Líneas base de Intune, catálogo y conflictos con GPO

Para los dispositivos administrados en la nube y los de administración conjunta, las líneas base de seguridad de Intune son el equivalente MDM de las líneas base de directiva de grupo descritas en la guía principal de líneas base de seguridad. Se despliegan rápido, y ese es también su riesgo: una línea base asignada junto a directivas de Endpoint security, perfiles del catálogo de configuración y GPO heredadas puede producir conflictos que dejen sin aplicar precisamente las configuraciones más importantes.

Esta guía explica cómo desplegar las líneas base como una única capa limpia, dónde poner tus propias configuraciones, cómo interactúan la directiva de grupo y MDM en los dispositivos híbridos y cómo comprobar lo que se aplicó de verdad.

Qué ofrece Intune

En Endpoint security > Security baselines, Intune proporciona varias líneas base, cada una versionada:

Las versiones recientes de las líneas base se basan en el formato del catálogo de configuración (settings catalog), así que cada configuración de una línea base es el mismo objeto que configurarías en un perfil del catálogo de configuración. Eso facilita mucho los informes y las comparaciones por configuración frente a las versiones antiguas basadas en plantillas.

Paso 1: mapea lo que ya tienes

Antes de asignar nada a dispositivos que ya reciben GPO, mide el solapamiento. Devices > Manage devices > Group Policy analytics importa informes XML de GPO y muestra qué configuraciones tienen un equivalente MDM:

Get-GPOReport -Name "BL - Win11 24H2 - Computer" -ReportType Xml -Path C:\Temp\bl-computer.xml
Get-GPOReport -Name "Workstation Security" -ReportType Xml -Path C:\Temp\ws-security.xml

Sube los archivos XML, revisa la columna de compatibilidad con MDM y usa la opción de migración para crear perfiles del catálogo de configuración con tus configuraciones de GPO personalizadas. Para la propia línea base, no migres la GPO: usa la línea base de Intune, que se mantiene por ti.

Paso 2: despliega una línea base por producto, cerca del valor predeterminado

Crea un perfil por tipo de línea base y asígnalo a grupos de dispositivos anillo a anillo, como con los anillos de actualización. Reglas para que siga siendo manejable:

• Cambia lo menos posible en el perfil de la línea base. Cada valor modificado es algo que tendrás que volver a comprobar en cada actualización de versión.
• Pon las excepciones en perfiles aparte, asignados de forma acotada, solo cuando la propia línea base no pueda contener el valor correcto para todos. Un valor en conflicto en un segundo perfil no invalida la línea base: crea un conflicto. Para una excepción real, excluye el grupo de dispositivos del perfil de la línea base y asígnale una copia con el valor distinto, o cambia el valor en la línea base para todos.
• No asignes dos versiones de la misma línea base al mismo dispositivo.
• Haz el piloto en dispositivos que ejecuten también tu software habitual: la línea base de Windows habilita configuraciones como la protección LSA y Credential Guard, que rompen controladores antiguos, complementos de VPN y middleware de tarjetas inteligentes.

Paso 3: evita el solapamiento con las directivas de Endpoint security

Intune puede configurar la misma opción desde muchos sitios: líneas base de seguridad, directivas de Endpoint security (Antivirus, Attack surface reduction, Firewall, Account protection, Disk encryption, EDR), perfiles del catálogo de configuración y plantillas. Cuando dos perfiles establecen la misma configuración con valores distintos en un dispositivo, Intune informa de un Conflict para esa configuración y no puedes saber qué valor se aplica, si es que se aplica alguno. Cuando establecen el mismo valor no hay conflicto, pero sigue siendo una duplicación que mantener.

Un reparto práctico:

Si una línea base define algo que gestionas en una directiva de Endpoint security (por ejemplo, el estado de las reglas ASR), deja el valor idéntico en ambas o márcalo como no configurado en el perfil de la línea base y documenta que la directiva de Endpoint security es la responsable.

Paso 4: gestiona la directiva de grupo en los dispositivos híbridos

Los dispositivos con unión híbrida suelen seguir recibiendo GPO del dominio mientras Intune aplica las líneas base. De forma predeterminada, si ambos configuran la misma opción, lo que acaba aplicándose depende del área de la configuración y del orden de procesamiento; debes considerarlo indefinido.

El área ControlPolicyConflict del Policy CSP proporciona MDMWinsOverGP (catálogo de configuración: Control Policy Conflict > MDM Wins Over GP; OMA-URI ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP, entero 1). Con esta opción activada, las configuraciones del Policy CSP entregadas por MDM tienen prioridad sobre sus equivalentes de directiva de grupo. Sus límites importan:

• Cubre las configuraciones del Policy CSP que tienen un equivalente de directiva de grupo. Las configuraciones entregadas por otros CSP, como partes de la configuración de BitLocker, Defender o el firewall, no están cubiertas.
• No elimina la GPO; la GPO se sigue procesando y sigue estableciendo todo lo que MDM no define.
• Solo se cubren las configuraciones que Microsoft asigna a un equivalente de directiva de grupo. Consulta una configuración en la lista de Microsoft Policies in Policy CSP supported by Group Policy antes de dar por hecho que MDM gana; para todo lo que quede fuera, Microsoft advierte de que hay una condición de carrera y ninguna garantía de qué origen prevalece.

