Add Azure user roaming and reproducible Laboratorio wallpaper policy

docs/laboratorio-wallpaper-policy.md

@@ -0,0 +1,33 @@
+# Protección del fondo de escritorio en Laboratorio
+
+El bootstrap de servidor publica `SGU - Laboratorio wallpaper protection` en
+`OU=Laboratorio` y sus OU hijas. Para actualizar un dominio existente sin volver
+a ejecutar el bootstrap, ejecute en el DC con permisos para administrar GPO:
+
+```powershell
+.\scripts\Set-SguLaboratorioWallpaperPolicy.ps1 `
+  -TargetOuDn 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx'
+```
+
+El script reutiliza la GPO, respalda una existente antes de modificarla y verifica
+los valores escritos. Admite `-WhatIf`. El vínculo está habilitado y forzado, con
+prioridad 1, para que también alcance las OU hijas con herencia bloqueada.
+
+- Loopback **Merge** aplica las opciones de usuario según la OU de la computadora
+  y conserva las otras políticas del usuario.
+- `NoChangingWallPaper=1` bloquea el cambio desde Personalización.
+- `Wallpaper` fija el archivo generado por SGU:
+  `%LOCALAPPDATA%\SGU\Wallpapers\welcome-%COMPUTERNAME%.jpg`, con estilo Fill.
+
+Los clientes deben tener el generador, el fondo base y las fuentes que ya entrega
+el enrolamiento SGU. La política no reemplaza el generador ni modifica el fondo
+de inicio de sesión. No aplica a Linux. Es una restricción de la interfaz de
+Windows, no una barrera contra administradores ni contra la modificación directa
+del JPG, que está dentro del perfil del usuario.
+
+Tras actualizar las políticas del equipo, cierre e inicie sesión para procesar
+loopback y comprobar la política de usuario con `gpresult /h resultado.html`.
+Compruebe también visualmente el fondo y Personalización en una sesión de dominio.
+La validación por WinRM no sustituye esa prueba de escritorio interactivo.
+
+Referencia: [configuración de fondos mediante GPO de Microsoft](https://learn.microsoft.com/windows/configuration/background/).