics ni la carga de dispositivos al centro de administración de Microsoft Intune.
- Pulsa Iniciar sesión y autentícate con una cuenta de Microsoft Entra ID que tenga permisos de Administrador global o Administrador de Intune.
- Marca el botón de opción junto a la configuración de Cloud Attach que refleje tu preferencia de inscripción:
- Usar la configuración predeterminada (recomendado).
- Inscribe automáticamente en Intune todos los dispositivos de SCCM que cumplan los requisitos.
- Activa Endpoint Analytics en los dispositivos de destino.
- Carga automáticamente todos los dispositivos en el centro de administración de Microsoft Endpoint Manager y envía los datos de Microsoft Defender para endpoint.
- Personalizar la configuración.
- Permite habilitar de forma selectiva las opciones de la configuración predeterminada.
- Usar la configuración predeterminada (recomendado).
- Si eliges Personalizar la configuración, confirma el aviso Crear aplicación de AAD y sigue estos pasos:
- Decide si quieres cargar todos los dispositivos gestionados por Microsoft Configuration Manager o solo una colección concreta.
- Para habilitar cada opción, marca la casilla junto a Endpoint Analytics, control de acceso basado en roles y Microsoft Defender para endpoint.
- Selecciona Siguiente para pasar al proceso de habilitación y elige qué grupo de dispositivos se inscribirá automáticamente en Intune.
- Todos: carga automáticamente en Intune todos los dispositivos que cumplan los requisitos.
- Piloto: permite al administrador elegir una colección concreta como grupo piloto de pruebas.
- Ninguno: desactiva la cogestión en todos los dispositivos.
- Completa los pasos del Asistente de configuración de Cloud Attach pulsando Siguiente hasta llegar a la pestaña Finalización y pulsa Cerrar.
Método de inscripción 2: inscripción automática mediante GPO para dispositivos unidos de forma híbrida a Microsoft Entra
📌 Caso de uso: los administradores que gestionan dispositivos on-premise con SCCM unidos mediante Hybrid Azure AD pueden inscribirlos de forma centralizada con una GPO.
📌 Requisitos previos:
- Windows 10 versión 1709 o posterior, como mínimo
- Dispositivos de Configuration Manager unidos de forma híbrida a Microsoft Entra
- Inscripción automática habilitada en el centro de administración de Microsoft Intune
- WinRM y comunicación remota de PowerShell (opcional, para actualizar las directivas de grupo)
⚠️ Importante: una GPO mal configurada para la inscripción automática provoca estados de unión parciales o inscripciones fallidas en Intune. (Consulta ⚠️ Aspectos a tener en cuenta.)
- Abre la Consola de administración de directivas de grupo.
- Haz clic con el botón derecho en Objetos de directiva de grupo, pulsa Nuevo y asigna un nombre a la GPO.
- Por ejemplo, Hybrid Azure AD Auto Enrollment
- Haz clic con el botón derecho en la GPO recién creada y selecciona Editar.
- Ve a la siguiente ruta:
Configuración del equipo > Directivas > Plantillas administrativas > Componentes de Windows > MDM
- Haz doble clic en Habilitar el registro automático de MDM con las credenciales de Azure AD predeterminadas y establece la directiva en Habilitada.
- Despliega el menú junto a Seleccionar el tipo de credencial que se usará y elige Credencial de usuario.
- Pulsa Aplicar y Aceptar para guardar la configuración de la directiva y cierra la ventana.
- Haz clic con el botón derecho en la OU de destino, selecciona Vincular un GPO existente…, elige la GPO de inscripción automática en Objetos de directiva de grupo y pulsa Aceptar.
- Para aplicar el cambio, ejecuta el siguiente script en PowerShell con privilegios elevados:
Import-Module ActiveDirectoryGet-ADComputer -SearchBase "OU=Workstations,DC=yourdomain,DC=com" -Filter * | ForEach-Object {Invoke-Command -ComputerName $_.Name -ScriptBlock { gpupdate /force } -ErrorAction SilentlyContinue}
- Sustituye «OU=Workstations,DC=yourdomain,DC=com» por el nombre distintivo (DN) de tu OU de destino.
Método de validación 1: diagnóstico por línea de comandos con dsregcmd
📌 Casos de uso: después de inscribir automáticamente un dispositivo en Intune mediante Hybrid Azure AD Join, los administradores pueden usar dsregcmd para comprobar su estado de cogestión. También sirve como método de diagnóstico cuando la inscripción del dispositivo en Intune es parcial o falla.
📌 Requisitos previos: dispositivo inscrito en cogestión.
- Pulsa Win + R, escribe cmd y selecciona Aceptar.
