Windows 11 Pro para puestos de empresa

Comprueba la licencia base antes de comprar claves para un parque informático

Empieza por los derechos de uso, no por la activación. Para cada equipo, registra la edición instalada, el origen de la licencia original y si la compra prevista corresponde a una licencia completa o a una actualización. Muchas licencias de Windows suministradas a través de los programas de licencias comerciales de Microsoft son licencias de actualización y requieren un sistema operativo base que cumpla los requisitos. Una activación correcta no demuestra que se hayan cumplido esas condiciones. Consulta los Términos de licencia del software de Microsoft o los Términos del producto aplicables al producto y al canal de compra concretos.

Los derechos de transferencia también dependen de cómo se haya adquirido Windows. Según las condiciones estándar de Microsoft, Windows preinstalado normalmente queda vinculado al dispositivo con licencia y solo puede transferirse a otro propietario junto con ese dispositivo. El software adquirido por separado como licencia retail generalmente permite transferirlo a otro dispositivo, siempre que se elimine del anterior y se cumplan las demás condiciones. Si eres un proveedor de servicios gestionados (MSP), mantén separados los registros de derechos de uso de cada cliente; disponer de una imagen de implementación reutilizable o de una clave de activación no concede licencias para equipos adicionales de los clientes.

• Conserva las facturas, las descripciones de las licencias y los registros que vinculan cada derecho de uso con su dispositivo o usuario.
• Comprueba los requisitos del sistema operativo base antes de comprar una actualización de Windows mediante licencias comerciales.
• Considera MAK y KMS métodos de activación, no pruebas de derechos de instalación ilimitados.
• Confirma los derechos de transferencia antes de trasladar una licencia desde un PC retirado.
• Compara el coste de los acuerdos comerciales según tus necesidades reales; no existe un número universal de puestos a partir del cual resulten más baratos.

Elige un modelo de identidad e inscripción antes de aprovisionar los dispositivos

Decide si los dispositivos utilizarán un dominio local de Active Directory, la unión a Microsoft Entra o una configuración híbrida antes de crear el proceso de implementación. El registro en Microsoft Entra, habitual al añadir una cuenta de trabajo a un PC personal, no equivale a unir el dispositivo. Los PC unidos a Microsoft Entra pueden utilizar cuentas de la organización para iniciar sesión en Windows sin unirse a un dominio local. La unión híbrida combina la unión a un dominio de Active Directory existente con una identidad de dispositivo en Microsoft Entra ID.

Windows Pro admite estas opciones de unión para organizaciones, pero la compra del sistema operativo no incluye una suscripción a Intune. La inscripción automática en Intune a través de Microsoft Entra requiere las licencias de Intune adecuadas y Microsoft Entra ID P1 o P2. Microsoft 365 Business Premium incluye Intune Plan 1 y Entra ID P1, sujetos a los límites y condiciones de la suscripción. Para una nueva implementación, configura primero el ámbito y las restricciones de inscripción y, después, prueba un dispositivo representativo desde la configuración inicial hasta la aplicación de directivas y la instalación de aplicaciones.

• Elige la unión a Microsoft Entra para los dispositivos orientados a la nube, salvo que una dependencia verificada exija la unión a un dominio.
• No consideres que añadir una cuenta de trabajo demuestra que el dispositivo esté unido o gestionado.
• Confirma las licencias de usuario, los permisos de inscripción y los límites de dispositivos del tenant antes de la implementación.
• Cuando sea compatible, utiliza Windows Autopilot para agilizar el aprovisionamiento; no proporciona las licencias necesarias.
• Evita establecer configuraciones contradictorias mediante las directivas de grupo e Intune.

