Guía de estudio MD-102 Endpoint Administrator (2026)

Microsoft volvió a reconstruir MD-102 para el 27 de octubre de 2026 y esta vez el título del examen cambió con él. Si estudias con un temario de 2024 dedicarás horas a material que ya no pesa como crees y pasarás por alto los objetivos de Intune Suite, Windows 365, hotpatch y Security Copilot que se añadieron. Esta guía es la propia página web: los dominios y pesos actuales, lo que evalúa realmente cada objetivo, la documentación de Microsoft Learn que leería para cada uno, un plan de ocho semanas con laboratorios que puedes ejecutar en un tenant de prueba gratuito y los hechos que cuestan puntos a administradores con experiencia porque un valor predeterminado cambió sin avisar. Sigue la misma estructura que mi guía de estudio de AI-103 y mi guía de estudio de CCAF: visión general del examen, dominios con pesos, notas de estudio, trampas y preguntas frecuentes. Cada dato se verificó contra Microsoft Learn a finales de octubre de 2026 y las fuentes están al final.

Qué cubre MD-102 y quién debería presentarlo

El examen MD-102 ahora se titula Managing and Securing Microsoft 365 Endpoints by using Intune. Aprobarlo otorga Microsoft 365 Certified: Endpoint Administrator Associate, y ese nombre de credencial no cambió. Microsoft actualizó el examen en inglés el 27 de octubre de 2026; las versiones localizadas llegan unas ocho semanas después. La guía de estudio oficial de MD-102 es el documento que debes tener abierto mientras preparas, y cada sección de abajo se corresponde con ella.

El perfil de audiencia es directo. Se espera que tengas experiencia en la materia administrando dispositivos y aplicaciones cliente en un tenant de Microsoft 365 con Intune “y herramientas y flujos de trabajo agénticos”. La lista de herramientas es Intune, Intune Suite, Windows Autopilot, Microsoft Defender for Endpoint, Microsoft Entra ID, PowerShell, Microsoft Graph y Windows 365, y Microsoft añade que debes entender Security Copilot, los agentes de Intune y Defender XDR. Microsoft también señala que la mayoría de las preguntas cubren características en disponibilidad general, pero pueden aparecer características en versión preliminar si son de uso común.

En mi experiencia, quienes aprueban con holgura han operado Intune en producción durante un año, han completado al menos un despliegue de Autopilot y han resuelto un problema de cumplimiento o de actualizaciones bajo presión. Quienes sufren han leído sobre Intune pero nunca han visto fallar una página de estado de inscripción. Si ese es tu caso, construye primero el laboratorio y lee después. El examen encaja bien con administradores de escritorio que migran desde Configuration Manager y directivas de grupo, administradores de Microsoft 365 que heredaron la administración de dispositivos, consultores que necesitan una credencial actual y administradores de Windows 365 o Azure Virtual Desktop que quieren la profundidad en Intune que esas plataformas ahora dan por supuesta.

Datos del examen de un vistazo

Regístrate con una cuenta personal de Microsoft. Microsoft advierte que si te registras con una cuenta de trabajo o escuela, tus registros de examen se pierden y no se pueden recuperar cuando dejas esa organización.

Los cinco dominios y sus pesos

Dos cosas cambiaron en la versión de octubre de 2026 que importan para planificar. El dominio de aplicaciones pasó a llamarse “Administrar y proteger aplicaciones”, y el registro de cambios marca siete grupos funcionales con cambios “menores”: inscripción, implementación de clientes Windows, perfiles de configuración de dispositivos, complementos de Intune Suite, acciones remotas, implementación de aplicaciones, y supervisión y estado. Esos son los grupos que contienen las viñetas sobre Copia de seguridad de Windows, Quiet Time, Advanced Analytics y alertas de estado del tenant. Identidad y cumplimiento, seguridad de los puntos de conexión, actualizaciones de dispositivos, protección de aplicaciones y automatización no cambiaron, así que las viñetas sobre hotpatch y agentes de Security Copilot vienen de la versión anterior. Los dominios 1 y 2 suman entre el 45 y el 55 por ciento del examen, así que identidad, inscripción, Autopilot y configuración merecen la mitad de tu tiempo.

La formación oficial es Course MD-102T00-A: Manage and secure Microsoft 365 endpoints by using Intune, un curso de cinco días dirigido por un instructor. El mismo material está en Microsoft Learn como ocho rutas de aprendizaje a tu ritmo:

1. Prepare infrastructure for devices using Microsoft Intune and Microsoft Entra ID (5 módulos)
2. Manage and maintain devices using Microsoft Intune (4 módulos)
3. Manage applications using Microsoft Intune (5 módulos)
4. Protect devices using Microsoft Intune (6 módulos)
5. Automate and optimize endpoint management using Microsoft Intune (3 módulos)
6. Support operational excellence and readiness using Microsoft Intune (3 módulos)
7. Extend endpoint capabilities using Microsoft Intune Suite (4 módulos)
8. Deliver cloud-hosted desktops using Azure Virtual Desktop and Windows 365 (4 módulos)

Las rutas 7 y 8 son territorio nuevo para quien estudió la versión de 2023 de este examen. No las saltes.

Dominio 1: Preparar la infraestructura para dispositivos (20–25%)

Tipos de unión e inscripción

Microsoft Entra ID ofrece tres identidades de dispositivo: registrado, unido e híbrido unido. El registro es para dispositivos personales y móviles, la unión es para dispositivos Windows propiedad de la organización, y Microsoft describe la unión híbrida como “un paso intermedio en el camino hacia la unión a Microsoft Entra”. Espera preguntas de escenario donde la respuesta correcta es la unión a Entra incluso cuando la organización todavía tiene Active Directory.

La inscripción automática en MDM requiere Microsoft Entra ID P1 o P2. Se configura en el centro de administración de Intune en Devices > Device onboarding > Enrollment > Windows > Automatic Enrollment, estableciendo el MDM user scope en None, Some o All y dejando el WIP user scope en None. Un usuario que está en ambos ámbitos obtiene la inscripción en MDM en un dispositivo corporativo, pero en un dispositivo personal prevalece el WIP user scope y el dispositivo no se inscribe en Intune, un distractor clásico.

Para Apple y Android, los objetivos mencionan la integración con Apple Business Manager para la inscripción corporativa de macOS e iOS, Samsung Knox Mobile Enrollment o Google zero-touch para Android, además de los tipos de perfil de Android Enterprise: totalmente administrado, dedicado y propiedad corporativa con perfil de trabajo. Debes saber qué perfil encaja en un kiosco compartido frente a un teléfono corporativo con uso personal habilitado.

Roles, etiquetas de ámbito y aprobación de varios administradores

El control de acceso basado en roles de Intune tiene roles integrados (Application Manager, Endpoint Security Manager, Help Desk Operator, Intune Role Administrator, Policy and Profile Manager, Read Only Operator, School Administrator, más Endpoint Privilege Manager y Reader) y Cloud PC Administrator y Cloud PC Reader cuando el tenant tiene Windows 365. Una asignación de rol tiene tres partes: miembros (grupos de administradores), grupos de ámbito (los usuarios y dispositivos que pueden administrar) y etiquetas de ámbito (los objetos que pueden ver). Los roles de Entra Global Administrator e Intune Administrator tienen acceso completo de lectura y escritura, y Microsoft dice explícitamente que no se use ninguno de los dos para el trabajo diario. En Graph y PowerShell el rol Intune Administrator sigue apareciendo como Intune Service Administrator.

La aprobación de varios administradores protege aplicaciones, directivas de cumplimiento, directivas de configuración del catálogo de configuración, acciones de dispositivo (borrar, retirar, eliminar), control de acceso basado en roles, scripts de Windows y categorías de dispositivos. Un administrador no puede aprobar su propia solicitud, el cambio de un Global Administrator sigue necesitando un segundo aprobador, el grupo de aprobadores debe ser un grupo de seguridad que a su vez sea miembro de una asignación de rol de Intune, y una solicitud que no se completa en tres días caduca.

Cumplimiento, acceso condicional, Windows Hello y LAPS

La directiva de cumplimiento tiene dos capas. Los Compliance policy settings de todo el tenant en Endpoint security > Device compliance incluyen Mark devices with no compliance policy assigned as, cuyo valor predeterminado es Compliant, y Compliance status validity period (days), con valor predeterminado 30 y rango de 1 a 120. Después, las directivas de cumplimiento por plataforma contienen las reglas y las acciones por incumplimiento: marcar como no conforme (predeterminada), enviar correo, bloquear remotamente, retirar o enviar una notificación push. El acceso condicional consume el resultado mediante el control de concesión Require device to be marked as compliant.

Windows LAPS se administra en Endpoint security > Account protection. Solo necesita Intune Plan 1 y Microsoft Entra ID Free, pero los dispositivos unidos a Entra requieren que primero habilites LAPS en Identity > Devices > Overview > Device settings del centro de administración de Entra; los dispositivos híbridos unidos no. Un dispositivo hace copia de seguridad en Entra ID o en Active Directory local, nunca en ambos. La tarea remota Rotate Local Admin Password no está incluida en ningún rol integrado de Intune ni en el rol Intune Administrator de Entra; se concede mediante un rol personalizado. Windows 11 24H2 añade la administración automática de cuentas.

Dominio 2: Administrar y mantener dispositivos (25–30%)

Autopilot frente a la preparación de dispositivos de Autopilot

Esta es la distinción más evaluada del examen actual. La página de comparación de Microsoft merece memorizarse:

El modo de implementación automática une a Entra ID sin credenciales de usuario, requiere TPM 2.0 con atestación de dispositivo, solo admite unión a Entra y falla en máquinas virtuales con el error 0x800705B4. No establece un usuario principal. El aprovisionamiento previo también requiere TPM 2.0 y hardware físico, admite tanto unión a Entra como unión híbrida, comienza cuando el técnico presiona la tecla Windows cinco veces en la primera pantalla de OOBE y termina con Reseal. Microsoft indica esperar al menos 90 minutos antes del flujo de usuario y ejecutarlo en un plazo de seis meses. Las licencias de Autopilot se cumplen con Microsoft 365 Business Premium, F1/F3, A1/A3/A5, E3/E5, EMS E3/E5, Intune for Education, o Entra ID P1/P2 más Intune.

La página de estado de inscripción sigue la preparación del dispositivo, la configuración del dispositivo y la configuración de la cuenta. Valores predeterminados que debes conocer: el tiempo de espera es de 60 minutos, puedes bloquear el dispositivo hasta que se instalen todas las aplicaciones o las seleccionadas (hasta 100 aplicaciones de bloqueo), un tenant admite como máximo 51 perfiles de ESP (predeterminado más 50) y los perfiles nuevos tienen Install Windows quality updates en Yes por defecto, lo que añade de 20 a 40 minutos al aprovisionamiento. No mezcles aplicaciones LOB (MSI) y Win32 en una ESP de Autopilot: ambas usan TrustedInstaller y la instalación Win32 falla con “otra instalación está en curso”. Microsoft también recomienda implementar Microsoft 365 Apps como aplicación Win32 cuando la ESP la sigue.

Perfiles de configuración, filtros y análisis de directivas de grupo

El catálogo de configuración es el tipo de perfil predeterminado; el examen también espera la importación de ADMX para plantillas de terceros y el análisis de directivas de grupo, que importa un GPO exportado como XML desde la consola de administración de directivas de grupo (Save report, XML, menos de 4 MB), muestra el porcentaje de MDM Support y migra la configuración compatible a una directiva del catálogo de configuración. Los filtros de asignación se evalúan en el check-in del dispositivo en lugar de mediante el procesamiento de pertenencia a grupos, funcionan en modo incluir o excluir, tienen un tope de 200 por tenant y 3,072 caracteres cada uno, y usan una sintaxis como (device.osVersion -eq "10.0.18362") and (device.manufacturer -eq "Microsoft"). La guía de Microsoft: filtros para la segmentación de Intune, grupos dinámicos para acceso condicional, licencias y asignación de perfiles de Autopilot.

Complementos de Intune Suite

Los objetivos nombran Endpoint Privilege Management, Enterprise App Catalog, Remote Help, Microsoft Cloud PKI, Microsoft Tunnel para MAM y Advanced Analytics. La página de capacidades avanzadas de Microsoft indica que se incluyen con Intune Plan 2, Intune Suite y determinados paquetes de Microsoft 365, y que la prueba dura 90 días para hasta 250 usuarios, una prueba por capacidad y tenant, seguida de un periodo de gracia de 30 días. EPM usa una directiva de configuración de elevación, directivas de reglas de elevación y una directiva de configuración del sistema de elevación; los tipos de elevación son automática, confirmada por el usuario, elevar como usuario actual, aprobada por soporte y denegar; los archivos admitidos son .exe, .msi y .ps1. El Enterprise App Catalog son aplicaciones Win32 empaquetadas por Microsoft que se añaden en Apps > All apps > Create > Enterprise App Catalog app, se admiten como aplicaciones de bloqueo en la ESP y se limitan a Windows de 64 bits. La consulta de dispositivos ejecuta Kusto Query Language contra un único dispositivo Windows corporativo en tiempo real a través de WNS, necesita el permiso Managed Devices/Query y permite 15 consultas por minuto.

Acciones remotas

Sincronizar, reiniciar, retirar y borrar son lo básico. Las viñetas de 2026 añaden acciones masivas, actualización de la inteligencia de seguridad de Defender, rotación de claves de BitLocker, rotación de contraseñas de administrador local, consultas de dispositivos con KQL y recopilación de diagnósticos incluida la hoja de solución de problemas. Debes saber cuáles de estas no están disponibles en Windows Enterprise multisesión (más abajo).

Dominio 3: Proteger dispositivos (15–20%)

Seguridad de puntos de conexión y Defender for Endpoint

Las líneas base de seguridad están en Endpoint security > Security baselines. A octubre de 2026 las versiones actuales son Security Baseline for Windows 10 and later versión 26H2, línea base de Defender for Endpoint versión 24H1, Microsoft 365 Apps for Enterprise versión 2512, Edge versión 139 y Windows 365 Security Baseline 24H1, además de una línea base Windows 365 for Agents y una Local AI Agent Baseline para OpenClaw en versión preliminar. Los valores predeterminados son la opción más restrictiva; la línea base de Defender no se recomienda en máquinas virtuales ni VDI; cuando sale una versión nueva, los perfiles antiguos pasan a ser de solo lectura.

La integración con Defender for Endpoint es un trabajo de dos portales. En el portal de Defender, System > Settings > Endpoints > General > Advanced features > Intune connection pasa a On; en Intune, Endpoint security > Defender for Endpoint muestra el Connection status (hasta 15 minutos) y los conmutadores de evaluación de cumplimiento por plataforma. La incorporación de Windows usa una directiva de detección y respuesta de puntos de conexión con Auto from connector, ya sea la directiva preconfigurada dirigida a All Devices o una personalizada; macOS, Android e iOS son manuales. La configuración de cumplimiento Require the device to be at or under the machine risk score ofrece Clear, Low, Medium y High, y Microsoft recomienda Low. Crea la directiva de acceso condicional primero en modo solo informe y excluye las cuentas de emergencia.

Actualizaciones de Windows: anillos, Autopatch y hotpatch

La administración de actualizaciones de Windows de Intune solo almacena directivas; Windows Autopatch decide qué contenido se aprueba y los dispositivos descargan desde Windows Update. Importan cuatro tipos de directiva: anillos de actualización, directivas de actualización de características, directivas de actualización de calidad (que incluyen la aceleración y el hotpatch) y directivas de actualización de controladores. Los tres tipos respaldados por Autopatch requieren una licencia con el derecho a Autopatch, datos de diagnóstico en Required y el servicio Microsoft Account Sign-In Assistant no deshabilitado, y no admiten dispositivos registrados en Entra.

La configuración de los anillos de actualización contiene los números que adora el examen: aplazamiento de actualizaciones de calidad de 0 a 30 días, aplazamiento de actualizaciones de características de 0 a 365 días, periodo de desinstalación de actualizaciones de características de 2 a 60 días, plazos para actualizaciones de características y de calidad de 2 a 30 días, periodo de gracia de 0 a 7 días y Auto reboot before deadline recomendado en Yes. Windows Autopatch eliminó la activación de características en abril de 2025 y ahora incluye grupos de Autopatch, actualizaciones de calidad, características y controladores, y actualizaciones de Microsoft 365 Apps, Edge y Teams para Business Premium, A3+, E3+ y F3; solo las solicitudes de soporte siguen siendo E3+/F3. El hotpatch instala la actualización de seguridad mensual sin reiniciar en Windows 11 24H2 o posterior con la seguridad basada en virtualización activada y una licencia elegible (Windows 11 Enterprise E3/E5, Microsoft 365 F3, Education A3/A5, Business Premium o Windows 365 Enterprise). Los meses de línea base son enero, abril, julio y octubre y requieren reinicio; los otros ocho meses son meses de hotpatch. Se habilita en una directiva de actualización de calidad con When available, apply without restarting the device (“Hotpatch”) en Allow; Autopatch lo activa por defecto en los dispositivos elegibles.

Dominio 4: Administrar y proteger aplicaciones (15–20%)

Las aplicaciones Win32 se empaquetan con Microsoft Win32 Content Prep Tool en un archivo .intunewin, con un tope de 30 GB por aplicación, y deben instalarse en silencio:

IntuneWinAppUtil.exe -c C:\Source\App -s setup.exe -o C:\Output -q

En el asistente para agregar aplicaciones defines los comandos de instalación y desinstalación (o un instalador de script de PowerShell de hasta 50 KB), el Install behavior System o User (elige System para dispositivos registrados en Entra), un tiempo de instalación de 60 minutos por defecto y 1,440 como máximo, y códigos de retorno de tipo Failed, Hard reboot, Soft reboot, Retry (tres intentos, con cinco minutos entre ellos) o Success. Las reglas de detección pueden ser código de producto MSI, archivo, registro o un script personalizado, que solo cuenta como detectado cuando termina con 0 y escribe en STDOUT; todas las reglas deben cumplirse. Las dependencias se limitan a 100 y la sustitución a 10, incluidas las referencias transitivas. Las intenciones de asignación son Required, Available for enrolled devices y Uninstall. Llamar a powershell.exe desde el comando de instalación inicia PowerShell de 32 bits; usa %SystemRoot%\Sysnative\WindowsPowerShell\v1.0\powershell.exe para 64 bits.

Las directivas de protección de aplicaciones protegen los datos dentro de las aplicaciones administradas en dispositivos inscritos y no inscritos, se alinean con un marco de protección de datos de tres niveles (básico, mejorado, alto), requieren aplicaciones creadas con el Intune App SDK y deben aplicarse con el control de concesión de acceso condicional para protección de aplicaciones. Android requiere el Portal de empresa, y las aplicaciones de Microsoft 365 en Android ahora requieren registro de dispositivo en Entra para recibir directivas MAM. Los objetivos de 2026 también añaden directivas Quiet Time para Android e iOS, directivas de Microsoft 365 Apps mediante Intune o el centro de administración de Microsoft 365 Apps, y la implementación de Microsoft 365 Apps durante Autopilot con Office Deployment Tool o Intune.

Dominio 5: Optimizar las operaciones de punto de conexión (10–15%)

Automatizar significa Microsoft Graph con el módulo Microsoft Graph PowerShell. Conoce los nombres de los ámbitos de permiso: DeviceManagementManagedDevices.Read.All, DeviceManagementConfiguration.ReadWrite.All, DeviceManagementApps.ReadWrite.All, DeviceManagementRBAC.ReadWrite.All, DeviceManagementScripts.ReadWrite.All y DeviceManagementManagedDevices.PrivilegedOperations.All para borrar, retirar y bloquear remotamente. Todos los ámbitos de Intune requieren credenciales de administrador y, desde el 31 de julio de 2025, los puntos de conexión de scripts necesitan el ámbito Scripts en lugar de Configuration.

Las correcciones están en Devices > Manage devices > Scripts and remediations. Los usuarios necesitan Windows Enterprise E3/E5, Education A3/A5 o VDA; los dispositivos deben estar unidos a Entra o híbridos unidos e inscritos en Intune o administrados conjuntamente. Un tenant puede contener 200 paquetes de scripts, la corrección solo se ejecuta cuando la detección termina con el código 1, la salida se limita a 2,048 caracteres, las programaciones son una vez, cada hora o diaria, y el cliente obtiene la directiva cada ocho horas. Los objetivos también esperan las puntuaciones de Endpoint analytics, informes y libros personalizados, supervisión del estado del servicio y del Centro de mensajes, y reglas de alerta para desviaciones de cumplimiento y errores de inscripción.

Las viñetas “agénticas” se refieren a Security Copilot en Intune: exploración de datos en lenguaje natural, explicación y comparación de directivas, solución de problemas de dispositivos, información de Cloud PC y generación de KQL para la consulta de dispositivos, todo limitado por tus roles RBAC y etiquetas de ámbito. Una trampa: el Change Review Agent y el Policy Configuration Agent se retiraron del centro de administración el 31 de agosto de 2026, así que revisa el nodo Agents para ver lo que existe actualmente en lugar de confiar en publicaciones antiguas.

Plan de estudio de ocho semanas

Laboratorios prácticos que importan

Laboratorio 1: Inscripción con Autopilot

Registra un dispositivo, asigna un perfil de implementación dirigido por el usuario mediante un grupo dinámico de dispositivos y configura una ESP que bloquee hasta que se instale una aplicación Win32 seleccionada. Luego rómpelo a propósito: asigna un MSI LOB junto a la aplicación Win32 y observa cómo falla la ESP. Termina creando una directiva de preparación de dispositivos con un grupo propiedad de Intune Provisioning Client, para que puedas explicar por qué no hizo falta ningún hash de hardware.

Laboratorio 2: Cumplimiento más acceso condicional

Crea una directiva de cumplimiento de Windows que exija BitLocker, Arranque seguro y una puntuación de riesgo de Defender Low o inferior. Cambia Mark devices with no compliance policy assigned as a Not compliant y observa qué dispositivos se ponen en rojo. Crea una directiva de acceso condicional que exija un dispositivo conforme para Exchange Online y SharePoint Online, déjala en solo informe durante un día, revisa los registros de inicio de sesión y después habilítala.

Laboratorio 3: Empaquetado de aplicaciones Win32

Empaqueta un instalador silencioso con la Content Prep Tool, agrégalo con una regla de detección de registro y un código de retorno 3010 de reinicio suave, hazlo depender de un runtime, después sustitúyelo por una versión más reciente y confirma el comportamiento de desinstalación. Por último, desinstálalo localmente y observa cómo la extensión de administración de Intune detecta que falta una aplicación Required y la vuelve a instalar.

Laboratorio 4: Anillos de actualización y Autopatch

Crea anillos piloto, amplio y crítico con aplazamientos de calidad de 0, 7 y 14 días, plazos de 2 y 7 días y un periodo de gracia de 2. Añade una directiva de actualización de características fijada a la versión actual de Windows 11 y una directiva de actualización de calidad con hotpatch permitido. Después anota qué directivas puede y no puede recibir un dispositivo registrado en Entra.

Laboratorio 5: Incorporación a Defender

Activa la conexión de Intune en el portal de Defender, confirma el Connection status en Intune, implementa la directiva EDR preconfigurada y verifica que el dispositivo aparece en el inventario de dispositivos de Defender en 30 minutos. Añade la puntuación de riesgo de la máquina a tu directiva de cumplimiento y observa cómo una detección de prueba cambia el estado de cumplimiento.

Laboratorio 6: Fundamentos de la administración conjunta

Si tienes un laboratorio de Configuration Manager, habilita la administración conjunta para los clientes existentes uniéndolos de forma híbrida e inscribiéndolos en Intune, y después mueve una carga de trabajo a Intune para una colección piloto. Si no lo tienes, aprende las dos rutas (clientes existentes frente a dispositivos nuevos basados en Internet que reciben el cliente después de Autopilot) y las siete cargas de trabajo: directivas de cumplimiento, directivas de Windows Update, directivas de acceso a recursos, Endpoint Protection, configuración de dispositivos, aplicaciones Office Click-to-Run y aplicaciones cliente. Recuerda que los dispositivos registrados en Entra no se admiten, que la administración conjunta es una opción de administración mientras que la unión híbrida es una opción de identidad, y que una puerta de enlace de administración en la nube no es obligatoria.

