La configuración de la nube se establece en Microsoft Intune, una parte de Microsoft Endpoint Manager. Funciona en dispositivos Windows 10 nuevos y existentes que ejecutan Windows 10 Pro, Pro for Education, Pro para estaciones de trabajo, Windows 10 Enterprise y Windows 10 Education, y no requiere ninguna licencia, software o hardware nuevos.
Se puede utilizar para preconfigurar nuevos dispositivos, de modo que estén listos cuando los usuarios los abran por primera vez, o para reutilizar hardware existente para extender su vida útil. Además, los dispositivos Windows 10 en la configuración de la nube tienen aplicaciones y capacidades elegidas específicamente por TI, lo que ayuda a mejorar la productividad de los trabajadores y al mismo tiempo mejora la postura de seguridad y el cumplimiento del dispositivo.
Los usuarios están registrados en Azure Active Directory (Azure AD) y los dispositivos están inscritos en Microsoft Intune para la administración de la nube.
Windows 10 en la configuración de la nube está diseñado para usuarios con necesidades simplificadas, como productividad. TI puede comenzar identificando los sectores en sus bases de usuarios para quienes la nube la configuración puede ser la correcta. Los candidatos ideales son grupos de usuarios finales de la organización que:
• Utilice dispositivos que no requieran configuraciones de configuración complejas o agentes personalizados.
• No depender de la infraestructura local para tener éxito en su función.
• Utilice un conjunto específico de aplicaciones seleccionadas por TI para sus necesidades de flujo de trabajo, como correo electrónico, Microsoft Teams, Microsoft Edge, y quizás algunas aplicaciones esenciales de línea de negocio.
• TI puede entregar aplicaciones tanto directamente como a través de la virtualización de escritorio / aplicaciones. Cloud config funciona con cualquier aplicación que pueda ejecutarse en un dispositivo Windows 10 Pro, Enterprise o Education
De acuerdo a los alcances de Windows 10 en la nube podemos ver como están divididos.
Microsoft ha definido la configuración de la nube con comentarios de clientes de todas las industrias, geografías y tamaños de empresas. Una gran empresa de atención médica con la que hablamos recientemente vio la oportunidad de satisfaga las necesidades de algunos de sus trabajadores remotos con un dispositivo seguro y una configuración simple. Algunos ejemplos específicos, pero no exhaustivos, de usuarios finales de clientes en los que ven un gran valor de la configuración de la nube incluyen los trabajadores de primera línea, operaciones y trabajadores remotos.
Para cubrir este concepto o escenario en la nube vamos a apoyarnos de Microsoft Endpoint Manager para configurar e implementar las configuraciones base de este concepto llamado Windows 10 en la nube.
Windows 10 en la configuración de la nube:
• Optimizar los dispositivos para la nube configurándolos para que se inscriban en la administración de Intune con Azure Directorio Activo. Los datos del usuario se almacenan en OneDrive automáticamente Know Folder Configuration
• Implementar Microsoft Teams y Microsoft Edge a los dispositivos.
• Configurar los usuarios finales para que sean usuarios estándar en los dispositivos y bloquee la aplicación Microsoft Store, lo que le brinda a TI más control sobre las aplicaciones instaladas en los dispositivos.
• Aplicar la configuración de seguridad del endpoint y una política de cumplimiento para ayudar a mantener los dispositivos seguros y ayudar a TI monitorear el estado del dispositivo.
• Asegurar de que los dispositivos se actualicen automáticamente a través de Windows Update for Business.
• Aplicaciones adicionales de Microsoft 365 (como Outlook, Word, Excel, PowerPoint).
• Aplicaciones esenciales de línea de negocio que los usuarios finales necesitan para tener éxito.
• Recursos esenciales como perfiles de Wi-Fi, conexiones VPN, certificados y controladores de impresora que son necesarios para los flujos de trabajo de los usuarios.
A continuación se explican los pasos básicos para configurar Windows 10 en la nube:
Paso 1 Creación de grupo de Azure AD
Creamos un grupo de seguridad de Azure AD que recibirá las configuraciones que implementen en los pasos anteriores.
Entramos a https://endpoint.microsoft.com, vamos a Grupos – Todos los Grupos – Nuevo Grupo. Seleccionar como asignado.
Paso 2 Configurar Device Enrollment
Debemos habilitar MDM Automatic Enrollment, para ello vamos ir a Devices – Windows – Windows Enrollment – Automatic enrollment. Debemos seleccionar some solo en caso de que queramos aplicar esta opción para un grupo en especifico o para todos los dispositivos dependiendo el caso.
Elejimos cómo se inscribirán los dispositivos y configurar los usuarios para que sean usuarios estándar en los dispositivos elejir una de las siguientes opciones sobre cómo inscribir dispositivos y configurar usuarios como usuarios estándar en sus dispositivos.
Opción de inscripción 1: inscripción dirigida por el usuario de Windows Autopilot (recomendada) Pre-registre dispositivos usando Windows Autopilot para configurar cómo se iniciarán y se inscribirán en el dispositivo administración.
Microsoft recomienda usar la inscripción de piloto automático y la página de estado de inscripción para los administradores puedan preparar los dispositivos antes de que se inscriban. Este método de inscripción proporciona una experiencia de usuario final consistente al mostrar una página de estado durante la configuración del dispositivo mientras la configuración de la nube está completamente aplicado.
Dentro del programa de Autopilot debemos crear un perfil con la siguiente configuración .
Ahora debemos asigna los grupos deseados, en este caso al grupo creado con anterioridad. Revisamos y creamos el perfil.
Ahora vamos a crear el perfil de Enrollment Status Page, para realizar esto vamos a Devices – Windows – Windows Enrollment – General – Enrollment Status Page.
Creamos un nuevo perfil y configuramos de acuerdo a la siguiente información.
De igual manera seleccionamos el grupo y creamos.
Opciones alternativas de enrollment:
Microsoft recomienda usar Autopilot para preconfigurar la configuración del dispositivo y mantener al usuario en un estado página antes de que se apliquen todas las configuraciones al dispositivo. Están disponibles las siguientes opciones alternativas, con algunos pasos diferentes para garantizar que los usuarios sean usuarios estándar en sus dispositivos.
Opción 3 : bulk Enrollment, para este método puedes ver el articulo que realice hace algún tiempo. Resultados de la búsqueda de «bulk» – Deployment MX
Opción 4: a traves de OOBE experience, con la inscripción automática de MDM habilitada en el entorno, los usuarios pueden inscribir dispositivos simplemente iniciando sesión con sus cuentas de Azure AD durante OOBE. Con este método de inscripción, se configura un perfil personalizado con Microsoft Endpoint Manager para restringir a los administradores locales en los dispositivos. Asegúrese de especificar un grupo que contenga solo administradores de TI en su entorno para ser administradores locales. Aquí otros artículos relacionado al tema Resultados de la búsqueda de «hardware hash» – Deployment MX
Paso 3 Implementar el script para OneDrive Known Folder Move y eliminar aplicaciones integradas
Para este tercer paso debemos descargar el siguiente script de powershell, este lo vamos a encontrar en el siguiente enlace.
Nota importante: debido a un problema de sincronización con el movimiento de carpetas conocidas de OneDrive y la configuración de SharedPC, Microsoft no recomienda usar Windows 10 en la configuración de la nube con un dispositivo en el que múltiples los usuarios iniciarán y cerrarán sesión.
Dentro de Microsoft Endpoint Manager vamos a ir a Devices – Windows – Powershell Scripts – Add – New Script.
Las demás configuraciones las dejamos tal cual y finalmente agregamos el grupo creado en el paso 1.
