Controla las cuentas locales de Windows con Intune: automatiza su deshabilitación y reduce accesos no autorizados

Las cuentas locales olvidadas, creadas temporalmente o generadas por aplicaciones pueden convertirse en un punto difícil de gobernar dentro de un entorno corporativo. El problema aumenta cuando TI administra decenas o cientos de equipos y no puede revisar manualmente qué cuentas permanecen habilitadas.

En este escenario utilizaremos Microsoft Intune y PowerShell para aplicar un control automatizado: mantener habilitada únicamente la cuenta integrada de Administrador identificada por el RID 500 y deshabilitar las demás cuentas locales encontradas en el dispositivo.

El script también crea una tarea programada que vuelve a aplicar este control diariamente.

Importancia

El objetivo es mantener un estado consistente en los dispositivos administrados. En lugar de depender de revisiones manuales, Intune distribuye el script y Windows registra una tarea denominada:

Intune-Control-Cuentas-Locales

La tarea ejecutará nuevamente el control cada día, permitiendo detectar y deshabilitar nuevas cuentas locales que puedan aparecer posteriormente.

Antes de aplicarlo en producción, valida que ninguna cuenta local adicional sea necesaria para soporte, recuperación, aplicaciones o procesos internos.

Beneficios

• Automatiza el control de cuentas locales en Windows.
• Reduce revisiones manuales equipo por equipo.
• Centraliza el despliegue mediante Microsoft Intune.
• Ejecuta el control periódicamente mediante el Programador de tareas.
• Permite comprobar el resultado del despliegue desde Intune.
• Mejora la estandarización y el gobierno del endpoint.

Requisitos

• Dispositivos Windows administrados por Microsoft Intune.
• Permisos para crear y asignar scripts de plataforma.
• Un grupo de Microsoft Entra ID para la asignación.
• El archivo PowerShell Intune-Control-Cuentas-Locale.ps1.
• Validar primero el comportamiento en un grupo piloto.

El script utiliza Get-LocalUser para revisar las cuentas existentes. Si el SID termina en -500, mantiene habilitada esa cuenta. Las demás cuentas locales encontradas son deshabilitadas mediante Disable-LocalUser.

Pasos

Paso 1. Revisar las cuentas locales antes de aplicar el control

Antes de desplegar el script, abre Administración de equipos y navega a:

Herramientas del sistema > Usuarios y grupos locales > Usuarios

Aquí podrás identificar las cuentas existentes antes de realizar cualquier cambio.

Paso 2. Crear el script de plataforma en Microsoft Intune

En el Centro de administración de Microsoft Intune, navega a:

Dispositivos > Scripts y correcciones > Scripts de plataforma

Selecciona:

Agregar > Windows 10 y versiones posteriores

Con esto iniciaremos el asistente para desplegar el script de PowerShell.

Paso 3. Definir el nombre del control

En Datos básicos, introduce un nombre que permita identificar claramente la finalidad de la automatización.

Paso 4. Cargar y configurar el script PowerShell

En Configuración de script, carga:

Intune-Control-Cuentas-Locale.ps1

Configura las opciones tal como se muestra en el ejemplo:

• Ejecutar este script con las credenciales de inicio de sesión: No.
• Exigir comprobación de firma del script: No.
• Ejecutar script en host de PowerShell de 64 bits: Sí.

Al ejecutarse sin las credenciales del usuario, el script trabaja con el contexto administrativo necesario para crear la carpeta, generar el archivo de cumplimiento y registrar la tarea como SYSTEM.

Paso 5. Asignar el script al grupo objetivo

En Asignaciones, agrega el grupo de Microsoft Entra ID que recibirá esta configuración.

En el ejemplo se utiliza:

Administración

Para entornos productivos es recomendable comenzar con un grupo pequeño de prueba y ampliar posteriormente.

Paso 6. Revisar y crear

En Revisar y crear, valida los elementos principales:

• Nombre del script.
• Archivo PowerShell seleccionado.
• Ejecución con credenciales: No.
• Comprobación de firma: No.
• PowerShell de 64 bits: Sí.
• Grupo asignado.

Si todo es correcto, selecciona Crear.

Paso 7. Confirmar la tarea programada en Windows

Después de que Intune ejecute correctamente el script, abre el Programador de tareas del dispositivo.

Deberás encontrar una tarea denominada:

Paso 8. Validar nuevamente las cuentas locales

Regresa a:

Administración de equipos > Usuarios y grupos locales > Usuarios

Revisa las cuentas existentes y valida el resultado de acuerdo con la lógica definida en el script.

Recuerda que el objetivo de esta implementación no es eliminar cuentas: el script utiliza Disable-LocalUser para deshabilitar las cuentas que no correspondan al RID 500.

Paso 9. Confirmar el estado desde Microsoft Intune

Finalmente, abre el script Intune-Control-Cuentas-Locale desde Intune.

Preguntas frecuentes

1. ¿El script elimina las cuentas locales?

No. La lógica utiliza Disable-LocalUser, por lo que deshabilita las cuentas encontradas en lugar de eliminarlas.

2. ¿Qué cuenta mantiene habilitada?

El script identifica la cuenta integrada cuyo SID termina en -500 y la mantiene habilitada. Las demás cuentas locales encontradas se deshabilitan.

3. ¿El control se ejecuta solamente una vez desde Intune?

Intune entrega inicialmente el script, pero este crea una tarea programada local que vuelve a ejecutar el control diariamente a la 1:00 AM.

Conclusión

Microsoft Intune y PowerShell permiten convertir una revisión manual de cuentas locales en un proceso automatizado y repetible. En este escenario, Intune distribuye el script, Windows crea una tarea programada y el dispositivo vuelve a comprobar diariamente qué cuentas locales deben permanecer habilitadas.

La clave  está en probar antes de escalar: identifica las cuentas utilizadas por soporte, aplicaciones o procesos internos y valida el comportamiento en un grupo piloto antes de llevar la automatización a toda la organización.