Cómo instalar Microsoft Desktop Optimization Pack (MDOP) paso a paso

Microsoft Desktop Optimization Pack (MDOP) es un conjunto de herramientas pensado para que los administradores de sistemas tengan mucho más control sobre el entorno de escritorio: facilita la virtualización de aplicaciones, la gestión avanzada de directivas de grupo, la recuperación ante desastres y la administración de BitLocker, entre otras tareas. Aunque muchas de sus piezas se han ido integrando directamente en Windows, todavía es fundamental saber cómo instalarlo, configurarlo y sacarle partido en entornos empresariales.

En las siguientes secciones vas a ver cómo instalar y utilizar MDOP y sus componentes clave (App-V, UE-V, AGPM, MBAM, DaRT, MED-V…), qué requisitos necesitas, cómo desplegar plantillas de directiva de grupo (.admx y .adml) y cómo montar un laboratorio de pruebas para validar la solución. Verás también qué versiones de Windows son compatibles y cómo se distribuyen las actualizaciones de mantenimiento más recientes.

Qué es Microsoft Desktop Optimization Pack (MDOP) y qué incluye

MDOP es un beneficio asociado a Windows Software Assurance disponible para clientes con licenciamiento por volumen. No es un producto que se compre por separado en retail, sino un añadido para organizaciones que ya cuentan con Software Assurance en sus licencias de Windows.

Las tecnologías de virtualización incluidas en MDOP permiten personalizar la experiencia del usuario, simplificar el despliegue de aplicaciones, mejorar la compatibilidad de software con el sistema operativo y gestionar de manera centralizada dispositivos y configuraciones. La filosofía de MDOP consiste en pasar de un modelo de reparación reactivo a un enfoque proactivo, minimizando tiempos de inactividad y reduciendo el esfuerzo de soporte.

Dentro de MDOP 2015 (y posteriores iteraciones) encontramos las siguientes soluciones principales, que siguen siendo la referencia cuando se habla de cómo instalar Microsoft Desktop Optimization Pack (MDOP) en una empresa:

• Microsoft Advanced Group Policy Management (AGPM): control de cambios y gestión avanzada de directivas de grupo.
• Microsoft Application Virtualization (App-V) para escritorios Windows: virtualización y publicación centralizada de aplicaciones.
• Microsoft User Experience Virtualization (UE-V): sincronización de la configuración del usuario entre equipos.
• Microsoft BitLocker Administration and Monitoring (MBAM): administración y monitorización centralizada de BitLocker.
• Microsoft Diagnostics and Recovery Toolset (DaRT): herramientas de diagnóstico y recuperación del sistema.
• Microsoft Enterprise Desktop Virtualization (MED-V): virtualización de escritorios heredados (principalmente para compatibilidad de aplicaciones antiguas).

El objetivo de este paquete es que la gestión del puesto de trabajo Windows sea más sencilla, predecible y automatizada, reduciendo incidencias y asegurando el cumplimiento de políticas corporativas.

Compatibilidad de AGPM y tecnologías de MDOP con versiones de Windows

Uno de los puntos clave antes de instalar MDOP es comprobar la compatibilidad de Advanced Group Policy Management (AGPM) y del resto de tecnologías con la versión de Windows y Windows Server que tengas en tu entorno. A grandes rasgos, las versiones de AGPM se alinean así:

• AGPM 4.0 SP3: compatible con Windows 11, Windows 10, Windows 8.1, Windows 8, Windows 7, Windows Vista SP1, Windows Server 2012, Windows Server 2012 R2, Windows Server 2008 y Windows Server 2008 R2.
• AGPM 4.0 SP2: soporta Windows 8.1, Windows 8, Windows 7, Windows Vista SP1, Windows Server 2012, Windows Server 2008 y Windows Server 2008 R2.
• AGPM 4.0 SP1: se puede usar en Windows 8, Windows 7, Windows Vista SP1, Windows Server 2012, Windows Server 2008 y Windows Server 2008 R2.
• AGPM 4.0: orientado a Windows Vista SP1, Windows 7, Windows Server 2008 y Windows Server 2008 R2.
• AGPM 3.0: diseñado para Windows Vista SP1 y Windows Server 2008.
• AGPM 2.5: para entornos con Windows Vista y Windows Server 2003.

Este mapa de compatibilidad es importante porque la consola AGPM se integra con la Group Policy Management Console (GPMC) y amplía sus capacidades con control de versiones, aprobación de cambios, delegación avanzada, etc. Si tu dominio o tus consolas corren en sistemas modernos (Windows 10, Windows 11, Windows Server 2012/2016/2019…), tendrás que irte a AGPM 4.0 SP3 para garantizar soporte.

Además, desde la versión 1607 de Windows 10, App-V y UE-V forman parte del sistema operativo “de serie”, lo que cambia la forma de desplegarlos y actualizarlos: ya no se instalan mediante paquetes clásicos de MDOP, sino que se mantienen a través de las actualizaciones acumulativas mensuales de Windows.

Plantillas de directiva de grupo (ADMX/ADML) para MDOP

La mayor parte de la configuración de las tecnologías de MDOP (como App-V, UE-V o MBAM) se controla mediante directivas de grupo. Para ello, Microsoft proporciona plantillas administrativas en formato .admx y .adml que se descargan en un archivo comprimido, normalmente MDOP_ADMX_Templates.cab, organizado por tecnología y versión.

El flujo general para descargar e implementar estas plantillas de directiva de grupo de MDOP es el siguiente:

1. Descargar el archivo .cab con las plantillas MDOP más recientes desde el Centro de descarga de Microsoft o desde el portal correspondiente de licencias por volumen.
2. Expandir el archivo con la herramienta de línea de comandos expand:

   expand <carpeta_descarga>\MDOP_ADMX_Templates.cab -F:* <carpeta_destino>

3. Dentro de la carpeta extraída, localizar el archivo .admx de cada tecnología. En algunos casos hay varios conjuntos de GPO para un mismo producto; por ejemplo, MBAM dispone de configuración de administración y configuración específica de usuario.
4. Buscar el fichero de idioma adecuado, el archivo .adml que corresponde a la referencia cultural que necesites (por ejemplo, en-us para inglés de Estados Unidos).
5. Copiar los .admx y .adml a la ubicación de definición de directivas, bien de forma local en un equipo, bien en el almacén central del dominio.

En función de dónde quieras gestionar las políticas, tendrás dos opciones de ubicación para estas plantillas:

• Archivos locales (equipo individual)
  • Plantillas (.admx): %systemroot%\policyDefinitions\
  • Archivos de idioma (.adml): %systemroot%\policyDefinitions\
• Almacén central de dominio (recomendado en entornos corporativos)
  • Plantillas (.admx): %systemroot%\sysvol\domain\policies\PolicyDefinitions\
  • Archivos de idioma (.adml): %systemroot%\sysvol\domain\policies\PolicyDefinitions\

Por ejemplo, para inglés de Estados Unidos la ruta de idioma en el almacén central sería %systemroot%\sysvol\domain\policies\PolicyDefinitions\en-us. Una vez copiados, podrás usar la Group Policy Management Console (GPMC) o Advanced Group Policy Management (AGPM) para editar las configuraciones de App-V, UE-V, MBAM y el resto de componentes MDOP.

Requisitos previos y licenciamiento de MDOP

Antes de lanzarte a instalar cualquier pieza de MDOP, conviene tener claro que estas tecnologías forman parte del paquete “Microsoft Desktop Optimization Pack for Software Assurance”. Esto implica que necesitas:

• Licencias de Windows con Software Assurance en modalidad de licenciamiento por volumen.
• Acceso al portal de descargas correspondiente (VLSC o similar) para obtener los binarios de MDOP y sus plantillas de directiva.
• Credenciales administrativas en los equipos y servidores donde vayas a desplegar agentes, servicios o consolas (especialmente para UE-V, App-V, AGPM y MBAM).

Adicionalmente, cada componente tiene requisitos específicos de sistema operativo, .NET y PowerShell. Es especialmente relevante en el caso de User Experience Virtualization (UE-V), tanto en su versión “in-box” de Windows 10 1607 y posteriores como en la rama UE-V 2.x que se instala mediante agente.

Instalación y evaluación de UE-V (User Experience Virtualization) in-box en Windows 10

En entornos que ejecutan Windows 10 versión 1607 o superior, UE-V viene integrado en el propio sistema operativo, pero deshabilitado por defecto. Para evaluar si te encaja como solución de sincronización de configuraciones de usuario entre dispositivos, se suele recomendar montar un entorno de prueba con al menos dos equipos cliente que compartan una red y un recurso compartido de archivos.

La instalación estándar de UE-V in-box se encarga de sincronizar las configuraciones predeterminadas de Windows, Office y otras aplicaciones compatibles. La personalización del usuario (barra de tareas, fuentes, ajustes de algunas aplicaciones) viaja entre dispositivos a través de paquetes de configuración almacenados en una carpeta central.

Paso 1: requisitos para UE-V in-box

Antes de habilitar el servicio, hay que asegurarse de que los equipos cumplen los requisitos mínimos. En la rama moderna, UE-V in-box es compatible con:

Sistema operativo	Edición	Service Pack	Arquitectura	PowerShell	.NET Framework
Windows 10, versión 1607	Enterprise	No aplica	32 o 64 bits	Windows PowerShell 3.0 o superior	.NET Framework 4 o superior
Windows 8 y Windows 8.1	Enterprise o Pro	Ninguno	32 o 64 bits	Windows PowerShell 3.0 o superior	.NET Framework 4.5
Windows Server 2012 / 2012 R2	Standard o Datacenter	Ninguno	64 bits	Windows PowerShell 3.0 o superior	.NET Framework 4.5

En un entorno de prueba típico tendrás, como mínimo, dos equipos cliente con Windows 10 Enterprise 1607 o posterior, unidos al dominio, y un servidor de ficheros con un recurso compartido accesible por ambos dispositivos.

Paso 2: creación de la ubicación de almacenamiento de configuración para UE-V

UE-V necesita una ubicación central en red donde guardar los paquetes de configuración de cada usuario. Esta carpeta compartida se denomina “Settings Storage Path” o ruta de almacenamiento de configuración, y debe estar protegida con los permisos adecuados.

Los pasos típicos para crear esta ubicación de almacenamiento de configuración son:

1. Crear un grupo de seguridad en Active Directory e incluir en él a todos los usuarios que vayan a utilizar UE-V.
2. Generar una nueva carpeta en un servidor de ficheros que actuará como repositorio de los paquetes de configuración y otorgar permisos de grupo a los usuarios de UE-V. El administrador encargado de UE-V también debe tener permisos suficientes sobre esta carpeta.
3. Configurar la carpeta compartida para que los usuarios de UE-V puedan crear su propio directorio al conectarse por primera vez. Se recomienda dar control total sobre sus subcarpetas y bloquear el acceso al resto de directorios hermanos.
4. Definir los permisos SMB a nivel de recurso compartido de la siguiente forma:
   

   Cuenta de usuario	Permisos recomendados
   Todos	Sin permisos
   Grupo de seguridad de usuarios de UE-V	Control total

5. Configurar los permisos NTFS en la carpeta de almacenamiento de configuración como sigue:
   

   Cuenta de usuario	Permisos recomendados	Ámbito
   Creador/propietario	Control total	Solo subcarpetas y archivos
   Grupo de seguridad de usuarios de UE-V	Enumerar carpeta/leer datos, crear carpetas o anexar datos	Solo esta carpeta

Con esta estructura, cada usuario dispondrá de su propia carpeta aislada (normalmente terminada en %username%), donde UE-V almacenará los paquetes de configuración sin que otros usuarios puedan acceder a ellos.

Paso 3: registrar plantillas, configurar la ruta de almacenamiento y habilitar el servicio UE-V

En Windows 10 1607 y versiones posteriores, el servicio UE-V está instalado pero no activo. Antes de habilitarlo definitivamente es necesario registrar las plantillas de configuración de UE-V y establecer la ruta de almacenamiento de configuración en los dispositivos cliente.

Para registrar las plantillas de UE-V por primera vez, puedes usar PowerShell. Por ejemplo, para registrar una plantilla concreta:

Register-UevTemplate 

Si prefieres registrar todas las plantillas integradas de UE-V que vienen de serie, puedes lanzar este comando:

Get-childItem C:\ProgramData\Microsoft\UEV\InboxTemplates\*.xml | % { Register-UevTemplate $_.FullName }

Una vez registradas las plantillas, toca indicar dónde se almacenarán los ajustes personalizados. Esto se puede hacer vía directiva de grupo o con PowerShell.

Configurar la ruta de almacenamiento de UE-V con directiva de grupo

1. Abrir el Editor de directivas de grupo en el equipo o a través de GPMC.
2. Navegar a: Configuración del equipo > Plantillas administrativas > Componentes de Windows > Virtualización de la experiencia de usuario de Microsoft.
3. Editar la configuración “Configuración ruta de acceso de almacenamiento”.
4. Marcar la opción “Habilitado” e indicar la ruta UNC del recurso compartido creado en el paso 2, terminando con %username%, y guardar los cambios.

Este final con %username% es clave para que cada usuario obtenga una carpeta única y aislada dentro del recurso compartido.

Configurar la ruta de almacenamiento de UE-V con PowerShell

Si prefieres un enfoque más directo o estás automatizando el despliegue, puedes ejecutar en una ventana de PowerShell con privilegios elevados:

Set-UevConfiguration -SettingsStoragePath \\servidor\settingsshare\%username%

De nuevo, es importante que la ruta termine en %username% para garantizar que cada usuario escribe únicamente en su propio directorio.

Habilitar el servicio UE-V

Con la ruta de almacenamiento ya configurada, solo queda activar el servicio UE-V. Esto también puede hacerse tanto con GPO como mediante PowerShell:

• Con directiva de grupo
  1. Abrir el Editor de directivas de grupo.
  2. Navegar a Configuración del equipo > Plantillas administrativas > Componentes de Windows > Virtualización de la experiencia de usuario de Microsoft.
  3. Editar la configuración “Usar virtualización de experiencia de usuario (UE-V)”.
  4. Marcar “Habilitado” y aplicar los cambios.
  5. Reiniciar el dispositivo para que el servicio se inicie correctamente.
• Con PowerShell
  1. Abrir una consola de PowerShell y ejecutar Enable-Uev.
  2. Reiniciar el equipo.
  3. Verificar el estado con Get-UevStatus para confirmar que el servicio está activo y funcionando.

Paso 4: validar el funcionamiento de UE-V en un entorno de prueba

Cuando todo está instalado y configurado, es muy recomendable realizar pruebas de usuario real entre dos equipos distintos para asegurarse de que la sincronización funciona como se espera. Un escenario típico sería:

1. En el primer equipo (equipo A), cambiar varios elementos de la experiencia de usuario, por ejemplo:
   • Mover la barra de tareas a un lateral de la pantalla.
   • Modificar las fuentes predeterminadas del sistema.
   • Ajustar el Bloc de notas para que use la opción “ajuste de palabras”.
   • Actualizar opciones de alguna aplicación de Windows incluida en las plantillas de UE-V.
2. Cerrar sesión en el equipo A. La configuración se guarda en el paquete de UE-V cuando:
   • El usuario bloquea la sesión o cierra sesión.
   • Se cierra una aplicación monitorizada.
   • Se ejecuta el proveedor de sincronización, que por defecto se lanza cada 30 minutos.
3. Iniciar sesión con el mismo usuario en otro equipo (equipo B) que tenga UE-V habilitado.
4. Comprobar que los cambios de configuración (posición de la barra de tareas, fuentes, ajustes del Bloc de notas, etc.) se han replicado en el equipo B.
5. Si se desea, cambiar de nuevo la configuración en el equipo B, cerrar sesión e iniciar en el equipo A para comprobar que los cambios vuelven a viajar en sentido contrario.

Este tipo de pruebas te permite verificar, de forma bastante rápida, que UE-V está capturando y reproduciendo correctamente las personalizaciones del usuario en distintos dispositivos dentro del dominio.

Instalación y evaluación de UE-V 2.x mediante agente

En escenarios mixtos, con sistemas más antiguos o donde todavía se utiliza UE-V 2.x como parte del paquete MDOP clásico, el enfoque de despliegue cambia ligeramente porque hay que instalar un agente en los equipos cliente. La lógica funcional, sin embargo, sigue siendo similar: paquetes de configuración almacenados en un recurso compartido de red y sincronización de ajustes entre varios dispositivos.

Requisitos de sistema para UE-V 2.x

UE-V 2.1 SP1 y variantes 2.x amplían el abanico de sistemas soportados, incluyendo versiones anteriores de Windows y Windows Server. Los requisitos típicos son:

Sistema operativo	Edición	Service Pack	Arquitectura	PowerShell	.NET Framework
Windows 7	Ultimate, Enterprise o Professional	SP1	32 o 64 bits	PowerShell 3.0 o superior	.NET Framework 4 o superior
Windows Server 2008 R2	Standard, Enterprise, Datacenter o Web	SP1	64 bits	PowerShell 3.0 o superior	.NET Framework 4 o superior
Windows 8.1	Enterprise o Pro	Sin SP	32 o 64 bits	PowerShell 3.0 o superior	.NET Framework 4.5
Windows Server 2012 / 2012 R2	Standard o Datacenter	Sin SP	64 bits	PowerShell 3.0 o superior	.NET Framework 4.5
Windows 10 (anteriores a 1607)	Enterprise o Pro	Sin SP	32 o 64 bits	PowerShell 3.0 o superior	.NET Framework 4.5
Windows Server 2016	Standard o Datacenter	Sin SP	64 bits	PowerShell 3.0 o superior	.NET Framework 4.5

Al igual que en el caso in-box, para evaluar UE-V 2.x se recomienda disponer de al menos dos equipos cliente que compartan un recurso de red donde residirán los paquetes de configuración.

Configuración de la ubicación de almacenamiento en UE-V 2.x

La idea de la carpeta de almacenamiento es la misma que en UE-V moderno: un recurso compartido con permisos SMB y NTFS adecuados y un grupo de seguridad que agrupe a los usuarios que van a participar en la sincronización. El procedimiento de creación del recurso y los permisos recomendados coincide con el descrito anteriormente (grupo de seguridad, permisos de “Creador/propietario”, etc.).

Instalación del agente de UE-V 2.x

La diferencia principal está en cómo se despliega el cliente. Aquí tendrás que ejecutar el instalador AgentSetup.exe en los equipos que quieras incluir en UE-V. El instalador detecta automáticamente si el sistema es de 32 o 64 bits.

Para simplificar la configuración inicial, se puede lanzar el instalador con un parámetro de línea de comandos que defina desde el principio la ruta de almacenamiento de configuración:

AgentSetup.exe SettingsStoragePath=\\servidor\settingsshare\%username%

De esta manera, en cuanto termine la instalación, el agente UE-V ya sabrá dónde guardar y leer los paquetes de configuración del usuario. A partir de ahí, el comportamiento de sincronización será muy similar al de UE-V in-box.

Pruebas de sincronización con UE-V 2.x

El método para comprobar que la sincronización funciona es prácticamente el mismo. En un primer equipo (equipo A), puedes:

• Mover la barra de tareas a otra ubicación en el escritorio.
• Modificar las fuentes predeterminadas de Windows.
• Abrir Calculadora y establecerla en modo científico.
• Ajustar el comportamiento de otras aplicaciones que tengan plantillas de configuración asociadas en UE-V 2.1 SP1.
• Deshabilitar la sincronización de cuenta Microsoft y perfiles móviles para que no interfieran en la prueba.

Tras realizar los cambios, cierra sesión en el equipo A para forzar la creación o actualización del paquete de configuración de UE-V. Después:

1. Inicia sesión en el segundo equipo (equipo B) con el mismo usuario.
2. Comprueba que la posición de la barra de tareas, las fuentes predeterminadas y el modo científico de Calculadora se han replicado.
3. Si quieres confirmar la bidireccionalidad, puedes revertir cambios en el equipo B, cerrar sesión e iniciar de nuevo en el equipo A.

Estas pruebas confirman que UE-V 2.x está funcionando correctamente en combinación con la infraestructura de red y permisos que has configurado.

Actualizaciones de mantenimiento y hotfixes para App-V 5.1 en MDOP

Otro aspecto importante cuando se trabaja con MDOP es la gestión de actualizaciones de mantenimiento (servicing releases) para App-V. Existen versiones de mantenimiento como la de marzo de 2018 para Microsoft Desktop Optimization Pack, que incorporan correcciones acumulativas para el cliente de App-V 5.1 RTM.

Hay varios puntos a tener en cuenta:

• Desde Windows 10 versión 1607, el cliente de App-V viene “en caja” y sigue utilizando el servidor de App-V 5.1 para la publicación de aplicaciones.
• Las correcciones para las ediciones “in-box” de App-V se distribuyen a través de las actualizaciones acumulativas mensuales de Windows 10, por lo que es importante mantener los equipos al día.
• Cada nueva versión de mantenimiento es acumulativa: incluye todas las correcciones de las versiones anteriores (incluyendo revisiones de seguridad).

En la versión de mantenimiento de marzo de 2018 para App-V 5.1 RTM se solucionan, entre otros, estos problemas:

• Corrección de errores en la persistencia de datos del subárbol de usuario del registro cuando algunos paquetes forman parte de grupos de conexión.
• Añadido de registro adicional para ayudar a los administradores a elegir la configuración correcta cuando hay múltiples archivos de configuración para un mismo paquete.
• Solución a un fallo donde el servicio de App-V podía bloquearse en servidores RDS con muchos usuarios conectados.
• Corrección de problemas de acceso a la carpeta de paquetes de App-V derivados de listas de control de acceso mal gestionadas, que impedían publicar aplicaciones.

Las actualizaciones de App-V 5.1 RTM se distribuyen normalmente como archivos ejecutables (.exe) específicos para cliente y para escenarios RDS, por ejemplo:

Nombre de archivo	Versión	Tamaño	Fecha	Hora
Appv5.1rtm_client_kb4074878.exe	5.1.134.0	41.600.088 bytes	01-Mar-2018	05:18
Appv5.1rtm_rds_kb4074878.exe	5.1.134.0	41.600.720 bytes	01-Mar-2018	05:19

Si el cliente original se desplegó usando el instalador .exe, éste contiene en su interior los paquetes MSI y MSP para x86 y x64. En caso de que se haya utilizado directamente el MSI específico de una arquitectura, será necesario aplicar el archivo .MSP asociado para actualizar correctamente el cliente.

Para extraer los archivos MSP desde el ejecutable, se puede lanzar un comando de este estilo:

AppV5.1RTM_Client_KB4074878.exe /LAYOUT

Tras aplicar este tipo de hotfix, es obligatorio reiniciar el equipo para completar la actualización. Además, en muchos casos estos paquetes de mantenimiento reemplazan hotfixes anteriores, por lo que conviene revisar siempre la documentación de Microsoft para conocer qué versión estás instalando y qué problemas corrige.

Aspectos legales y de soporte relacionados con MDOP

El software distribuido como parte de MDOP, incluidos los servicing releases y plantillas administrativas, se rige por los términos de licencia de Microsoft. En esencia, se trata de software licenciado y no vendido, lo que significa que:

• Solo se pueden usar las funcionalidades contempladas explícitamente en el acuerdo; Microsoft se reserva todos los demás derechos.
• No se permite eludir limitaciones técnicas, realizar ingeniería inversa o publicar el software para que otros lo copien, salvo que la legislación aplicable lo permita expresamente.
• Se autoriza la creación de una copia de seguridad del software únicamente con el fin de reinstalarlo.
• La documentación puede ser copiada y utilizada con fines de referencia interna por personas que tengan acceso válido al equipo o red.
• El software está sujeto a restricciones de exportación según las leyes de Estados Unidos, incluyendo limitaciones de destino, usuarios finales y usos permitidos.
• Al tratarse de software proporcionado “tal cual”, puede que no existan servicios de soporte asociados o que éstos sean limitados.

También hay que tener presentes las cláusulas de exclusión de garantías y limitación de responsabilidad, que suelen restringir los daños recuperables a una cantidad muy reducida y excluyen pérdidas indirectas, lucro cesante y daños especiales, siempre dentro de lo permitido por la legislación local. En algunos países, como Australia o Canadá (por ejemplo, en Quebec), se incluyen textos legales adicionales para adaptarse a las normativas específicas.

Con todo este contexto, un despliegue adecuado de MDOP, junto con la correcta administración de App-V, UE-V, AGPM y el resto de herramientas, puede transformar la manera en la que gestionas el puesto de trabajo Windows en tu organización, pasando de lidiar con incidencias puntuales a tener un entorno mucho más controlado, estandarizado y sencillo de mantener, siempre que se respeten los requisitos de licencia y las buenas prácticas de actualización y seguridad.