La solución duradera es la propiedad: para cada OU de dispositivos híbridos, decide si la configuración de seguridad es responsabilidad de las GPO o de Intune. En los dispositivos con administración conjunta con Configuration Manager, pasa las cargas de trabajo Device configuration y Endpoint Protection a Intune cuando Intune se convierta en el responsable, y después desvincula las GPO antiguas de esas OU.

Paso 5: gestiona las versiones

Microsoft publica nuevas versiones de las líneas base a medida que evolucionan Windows y los productos. Cuando aparece una versión nueva:

1. Lee la lista de configuraciones y las notas de cambios que Microsoft publica para la nueva versión, y revisa cada configuración añadida, eliminada y modificada, como harías con Policy Analyzer para las GPO (consulta Policy Analyzer y LGPO).
2. En Endpoint security > Security baselines, selecciona el perfil y elige Update Version, con la opción de conservar tus personalizaciones. Intune crea un perfil nuevo, en paralelo, con la versión más reciente; el original no cambia, y su configuración pasa a ser de solo lectura en cuanto existe una versión más nueva.
3. El perfil nuevo no tiene asignaciones ni etiquetas de ámbito. Asígnalo al grupo piloto y vigila los informes de conflictos y errores durante una semana.
4. Mueve el resto de los grupos anillo a anillo, quitando cada grupo del perfil antiguo a medida que lo añades al nuevo, para que las dos versiones nunca se apliquen al mismo dispositivo. Elimina el perfil antiguo cuando ya no tenga nada asignado.

Los perfiles creados antes de mayo de 2023 usan el formato antiguo de plantilla y no pueden actualizarse en el mismo sitio: exporta su configuración a CSV con Change Version y vuelve a crearlos en la versión actual.

Verificación

En Intune, abre el perfil de la línea base y revisa Device status y Per-setting status. Cualquier configuración en Conflict o Error no está haciendo su trabajo, aunque el perfil en conjunto parezca correcto. En un dispositivo:

# Generar el informe de diagnóstico de MDM (HTML y archivos auxiliares)
MdmDiagnosticsTool.exe -out C:\Temp\MDMDiag

# Valores aplicados actualmente mediante el Policy CSP, por área
Get-ChildItem 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device' |
  Select-Object -ExpandProperty PSChildName

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\ControlPolicyConflict' -ErrorAction SilentlyContinue

El mismo informe está disponible en Settings > Accounts > Access work or school > (tu cuenta) > Info > Create report. Los errores de aplicación de directivas se registran en Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin; el evento 404 informa de un error de comando, con la ruta de la configuración y el código de error en el mensaje.

Por último, compara el estado efectivo con la intención de la línea base. La comparación con el estado efectivo de Policy Analyzer o gpresult /h muestran si una GPO sigue estableciendo los mismos valores en los dispositivos híbridos.

Qué se rompe

• Conflictos silenciosos. Una configuración en conflicto sencillamente no se aplica. Revisa el estado por configuración después de cada perfil nuevo.
• Configuraciones tatuadas tras la desasignación. Quitar una línea base no siempre restablece los valores predeterminados. Establece valores explícitos cuando necesites revertir.
• Problemas de controladores y VPN por la protección LSA, Credential Guard o la integridad de memoria. Haz el piloto en hardware real.
• Doble administración en dispositivos híbridos. Una GPO y un perfil de Intune que se disputan la configuración del firewall o de Defender producen un comportamiento intermitente difícil de diagnosticar.
• Suposiciones sobre Windows Server. Las líneas base de Intune están pensadas para Windows cliente; para Windows Server 2025, usa OSConfig como se describe en la guía de deriva de configuración.

Lista de comprobación

• Solapamiento con las GPO medido con Group Policy analytics
• Un perfil por tipo de línea base, cerca del predeterminado, asignado por anillos
• Excepciones gestionadas con grupos de exclusión, no con perfiles en conflicto
• Responsabilidad clara entre líneas base, directivas de Endpoint security y catálogo de configuración
• OU híbridas asignadas a un único responsable; MDMWinsOverGP usado solo durante la migración
• Informes de conflictos y errores por configuración revisados tras cada cambio
• Actualizaciones de versión comparadas, probadas en piloto y desplegadas anillo a anillo
• Comprobaciones en el dispositivo documentadas (informe de diagnóstico de MDM, registro de eventos)

Las líneas base de Intune son el camino más rápido hacia una configuración segura en Windows administrado en la nube, siempre que mantengas limpios los orígenes de configuración. El resto del área de líneas base de seguridad cubre las pruebas, la comparación y la deriva.