Puntos clave
- Las políticas de cumplimiento de Intune aplican bases de seguridad como contraseñas, cifrado, firewalls y antivirus en todos los dispositivos inscritos.
- El acceso condicional de Microsoft Entra ID utiliza los datos de cumplimiento de Intune para conceder o bloquear el acceso a las aplicaciones y recursos de Microsoft 365.
- El cumplimiento basado en dispositivos requiere la inscripción en Intune para recopilar los datos de cumplimiento y enviarlos a Entra ID, que decide sobre el acceso.
- El cumplimiento basado en aplicaciones usa las políticas de protección de aplicaciones de Intune para proteger los datos corporativos a nivel de aplicación, sin necesidad de inscribir el dispositivo por completo.
Una política de cumplimiento de Intune permite a las organizaciones y a los MSP aplicar estándares de seguridad en toda la red de TI de forma eficiente. En algunos escenarios, un equipo de TI puede usar Microsoft Intune junto con un RMM o como alternativa a este, aunque su escalabilidad sea limitada. Usa esta guía como punto de partida para definir y gestionar políticas con Intune y Azure AD (Entra ID).
Cumplimiento basado en dispositivos frente a cumplimiento basado en aplicaciones
En los modelos de trabajo BYOD (Bring Your Own Device), los dispositivos propiedad de los empleados que no están inscritos en Intune MDM normalmente no pueden informar de un estado de cumplimiento completo. Por eso no logran cumplir las políticas de acceso condicional que exigen que «el dispositivo esté marcado como compatible». En estos casos, conviene recurrir a las políticas de protección de aplicaciones de Intune (MAM) junto con el acceso condicional basado en aplicaciones, que protege los datos corporativos a nivel de aplicación sin exigir la inscripción completa del dispositivo.
En cambio, las políticas de cumplimiento basadas en dispositivos dependen de Intune para inscribir y gestionar los equipos. Así, Intune recopila datos de cumplimiento (como la versión del SO, el estado del cifrado o la configuración del antivirus) y los transmite a Microsoft Entra ID para que el acceso condicional tome decisiones de acceso en tiempo real.
¿Prefieres un resumen visual? Mira nuestro vídeo Guía completa: políticas de cumplimiento y acceso condicional en Intune.
Métodos para crear y gestionar políticas de Intune
Consulta la siguiente tabla para decidir si las políticas de cumplimiento de Intune o el acceso condicional se ajustan mejor a tus necesidades y requisitos. Antes de empezar, ten en cuenta estos requisitos previos:
- Las licencias de Intune están asignadas a los usuarios correspondientes.
- Un tenant de Microsoft 365 con Entra ID.
- Los dispositivos deben estar inscritos en Intune (Windows, Android, iOS/iPadOS, macOS).
- Necesitas acceso al Centro de administración de Microsoft Endpoint Manager y a la sección de acceso condicional de Entra ID.
| Elige un método | Ideal para usuarios individuales | Ideal para empresas |
| Método 1: crear una política de cumplimiento | ✓ | |
| Método 2: crear políticas de acceso condicional en Entra AD | ✓ |
También puedes ir directamente a la sección Aspectos a tener en cuenta para optimizar tu plan de acción y gestionar los riesgos.
Método 1: crear una política de cumplimiento en Intune
Puedes crear políticas de cumplimiento directamente en Microsoft Intune para que solo los dispositivos seguros y autorizados accedan a los recursos de la empresa.
- Entra en intune.microsoft.com.
- Ve a Dispositivos → Dispositivos administrados → Cumplimiento → Crear política.
- Selecciona una plataforma (por ejemplo, Windows 10/11, iOS o Android Enterprise).
- Para empezar, estos son algunos ejemplos de ajustes que puedes definir:
- Requisitos de contraseña: exige complejidad, longitud y caducidad.
- Cifrado: configúralo para requerir BitLocker (Windows) o FileVault (macOS).
- Firewall: comprueba que esté habilitado y activo.
- Antivirus y antispyware de Defender: la protección en tiempo real, el antispyware y el antivirus deben estar habilitados y actualizados.
- Versión mínima del SO: evita versiones obsoletas o sin soporte.
- Detección de jailbreak o root (en móviles): bloquea los dispositivos móviles comprometidos.
- En «Acciones en caso de incumplimiento» puedes configurar lo siguiente:
- Establecer un periodo de gracia (por ejemplo, de 1 a 30 días antes de actuar).
- Marcar el dispositivo como no compatible de inmediato o después del periodo de gracia.
- Enviar notificaciones por correo electrónico a los usuarios o a los administradores.
- Bloquear o borrar el dispositivo de forma remota (si está integrado con políticas de acceso condicional).
- Asigna o filtra los dispositivos o grupos de usuarios de destino para finalizar y crear la política.
Una vez desplegada, la política de cumplimiento evaluará cada dispositivo inscrito según los criterios definidos, lo que ayuda a mantener una red de TI segura y conforme.