Hechos de alto valor fáciles de confundir

• El título del examen cambió; la certificación no. Las guías de estudio y los exámenes de práctica que siguen llamando al examen “Endpoint Administrator” son anteriores al 27 de octubre de 2026.
• Los valores predeterminados de cumplimiento son permisivos. Los dispositivos sin directiva son Compliant por defecto y el periodo de validez es de 30 días. Cambia el valor predeterminado antes de exigir dispositivos conformes en el acceso condicional.
• La preparación de dispositivos no tiene hash de hardware. Es solo unión a Entra, dirigida por el usuario o automática, 25 aplicaciones y 10 scripts, y el grupo de dispositivos debe ser propiedad de Intune Provisioning Client. Si una pregunta necesita unión híbrida, aprovisionamiento previo, implementación automática o más de 25 aplicaciones, la respuesta es el Autopilot clásico.
• La implementación automática y el aprovisionamiento previo necesitan un TPM 2.0 físico. Las máquinas virtuales fallan la atestación con 0x800705B4. La implementación automática es solo unión a Entra; el aprovisionamiento previo admite también la unión híbrida.
• Límites de los anillos de actualización: aplazamiento de calidad 30 días, aplazamiento de características 365 días, plazos de 2 a 30 días, gracia de 0 a 7 días, periodo de desinstalación de 2 a 60 días.
• Los dispositivos registrados en Entra no pueden usar directivas de actualización de características, calidad ni controladores, solo anillos de actualización y directivas del cliente de Windows Update.
• El hotpatch necesita Windows 11 24H2 o posterior y VBS activado, y los cuatro meses de línea base siguen reiniciando.
• Números de Win32: tope de 30 GB, los scripts de detección deben terminar con 0 y escribir en STDOUT, Retry significa tres intentos con cinco minutos de separación, 100 dependencias, 10 nodos de sustitución.
• LAPS en dispositivos unidos a Entra necesita primero la configuración de dispositivo de Entra habilitada, y la tarea Rotate Local Admin Password solo está disponible mediante un rol personalizado.
• Aprobación de varios administradores: no puedes aprobar tu propia solicitud, los Global Administrator no están exentos y las solicitudes caducan a los tres días.
• Las correcciones se licencian por usuario: Windows Enterprise E3/E5, Education A3/A5 o VDA. El código de salida 1 de la detección dispara la corrección; 2,048 caracteres de salida; 200 paquetes.
• Los filtros se evalúan en el check-in y tienen un tope de 200 por tenant; usa grupos dinámicos para la asignación de perfiles de Autopilot y el acceso condicional.
• Los niveles de puntuación de riesgo de Defender son Clear, Low, Medium y High, se recomienda Low, y la conexión se activa en el portal de Defender, no en Intune.
• Autopilot con unión híbrida añade unos 40 minutos al tiempo de espera de la ESP, y la unión híbrida explícitamente no se recomienda para dispositivos nuevos.
• Microsoft Learn está abierto durante el examen, pero el reloj no se detiene, Q&A y las evaluaciones de práctica están bloqueadas, y no puedes volver a las preguntas que viste antes de un descanso.

Cómo se relaciona MD-102 con Windows 365, AVD e Intune Suite

Los objetivos de octubre de 2026 colocan Windows 365 de lleno en el dominio 2: directivas de aprovisionamiento, conexiones de red y administración de imágenes. Windows 365 Enterprise aprovisiona un Cloud PC automáticamente cuando un usuario con licencia entra en un grupo asignado y lo inscribe en Intune, donde se administra como cualquier otro dispositivo. Una directiva de aprovisionamiento en Devices > Provision Cloud PCs establece el tipo de licencia (Enterprise, Flex o Reserve), el tipo de unión (unión a Entra con una red hospedada por Microsoft o una conexión de red de Azure, o unión híbrida que requiere una ANC), el inicio de sesión único, una imagen de galería o personalizada, idioma y región, una plantilla de nomenclatura opcional que debe incluir %RAND:Y% con Y de 5 o más, y la inscripción opcional en Windows Autopatch. La creación de la directiva para unión híbrida puede tardar hasta 60 minutos. Si te dedicas a operar Cloud PCs, mi formación de Windows 365 cubre esta capa con mucha más profundidad que el examen.

Azure Virtual Desktop aparece a través de la ruta de aprendizaje 8 y de la compatibilidad de Intune con Windows Enterprise multisesión. Las restricciones relevantes para el examen: los hosts de sesión deben estar en grupos de hosts agrupados implementados con Azure Resource Manager y ejecutar el agente 1.0.2944.1400 o posterior; la configuración usa el catálogo de configuración filtrado por la edición de SO Enterprise multi-session, con solo las plantillas de certificados y de VPN de túnel de dispositivo admitidas; las aplicaciones deben instalarse en contexto de sistema con intención Required o Uninstall, nunca Available; las directivas de cumplimiento deben dirigirse a dispositivos; los anillos de actualización no se admiten, así que la configuración de actualizaciones de calidad viene del catálogo de configuración; y Autopilot, ESP, borrado, bloqueo remoto, Fresh Start, restablecimiento de Autopilot, rotación de claves de BitLocker y restablecimiento de contraseña no están disponibles. Las imágenes clonadas de máquinas inscritas rompen la inscripción, y el roaming de tokens de FSLogix debe estar desactivado.

