Esta referencia explica cada estado de problema que puedes encontrar en la página Cumplimiento > Problemas de cumplimiento: lo que el dispositivo realmente está informando, las causas detrás de ello en macOS y Windows, y cómo resolverlo. Para elegir qué estados generan problemas, consulta Configurar la configuración de problemas de cumplimiento; para el flujo de trabajo de triaje en sí, consulta Triaje de la lista de problemas.

Las plataformas móviles (iOS, iPadOS, Android) y Linux están cubiertas por un subconjunto de estas reglas: consulta Plataformas compatibles para ver qué se aplica dónde.

Cómo Factorial IT decide que un dispositivo no cumple

• Cada vez que un dispositivo se sincroniza, Factorial IT vuelve a ejecutar cada regla de cumplimiento y calcula un estado por regla: no hay un escaneo separado.
• Un dispositivo genera un problema solo si su estado actual es uno que configuraste para generar un problema en Cumplimiento > Configuración de problemas de cumplimiento. Un estado configurado como Apagar nunca genera nada.
• Los problemas se resuelven automáticamente en la siguiente sincronización una vez que el estado mejora. No hay necesidad de reconocer o cerrar manualmente.

Consulta la visión general del cumplimiento para el modelo de evaluación completo.

Descartar datos obsoletos primero

Un estado de cumplimiento es una instantánea de la última sincronización del dispositivo. Antes de tratar un problema como una violación real, verifica si los datos están obsoletos:

Estado de Inscripción

Una regla global que se aplica a cada dispositivo gestionado. Verifica si el dispositivo está completamente inscrito y si el agente MDM aún se comunica con el servidor.

Por qué los dispositivos se desvían de la inscripción

Causas que se aplican a ambas plataformas:

• El empleado no completó todos los pasos de inscripción, o no estuvo conectado el tiempo suficiente para terminar la sincronización.
• El agente fue desinstalado manualmente, o una actualización del sistema o un error de configuración corrompió la instalación.
• El servicio osqueryd utilizado por el agente se detuvo, o el agente no puede iniciarse debido a problemas de permisos.
• El dispositivo está en una red que bloquea el acceso al servidor MDM: un proxy o firewall corta la comunicación. Consulta los requisitos de red.

macOS

• Un usuario administrador puede eliminar un perfil MDM desbloqueado de Configuración del Sistema. El dispositivo luego informa MDM_APAGADO aunque el agente aún puede responder.
• Un token APNs expirado o revocado impide que el dispositivo valide su perfil: el perfil se vuelve inválido sin que nadie toque el dispositivo.
• Una acción de apagar mdm ejecutada desde el lado del servidor MDM elimina la gestión.
• La instalación del agente Factorial IT está incompleta: la causa más común de inscripción parcial en macOS.

Windows

• El dispositivo aún está inscrito en un MDM anterior e informa MDM_ACTIVO_EN_OTRO_MDM: migrarlo fuera del antiguo MDM antes de reinscribir.
• Un proxy o firewall corporativo que bloquea la conexión del servidor deja al agente instalado en silencio (AGENTE_FALTANTE).

Resolver problemas de inscripción

• AGENTE_FALTANTE — en el panel del dispositivo, haz clic en el botón de estado del dispositivo para activar de forma remota la instalación del agente. Si eso falla, pide al empleado que abra su página de inscripción de Factorial IT, haga clic en su dispositivo asignado y descargue el agente.
• MDM_ACTIVO_EN_OTRO_MDM — migra el dispositivo del MDM anterior primero.
• MDM_APAGADO — pide al empleado que reinscriba. Puedes automatizar esto: en MDM > Configuraciones, establece Desinscripción automática a un retraso fuera de línea y activa Invitar al empleado a reinscribirse.

Permite hasta 30 minutos para que el estado se actualice después de la solución. Detalles completos: Resolver problemas de inscripción.

Estado en Línea

Una regla global que rastrea si el dispositivo se conecta con el servidor.

Por qué los dispositivos se desconectan

• El dispositivo está apagado o en reposo: un empleado de licencia o un dispositivo de repuesto guardado en un cajón.
• La red bloquea la conexión del agente al servidor (VPN, proxy, reglas de firewall). Consulta los requisitos de red.
• El agente ya no está en funcionamiento. Un dispositivo que parece estar fuera de línea mientras es utilizado activamente por un empleado generalmente indica un agente faltante o un problema de red, no un dispositivo realmente fuera de línea: verifica el problema de Estado de Inscripción para el mismo dispositivo.

Resolver problemas en línea

Confirma con el empleado si el dispositivo está en uso. Si lo está, trátalo como un caso de AGENTE_FALTANTE (consulta arriba). Si el ruido proviene de brechas cortas, genera problemas solo en Fuera de línea 7+ días.

