Cómo etiquetar dispositivos de Azure AD automáticamente según su estado de seguridad o su propiedad

Microsoft Entra ID (antes Azure AD) se utiliza hoy de forma generalizada en dispositivos híbridos y unidos de forma nativa al cloud, lo que hace más importante que nunca clasificar los endpoints según su propiedad y su cumplimiento de la seguridad. El etiquetado automatizado es clave en este proceso: da soporte al acceso condicional, a los informes, a las alertas y a los flujos de trabajo de ciclo de vida, sobre todo en entornos MSP multicliente.

Esta guía te muestra distintos métodos para aplicar etiquetas de Azure AD de forma automática a los dispositivos en función de su estado de seguridad y su propiedad. También explica cómo aplicar esas etiquetas y usarlas para definir reglas de acceso.

Métodos para etiquetar automáticamente dispositivos de Azure AD según su estado de seguridad y su propiedad

Antes de entrar en los métodos, comprueba que cumples estos requisitos para que el proceso vaya sobre ruedas:

• Microsoft Entra ID (antes Azure AD) Premium P1 o P2 (para grupos dinámicos y acceso condicional)
• Permisos de administrador para consultar y actualizar Entra ID (antes Azure AD) o la API de Microsoft Graph
• PowerShell 7+ con los módulos de Microsoft Graph instalados
• Políticas de cumplimiento de dispositivos en Intune
• Opcional: NinjaOne para el etiquetado mediante registro o directivas y para los informes en varios clientes

Método 1: usar grupos dinámicos de Azure AD (ahora Microsoft Entra ID) para un etiquetado básico

Este método básico te permite añadir o quitar dispositivos automáticamente según atributos en tiempo real como la propiedad, el sistema operativo o el tipo de confianza. La pertenencia dinámica garantiza que los dispositivos se incluyan o se excluyan siempre de forma correcta, sin trabajo manual.

📌 Casos de uso: ideal si necesitas agrupar dispositivos de forma automática a nivel de directorio según atributos integrados como la propiedad, el SO o el tipo de unión.

Paso a paso:

1. Ve a entra.microsoft.com e inicia sesión con tu cuenta de administrador.
2. En el menú de la izquierda, haz clic en Grupos.
3. Selecciona Todos los grupos > Nuevo grupo.
4. En Tipo de grupo, haz clic en Seguridad.
5. Introduce el Nombre del grupo y la Descripción.
6. En Tipo de pertenencia, selecciona Dispositivo dinámico > y haz clic en Agregar consulta dinámica.
7. Introduce reglas de dispositivo como estas: (Lee el punto 1 de ⚠️ Aspectos a tener en cuenta).
   • device.deviceOwnership -eq "Company"
   • device.deviceOwnership -eq "Personal"
   • device.trustType -eq "AzureAD"
   • device.isCompliant -eq true

Ejemplo de regla de grupo para dispositivos propiedad de la empresa y conformes:

(device.deviceOwnership -eq "Company") and (device.isCompliant -eq true)

8. Haz clic en Guardar.
9. Usa estos grupos dinámicos para asignar políticas, supervisar el cumplimiento o segmentar los informes.

💡 Consejo: para más detalles, consulta Administrar reglas de grupos de pertenencia dinámica en Microsoft Entra ID.

Método 2: etiquetar dispositivos con la API de Microsoft Graph según su estado de seguridad

Los grupos dinámicos no pueden filtrar directamente por cumplimiento o riesgo. Con la API de Microsoft Graph sí puedes consultar dispositivos por su estado de cumplimiento o seguridad y escribir etiquetas personalizadas (atributos de extensión) en el objeto de dispositivo de Entra ID (antes Azure AD). Después podrás usar esas etiquetas para informes, automatización o políticas de acceso condicional.

📌 Casos de uso: ideal si quieres automatizar el etiquetado a partir de señales de cumplimiento o riesgo que Entra no ofrece de forma predeterminada.

Paso a paso:

1. Instala el módulo de Graph: (Lee el punto 2 de ⚠️ Aspectos a tener en cuenta).

Install-Module Microsoft.Graph -Scope CurrentUser

Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser

2. Conéctate a Graph:

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.ReadWrite.All", "Device.ReadWrite.All"

3. Consulta los dispositivos con estado no conforme:

$devices = Get-MgDeviceManagementManagedDevice | Where-Object { $_.ComplianceState -ne "compliant" }

4. Aplica una etiqueta de atributo de extensión:

foreach ($d in $devices) {

$entraDevice = Get-MgDevice -Filter "deviceId eq '$($d.AzureADDeviceId)'"

Update-MgDevice -DeviceId $entraDevice.Id -AdditionalProperties @{

extensionAttribute1 = "NonCompliant"

}

}

5. Usa estos atributos para crear informes de cumplimiento personalizados o reglas de asignación.

Método 3: usar etiquetas en el registro para clasificar propiedad o seguridad

Cuando los atributos integrados no bastan, puedes añadir etiquetas personalizadas directamente en el registro de Windows. Después puedes llevar esas etiquetas ligeras a Intune mediante Remediación proactiva o Cumplimiento personalizado.