- Introduce el siguiente comando:
dsregcmd.exe /status
- Busca los siguientes resultados y comprueba su estado:
| Parámetro | Qué significa | Estado que debe tener |
| AzureADJoined | Confirma si el dispositivo está unido a Entra ID | YES |
| MDMUrl | Indica la inscripción MDM del dispositivo | Debe coincidir con alguna URL de Intune. Por ejemplo: https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc |
| DeviceAuthStatus | Confirma si la autenticación del dispositivo con Entra ID se ha realizado correctamente | SUCCESS |
- Si alguno de estos parámetros no coincide, el puente de cogestión puede fallar.
Método de validación 2: consultar las claves del Registro para ver el estado de la cogestión
📌 Casos de uso: una vez inscrito un dispositivo de SCCM en Intune, puedes comprobar su estado de cogestión con el Editor del Registro.
📌 Requisitos previos:
- Dispositivo inscrito en cogestión.
- Windows 10, versión 1607 o posterior.
💡 Nota: esta sección sirve únicamente para validar la inscripción MDM y el estado de cogestión de un dispositivo a través del Registro. Modificar valores en el Registro puede provocar inestabilidad y romper el funcionamiento del dispositivo.
- Pulsa Win + R, escribe regedit y selecciona Aceptar.
- Ve a la siguiente ruta:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Enrollments
- Expande las subclaves GUID que hay dentro de Enrollments y busca los valores que indican el estado de la inscripción MDM.
- DiscoveryServiceFullURL: contiene la URL de inscripción en Intune.
- UPN: especifica la identidad de Microsoft Entra del usuario empleada en la inscripción.
- EnrollmentType: indica la inscripción MDM; normalmente tiene el valor 6.
- EnrollmentID: contiene el ID único asignado a la sesión de MDM.
- Después, ve a la siguiente ruta para comprobar el estado de cogestión del dispositivo.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DeviceManageabilityCSP\CoManagement
- Busca los siguientes valores DWORD (32 bits):
- CoManagementEligible = 1: indica que el dispositivo cumple los requisitos para la cogestión.
- CoManagementConfigured = 1: la cogestión está activa en el dispositivo.
Método de validación 3: comprobar el estado de la cogestión y gestionar las cargas de trabajo con PowerShell
📌 Casos de uso: los administradores pueden usar PowerShell para validar el estado de la cogestión y gestionar la configuración de las cargas de trabajo de los dispositivos.
📌 Requisitos previos:
- Módulo de PowerShell de Configuration Manager
- Acceso al SDK de PowerShell de Microsoft Graph Intune
- Dispositivo compatible con la cogestión
⚠️ Importante: al trabajar en la consola de PowerShell, los cmdlets y la sintaxis de los scripts deben ser exactos. (Consulta ⚠️ Aspectos a tener en cuenta.)
- Abre la consola de Configuration Manager.
- Haz clic con el botón derecho en cualquier punto del área de navegación de la consola y selecciona Conectar mediante Windows PowerShell.
- Introduce el siguiente cmdlet para consultar la configuración global de cogestión de todo el entorno de SCCM:
Get-CMCoManagementConfiguration
- Este cmdlet muestra si la cogestión está configurada, qué cargas de trabajo gestiona Intune y el método utilizado para la inscripción.
- También puedes usar cmdlets para configurar las opciones de cogestión en SCCM.
- Por ejemplo, este comando pone la cogestión en modo piloto en un grupo de pruebas:
Set-CMCoManagementPolicy -PolicyName "CoMgmtPolicy01" -AutoEnroll $true -PilotCollectionName "CoMgmtPilot" -Workloads "CompliancePolicy","WindowsUpdate"
- Para comprobar los dispositivos inscritos en Intune, abre PowerShell con privilegios elevados y ejecuta los siguientes comandos por separado:
- Para instalar los módulos de PowerShell necesarios:
Install-Module Microsoft.Graph.Intune
- Omite este paso si ya tienes el módulo instalado.
- Tras la instalación, conéctate a Graph con lo siguiente:
Connect-MSGraph
- Se te pedirá iniciar sesión con tu cuenta de administrador.
- Ejecuta el siguiente cmdlet para ver tus dispositivos de Intune:
Get-IntuneManagedDevice
Buenas prácticas para el traslado de cargas de trabajo
Al habilitar la cogestión, lo recomendable es trasladar las cargas de trabajo de forma gradual en lugar de pasar todas las responsabilidades de gestión a Intune de golpe.
