Place enrolled clients in policy OU

docs/client-enrollment.md

@@ -51,6 +51,7 @@ powershell.exe -NoProfile -ExecutionPolicy Bypass `
   -ClientCertificateThumbprint CLIENT_CERT_THUMBPRINT `
   -ServerCertificateThumbprint SERVER_CERT_THUMBPRINT `
   -DotNetRuntimeInstallerPath C:\SGUDeploy\dotnet-runtime-10-win-x64.exe `
+  -ComputerOuDn 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx' `
   -NewComputerName LAB-W11-001
 ```
 
@@ -62,7 +63,7 @@ Orden de la transacción:
 3. instala el guard de autorreparación;
 4. exige health mTLS del broker y ejecuta las comprobaciones locales;
 5. configura DNS del dominio;
-6. sólo entonces ejecuta `Add-Computer` y reinicia;
+6. sólo entonces ejecuta `Add-Computer` en `OU=Laboratorio` y reinicia;
 7. al arrancar, el guard habilita RDP, NLA y WinRM y comprueba el estado final.
 
 La directiva de Windows **Assign a default credential provider** selecciona SGU
@@ -73,6 +74,13 @@ permanece el mosaico genérico **Other user**. No se instala ningún filtro: el
 proveedor de contraseña de Microsoft permanece disponible para cuentas creadas
 manualmente y recuperación.
 
+La GPO existente **Deploy VSCodium** debe estar vinculada una vez a
+`OU=Laboratorio` (configuración de equipo) y a `OU=Usuarios-SGU` (configuración
+de usuario: fondo institucional). El parámetro `ComputerOuDn` coloca los
+equipos nuevos directamente en `Laboratorio`; VSCodium se instala en el
+siguiente arranque síncrono y el fondo se aplica al siguiente inicio de sesión
+del usuario SGU.
+
 En el controlador de dominio, aplicar una vez la directiva de usuario al árbol
 completo `Usuarios-SGU`:
 

scripts/Enroll-SguDomainClient.ps1

@@ -18,6 +18,7 @@ param(
     [PSCredential]$DomainCredential,
     [string]$DomainName = 'lci.lasalle.mx',
     [string]$DomainNetbios = 'LCI',
+    [string]$ComputerOuDn = 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx',
     [string]$NewComputerName,
     [string]$NetworkInterfaceAlias = 'Ethernet',
     [string[]]$DomainDnsServerAddresses = @('192.168.50.10'),
@@ -109,6 +110,9 @@ if ($PSCmdlet.ShouldProcess($env:COMPUTERNAME, 'Install and verify SGU before jo
         Credential = $DomainCredential
         Force = $true
     }
+    if ($ComputerOuDn) {
+        $joinParams.OUPath = $ComputerOuDn
+    }
     if ($NewComputerName) {
         $joinParams.NewName = $NewComputerName
     }