diff --git a/Enrolamiento-Windows-10.md b/Enrolamiento-Windows-10.md
new file mode 100644
index 0000000..2079a24
--- /dev/null
+++ b/Enrolamiento-Windows-10.md
@@ -0,0 +1,54 @@
+# Enrolamiento Windows 10
+
+## Paquete
+
+Use exclusivamente:
+
+`sgu-windows10-legacy-client-bootstrap-VERSION.zip`
+
+El manifiesto declara `Windows10Legacy` y acepta builds de estación de trabajo
+menores a 22000. Windows Home no es compatible con unión a Active Directory ni
+con RDP como host.
+
+## Hyper-V con dos NIC
+
+- `Default Switch`: Internet y ruta predeterminada.
+- `Laboratorio AD`: red privada, sin puerta de enlace.
+- Controlador/DNS: `192.168.50.10`.
+- Cliente: una IP libre y exclusiva de `192.168.50.0/24`.
+
+Ejemplo:
+
+```powershell
+Set-Location C:\SGU\Releases\Windows10Legacy
+.\Start-SguClientEnrollment.cmd 192.168.50.10 192.168.50.11
+```
+
+El enrolador selecciona la única NIC activa sin puerta de enlace, configura la
+IP privada, espera a que pase a estado `Preferred` y conserva la salida a
+Internet. La credencial autorizada para unir equipos se solicita mediante el
+diálogo seguro de Windows.
+
+## Operaciones realizadas
+
+1. Verifica integridad del paquete y compatibilidad del build.
+2. Configura IP y DNS de la NIC privada.
+3. Abre WinRM autenticado contra el controlador.
+4. Registra un certificado mTLS único y no exportable.
+5. Instala .NET y el Credential Provider.
+6. Crea o corrige `alumno` como cuenta local estándar, nunca administradora.
+7. Instala RustDesk y el guardián de autorreparación.
+8. Valida el broker y los componentes locales.
+9. Une el equipo a `OU=Laboratorio` y reinicia.
+
+El flujo es idempotente: si se interrumpe, puede ejecutarse de nuevo desde el
+mismo ZIP.
+
+## Diagnóstico
+
+Ante un error, la ventana permanece abierta y el detalle queda en:
+
+`C:\ProgramData\SGU\Bootstrap\Client\latest-error.log`
+
+No ejecute el bootstrap de servidor para corregir un fallo de cliente. Consulte
+[Diagnóstico y recuperación](Diagnostico-y-recuperacion).