Soporte de Plataforma

Una regla global que verifica el sistema operativo del dispositivo contra la base Factorial IT que se admite como fuente de señal MDM. Un dispositivo por debajo de esa base no puede inscribirse de manera confiable, informar telemetría o cumplir políticas: este problema es tu lista de actualizaciones.

CUMPLE_REQUISITOS es el estado de cumplimiento. La regla permanece silenciosa hasta que el dispositivo haya informado su información del sistema operativo, por lo que un dispositivo recién inscrito nunca se marca como desconocido.

Resolver problemas de soporte de plataforma

• POR_DEBAJO_DE_VERSIÓN_MÍNIMA — actualiza el sistema operativo. Las bases actuales por plataforma se enumeran en Plataformas compatibles.
• EDICIÓN_DE_SO_NO_SOPORTADA — actualiza la edición, no solo la versión: consulta las limitaciones de Windows Home y Actualiza a Windows 11.

Cifrado

Verifica el cifrado de disco completo: FileVault en macOS, BitLocker en Windows. El cifrado no está activado por defecto: comienza cuando habilitas el control de Cifrado de Disco, que se aplica globalmente a los dispositivos inscritos una vez creado.

ENCRIPTADO es el estado de cumplimiento. Los dispositivos iOS y iPadOS siempre informan ENCRIPTADO: su almacenamiento está cifrado por hardware por diseño. Un dispositivo Windows Home no genera ningún estado de cifrado: no puede ejecutar BitLocker y aparece bajo Soporte de Plataforma como EDICIÓN_DE_SO_NO_SOPORTADA en su lugar.

macOS

• FileVault se activa una vez que el control de Cifrado de Disco apunta al dispositivo, pero el cifrado solo tiene efecto después del siguiente reinicio. Un Mac que nunca se reinicia permanece NO_ENCRIPTADO: pide al empleado que reinicie.
• La clave de recuperación se deposita dentro de las 24 horas después de ese reinicio. Un Mac recién cifrado que muestra CLAVE_DE_RECUPERACIÓN_FALTANTE en esa ventana se resuelve por sí solo.
• Un Mac cifrado antes de la inscripción tiene una clave que Factorial IT nunca vio: el depósito no es retroactivo. El empleado debe ingresar su contraseña cuando se le pida para que se pueda generar y depositar una nueva clave (ACCION_REQUERIDA).

Windows

• BitLocker comienza a cifrar tan pronto como el control llega al dispositivo, sin necesidad de reinicio, y la clave se almacena tan pronto como se activa el cifrado. Un dispositivo Windows que se queda en NO_ENCRIPTADO generalmente tiene un bloqueador, no un retraso.
• BitLocker necesita un TPM funcional. Un TPM faltante o deshabilitado en el firmware hace que el cifrado no pueda comenzar.

Detalles del control: Cifrado de disco.

Actualización de SO

Verifica que los dispositivos instalen las actualizaciones de SO requeridas antes de la fecha límite que impongas.

ACTUALIZADO es el estado de cumplimiento. Entre el lanzamiento de una actualización y su fecha límite, el dispositivo permanece en cumplimiento: NO_ACTUALIZADO solo se activa una vez que ha pasado la fecha límite. Un dispositivo cuyo sistema operativo es demasiado antiguo para Factorial IT en sí es un problema de Soporte de Plataforma, no de Actualización de SO.

Por qué los dispositivos se retrasan en las actualizaciones

• La fecha límite cuenta desde la fecha de disponibilidad de la actualización, no desde cuando configuraste la política. Habilitar la política en una flota que ejecuta versiones más antiguas marca esos dispositivos de inmediato: espera una ola de problemas en el primer día.
• El espacio en disco bajo bloquea la actualización en todas las plataformas, y ninguna de ellas libera espacio automáticamente. En macOS 14+, el empleado ve una notificación del sistema; en macOS 13 y anteriores, la ventana de Nudge sigue reapareciendo mientras la descarga falla; en Windows, se le informa al empleado que la actualización falló. Un administrador puede necesitar intervenir.
• El dispositivo estaba apagado cuando pasó la fecha límite. En macOS 14+, la actualización se programa para 1 hora después de que se encienda; en Windows, el empleado obtiene el período de gracia configurado antes del reinicio automático.
• El empleado sigue posponiendo dentro de la ventana permitida: la presión aumenta a medida que se acerca la fecha límite (notificaciones horarias 24 horas antes, más frecuentes en la última hora).

Resolver problemas de actualización

Pide al empleado que libere espacio en disco si eso es lo que bloquea, luego deja que el flujo de aplicación se ejecute: se escalará por sí solo. Detalles y el horario exacto de notificaciones por plataforma: Imponer versión mínima del SO.

