Entra registrado vs unido vs unido híbrido, explicado

Tres escritorios, tres portátiles: el mismo Windows, el mismo menú Inicio, las mismas apps. Pero abre el centro de administración de Microsoft Entra y cada uno muestra un tipo de unión distinto: Microsoft Entra registered (registrado), Microsoft Entra joined (unido) y Microsoft Entra hybrid joined (unido híbrido). Tres nombres casi iguales para tres relaciones muy distintas entre un dispositivo y tu empresa.

Por qué un dispositivo necesita una identidad

Microsoft Intune está construido sobre Microsoft Entra ID. Las directivas, apps y reglas de cumplimiento se asignan a identidades. Las personas tienen una, su cuenta de trabajo, y los dispositivos también.

Cuando un dispositivo se conecta a Entra, Entra crea un objeto de dispositivo, como una credencial. Lleva un ID de dispositivo único, el tipo de unión, quién es el dueño y qué sistema operativo usa. Esa credencial se revisa todo el tiempo:

• El acceso condicional la mira antes de dejarte entrar al correo o a Teams.
• Intune la usa para poner el dispositivo en los grupos correctos, con las directivas y apps correctas.
• Es parte de lo que te da el inicio de sesión único (SSO).

Hay tres formas de obtener esa credencial, y una misma empresa puede usar las tres a la vez.

Microsoft Entra registered: el pase de visitante

La más ligera de las tres, pensada para dispositivos personales (BYOD) y para teléfonos y tabletas. El dispositivo es del usuario, que inicia sesión con una cuenta local o una cuenta Microsoft personal y luego agrega su cuenta de trabajo:

• En Windows: Settings > Accounts > Access work or school, o la primera vez que abre una app de trabajo.
• En un Mac: con la app Company Portal.
• Funciona en Windows, macOS, iOS, Android y algunas ediciones de Linux.

Obtienes SSO a las apps en la nube y un dispositivo que el acceso condicional reconoce. Pero registrado no es lo mismo que gestionado: el registro solo da una identidad. La gestión va aparte, inscribiendo también el dispositivo en Intune o protegiendo solo las apps de trabajo con directivas de protección de aplicaciones.

• Pros: rápido, ligero, y el dueño mantiene el control.
• Contras: nadie inicia sesión en el dispositivo con una cuenta de trabajo, y TI tiene el menor control.

Los iPhone y los teléfonos Android solo pueden registrarse. Joined y hybrid joined son para computadoras.

Microsoft Entra joined: la credencial de empleado

El dispositivo es de la empresa y su identidad vive por completo en la nube. Inicias sesión en el propio dispositivo con tu cuenta de trabajo, la misma del correo y Teams.

Normalmente se une durante la configuración de Windows (“Set up for work or school”), con Windows Autopilot o inscripción masiva, o después desde Configuración. Con la inscripción automática activada, entra a Intune al mismo tiempo. Funciona en Windows 10 y 11 excepto Home, y opciones más nuevas permiten unir Mac y algunas ediciones de Linux.

La gran ventaja: no hay Active Directory local de por medio. Sin controlador de dominio y sin VPN solo para iniciar sesión, así que un portátil nuevo puede enviarse a casa de alguien y configurarse allí. Mantienes SSO, Windows Hello for Business e incluso los recursos compartidos e impresoras de la oficina cuando el dispositivo llega a un controlador de dominio.

Las contrapartidas:

• La directiva de grupo no se aplica, así que gestionas estos dispositivos con Intune.
• Las apps antiguas que necesitan una cuenta de equipo de Active Directory no funcionan.
• No puedes desplegarlos desde una imagen clásica con Sysprep.

Microsoft llama a Entra join la opción predeterminada para dispositivos nuevos y restablecidos.

Microsoft Entra hybrid joined: dos credenciales

Para organizaciones que ya tienen Active Directory local, a menudo con muchos PC unidos al dominio. El PC se une al dominio como siempre, luego Microsoft Entra Connect o Cloud Sync copia el equipo a Entra y el dispositivo se registra solo. Ahora tiene dos identidades, y los usuarios inician sesión con su cuenta de la organización como antes. Funciona en Windows 10 y 11 excepto Home, y en Windows Server 2016 a 2022.

¿Por qué elegirlo? Nada local se rompe: directiva de grupo, imágenes existentes, Configuration Manager y la co-gestión, y las apps que necesitan una cuenta de equipo de AD siguen funcionando, y además obtienes acceso condicional, SSO e Intune.

El costo: el dispositivo necesita llegar a un controlador de dominio de vez en cuando, o cosas como el cambio de contraseña empiezan a fallar y los usuarios remotos pueden necesitar VPN para iniciar sesión. Hay más piezas (la sincronización) y dos lugares que revisar cuando algo falla. Microsoft describe la unión híbrida como un paso intermedio hacia Entra join, no recomendado para dispositivos nuevos, Autopilot incluido.

Lado a lado

	Registrado	Unido	Unido híbrido
Dueño	Normalmente el usuario	Empresa	Empresa
Inicio de sesión en el dispositivo	Cuenta personal o local	Cuenta de trabajo de Entra	Cuenta de AD sincronizada con Entra
Necesita AD local	No	No	Sí
Directiva de grupo	No	No	Sí
Gestión completa de Intune	Solo si el usuario también inscribe	Sí	Sí
Plataformas	Teléfonos, tabletas, computadoras	Windows (opciones nuevas para Mac, Linux)	Solo Windows

Para comprobar un dispositivo, mira la columna Join type en el centro de administración de Entra, o ejecuta esto en Windows:

dsregcmd /status

• AzureAdJoined: YES significa unido.
• AzureAdJoined: YES y DomainJoined: YES significa unido híbrido.
• WorkplaceJoined: YES significa que el usuario registró el dispositivo.

¿Cuál elegir?

Empieza con una pregunta: ¿de quién es el dispositivo?

• Personal: regístralo. El usuario conserva su dispositivo; protege los datos de trabajo con directivas de protección de aplicaciones, o con inscripción si está de acuerdo.
• De la empresa y nuevo: únelo a Microsoft Entra. Es la ruta nativa de la nube y la opción predeterminada de Microsoft para dispositivos nuevos y restablecidos.
• PC de dominio existente que aún depende de recursos locales: la unión híbrida lo lleva a la nube hoy sin romper lo que funciona. Planifica el paso a Entra join en un momento natural, como una renovación de hardware, porque llegar ahí implica restablecer el dispositivo.

Un pase de visitante, una credencial de empleado o dos credenciales. ¿Qué tipo de unión usa tu empresa y por qué? Cuéntamelo en los comentarios.