Configurar un equipo compartido o invitado con Windows 10/11

Se aplica a

• Windows10
• Windows11

Windows cliente tiene un modo de equipocompartido, que optimiza Windows los escenarios de uso compartido, como los espacios de touchdown en una empresa y el uso temporal de clientes en el comercio. Puede aplicar el modo de equipo compartido a Windows cliente Pro, Pro Educación, Educación y Enterprise.

Conceptos del modo de equipo compartido

Un Windows cliente en modo de equipo compartido está diseñado para que sea sin administración y sin mantenimiento con alta confiabilidad. En modo de equipo compartido, solo puede iniciar sesión un usuario cada vez. Cuando el equipo se bloquea, el usuario que haya iniciado sesión siempre podrá cerrar la sesión en la pantalla de bloqueo.

Modelos de cuenta

Está previsto que sea un usuario con los derechos necesarios para realizar una unión a un dominio quien una equipos compartidos a un dominio de Active Directory o Azure Active Directory como parte de una instalación. Esto permite que cualquier usuario que forme parte del directorio inicie sesión en el equipo. Si usas Azure Active Directory Premium, también puede configurarse cualquier usuario de dominio para que inicie sesión con derechos administrativos. Además, el modo de equipo compartido puede configurarse para que se habilite una opción Invitado en la pantalla de inicio de sesión, que no requiere autenticación ni credenciales de usuario y crea una cuenta local cada vez que se usa. Windows cliente tiene una cuenta en modo quiosco. El modo de equipo compartido puede configurarse para habilitar una opción Quiosco en la pantalla de inicio de sesión, que no requiere autenticación ni credenciales de usuario y crea una nueva cuenta local cada vez que se usa para ejecutar una aplicación especificada en el modo de acceso asignado (pantalla completa).

Administración de cuentas

Cuando se activa el servicio de administración de cuentas en modo de equipo compartido, las cuentas se eliminan automáticamente. La eliminación de cuentas se aplica a las cuentas de Active Directory y Azure Active Directory, así como a las cuentas locales que se crean mediante las opciones Invitado y Quiosco. La administración de cuentas se realiza tanto en el momento de cierre (para asegurarse de que hay suficiente espacio en disco para el siguiente usuario), así como durante los períodos de tiempo de mantenimiento del sistema. El modo de equipo compartido puede configurarse para eliminar las cuentas inmediatamente en el cierre de sesión o cuando se dispone de poco espacio en disco. En Windows cliente, se agrega una opción inactiva que elimina cuentas si no han iniciado sesión después de un número especificado de días.

Mantenimiento y reposo

El modo de equipo compartido está configurado para aprovechar los períodos de tiempo de mantenimiento que se ejecutan cuando el equipo no está en uso. Por lo tanto, se recomienda encarecidamente el estado de suspensión para que el equipo pueda activarse cuando no esté en uso para realizar mantenimiento, limpiar cuentas y ejecutar Windows Update. Se puede establecer la configuración recomendada seleccionando SetPowerPolicies en la lista de opciones de equipo compartido. Además, en los dispositivos sin alarmas de activación de Interfaz avanzada de configuración y energía (ACPI), el modo de equipo compartido siempre invalida las alarmas de activación de reloj en tiempo real (RTC) para poder reactivar el equipo en reposo (las alarmas de activación de RTC están desactivadas de forma predeterminada). Así se garantiza que la más amplia variedad de hardware aprovechará los períodos de mantenimiento.

Mientras el modo de equipo compartido no configure Windows Update, se recomienda configurar Windows Update para que instale las actualizaciones y se reinicie (si procede) automáticamente durante las horas de mantenimiento. Esto ayudará a garantizar que el equipo esté siempre actualizado y no interrumpa a los usuarios con las actualizaciones.

Utilice uno de los siguientes métodos para configurar Windows Update:

• Directiva de grupo: Establecer Configuración del equipo > Plantillas administrativas > Componentes de Windows > Windows Update > Configurar Actualizaciones automáticas en 4 y activar Instalar durante mantenimiento automático.
• MDM: Establece Actualizar/AllowAutoUpdate en 4.
• Aprovisionamiento: En el Diseñador de imágenes y configuraciones (ICD) de Windows, establece Directivas/Actualizar/AllowAutoUpdate en 4.

