La transición de los entornos locales de Active Directory a Microsoft Entra ID e Intune se está acelerando, y el fin de la vida útil de Windows 10 ha hecho que dicha transición resulte más urgente para las organizaciones que gestionan grandes parques de dispositivos Windows.
Provisioning devices into the cloud is more than just installing Windows 11—it means joining devices to the right identity service, deploying the Tanium agent automatically, applying policies, and ensuring the device is fully managed before it ever reaches an end user. Tanium Provision está diseñado precisamente para esto, y la integración con Entra ID e Intune ofrece una serie de opciones de configuración que todo equipo que tenga previsto llevar a cabo una migración a Windows 11 debe conocer.
Rob explica dos métodos distintos para la inscripción en Entra ID dentro de Tanium Provision:
- Utilización del Diseñador de configuración de Windows para generar un paquete de aprovisionamiento
- Uso de un archivo de configuración de Autopilot
Cada método da lugar a un resultado distinto en cuanto al momento en que el dispositivo aparece en Intune, a si el agente de Tanium se instala durante la compilación y a si se ejecutan scripts personalizados al final del proceso de aprovisionamiento. No se trata de diferencias insignificantes; influyen en el tiempo necesario para obtener resultados, en los gastos generales operativos y en la forma en que se gestionan los perfiles de dispositivos en toda su organización.
Rob también aborda las consideraciones específicas que deben guiar su decisión de diseño, entre las que se incluyen la caducidad de los tokens, los requisitos de estructura de los archivos .zip y dónde buscar cuando surge algún problema.
Si su equipo está evaluando cómo modernizar el aprovisionamiento de dispositivos como parte de una implantación de Windows 11 , esta guía le ofrece los detalles técnicos que necesita para tomar una decisión fundamentada. Vea la demostración completa en el vídeo que aparece a continuación.
Conclusiones clave
- El servicio «Provision» abarca todo el ciclo de vida del dispositivo: Tanium Provision se encarga de todo, desde la instalación de un sistema operativo y la incorporación de un dispositivo a Active Directory o Entra ID, hasta la implementación automática del agente de Tanium, la aplicación de políticas como BitLocker y la gestión de la retirada de dispositivos, incluido el borrado y la eliminación de datos.
- Dos métodos compatibles para la inscripción en Entra ID: Tanium Provision admite dos métodos para inscribir dispositivos Windows en Entra ID e Intune: Windows Configuration Designer (WCD), que genera un paquete de aprovisionamiento (PPKG), y el método basado en archivos de configuración de Autopilot, cada uno con un comportamiento y unas ventajas e inconvenientes distintos.
«El método «Autopilot» no instala el cliente de Tanium ni ejecuta los scripts personalizados que puede utilizar como parte de su paquete.»Rob Broughall, arquitecto de dominios de Tanium
- El método WCD registra el dispositivo antes del primer inicio de sesión: El PPKG creado por Windows Configuration Designer contiene un token de registro masivo válido durante un máximo de seis meses; el dispositivo ya está registrado en Entra ID e Intune, y el agente de Tanium ya está instalado, antes de que ningún usuario inicie sesión por primera vez.
- La inscripción en Autopilot se realiza en el primer inicio de sesión: . Con el método de Autopilot, el dispositivo no figura en Entra ID ni en Intune hasta que el usuario introduce sus credenciales en el primer inicio de sesión; . A continuación, el cliente de Tanium debe implementarse a través de Intune, y los scripts personalizados no se ejecutan como parte de la compilación.
- Gestión de tokens frente a la ausencia de caducidad: El paquete de aprovisionamiento de WCD caduca al cabo de seis meses y debe volver a generarse y cargarse de nuevo en el paquete; el archivo JSON de Autopilot no contiene ningún token ni credencial y no caduca, aunque debe gestionarse de forma responsable.
«. Debo admitir que, en las conversaciones que he mantenido con clientes y clientes potenciales precisamente sobre este tema, a ellos les suele gustar el enfoque del Diseñador de configuración de Windows, ya que, en realidad, se considera que simplifica el proceso, al no depender de que el usuario final registre el dispositivo». Esto añade un nivel de complejidad que el token WCD elimina.»Rob Broughall, arquitecto de dominios de Tanium
- La elección del diseño depende del caso de uso: El enfoque WCD resulta muy adecuado para dispositivos virtuales y escenarios como los terminales de punto de venta minorista, en los que es importante que el dispositivo esté completamente registrado y gestionado antes del primer inicio de sesión; el enfoque Autopilot puede resultar más adecuado para implementaciones basadas en Internet o dispositivos corporativos, en los que se acepta el paso de introducción de credenciales por parte del usuario.
«Si se refiere al tiempo hasta obtener valor en términos de cuánto tiempo transcurre desde el inicio del proceso hasta que el usuario final dispone de un dispositivo operativo, ese es probablemente un argumento de peso a favor de optar por el enfoque basado en tokens de Configuration Designer.»Rob Broughall, arquitecto de dominios de Tanium
- Solución de problemas relacionados con errores comunes de configuración: . Entre los aspectos clave a tener en cuenta se incluyen una estructura incorrecta del archivo .zip al empaquetar scripts personalizados (Provision espera que los archivos se encuentren en la raíz del .zip, no dentro de una subcarpeta), la carga del archivo JSON de Autopilot directamente en el paquete en lugar de comprimirlo, y la comprobación del registro de Provision PE en el directorio de registros del cliente de Tanium para detectar errores de importación de PPKG y códigos de salida.
Recursos adicionales
- Conector de Tanium para Microsoft Intune: integra los dispositivos móviles gestionados por Intune en Tanium para ofrecer una visibilidad y una gestión unificadas.
- Tanium Connector para Microsoft Entra ID: Facilita el acceso condicional «Zero Trust» gracias a la información en tiempo real sobre los terminales proporcionada por Tanium.
- Creación de imágenes e implementación de terminales Windows y Linux con Tanium Provision: Descubra cómo las organizaciones pueden utilizar Tanium Provision para automatizar la implementación del sistema operativo y la creación de imágenes de los terminales en todo su entorno.
- Cómo integrar Tanium con Microsoft Intune (Tanium Tech Talks n.º 145): Vea cómo Tim Mintner, director de producto de Tanium, muestra cómo el conector de Tanium para Microsoft Intune incorpora los dispositivos móviles y otros terminales que no son clientes a la consola de Tanium como entidades nativas.
