Cómo inscribir un iPhone personal en Intune con Company Portal (BYOD)

Un iPhone personal puede unirse a Microsoft Intune con la app Company Portal. No hay restablecimiento ni supervisión: el usuario conserva su propio iPhone, e Intune administra la parte del trabajo. Esta guía sigue un tenant de laboratorio real: primero todo lo que el administrador prepara en el Intune admin center, luego cada pantalla del iPhone y, al final, lo que Intune muestra una vez inscrito.

¿Vas a inscribir tu propio iPhone? Haz esto.

1. Instala Intune Company Portal desde la App Store y ábrelo.
2. Inicia sesión con tu cuenta del trabajo y completa el inicio de sesión (aquí terminó en Microsoft Authenticator).
3. En Set up access, toca Begin, lee la pantalla de privacidad, luego Continue y Allow para descargar el perfil en Safari.
4. Abre Settings > General > VPN & Device Management, toca el Management Profile descargado y luego Install, tu código, Install otra vez y Trust.
5. Vuelve a Company Portal, toca Continue, espera la comprobación de la configuración del dispositivo y toca Done.

El resto de esta guía es el lado del administrador y cómo se ve cada paso.

¿Qué es la inscripción con Company Portal?

Microsoft Learn la llama Apple device enrollment: una forma de que empleados y estudiantes inscriban sus propios iPhone y iPad para el trabajo o la escuela. Tiene dos variantes:

• Device enrollment with Company Portal usa la app. Es la que cubre esta guía.
• Web based device enrollment ocurre en Safari, sin la app Company Portal.

Learn las compara lado a lado. Ninguna requiere restablecer el dispositivo, el propio usuario inicia la inscripción, es un usuario por dispositivo y no hay supervisión. El registro just-in-time funciona con las dos. La vía de la app necesita dos apps, Intune Company Portal y Microsoft Authenticator, y pasa por tres lugares: Company Portal, Safari y la app Ajustes (Settings).

Learn también recomienda la inscripción web con registro just-in-time como el método más seguro para la atestación del dispositivo, así que tenlo en cuenta al elegir.

La tabla comparativa de Learn todavía dice iOS 14 o posterior para la app. La página de sistemas operativos compatibles de Intune es la que cuenta: los dispositivos con afinidad de usuario, como estos iPhone personales, son compatibles desde iOS/iPadOS 18 (comprobado en noviembre de 2026).

Después de la inscripción, el usuario puede cambiar el nombre, quitar, bloquear de forma remota y comprobar el estado de su dispositivo en Company Portal. Cambiar el nombre solo cambia el nombre en Company Portal, no en Intune.

Antes de empezar

La guía de Learn para iPhone personales enumera tres cosas: dispositivos compatibles, un certificado Apple MDM push activo y una directiva de inscripción. En el laboratorio se ve así:

1. Certificado Apple MDM push. Devices > Enrollment > Apple: el nuestro aparece Active, con 365 días hasta que caduque. Es válido un año y se renueva con la misma cuenta de Apple que lo creó. ¿Aún no tienes uno? Así se crea.
2. Entidad de MDM. Tenant administration > Tenant status muestra Microsoft Intune. En un tenant de prueba nuevo ya viene configurada.
3. Licencia. Cada usuario que inscribe necesita al menos Intune Plan 1. En el Microsoft 365 admin center, la lista de apps del usuario muestra Microsoft Intune Plan 1 activado. Consulta en Microsoft Learn qué planes lo incluyen.
4. Grupos. Un grupo de seguridad para usuarios con pertenencia asignada (nuestro usuario tutorial es su único miembro) y un grupo dinámico de dispositivos con la regla device OS type equals iPhone, or iPad. Los iPhone y iPad inscritos entran en él solos.
5. Filtro de asignación. Un filtro para iOS/iPadOS con device ownership equals Personal. Las directivas asignadas a usuarios pueden usarlo para llegar solo a dispositivos personales.

Restricciones de inscripción

Learn enumera dos tipos: device platform restrictions (plataforma) y device limit restrictions (límite de dispositivos).

Restricciones de plataforma. Devices > Enrollment > Device platform restrictions y luego la pestaña de restricciones de iOS. De serie hay una directiva, la Default, asignada a todos los usuarios. En Create restriction, Platform settings tiene tres opciones:

• MDM: Allow o Block.
• Allow min/max range: la versión de iOS más antigua y la más nueva que pueden inscribirse.
• Personally owned devices: Allow o Block.

El laboratorio deja MDM y los dispositivos personales en Allow, con un mínimo de 18.0. La página indica que las restricciones de versión solo se aplican a dispositivos inscritos con Company Portal. Asígnala al grupo piloto de usuarios, revisa y crea. La nueva restricción queda con prioridad 1, por encima de la Default, y un dispositivo sigue la restricción de mayor prioridad asignada a su usuario.

Restricciones de límite de dispositivos. La predeterminada permite 5 dispositivos por usuario, y una restricción nueva puede ir de 1 a 15. El laboratorio usa 10 para el mismo grupo de usuarios, y también queda por encima de la predeterminada.

Una nota de Learn: las restricciones de inscripción no son funciones de seguridad. Un dispositivo comprometido puede hacerse pasar por otra cosa; son una barrera de máximo esfuerzo para usuarios sin malas intenciones.

El perfil de tipo de inscripción

Enrollment > Enrollment types: la lista empieza vacía. Create profile, iOS/iPadOS. En Basics, un nombre y una descripción (los usuarios no ven estos datos). En Settings, el menú Enrollment type tiene cuatro opciones:

• Web based device enrollment: la inscripción ocurre en la versión web de Company Portal, sin la app.
• Account driven user enrollment: el usuario añade su cuenta del trabajo en Ajustes, e Intune administra un conjunto concreto de funciones y apps de trabajo.
• Device enrollment with Company Portal: la inscripción típica en la app Company Portal. Se administra todo el dispositivo, no solo apps concretas.
• Determine based on user choice: el usuario elige durante la inscripción, y se usa la inscripción de usuario o la de dispositivo.

El laboratorio elige Device enrollment with Company Portal. La guía de Learn enumera lo que trae: los certificados pueden aplicarse a todo el dispositivo, los usuarios instalan las actualizaciones ellos mismos y un usuario debe estar asociado al dispositivo. Asigna el grupo piloto de usuarios, revisa y crea. El perfil aparece con prioridad 1. Si un usuario recibe más de un perfil, Intune aplica el de mayor prioridad, y puedes arrastrar para reordenar.

Directiva de cumplimiento

Antes de cualquier directiva están las Compliance policy settings, que se aplican a todo el tenant:

• Mark devices with no compliance policy assigned as: el valor predeterminado es Compliant. El laboratorio usa Not compliant, el valor que Learn indica cuando usas Acceso condicional.
• Compliance status validity period: 30 días de forma predeterminada.

Luego, la directiva: Create policy, plataforma iOS/iPadOS, un nombre y una descripción. Compliance settings tiene cinco grupos: Email, Device Health, Device Properties, Microsoft Defender for Endpoint y System Security. El laboratorio configura:

• Device Health: bloquear dispositivos con jailbreak.
• Device Properties: versión mínima del sistema 18.0.
• System Security: exigir contraseña, con longitud mínima 6.

En Actions for noncompliance está Mark device noncompliant, immediately; toda directiva incluye esa acción de forma predeterminada. Asígnala al grupo piloto de usuarios, revisa y crea.

Lo que necesita el usuario

La guía de usuario de Learn enumera el navegador Safari, una versión de iOS compatible (hoy, para Intune, iOS 18 o posterior), una conexión Wi-Fi estable, la app Intune Company Portal y la última versión de Microsoft Authenticator. Learn también advierte que hacer una pausa de más de unos minutos puede hacer que Company Portal se cierre o termine la configuración.

En el laboratorio, el usuario es tutorial, con una licencia asignada, y Microsoft Authenticator ya está registrado como método de inicio de sesión, así que el inicio de sesión en el iPhone puede terminar ahí.

En el iPhone: la app y el inicio de sesión

1. Abre la App Store, busca Company Portal e instala Intune Company Portal de Microsoft. Luego, Open.
2. Inicia sesión con la cuenta del trabajo, aquí en nuestra página de inicio de sesión personalizada.
3. Elige Face, fingerprint, PIN or security key. iOS ofrece un código QR para usar una passkey de otro dispositivo, y Microsoft Authenticator se abre y completa el inicio de sesión.
4. Company Portal pide enviar notificaciones, para que el usuario no pierda el acceso a los recursos del trabajo: Ok y luego Allow.
5. Set up howtomecm access enumera cuatro pasos: revisar la información de privacidad, descargar el perfil de administración, instalarlo y comprobar la configuración del dispositivo. Begin.

La pantalla de privacidad. Lo que la empresa no puede ver: historial de navegación, correo personal, documentos, contactos y calendario, contraseñas, fotos y la ubicación de un dispositivo personal. Lo que sí puede ver: el modelo, el número de serie y el sistema operativo, el nombre del dispositivo y la información de apps y redes del trabajo. También puede restablecer un dispositivo perdido o robado. Si la empresa lo configura, puede ver el número de teléfono completo, todas las apps instaladas y la ubicación de un dispositivo perdido. Continue.

En el iPhone: el perfil de administración

1. Descargar. Continue abre Safari, que pide descargar un perfil de configuración: Allow, Touch ID y Close. De vuelta a Company Portal.
2. Instalar. En Settings > General > VPN & Device Management está el Management Profile descargado. Install, el código y Install otra vez. Nuestro iPhone pidió Touch ID para inscribirse en MDM.
3. Confiar. La advertencia dice que instala el certificado raíz de Microsoft y permite al administrador gestionar el iPhone de forma remota. Install y luego Trust.
4. El perfil inscribe sus certificados y muestra Profile Installed. Contiene Mobile Device Management, dos certificados y un certificado de identidad de dispositivo ACME.
5. Comprobar. De vuelta en Company Portal, Continue. Checking device settings tardó unos doce segundos en el laboratorio, y luego You’re all set: Done. Company Portal registra el dispositivo: Success! You’re registered!

En Devices, en Company Portal, el iPhone muestra Can access company resources y Ownership type: Personal.

Después de descargar el perfil, instálalo en un tiempo limitado. Si caduca, descárgalo de nuevo desde Company Portal.

Comprobarlo en Intune

• Apple mobile devices: el iPhone está administrado por Intune, propiedad Personal, conforme, iOS 27.0.1, con tutorial como usuario principal.
• Información general del dispositivo: las mismas insignias, Compliant y Personal, y el estado de cumplimiento: dos directivas, ambas conformes.
• Device compliance: nuestra directiva de cumplimiento de iOS y la Default Device Compliance Policy integrada. Abre la nuestra, y cada configuración indica Compliant: versión mínima del sistema, longitud mínima de la contraseña, exigencia de contraseña y dispositivos con jailbreak.
• Grupo dinámico de dispositivos: recogió el iPhone solo. Un miembro, y el estado de procesamiento de las reglas dinámicas dice Succeeded.
• Filtro de asignación: la vista previa del filtro Personal ahora coincide con el dispositivo.

¿Puedo inscribir un iPhone personal sin Company Portal?

Sí. Web based device enrollment se hace en Safari y en la app Ajustes, y solo necesita Microsoft Authenticator. Account driven user enrollment empieza desde la cuenta del trabajo en Ajustes. Los iPhone de la empresa usan otros métodos, como Automated Device Enrollment o Apple Configurator. Mira nuestro explicativo de inscripción de Apple en Intune con todos los métodos lado a lado y la guía de inscripción de iOS/iPadOS de Microsoft.

Fuentes

• Microsoft Learn, Overview of Apple device enrollment
• Microsoft Learn, iOS/iPadOS enrollment guide
• Microsoft Learn, What are enrollment restrictions?, device platform restrictions y device limit restrictions
• Microsoft Learn, iOS/iPadOS compliance settings
• Microsoft Learn, Set up your personal iOS device
• Microsoft MD-102: Microsoft 365 Endpoint Administrator (Módulo 4, inscripción de dispositivos iOS/iPadOS; restricciones de inscripción)

Ese es el camino completo: certificado push activo, Intune como entidad de MDM, al menos Intune Plan 1, grupos y un filtro, restricciones de inscripción, el perfil de tipo de inscripción y una directiva de cumplimiento; luego Company Portal, el inicio de sesión, el perfil en Ajustes y Success. Company Portal o inscripción web: ¿cuál usan tus usuarios? Cuéntamelo en los comentarios.