Outlook, Teams y Edge en Android corporativo sin Intune

Usted utiliza Microsoft 365 y los dispositivos Android de su empresa están administrados por un MDM de Android Enterprise que no es Intune. Tal vez esté migrando fuera de Intune o nunca lo haya licenciado. De cualquier manera, aún necesita que Outlook encuentre el buzón de correo correcto en el primer inicio, que Teams acepte solo cuentas profesionales y que Edge abra la página de intranet adecuada y bloquee el resto.

La mayor parte de esto es posible sin Intune. Microsoft documenta un conjunto de claves de configuración administrada para Outlook, Teams, Edge y Microsoft Launcher en Android. Cualquier MDM de Android Enterprise puede entregarlas a través del sistema operativo. Sin embargo, algunas protecciones sí dependen de Intune. Esta guía separa ambas para que pueda explicar las implicaciones a sus directores.

Configurará la preconfiguración de cuentas en Outlook, las claves de cuenta e inicio de sesión en Teams, los controles de navegación y ajustes de quiosco en Edge, y Microsoft Launcher como pantalla de inicio. Luego verá a qué renuncia sin Intune App Protection y cómo migrar las directivas de configuración de aplicaciones existentes de Intune a configuraciones administradas.

¿Va a dejar Intune? Lea primero Cómo migrar la configuración cuando abandona Intune y cree su hoja de mapeo. Luego siga los pasos del 1 al 6 utilizando los valores de esa hoja en lugar de empezar desde cero.

Antes de comenzar: configuraciones administradas vs. Intune App Protection

Es fácil confundir estos dos mecanismos, y gran parte de la confusión proviene de los nombres de las claves.

• Las configuraciones administradas de Android (también llamadas restricciones de aplicaciones) son parte de Android Enterprise. Su MDM envía un conjunto de claves y valores a una aplicación instalada desde Google Play administrado, y la aplicación las lee del paquete de restricciones de Android. Microsoft llama a esto el «canal del SO» o canal de «dispositivos administrados». Cualquier MDM de Android Enterprise puede utilizarlo.
• Intune App Protection (MAM) es la capa de directivas a nivel de aplicación de Microsoft. Está integrada en las aplicaciones de Microsoft a través del SDK de aplicaciones de Intune y solo se aplica cuando una directiva de protección de aplicaciones de Intune se dirige al usuario. Los controles de copiar/pegar, las restricciones de «guardar como» y las comprobaciones de inicio condicional pertenecen aquí. Requiere Intune.

Los nombres de las claves son lo que suele confundir. Algunas claves que comienzan con com.microsoft.intune.mam funcionan a través del canal del SO de todos modos. El ejemplo más importante es com.microsoft.intune.mam.AllowedAccountUPNs, que lleva el nombre del SDK de Microsoft pero que Outlook y Teams leen del paquete de restricciones de Android. Utilice esta regla en lugar del prefijo: las claves que contienen IntuneMAMOnly en el nombre necesitan una directiva de protección de aplicaciones de Intune. Microsoft documenta las demás claves tratadas en esta guía para dispositivos administrados a través del canal del SO.

Requisitos previos

• Dispositivos inscritos en Android Enterprise en un MDM compatible con configuraciones administradas. Tenga en cuenta qué modo utiliza cada dispositivo: totalmente administrado, dedicado o perfil de trabajo. El modo quiosco de Edge en el Paso 4 está destinado a dispositivos dedicados.
• Su cuenta de Google Play administrado vinculada al MDM, para que pueda aprobar Outlook, Teams, Edge y Microsoft Launcher.
• Una cuenta de Microsoft Entra con una licencia de Microsoft 365 adecuada para cada usuario que vaya a iniciar sesión en Outlook y Teams.
• La documentación de configuración de Microsoft abierta en learn.microsoft.com para cada aplicación, para que pueda comprobar los formatos de los valores.
• Un dispositivo de prueba que pueda restablecer e inscribir de nuevo.

Nota: Los nombres de las claves distinguen entre mayúsculas y minúsculas. Si escribe edgeenablekioskmode en lugar de EdgeEnableKioskMode, la aplicación lo ignorará y no mostrará ningún error. Seleccione las claves desde el formulario de configuración administrada de su MDM, generado a partir del propio esquema de la aplicación, en lugar de escribirlas a mano.

Paso 1: Aprobar las aplicaciones de Microsoft y añadirlas a su directiva

1. En su consola de MDM, abra Google Play administrado y apruebe Microsoft Outlook (com.microsoft.office.outlook), Microsoft Teams (com.microsoft.teams), Microsoft Edge (com.microsoft.emmx) y, si planea usarlo, Microsoft Launcher (com.microsoft.launcher).
2. Añada cada aplicación a una directiva de prueba que solo use su dispositivo de prueba, no a la directiva de toda la flota. Establezca el tipo de instalación en requerida o forzada para que la aplicación se instale sin intervención del usuario.
3. Abra el formulario de configuración administrada de cada aplicación. Debería ver una lista de claves que coincide con la documentación de Microsoft.

Resultado esperado: Cada aplicación que añadió aparece en la directiva y cada una muestra un formulario de configuración administrada editable. Si un formulario está vacío, la aplicación aún no ha sido aprobada en Google Play administrado o la consola no ha obtenido su esquema.

Advertencia: Las configuraciones administradas solo llegan a las copias de la aplicación instaladas a través de Google Play administrado en el perfil administrado o en un dispositivo totalmente administrado. Si un usuario instala Outlook en su perfil personal, esa copia no recibirá nada.

Paso 2: Preconfigurar la cuenta de Outlook y bloquear los ajustes que le interesen

1. Configuración de la cuenta. Establezca com.microsoft.outlook.EmailProfile.EmailAddress en la dirección de correo electrónico del usuario, junto con las claves de los elementos siguientes.
2. com.microsoft.outlook.EmailProfile.EmailUPN: el UPN de inicio de sesión del usuario. A menudo coincide con la dirección de correo electrónico, pero no siempre.
3. com.microsoft.outlook.EmailProfile.AccountType: el tipo de cuenta que Microsoft documenta para su buzón. Para Exchange Online con autenticación moderna, Microsoft documenta ModernAuth.
4. Cuentas permitidas. Establezca com.microsoft.intune.mam.AllowedAccountUPNs en la cuenta o cuentas profesionales que Outlook puede añadir. Microsoft documenta esta clave para dispositivos administrados a través del canal del SO. Consulte la página de Microsoft para conocer el delimitador exacto si enumera más de un UPN.
5. Comportamiento del correo. Seleccione Bandeja de entrada prioritarios, bloqueo de imágenes externas y respuestas sugeridas en el formulario. Microsoft también documenta claves para la sincronización de contactos y calendario, y para S/MIME si utiliza correo firmado o cifrado.
6. Bloquee lo que sea relevante. Muchas claves de Outlook tienen una clave complementaria que termina en .UserChangeAllowed. Establézcala en false para cualquier ajuste que los usuarios no deban cambiar, como el bloqueo de imágenes externas. Déjela en true para preferencias como Bandeja de entrada prioritarios si solo desea definir un valor predeterminado.

Resultado esperado: En el primer inicio, Outlook muestra la cuenta profesional encontrada. El usuario pulsa para añadirla e inicia sesión con sus credenciales de Microsoft Entra. Se rechaza la adición de una cuenta que no esté en la lista permitida y los usuarios no pueden modificar los ajustes que usted bloqueó.

Nota: La preconfiguración no elude la autenticación. El usuario sigue iniciando sesión, y MFA y cualquier directiva de inicio de sesión que tenga en Entra ID siguen aplicándose.

Paso 3: Configurar Teams para dispositivos compartidos y de primera línea

Microsoft documenta tres claves de Teams que funcionan sin Intune:

1. com.microsoft.intune.mam.AllowedAccountUPNs restringe Teams a las cuentas profesionales que indique. Microsoft señala que esta restricción de cuentas funciona con cualquier UEM en dispositivos inscritos. Dispositivos de un solo usuario: establézcala en el UPN de ese usuario, utilizando una variable por usuario si su MDM dispone de ella.
2. Dispositivos compartidos: el valor debe incluir a cada trabajador que inicie sesión en ese dispositivo. Consulte la página de Microsoft para conocer el delimitador de la lista. Si no puede mantener esa lista actualizada, deje la clave sin configurar en los dispositivos compartidos y registre esta compensación en su registro de decisiones.
3. domain_name establece su dominio de inicio de sesión, de modo que los trabajadores no necesitan escribir el UPN completo.
4. enable_numeric_emp_id_keypad muestra un teclado numérico al iniciar sesión. En dispositivos compartidos donde los trabajadores inician sesión con una identificación numérica de empleado, esto agiliza el inicio de sesión.

Teams también tiene tres claves de contenido de notificaciones, que controlan lo que aparece en ellas. Las tres terminan en IntuneMAMOnly. Sin una directiva de protección de aplicaciones de Intune no tienen ningún efecto, por lo que no debe confiar en ellas para ocultar vistas previas de mensajes en un dispositivo compartido.

Resultado esperado: En un dispositivo compartido, la pantalla de inicio de sesión de Teams muestra un teclado numérico y el trabajador introduce su ID de empleado. Si configuró AllowedAccountUPNs, Teams acepta únicamente las cuentas de esa lista.

Paso 4: Configurar Edge para control de navegación, quioscos y dispositivos compartidos

1. Permitir y bloquear. Utilice URLAllowlist y URLBlocklist para controlar qué sitios pueden abrirse. En un dispositivo para tareas dedicadas, una lista de permitidos corta suele ser más fácil de mantener que una lista de bloqueados larga.
2. Puntos de partida. Utilice ManagedFavorites para distribuir marcadores a la intranet, al portal de RR. HH. y a la herramienta de tickets. Utilice EdgeNewTabPageCustomURL para definir la página de nueva pestaña.
3. Valores de seguridad predeterminados. Active SmartScreenEnabled y EdgeDefaultHTTPS.
4. Modo quiosco y vista bloqueada. En dispositivos dedicados, EdgeEnableKioskMode ejecuta Edge como un navegador quiosco. EdgeShowAddressBarInKioskMode controla si los usuarios ven la barra de direcciones y EdgeLockedViewModeEnabled limita la navegación dentro del navegador. Combine estas claves con IdleTimeout para que una sesión desatendida se restablezca. Consulte la página de Microsoft para conocer la unidad de tiempo.
5. Higiene en dispositivos compartidos. Establezca EdgeBlockSignInEnabled y EdgeSyncDisabled para que nadie inicie sesión con un perfil en un navegador compartido. Desactive PasswordManagerEnabled, restrinja InPrivateModeAvailability y active SavingBrowserHistoryDisabled. Utilice los valores que Microsoft documenta para cada uno.

Resultado esperado: Edge se abre en la página elegida, muestra sus favoritos administrados, rechaza los sitios bloqueados y, en dispositivos quiosco, oculta los controles que deshabilitó. El inicio de sesión en Edge está bloqueado para todas las cuentas, tanto de trabajo como personales. Ese es el comportamiento previsto en un dispositivo compartido. No configure EdgeBlockSignInEnabled en dispositivos de un solo usuario donde las personas necesiten su perfil de trabajo en Edge.

Nota: Edge también cuenta con claves de protección de aplicaciones de Intune, documentadas por separado. Al igual que las claves IntuneMAMOnly de Outlook y Teams, no hacen nada sin Intune.

Paso 5: Usar Microsoft Launcher como pantalla de inicio (opcional)

Utilice esto si desea una pantalla de inicio con estilo de Microsoft en lugar del iniciador de quiosco de su MDM.

1. Elimine el iniciador en conflicto. Desactive el iniciador de quiosco de su MDM en la directiva para estos dispositivos. Elija una sola pantalla de inicio por dispositivo, ya que ejecutar Microsoft Launcher junto con un iniciador de quiosco de MDM provoca conflictos.
2. Establézcalo como aplicación de inicio predeterminada. Si la directiva de su MDM permite definir una aplicación de inicio predeterminada, elija Microsoft Launcher. Si no puede, presione Inicio en el dispositivo, elija Microsoft Launcher y pulse Siempre.
3. Configure el diseño con estas claves. HomeScreen.Applications: qué aplicaciones aparecen.
4. AppOrder: su posición.
5. WebLinks: accesos directos a páginas web.
6. Wallpaper.URL: un fondo de pantalla corporativo. La URL de la imagen debe ser accesible desde la red del dispositivo.
7. Dock.Mode: comportamiento del dock.
8. Feed.Enabled: si el panel de fuentes de información (feed) está disponible.

Resultado esperado: Al presionar Inicio o reiniciar, aparece Microsoft Launcher con el diseño de aplicaciones, el fondo de pantalla y los enlaces web configurados. Para dispositivos de propósito único, un quiosco de MDM suele ser la opción más sencilla.

Paso 6: Probar en un dispositivo antes del despliegue

1. Restablezca e inscriba de nuevo un dispositivo de prueba en la directiva de prueba que creó antes, que ningún otro dispositivo usa.
2. Espere a que se instalen las aplicaciones y luego abra Outlook, Teams y Edge en ese orden. Compruebe cada resultado esperado indicado anteriormente.
3. Intente vulnerar cada ajuste: añada una cuenta personal en Outlook y en Teams, abra una URL bloqueada, modifique un ajuste bloqueado de Outlook e intente iniciar sesión en Edge en un dispositivo compartido.
4. Registre qué funciona y qué no antes de ampliar el grupo. Utilice las Preguntas frecuentes de resolución de problemas a continuación para resolver cualquier fallo.

Resultado esperado: Cada ajuste se comporta según lo configurado. Cualquier cosa que no lo haga suele deberse a un error tipográfico, un tipo de valor incorrecto o una clave que resulta ser exclusiva de Intune.

Lo que se pierde sin Intune, explicado con claridad

Las configuraciones administradas determinan cómo se configuran las aplicaciones. No controlan lo que los usuarios pueden hacer con los datos que contienen. Sin Intune App Protection, no obtiene:

• Controles de transferencia de datos: restringir el copiado/pegado fuera de Outlook o Teams y bloquear la opción «Guardar como» en ubicaciones no administradas.
• Controles de contenido de notificaciones: las claves IntuneMAMOnly que ocultan el contenido de los mensajes en las notificaciones.
• Requisitos de inicio condicional y acceso: comprobaciones a nivel de aplicación como un PIN de app, versión mínima del SO o de la aplicación, o el bloqueo de dispositivos rooteados antes de que se abra la aplicación.
• Borrado selectivo a nivel de aplicación de los datos corporativos en dichas aplicaciones.

El acceso condicional en Microsoft Entra ID es independiente de todo esto. Las directivas que requieren un dispositivo compatible con Intune o una directiva de protección de aplicaciones dependen de las señales de Intune. Ni las configuraciones administradas ni un MDM diferente reemplazan Intune App Protection ni ese tipo de acceso condicional. Revise esas directivas antes de la migración: bloquearán el inicio de sesión desde dispositivos que ya no estén administrados por Intune.

Aún conserva Android Enterprise en sí. Un perfil de trabajo separa las aplicaciones de trabajo y personales a nivel del SO, un dispositivo totalmente administrado o dedicado le permite controlar todo el dispositivo y las restricciones a nivel de dispositivo se definen mediante directivas. Si eso es suficiente dependerá de su clasificación de datos. Ponga la decisión por escrito: elabore una lista de los controles anteriores a los que renuncia, el riesgo que cubría cada uno y el control compensatorio que utiliza en su lugar. Ese registro es lo que solicitarán sus directores.

Cómo migrar la configuración cuando abandona Intune

1. Exporte lo que tiene. En el centro de administración de Intune, enumere cada directiva de configuración de aplicaciones para Outlook, Teams, Edge y Microsoft Launcher. Tenga en cuenta el tipo de cada directiva. Las directivas de Dispositivos administrados ya utilizan el canal del SO. Las directivas de Aplicaciones administradas pasan por el SDK de aplicaciones de Intune. Termine esta lista antes de retirar Intune, porque estas directivas son la fuente de su mapeo.
2. Mapee cada clave. Cree una hoja de cálculo con cuatro columnas: clave, valor, tipo de directiva de origen y destino. Las claves de las directivas de dispositivos administrados se asignan directamente a las configuraciones administradas en su nuevo MDM.
3. Para las claves de las directivas de aplicaciones administradas, consulte la página de Microsoft para comprobar si esa misma clave está documentada para el canal del SO. Si lo está, trasládela. Si contiene IntuneMAMOnly o está documentada solo para protección de aplicaciones, márquela como descartada y regístrela en su registro de decisiones.
4. Las variables de token de Intune (por ejemplo, el UPN del usuario) deben reemplazarse con las variables de su MDM o con valores explícitos. Planifique también la migración en sí: Android Enterprise no permite que el MDM anterior y el nuevo administren el mismo dispositivo a la vez, así que en cada dispositivo hay que eliminar el perfil de trabajo, o restablecerlo de fábrica, antes de inscribirlo en el nuevo MDM.
5. Haga pruebas en un dispositivo exactamente como en el Paso 6 y, a continuación, traslade un grupo piloto antes de toda la flota.

Resultado esperado: Una hoja de mapeo donde cada ajuste anterior de Intune se traslada, se reemplaza o se descarta de forma consciente, además de un dispositivo que se comporta igual que la configuración antigua de Intune en todo lo trasladado.

Preguntas frecuentes sobre resolución de problemas

Outlook no muestra la cuenta preconfigurada en el primer inicio.

Compruebe que Outlook se haya instalado desde Google Play administrado en el perfil administrado y que com.microsoft.outlook.EmailProfile.EmailAddress, EmailUPN y AccountType estén configurados respetando las mayúsculas y minúsculas correctas. Si el usuario abrió Outlook antes de que llegara la configuración, borre los datos de la aplicación o reinstálela y vuelva a abrirla.

Los usuarios todavía pueden añadir una cuenta personal.

Compruebe que com.microsoft.intune.mam.AllowedAccountUPNs esté configurado en esa aplicación específica (Outlook y Teams necesitan la suya propia cada uno) y que el valor coincida exactamente con el UPN del usuario. Un error tipográfico en el dominio impedirá que coincida con alguna cuenta.

Un trabajador con un dispositivo compartido no puede iniciar sesión en Teams.

Si AllowedAccountUPNs está configurado en ese dispositivo, el UPN del trabajador debe estar en la lista. Añádalo o elimine la clave en los dispositivos compartidos como se describe en el Paso 3.

Las claves de notificación de Teams no surten efecto.

Es el comportamiento esperado. Las claves de contenido de notificaciones terminan en IntuneMAMOnly y requieren una directiva de protección de aplicaciones de Intune.

Los usuarios no pueden iniciar sesión en Edge en absoluto.

EdgeBlockSignInEnabled bloquea todo inicio de sesión en Edge, incluidas las cuentas de trabajo. Elimínelo de las directivas para dispositivos de un solo usuario.

La configuración de quiosco de Edge se ignora.

Confirme que el dispositivo esté inscrito como dispositivo dedicado, verifique las mayúsculas y minúsculas exactas de EdgeEnableKioskMode y asegúrese de que ningún otro iniciador esté compitiendo con Edge por el primer plano.

Un ajuste que bloqueé todavía se puede modificar.

El bloqueo requiere que la clave complementaria .UserChangeAllowed correspondiente esté configurada en false. Configurar únicamente la clave principal solo define un valor predeterminado.

El formulario de configuración administrada de la aplicación está vacío.

Es posible que la aplicación aún no esté aprobada en Google Play administrado o que la consola no haya obtenido su esquema. Apruebe la aplicación, actualice y vuelva a abrir el formulario.

¿Puedo obtener restricciones de copiar/pegar sin Intune?

No dentro de Outlook o Teams a través de configuraciones administradas. A nivel del SO, las directivas de Android Enterprise pueden restringir el uso compartido de datos entre el perfil de trabajo y el perfil personal, lo cual puede servir como control compensatorio. Regístrelo como tal en su registro de decisiones.

Cómo configurar estos ajustes en Nomid

En Nomid MDM, añade la aplicación desde Google Play administrado a una directiva y abre su configuración administrada. Nomid muestra el formulario de configuración administrada de la aplicación, por lo que usted selecciona las claves en lugar de escribirlas. Empiece con un dispositivo de prueba en esa directiva y pase más dispositivos a ella una vez superada la prueba. Para comprobar qué claves expone cada aplicación antes de empezar, consulte las páginas del directorio para Outlook, Teams, Edge y Microsoft Launcher.

Si un dispositivo piloto no recibe una aplicación, el trabajador puede ejecutar la pantalla de Comprobación en la aplicación Nomid Settings, si su directiva muestra dicho botón. Su estado de instalación por aplicación solo cubre las aplicaciones de Nomid Store, así que para Outlook, Teams y Edge desde Google Play administrado las filas útiles son las versiones de Play Store y Google Play Services y si el dispositivo se conecta con los servidores de Nomid. Las filas con errores ofrecen una solución, y la comprobación puede ejecutarse de nuevo. La consola muestra cuándo se ejecutó la última comprobación y cada una queda registrada en el historial de comandos del dispositivo. El plan gratuito cubre hasta 10 dispositivos sin límite de tiempo, lo cual es suficiente para realizar esta prueba piloto.

Puntos clave y pasos siguientes

• Las configuraciones administradas provienen de cualquier MDM de Android Enterprise. Intune App Protection proviene únicamente de Intune. Compruebe cada clave en la documentación de Microsoft: IntuneMAMOnly en el nombre indica que requiere Intune App Protection, mientras que el prefijo com.microsoft.intune.mam por sí solo no lo indica.
• La configuración de cuentas de Outlook, las cuentas permitidas y los ajustes bloqueados, las claves de inicio de sesión de Teams, los controles de navegación y quiosco de Edge y el diseño de Microsoft Launcher funcionan todos sin Intune.
• Los controles de copiar/pegar y guardar como, las claves de contenido de notificaciones, el inicio condicional y el acceso condicional dependiente de Intune no están disponibles. Documente esa compensación antes del despliegue.

Pasos siguientes: cree su hoja de mapeo, configure un dispositivo de prueba y presente su registro de decisiones junto con el resultado. Para probar esto en Nomid, comience con el plan gratuito en nomidmdm.com y abra las páginas del directorio de aplicaciones enlazadas anteriormente.