Preparar tu PC Windows para cumplir (Entra + Intune)

Esta guía deja tu PC Windows lista para entrar a los servicios de la organización sin que el acceso se bloquee por “dispositivo no conforme”. Sirve tanto si eres usuario final preparando tu propio equipo como si eres IT preparando uno para entregar.

Antes de empezar, conviene entender qué estás logrando: Dispositivo gestionado y en cumplimiento.

Primero: ¿qué tipo de unión te toca?

PC del dominio (oficina/planta)

Es el caso de los escritorios de oficina y planta ya unidos al dominio corp.tpu.mx. Estos equipos usan unión híbrida a Entra: siguen en el dominio y se registran en Entra automáticamente. Son multi-usuario — varios usuarios de red comparten el mismo equipo.

No tienes que unirlo tú a mano. La unión híbrida la activa IT mediante política (GPO de inscripción automática). Tu trabajo es verificar que ya ocurrió (más abajo) y, si no, avisar a IT.

PC nueva o personal

Es el caso de un equipo nuevo, recién formateado o asignado a una sola persona que no está en el dominio. Usa unión pura a Entra: tiene un usuario principal y se inscribe en Intune solo.

Unir una PC nueva o personal a Entra

Solo si te tocó el caso “PC nueva o personal”. Las PCs del dominio se saltan esta sección.

1. Abre Configuración → Cuentas → Acceder a trabajo o escuela.
2. Haz clic en Conectar.
3. En el asistente, elige “Unir este dispositivo a Microsoft Entra” (NO el cuadro de correo de arriba, que solo agrega una cuenta sin unir el equipo).
4. Inicia sesión con tu cuenta corporativa (nombre@tpu.mx) y completa la MFA.
5. Acepta y reinicia el equipo.

Al volver a iniciar sesión, usa ya tu cuenta corporativa. El equipo se auto-inscribe en Intune en los siguientes minutos.

Verificar que quedó registrada y gestionada

Esto aplica a ambos casos. Abre una ventana de PowerShell o Símbolo del sistema y ejecuta:

dsregcmd /status

Busca en la salida:

Campo	Valor esperado	Qué significa
AzureAdJoined	YES	El equipo está registrado en Entra.
DomainJoined	YES (solo PCs del dominio)	Sigue en el dominio corp.tpu.mx. En unión pura a Entra será NO, y es correcto.
MdmUrl / MDMEnrollmentState	con valor / Enrolled	Intune ya gestiona el equipo.

Caution

Si AzureAdJoined es NO en una PC del dominio, la inscripción híbrida aún no llegó: confirma que estás en la red corporativa, ejecuta gpupdate /force, reinicia y vuelve a verificar. Si sigue en NO después de eso, repórtalo a IT — es un asunto de la política de inscripción, no algo que arregles a mano.

Cumplir los requisitos

Estar registrada no basta: la PC también debe cumplir. Los puntos que más bloquean:

1. Cifrado de disco (BitLocker). Es obligatorio. Verifica en Configuración → Privacidad y seguridad → Cifrado de dispositivo, o en PowerShell como administrador:

   Get-BitLockerVolume -MountPoint C:

   VolumeStatus debe ser FullyEncrypted y ProtectionStatus On. Si está apagado, actívalo desde Cifrado de dispositivo (o pide a IT que lo despliegue por política). Guarda la clave de recuperación — se respalda automáticamente en tu cuenta de Entra, pero conviene saber dónde recuperarla.

2. Antivirus activo (Microsoft Defender). Debe estar encendido con protección en tiempo real. Verifica:

   Get-MpComputerStatus | Select-Object AntivirusEnabled, RealTimeProtectionEnabled, AMServiceEnabled

   Los tres deben ser True. Si tienes otro antivirus de terceros instalado, desinstálalo — la organización usa Defender.

3. Windows actualizado. Instala todas las actualizaciones pendientes en Configuración → Windows Update. La política exige una versión mínima de Windows 10/11 soportada.

4. PIN o contraseña al iniciar. El equipo debe pedir credencial al encender y al reanudar. No desactives el bloqueo.

La lista completa, con los valores exactos que revisa la política, está en Requisitos de cumplimiento.

Confirmar que ya estás “en cumplimiento”

Tras inscribirte y cumplir, Intune tarda unos minutos en evaluar el equipo. Para empujar y verificar:

1. Abre la app Portal de empresa (Company Portal) — si no la tienes, instálala desde la Microsoft Store.
2. Inicia sesión con tu cuenta corporativa, ve a Dispositivos, elige este equipo y pulsa Comprobar acceso / Sincronizar.
3. Espera a que el estado cambie a Conforme (verde). Puede tardar de 5 a 15 minutos.

Cuando el equipo aparece Conforme, el bloqueo de acceso desaparece — vuelve a iniciar sesión en el servicio que te rechazaba y entrará sin fricción.

Multi-usuario (PCs compartidas del dominio)

En una PC del dominio, una vez registrada y conforme, cualquier usuario autorizado puede iniciar sesión y hereda la confianza del equipo — no hay que re-inscribir por persona. En la pantalla de inicio, el usuario escribe su cuenta de red (usuario o CORP\usuario) y su contraseña. Windows crea su perfil local en el primer inicio.

Note

La unión pura a Entra está pensada para un usuario principal. Si una PC la van a usar varias personas de forma habitual, debe ir por unión al dominio (multi-usuario), no por unión pura a Entra. Si dudas cuál corresponde, consúltalo con IT.

Si algo falla

Los bloqueos típicos (acceso rechazado, MFA en bucle, clave de BitLocker, equipo que no aparece conforme) están resueltos paso a paso en Problemas comunes de dispositivos.