Paso 4 Implementar Aplicaciones
Microsoft Edge
Debemos seguir las siguientes instrucciones para configurar e instalar la última versión de Microsoft Edge. Add Microsoft Edge for Windows 10 to Microsoft Intune | Microsoft Docs
1. Para la configuración de la aplicación, elejimos el canal estable para esta implementación.
2. Asignamos la aplicación Edge al grupo que se creó en el Paso 1 (Crear un grupo de Azure AD).
Como procedimiento final, debemos seguir la implementación de las aplicaciones de Office 365. En Microsoft Endpoint navegar en Apps – Windows – Create new application – App type – Windows 10
Asignar al grupo creado en el paso 1.
Paso 5 Implementación de Endpoint Security Settings
Las líneas de base de seguridad de Windows (Base Line) ayudan a mantener sus dispositivos seguros y compatibles. Windows 10 está diseñado para ser Las líneas de base seguras y de seguridad agregan una capa de protección y monitoreo mediante la aplicación de configuraciones de seguridad. en todo el sistema operativo, Microsoft Defender y más.
Para Windows 10 en la configuración de la nube, Microsoft recomienda usar la seguridad predeterminada de Windows 10 línea de base configurable en Microsoft Endpoint Manager, con algunas configuraciones cambiadas según su preferencia de la organización
Navegamos en Endpoint Security – Security Baselines – Windows 10 Security Baseline. Creamos un nuevo perfil y dejamos por default la configuración recomendada por Microsoft, recordemos asignar este perfil al grupo creado en el paso 1.
Paso 6 Configura Windows Update Settings
Debemos configurar este paso para que siempre se este actualizando Windows 10 en el modo de Windows 10 en la nube, recordar que estas configuraciones se pueden cambiar tantas veces sea necesario, o en su caso no configurarlas , esto dependerá mucho del entorno en el que se este trabajando, para llegar a realizar esta configuracion debemos de navegar en Devices – Windows 10 Update Rings – Create Profile.
Las configuraciones dependeran de cada entorno, aquí un ejemplo.
Paso 7 Implementar Windows 10 Compliance Policy.
Configurar una política de cumplimiento para ayudar a monitorear el cumplimiento y el estado del dispositivo. La política será configurada para informar sobre incumplimiento y, al mismo tiempo, permitir que los usuarios utilicen dispositivos. Puedes elegir cómo abordar el incumplimiento con acciones adicionales basadas en los procesos de la organización.
En Microsoft Endpoint navegar a Devices – Compliance Policies – Policies – Create Policy, Para plataforma selecciona Windows 10 and later – Create.
Aquí unos ejemplos de configuración.
Algunas otras opciones de configuración las podras encontrar en la sección de Microsoft Intune dentro de este mismo Web Intune – Deployment MX
Paso 8 Configuracion Autopilot Program
Ahora vamos a extraer el hardware Hash de Autopilot, para esto podemos realizarlo de distintos métodos, aquí algunos posts con respecto al proceso. Resultados de la búsqueda de «autopilot» – Deployment MX
Ahora vamos a agregar nuestro archivo .csv en nuestro Autopilot enrollment program.
Una vez agregado veremos nuestro equipo en donde podemos asignar el usuario para Autopilot.
Recordar asignar el device a nuestro grupo.
Paso 9 Experiencia de Usuario
Una vez extraido el Hardware Hash de Autopilot, se prende el dispositivo para ver las configuraciones finales.
Esta imagen, muestra el proceso a seguir desde la preparación de Autopilot hasta la entre con el usuario Final.
Primera pantalla que el usuario va a visualizar cuando va a prender el equipo por primera vez.
Status Enrollment Page, puede durar varios minutos.
Colocamos nuevamente el usuario (email) y la contraseña.
Mas información sobre Windows 10 in Cloud Configuration en Windows 10 Cloud Configuration for Endpoint Management – Microsoft 365
Sin mas por el momento me despido enviándoles un gran saludo, estamos con nuevos post.
