Place enrolled clients in policy OU

docs/client-enrollment.md

@@ -51,6 +51,7 @@ powershell.exe -NoProfile -ExecutionPolicy Bypass `
   -ClientCertificateThumbprint CLIENT_CERT_THUMBPRINT `
   -ServerCertificateThumbprint SERVER_CERT_THUMBPRINT `
   -DotNetRuntimeInstallerPath C:\SGUDeploy\dotnet-runtime-10-win-x64.exe `
+  -ComputerOuDn 'OU=Laboratorio,DC=lci,DC=lasalle,DC=mx' `
   -NewComputerName LAB-W11-001
 ```
 
@@ -62,7 +63,7 @@ Orden de la transacción:
 3. instala el guard de autorreparación;
 4. exige health mTLS del broker y ejecuta las comprobaciones locales;
 5. configura DNS del dominio;
-6. sólo entonces ejecuta `Add-Computer` y reinicia;
+6. sólo entonces ejecuta `Add-Computer` en `OU=Laboratorio` y reinicia;
 7. al arrancar, el guard habilita RDP, NLA y WinRM y comprueba el estado final.
 
 La directiva de Windows **Assign a default credential provider** selecciona SGU
@@ -73,6 +74,13 @@ permanece el mosaico genérico **Other user**. No se instala ningún filtro: el
 proveedor de contraseña de Microsoft permanece disponible para cuentas creadas
 manualmente y recuperación.
 
+La GPO existente **Deploy VSCodium** debe estar vinculada una vez a
+`OU=Laboratorio` (configuración de equipo) y a `OU=Usuarios-SGU` (configuración
+de usuario: fondo institucional). El parámetro `ComputerOuDn` coloca los
+equipos nuevos directamente en `Laboratorio`; VSCodium se instala en el
+siguiente arranque síncrono y el fondo se aplica al siguiente inicio de sesión
+del usuario SGU.
+
 En el controlador de dominio, aplicar una vez la directiva de usuario al árbol
 completo `Usuarios-SGU`: