> For the complete documentation index, see [llms.txt](https://docs.realmjoin.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.realmjoin.com/es/ugd-management/user-and-group-settings/additional-settings.md).
# Políticas de RealmJoin disponibles
Referencia de los ajustes y políticas disponibles de RealmJoin Client configurables por usuario o grupo.
El siguiente artículo le muestra una lista de posibles configuraciones/políticas del cliente RealmJoin. Estas pueden configurarse y asignarse por [usuario o grupo](/es/ugd-management/user-group-device-management.md).
Cada configuración consta de una **clave** y un **valor**:
* La clave es una ruta separada por puntos (por ejemplo `Integration.Notification` ). RealmJoin combina el valor en la configuración del cliente en esa ruta, por encima de los [valores predeterminados de todo el tenant](/es/ugd-management/user-and-group-settings.md#tenant-default-values).
* El valor debe ser JSON válido, incluidos valores simples como `true` o `"release"` (entre comillas, sin corchetes).
{% hint style="info" %}
Un valor de `undefined` **elimina** la clave de la configuración efectiva. Use esto para quitar un valor que un ámbito más amplio (la configuración del cliente de todo el tenant o "RealmJoin - All Users") haya establecido, en lugar de sobrescribirlo con un valor diferente.
{% endhint %}
{% hint style="info" %}
Las claves `Allow.*`, `Restrict.*` y `SoftwarePackageOverrides.*` son evaluadas por el backend de RealmJoin y se eliminan de la configuración antes de enviarse a un dispositivo; nunca llegan al cliente.
{% endhint %}
### Permite a los usuarios acceder a RealmJoin LAPS para sus dispositivos
Los usuarios pueden acceder a diferentes tipos de LAPS para dispositivos de su propiedad visitando el portal de RealmJoin.
**Clave**
Allow\.SelfLAPS
**Valor**
```
true | false
```
o por tipo de cuenta
```
{
"EmergencyAccount": true,
"SupportAccount": true,
"PrivilegedAccount": true
}
```
Véase [Solución de contraseña de administrador local (LAPS)](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md#enable-self-service) para la descripción completa de autoservicio.
{% hint style="info" %}
`Allow.*` las configuraciones no siguen la precedencia habitual de "el ámbito más estrecho gana". Todos los valores asignados al usuario y a sus grupos se combinan, y una `false` siempre prevalece sobre cualquier `true`.
{% endhint %}
{% hint style="warning" %}
`Allow.*` y `Restrict.*` se resuelven según las pertenencias del usuario a grupos de **Entra ID**. Asignarlos al grupo integrado "RealmJoin - All Users" no tiene efecto: use un grupo real de Entra ID o asígnelos directamente al usuario.
{% endhint %}
### Permite a los usuarios acceder a Intune LAPS para sus dispositivos
Los usuarios pueden acceder y rotar la contraseña de LAPS para sus dispositivos.
**Clave**
Allow\.SelfLAPSIntune
**Valor**
```
true | false
```
o específicamente:
```
{
"CanReadPassword": true,
"CanRotatePassword": false
}
```
A partir de **Portal v2026.29**, el acceso puede limitarse **por plataforma** (Windows/macOS). Una propiedad específica de la plataforma anula la genérica `CanReadPassword`/`CanRotatePassword` para la plataforma de dispositivo correspondiente:
```
{
"CanReadPasswordWindows": true,
"CanRotatePasswordWindows": true,
"CanReadPasswordMacOS": true,
"CanRotatePasswordMacOS": false
}
```
Un valor de cadena simple actúa como `true` solo para la plataforma correspondiente:
```
"windows"|"macos"
```
El acceso solo se concede al usuario principal del dispositivo o al propietario registrado. Igual que con `Allow.SelfLAPS`, todos los valores asignados se combinan y un `false` prevalece sobre cualquier `true`.
### Configura BranchCache para paquetes RJ
Esta configuración cambia el modo BranchCache para **nuevos** clientes.