📌 Casos de uso: ideal si necesitas etiquetas propias de tu organización almacenadas localmente en los dispositivos para cumplimiento o informes.

Paso a paso:

1. En los endpoints (sobre todo los de unión híbrida), usa PowerShell para escribir etiquetas en el registro:

New-Item -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Compliance" -Value "Healthy"

Así se crea una ruta de registro personalizada con dos etiquetas:

• • Ownership = Company
  • Compliance = Healthy

2. Comprueba el resultado desde el símbolo del sistema:

reg query HKLM\SOFTWARE\Org\DeviceTags

Así confirmas si los valores están configurados correctamente.

3. Usa herramientas RMM o scripts de Remediación proactiva de Intune para recopilar y gestionar estos valores de forma centralizada.

Método 4: usar directivas de grupo para mantener un etiquetado coherente en los dispositivos corporativos

En entornos híbridos o unidos a AD, las directivas de grupo pueden imponer etiquetas de registro de referencia o ejecutar scripts en todos los dispositivos corporativos. Así se garantiza la coherencia del etiquetado, incluso antes de que los dispositivos se inscriban en Intune.

📌 Casos de uso: ideal si gestionas dispositivos híbridos o unidos a AD y quieres aplicar etiquetas corporativas coherentes a gran escala.

Paso a paso:

1. Pulsa Win + R, escribe gpmc.msc y pulsa Intro para abrir la Consola de administración de directivas de grupo.
2. Ve a la unidad organizativa (OU) que contiene los dispositivos de destino. (Lee el punto 3 de ⚠️ Aspectos a tener en cuenta).
3. Haz clic con el botón derecho en la OU > Crear un GPO en este dominio.
4. Haz clic con el botón derecho en el nuevo GPO > Editar.
5. Ve a:

Configuración del equipo > Directivas > Configuración de Windows > Scripts > Inicio

6. Haz clic en Agregar > Examinar y localiza tu script de PowerShell.

Pega este comando en un editor de texto y guárdalo como archivo .ps1:

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"

7. Una vez aplicado, todos los dispositivos de destino tendrán las mismas etiquetas.

Esto ayuda a etiquetar dispositivos con Windows 10/11 Pro que no están inscritos en Intune, pero sí unidos a Entra o a un AD híbrido.

Método 5: activar acceso condicional o filtros de directiva a partir de las etiquetas

Una vez que los dispositivos están agrupados o etiquetados (métodos 1 a 4), el acceso condicional y los filtros de Intune usan esas etiquetas para aplicar reglas de acceso y las líneas base adecuadas. Aquí es donde el etiquetado se traduce en seguridad real.

📌 Casos de uso: ideal si quieres aplicar decisiones de acceso y de directiva aprovechando las etiquetas de dispositivo que ya existen.

Asignar distintas políticas de cumplimiento o líneas base de seguridad (por ejemplo, controles más estrictos para dispositivos personales)

• Usa los filtros de asignación de Intune para aplicar políticas de cumplimiento y líneas base más estrictas a los dispositivos corporativos (por ejemplo, exigir BitLocker o Defender AV) y reglas más ligeras a los dispositivos personales.

💡 Consejo: para más detalles, consulta Usar filtros al asignar aplicaciones, directivas y perfiles en Microsoft Intune.

Crear políticas de acceso condicional (CA) vinculadas a la propiedad o al cumplimiento

Usa los filtros de dispositivo del acceso condicional para aplicar reglas de acceso según la propiedad y el estado de cumplimiento.

Ejemplos:

• Exigir que los dispositivos corporativos sean conformes antes de acceder a las aplicaciones de Microsoft 365.
• Permitir dispositivos personales, pero solo con MFA o con acceso limitado desde el navegador.

💡 Consejo: para más detalles, consulta Exigir el cumplimiento del dispositivo con acceso condicional y Crear una directiva de acceso condicional basada en dispositivos.

Usar Microsoft Defender para Endpoint para escalar dispositivos de riesgo o sin etiquetar y corregirlos

• Integra las señales de riesgo de Defender en las políticas de cumplimiento de Intune.
• Los dispositivos etiquetados en Defender como de alto riesgo o no conformes se pueden bloquear automáticamente u obligar a corregirse mediante acceso condicional.

💡 Consejo: para más detalles, consulta Usar Microsoft Defender para Endpoint para exigir el cumplimiento de dispositivos con Microsoft Intune.

