Comprobar preparación para la inscripción en Intune
Comprobar si este usuario puede inscribir dispositivos en Intune
Descripción
Comprueba si este usuario está listo para inscribir un dispositivo en Intune e informa Listo, Listo con advertencias o No listo junto con los bloqueadores encontrados. La comprobación cubre el estado de la cuenta, la licencia de Intune, el límite de inscripción de dispositivos, las restricciones de plataforma y las directivas de Conditional Access que apuntan al registro o inscripción de dispositivos. No se cambia nada. Los detalles sobre las comprobaciones están en la documentación del runbook (docs.realmjoin.com).
Notas de interpretación
Comprobaciones realizadas: estado de la cuenta, licencia de Intune y plan de servicio, autoridad MDM del Tenant, límite de inscripción de dispositivos, restricciones de plataforma, métodos de autenticación registrados, directivas de Conditional Access y, opcionalmente, pertenencia al grupo piloto.
Conditional Access se evalúa como un "What If" estático frente al inicio de sesión de inscripción para el
Plataforma de inscripción; la propia herramienta What If de Entra sigue siendo la autoridad.Los requisitos de dispositivo compatible en las directivas de "All resources" no bloquean la inscripción (una exención de Entra documentada); solo las directivas que apuntan al registro de dispositivos o a las aplicaciones de inscripción de Intune se tratan como barreras estrictas.
No se evalúan estáticamente: ubicaciones con nombre, filtros de dispositivo, frecuencia de inicio de sesión y condiciones de uso.
Los Temporary Access Passes caducados o ya utilizados no se cuentan como métodos utilizables.
Requisitos previos
La autoridad MDM del Tenant debe ser "intune" o "office365"; otros valores bloquean a todos los usuarios.
Qué se comprueba
El veredicto de preparación combina estas comprobaciones:
Estado de la cuenta (habilitada, no bloqueada) y una licencia de Intune asignada al usuario.
El límite de inscripción de dispositivos del Tenant para el usuario y las restricciones de plataforma de la configuración de inscripción.
Directivas de Conditional Access que apuntan explícitamente al registro de dispositivos o a la inscripción en Intune. Las directivas que requieren un dispositivo compatible mediante Todos los recursos están exentos por diseño de Microsoft Entra y, por lo tanto, no se cuentan como bloqueadores.
Las directivas con ámbito de plataforma y los requisitos de aplicaciones cliente solo para navegador se evalúan frente a la plataforma de inscripción elegida; con Todas las plataformas cada plataforma se evalúa y se informa por separado.
El runbook solo lee; no cambia nada en el usuario ni en el Tenant.
Ubicación
Usuario → General → Comprobar preparación para la inscripción en Intune
Nombre completo del runbook
rjgit-user_general_check-intune-enrollment-readiness
Detalles
Versión
1.0.0
Módulos requeridos
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0)
Programable
no
Permisos
Permisos de aplicación
Tipo: Microsoft Graph
DeviceManagementServiceConfig.Read.All
Lee /deviceManagement/deviceEnrollmentConfigurations (configuraciones de límite y restricción de plataforma, con asignaciones expandidas) para evaluar los resultados de límite de inscripción y restricción de plataforma
Group.Read.All
Lee /groups?$filter=displayName eq '...' para resolver por nombre el grupo piloto opcional
GroupMember.Read.All
Lee /groups/{id}/transitiveMembers/microsoft.graph.user para comprobar la pertenencia al grupo piloto y /users/{id}/transitiveMemberOf/microsoft.graph.group para resolver las pertenencias a grupos del usuario de destino para el ámbito include/exclude de grupos de Conditional Access
Organization.Read.All
Lee /v1.0/organization/{tenantId}?$select=id,displayName,mobileDeviceManagementAuthority para determinar la autoridad MDM del Tenant, una comprobación de bloqueo de inscripción incondicional a nivel de Tenant; el ID del Tenant se toma de Get-MgContext como ruta rápida, recurriendo a GET /v1.0/organization?$select=id cuando el contexto de Graph no devuelve uno
Policy.Read.All
Lee /identity/conditionalAccess/policies para evaluar las directivas habilitadas que podrían bloquear la inscripción en Intune para el usuario
RoleManagement.Read.Directory
Rellena el roleTemplateId de los objetos directoryRole devueltos por /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole, contra los que se compara el ámbito includeRoles/excludeRoles de Conditional Access. User.Read.All autoriza la llamada en sí, pero deja nulas las propiedades de directoryRole, lo que haría que, silenciosamente, todas las directivas con ámbito de rol parecieran no aplicarse
User.Read.All
Lee /users/{id} (accountEnabled, assignedLicenses, usageLocation) para resolver el usuario de destino, /subscribedSkus para determinar qué licencias incluyen un plan de servicio de Intune, /users/{id}/ownedDevices para contar los dispositivos registrados frente al límite de inscripción, y /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole para resolver los roles de directorio del usuario para el ámbito includeRoles/excludeRoles de Conditional Access
UserAuthenticationMethod.Read.All
Lee /users/{id}/authentication/methods para determinar si el usuario tiene un método registrado que pueda satisfacer los controles de concesión MFA de Conditional Access
Parámetros
UserName
Nombre principal de usuario del usuario sobre el que actúa el runbook. Establecido por el portal a partir del usuario seleccionado.
Requerido
verdadero
Valor predeterminado
Tipo
Cadena
Oculto en el portal
sí (preestablecido mediante la personalización del runbook)
Plataforma de inscripción
Plataforma del dispositivo que el usuario quiere inscribir. Las directivas de Conditional Access con ámbito en otras plataformas se ignoran; All platforms comprueba todas las plataformas e informa de cada una.
Requerido
falso
Valor predeterminado
Windows
Tipo
Cadena
Nombre para mostrar en el portal
Plataforma a inscribir
Opciones del portal
Windows
Windows
iOS / iPadOS
iOS
Android
Android
macOS
macOS
Todas las plataformas
Todas
Comprobar pertenencia al grupo piloto
Además, requiere que el usuario esté en el grupo piloto. Los no miembros se informan como No listo.
Requerido
falso
Valor predeterminado
Falso
Tipo
Booleano
Nombre para mostrar en el portal
¿Comprobar la pertenencia al grupo piloto?
Nombre para mostrar del grupo piloto
Los miembros de este grupo cuentan como usuarios piloto. El grupo se busca por su nombre para mostrar.
Requerido
falso
Valor predeterminado
col - Todos los usuarios - Piloto (usuarios)
Tipo
Cadena
Nombre para mostrar en el portal
Nombre del grupo piloto
Última actualización
¿Te fue útil?