Más información sobre la configuración de AllowAutoUpdate

Comportamiento de la aplicación

Las aplicaciones pueden aprovechar el modo de equipo compartido con las siguientes tres API:

• IsEnabled: informa a las aplicaciones cuando el equipo está configurado para los escenarios de uso compartido. Por ejemplo, una aplicación solo podría descargar contenido a petición en un dispositivo en modo de equipo compartido o podría omitir experiencias de primera ejecución.
• ShouldAvoidLocalStorage: informa a las aplicaciones cuando el equipo esta configurado para no permitir al usuario guardar contenido en el almacenamiento local del equipo. En su lugar, la aplicación debería ofrecer ubicaciones de almacenamiento solo en la nube o realizar el almacenamiento automáticamente.
• IsEducationEnvironment: informa a las aplicaciones cuando el equipo se usa en un entorno educativo. Es posible que las aplicaciones quieran controlar los datos de diagnóstico de manera diferente u ocultar la funcionalidad de publicidad.

Personalización

El modo de equipo compartido expone un conjunto de personalizaciones para ajustar el comportamiento a tus requisitos. Estas personalizaciones son las opciones que establecerás con MDM o un paquete de aprovisionamiento, como se explica en Configurar el modo de equipo compartido para Windows. Las opciones se muestran en la tabla siguiente.

Configuración del modo de equipo compartido para Windows

Puedes configurar Windows para que esté en modo de equipo compartido de un par de formas distintas:

• Administración de dispositivos móviles (MDM): el modo de equipo compartido se habilita mediante el Proveedor de servicios de configuración (CSP) de SharedPC. Para configurar una directiva de dispositivo compartido para Windows cliente en Intune, siga estos pasos:

  1. Inicie sesión en el centro Microsoft Endpoint Manager administración.

  2. Seleccione **** > Dispositivos Windows > Perfiles de configuración Crear > perfil.

  3. Escriba las propiedades siguientes:

     • Plataforma: seleccione Windows 10 y versiones posteriores.
     • Perfil: seleccione Plantillas > Dispositivo multiusuado compartido.

  4. Selecciona Crear.

  5. En Conceptos básicos, escriba las siguientes propiedades:

     • Nombre: escriba un nombre descriptivo para el nuevo perfil.
     • Descripción: escriba una descripción para el perfil. Esta configuración es opcional, pero se recomienda.

  6. Selecciona Siguiente.

  7. En Configuración, según la plataforma que elijas, las opciones que puedes configurar son diferentes. Elija la plataforma para obtener una configuración detallada:

  8. En la página Configuración, establezca el valor "Modo de equipo compartido" en Habilitado.

     

  9. A partir de este momento, puede configurar cualquier configuración adicional que le gustaría formar parte de esta directiva y, a continuación, seguir el resto del flujo de configuración hasta su finalización seleccionando Crear después del paso 6.

• Un paquete de aprovisionamiento creado con el Diseñador de configuraciones de Windows: puede aplicar un paquete de aprovisionamiento al configurar inicialmente el equipo (también conocido como la experiencia lista para usar o OOBE), o puede aplicar el paquete de aprovisionamiento a un cliente de Windows que ya esté en uso. El paquete de aprovisionamiento se crea el Diseñador de configuraciones de Windows. El modo de equipo compartido se habilita mediante el Proveedor de servicios de configuración (CSP) de SharedPC y se expone en el Diseñador de configuraciones de Windows como SharedPC.

  

• Puente de WMI: los entornos que usan la directiva de grupo pueden usar MDM Bridge WMI Provider para configurar la clase MDM_SharedPC (en inglés). Para todas las configuraciones del dispositivo, el cliente de puente WMI debe ejecutarse en el usuario del sistema local; para obtener más información, vea Using PowerShell scripting with the WMI Bridge Provider. Por ejemplo, abre PowerShell como administrador y escribe lo siguiente:

  $sharedPC = Get-CimInstance -Namespace "root\cimv2\mdm\dmmap" -ClassName "MDM_SharedPC"
  $sharedPC.EnableSharedPCMode = $True
  $sharedPC.SetEduPolicies = $True
  $sharedPC.SetPowerPolicies = $True
  $sharedPC.MaintenanceStartTime = 0
  $sharedPC.SignInOnResume = $True
  $sharedPC.SleepTimeout = 0
  $sharedPC.EnableAccountManager = $True
  $sharedPC.AccountModel = 2
  $sharedPC.DeletionPolicy = 1
  $sharedPC.DiskLevelDeletion = 25
  $sharedPC.DiskLevelCaching = 50
  $sharedPC.RestrictLocalStorage = $False
  $sharedPC.KioskModeAUMID = ""
  $sharedPC.KioskModeUserTileDisplayText = ""
  $sharedPC.InactiveThreshold = 0
  Set-CimInstance -CimInstance $sharedPC
  Get-CimInstance -Namespace "root\cimv2\mdm\dmmap" -ClassName MDM_SharedPC
  

Crear un paquete de aprovisionamiento para uso compartido

1. Instalar el Diseñador de configuraciones de Windows

2. Abre el Diseñador de configuraciones de Windows.

3. En la Página de inicio, selecciona Aprovisionamiento avanzado.

4. Escribe un nombre y (opcionalmente) una descripción para el proyecto y haz clic en Siguiente.

5. Selecciona Todas las ediciones de escritorio de Windows y haz clic en Siguiente.

6. Haz clic en Finalizar. El proyecto se abre en el Diseñador de configuraciones de Windows.

7. Ve a Configuración de tiempo de ejecución > SharedPC. Selecciona la configuración deseada para el modo de equipo compartido.

8. En el menú Archivo, selecciona Guardar.

9. En el menú Exportar, selecciona Paquete de aprovisionamiento.

10. Cambia Propietario a Administrador de TIpara establecer una prioridad para este paquete de aprovisionamiento superior a la de los paquetes de aprovisionamiento aplicados a este dispositivo desde otros orígenes. Después, selecciona Siguiente.

11. Establece un valor para Versión del paquete.

    Sugerencia

    Puedes realizar cambios en los paquetes existentes y cambiar el número de versión para actualizar los paquetes aplicados anteriormente.

12. (Opcional) En la ventana Seguridad del paquete de aprovisionamiento, puedes elegir cifrar el paquete y habilitar la firma del paquete.

    • Habilitar el cifrado del paquete: si seleccionas esta opción, en la pantalla se mostrará una contraseña generada automáticamente.

    • Habilitar la firma del paquete: si seleccionas esta opción, debes seleccionar un certificado válido que se usará para firmar el paquete. Para especificar el certificado, haz clic en Seleccionar... y elige el certificado que quieras usar para firmar el paquete.

      Importante

      Te recomendamos incluir un certificado de aprovisionamiento de confianza en el paquete de aprovisionamiento. Cuando el paquete se aplica a un dispositivo, el certificado se agrega al almacén del sistema y cualquier paquete firmado con dicho certificado podrá aplicarse de forma silenciosa de ahí en adelante.

13. Haz clic en Siguiente para especificar la ubicación de salida donde quieras ubicar el paquete de aprovisionamiento una vez compilado. De forma predeterminada, el Diseñador de configuraciones de Windows usa la carpeta de proyecto como la ubicación de salida. También puedes hacer clic en Examinar para cambiar la ubicación de salida predeterminada.

14. Haz clic en Siguiente.

15. Haz clic en Compilar para comenzar a compilar el paquete. La información del proyecto se muestra en la página de compilación y la barra de progreso indica el estado de compilación. Si necesitas cancelar la compilación, haz clic en Cancel. Se cancelará el proceso de compilación actual, se cerrará el asistente y se volverá a la página Customizations Page.

16. Si se produce un error en la compilación, se mostrará un mensaje de error con un vínculo a la carpeta del proyecto. Puedes examinar los registros para determinar qué produjo el error. Después de solucionar el problema, intenta volver a compilar el paquete. Si la compilación es correcta, se mostrará el nombre del paquete de aprovisionamiento, el directorio de salida y el directorio del proyecto.

    • Si quieres, puedes volver a compilar el paquete de aprovisionamiento y elegir otra ruta de acceso para el paquete de salida. Para hacerlo, haz clic en Atrás para cambiar el nombre y la ruta de acceso del paquete de salida y, a continuación, en Siguiente para iniciar otra compilación.
    • Cuando hayas terminado, haz clic en Finalizar para cerrar el asistente y volver a la página Personalizaciones.

17. Selecciona el vínculo Ubicación del resultado para ir a la ubicación del paquete. Puedes proporcionar dicho .ppkg a otras personas a través de cualquiera de los métodos siguientes:

    • Carpeta de red compartida

    • Sitio de SharePoint

    • Medios extraíbles (USB/SD) (seleccionar esta opción para aplicarla a un equipo durante la instalación inicial)

Aplicar el paquete de aprovisionamiento

Puedes aplicar el paquete de aprovisionamiento a un equipo durante la instalación inicial o a un equipo que ya se ha configurado.

Durante la instalación inicial

1. Empieza con un equipo en la pantalla de configuración.

   

2. Inserta la unidad USB. Si no pasa nada cuando se inserta la unidad USB, presiona la tecla Windows cinco veces.

   • Si hay un único paquete de aprovisionamiento en la unidad USB, se aplica el paquete de aprovisionamiento.

   • Si hay más de un paquete de aprovisionamiento en la unidad USB, se muestra el mensaje ¿Configurar dispositivo?. Haz clic en Configurar y selecciona el paquete de aprovisionamiento que quieras instalar.

     

3. Completa el proceso de configuración.

Después de la configuración

En un equipo de escritorio, navega a Configuración > Cuentas > Acceso al trabajo > Agregar o quitar un paquete de administración > Agregar un paquete y selecciona el paquete que quieres instalar.

Instrucciones para cuentas en equipos compartidos

• Te recomendamos que no haya ninguna cuenta de administrador local en el equipo para mejorar la confiabilidad y seguridad del equipo.

• Si se configura un equipo en modo de equipo compartido con la directiva de eliminación predeterminada, las cuentas se almacenarán automáticamente en caché hasta que quede poco espacio en disco. Después se eliminarán cuentas para recuperar espacio en disco. La administración de cuentas se produce automáticamente. Tanto las cuentas de dominio de Azure AD como de Active Directory se administran de esta forma. Las cuentas creadas a través de Invitado y Quiosco se eliminarán automáticamente al cerrar sesión.

• En un equipo de Windows unido a Azure Active Directory:

  • De manera predeterminada, la cuenta que une el equipo a Azure AD tendrá una cuenta de administrador en el equipo. Los administradores globales para el dominio de Azure AD también tendrá cuentas de administrador en el equipo.
  • Con Azure AD Premium, puedes especificar qué cuentas tienen cuentas de administrador en un equipo mediante la opción de configuración Administradores adicionales en los dispositivos unidos a Azure AD en el Portal de Azure.

• Las cuentas locales que ya existan en un equipo no se eliminarán al activar el modo de equipo compartido. Las nuevas cuentas locales que se creen mediante Configuración > Cuentas > Otras personas > Agregar otra persona a este equipo después de que se active el modo de equipo compartido no se eliminarán. Sin embargo, las cuentas **** de invitado nuevas creadas por las opciones Invitado y Quiosco en la pantalla de inicio de sesión (si está habilitada) se eliminarán automáticamente al cerrar sesión. Para establecer una directiva general en todas las cuentas locales, puede configurar la siguiente configuración de directiva de grupo local: Configuración del equipo Plantillas administrativas Perfiles de usuario del > **** > **** > **** sistema: **** Eliminar perfiles de usuario anteriores a un número especificado de días al reiniciar el sistema .

• Si se necesitan cuentas de administrador en el equipo

  • Asegúrate de que el equipo está unido a un dominio que permita que se inicie sesión en las cuentas como administrador, o
  • Crea cuentas de administrador antes de configurar el modo de equipo compartido, o
  • Crea cuentas exentas antes de cerrar sesión al activar el modo de equipo compartido.

• El servicio de administración de cuentas admite cuentas que están exentas de eliminación.

  • Una cuenta se puede marcar exenta de eliminación agregando el SID de la cuenta a la clave del Registro: HKEY_LOCAL_MACHINE\SOFTARE\Microsoft\Windows\CurrentVersion\SharedPC\Exemptions\ .

  • Para agregar el SID de la cuenta a la clave del Registro mediante PowerShell:

    $adminName = "LocalAdmin"
    $adminPass = 'Pa$$word123'
    iex "net user /add $adminName $adminPass"
    $user = New-Object System.Security.Principal.NTAccount($adminName) 
    $sid = $user.Translate([System.Security.Principal.SecurityIdentifier]) 
    $sid = $sid.Value;
    New-Item -Path "HKLM:\Software\Microsoft\Windows\CurrentVersion\SharedPC\Exemptions\$sid" -Force
    

Directivas establecidas por el modo de equipo compartido

El modo de equipo compartido establece directivas de grupo local para configurar el dispositivo. Algunas de ellas son configurables mediante las opciones de modo de equipo compartido.