**Clave**\
BranchCache.Mode
**Valor**
```
"Distributed"|"Undefined"
```
### Configura DomainConnect para dominios heredados
Las siguientes configuraciones configuran DomainConnect para dominios heredados.
**Clave**\
DomainConnect.CredentialName
**Valor**
```
"RealmJoin (dominio)"
```
**Clave**\
DomainConnect.Domain
**Valor**
```
"domain.contoso.net"
```
**Clave**\
DomainConnect.NetBIOS
**Valor**
```
"contoso"
```
### Configura el canal de lanzamiento de RealmJoin
Esta configuración cambia el canal del usuario / grupo de usuarios con la siguiente actualización del cliente RealmJoin.
**Clave**\
Environment.Channel
**Valor**
```
"release" | "beta" | "canary"
```
{% hint style="info" %}
Esta configuración se ignora en clientes VDI compartidos: siempre permanecen en el canal de su imagen.
{% endhint %}
### Configura RealmJoin ESP
Cambia si se realiza el reinicio predeterminado después de la instalación inicial del agente RealmJoin.
**Clave**
FirstRun.AfterSuccessAction
**Valor**
```
"none" | "logoff" | "restart"
```
Cambia si se muestra el ESP de RJ.
Si la pantalla de implementación debe deshabilitarse para usuarios secundarios, la variable del sistema *$env:RjDisableSecondaryInitialDeployment = 1* debe establecerse antes del primer inicio de sesión de SU.
**Clave**
FirstRun.DisableDeploymentScreen
**Valor**
```
"true" | "false"
```
Mostrar la pantalla de implementación en escritorio restringido o seguro.
**Clave**
FirstRun.EnableSecureDesktop
**Valor**
```
"true" | "false"
```
### Permitir degradación de paquetes
Permite la degradación de aplicaciones ya instaladas mediante actualización automática, si se cambia el número de versión. Se aplica a todos los paquetes asignados a usuarios que reciben la directiva mediante configuraciones de grupo o de usuario.
**Clave**
SoftwarePackaging.AutoUpgradeCanDowngrade
**Valor**
```
"true" | "false"
```
### Anulación global del comportamiento de los paquetes de software
Estas configuraciones están pensadas principalmente para usuarios de Deployment/DEM en dispositivos compartidos. Se aplican a **todos** los paquetes de software asignados al usuario receptor.
Fuerza el indicador de instalación en segundo plano en cada paquete.
**Clave**
SoftwarePackageOverrides.AllowBackgroundInstall
**Valor**
```
true | false
```
Ignora la parte de fase de las [restricciones de la parte principal de la aplicación / usuario](/es/administracion-de-aplicaciones/packages/package-settings.md) (Inicio de sesión, Manual, Inicial, Normal) de cada paquete.
**Clave**
SoftwarePackageOverrides.IgnorePhaseRestrictions
**Valor**
```
true
```
Ignora la parte de usuario principal/secundario de esas restricciones de cada paquete.
**Clave**
SoftwarePackageOverrides.IgnoreUserRestrictions
**Valor**
```
true
```
{% hint style="info" %}
`IgnorePhaseRestrictions` y `IgnoreUserRestrictions` solo surten efecto cuando se establecen en `true`; `false` es lo mismo que no configurarlas en absoluto. Las restricciones solo pueden levantarse de esta manera, nunca añadirse.
Cuando el usuario principal del dispositivo es un usuario de despliegue (DEM), estas anulaciones también se aplican a los paquetes que los usuarios secundarios heredan de ese usuario de despliegue.
{% endhint %}
### Función de AnyDesk
Esta configuración habilita o deshabilita la [función de AnyDesk](/es/agente-de-realmjoin/realmjoin-client/anydesk-integration.md).
**Clave**\
Integration.AnyDesk
**Valor**
```json
{
"Enabled": true | false,
"BootstrapperUrl": "https://.../.../AnyDesk.exe",
"CustomClientSuffix": "myorg",
"Ui": {
"TrayMenuTextEnglish": "Iniciar sesión remota"
}
}
```
* **Habilitado:** Activa o desactiva la integración de AnyDesk.
* **BootstrapperUrl:** Ubicación de descarga del cliente AnyDesk utilizado por la integración.
* **CustomClientSuffix:** Sufijo de su cliente AnyDesk personalizado. Se usa para construir el `anydesk:` vínculo que el portal de RealmJoin abre al iniciar una sesión. Omítalo cuando utilice el cliente genérico.
* **Ui.TrayMenuTextEnglish:** Texto de la entrada en el menú de la bandeja de RealmJoin. De forma predeterminada, `"Iniciar sesión remota"`.
### Función ExecutionMonitor
Esta configuración habilita o deshabilita la función ExecutionMonitor.
**Clave**\
Integration.ExecutionMonitor
**Valor**
```json
{
"Enabled": true | false,
"UpdateInterval": "08:00"
}
```
### Función Notifier
Esta configuración habilita o deshabilita la [función Notifier](/es/agente-de-realmjoin/realmjoin-client/showing-notifications.md) y también activa o desactiva la interfaz de usuario del editor.
**Clave**\
Integration.Notification
**Valor**
```json
{
"Enabled": true | false,
"SourceUrl": "URL_PROVIDED_BY_GK",
"FallbackCulture": "en",
"CheckInterval": "00:01"
}
```
* **Habilitado:** Activa o desactiva Notifier.
* **SourceUrl:** Ubicación de las definiciones de notificación. Este valor lo crea RealmJoin cuando la función está habilitada para su tenant: no lo cambie.
* **FallbackCulture:** Idioma utilizado cuando una notificación no tiene contenido para el idioma del usuario. De forma predeterminada, `"en"`.
* **CheckInterval:** Con qué frecuencia el cliente busca nuevas notificaciones ([HH:mm](https://learn.microsoft.com/en-us/dotnet/standard/base-types/standard-timespan-format-strings)). De forma predeterminada, `"00:01"`.
### Funciones de LocalAdminManagement
Esta sección le muestra todas las configuraciones necesarias para las funciones de LocalAdminManagement. Para más detalles sobre esta función, lea el [artículo de Solución de contraseña de administrador local](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md).
**Clave**\
LocalAdminManagement.Inactive
**Valor**
```
false
```
**Clave**\
LocalAdminManagement.CheckInterval
**Valor**
```
"00:05"
```
**Clave**\
LocalAdminManagement.EmergencyAccount
**Valor**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Cuenta de emergencia local",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14
}
```
**Clave**\
LocalAdminManagement.SupportAccount
**Valor**
```json
{
"MaxStaleness": "00:45",
"NamePattern": "ADM-{HEX:4}",
"DisplayName": "Administrador local de soporte",
"PasswordCharSet": "1234567890ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz",
"PasswordLength": 14,
"OnDemand": true | false
}
```
**Clave**\
LocalAdminManagement.PrivilegedAccount
**Valor**
```json
{
"NamePattern": "Privileged-User-{COUNT:1}",
"DisplayName": "Usuario con privilegios",
"PasswordRenewals": ["DayAfterCreate", "Monthly", "Thursday"],
"PasswordPreset": 3,
"PasswordLength": 3
}
```
{% hint style="info" %}
Los tres tipos de cuenta comparten las mismas propiedades comunes (`NamePattern`, `DisplayName`, `PasswordCharSet`, `PasswordLength`, `PasswordPreset`, `MaxStaleness`). `OnDemand` y `Expiration` son específicas de la cuenta de soporte, `Expiration` y `PasswordRenewals` de la cuenta con privilegios. Una clase de cuenta que no esté configurada en absoluto permanece inactiva. El [artículo de LAPS](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) describe en detalle cada propiedad, los valores predeterminados y los ajustes preestablecidos de contraseña.
{% endhint %}
### Función AppCatalog
Esta configuración controla el acceso nativo, con un solo clic, al [Catálogo de aplicaciones](/es/agente-de-realmjoin/client-menu/self-service-portal.md#app-catalog-tab) desde el menú de la bandeja de RealmJoin y el Menú Inicio de Windows.
**Clave**\
AppCatalog
**Valor**
```json
{
"Enabled": true | false,
"HidePackages": true | false,
"CreateStartMenuShortcut": true | false,
"Ui": {
"DisplayName": "Catálogo de aplicaciones"
}
}
```
* **Habilitado:** Agrega una **Catálogo de aplicaciones** entrada al menú de la bandeja de RealmJoin que abre la página del Catálogo de aplicaciones del dispositivo en modo de aplicación de Microsoft Edge.
* **HidePackages:** Oculta los paquetes de software individuales del submenú clásico "Instalar"/"Actualizar" de la bandeja, útil una vez que se dirige a los usuarios al Catálogo de aplicaciones en su lugar.
* **CreateStartMenuShortcut:** Requiere `Enabled: true`. Crea un acceso directo de menú Inicio por usuario ("App Catalog") que abre la misma página, de modo que pueda encontrarse mediante la búsqueda de Inicio o fijarse a la barra de tareas.
* **Ui.DisplayName:** Texto de la entrada Catálogo de aplicaciones en el menú de la bandeja de RealmJoin. El mismo texto también se usa para el acceso directo del menú Inicio creado por `CreateStartMenuShortcut`. De forma predeterminada, `"Catálogo de aplicaciones"`.
### Solicitud de protocolo de Edge para el Catálogo de aplicaciones
El Catálogo de aplicaciones se ejecuta en una ventana de aplicación de Microsoft Edge, y cada enlace de instalación en él es una `realmjoin:` URL. A menos que el `realmjoin` protocolo esté permitido para el origen del portal, el primer clic muestra el diálogo de protocolo externo de Edge ("Este sitio está intentando abrir…"). El protocolo se permite con la directiva de Edge [`AutoLaunchProtocolsFromOrigins`](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-policies#autolaunchprotocolsfromorigins). Ya sea que su tenant agregue una `realmjoin` entrada al valor que ya administra, o que el agente RealmJoin escriba la entrada en el hive del registro del usuario.
**Clave**\
Policies.EdgeAllowRealmJoinProtocol
**Valor**
```
true | false
```
{% hint style="danger" %}
**Elija una ruta, nunca ambas.** Ya sea que su tenant administre `AutoLaunchProtocolsFromOrigins` por sí mismo, o que RealmJoin lo haga con esta configuración. La directiva solo tiene un propietario por dispositivo, y dos propietarios se sobrescriben mutuamente.
{% endhint %}
#### Cómo evalúa Edge la directiva
La directiva es un único valor JSON por hive del registro, bajo `SOFTWARE\Policies\Microsoft\Edge\AutoLaunchProtocolsFromOrigins` en `HKLM` o `HKCU`. No puede construirse a partir de varias fuentes:
* **La máquina prevalece sobre el usuario, en su totalidad.** Edge usa el valor de la máquina en lugar del valor del usuario; las dos listas nunca se combinan. Un valor de máquina desactiva silenciosamente todo lo establecido por usuario.
* **Intune** aplica la configuración como una directiva basada en ADMX (Catálogo de configuración: *Microsoft Edge > Permitir que sitios específicos inicien protocolos externos*). El cliente MDM reescribe el valor completo en cada sincronización, por lo que todo lo añadido por otra parte desaparece después del siguiente registro.
* **Dos perfiles de Intune** que configuran esta configuración entran en conflicto entre sí. El resultado en el dispositivo no es determinista.
