Cómo ejecutar un script de PowerShell en Microsoft 365

Instala PowerShell 7 y los módulos

Los scripts propios requieren PowerShell 7. Abre una terminal y ejecuta:

winget install --id Microsoft.PowerShell --source winget

Cierra la terminal, abre pwsh e instala lo que vas a usar:

Install-Module Microsoft.Graph.Authentication -Scope CurrentUser
Install-Module ExchangeOnlineManagement -Scope CurrentUser

El segundo módulo solo hace falta para los scripts de Exchange, Purview y algunos de Defender. Para los de Azure instala Install-Module Az.Accounts -Scope CurrentUser.

Descarga un script y revísalo

Baja Usuarios sin MFA registrado y léelo: vas a darle permisos sobre tu tenant. Pide Microsoft Entra ID P1, incluido en Business Premium. Si no lo tienes, empieza con Licencias sin usar.

Ve a tu carpeta de descargas y compara la huella del archivo con la que publica su ficha. Si no coincide, no lo ejecutes:

cd $HOME\Downloads
Get-FileHash .\get-usuarios-sin-mfa.ps1 -Algorithm SHA256

Windows marca los archivos descargados, así que desbloquéalo y permite scripts solo en esta sesión:

Unblock-File .\get-usuarios-sin-mfa.ps1
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned

Ejecuta tu primer reporte

.\get-usuarios-sin-mfa.ps1 -RutaCsv .\sin-mfa.csv

Se abre el inicio de sesión de Microsoft. La primera vez, un administrador global o de aplicaciones tiene que aprobar los permisos que pide el script; puede ser tu cuenta o la de otra persona. Revisa la lista antes de aceptar: los permisos concedidos a la app de Microsoft Graph PowerShell se quedan aprobados hasta que los quites.

Mira el nivel de impacto

Solo lectura

Consulta y reporta. No cambia nada en tu tenant.

Envía correo

Consulta y manda una alerta por correo. Necesita un buzón remitente.

Hace cambios

Modifica tu tenant o tus dispositivos. Revisa en la advertencia si se puede revertir y pruébalo primero con un grupo pequeño.

Alto impacto

Borra, bloquea o rota claves. Lee la advertencia y haz la simulación antes; si no tiene simulación, usa un grupo piloto.

Reglas para no llevarte sustos

• Prueba primero en un tenant de pruebas. Aún no ejecutamos estos scripts en un tenant real: cada ficha dice qué pruebas tiene. Puedes pedir un tenant en el programa de desarrolladores de Microsoft 365 si calificas.
• Usa -WhatIf en todo script con cambios. Algunos de Intune usan otro parámetro de simulación: la ficha te lo indica.
• Los reportes pueden traer correos, nombres y datos de dispositivos. Trátalos como datos personales y no los mandes por canales abiertos.
• Revisa qué licencia pide cada ficha. Sin ella, el script falla o regresa vacío.

Sobre los scripts de Intune

Vienen sin cambios de IntuneAutomation, así que sus mensajes están en inglés. Muchos usan el módulo comunitario MgGraphCommunity, del mismo autor, para iniciar sesión. Si no lo tienes te preguntan antes de instalarlo, salvo que uses -ForceModuleInstall. Si tu política interna no permite módulos comunitarios, valídalo antes con tu equipo de seguridad.