Como configurar Global Secure Access con Microsoft Intune para Windows

---

¿Qué es Global Secure Access y por qué te importa?

Imagina que tienes empleados trabajando desde casa, cafeterías o aeropuertos. Antes, la solución era una VPN: el empleado se conectaba, y de golpe tenía acceso a toda la red de la empresa. Un riesgo enorme.

Global Secure Access (GSA) cambia el modelo completamente. En lugar de dar acceso a la red, da acceso solo a la aplicación específica que el usuario necesita, verificando su identidad en cada petición. Sin VPN, sin red expuesta, sin superficie de ataque innecesaria.

GSA tiene tres perfiles de tráfico:

Perfil	Para qué sirve
Microsoft Traffic	Optimiza y asegura Teams, Exchange, SharePoint
Private Access	Reemplaza la VPN para apps internas on-premises
Internet Access	Filtra y audita la navegación por internet

---

Requisitos previos antes de empezar

Antes de tocar nada, confirma que tienes lo siguiente:

Licencias necesarias:

• Microsoft Entra ID P1 (incluido en Microsoft 365 Business Premium, E3, E5)
• Para Internet Access y Private Access: Microsoft Entra Suite o licencia de GSA adicional
• Para el cliente Android: Microsoft Defender for Endpoint Plan 1 o Plan 2
• Para Tunnel for MAM (dispositivos no inscritos): Intune Plan 2 o Intune Suite

Acceso necesario:

• Rol de Global Administrator o Security Administrator en Entra
• Acceso al Microsoft Intune Admin Center

Infraestructura:

• Para Private Access: un servidor Linux (Ubuntu 20.04+) o Windows Server en tu red on-premises donde instalar el conector
• Dispositivos con: Windows 10/11 (para el cliente Windows) o Android 11+ (para el cliente Android)

---

PARTE 1 — Configurar GSA en el portal de Entra

Paso 1.1 — Acceder al portal de Global Secure Access

1. Abre el navegador y ve a: https://entra.microsoft.com
2. Inicia sesión con tu cuenta de administrador.
3. En el menú lateral izquierdo, busca Global Secure Access y haz clic.

Si no ves la opción “Global Secure Access” en el menú, es porque tu licencia todavía no está activada o no tienes el rol adecuado. Verifica los requisitos de la sección anterior.

---

Paso 1.2 — Activar los perfiles de tráfico

Los perfiles de tráfico son los “interruptores” que le dicen a GSA qué tipo de tráfico gestionar.

1. En el menú de GSA, haz clic en Connect → Traffic forwarding profiles.
2. Verás tres perfiles: Microsoft 365, Private Access e Internet Access.
3. Activa el toggle de Microsoft 365 traffic profile (este es gratuito con Entra ID P1).
4. Si tienes la licencia, activa también Private Access e Internet Access.
5. Haz clic en Save en cada perfil que actives.

Nota: Puedes activar los tres de golpe o ir uno a uno. Lo importante es que al menos el de Microsoft 365 esté activo para empezar a probar.

---

Paso 1.3 — Instalar el conector de Private Access (para apps internas)

Sáltate este paso si solo vas a usar Microsoft Traffic o Internet Access.

El conector es un agente ligero que se instala en tu red on-premises. Es él quien “abre el canal” entre tu servidor interno y el edge de Microsoft. No necesitas abrir puertos en el firewall (solo salida por el 443).

En el servidor on-premises:

1. Ve a Global Secure Access → Connect → Connectors.
2. Haz clic en Download connector service y descarga el instalador para Windows o el script para Linux.
3. Ejecuta el instalador en tu servidor on-premises.

4. Durante la instalación, se te pedirá que autentiques con tu cuenta de administrador para vincular el conector al tenant.
5. Una vez instalado, vuelve al portal. El conector aparecerá en la lista con estado Active.

6. Crea un Connector group: haz clic en Connector groups → New connector group, dale un nombre (ej. “GSA-Mexico”) y añade el conector recién instalado.

---

Paso 1.4 — Registrar las aplicaciones internas en Private Access

Ahora le dices a GSA qué aplicaciones internas puede exponer.

1. Ve a Global Secure Access → Applications → Enterprise applications.
2. Haz clic en New application.
3. Dale un nombre descriptivo (ej. “Sistema-RRHH-Interno”).
4. Selecciona el Connector group que creaste en el paso anterior.
5. En App segments, haz clic en Add app segment y añade:
   • El FQDN o la IP del servidor interno (ej. rrhh.empresa.local o 192.168.1.50)
   • El puerto correspondiente (ej. 443 para HTTPS, 80 para HTTP)
6. Haz clic en Save.

Puedes añadir varias apps. Repite este proceso para cada aplicación interna que quieras exponer a través de GSA.

---

Paso 1.5 — Asignar acceso a usuarios y grupos

La aplicación que creaste necesita tener usuarios asignados para que puedan acceder.

1. En la lista de aplicaciones empresariales, haz clic en la app que creaste.
2. Ve a Users and groups → Add user/group.
3. Selecciona los grupos o usuarios de tu directorio que deben tener acceso.
4. Haz clic en Assign.

---

Paso 1.6 — Configurar políticas de Conditional Access (recomendado)

Esto es lo que hace que GSA sea realmente poderoso: solo acceden los usuarios que cumplen las condiciones.

1. Ve a Microsoft Entra ID → Security → Conditional Access → New policy.
2. Dale un nombre (ej. “GSA — Acceso a apps privadas”).
3. En Users, selecciona los grupos que deben cumplir esta política.
4. En Target resources, selecciona Global Secure Access → Private Access traffic.
5. En Conditions, configura lo que necesites:
   • Device compliance: requiere que el dispositivo sea cumplidor con Intune.
   • Sign-in risk: bloquea si la sesión tiene riesgo alto.
6. En Access controls → Grant: selecciona Require device to be marked as compliant y/o Require multifactor authentication.
7. Activa la política en On y haz clic en Create.

---

PARTE 2 — Instalar el cliente GSA en Windows con Intune

El cliente de Windows es una aplicación ligera que se instala en el dispositivo y gestiona el enrutamiento del tráfico de forma transparente para el usuario.

Paso 2.1 — Descargar el instalador del cliente Windows

1. En el portal de GSA, ve a Connect → Client download.
2. Descarga el instalador .exe para Windows.
3. Súbelo a un repositorio accesible o directo desde Intune (lo veremos a continuación).

---

Paso 2.2 — Crear la aplicación en Intune (Win32 App)

1. Ve a https://intune.microsoft.com e inicia sesión.
2. En el menú lateral, ve a Apps → Windows → Add.
3. En App type, selecciona Windows app (Win32).
4. Haz clic en Select app package file y sube el instalador .intunewin del cliente GSA.

Tip: Si tienes el .exe original, debes convertirlo primero con la herramienta Microsoft Win32 Content Prep Tool para generar el .intunewin. Ejecuta: IntuneWinAppUtil.exe -c <carpeta_fuente> -s <nombre_exe> -o <carpeta_destino>

5. Rellena los datos básicos:
   • Name: Global Secure Access Client
   • Publisher: Microsoft
6. En Program, configura:
   • Install command: GlobalSecureAccessClient.exe /quiet
   • Uninstall command: msiexec /x {GUID} /quiet
   • Install behavior: System
7. En Requirements: Windows 10 64-bit, versión 1903 o superior.
8. En Detection rules: crea una regla de detección basada en el archivo %ProgramFiles%\Global Secure Access Client\GlobalSecureAccessClient.exe.

si necesitas saber el GUI puedes ejecutar en un ambiente controlado por ejemplo Windows Sandbox y ejecutar el siguiente comando una vez que la app este instalada de manera temporal.

Get-WmiObject -Class Win32_Product | Where-Object { $_.Name -like "*Global Secure Access*" } | Select-Object Name, IdentifyingNumber

9. En Assignments, asigna la app al grupo de dispositivos Windows que deben recibir el cliente.
10. Haz clic en Review + Create → Create.

---

Paso 2.3 — Verificar la instalación en un dispositivo Windows

Una vez que Intune despliegue la app (puede tardar entre 15 y 60 minutos):

1. En el dispositivo Windows, busca el icono de Global Secure Access en la barra de tareas (área de notificaciones).
2. Haz clic derecho → verás el estado de los túneles (Microsoft Traffic, Private Access, Internet Access).
3. Si todos los túneles habilitados muestran Connected, la instalación fue exitosa.

Solución si no aparece el icono: Ve a Panel de Control → Servicios y verifica que el servicio Global Secure Access esté en estado “Running”. Si no, reinicia el equipo.

---

Paso 2.4 — Crear un perfil de configuración en Intune para Windows (opcional pero recomendado)

Puedes forzar configuraciones específicas del cliente GSA vía Intune, como deshabilitar que el usuario lo pause.

1. En Intune, ve a Devices → Configuration → Create → New policy.
2. Plataforma: Windows 10 and later. Tipo de perfil: Settings catalog.
3. Busca Global Secure Access en el catálogo.
4. Configura las opciones que necesites (ej. impedir que el usuario deshabilite el cliente).
5. Asigna el perfil al grupo de dispositivos Windows

---

Global Secure Access es una de las herramientas más potentes del ecosistema Microsoft para modernizar el acceso remoto sin depender de VPNs legacy. La combinación con Intune permite un despliegue 100% gestionado: el usuario final no necesita instalar nada, configurar nada, ni saber que GSA existe. Solo abre sus apps y trabaja.
Los puntos clave que debes recordar:
En Windows: el cliente GSA es una app independiente desplegada vía Intune como Win32 App.
En Android: GSA vive dentro de Microsoft Defender. Despliegas Defender y activas GSA con una App Configuration Policy.
BYOD en Android (con perfil de trabajo inscrito en Intune): soportado. El perfil personal del usuario nunca es tocado.
BYOD sin inscripción (MAM puro): GSA no aplica. Para ese caso, usa Microsoft Tunnel for MAM.
GSA y Microsoft Tunnel no pueden coexistir en el mismo dispositivo.