Windows Autopilot explicado: clásico vs device preparation

Un portátil nuevo cuesta dinero; prepararlo cuesta tiempo. A la antigua: la caja llega a TI, alguien la abre, borra el equipo, instala una imagen de la empresa, agrega drivers, apps y configuración, lo vuelve a empaquetar y lo envía. Un portátil lleva unas horas; cien, semanas.

Windows Autopilot le da la vuelta. El portátil va del proveedor directo al usuario, todavía sellado. Lo enciende, se conecta al Wi-Fi, inicia sesión con su cuenta de trabajo y la nube hace el resto. Sin imagen y sin TI en el medio. Veamos qué pasa detrás de esa pantalla de inicio de sesión.

Las piezas

Autopilot no es un solo producto. Son varios servicios de Microsoft, cada uno con una tarea:

• Windows. Autopilot conserva el Windows que trae el dispositivo y lo convierte en un PC de empresa durante la configuración inicial (OOBE).
• Microsoft Entra ID es la identidad. Cuando el usuario inicia sesión, el dispositivo se une a tu tenant (qué es unirse).
• Microsoft Intune es la gestión. Justo después de unirse, el dispositivo se inscribe e Intune envía apps, configuración y directivas de seguridad.
• El servicio Autopilot lo une todo: le dice al dispositivo durante la configuración que es tuyo y cómo configurarse.

Antes de que nada funcione:

1. Los usuarios necesitan licencias que incluyan Microsoft Entra ID P1 y al menos Intune Plan 1. Consulta Microsoft Learn para los requisitos actuales.
2. La inscripción automática debe estar activada en Intune, para que un dispositivo que se une a Entra también se inscriba. Es una de las cinco formas de inscribir Windows.
3. El usuario que inicia sesión debe tener permiso para unir dispositivos a Entra ID.

Hoy hay dos variantes: Windows Autopilot clásico y Windows Autopilot device preparation.

Dos variantes, lado a lado

	Autopilot clásico	Autopilot device preparation
Registro	Cada dispositivo registrado antes (hash de hardware)	Ninguno
Objetos de configuración	Perfil de implementación + Enrollment Status Page	Una directiva asignada a usuarios, más un grupo de dispositivos
Windows	Windows 10 y 11	Solo Windows 11
Tipo de unión	Entra join o unión híbrida	Solo Entra join
Modos	Por el usuario, autoimplementación, aprovisionamiento previo, dispositivos existentes	Por el usuario, más modo automático para Windows 365

Puedes usar ambos en el mismo tenant, pero un dispositivo ejecuta solo uno. Si un dispositivo está registrado para el clásico, gana el perfil clásico, salvo en dispositivos asociados (ver más abajo).

Autopilot clásico, paso a paso

1. Registro. El hash de hardware es una huella creada a partir del fabricante, el modelo y los números de serie. Tu proveedor o distribuidor puede subirlo al comprar, o TI puede capturarlo y subirlo como archivo.
2. El perfil. Asignas un perfil de implementación a un grupo de dispositivos, a menudo un grupo dinámico basado en una etiqueta de grupo (group tag). El dispositivo tiene que estar en ese grupo para recibir el perfil.
3. Primer arranque. El dispositivo se conecta y pregunta al servicio Autopilot a quién pertenece. La configuración omite las pantallas que no necesitas y muestra el inicio de sesión de tu empresa.
4. La Enrollment Status Page. Tras el inicio de sesión sigue tres fases: preparación del dispositivo, configuración del dispositivo y configuración de la cuenta. El usuario espera hasta que se instalan las apps y directivas marcadas como obligatorias. Después, el escritorio.

El clásico tiene además tres modos:

• Autoimplementación (self-deploying) para quioscos y dispositivos compartidos, sin inicio de sesión de usuario durante la configuración.
• Aprovisionamiento previo (pre-provisioning): un técnico o socio pulsa la tecla Windows cinco veces, instala antes las apps del dispositivo y vuelve a sellar la caja, para que la parte del usuario sea más corta.
• Dispositivos existentes: Configuration Manager reinstala Windows en PC que ya tienes y los pasa por Autopilot.

Device preparation, paso a paso

1. Dos grupos. Un grupo de dispositivos cuyo propietario es un servicio de Microsoft llamado Intune Provisioning Client, y un grupo de usuarios con las personas que configurarán sus propios PC.
2. Una directiva, asignada al grupo de usuarios. Indica el grupo de dispositivos y las apps y scripts que deben instalarse durante la configuración: hasta 25 apps y 10 scripts.
3. El usuario inicia sesión. Sin registro, el dispositivo aún no conoce tu empresa. Intune encuentra la directiva a través del usuario, el dispositivo se une a Entra, se inscribe en Intune y entra al grupo de dispositivos al momento (enrollment time grouping). Sin esperar a un grupo dinámico.
4. Configuración. No hay Enrollment Status Page: el usuario ve una pantalla con un porcentaje mientras se instalan las apps y scripts elegidos. Si uno falla, la configuración falla, salvo que permitas continuar.

Después, el escritorio, y el resto de apps y directivas llegan en segundo plano.

Confiar en el dispositivo

Muchas empresas bloquean la inscripción de dispositivos Windows personales. Sin registro, ¿cómo sabe Intune que un portátil nuevo es corporativo?

• Identificadores corporativos. Sube el fabricante, modelo y número de serie de los dispositivos comprados, e Intune los trata como corporativos al inscribirse. Solo hace falta si bloqueas los personales.
• Asociación de dispositivos (nuevo). Vincula un dispositivo físico a tu tenant antes de que nadie inicie sesión, con una marca en el firmware que el TPM puede demostrar. Un dispositivo asociado se marca como corporativo automáticamente y desbloquea extras como una plantilla de nombres y pantallas de configuración personalizadas. Necesita una actualización reciente de Windows 11 y hardware real con TPM 2.0; las máquinas virtuales no son compatibles.

Después del primer arranque

• Windows 365: el modo automático de device preparation se elige en la directiva de aprovisionamiento del Cloud PC, así que el Cloud PC se configura antes de que el usuario inicie sesión.
• Informes: device preparation tiene un informe casi en tiempo real en Intune con cada dispositivo, sus apps y scripts, y cuánto tardó la configuración.
• Autopilot Reset (clásico) borra los archivos, apps y ajustes del usuario pero mantiene el dispositivo unido e inscrito, listo para la siguiente persona. Se lanza desde la pantalla de bloqueo con Ctrl + Windows + R cuando una directiva lo permite, o en remoto desde Intune.
• Retirar un dispositivo: bórralo primero de Intune y después de la lista de dispositivos Autopilot. Si no, el PC del siguiente dueño seguirá creyendo que es tuyo.

Resumen

El dispositivo llega sellado del proveedor. El usuario inicia sesión. Entra sabe quién es, Intune configura el dispositivo y Autopilot le dice de quién es. El clásico registra cada dispositivo antes y hace más; device preparation no necesita registro y lo mantiene simple, en Windows 11.

¿Cuánto es lo máximo que ha tardado una configuración de Autopilot para ti? Cuéntamelo en los comentarios.