Cómo usar y configurar Microsoft Store para empresas

La Microsoft Store para empresas (y educación) ha sido, durante años, la puerta de entrada “oficial” para desplegar aplicaciones de Windows en entornos corporativos. Aunque Microsoft está migrando parte de esta experiencia hacia Intune y el Administrador de paquetes de Windows (WinGet), muchas organizaciones todavía necesitan entender cómo sacarle partido, cómo integrarla con sus herramientas de gestión y, cuando toca, cómo restringir o bloquear el acceso a la tienda estándar de los usuarios.

En este artículo vamos a ver, con calma y sin rodeos, cómo usar y configurar Microsoft Store para empresas en distintos escenarios: Intune, HoloLens 2, Configuration Manager, XenMobile… y también cómo controlar o deshabilitar la tienda en equipos Windows cuando las políticas de la organización lo exigen. El objetivo es que tengas una visión completa, de arriba abajo, para que puedas decidir qué modelo encaja mejor en tu empresa y cómo implementarlo sin sorpresas.

Qué es Microsoft Store para empresas y en qué se diferencia de la Store normal

Microsoft Store para Empresas y Educación es una versión orientada a organizaciones de la tienda de aplicaciones de Windows. No es la típica Store de consumo, sino un catálogo centralizado donde una empresa puede encontrar, adquirir y gestionar en volumen aplicaciones gratuitas y de pago para Windows 10 y Windows 11.

La clave está en que las aplicaciones se adquieren y administran a nivel de organización, y no usuario a usuario. Esto permite controlar licencias, decidir quién puede instalar qué y, sobre todo, integrar la tienda con soluciones de administración de dispositivos (MDM y herramientas como Configuration Manager).

En este contexto, la tienda admite dos modelos de licencia distintos, que condicionan mucho cómo vas a gestionar las apps dentro de tu empresa:

• Aplicaciones con licencia en línea: el dispositivo o el usuario debe conectarse a Microsoft Store para obtener la aplicación y su licencia.
• Aplicaciones con licencia sin conexión: la organización descarga el paquete y la licencia, y luego distribuye el contenido desde su propia infraestructura, sin que el equipo del usuario tenga que hablar con la Store.

Las licencias en línea requieren que los dispositivos estén unidos o registrados en Microsoft Entra ID (antiguo Azure AD). Es el modelo más habitual para apps SaaS o gratuitas, y el que da menos dolores de cabeza en entornos con buena conectividad a Internet.

Por otro lado, las licencias sin conexión son ideales para redes aisladas, aulas o entornos de alta seguridad, donde no quieres (o no puedes) permitir el acceso directo a la Store. Descargas el paquete, lo almacenas en tu red y lo despliegas como cualquier otra aplicación de línea de negocio.

Bloquear o permitir Microsoft Store en la organización

En muchas empresas, la primera preocupación no es tanto cómo usar la tienda, sino cómo limitar o impedir el acceso a la Microsoft Store clásica para que los usuarios no instalen aplicaciones por su cuenta. Aquí entran en juego la directiva de grupo (GPO) y las configuraciones de CSP (Configuration Service Provider) en ediciones Enterprise y Education.

La configuración se puede aplicar de dos maneras principales: mediante GPO en entornos de dominio clásico o mediante políticas MDM basadas en CSP en dispositivos gestionados (por ejemplo, con Intune). En ambos casos, la idea es deshabilitar la aplicación de Microsoft Store o restringirla según las necesidades.

Cuando se desactiva la aplicación de Microsoft Store, el usuario recibe un mensaje al intentar abrirla, indicando que la tienda está bloqueada por el administrador. Es una forma clara de mostrar que no se trata de un error de sistema, sino de una decisión de la organización.

Hay varias consideraciones importantes que conviene tener en mente antes de activar el bloqueo:

• Las apps de Microsoft Store se actualizan automáticamente por defecto. Si bloqueas la Store pero sigues dependiendo de esas apps, tendrás que pensar cómo vas a gestionar las actualizaciones (por ejemplo, con Configuration Manager en el caso de apps sin conexión).
• Los usuarios pueden seguir instalando software por otras vías, como WinGet o instaladores directos, si no se controla también ese vector. Bloquear la Store no equivale a bloquear toda instalación de software.
• Los dispositivos gestionados con Intune pueden seguir recibiendo aplicaciones procedentes de Microsoft Store para empresas incluso si bloqueas la aplicación Microsoft Store de usuario final. Es decir, puedes cortar la tienda al usuario pero seguir usando la infraestructura de la Store en segundo plano para despliegues controlados.

En escenarios de aulas, salas compartidas o entornos multiusuario, suele ser recomendable combinar el bloqueo de la Store con una estrategia clara de distribución de apps (Intune, Configuration Manager, etc.) para que el usuario tenga todo lo que necesita sin necesidad de “buscarse la vida” en la tienda pública.

Requisitos previos para usar Microsoft Store para empresas en MDM

Antes de poder sacar partido real a Microsoft Store para empresas desde soluciones MDM como Intune o XenMobile, hay una serie de requisitos previos de identidad y de configuración que no conviene saltarse.

El primero, y más importante, es disponer de Microsoft Entra ID (Azure Active Directory) como proveedor de identidades. La tienda para empresas se apoya en este directorio para vincular licencias, usuarios y dispositivos. Sin esa integración, no hay experiencia corporativa ni gestión centralizada.

En sistemas MDM de terceros, como XenMobile, se exige también configurar Azure AD como IdP dentro de la propia plataforma. Esto implica registrar la aplicación correspondiente en Azure, definir permisos y enlazar el tenant de la tienda con el tenant de Azure AD, de modo que ambos hablen el mismo idioma de identidades.

Además, para usar las capacidades completas de la Store para empresas:

• Los dispositivos deben ejecutar Windows 10 o Windows 11 en versiones compatibles.
• En el caso de licencias en línea, los equipos deben estar unidos a Microsoft Entra, híbridos o al menos registrados en el mismo tenant donde se registró la tienda.
• Se necesita conectividad a Internet hacia los servicios de Microsoft Store, con la configuración de proxy correcta si la red está muy filtrada.

Una vez cumplidos estos requisitos, se puede pasar a conectar la tienda con el MDM o con herramientas como Configuration Manager, desbloqueando el flujo de aprovisionamiento masivo de aplicaciones.

Conectar XenMobile con Microsoft Store para empresas

En entornos donde se utiliza XenMobile (solución MDM de Cloud Software Group), es posible integrar directamente Microsoft Store para Empresas para que las aplicaciones de la tienda aparezcan como un catálogo más dentro de la consola de administración.

Una vez configurado Azure AD como IdP, hay que ir a la consola de XenMobile a la ruta de configuración correspondiente y localizar el enlace de Microsoft Store para Empresas. Desde ahí se definen varios parámetros clave para la integración:

• Configuración de Azure AD: se selecciona la instancia de Azure Active Directory configurada en los requisitos previos.
• Sufijo de aplicación: se añade un sufijo a todas las apps provenientes de la Store, lo que facilita su identificación en la lista global de aplicaciones.
• Localización: se indica el idioma en el que se quieren recibir los detalles de las aplicaciones descargadas desde la tienda.

Tras guardar la configuración, XenMobile sincroniza las aplicaciones de la Store para empresas y las muestra en la página de aplicaciones de la consola. Desde ese momento, pueden tratarse como cualquier otra app gestionada.

La relación entre XenMobile y la tienda se termina de cerrar dentro del propio portal de Microsoft Store para Empresas, en el apartado de Herramientas de administración. Allí se añade XenMobile como herramienta autorizada, de manera que la Store reconoce a XenMobile como gestor de las licencias y despliegues.

Por defecto, XenMobile sincroniza el catálogo de la Store cada 24 horas. Si se necesita una actualización inmediata (por ejemplo, tras adquirir una nueva aplicación), se puede lanzar una sincronización manual desde la página de configuración de Microsoft Store para Empresas en XenMobile con la opción de forzar sincronización.

Asignación, sincronización y revocación de licencias en XenMobile

Una vez que las aplicaciones aparecen en XenMobile con el sufijo configurado, el siguiente paso es asignarlas a los grupos adecuados para su distribución controlada.

En la consola se puede ir a la sección de grupos de entrega, elegir uno en concreto y mover las aplicaciones procedentes de la Store a la lista de aplicaciones requeridas. Esta acción hace que los dispositivos dentro de ese grupo reciban automáticamente la app cuando se sincronicen.

También es posible abrir la lista de todas las aplicaciones, seleccionar una o varias y utilizar la opción de asignar a grupos de entrega, lo que da más flexibilidad a la hora de definir qué colectivos recibirán cada aplicación.

En lo relativo a licencias individuales, XenMobile permite revocar la licencia de un usuario concreto sobre una aplicación adquirida en Microsoft Store para Empresas. Para ello, se edita la aplicación, se va a la sección específica de Store para Empresas en la plataforma Windows Desktop/Tablet y se desasocia al usuario seleccionado.

Es importante tener presente que parte de la documentación oficial de XenMobile sobre Microsoft Store para Empresas puede estar traducida automáticamente, con las implicaciones habituales: posibles errores, matices perdidos y ausencia de garantías sobre la precisión. En entornos críticos conviene contrastar siempre la versión original en inglés.

La nueva experiencia de Microsoft Store con Intune y WinGet

Con el tiempo, Microsoft ha ido desplazando parte de la funcionalidad de Microsoft Store para Empresas hacia una experiencia de administración más moderna dentro de Intune, apoyándose en WinGet (Administrador de paquetes de Windows) y en nuevos mecanismos de integración.

