Página web
Insight22.04.2022

Inscripción de Windows Autopilot

¿Qué es Windows Autopilot?

Windows Autopilot es una oferta de Microsoft basada en la nube con la que se pueden configurar automáticamente los nuevos dispositivos con Windows 10/11 para prepararlos para un uso productivo. No es necesario reinstalar el dispositivo con Windows 10/11, sino que Windows Autopilot utiliza la imagen existente en el dispositivo.

Relution admite el registro automático a través de Windows Autopilot y los dispositivos de Windows 10/11 pueden inventariarse rápida y fácilmente en Relution a través de esta vía. A continuación, Relution puede utilizarse para aplicar políticas e instalar aplicaciones en los dispositivos Windows 10/11.

¿Cuáles son los requerimientos para usar Windows Autopilot?

Windows Autopilot puede utilizarse con Windows 10/11 Professional, Enterprise o Education a partir de la versión 1709. Una Instancia de Azure con una suscripción a Azure Active Directory (AAD) y Azure AD Premium P2 es necesario. Para configurar en Azure, el usuario debe tener el rol de administrador global. Para la puesta en marcha de los dispositivos Windows 10/11 debe haber una conexión a Internet.

¿Cómo funciona el Windows Autopilot al poner en marcha un dispositivo con Windows 10/11?

Al iniciar la experiencia Out-of-the-Box (OOBE) del dispositivo Windows 10/11, el sistema detecta automáticamente que debe ser configurado a través de Windows Autopilot si existe una conexión de red. El dispositivo transmite su ID a Microsoft y comprueba si se ha registrado en Autopilot para un entorno AzureAD. La inscripción realizará la inscripción en Relution y creará una cuenta de usuario para el usuario de Azure AD en el dispositivo.

¿Cuáles son las ventajas de utilizar Windows autopilot?

El objetivo de Windows autopilot es evitar el engorroso proceso de cargar individualmente los nuevos dispositivos Windows 10/11 con una imagen creada internamente; en su lugar, los dispositivos deben transformarse en un dispositivo preconfigurado de la forma más independiente posible. Esto minimiza el esfuerzo de creación de imágenes y reduce el tiempo necesario para el registro físico y el aprovisionamiento de los dispositivos. Azure sólo tiene que configurarse una vez para ello y el registro automático funciona hasta que expira la fecha de validez definida de la clave secreta de cliente (véase más abajo).

¿Cómo se configura Azure para utilizar Windows Autopilot en Relution?

En la configuración de Relution en -> “Organisation” -> “Azure Active Directory”, una guía apoya la configuración y vinculación de Azure AD y Relution:

Sección de configuración en Relution bajo « Organización » con instrucciones para configurar y vincular Azure AD para usar Windows Autopilot

1. Añadir una aplicación MDM

En el paso 1, se crea una nueva aplicación MDM en Azure y se completa con la información de la Guía de Relution.

Guía en Relution con instrucciones paso a paso para configurar una nueva aplicación MDM en Microsoft Azure

En primer lugar, el dominio del servidor de Relution correspondiente debe añadirse en Azure AD en “Nombres de dominios personalizados”. Esto puede llevar algún tiempo. Puede encontrar más información en la Documentación de Microsoft.

Paso de configuración en Azure AD donde se agrega el dominio del servidor Relution en « Nombres de dominios personalizados »

En “Movilidad (MDM y MAM)”, se añade y activa la aplicación MDM deseada:

Sección « Movilidad (MDM y MAM) » en Azure con la opción de agregar y activar una aplicación MDM

  1. Seleccione el mosaico “Aplicación On-Premises MDM” en la parte inferior derecha.

  2. Asignar nombre

  3. Pulse „Añadir“

Vista de configuración en Microsoft Azure con la selección de la ficha « Aplicación MDM local », la asignación de un nombre y la opción « Agregar »

Ahora configure la nueva aplicación MDM utilizando la información de la Guía de Relution en el paso 1:

  1. Área de usuarios de MDM -> seleccione “Todos” (todos los usuarios pueden realizar una inscripción automática).

  2. URL de las condiciones de uso de MDM -> introdúzcala desde Relution:: https://serverurl/api/v1/devices/windows/termsOfUse (Microsoft pide esta URL antes de cada inscripción, pero no se llama a ninguna página web).

  3. URL para la determinación de MDM -> Introduzca la URL del server desde Relution

  4. Pulse „Guardar“

Vista en Microsoft Azure para configurar una nueva aplicación MDM con URL de Relution ingresadas para los términos de uso de MDM y la detección de MDM, junto con la selección « Todos » en el alcance de usuarios MDM

2. Realizar la configuración de la aplicación MDM

Una vez creada la nueva aplicación MDM, se puede realizar la configuración de la aplicación MDM local en Azure. Es imprescindible que la siguiente información se transfiera de Azure a la Guía de Relution en el paso 2:

  1. ID de la aplicación (cliente)

  2. Identificación del directorio (tenant)

  3. Valor de la clave secreta del cliente

Configuración de los ajustes de la aplicación MDM local en Microsoft Azure con los detalles de la ID de aplicación, ID de directorio y el valor de la clave secreta del cliente

Ahora haga clic en “Application ID URI” en la configuración de la aplicación MDM local en Azure para editarla:

Área de configuración en Azure con la opción de editar el « URI de ID de aplicación » en la configuración de la aplicación MDM local

A continuación, introduzca la URL del servidor correspondiente en la siguiente vista para “Application ID URI”:

Captura de pantalla de Microsoft Azure con el elemento de menú « Hacer disponible una API » y la entrada del « URI de ID de aplicación » correspondiente

A continuación, hay que añadir una “Clave secreta del cliente (Client Secret)” en “certificados y secretos”:

  1. Haga clic en “Nueva clave secreta de cliente” en la pestaña “Claves secretas de cliente”

  2. En la ventana de diálogo „Añadir una clave secreta de cliente“ indicar una descripción y la validez

  3. Pulse en “Añadir”

Nota: Si el periodo de validez ha expirado, ya no hay conexión y Relution no puede comunicarse con Azure. En este caso, se debe generar una nueva clave secreta de cliente para la aplicación en Azure y transferirla de nuevo a Relution.

Sección « Certificados y Secretos » en Azure con la opción de agregar una « Clave Secreta de Cliente » especificando una descripción y un período de validez

La nueva entrada aparece en la lista bajo la pestaña “Claves secretas de cliente”.

Nota: El “valor” correspondiente sólo se muestra una vez y debe copiarse y transferirse a Relution.

3. Configurar los permisos de la API

En el paso 3 de las instrucciones de Relution, los permisos de la API están ahora configurados:

Sección de configuración en Relution para configurar los permisos de API según el paso 3 de las instrucciones

Nota: Es posible que haya que añadir aquí nuevos permisos más adelante si Microsoft añade nuevas funciones al Windows Autopilot en el futuro. Los siguientes ajustes deben realizarse en Azure:

  1. En "PI Permissions" -> "Configured Permissions" -> pulse "Add Permission"

  2. En la ventana de diálogo "Request API permissions" y "Microsoft APIs -> "Microsoft Graph" seleccione

Área de configuración en Microsoft Azure con la opción « Agregar permiso » bajo « Permisos de API » y la selección de « Microsoft Graph » en la ventana de diálogo
  1. Pulse en la baldosa "application permissions" en la ventana de diálogo
Ventana de diálogo en Microsoft Azure con la selección de la ficha « Permisos de aplicación » para la configuración
  1. En "User" -> "User.Read.All" seleccione
Área de configuración en Microsoft Azure para configurar los permisos de API con la selección de la opción « User.Read.All » bajo « User »
  1. Seleccione "Grupo.Leer.Todos" en "Grupo".
Vista de configuración en Microsoft Azure con la selección de « Group.Read.All » bajo « Group » en la sección de permisos de API
  1. Seleccione "Device" -> "Device.ReadWrite.All".

Confirme la selección con "Add permissions".

Área de configuración en Microsoft Azure con la selección de « Device.ReadWrite.All » bajo « Device » y confirmación mediante « Agregar permisos »

Inicialmente se muestra un signo de exclamación como estado de los permisos de la API recién añadidos. Un administrador debe aceptar una vez para que Microsoft Graph reciba finalmente los permisos. A continuación, se muestra el estado con una marca verde de “Concedido” y se conceden los permisos:

Vista en Microsoft Azure con permisos de API recién agregados, inicialmente marcados con un signo de exclamación y mostrados como « Concedido » con una marca de verificación verde después de la aprobación del administrador

4. Definir URI de redirección

El paso 4 de la Guía de Relution configura el URI de redirección en Azure:

Visualización de información y entradas en Relution necesarias para la configuración en Azure

  1. En “Autenticación” -> “Agregar plataforma”, haga clic en

  2. En el cuadro de diálogo “Configurar plataforma”, seleccione la ficha “Web”

Vista de configuración en Azure con la selección de la ficha « Web » y la entrada de la URI de redirección

  1. Introduzca la URL del servidor en la subpágina “Web” -> “Añadir URI de redirección”

  2. Elimine la casilla “ID tokens”

  3. Pulse “Guardar”

Vista en Microsoft Azure para ingresar la URL del servidor en « Web » para la URI de redirección, con la casilla de verificación « ID Tokens » desactivada y la opción « Guardar »

5. Compruebe la configuración predeterminada de Azure y complete la configuración

Los siguientes puntos deben configurarse en “Dispositivos” -> “Configuración de dispositivos”:

  • Todos los usuarios pueden montar dispositivos en Azure AD

  • Todos los usuarios pueden registrar sus dispositivos en Azure AD

  • Me debe respetar el número máximo de dispositivos por usuario

Vista en Microsoft Azure en Dispositivos y Configuración de dispositivos con opciones para vinculación de dispositivos, registro y el número máximo de dispositivos por usuario

Esto completa la configuración en Azure.

6. Seleccione las opciones de servicio de Relution y complete la configuración

En el paso 5 de las instrucciones de Relution, puede elegir opcionalmente si los usuarios de Azure AD y los grupos de Azure AD deben sincronizarse con Relution:

Vista de configuración en Relution con la opción de sincronizar usuarios y grupos de Azure AD y finalizar la configuración haciendo clic en « Guardar »

“Guardar” completa la configuración y la vinculación de Azure AD en Relution.

¿Cómo se añaden los dispositivos Windows 10/11 a Microsoft Store for Business y Azure AD?

Para utilizar Microsoft Store for Business, una cuenta es necesario.

Nota: La Microsoft Store para empresas se apagará en el primer trimestre de 2023. Relution proporcionará su propia solución para esto en el futuro.

Los nuevos dispositivos pueden adquirirse y registrarse a través de un socio ueden ser adquiridos y registrados. De este modo, los dispositivos se depositan automáticamente en Microsoft Store for Business y en Azure AD y no hay que introducirlos manualmente.

Sin embargo, las unidades que ya se han puesto en funcionamiento también pueden añadirse manualmente. Para ello, se necesita un archivo CSV, que se crea en el dispositivo a través de Powershell Script. A continuación, el archivo CSV se carga a través de “Añadir dispositivos” y los dispositivos añadidos deben restablecerse.

Los dispositivos aparecen entonces en la lista de dispositivos y deben estar vinculados a un perfil configurado.

¿Qué ajustes hay que hacer de antemano para una Out-of-the-Box-Experience (OOBE) en Microsoft?

Los perfiles pueden aplicarse ahora a los dispositivos añadidos en la Microsoft Store para empresas.

  1. Pulse en “Configuración” -> pestaña “Distribuir” -> “Añadir herramienta de gestión” y seleccione la aplicación MDM por su nombre.

  2. Pulse “Activar” (si aún no está activado)

  3. Nota: Si hay otras aplicaciones en la lista, deben ser desactivadas.

Vista de configuración en el Microsoft Store for Business para aplicar perfiles a dispositivos, con la opción « Añadir herramienta de gestión » y la selección de una aplicación MDM

A continuación, seleccione “Dispositivos” -> “Despliegue del piloto automático” -> “Crear nuevo perfil”:

Creación de un nuevo perfil de implementación de Autopilot en el Microsoft Business Store en « Dispositivos » y « Implementación de Autopilot »

Ahora se debe proporcionar la siguiente información para el nuevo perfil de despliegue de Autopilot:

  1. Asignar nombres

  2. Omitir la configuración de privacidad: opcional

  3. Desactivar la creación de la cuenta de administrador local en la máquina: opcional (si la casilla está seleccionada, se crea una cuenta de usuario por defecto, en caso contrario se crea una cuenta de administrador).

  4. Omitir los términos de la licencia de software de Microsoft: opcional

  5. Confirme las entradas con “Crear”

Vista del Microsoft Store for Business para crear un perfil de Autopilot con configuración opcional: omitir ajustes de privacidad, términos de licencia y desactivar la cuenta de administrador local

Ahora los perfiles creados pueden aplicarse a las unidades:

Vista general en Microsoft Azure para preparar la experiencia lista para usar (OOBE) con la opción de aplicar perfiles creados a dispositivos

¿Cómo se sincronizan los dispositivos Windows 10/11 depositados en Relution para su posterior gestión y configuración?

En “Matriculaciones automáticas”, los dispositivos Windows 10/11 se añaden mediante el botón “Sincronizar” en Relution. En este punto, el dispositivo aún no debe estar inscrito.

Nota: Sólo cuando un dispositivo Windows 10/11 aparezca en la lista se podrá realizar la inscripción automática a través de Windows Autopilot con él.

Sección « Autoinscripciones » en Relution con la opción de agregar dispositivos Windows 10/11 mediante el botón « Sincronizar », si aún no están inscritos

¿Cómo se inscribe un dispositivo Windows 10/11 automáticamente en Relution después?

Después de reiniciar la unidad o durante la puesta en marcha inicial, la conexión de red se establece en el OOBE. Una vez hecho esto, la unidad se comunica con Azure y descarga el perfil de Autopilot.

A continuación, aparece la pantalla de inicio de sesión de la cuenta de Microsoft. Una vez que el usuario ha introducido sus credenciales, se produce la comunicación con Relution. Primero se llama al punto final de las condiciones de uso y luego se realiza la inscripción en Relution.

Si el usuario está depositado en Relution y hay una inscripción automática para el dispositivo, la inscripción tendrá lugar. Posteriormente, el dispositivo Windows 10/11 aparece en el inventario de dispositivos de la organización correspondiente en Relution y puede configurarse aún más a través de las políticas de Windows.