#### Ruta 1: su tenant administra las directivas de Edge
Agregue el `realmjoin` protocolo al **único** perfil existente que establece `AutoLaunchProtocolsFromOrigins`, en el ámbito en el que viva ese perfil (dispositivo o usuario), junto a los protocolos que ya permite:
```json
[
{ "protocol": "realmjoin", "allowed_origins": ["realmjoin.com"] },
{ "protocol": "msteams", "allowed_origins": ["teams.microsoft.com", "teams.cloud.microsoft"] }
]
```
No cree un segundo perfil para ello, y no establezca `Policies.EdgeAllowRealmJoinProtocol`.
#### Ruta 2: su tenant no administra esta directiva
Establezca `Policies.EdgeAllowRealmJoinProtocol` en `true`. Solo el valor JSON `true` activa la opción. Cada vez que el agente aplica su configuración, el servicio RealmJoin (que se ejecuta como SYSTEM) evalúa la directiva para el usuario con el que se ejecuta la bandeja:
* **Existe un valor de máquina** (por ejemplo, un perfil de Intune con ámbito de dispositivo o una GPO): no se escribe nada, porque de todos modos se ignoraría un valor de usuario. El registro del agente indica si el valor de máquina ya permite el portal.
* **El valor de usuario es administrado por MDM**: no se escribe nada.
* **De lo contrario** el agente fusiona el host del portal en el valor del usuario en `HKCU`. Los demás protocolos y orígenes que ya estaban en ese valor se conservan. Si la `realmjoin` entrada ya contiene un origen que cubre el portal (por ejemplo `realmjoin.com`), no se escribe nada.
Sin la habilitación explícita, es decir, con la clave establecida en `false`, eliminada o sin ninguna `Directivas` configuración en absoluto, el agente elimina de nuevo sus propias entradas del valor del usuario. Desinstalar el agente hace lo mismo.
{% hint style="info" %}
Ninguna de las dos rutas es obligatoria. Sin la directiva, el Catálogo de aplicaciones sigue funcionando: Edge pregunta una vez por usuario, y el usuario puede marcar "Permitir siempre" a menos que sus directivas de Edge oculten esa casilla.
{% endhint %}
#### Escribir la `realmjoin` entrada correctamente
* Edge usa solo la **primera** entrada cuyo `protocolo` coincida con el esquema de URL, comparado de forma sensible a mayúsculas y minúsculas con el esquema en minúsculas. Una segunda `realmjoin` entrada se ignora, al igual que una escrita `RealmJoin`. Ponga todos los orígenes permitidos en una sola `realmjoin` entrada.
* Los orígenes siguen el formato de filtro de lista de bloqueo de URL de Edge [. El host sin más](https://learn.microsoft.com/en-us/deployedge/microsoft-edge-browser-policies/urlblocklist)también cubre `realmjoin.com` portal.realmjoin.com `, mientras que`.realmjoin.com `(con un punto inicial) coincide solo con el host exacto` y, por lo tanto, `realmjoin.com` no **el portal.** Para comprobar el resultado en un dispositivo, abra
{% hint style="info" %}
edge://policy `en Edge. Muestra el valor efectivo, su ámbito (máquina o usuario) y si se analizó correctamente.` Enlaces web para la bandeja de RealmJoin
{% endhint %}
### La siguiente configuración genera un enlace web en la bandeja.
WebLinks
**Clave**\
WebLinks
**Valor**
```json
[
{
"Name": "Mi cuenta de Azure",
"Target": "https://account.activedirectory.windowsazure.com/r/#/profile",
"Platform": "cualquiera"
},
{
"Name": "Acceso web de Outlook",
"Target": "https://outlook.office365.com/owa/?realm=contoso.onmicrosoft.com",
"Platform": "cualquiera"
}
]
```
### Restricciones de acceso
{% hint style="info" %}
Actualmente solo [RealmJoin LAPS](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) es compatible. El acceso a Windows LAPS administrado por Intune está controlado por los permisos de rol personalizados `CanSeeDeviceIntuneManagedLapsStatus` y `CanRotateIntuneManagedDeviceLocalCredentials` y no se ve afectado por esta configuración.