Protección de punto final (SentinelOne, ThreatDown)

Disponible una vez que la integración correspondiente está conectada. Verifica que el agente de protección de punto final esté instalado e informando.

ACTIVO es el estado de cumplimiento para ambas herramientas.

Por qué los dispositivos aparecen como no protegidos

• El control acaba de habilitarse: el agente se instala en la próxima sincronización del dispositivo.
• El agente fue desinstalado localmente o no está en funcionamiento.
• La integración en sí está obsoleta. Los tokens de usuario del servicio SentinelOne expiran; una vez que el token caduca, la sincronización se detiene y los estados de protección se vuelven obsoletos en toda la flota. Crea un nuevo token y contacta a nuestro equipo para reemplazarlo. Consulta Renovar el token de usuario del servicio.
• El dispositivo está fuera de línea, por lo que su estado real de protección es desconocido.

Configuración y remediación: SentinelOne, ThreatDown.

Cuentas de administrador (Gestión de usuarios administradores, Rotación de contraseñas de administrador)

Verifica que la cuenta de administrador local gestionada exista, tenga los privilegios esperados y rote su contraseña según lo programado.

Por qué las acciones de cuentas de administrador se detienen

• CREACIÓN_PENDIENTE en un dispositivo fuera de línea se resuelve una vez que se sincroniza.
• En macOS, la despromoción espera hasta que la Factorial IT gestionada de la cuenta de administrador tenga un SecureToken: el token del que depende FileVault. Factorial IT deliberadamente no despromociona a nadie antes de eso, por lo que el dispositivo nunca se queda sin un administrador que tenga un token, y DEMOTIÓN_PENDIENTE persiste (el dispositivo registra el evento ADMIN_DEMOTION_BLOCKED_SECURE_TOKEN_NOT_GRANTED). El administrador gestionado recibe su token en su primer inicio de sesión en el dispositivo: haz que alguien inicie sesión en esa cuenta una vez o otorga el token manualmente. Consulta las reglas de SecureToken.
• El panel de control puede tardar hasta 24 horas en actualizar el estado de la cuenta local en la pestaña Usuarios del dispositivo: verifica en el dispositivo antes de concluir un fallo.

Cuando el nombre de usuario ya existe en el dispositivo y Factorial IT no creó la cuenta, Gestión de usuarios administradores lo informa como creado (ADMIN_ACCOUNT_PRE_EXISTING). Factorial IT no mantiene su contraseña hasta que un control de rotación de contraseña de administrador lo reemplace.

La regla de Rotación de Contraseña de Administrador informa sus propios estados: PENDIENTE, ÉXITO, ERROR. ÉXITO es conforme; PENDIENTE se elimina una vez que el dispositivo aplica la rotación, por lo que ERROR es el estado que vale la pena generar un problema.

Un ERROR sin un estado adicional significa que la rotación está atrasada.

Detalles del control: Gestión de administradores, Rotación de contraseña de administrador.

Bloqueo de iCloud (Bloqueo de Activación)

Solo macOS: el Bloqueo de Activación también existe en iOS y iPadOS, pero esta regla de cumplimiento solo evalúa Macs. Verifica que cuando el Bloqueo de Activación está activado, Factorial IT tenga el código de bypass, para que el dispositivo pueda ser recuperado después de un borrado sin la cuenta de Apple del empleado.

ACTIVADO (bloqueo activado, código depositado) y DESACTIVADO (bloqueo desactivado) son ambos estados de cumplimiento. La regla no produce ningún estado mientras el dispositivo no esté completamente inscrito o su estado de bloqueo aún sea desconocido.

Por qué falta un código de bypass

El depósito ocurre en el momento en que se activa el Bloqueo de Activación: no es retroactivo. Todas estas deben ser verdaderas para que el código se deposite:

• El dispositivo está supervisado a través de MDM.
• El dispositivo fue inscrito antes de que se habilitara el Bloqueo de Activación. Si el empleado activó Buscar Mi antes de la inscripción, el código no se puede recuperar: la única forma de recuperación son sus credenciales de cuenta de Apple.
• El dispositivo es propiedad de la empresa (los dispositivos BYOD no son elegibles).
• El perfil MDM está instalado a nivel del sistema (la inscripción aprobada por el usuario sin Apple Business no deposita códigos de forma confiable).

Análisis y remediación escenario por escenario: Depósito del código de bypass del Bloqueo de Activación.

Recovery OS

Solo macOS. Verifica que la configuración de protección recoveryOS esté aplicada. Solo se evalúan Macs Apple Silicon: los Macs Intel no pueden soportar la protección recoveryOS y no producen ningún estado.

PROTEGIDO es el estado de cumplimiento. La aplicación completa requiere que el dispositivo esté inscrito con el nivel de supervisión apropiado: un Mac no supervisado es lo primero que se debe verificar en FALLIDO. Detalles del control: protección recoveryOS.

Por qué falla la protección recoveryOS

Además de la supervisión, dos causas dejan a un Mac en FALLIDO:

• La opción de Contraseña de Bloqueo de Recuperación de la flota está activada. La flota luego rechaza el comando de Factorial IT y establece su propia contraseña en los Macs recién inscritos.
• El Mac ya tiene una contraseña de bloqueo de recuperación, establecida por otra herramienta o otro MDM. El Mac rechaza la contraseña de Factorial IT mientras esa esté en su lugar.

Qué hacer para cada causa: Solución de problemas de protección recoveryOS.

Controles entregados por perfil

Firewall, Política de Contraseñas, Wi-Fi, Bloqueo de USB, Bloqueo de Aplicaciones, Captura de Pantalla, Desactivar AirDrop, Bloquear Panel de Perfiles, Google Chrome, Nomenclatura de Dispositivos, Archivo de Configuración Personalizado, Web Clip, AirPrint, Actualización de Software (macOS) y los controles SSO (Entra SSO, Okta SSO, Factorial IT SSO) funcionan de la misma manera: Factorial IT entrega una configuración al dispositivo, y el dispositivo informa de vuelta. Comparten los mismos estados de entrega:

IMPLANTADO es el estado de cumplimiento.

Por qué una configuración falla al aplicarse

macOS

• Un usuario administrador eliminó el perfil MDM que lleva la configuración (a menos que Bloquear Panel de Perfiles lo impida).
• Problemas de APNs impiden que el dispositivo reciba o valide perfiles: verifica el problema de Estado de Inscripción para el mismo dispositivo.
• El control apunta a una capacidad que el dispositivo no tiene: los controles SSO de la plataforma requieren versiones recientes de macOS (el inicio de sesión en Mac con Factorial IT necesita macOS 27 o posterior), y el empleado debe completar el aviso de registro del proveedor de identidad en su sesión.

Windows

• Windows Home / Familiar solo aplica parcialmente políticas de seguridad: varias configuraciones requieren Pro, Enterprise o Educación, y fallan sin un error explícito en Home. Consulta las limitaciones de Windows Home.
• Una configuración en conflicto de un MDM anterior o una política de grupo local anula el valor entregado.

PENDIENTE que persiste generalmente significa que el dispositivo está fuera de línea: primero soluciona la conectividad. Para ERROR, abre el panel del dispositivo y salta al control MDM relacionado para verificar su configuración. Luego, reenvía el perfil a ese dispositivo: en la sección Controles MDM del panel, haz clic en Reenviar perfil en la fila del control. El dispositivo instala el perfil en su próxima conexión. Un iPhone o iPad lo instala una vez desbloqueado.

El panel de control rechaza un reenvío cuando ningún perfil de configuración aplica el control, cuando el perfil es una declaración, cuando no está asignado a este dispositivo, o cuando aún se está entregando. En este último caso, espera a que el dispositivo se conecte.

Acceso Remoto (RustDesk)

A diferencia de los controles entregados por perfil, la regla de Acceso Remoto rastrea una instalación de software, no un perfil de configuración.

INSTALADO es el estado de cumplimiento. Un PENDIENTE persistente generalmente significa que el dispositivo está fuera de línea o que la instalación aún está en cola: verifica el estado de instalación de software desde el panel del dispositivo, luego deja que la próxima sincronización aclare el problema.

Resolver cualquier problema: el bucle general

1. Abre el panel del dispositivo. Haz clic en la fila de problemas en Cumplimiento > Problemas de cumplimiento. Revisa el estado completo del dispositivo en cada regla: varios problemas en un dispositivo a menudo comparten una sola causa raíz (fuera de línea, agente faltante, perfil eliminado).
2. Separa lo obsoleto de lo real. Verifica cuándo fue la última sincronización del dispositivo. Si ha estado fuera de línea, soluciona la conectividad antes que nada.
3. Soluciona la causa raíz. Utiliza las secciones anteriores. Las acciones de remediación (enviar perfil, bloquear, borrar) están disponibles desde el panel del dispositivo: consulta Gestiona tus dispositivos.
4. Deja que el problema se resuelva por sí mismo. Los problemas se resuelven automáticamente en la siguiente sincronización del dispositivo una vez que el estado mejora. Si un problema nunca debió haberse activado, establece ese estado como Apagar en Cumplimiento > Configuración de problemas de cumplimiento en su lugar.

Permisos