Intune Suite aparece en el dominio 2 como su propio grupo funcional, y sus características reaparecen en el dominio 5 mediante Advanced Analytics y en el dominio 4 mediante el Enterprise App Catalog. Aprende la frontera de licencias: Plan 1 es la base, las características de la Suite son complementos de Plan 2 o de la Suite con una prueba de 90 días y 250 usuarios, y las correcciones y Autopatch se licencian a través de Windows Enterprise en lugar de Intune. Para un comentario continuo sobre cuáles de estas características cambiaron cada mes, sigue la serie Novedades de Intune.

El día del examen y la renovación

Realiza la evaluación de práctica gratuita y el sandbox del examen antes de reservar; el sandbox muestra los tipos de pregunta (pantalla activa, lista de construcción, caso práctico, arrastrar y colocar, zona activa, opción múltiple, laboratorios) en la interfaz real. El día del examen tienes 100 minutos. Hay cinco minutos de descanso incorporados, pero el temporizador sigue corriendo y, una vez que inicias un descanso, no puedes volver a las preguntas que ya viste, así que responde y desmarca todo antes. El panel de Microsoft Learn está disponible en los exámenes basados en roles y es realmente útil para un rango de aplazamiento o el nombre de una configuración, pero es una pantalla dividida con el reloj corriendo, y Microsoft dice sin rodeos que si lo usas en cada pregunta no terminarás. Si el examen no está disponible en tu idioma puedes solicitar 30 minutos adicionales.

Las puntuaciones se informan en minutos en una escala de 1 a 1,000 con un aprobado de 700 y un gráfico de barras por dominio; Microsoft no revela qué preguntas fallaste. Si no apruebas, la política de repetición permite un segundo intento tras 24 horas, luego 14 días entre intentos, con un máximo de cinco intentos en 12 meses, y pagas cada vez.

La certificación es válida durante 12 meses. La renovación es una evaluación gratuita, sin supervisión y a libro abierto en Microsoft Learn que se centra en lo que cambió en el rol; tu ventana de elegibilidad de seis meses se abre antes del vencimiento y aprobar extiende la certificación un año desde la fecha de vencimiento original. No hay límite de intentos de renovación; tras un segundo fallo esperas al menos 24 horas entre intentos. Conecta tu perfil de Microsoft Learn con tu perfil de certificación para que aparezca el botón Renew.

Para quién es esta guía

• Administradores de puntos de conexión que migran desde Configuration Manager y directivas de grupo a Intune y necesitan el vocabulario nativo de la nube que usa el examen
• Administradores de Microsoft 365 que heredaron la administración de dispositivos y quieren una ruta estructurada por Autopilot, cumplimiento y actualizaciones
• Administradores de Windows 365 y Azure Virtual Desktop que necesitan la profundidad en Intune que esas plataformas ahora dan por supuesta
• Consultores e ingenieros de MSP que quieren una credencial actual que refleje el temario de octubre de 2026
• Cualquiera que quiera un mapa verificado de dónde está cada característica de Intune en el centro de administración a finales de 2026

Si prefieres una ruta guiada, Big Hat Group imparte formación de Windows 365 e Intune para equipos en Estados Unidos y Canadá.

Preguntas frecuentes sobre el examen MD-102

¿MD-102 sigue siendo el examen de la certificación Endpoint Administrator Associate en 2026?

Sí. MD-102 es el único examen de Microsoft 365 Certified: Endpoint Administrator Associate. Microsoft retituló el examen Managing and Securing Microsoft 365 Endpoints by using Intune y publicó nuevas habilidades evaluadas vigentes desde el 27 de octubre de 2026, pero el nombre de la certificación y la ruta de un solo examen no cambiaron.

¿Cuánto dura el examen MD-102 y cuántas preguntas tiene?

La página de la certificación indica que tienes 100 minutos para completar la evaluación, y Microsoft asigna 120 minutos de tiempo de asiento a los exámenes Associate sin laboratorios. Microsoft no publica el número de preguntas por examen; afirma que la mayoría de los exámenes de certificación contienen entre 40 y 60 preguntas. Se aprueba con una puntuación escalada de 700 o más sobre 1,000.

¿Cuánto cuesta el examen MD-102?

Microsoft no muestra un precio único en la página de la certificación. Indica que el precio depende del país o la región donde se supervisa el examen, así que consulta el enlace Schedule exam en la página de Microsoft Learn para tu región. Las repeticiones se pagan de nuevo y la evaluación anual de renovación es gratuita.

¿Puedo aprobar MD-102 sin un laboratorio de Windows Autopilot?

Puedes aprender la configuración del perfil de implementación y de la página de estado de inscripción en la documentación, pero el examen evalúa la elección entre dirigido por el usuario, aprovisionamiento previo, implementación automática y preparación de dispositivos, y esas diferencias se fijan mucho mejor después de ejecutar una. Una prueba gratuita de Intune de 30 días más una máquina virtual de Hyper-V cubre el Autopilot dirigido por el usuario; la implementación automática y el aprovisionamiento previo necesitan un dispositivo físico con TPM 2.0 porque las máquinas virtuales fallan la atestación.

¿Cómo renuevo la certificación Endpoint Administrator Associate?

La certificación se renueva cada 12 meses. Microsoft abre una ventana de elegibilidad de seis meses antes de la fecha de vencimiento, durante la cual realizas una evaluación gratuita, sin supervisión y a libro abierto en Microsoft Learn. Aprobar extiende la certificación un año desde la fecha de vencimiento original. Puedes reintentar de inmediato tras un primer fallo y debes esperar al menos 24 horas entre intentos posteriores.

Lista de verificación de estudio

1. Descarga las habilidades evaluadas del 27 de octubre de 2026 y tacha cada viñeta que ya puedas hacer en un tenant sin consultar nada.
2. Date de alta en la prueba de Intune de 30 días, confirma que la autoridad de MDM es Microsoft Intune, registra la MFA y crea una segunda cuenta de administrador para probar la aprobación de varios administradores.
3. Establece el ámbito de usuario de MDM, crea un rol personalizado con una etiqueta de ámbito y documenta qué roles de Entra siguen teniendo acceso completo a Intune.
4. Ejecuta Autopilot dirigido por el usuario en una VM de Hyper-V con una ESP, luego crea una directiva de preparación de dispositivos y anota las diferencias que observaste.
5. Cambia el valor predeterminado de cumplimiento del tenant a Not compliant, establece el periodo de validez de forma deliberada y conecta una directiva de acceso condicional en solo informe al cumplimiento.
6. Conecta Defender for Endpoint, incorpora con la directiva EDR preconfigurada y añade la puntuación de riesgo de la máquina al cumplimiento.
7. Crea tres anillos de actualización, una directiva de actualización de características fijada y una directiva de actualización de calidad con hotpatch habilitado; registra cada límite numérico que tocaste.
8. Empaqueta una aplicación Win32 de principio a fin con detección, una dependencia, sustitución y un comando de instalación de PowerShell de 64 bits.
9. Implementa una corrección integrada, ejecuta una consulta de dispositivos si tienes el complemento de prueba y conéctate con Microsoft Graph PowerShell para enumerar dispositivos.
10. Realiza la evaluación de práctica hasta aprobarla dos veces seguidas, reserva el examen con una cuenta personal de Microsoft y relee los hechos de alto valor la noche anterior.

¿Necesitas un par de manos extra? Big Hat Group ofrece consultoría de Microsoft Intune para organizaciones en Estados Unidos y Canadá, desde una revisión de salud de dos semanas hasta una migración completa. Reserva una llamada de descubrimiento para hablar de tu entorno.

Fuentes

• Study guide for Exam MD-102: Managing and Securing Microsoft 365 Endpoints by using Intune
• Microsoft 365 Certified: Endpoint Administrator Associate
• Exam duration and exam experience
• Exam scoring and score reports
• Exam and Applied Skills assessment lab retake policies
• Microsoft Certification renewal
• Course MD-102T00-A: Manage and secure Microsoft 365 endpoints by using Intune
• Learning path: Prepare infrastructure for devices using Microsoft Intune and Microsoft Entra ID
• Learning path: Manage and maintain devices using Microsoft Intune
• Learning path: Manage applications using Microsoft Intune
• Learning path: Protect devices using Microsoft Intune
• Learning path: Automate and optimize endpoint management using Microsoft Intune
• Learning path: Support operational excellence and readiness using Microsoft Intune
• Learning path: Extend endpoint capabilities using Microsoft Intune Suite
• Learning path: Deliver cloud-hosted desktops using Azure Virtual Desktop and Windows 365
• What is device identity in Microsoft Entra ID?
• Enable MDM automatic enrollment for Windows
• Role-based access control (RBAC) with Microsoft Intune
• Use Multi Admin Approval in Intune
• Device compliance policies in Microsoft Intune
• Overview of Windows LAPS with Microsoft Intune
• Windows Autopilot requirements
• Compare Windows Autopilot device preparation and Windows Autopilot
• Windows Autopilot self-deploying mode
• Windows Autopilot for pre-provisioned deployment
• Set up the Enrollment Status Page
• Create assignment filters in Microsoft Intune
• Use Microsoft Intune to import and analyze group policies
• Microsoft Intune advanced capabilities
• Learn about using Endpoint Privilege Management with Microsoft Intune
• Add an Enterprise App Catalog app to Microsoft Intune
• Device query
• Learn about Intune security baselines for Windows devices
• Configure Microsoft Defender for Endpoint with Intune and onboard devices
• Windows update management overview
• Update rings policy settings
• What is Windows Autopatch?
• Hotpatch updates
• Prepare a Win32 app to be uploaded to Microsoft Intune
• Add and assign Win32 apps to Microsoft Intune
• App protection policies overview
• How to use Microsoft Entra ID to access Intune APIs in Microsoft Graph
• Use Remediations to detect and fix support issues
• Security Copilot in Microsoft Intune
• Change Review Agent overview
• What is Windows 365 Enterprise?
• Create provisioning policies for Windows 365
• Using Azure Virtual Desktop multi-session with Microsoft Intune
• Co-management for Windows devices
• Sign up for Microsoft Intune free trial