{% endhint %}
Asigne esta configuración a los grupos de los **propietarios de dispositivos** que desea proteger. Luego restringe qué administradores pueden usar [LAPS](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md) en los dispositivos de esos usuarios.
La configuración también se puede asignar a **grupos de dispositivos**. Esto requiere la característica de Tenant *Aplicar Restrict.LAPS desde grupos de dispositivos*. La característica está habilitada para todos los Tenant incorporados desde la versión 2026.40 del Portal. Para los Tenant existentes, póngase en contacto con el soporte de RealmJoin para habilitarla. Cuando está habilitada, las reglas de los grupos del propietario del dispositivo y de los grupos del propio dispositivo se combinan.
{% hint style="warning" %}
Antes de habilitar la característica para un Tenant existente, compruebe sus grupos de dispositivos en busca de `Restrict.LAPS` configuraciones. Hasta ahora estas configuraciones no tenían efecto. En cuanto se habilite la característica, se aplicarán y podrían quitar el acceso a LAPS a algunos administradores.
{% endhint %}
**Clave**\
Restrict.LAPS
Valor
```json
{
"Admin": [
"11-cf35-49dd-a862-123123",
"11-2ec2-47ee-8cb8-123123"
],
"Supporter": [
"23-cf35-49dd-a862-231"
],
"Deny": []
}
```
Cada propiedad contiene los ID de objeto de grupos de Entra ID. Existe una lista por cada rol de RealmJoin:
```
"Admin" | "Auditor" | "Supporter" | "AdvancedSupporter" | "RunbookRunner" |
"SoftwareAgent" | "SoftwareRequester" | "OrganicRequester" | "NotificationAgent" | "Deny"
```
{% hint style="warning" %}
Las listas son inclusivas: en cuanto se completa al menos una lista, solo los administradores que tengan el rol de RealmJoin correspondiente **y** y sean miembros de uno de los grupos enumerados para ese rol pueden usar LAPS en estos dispositivos. Se deniega el acceso a los demás.
La pertenencia a un grupo enumerado en `Deny` siempre deniega el acceso, independientemente de las demás listas. Los administradores globales nunca están restringidos.
{% endhint %}
Cada rol se comprueba frente a su propia lista. Un administrador solo obtiene el acceso a LAPS de los roles cuya lista contiene uno de sus grupos. Por ejemplo, un administrador que es tanto Admin como Supporter, pero que solo es miembro de un grupo enumerado en `Supporter`, obtiene acceso de Supporter en estos dispositivos, no acceso de Admin.
{% hint style="info" %}
Antes de la versión 2026.40 de Portal, estar incluido para cualquier rol era suficiente para obtener el acceso del rol más alto del administrador.
{% endhint %}
Los roles personalizados con uno de los permisos de LAPS (`CanUseDeviceLapsAsAdvancedSupporter`, `CanSeeDeviceLapsAsAuditor`, `CanUseDeviceLapsAsSupporter`) se comprueban frente a la lista del rol correspondiente: `AdvancedSupporter`, `Auditor` o `Supporter`. Consulte [Quién puede acceder a las cuentas de LAPS](/es/agente-de-realmjoin/realmjoin-client/local-admin-password-solution-laps.md#who-can-access-laps-accounts).
### Varios conmutadores
Esta sección le muestra cuatro directivas para RealmJoin.
**Clave**\
Policies.DisableNetworkLocationWizard
**Valor**
```
true | false
```
**Clave**\
Policies.RequireSecurityFeatures.BitlockerEnabled
**Valor**
```
true | false
```
**Clave**\
Policies.SetCurrentUserAdministrator
**Valor**
```
true | false
```
**Clave**\
Policies.SetTimeserver
**Valor**
```
["time.windows.com", "time.apple.com", "pool.ntp.org"]
```
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.realmjoin.com/es/ugd-management/user-and-group-settings/additional-settings.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.