Enrich professor profiles and harden client policy

docs/client-enrollment.md

@@ -82,17 +82,29 @@ siguiente arranque síncrono y el fondo se aplica al siguiente inicio de sesión
 del usuario SGU.
 
 En el controlador de dominio, aplicar una vez la directiva de usuario al árbol
-completo `Usuarios-SGU`:
+completo `Usuarios-SGU` y la directiva de equipo a `Laboratorio`:
 
 ```powershell
 .\Set-SguDomainUserPolicies.ps1
+.\Set-SguDomainComputerPolicies.ps1
 ```
 
 El script crea y vincula de forma idempotente el GPO
 `SGU - User session restrictions` y configura `DisableLockWorkstation=1` para
-Administrativos, Alumnos y Docentes. La directiva elimina la acción manual de
-bloqueo; no sustituye otras directivas independientes de protector de pantalla,
-inactividad o desconexión de RDP.
+Administrativos, Alumnos y Docentes; también deshabilita el protector de
+pantalla. El segundo crea `SGU - Windows client experience` y, antes del primer
+inicio de sesión de dominio, suprime la experiencia de privacidad, las
+notificaciones y controles de telemetría, la animación **Hi / Preparing
+Windows**, y el acceso a ubicación. Además fija en **Nunca** el apagado de
+pantalla, suspensión, hibernación y suspensión híbrida, conectado a corriente o
+batería. El guard de enrolamiento vuelve a aplicar `powercfg /hibernate off` y
+los tiempos en cero al inicio y diariamente.
+
+`HideEULAPage` no forma parte de esta GPO: es una opción de archivo Unattend para
+la fase OOBE y Microsoft la reserva para pruebas de OEM/System Builder. La GPO
+usa las alternativas soportadas `DisablePrivacyExperience=1` y
+`EnableFirstLogonAnimation=0`, que son las que afectan a cada cuenta de dominio
+nueva.
 
 ## 3. Verificación y reparación
 
@@ -134,5 +146,10 @@ Referencias de Microsoft:
 - <https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-admx-credentialproviders#defaultcredentialprovider>
 - <https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-windowslogon#enumeratelocalusersondomainjoinedcomputers>
 - <https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-admx-ctrlaltdel#disablelockcomputer>
+- <https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-privacy#disableprivacyexperience>
+- <https://learn.microsoft.com/en-us/windows/client-management/mdm/policy-csp-windowslogon#enablefirstlogonanimation>
+- <https://learn.microsoft.com/en-us/windows/privacy/manage-connections-from-windows-operating-system-components-to-microsoft-services#182-location>
+- <https://learn.microsoft.com/en-us/windows-hardware/design/device-experiences/powercfg-command-line-options>
+- <https://learn.microsoft.com/en-us/windows-hardware/customize/desktop/automate-oobe>
 - <https://learn.microsoft.com/en-us/windows/win32/api/credentialprovider/ne-credentialprovider-credential_provider_field_type>
 - <https://learn.microsoft.com/en-us/windows/win32/api/credentialprovider/nf-credentialprovider-icredentialprovidercredential2-getusersid>