Este cambio es especialmente relevante en dispositivos como HoloLens 2, donde la combinación de WinGet e Intune permite descargar paquetes de aplicaciones y distribuirlos como si fuesen apps de línea de negocio, manteniendo un flujo de gestión unificado.

En este nuevo modelo, Intune es el “cerebro” que decide qué apps van a qué dispositivos, mientras que WinGet actúa como motor de descarga y empaquetado. Eso no significa que la Store desaparezca totalmente, sino que la gestión deja de pasar por la antigua interfaz de Microsoft Store para Empresas y se integra mejor con las capacidades nativas de Intune.

Para el administrador de TI, el resultado práctico es que resulta más sencillo centralizar todo el ciclo de vida de las aplicaciones (instalación, actualización, retirada) desde Intune, con menos dependencia de la interfaz web de la Store clásica y más automatización basada en políticas.

Descarga de paquetes de aplicaciones con WinGet para HoloLens 2

Un caso muy concreto, pero cada vez más habitual, es el de distribuir aplicaciones en HoloLens 2 usando Intune como MDM y WinGet como herramienta de descarga. El proceso se puede dividir en dos pasos principales: obtener el paquete con WinGet y luego cargarlo en Intune como app de línea de negocio.

Antes de nada, hay que asegurarse de que WinGet está instalado y actualizado en el equipo desde el que se van a descargar los paquetes. En una consola de comandos basta con escribir:

winget -v

Si la versión es igual o superior a 1.8.1791, se puede seguir adelante. Si es inferior, hay que ejecutar winget upgrade winget para actualizar. Y si el comando no existe, habrá que instalar WinGet desde sus fuentes oficiales.

Localizada la herramienta, se busca la aplicación en el catálogo de WinGet, por ejemplo:

winget search «nombre de la app»

En los resultados de búsqueda, es esencial fijarse en que el origen sea “msstore”, lo que indica que la fuente es la tienda de Microsoft. De ahí tomamos el identificador de paquete, algo del estilo 9NBLGGH4SV40 para ciertos componentes, y lo usamos para descargar el paquete.

Descargar, licenciar y distribuir la app en HoloLens 2 con Intune

Con el identificador de paquete en la mano, se lanza la descarga con WinGet:

winget download <ID del paquete>

Se pueden usar parámetros como -d para elegir el directorio de destino, ya que por defecto los archivos irán a la carpeta Descargas. Además, WinGet suele descargar tanto el paquete principal de la aplicación como sus dependencias, lo que resulta muy cómodo para el despliegue posterior.

Si se va a trabajar en un entorno sin conexión, es posible que se necesite una licencia sin conexión. Para recuperarla, la cuenta de Microsoft Entra usada debe tener permisos de administrador en el tenant. En caso de querer omitir la recuperación de licencia, se puede usar el modificador –skip-license junto al comando de descarga.

Una vez que el archivo .appx (u otro formato soportado) está en nuestro poder, se pasa a Intune. En el Centro de administración de Intune, dentro de la sección de aplicaciones, se añade una nueva app y se elige el tipo Aplicación de línea de negocio.

En el asistente, se selecciona el archivo de paquete descargado y se rellenan los datos de la aplicación: nombre visible en el portal de empresa, descripción, editor, desarrollador, categorías, logo y, si se quiere, URLs de información y privacidad. Conviene asegurarse de que el nombre no está duplicado para evitar confusiones en el portal de empresa.

También se define el contexto de instalación (cuando la app es de modo dual o permite distintas opciones), y se puede marcar la aplicación como destacada en el portal para que los usuarios la encuentren más rápidamente.

Etiquetas de ámbito, asignaciones y despliegue controlado en Intune

Cuando la información básica de la app ya está configurada, Intune permite aplicar etiquetas de ámbito para delimitar qué administradores pueden ver y gestionar esa aplicación. Esto encaja muy bien con modelos de TI distribuida por regiones o por unidades de negocio.

A continuación se definen las asignaciones, indicando qué grupos de usuarios o dispositivos recibirán la aplicación. Lo habitual en escenarios corporativos es usar la opción de despliegue requerido para asegurar que la app se instala automáticamente sin depender de la acción manual del usuario.

Antes de finalizar, el asistente de Intune muestra una página de revisión y creación donde se resumen todos los parámetros. Si todo está correcto, se pulsa crear y la app aparece en la lista global de aplicaciones.

Desde ese momento, la aplicación se comporta como cualquier app de línea de negocio dentro de Intune: se puede monitorizar su estado, revisar fallos de instalación y ajustar asignaciones. Cuando los HoloLens 2 o el resto de dispositivos gestionados se sincronicen, recibirán el paquete y ejecutarán la instalación.

