From d50a4d9895424d901a8d30e073985826a64f881b Mon Sep 17 00:00:00 2001
From: Alejandro Rosales <alejandro.rosales@lasalle.mx>
Date: Thu, 3 Sep 2026 11:43:01 -0600
Subject: [PATCH] Place enrolled clients in policy OU

---
 docs/client-enrollment.md          | 10 +++++++++-
 scripts/Enroll-SguDomainClient.ps1 |  4 ++++
 2 files changed, 13 insertions(+), 1 deletion(-)

diff --git a/docs/client-enrollment.md b/docs/client-enrollment.md
index 31cfe86..66c2282 100644
--- a/docs/client-enrollment.md
+++ b/docs/client-enrollment.md
@@ -51,6 +51,7 @@ powershell.exe -NoProfile -ExecutionPolicy Bypass `
   -ClientCertificateThumbprint CLIENT_CERT_THUMBPRINT `
   -ServerCertificateThumbprint SERVER_CERT_THUMBPRINT `
   -DotNetRuntimeInstallerPath C:\SGUDeploy\dotnet-runtime-10-win-x64.exe `
+  -ComputerOuDn 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx' `
   -NewComputerName LAB-W11-001
 ```
 
@@ -62,7 +63,7 @@ Orden de la transacción:
 3. instala el guard de autorreparación;
 4. exige health mTLS del broker y ejecuta las comprobaciones locales;
 5. configura DNS del dominio;
-6. sólo entonces ejecuta `Add-Computer` y reinicia;
+6. sólo entonces ejecuta `Add-Computer` en `OU=Laboratorio` y reinicia;
 7. al arrancar, el guard habilita RDP, NLA y WinRM y comprueba el estado final.
 
 La directiva de Windows **Assign a default credential provider** selecciona SGU
@@ -73,6 +74,13 @@ permanece el mosaico genérico **Other user**. No se instala ningún filtro: el
 proveedor de contraseña de Microsoft permanece disponible para cuentas creadas
 manualmente y recuperación.
 
+La GPO existente **Deploy VSCodium** debe estar vinculada una vez a
+`OU=Laboratorio` (configuración de equipo) y a `OU=Usuarios-SGU` (configuración
+de usuario: fondo institucional). El parámetro `ComputerOuDn` coloca los
+equipos nuevos directamente en `Laboratorio`; VSCodium se instala en el
+siguiente arranque síncrono y el fondo se aplica al siguiente inicio de sesión
+del usuario SGU.
+
 En el controlador de dominio, aplicar una vez la directiva de usuario al árbol
 completo `Usuarios-SGU`:
 
diff --git a/scripts/Enroll-SguDomainClient.ps1 b/scripts/Enroll-SguDomainClient.ps1
index 41ec5ba..b48149c 100644
--- a/scripts/Enroll-SguDomainClient.ps1
+++ b/scripts/Enroll-SguDomainClient.ps1
@@ -18,6 +18,7 @@ param(
     [PSCredential]$DomainCredential,
     [string]$DomainName = 'lci.lasalle.mx',
     [string]$DomainNetbios = 'LCI',
+    [string]$ComputerOuDn = 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx',
     [string]$NewComputerName,
     [string]$NetworkInterfaceAlias = 'Ethernet',
     [string[]]$DomainDnsServerAddresses = @('192.168.50.10'),
@@ -109,6 +110,9 @@ if ($PSCmdlet.ShouldProcess($env:COMPUTERNAME, 'Install and verify SGU before jo
         Credential = $DomainCredential
         Force = $true
     }
+    if ($ComputerOuDn) {
+        $joinParams.OUPath = $ComputerOuDn
+    }
     if ($NewComputerName) {
         $joinParams.NewName = $NewComputerName
     }