Extensión de administración de Intune para Windows

La extensión de administración de Intune (IME) es un agente de instalación que mejora la administración de dispositivos de Windows (MDM). Complementa la característica estándar de MDM de Windows al habilitar funciones avanzadas de administración de dispositivos.

Esta característica se aplica a:

• Versiones de Windows compatibles (excepto los dispositivos Windows Home y Windows que se ejecutan en modo S).

Requisitos previos

La extensión de administración de Intune tiene los siguientes requisitos previos. Cuando se cumplen los requisitos previos, la extensión de administración de Intune se instala automáticamente cuando se asigna un script de PowerShell o una aplicación Win32 al usuario o dispositivo.

• Dispositivos que ejecutan una versión de Windows compatible. La extensión de administración de Intune no admite Windows en modo S porque no permite ejecutar aplicaciones que no sean de la tienda.

• Dispositivos unidos a Microsoft Entra ID, incluidos:

  • Microsoft Entra unido híbrido: dispositivos unidos a Microsoft Entra ID y Active Directory local (AD). Consulte Planeación de la implementación híbrida de Microsoft Entra para obtener instrucciones.

  • Registrado en Microsoft Entra/Unido al lugar de trabajo (WPJ): dispositivos registrados en Microsoft Entra ID. Para obtener más información, consulte Workplace Join as a seamless second factor authentication. Se trata de dispositivos BYOD (Bring Your Own Device) con una cuenta profesional o educativa agregada a través de Cuentas de configuración>,Acceso a cuentas> profesionales o educativas.

• Dispositivos inscritos en Intune, incluidos los siguientes:

  • Dispositivos inscritos con la directiva de grupo (GPO). Para obtener más información, consulte Inscribir un dispositivo Windows automáticamente mediante la directiva de grupo.

  • Dispositivos inscritos manualmente en Intune, que se produce cuando:

    • La inscripción automática a Intune está habilitada en Microsoft Entra ID. Los usuarios inician sesión en los dispositivos con una cuenta de usuario local y unen manualmente el dispositivo a Microsoft Entra ID. Después, inician sesión en el dispositivo con su cuenta de Microsoft Entra.

    OR

    • Los usuarios inician sesión en el dispositivo con su cuenta de Microsoft Entra y, a continuación, se inscriben en Intune.

  • Dispositivos administrados conjuntamente con Administrador de configuración e Intune. Al instalar aplicaciones Win32, establezca la carga de trabajo de aplicaciones en Pilot Intune o Intune. Los scripts de PowerShell se ejecutan incluso si la carga de trabajo de las aplicaciones está establecida en Administrador de configuración. La extensión de administración de Intune se implementa en un dispositivo cuando se dirige un script de PowerShell al dispositivo. El dispositivo debe estar unido a Microsoft Entra ID o Microsoft Entra híbrido y ejecutar una versión de Windows compatible. Consulte los artículos siguientes para obtener instrucciones:

    • ¿Qué es la administración conjunta?
    • Carga de trabajo de aplicaciones de cliente
    • Trasladar las cargas de trabajo de Administrador de configuración a Intune

• Para los dispositivos situados detrás de firewalls y servidores proxy, habilite la comunicación para Intune. Para obtener más información, consulte Requisitos de red para scripts de PowerShell y aplicaciones Win32.

Descripción de la instalación del agente de extensión de administración de Intune

Para los dispositivos que cumplen los requisitos previos, la extensión de administración de Intune se instala automáticamente cuando se asignan determinadas características a un usuario o dispositivo. La instalación se produce cuando se asignan las siguientes características:

• Scripts de PowerShell
• Correcciones
• Scripts de detección para cumplimiento personalizado
• Aplicaciones Win32
• Análisis de puntos de conexión
• Ayuda remota
• Instaladores administrados en Intune
• Actualizar la BIOS de Windows mediante la configuración Directiva MDM

El agente se instala cuando C:\ProgramData\Microsoft\IntuneManagementExtension\Logs sea aplicable y no aparece en el menú Inicio en dispositivos Windows. El agente aparece como IntuneManagementExtension en Servicios del Administrador de tareas cuando se ejecuta en dispositivos Windows.

Funcionalidad de la extensión de administración de Intune

• El IME se autentica de forma silenciosa con los servicios de Intune antes de registrarse para recibir las instalaciones asignadas para el dispositivo Windows.
• El IME comprueba si hay instalaciones nuevas o actualizadas con los servicios de Intune cada 8 horas. Este proceso de registro es independiente del registro de MDM.
• El IME puede realizar periódicamente comprobaciones de estado para validar la conectividad con los servicios de Intune.

Iniciar manualmente una comprobación de IME de administración de Intune desde un dispositivo Windows

En un dispositivo Windows con IME instalado, abra el Portal de empresa y seleccioneSincronización de configuración>. Esto inicia una comprobación de MDM y una comprobación de IME.

Como alternativa, abra el Administrador de tareas, busque el servicio IntuneManagementExtension, haga clic con el botón derecho y seleccione Reiniciar. El IntuneManagementExtension servicio se reinicia inmediatamente, iniciando una comprobación con Intune.