Método 2: crear políticas de acceso condicional en Entra AD
Las políticas de acceso condicional pueden desplegarse junto con las políticas de cumplimiento para aplicar controles de acceso en los endpoints. Este método es el preferido para despliegues en toda la organización.
- Ve a Entra ID → Seguridad → Proteger → Acceso condicional → Crear nueva política.
- Elige los usuarios o grupos a los que se aplicará la nueva política.
- Selecciona las aplicaciones cloud de destino (por ejemplo, Exchange Online o SharePoint Online).
- Define condiciones como estas:
- Plataforma del dispositivo (por ejemplo, iOS, Android o Windows)
- Filtro por estado de cumplimiento: exigir únicamente dispositivos compatibles
- Opcional: filtrar por riesgo de inicio de sesión, ubicación o aplicación cliente
- En Controles de acceso puedes conceder el acceso solo si el dispositivo está marcado como compatible y, de forma opcional, exigir autenticación multifactor (MFA) para reforzar la seguridad.
- Prueba la política con un grupo piloto antes de desplegarla de forma amplia para evitar problemas de acceso.
Valora integrar el acceso condicional con las políticas de cumplimiento de Intune para reforzar los protocolos de seguridad y el control del acceso de los usuarios en toda la red.
Cómo validar y revisar el cumplimiento y la aplicación de las políticas
Esta sección recoge métodos prácticos para confirmar que los dispositivos cumplen los requisitos y que las políticas se aplican correctamente en todo tu entorno.
Puedes usar los siguientes métodos para evaluar tus políticas:
- Validación con CMD y dsregcmd
- Revisión de la aplicación de políticas en el Registro
- Uso de PowerShell para supervisar y evaluar
- Configuración de directivas de grupo en entornos cogestionados
1. Validar el cumplimiento en local con CMD y dsregcmd
Usa el siguiente comando para comprobar si un dispositivo Windows está unido a Entra ID e inscrito en Intune como esperabas.
- Usa la búsqueda 🔎 para abrir Terminal → Símbolo del sistema → Ejecutar como administrador.
- Ejecuta el siguiente comando:
dsregcmd /status. - Revisa el resultado y fíjate en estos indicadores clave:
- EntraIDJoined: YES – confirma que el dispositivo está unido a Entra ID
- MDMUrl: debe mostrar una URL de inscripción de Intune, lo que confirma la inscripción en MDM
- DeviceCompliancePolicyReceived: YES – indica que se han recibido las políticas de cumplimiento
- ComplianceState: Compliant – confirma que el dispositivo está en estado compatible
Este método resulta útil para validar rápidamente en local el estado de cumplimiento de un dispositivo en Entra ID e Intune, sobre todo durante la resolución de problemas o las comprobaciones previas al despliegue.
2. Revisar la aplicación de políticas en el Registro de Windows
Recuerda que Intune escribe los ajustes mediante CSP (Configuration Service Providers), que solo pueden consultarse en la ruta del Registro PolicyManager.
- Pulsa Win + R, escribe regedit y selecciona Aceptar para abrir el Editor del Registro.
- Ve a la siguiente ruta o cópiala y pégala en la barra de direcciones del Registro. Si la ruta está incompleta, crea la clave necesaria.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\
- Consulta las claves (por ejemplo, SecurityKeys, BitLocker o Defender) para confirmar si Intune ha aplicado las políticas como esperabas.
Advertencia: editar la base de datos puede provocar problemas en el sistema. Crea una copia de seguridad del Registro antes de continuar.
3. Usar PowerShell para supervisar el cumplimiento y evaluar el acceso condicional
Necesitarás el permiso adecuado en la API de Graph (por ejemplo, acceso de administrador) para ejecutar los siguientes scripts.
- Usa la búsqueda 🔎 para abrir Terminal → PowerShell → Ejecutar como administrador.
- Para autenticarte y acceder a los datos de gestión de dispositivos, conéctate con los ámbitos necesarios mediante este script:
Connect-MgGraph -Scopes "DeviceManagementConfiguration.Read.All", "Policy.Read.All", "DeviceManagementManagedDevices.Read.All"
- Obtén la lista de políticas de cumplimiento con:
Get-MgDeviceManagementCompliancePolicy.
- Después, comprueba las asignaciones de una política concreta con:
Get-MgDeviceManagementCompliancePolicyAssignment -CompliancePolicyId<ID>
Sustituye <ID> por el ID de la política obtenido con el comando anterior.
- Por último, consulta los estados de cumplimiento de los dispositivos con:
Get-MgDeviceManagementManagedDevice | Select DisplayName, ComplianceState
Estos datos también se pueden filtrar o exportar (por ejemplo, a CSV para auditorías o vistas generales del tenant) para elaborar informes y análisis. Además, estos scripts resultan especialmente útiles para los administradores de TI de la empresa que quieran automatizar los informes, la validación de políticas o la aplicación del cumplimiento a gran escala.
Este script puede ejecutarse o fallar sin mostrar ninguna confirmación ni aviso. Para confirmar si los cambios se han aplicado correctamente, revisa las claves del Registro o los ajustes del sistema correspondientes.
4. Configurar las directivas de grupo en entornos cogestionados
Si utilizas Microsoft Endpoint Configuration Manager (ConfigMgr/SCCM) en un entorno cogestionado con Intune, puedes usar las directivas de grupo para activar la inscripción automática en MDM de los dispositivos Windows.
Antes de empezar, asegúrate de usar un equipo de administración unido al dominio.
- Pulsa Win + R, escribe gpmc.msc y pulsa Aceptar para abrir la Consola de administración de directivas de grupo.
- Ve a Configuración del equipo → Plantillas administrativas → Componentes de Windows → MDM.
- Busca la directiva Habilitar el registro automático de MDM mediante las credenciales predeterminadas de Microsoft Entra ID, habilítala y elige Credencial de dispositivo como opción de credencial de usuario.
- Aplica la directiva y ejecuta
gpresult /h report.htmlpara verificar que se ha aplicado.
Para revisar tu configuración, abre el archivo report.html en un navegador y confirma que la directiva de MDM se ha aplicado correctamente.
Aspectos a tener en cuenta al configurar políticas en Intune
¿Se te escapa algo? Ten en cuenta estos escenarios y consejos para gestionar errores, evitar problemas en el sistema y reforzar las políticas.
| Riesgos | Posibles consecuencias | Soluciones |
| Política mal configurada | Los dispositivos podrían quedar bloqueados sin necesidad o recibir acceso aunque no sean seguros. | Revisa los ajustes de la política, pruébala con un grupo piloto y ajusta los umbrales y requisitos según las necesidades de la organización. |
| Dispositivo no unido a Entra ID o no inscrito en Intune | Las evaluaciones de cumplimiento y de acceso condicional fallarán, y el dispositivo aparecerá como no gestionado. | Usa dsregcmd /status o los registros para validarlo, y vuelve a unir o inscribir el dispositivo si es necesario. |
| Permisos incompletos para los scripts de la API de Graph | Los scripts de PowerShell podrían fallar al obtener o aplicar la información de políticas y cumplimiento. | Comprueba que los permisos de Graph estén consentidos y asignados, e incluye los ámbitos adecuados al conectarte a Graph. |
Recuerda que es importante contar con un sistema que supervise los cambios de cumplimiento a lo largo del tiempo, para corregir las brechas con cada actualización. Programa informes y alertas periódicas con la API de Graph o el panel de informes de Intune para seguir de cerca tu postura de seguridad.
Servicios y funciones de NinjaOne para combinar con las políticas de Intune
Aplicar y supervisar el cumplimiento de los endpoints puede ser un proceso exigente para los equipos de TI en entornos empresariales. Entonces, ¿cómo se consigue a gran escala? Ahí es donde las soluciones de NinjaOne Endpoint Management® brillan en manos de los MSP y los administradores de TI.
Supervisión de la aplicación de políticas
NinjaOne cuenta con capacidades sólidas para automatizar alertas y acciones de remediación si los endpoints gestionados dejan de cumplir las políticas de Intune. Las tareas rutinarias y la supervisión se automatizan sin fricciones, de modo que los administradores pueden centrarse en lo más urgente o en lo que realmente requiere su intervención.
Además, NinjaOne puede liberar a tu servicio de asistencia, ya que TI recibe alertas automáticas incluso antes de que algunas situaciones escalen e interrumpan la producción.
Visibilidad unificada de los endpoints
NinjaOne MDM™ ofrece un amplio conjunto de soluciones para redes de TI dinámicas o endpoints distribuidos. Por ejemplo, te permite mantener la visibilidad y el control de los dispositivos compatibles y no compatibles en todos los tenants y tipos de SO.
Scripts de cumplimiento personalizados
Una de las mejores formas de usar NinjaOne RMM® es desplegar y programar scripts de PowerShell o CMD que detecten y corrijan problemas de configuración local que van más allá de la visibilidad y el control que ofrece Intune.
Además, NinjaOne te da un control más preciso de la red mediante scripts personalizados y estrategias de despliegue. Puedes explorar la biblioteca de scripts de NinjaOne para ver los scripts listos para usar que los usuarios de NinjaOne pueden desplegar cuando lo necesiten.
La mejor forma de desplegar políticas de cumplimiento de Intune
Combinar las políticas de cumplimiento con el acceso condicional en Intune es un enfoque excelente para sentar las bases de un modelo de seguridad Zero Trust. Sin embargo, Microsoft Intune puede quedarse corto o tener dificultades para escalar por sí solo. Si buscas una estrategia más completa y preparada para el futuro, considera combinar Intune con NinjaOne para mejorar la visibilidad y automatizar la remediación en todos los endpoints.
Temas relacionados:
