Inscripción de Android en Intune explicada: cada modo y cuándo usarlo

Tres dispositivos Android. Uno es tu propio teléfono, con tus fotos y tus grupos de chat. Otro es un teléfono que la empresa compró para trabajar. Y el tercero es un escáner de almacén que no es de nadie. Intune puede gestionar los tres, pero trata a cada uno de forma distinta. La guía de inscripción de Microsoft revisa cuatro cosas para decidir cómo.

Lo que necesitas primero

1. La autoridad MDM configurada en Intune.
2. Licencias. Cada usuario necesita al menos una licencia de Intune Plan 1. Algunos planes de Microsoft la incluyen y las licencias cambian, así que consulta la página de licencias de Intune en Microsoft Learn. Los dispositivos dedicados sin usuario pueden usar una licencia solo de dispositivo, pero no tienen protección de aplicaciones ni acceso condicional.
3. Permisos. El rol Policy and Profile Manager cubre casi todo el trabajo de inscripción. Conectar Google Play administrado necesita Intune Administrator, y la cuenta de Entra que vincules debe tener buzón.
4. Google Play administrado. Antes de inscribir cualquier dispositivo Android Enterprise, conecta Intune a Google Play administrado, una vez por tenant. Microsoft recomienda usar una cuenta de Microsoft Entra en lugar de Gmail. Intune agrega por ti la app Intune, Authenticator, Company Portal y Managed Home Screen. Si alguna vez lo desconectas, la gestión de Android Enterprise se detiene en todo el tenant.
5. Grupos de usuarios y dispositivos listos, para que los dispositivos nuevos caigan en el lugar correcto.

El mapa: cuatro preguntas

Android en el trabajo funciona sobre Android Enterprise, el marco de gestión de Google, e Intune construye sus opciones principales encima.

1. ¿Tiene servicios de Google? No (muchos visores de realidad virtual) → AOSP.
2. ¿De quién es? Personal → perfil de trabajo personal. De la empresa → un modo corporativo.
3. ¿Tiene usuario? No (quiosco, escáner) → dedicado.
4. Teléfono de empresa con un usuario: ¿se permite uso personal? Solo trabajo → totalmente gestionado. Trabajo y personal → perfil de trabajo corporativo.

Nombre corto	Modo
BYOD	Bring your own device: perfil de trabajo personal
COBO	Corporate-owned, business-only: totalmente gestionado
COPE	Corporate-owned, personally enabled: perfil de trabajo corporativo
COSU	Corporate-owned, single-use: dedicado
AOSP	Android Open Source Project: dispositivos sin servicios de Google
DA	Device administrator: la forma antigua

Teléfonos personales: el perfil de trabajo

Android divide el teléfono en dos. Las apps de trabajo viven en su propio espacio con un pequeño maletín; las personales se quedan donde están e Intune no las gestiona.

• TI puede ver: modelo, fabricante, número de serie, IMEI, versión de Android, los últimos cuatro dígitos del número de teléfono y las apps que gestiona en el perfil de trabajo.
• TI no puede ver: fotos, mensajes, historial de llamadas y navegación, contactos, contraseñas ni ubicación.
• Al irte de la empresa: TI retira el dispositivo, lo que borra solo el perfil de trabajo.

Si incluso eso parece demasiado, las directivas de protección de aplicaciones sin inscripción son una opción más ligera.

Inscripción web y el gran cambio

La nueva Android Management API de Google ya gestionaba los dispositivos de empresa en Intune, y en junio de 2026 los perfiles de trabajo personales empezaron a pasarse a ella. Con ella llega la inscripción web: el usuario abre un enlace como aka.ms/enrollmyandroid (o llega desde Teams u Outlook), inicia sesión con su cuenta de trabajo en el navegador, acepta y Android crea el perfil de trabajo. Sin instalar una app antes, y es lo predeterminado en tenants nuevos.

Después, la app Microsoft Intune es la principal del dispositivo, y Company Portal sigue ahí para ver apps de trabajo. El flujo antiguo, instalar Company Portal primero, se está retirando. Activar la inscripción web aplica a todo el tenant y no se puede desactivar.

Teléfonos de empresa

La empresa es dueña del hardware, así que TI tiene más control. Estos dispositivos empiezan desde un restablecimiento de fábrica y se configuran desde la caja. Ambos modos requieren Android 10 o posterior.

• Totalmente gestionado (COBO): solo trabajo, un usuario. TI gestiona todo el dispositivo: qué apps se pueden instalar, si el usuario puede quitarlas e incluso si el teléfono se puede restablecer. TI ve todas las apps y la ubicación si se pierde.
• Perfil de trabajo corporativo (COPE): un teléfono de empresa que el usuario también puede usar para lo personal. Tiene un perfil de trabajo, así que lo personal sigue privado, pero TI controla algunos ajustes del dispositivo como el bloqueo de pantalla, Bluetooth y roaming. Microsoft señala COPE como una forma de evitar que la gente inscriba sus propios teléfonos.

Dispositivos dedicados

Dispositivos que no son de una persona: un escáner de almacén, una tableta de check-in, una pantalla con el menú. No tienen usuario, y TI los fija a una app o a unas pocas en Managed Home Screen. Para dispositivos compartidos entre turnos existe dedicado con el modo de dispositivo compartido de Microsoft Entra: el trabajador inicia sesión al empezar el turno y la cierra al terminar, y las apps compatibles lo siguen. Los dedicados requieren Android 8 o posterior y empiezan desde un restablecimiento de fábrica.

Antes de inscribir un dispositivo de empresa

• Restablécelo de fábrica y desinscríbelo de cualquier otro MDM primero.
• Crea un perfil de inscripción para el modo y ten listo el grupo de dispositivos. Cuando un perfil está en uso, no lo renombres, porque puede detener inscripciones futuras.
• Para totalmente gestionado y COPE también existe un token de preconfiguración (staging): TI o un proveedor hace la configuración antes y el usuario solo inicia sesión en la app Intune.
• Una cuenta de administrador de inscripción de dispositivos puede inscribir perfiles de trabajo personales, pero no dispositivos de empresa.
• La app depende del modo: la app Intune maneja dedicados, totalmente gestionados, COPE y perfiles de trabajo inscritos por navegador; Company Portal es para perfiles de trabajo creados con la app; los AOSP reciben la app Intune y Authenticator.

Cómo se inscriben los dispositivos de empresa

Cada opción empieza en la primera pantalla de configuración y usa un token del perfil de inscripción:

• Código QR, la recomendación de Microsoft para la mayoría de casos: toca varias veces la pantalla de bienvenida y escanea el código de Intune.
• NFC: acerca el dispositivo a una etiqueta NFC o a otro dispositivo con los datos de inscripción.
• afw#setup: escríbelo en la pantalla de inicio de sesión de Google en lugar de un correo, y luego escanea el código o escribe el token.
• Zero-touch: los dispositivos de un distribuidor autorizado se asignan a tu organización antes del envío y se inscriben solos al primer arranque. El equivalente de Samsung es Knox Mobile Enrollment.

Desde Android 11, los COPE no pueden usar NFC ni afw#setup; usa QR, zero-touch o Knox.

Sin Google, y la forma antigua

La gestión AOSP es para dispositivos sin servicios de Google, como los visores Meta Quest o RealWear. Existe sin usuario (compartido) o asociada a un usuario; en ambos casos se inscribe por QR, de uno en uno, y las apps de Microsoft, incluido Authenticator, se instalan durante la configuración. Solo pueden usarla los dispositivos de la lista compatible de Microsoft.

El administrador de dispositivos es la forma antigua. Google lo dejó obsoleto hace años y, desde finales de 2024, Intune ya no lo admite en dispositivos con servicios de Google. Pasa los teléfonos DA que queden a un perfil de trabajo con una directiva de cumplimiento que guía al usuario, o solo a protección de aplicaciones. Los dispositivos Android certificados para Teams son la excepción y siguen en DA por ahora. Bloquea el administrador de dispositivos en las restricciones de plataforma de inscripción para que nada vuelva a él, y de paso fija el límite de dispositivos por usuario.

Resumen

Tu propio teléfono recibe un perfil de trabajo, ahora desde el navegador. El teléfono de empresa es totalmente gestionado, o COPE si se permite uso personal. El escáner del almacén es un dispositivo dedicado. Y sin Google, está AOSP. Intune admite Android 10 o posterior para dispositivos con usuario, y Android 8 o posterior para los que no tienen usuario.

¿Qué dispositivo Android de tu flota no encaja en ninguna de estas categorías? Cuéntamelo en los comentarios.