Eliminación de la extensión de administración de Intune

El IME se quita del dispositivo bajo las siguientes condiciones:

• Los scripts de PowerShell ya no se asignan al dispositivo.
• El dispositivo Windows ya no está administrado.
• El IME está en un estado irrecuperable durante más de 24 horas (tiempo de activación del dispositivo).

Problemas comunes y soluciones

Problema: la extensión de administración de Intune no se descarga

Posibles soluciones:

• El dispositivo no está unido a Microsoft Entra ID. Asegúrese de que los dispositivos cumplen los requisitos previos de este artículo.
• No se asignan scripts de PowerShell ni aplicaciones Win32 a los grupos a los que pertenece el usuario o el dispositivo.
• El dispositivo no se puede sincronizar con el servicio de Intune. Por ejemplo, no hay acceso a Internet o no hay acceso a los Servicios de notificaciones de inserción de Windows (WNS).
• El dispositivo está en modo S. La extensión de administración de Intune no admite dispositivos que se ejecutan en modo S.
• Asegúrese de que el archivo de configuración que se encuentra en C:\Program Files (x86)\Microsoft Intune Management Extension\Microsoft.Management.Services.IntuneWindowsAgent.exe.config no se ha dañado ni modificado manualmente.
• Confirme si la aplicación se instaló mediante un método fuera de la instalación automática de Intune (por ejemplo, script, instalación manual o reempaquetado). El único mecanismo admitido es la instalación automática, ya que los dispositivos se sincronizan con el servicio de Intune.
• En dispositivos Windows, si el proxy solo está configurado en el nivel de usuario (y no en todo el equipo), asegúrese de que un usuario haya iniciado sesión en el dispositivo. Como alternativa, utilícelo bitsadmin /util /setieproxy para configurar manualmente el proxy para el Servicio de transferencia inteligente en segundo plano (BITS). Para obtener más información, consulte bitsadmin util y setieproxy.

Para comprobar si el dispositivo se inscribe automáticamente:

1. Vaya a Configuración>Cuentas>Acceder a cuenta profesional o educativa.
2. Seleccione la información de la cuenta > unida.
3. En el Informe de diagnóstico avanzado, seleccione Crear informe.
4. Abra MDMDiagReport en un explorador web.
5. Busque la propiedad MDMDeviceWithAAD. Si la propiedad existe, el dispositivo se inscribe automáticamente. Si esta propiedad no existe, el dispositivo no se inscribe automáticamente.

Habilitar la inscripción automática de Windows incluye los pasos para configurar la inscripción automática en Intune.

Problema: la aplicación Agente de Windows de Microsoft Intune se deshabilita automáticamente

El agente de Windows de Microsoft Intune es una aplicación de Microsoft Entra ID. El agente IME usa la aplicación del agente de Windows de Microsoft Intune para autenticarse en la puerta de enlace y obtener otras aplicaciones, scripts y otras cargas críticas Esta aplicación no está vinculada a ningún flujo de ciclo de vida basado en suscripción.

En algunas condiciones, la aplicación Agente de Windows de Microsoft Intune puede fallar en las comprobaciones de validez de la suscripción y deshabilitarse continuamente, incluso cuando el administrador vuelve a habilitar la aplicación. Cuando está deshabilitado, el agente IME no puede recuperar tokens en la aplicación Windows Agent de Microsoft Intune y las cargas dirigidas por el usuario dejan de funcionar.

Posible solución:

Elimine la entidad de servicio del inquilino de su organización mediante la API de Microsoft Graph API, preferiblemente a través del Probador de Graph:

1. Inicie sesión en Graph Explorer con una cuenta de administrador de la organización que pueda eliminar entidades de servicio, como el rol de administrador de aplicaciones . Asegúrese de que en la esquina superior derecha se muestra el nombre del inquilino, no el "inquilino de ejemplo".

   Para obtener una lista de los roles integrados de Microsoft Entra y lo que pueden hacer, consulte Roles integrados de Microsoft Entra.

2. Seleccione Explorador>DELETEservicePrincipals>{servicePrincipal-id}> de API.

3. En la sintaxis de la dirección URL de Graph, reemplácela {servicePrincipal-id} por el identificador de la entidad de servicio.

4. Seleccione Ejecutar consulta para ejecutar la eliminación.

Registros de extensión de administración de Intune

Los registros de IME en el equipo del cliente suelen estar en .C:\ProgramData\Microsoft\IntuneManagementExtension\Logs Utilice CMTrace.exe para ver estos archivos de registro.

Además, use el AppWorkload.log del archivo de registro para solucionar problemas y analizar eventos de administración de aplicaciones Win32 en el cliente. Este archivo de registro contiene toda la información de registro relacionada con las actividades de implementación de aplicaciones realizadas por el IME.

Archivos de registro de IME

Pasos siguientes

• La aplicación que cree aparecerá en la lista de aplicaciones. Asígnela a los grupos que elija. Para obtener más información, consulte Asignar aplicaciones a grupos con Microsoft Intune.
• Obtén más información sobre la supervisión de las propiedades y asignaciones de las aplicaciones. Para obtener más información, consulte Monitor app information and assignments with Microsoft Intune (Supervisión de información de aplicación y asignaciones con Microsoft Intune).