⚠️ Aspectos a tener en cuenta

Otras consideraciones

Ten en cuenta estos puntos importantes al configurar las etiquetas:

Sensibilidad del etiquetado

Las etiquetas influyen directamente en el acceso y en la aplicación de políticas. Un dispositivo mal etiquetado puede saltarse protecciones o quedar sobregestionado. El etiquetado manual es propenso a errores y vulnerable a manipulaciones por parte de los administradores locales. Usa el etiquetado automatizado con filtros de Intune, la API de Graph o reglas de Defender para mantener su integridad.

Restricciones en BYOD

Los endpoints BYOD (Bring Your Own Device) muchas veces no pueden cumplir todas las líneas base de seguridad corporativas. El etiquetado te permite aplicar controles de acceso basados en el riesgo sin frenar la productividad. Usa etiquetas de propiedad para restringir el acceso de los dispositivos personales o no confiables.

Entornos MSP multicliente

Los proveedores de servicios gestionados (MSP) que gestionan varios clientes deberían estandarizar la lógica de etiquetado en todos los entornos. Usa rutas de registro, categorías de dispositivo o atributos de extensión coherentes. Alinea las reglas de los grupos dinámicos para que las políticas y los informes se comporten igual en todos los clientes.

Registros de auditoría

Como las etiquetas están ligadas al acceso, los cambios deben poder rastrearse. Usa los registros de auditoría de Microsoft Entra, los informes de cumplimiento de dispositivos de Intune y los registros de ejecución de la API de Graph para saber quién cambia qué, cuándo y por qué.

Resolución de problemas

Estos son los problemas más habituales durante la configuración y cómo resolverlos:

Las etiquetas no aparecen

Si un dispositivo o un usuario no muestra la etiqueta esperada, suele deberse a que faltan permisos de la API de Graph o a que el objeto de dispositivo no se ha sincronizado correctamente con Entra ID (antes Azure AD).

• Valida los ámbitos de permisos de la API de Graph:
  • Device.ReadWrite.All para escribir etiquetas
  • Device.Read.All para leerlas
• Confirma que el usuario o el dispositivo existe en Azure AD (ahora Entra ID) y que se ha sincronizado o registrado correctamente.

El grupo dinámico no se rellena

Si un grupo dinámico recién creado sigue vacío, lo habitual es que haya un error de sintaxis en la regla o un retraso en la evaluación.

• Revisa bien la sintaxis de la regla:
  • (device.deviceOwnership -eq "Company")
• Ten en cuenta que los grupos dinámicos pueden tardar hasta 15 minutos en evaluarse tras su creación o tras cambiar un atributo. En muchos casos, basta con esperar.

Faltan claves del registro

Si las etiquetas del registro no aparecen en un dispositivo:

• Confirma que tu script de PowerShell o de GPO se está desplegando y ejecutando realmente.
• Asegúrate de que se ejecuta con permisos de sistema o de administrador.
• Si usas scripts de Intune, activa la opción de ejecutarlos en PowerShell de 64 bits para evitar que los valores se redirijan a WOW6432Node.

Los filtros de Intune no se aplican

Si la política de cumplimiento, la línea base o la aplicación no se aplican como esperabas, aunque los filtros estén configurados:

• Verifica que la sintaxis de la regla del filtro coincide con los atributos reales del dispositivo.
• Comprueba que el modo del filtro esté bien configurado (incluir frente a excluir).
• Asegúrate de que la propia política de cumplimiento es válida y está asignada. Un filtro no surte efecto si no hay ninguna política que aplicar.

Servicios de NinjaOne

NinjaOne mejora tus estrategias de etiquetado en Microsoft Entra ID (antes Azure AD) así:

Con NinjaOne, los MSP pueden ampliar el ecosistema de etiquetado de dispositivos de Azure AD con lógica basada en el registro, visibilidad RMM y automatización.

Aplica etiquetas de Azure AD automáticamente para reforzar la seguridad y el cumplimiento

Etiquetar automáticamente los dispositivos de Microsoft Entra ID (antes Azure AD) por propiedad y estado de seguridad te permite controlar el acceso con más criterio, generar mejores informes y aplicar políticas de forma más precisa.

Esta guía te ha dado una visión general completa de cómo usar grupos dinámicos de Azure AD y el etiquetado con la API de Graph, además del etiquetado mediante registro y GPO en los endpoints. También ha cubierto métodos para validar las etiquetas en distintos sistemas con el símbolo del sistema y PowerShell.

Por último, ha explicado cómo NinjaOne puede ampliar y supervisar el etiquetado de dispositivos en todos tus clientes, dando a los MSP y a los equipos de TI más visibilidad y automatización.

Temas relacionados:

• Guía completa de automatización para MSP
• Cómo registrar dispositivos de Azure en Intune
• Qué es la unión híbrida a Azure AD y cómo configurarla