Add branded default provider and enforced enrollment

docs/windows-client-onboarding.md

@@ -21,6 +21,11 @@ Resolve-DnsName -Type SRV _ldap._tcp.dc._msdcs.lci.lasalle.mx
 
 ## 2. Unir el equipo al dominio
 
+Para equipos SGU nuevos, no ejecutar `Add-Computer` directamente. Usar el flujo
+obligatorio de [`client-enrollment.md`](client-enrollment.md), que instala y
+valida primero el Credential Provider. Los comandos siguientes quedan como guía
+de recuperación o para equipos que no pertenecen al alcance SGU.
+
 Abrir Windows PowerShell como administrador. El prompt solicita la contraseña
 de forma interactiva y evita ponerla en el historial:
 
@@ -85,6 +90,10 @@ contenido. De esta forma se puede preparar una actualización aunque
 `LogonUI.exe` todavía tenga cargada la DLL anterior; el reinicio obligatorio
 activa la nueva versión.
 
+El instalador también asigna SGU como proveedor predeterminado mediante la
+directiva de equipo de Windows. No modifica ni oculta el proveedor de contraseña
+de Microsoft.
+
 Bloquear el equipo, abrir **Sign-in options** y elegir el icono azul con llave
 del acceso SGU. El proveedor de contraseña de Microsoft debe permanecer visible.