En paralelo, Intune soporta directivas avanzadas como la de reintento inteligente para actualizaciones de aplicaciones. Esta política permite programar un momento (o disparadores como el inicio de sesión) para forzar el reinicio de apps cuya actualización ha fallado porque estaban en uso, reduciendo el número de parches pendientes y mejorando la higiene del parque de aplicaciones.

Integración de Microsoft Store para empresas con Configuration Manager

Para quienes utilizan Configuration Manager (Administrador de configuración) en entornos on-premises o híbridos, Microsoft Store para Empresas y Educación se puede conectar directamente como origen de aplicaciones.

La integración permite sincronizar cada 24 horas las aplicaciones adquiridas en la Store y verlas en la consola de Configuration Manager como si se tratase de cualquier otra app. A partir de ahí, es posible crear aplicaciones basadas en esos paquetes, desplegarlas a colecciones de usuarios o dispositivos y supervisar su estado.

ConfigMgr soporta tanto aplicaciones gratuitas como de pago (estas últimas solo en el modelo de licencia en línea) y también apps de línea de negocio publicadas en la tienda. En cuanto a despliegue, se admiten implementaciones necesarias y disponibles para colecciones, de forma similar al resto de software.

En el caso de aplicaciones sin conexión, Configuration Manager permite aprovisionarlas para todos los usuarios de un dispositivo (según ciertas condiciones de versión de Windows) y controlar las actualizaciones desde la propia consola, evitando que los usuarios actualicen por canales externos.

Para que todo esto funcione, hay que conectar el sitio de Configuration Manager con Microsoft Entra ID y con Microsoft Store para Empresas y Educación, normalmente a través del Asistente de servicios de Azure. En este asistente se configura el entorno de Azure, la aplicación web y la conexión al servicio de la Store.

Configuración de almacenamiento, idiomas y administración de versiones en ConfigMgr

Durante el asistente de configuración, se debe indicar una ruta de almacenamiento de contenido de la Store, normalmente un recurso compartido de red del tipo \\servidor\recurso\carpeta. Cuando el servidor de sitio sincroniza con la Store, descarga y almacena en caché el contenido de las aplicaciones en ese directorio.

Más tarde, al crear una aplicación en Configuration Manager a partir de una app de la Store, el servidor de sitio copia los archivos desde esa caché local a la biblioteca de contenido, desde donde se distribuyen a los puntos de distribución clásicos. Este flujo reduce el tráfico hacia Internet y centraliza la gestión.

También se eligen los idiomas que se van a sincronizar desde la Store. Esto tiene impacto directo en lo que ve el usuario: si su sistema operativo está configurado, por ejemplo, en alemán y ese idioma está sincronizado y disponible para la app, el Centro de software mostrará cadenas en alemán para esa aplicación.

Si el idioma del usuario no está disponible, la app se mostrará en el idioma predeterminado que se haya seleccionado en la configuración. Por eso conviene pensar bien qué idiomas se necesitan en la organización antes de completar el asistente.

Tras la sincronización, el proceso de creación e implementación de aplicaciones de Microsoft Store para Empresas y Educación en Configuration Manager se parece mucho al de cualquier otra app. En la consola, en la biblioteca de software, se accede al nodo de información de licencias de la tienda, se selecciona una aplicación y se elige la opción de crear aplicación.

Una vez creada, se despliega y se monitoriza como de costumbre. En el nodo de información de licencias de la tienda se puede ver, para cada app, el nombre, la plataforma, el número de licencias adquiridas y las licencias disponibles, lo que proporciona una visión rápida de la capacidad de despliegue.

En el caso de aplicaciones sin conexión, es fundamental evitar que los usuarios actualicen las apps fuera de Configuration Manager, especialmente en entornos multiusuario. Una práctica recomendada es deshabilitar el acceso a la Store para impedir que instalen o actualicen directamente, y garantizar que todas las actualizaciones llegan a través de los despliegues controlados del Administrador de configuración.

Por último, cuando se compra una aplicación sin conexión en Microsoft Store para Empresas y Educación, no se debe publicarla a los usuarios desde la propia Store. Si se hiciera, podrían instalar o actualizar en línea, saltándose el control de Configuration Manager, rompiento la consistencia de versiones en la organización.

En conjunto, Microsoft Store para empresas, combinada con Intune, WinGet, XenMobile o Configuration Manager, ofrece un ecosistema bastante potente para centralizar la adquisición, despliegue, actualización y retirada de aplicaciones en Windows, al tiempo que permite restringir la Store de consumo para mantener el entorno bajo control. Entender bien las diferencias entre licencias en línea y sin conexión, las opciones de integración con MDM y las políticas de bloqueo te ayudará a construir una estrategia de distribución de software mucho más limpia, segura y fácil de mantener a largo plazo.