Convierte la recuperación del cifrado en un proceso operativo probado

El cifrado solo se puede gestionar de forma eficaz si el personal autorizado puede recuperar el acceso a un dispositivo bloqueado. Antes de habilitar BitLocker en todo el parque informático, decide dónde se almacenará la información de recuperación y quién podrá consultarla. Los dispositivos gestionados mediante un dominio pueden guardar una copia de la información de recuperación en Active Directory Domain Services; los dispositivos gestionados desde la nube y configurados adecuadamente pueden guardarla en Microsoft Entra ID. Configura la directiva correspondiente antes de iniciar el cifrado, en lugar de dar por hecho que unirse a un dominio o inscribirse en un servicio de gestión protege automáticamente todas las claves de recuperación existentes.

Utiliza un dispositivo piloto para verificar el proceso completo: confirma el estado del cifrado, localiza su contraseña de recuperación en el directorio previsto y comprueba que el identificador de la clave de recuperación mostrado coincide con la información de recuperación del dispositivo. Los PC que ya están cifrados necesitan una auditoría independiente, porque aplicar una nueva directiva no demuestra que sus contraseñas de recuperación se hubieran depositado previamente para su custodia. Restringe el acceso del personal de soporte, documenta cómo se verifica la identidad de quien solicita ayuda y cambia la contraseña de recuperación después de comunicarla, siempre que las herramientas de gestión lo permitan.

• En las implementaciones gestionadas mediante AD, configura la directiva que impide habilitar BitLocker hasta que la información de recuperación esté almacenada en AD DS.
• Incluye en el inventario tanto el estado del cifrado como el de la copia de seguridad de las claves de recuperación.
• Prueba la recuperación únicamente en un dispositivo piloto con copias de seguridad verificadas y un procedimiento aprobado.
• Revisa los requisitos de suspensión de BitLocker antes de modificar el firmware o el TPM; no borres el TPM sin las debidas comprobaciones.
• Mantén copias de seguridad independientes de los datos: una contraseña de recuperación no puede restaurar una unidad averiada o borrada.

Diseña los anillos de actualización según los plazos de soporte y la compatibilidad del hardware

Trata el fin del soporte de cada versión de características como una fecha límite para el parque informático, no como una simple preferencia de actualización. Las versiones de características de Windows 11 Home y Pro tienen un ciclo de mantenimiento de 24 meses, por lo que una familia de sistemas operativos con soporte puede incluir dispositivos que ejecuten una versión que ya no lo tenga. Inventaría la edición, la versión y el cumplimiento de los requisitos de hardware, y asigna después los dispositivos a grupos piloto, de implementación general y de excepciones. Las directivas de aplazamiento ayudan a escalonar las actualizaciones, pero no amplían el periodo de soporte de una versión ni eliminan la necesidad de probar las aplicaciones críticas para el negocio.

Para los PC que no puedan pasar a Windows 11, evalúa su sustitución, la migración de las cargas de trabajo o un plan de Extended Security Updates por tiempo limitado. Los dispositivos empresariales con Windows 10 22H2 que cumplan los requisitos pueden recibir cobertura comercial ESU durante un máximo de tres años tras el fin del soporte estándar, con licencias anuales y requisitos de compra acumulativa si se incorporan en un año posterior. ESU es una solución transitoria de seguridad, no un programa de actualización de características ni un sustituto del soporte general. No consideres las instalaciones de Windows 11 que eluden los requisitos de hardware una estrategia con soporte para el parque informático.

• Utiliza las páginas de Microsoft sobre el estado de las versiones y el ciclo de vida para seguir la fecha de fin de soporte de cada versión implementada.
• Realiza pruebas piloto de las actualizaciones con hardware, clientes VPN, agentes de seguridad y aplicaciones de negocio representativos.
• Investiga los bloqueos de protección en lugar de omitirlos de forma rutinaria.
• Asigna un responsable y una fecha de sustitución a cada excepción de hardware no compatible.
• Comprueba los requisitos previos de ESU comercial y las condiciones vigentes de Microsoft antes de presupuestar la cobertura.

Modelos de identidad de Windows Pro y sus implicaciones para la gestión