Inscribir tu Mac en Intune y cumplir las políticas

Esta guía es para usuarios finales que necesitan dejar su Mac lista para entrar a los servicios de la organización sin que el acceso se bloquee por “dispositivo no conforme”. Cubre la inscripción en Intune y los requisitos de cumplimiento.

Note

¿Tu Mac es de escritorio compartido y se une al dominio? Ese flujo (unión a Active Directory + multi-usuario) lo hace IT y está en Agregar una Mac a Active Directory. Esta guía cubre la inscripción en Intune y el cumplimiento, que aplican en ambos casos — pero si IT ya unió tu Mac al dominio, probablemente ya inscribió Intune por ti: salta a verificar.

Para entender qué estás logrando: Dispositivo gestionado y en cumplimiento.

Inscribir la Mac en Intune

1. Descarga Portal de empresa (Company Portal) para macOS desde aka.ms/EnrollMyMac e instálalo arrastrándolo a Aplicaciones.

2. Abre Portal de empresa e inicia sesión con tu cuenta corporativa (nombre@tpu.mx). Completa la MFA.

3. Sigue el asistente de inscripción. macOS te pedirá instalar el perfil de gestión: ve a Ajustes del Sistema → General → VPN y gestión de dispositivos (o Perfiles, según versión) y aprueba el Management Profile.

4. Al terminar, en esa misma pantalla el Management Profile debe aparecer como Verificado. Eso confirma que Intune ya gestiona la Mac.

Cumplir los requisitos

La inscripción no basta: la Mac debe cumplir. Los puntos que más bloquean:

1. FileVault (cifrado de disco). Es obligatorio. Actívalo en Ajustes del Sistema → Privacidad y seguridad → FileVault → Activar. Guarda la clave de recuperación (se respalda en tu cuenta corporativa, pero anótala). Verifica en Terminal:

   fdesetup status     # debe decir "FileVault is On."

2. macOS actualizado. Instala todo lo pendiente en Ajustes del Sistema → General → Actualización de software. La política exige una versión mínima soportada.

3. Microsoft Defender for Endpoint. Se despliega por Intune al inscribir (la app + los perfiles de extensión de sistema, acceso a disco y filtro de red). Verifica en Terminal:

   mdatp health --field healthy             # debe devolver true
   mdatp health --field real_time_protection_enabled

   Si mdatp no existe o healthy es false ~30 min después de inscribir, revisa en VPN y gestión de dispositivos que el perfil esté Verificado antes de instalar nada a mano.

4. Bloqueo de pantalla. La Mac debe pedir contraseña al despertar. Configúralo en Ajustes del Sistema → Pantalla bloqueada.

La lista completa con los valores exactos está en Requisitos de cumplimiento.

Verificar que quedó inscrita y conforme

1. En Portal de empresa → Dispositivos, elige esta Mac y pulsa Comprobar configuración / Sincronizar.
2. Espera a que el estado cambie a Conforme (verde). Puede tardar de 5 a 15 minutos.

Cuando la Mac aparece Conforme, el bloqueo de acceso desaparece — vuelve a iniciar sesión en el servicio que te rechazaba.

Si algo falla

Los bloqueos típicos (acceso rechazado, MFA en bucle, FileVault, equipo que no aparece conforme) están resueltos en Problemas comunes de dispositivos. Para problemas específicos de inicio de sesión en una Mac del dominio, ve a Solucionar problemas de inicio de sesión en una Mac del dominio.