Estas son algunas buenas prácticas recomendadas:
- Empieza por colecciones de dispositivos piloto
- Traslada una carga de trabajo cada vez
- Vigila los conflictos de políticas durante la migración
- Valida los informes de cumplimiento antes de ampliar el despliegue
- Mantén una asignación clara de responsabilidades entre las cargas de trabajo de ConfigMgr y las de Intune
- Documenta los procedimientos de reversión antes del despliegue en producción
Un despliegue por fases reduce el solapamiento de políticas y el riesgo de comportamientos incoherentes en los endpoints.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlo |
| Integrar directamente todos los dispositivos de SCCM en Intune. | Habilitar la cogestión en dispositivos de SCCM sin una planificación adecuada ni un traslado ordenado de cargas de trabajo puede provocar conflictos de políticas y comportamientos incoherentes. | Prueba la cogestión en grupos piloto pequeños y de bajo riesgo para confirmar que el comportamiento es coherente en todos los dispositivos y traslada las cargas de trabajo a Intune de forma gradual. |
| GPO mal configuradas. | Una configuración incorrecta puede dar lugar a estados de unión parciales o fallidos y romper el proceso de inscripción en cogestión. | Asegúrate de que los dispositivos de SCCM que integras con Intune estén unidos de forma híbrida y verifica la GPO antes de vincularla a una OU. |
| Conflictos por varios MDM. | Varias inscripciones MDM pueden solaparse, generar conflictos y romper el funcionamiento de la cogestión. | Elimina las inscripciones MDM existentes, reparte la responsabilidad de las cargas de trabajo entre SCCM e Intune y vuelve a inscribir los dispositivos con las estrategias de inscripción recomendadas. |
| Volver de la inscripción en Intune a un entorno solo con SCCM. | Al volver a un entorno exclusivo de SCCM, Intune puede dejar ajustes que interfieran en el comportamiento de SCCM y en el control de las cargas de trabajo. | Devuelve a SCCM (ConfigMgr) las cargas de trabajo asignadas a Intune y, después, retira el dispositivo de Intune. |
| Errores tipográficos al trabajar con scripts y cmdlets de PowerShell. | Las erratas y los fallos de sintaxis en PowerShell pueden provocar errores y configuraciones incorrectas. | Revisa la sintaxis de los scripts antes de ejecutarlos o copia directamente los que aparecen en esta guía para evitar erratas. |
Cargas de trabajo habituales gestionadas con la cogestión
La cogestión de Microsoft permite a los administradores trasladar poco a poco determinadas cargas de trabajo de endpoints desde Configuration Manager a Intune. En lugar de migrarlo todo de una vez, las organizaciones pueden mover cargas de trabajo de forma incremental mientras validan el comportamiento de las políticas y el cumplimiento de los dispositivos.
Estas son algunas cargas de trabajo habituales en cogestión:
- Políticas de cumplimiento
- Políticas de Windows Update
- Protección de endpoints
- Perfiles de acceso a recursos
- Políticas de configuración de dispositivos
- Aplicaciones de Office Hacer clic y ejecutar
- Aplicaciones cliente
- Gestión de BitLocker
Muchas organizaciones empiezan por las políticas de cumplimiento o por Windows Update para empresas antes de trasladar cargas de trabajo más avanzadas.
Consideraciones clave sobre la cogestión de SCCM e Intune
Aunque la cogestión combina las capacidades de SCCM e Intune, conviene entender varios factores que afectan a su funcionamiento. Las siguientes consideraciones clave abordan las limitaciones y restricciones de la plataforma que pueden mermar la eficacia de la cogestión en determinadas situaciones.
Limitaciones del Administrador de inscripción de dispositivos (DEM)
El Administrador de inscripción de dispositivos permite a los administradores inscribir dispositivos en Intune, pero carece de la evaluación de identidad de usuario que exige la gestión híbrida. Para solucionarlo, usa Microsoft Entra ID para la inscripción automática y garantizar la compatibilidad con la cogestión.
La cogestión solo funciona con dispositivos Windows
Aunque Intune da soporte a otros sistemas operativos, como Linux y macOS, SCCM es exclusivo de Windows, por lo que la cogestión se limita a dispositivos Windows.
Resolución de problemas de cogestión entre SCCM e Intune
Problema n.º 1: el dispositivo no se inscribe en Intune
La inscripción en Intune puede fallar por falta de licencias, GPO mal vinculadas o una unión incorrecta del dispositivo a Hybrid Azure AD. Comprobar que se cumplen los tres requisitos ayuda a asegurar que el dispositivo puede inscribirse automáticamente en MDM.
Problema n.º 2: políticas contradictorias entre SCCM e Intune
Las políticas de SCCM e Intune pueden entrar en conflicto por la responsabilidad sobre ciertas áreas de gestión, como las actualizaciones de Windows y las políticas de cumplimiento. Si no se coordinan, esto puede derivar en comportamientos incoherentes o en el incumplimiento de las políticas.
En la cogestión, los controles deslizantes de cargas de trabajo asignan las tareas de gestión de dispositivos a una autoridad, que en este caso es Configuration Manager o Intune.
Los administradores pueden ajustar estos controles en grupos piloto para probar qué configuración resulta más eficaz antes del despliegue general.
Problema n.º 3: Configuration Manager no aparece como cogestionado
Si el cliente de Configuration Manager no se muestra como cogestionado, los administradores pueden comprobar el estado de la cogestión revisando ComanagerHandler.log. Este registro confirma si se aplicó la política de cogestión, si se activó la inscripción en Intune y si se produjeron errores durante el proceso.
Para ello, ve a C:\Windows\CCM\Logs\CoManagementHandler.log y busca los registros relacionados con la cogestión.
Problema n.º 4: falla la unión híbrida a Microsoft Entra
Cuando falla la unión híbrida a Microsoft Entra, lo más probable es que el Service Connection Point (SCP) esté mal configurado o no exista, o que la configuración de Microsoft Entra ID sea incorrecta.
Puedes validarlo desde PowerShell con los siguientes comandos:
- Introduce lo siguiente para importar el módulo de AD:
Import-Module ActiveDirectory
- Introduce lo siguiente para consultar el objeto SCP:
Get-ADObject -SearchBase "CN=Device Registration Configuration,CN=Services,CN=Configuration,DC=yourdomain,DC=com" `-Filter * -Properties keywords
- Sustituye yourdomain y com por los componentes de tu dominio.
- Después deberías ver el nombre de tu tenant de Microsoft Entra Connect Sync, su GUID y si el registro de dispositivos está habilitado.
- Si la propiedad keywords está vacía, puede que el SCP no se configurara durante la instalación de Azure AD Connect.
- Como solución, vuelve a ejecutar Microsoft Entra Connect Sync > Configurar opciones de dispositivo y habilita la unión híbrida a Microsoft Entra en el bosque correcto.
Usar NinjaOne como apoyo a las cargas de trabajo en cogestión
La cogestión ofrece un control detallado, on-premise y remoto, de las cargas de trabajo de los endpoints, y NinjaOne puede reforzar este planteamiento con las siguientes funciones:
| Servicio de NinjaOne | Definición | Cómo ayuda con las cargas de trabajo en cogestión |
| Visibilidad multiplataforma | La visibilidad multiplataforma permite a los administradores gestionar endpoints con distintos sistemas operativos desde un solo software. | NinjaOne ofrece supervisión y gestión de endpoints desde un único panel de control para entornos cogestionados. |
| Gestión de usuarios de Active Directory | Los administradores suelen gestionar Active Directory con consolas ADUC o cmdlets de PowerShell, algo repetitivo e ineficiente cuando se hace a escala. | Consulta, gestiona y ejecuta tareas en todos los endpoints mientras te integras con Active Directory para simplificar la gestión de cuentas de usuario desde una plataforma unificada. |
| Scripting | Aunque no es obligatorio, el scripting permite automatizar tareas repetitivas, sobre todo al trasladar cargas de trabajo de forma masiva en entornos cogestionados. | Los administradores pueden usar NinjaOne para desplegar de forma remota scripts de PowerShell que auditen o informen sobre el estado de la cogestión, lo que ayuda a verificar si los dispositivos están listos y cumplen las políticas. |
| Supervisión proactiva en tiempo real y alertas automatizadas | La Supervisión en Tiempo Real y las alertas automatizadas mantienen a los administradores al día sobre el estado, el rendimiento y el cumplimiento de los activos de TI. | Los equipos de TI pueden usar Alertas Personalizadas cuando un dispositivo se desincroniza o se salta un traslado de carga de trabajo, lo que reduce el posible tiempo de inactividad. |
| Etiquetado con campos personalizados | El etiquetado con campos personalizados clasifica los endpoints según su método de gestión: solo SCCM, solo Intune o cogestionados. | Con NinjaOne, los administradores pueden crear campos personalizados para organizar los datos con fines de informes, auditoría e inventario. |
Reparte las cargas de trabajo entre SCCM e Intune con la cogestión
La cogestión permite a los administradores repartir las cargas de trabajo entre SCCM e Intune, con flexibilidad entre la gestión on-premise y la remota. Al habilitarla, los MSP y los equipos de TI pueden avanzar poco a poco hacia cargas de trabajo modernas y cloud-native sin renunciar a su inversión on-premise.
Los administradores pueden integrar SCCM e Intune desde la consola de Configuration Manager o con una GPO para dispositivos unidos a Azure Hybrid AD. Una vez habilitada la cogestión, su estado se puede comprobar con CMD, el Registro o PowerShell.
Temas relacionados:
