Inscripción mediante código QR en Android Enterprise: qué contiene y cómo protegerlo

La inscripción mediante código QR es una forma habitual de poner bajo gestión un dispositivo Android de empresa. Se restablece el teléfono a los valores de fábrica, se toca la pantalla de bienvenida, se apunta la cámara hacia un cuadrado impreso y, unos minutos más tarde, el dispositivo queda inscrito, configurado y con sus aplicaciones instaladas. Sin necesidad de escribir cuentas, sin una larga lista de comprobaciones de configuración y sin cables.

Esa comodidad se debe a lo que contiene el código. Un código QR de Android Enterprise no es un enlace a una página web. Es un pequeño archivo de configuración que le indica al dispositivo qué aplicación de gestión debe instalar, a qué organización pertenece y, en ocasiones, a qué red Wi-Fi debe conectarse y con qué contraseña. Cualquiera que pueda fotografiar el código puede leer ese archivo, y cualquiera que posea una copia válida puede inscribir un dispositivo en su flota.

Esta guía está dirigida a responsables de TI que inscriben dispositivos Android de empresa mediante códigos QR, en la oficina o sobre el terreno, y que puedan necesitar explicar el proceso y sus riesgos a los directivos. Comienza analizando el contenido del código, para luego abordar la elección entre uso corporativo y personal, la inclusión de Wi-Fi en el código, el acceso al código y qué hacer si se filtra. Concluye comparando la inscripción por QR con zero-touch y Knox Mobile Enrollment, junto con una breve sección de resolución de problemas que trata el error de "token de inscripción caducado".

Conceptos básicos: qué hace realmente la inscripción mediante código QR

Primero, aclaremos algunos términos, ya que el resto del artículo depende de ellos.

• Inscripción (o aprovisionamiento): el proceso que convierte un dispositivo nuevo o restablecido de fábrica en un dispositivo gestionado. Durante el aprovisionamiento, se instala una aplicación de gestión y se le otorgan permisos administrativos sobre el dispositivo o sobre una parte de él.
• Controlador de políticas del dispositivo (DPC, por sus siglas en inglés): la aplicación de gestión en el dispositivo que aplica las reglas de su organización. Con la Android Management API, la API de Google para gestionar dispositivos Android Enterprise, el DPC es la aplicación Android Device Policy de Google.
• Token de inscripción: una cadena de texto emitida por su plataforma de gestión que identifica a qué organización y a qué política debe unirse un nuevo dispositivo. Funciona como un código de invitación.
• Asistente de configuración: las pantallas iniciales que Android muestra tras un restablecimiento de fábrica (idioma, red, cuentas).
• Política: el conjunto de reglas, aplicaciones y ajustes que la plataforma de gestión aplica a un dispositivo: requisitos de código de acceso, aplicaciones permitidas, redes Wi-Fi, modo quiosco, etc.

El flujo de seis toques

En un dispositivo restablecido de fábrica con Android 7 o superior, tocar la pantalla de bienvenida seis veces en el mismo punto abre un escáner de códigos QR. En algunas versiones más antiguas de Android, el dispositivo solicita primero conectarse a una red para poder descargar un lector de QR. Las versiones más recientes ya incluyen el lector integrado. Una vez escaneado el código, el dispositivo:

1. Lee la carga útil (payload) de aprovisionamiento almacenada en el código.
2. Se conecta a la red utilizando los datos de Wi-Fi presentes en el código, si los hay.
3. Descarga el DPC y comprueba su firma con la suma de comprobación (checksum) de la carga útil, de modo que cualquier aplicación manipulada es rechazada.
4. Entrega el token de inscripción al DPC, que lo presenta al servicio de gestión.
5. Recibe la política vinculada a ese token y la aplica: restricciones, aplicaciones, redes, ajustes de quiosco.

Dónde encaja "afw#setup"

El método afw#setup y el código QR suelen mencionarse juntos. Son vías de entrada distintas para obtener el mismo resultado. afw#setup es un identificador de DPC: se escribe en el campo de cuenta de Google del asistente de configuración en lugar de una dirección de correo electrónico, y el dispositivo descarga Android Device Policy. A continuación, esa aplicación solicita el token de inscripción, normalmente escaneando un código QR o escribiendo el código. El método de los seis toques obtiene la misma información en un único escaneo. En cualquier caso, el token de inscripción es la parte que determina a qué organización se une el dispositivo.

Qué contiene el código

Un código QR es una forma de codificar texto en forma de imagen. No cifra nada. Cualquier aplicación de lectura de QR, incluida la cámara de la mayoría de teléfonos, puede transformar la imagen de nuevo en el texto original. Para el aprovisionamiento de Android Enterprise, ese texto es un documento JSON. JSON es un formato de texto plano y legible por humanos compuesto por claves y valores.

A continuación se muestra una carga útil ilustrativa que utiliza las claves que Google documenta para el aprovisionamiento con la Android Management API. Su plataforma de gestión genera la real, y los campos exactos dependen de sus ajustes.

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
      "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
      "<checksum publicado del DPC>",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
      "https://play.google.com/managed/downloadManagingApp?identifier=setup",
  "android.app.extra.PROVISIONING_WIFI_SSID": "Staging-Net",
  "android.app.extra.PROVISIONING_WIFI_PASSWORD": "example-password",
  "android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE": "WPA",
  "android.app.extra.PROVISIONING_TIME_ZONE": "America/Sao_Paulo",
  "android.app.extra.PROVISIONING_LEAVE_ALL_SYSTEM_APPS_ENABLED": false,
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
    "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "<token de inscripción>"
  }
}

A continuación se detalla qué hace cada grupo de campos y su nivel de confidencialidad.

Dos campos son los más importantes: el token y la contraseña de Wi-Fi. El resto de este artículo trata sobre cómo gestionarlos.

Dispositivo corporativo o de uso personal: por qué se decide en la inscripción

Android Enterprise cuenta con varios modos de gestión, que definen qué parte del dispositivo controla la organización.

• Totalmente gestionado (de propiedad corporativa): el DPC se convierte en el propietario del dispositivo (device owner) y gestiona todo el dispositivo. Es adecuado para dispositivos compartidos, escáneres rugerizados, quioscos y teléfonos de trabajo dedicados.
• De propiedad corporativa con uso personal permitido: la organización es propietaria del dispositivo y controla su seguridad general, y el usuario dispone además de un espacio personal independiente. Las aplicaciones y los datos de trabajo residen en un perfil de trabajo (work profile), un contenedor aislado con sus propias aplicaciones y datos gestionado por TI. La parte personal se mantiene privada.
• Perfil de trabajo en dispositivo personal (BYOD): el empleado es el propietario del dispositivo. La organización gestiona únicamente el perfil de trabajo y no puede ver ni borrar datos personales.

Por qué no se puede cambiar simplemente más adelante

Salvo en configuraciones de prueba para desarrolladores, Android solo concede el rol de propietario del dispositivo durante la configuración inicial, a partir de un estado de restablecimiento de fábrica. Por eso la inscripción corporativa comienza desde la pantalla de bienvenida. Por la misma razón, el modo queda prácticamente fijado una vez que el dispositivo está inscrito. Cambiar un dispositivo de totalmente gestionado a una configuración con perfil de trabajo, o a la inversa, suele exigir un restablecimiento de fábrica y una nueva inscripción. Eso cuesta tiempo y, en un dispositivo personal, resulta inaceptable para su propietario.

Tome la decisión antes de escanear el primer dispositivo. Algunas pautas prácticas:

• Si el dispositivo es compartido, se utiliza como quiosco o ejecuta una única aplicación de línea de negocio, elija totalmente gestionado.
• Si la empresa compra el teléfono pero es razonable que los empleados lo utilicen para llamadas y aplicaciones personales, considere la opción de propiedad corporativa con uso personal permitido, para que el límite quede claro desde el primer día.
• Si los empleados aportan sus propios teléfonos, utilice un perfil de trabajo. Se inscribe desde el dispositivo ya configurado mediante un enlace o código, no a través del flujo de seis toques en la pantalla de bienvenida.

El código QR lleva consigo esta decisión. Un código creado para un uso totalmente gestionado configurará dispositivos totalmente gestionados para cualquiera que lo escanee. Ponga nombre y archive sus códigos impresos de forma que un técnico de preparación no pueda equivocarse de código.

Wi-Fi en el código: cuándo ayuda y qué se debe evitar

Un dispositivo no puede descargar su DPC sin conexión de red. Puede permitir que el técnico elija una red en el dispositivo o bien incluir la red dentro del código QR.

Cuándo ayuda

Incluir la Wi-Fi de configuración en el código resulta útil sobre el terreno y en despliegues con muchos dispositivos. Un técnico que inscribe veinte terminales portátiles en un almacén, o el responsable de una tienda que configura una tableta de sustitución, no tienen que teclear una contraseña larga en un teclado pequeño veinte veces. Esto elimina errores tipográficos, evita que la gente pregunte la contraseña a sus compañeros y hace que el proceso sea lo bastante reproducible como para delegarlo en personal no técnico. En dispositivos que carecen de un teclado cómodo, como los terminales rugerizados que se usan con guantes, puede ser lo que determine si la inscripción es viable o no.

Qué se debe evitar

La contraseña figura en el código en texto plano. Cualquiera que escanee el código con la cámara de un teléfono convencional puede leer el SSID y la contraseña, sin llegar a inscribir nada. Por tanto, la contraseña de Wi-Fi solo dura tanto como la copia menos protegida del código. Entre las prácticas de riesgo se incluyen:

• Un código puntual que contiene la contraseña de la Wi-Fi corporativa, impreso en un cartel en un almacén, una sala de descanso o una trastienda. Visitantes, contratistas y transportistas pueden fotografiarlo.
• Reutilizar su red corporativa principal como red de configuración. La filtración del código supondría entonces filtrar el acceso a todo lo que se encuentra en esa red.
• Códigos que sobreviven a la política de contraseñas. Si la contraseña de la red cambia pero los carteles o papeles antiguos siguen ahí, el resultado es confusión y, tarde o temprano, alguien lo "solucionará" imprimiendo un nuevo código con la nueva contraseña.

Buenas prácticas

• Utilice una red de aprovisionamiento dedicada: segmentada, con acceso a internet restringido exclusivamente a lo necesario para la inscripción y con una contraseña que esté dispuesto a rotar.
• Dé prioridad a un código cuya Wi-Fi proceda de una red ya definida en la política, de forma que las credenciales se gestionen en un único lugar en vez de escribirse en códigos creados ad hoc.
• Cuando necesite una excepción puntual, como en las instalaciones de un cliente con su propia red de invitados, utilice un código que no se guarde y destrúyalo tras su uso.
• Reserve la Wi-Fi empresarial basada en certificados (802.1X) para la política que se aplica tras la inscripción, no para la carga útil de configuración inicial. Una red de preparación más sencilla y aislada es más fácil de mantener durante la configuración.
• Si una ubicación dispone de datos móviles o Ethernet, valore prescindir por completo de la Wi-Fi en el código.

La pantalla de inscripción de Nomid sigue esta separación. El código QR estándar para una política toma su Wi-Fi de configuración de una red que ya forma parte de la política, con la contraseña extraída de la misma política. Una opción independiente, "Usar otra Wi-Fi una sola vez", genera un código puntual que no se guarda, y el portal advierte de que cualquier persona que tenga el código QR puede leer la contraseña.

Trate el código como si fuera una llave

La metáfora de la "llave maestra" es útil, pero conviene ser precisos sobre qué abre exactamente esa llave, de modo que el riesgo no se exagere ni se minimice.

Qué puede y qué no puede hacer un código filtrado

Un token de inscripción válido permite que alguien añada un dispositivo a su flota bajo la política vinculada a dicho token. Ese dispositivo puede entonces recibir todo lo que proporcione la política, lo que puede incluir:

• Sus aplicaciones privadas o internas, distribuidas a través de Google Play administrado o de una tienda de aplicaciones privada.
• Configuraciones de red, incluidas las credenciales de Wi-Fi que la política despliega tras la inscripción.
• Enlaces web, archivos y contenidos destinados a los empleados.
• Cualquier configuración de VPN o certificados que contenga la política.

También añade un dispositivo desconocido a su inventario, lo que distorsiona los informes y puede consumir licencias.

Lo que el token no hace es conceder acceso a su consola de gestión, a dispositivos existentes ni a los datos de estos. Es la llave de la puerta principal de inscripción, no de la sala de control. Esta distinción es importante a la hora de explicar un incidente a la directiva. La exposición se limita a "lo que reciba cualquier dispositivo inscrito bajo esa política", además de la contraseña de Wi-Fi si estaba incluida en el código.

Quién puede crearlo e imprimirlo

Trate los códigos de inscripción como cualquier otra credencial, aplicando el principio de mínimo privilegio. Pregúntese:

• ¿Qué administradores de la consola tienen siquiera visibilidad del código de inscripción de una política?
• ¿Quién puede regenerarlo?
• ¿Necesitan los administradores regionales o de sede códigos para todas las políticas, o únicamente para las que utilizan sus sedes?

En Nomid, los administradores que no dispongan de permisos de aprovisionamiento en una política no pueden ver sus códigos de inscripción, y regenerar un código exige permisos para editar la política. El diseño de roles es, por tanto, el primer control. Otorgue a los responsables de tienda o de campo derechos de aprovisionamiento solo para las políticas en las que realmente inscriben dispositivos.

Dónde acaba

Una filtración no necesita un atacante. A menudo, el código simplemente llega más lejos de lo previsto. Vías habituales:

• Fotografías. Un técnico fotografía el código "para tenerlo a mano" y termina en una copia de seguridad de fotos en la nube o en un álbum compartido.
• Grupos de mensajería. Un código compartido con un compañero se reenvía a un grupo regional y luego a un grupo de proveedores.
• Carteles e impresiones. Códigos pegados en paredes, dejados en salas de preparación o archivados con la documentación de envío.
• Capturas de pantalla en incidencias y documentación. Artículos del servicio de asistencia, presentaciones y guías de incorporación que incluyen un código activo.
• Invitaciones por correo electrónico. Reenviadas más allá del destinatario previsto.

Hábitos prácticos:

• Comparta los códigos con personas concretas con nombre y apellidos, no con grupos, y priorice mostrar el código a pantalla completa en un portátil durante una sesión de preparación antes que repartir copias en papel. Cualquier otra forma de compartir deja una copia: en Nomid, eso significa una imagen descargada, una copia impresa, un enlace copiado, un mensaje de WhatsApp o una invitación por correo electrónico.
• Recoja y destruya las impresiones tras un despliegue.
• Utilice imágenes ficticias (placeholders) en la documentación, nunca un código activo.
• Lleve un breve registro de dónde se ha compartido el código de cada política, para conocer el radio de impacto en caso de necesitar regenerarlo.

Caducidad

Los tokens de inscripción tienen un periodo de validez. Una vez concluido, los códigos y enlaces basados en ese token dejan de inscribir dispositivos. Esto acota el tiempo durante el cual una impresión olvidada sigue siendo peligrosa, pero también explica por qué un código que funcionaba el trimestre pasado puede fallar hoy. La duración de la validez de un token depende de cómo lo emita su plataforma. En lugar de confiar en una cifra de memoria, compruebe la caducidad que muestra su consola y planifique los despliegues en función de ella. La pantalla de inscripción de Nomid muestra "Válido hasta <fecha>" y "Última regeneración" para el token de cada política.

La caducidad es una salvaguarda de seguridad, no un sustituto de la regeneración. Si sabe que un código se ha filtrado, no espere a que caduque.

Un código filtrado: regenerar y qué sucede a continuación

Supongamos que un código de preparación se publicó en un grupo de chat con contratistas externos, o que un cartel se quedó en una pared tras la remodelación de una tienda. Siga los pasos que se indican a continuación.

1. Regenerar el token

Al regenerar, se emite un nuevo token de inscripción para la política y se invalida el anterior. En Nomid, la opción "Regenerar código QR" en la pantalla Inscribir dispositivos de la política requiere permiso para editar la política. El administrador debe confirmar "Entiendo que los códigos QR y enlaces antiguos dejarán de funcionar" antes de continuar.

2. Comprender qué deja de funcionar

Dado que todos los códigos QR y enlaces de inscripción de una política contienen el mismo token, la regeneración les afecta a todos simultáneamente. Tras regenerar en Nomid:

• Todos los códigos QR de esa política dejan de funcionar, incluidos los impresos, las imágenes descargadas y las capturas de pantalla.
• Todos los enlaces de inscripción dejan de funcionar, incluidos los compartidos por chat o copiados en documentos.
• Todas las invitaciones enviadas por correo electrónico para esa política dejan de funcionar.

Este comportamiento es el previsto, pero conlleva un coste operativo. Cualquier centro o sede que disponga de una copia impresa legítima necesitará el nuevo código. Avise a los equipos de campo antes de regenerar, o inmediatamente después, y envíe los reemplazos a través de un canal más restringido que aquel en el que se produjo la filtración.

3. Por qué los dispositivos ya inscritos siguen funcionando

Los administradores a menudo temen que regenerar el código desvincule los dispositivos existentes de la gestión. No es así. Cada dispositivo presenta el token de inscripción una sola vez, en el momento en que se une (el mismo token puede admitir otros dispositivos hasta que caduque o se regenere). A partir de ahí, el dispositivo cuenta con su propia identidad y relación con el servicio de gestión y no vuelve a consultar el token. Regenerar altera la invitación, no la pertenencia. En Nomid, los dispositivos inscritos no se ven afectados por la regeneración.

4. Comprobar dependencias con zero-touch

Si una configuración de zero-touch utiliza el token de la política, regenerarlo rompería de forma silenciosa la inscripción de cualquier futuro dispositivo zero-touch asignado a dicha configuración. Nomid evita esto: el portal rechaza la regeneración hasta que la configuración de zero-touch apunte a otro lugar. Reasigne esa configuración primero y luego regenere.

5. Medidas de limpieza tras la filtración

Regenerar impide nuevas inscripciones, pero no anula las que ya se hayan producido. Dé seguimiento mediante las siguientes acciones:

• Revisar los dispositivos inscritos en esa política desde el momento en que pudo ocurrir la filtración, buscando nombres, modelos o ubicaciones que no reconozca.
• Eliminar o borrar de forma remota cualquier dispositivo que no tenga identificado.
• Rotar la contraseña de Wi-Fi si el código filtrado incluía una, ya que regenerar el token no sirve de nada para una contraseña que ya ha sido leída.
• Revisar qué distribuye la política. Si entrega configuraciones sensibles, valore si estas deberían pertenecer a una política más restringida.

Para la directiva, el resumen es: "Revocamos el código, los dispositivos existentes no se vieron afectados, comprobamos si había dispositivos no autorizados y cambiamos la contraseña de la red".

QR frente a Zero-Touch frente a Knox Mobile Enrollment

Los códigos QR son una de las diversas vías de inscripción, y cada una tiene su lugar. Android zero-touch enrollment vincula los dispositivos a su organización en el momento de la compra a través de un distribuidor participante. El dispositivo se inscribe automáticamente en el primer inicio sin necesidad de escanear nada y no existe ningún código impreso que se pueda filtrar, pero depende de adquirir los terminales a través de un distribuidor de zero-touch. Samsung Knox Mobile Enrollment ofrece una inscripción automática similar para dispositivos Samsung, registrándolos a través del portal de Samsung o de un distribuidor participante. La inscripción por QR funciona en prácticamente cualquier dispositivo Android 7 o posterior que ya posea, provenga de donde provenga. Esto la convierte en la opción práctica para flotas mixtas, reinscripciones tras reparaciones y lotes pequeños, con la contrapartida de tener que gestionar el código con cuidado. Un reparto sensato es usar zero-touch o Knox para nuevas adquisiciones y QR para todo lo demás.

Resolución de problemas habituales en la inscripción por QR

"Enrollment token expired" o "invalid token"

El token ha superado su periodo de validez o ha sido regenerado, por lo que el código ya no es válido. Es lo primero que conviene sospechar cuando falla una copia impresa antigua o una captura de pantalla guardada. Obtenga el código actual desde la consola y compruebe su fecha de caducidad. Si el código se ha regenerado recientemente, cualquier copia realizada antes de esa fecha fallará por diseño.

Tocar la pantalla de bienvenida no hace nada

Asegúrese de que el dispositivo se ha restablecido por completo a los ajustes de fábrica y se encuentra en la primera pantalla de bienvenida, y toque seis veces en el mismo punto. Algunas versiones antiguas de Android necesitan conectarse a la red para descargar primero un lector de QR. Si el dispositivo ya ha avanzado más allá de la pantalla de bienvenida, la inscripción corporativa requerirá otro restablecimiento.

El dispositivo escanea el código pero no puede conectarse

Compruebe que la red de configuración esté al alcance y que su contraseña no haya cambiado desde que se creó el código. Verifique también que el tipo de seguridad sea compatible con la carga útil de configuración. Los portales cautivos, esas páginas de inicio de sesión habituales en las redes de invitados, bloquearán el aprovisionamiento. Utilice una red que no disponga de portal cautivo.

El dispositivo se inscribió en el modo incorrecto

El dispositivo se escaneó con un código configurado para otro tipo de uso o política. Dado que el modo se define durante la inscripción, la solución consiste en eliminar el dispositivo, restablecerlo de fábrica e inscribirlo con el código correcto. Etiquete con claridad los códigos impresos para evitar que vuelva a ocurrir.

La inscripción se realiza correctamente pero faltan aplicaciones

Las aplicaciones pueden tardar un tiempo en descargarse tras la inscripción, especialmente en redes lentas. Confirme que el dispositivo dispone de una conexión estable y que las aplicaciones están asignadas en la política. En los dispositivos gestionados por Nomid, la aplicación Ajustes de Nomid incluye una pantalla de Comprobación (Check-up), si la política tiene activado su botón. Esta pantalla verifica que las aplicaciones de Nomid Store asignadas en la política estén instaladas, que el dispositivo tenga acceso a la API de Nomid y a los servidores de acceso remoto, y que Google Play Store, Google Play Services, los servicios de ubicación y los permisos del agente estén en orden. Las comprobaciones fallidas ofrecen una solución y la ejecución queda registrada en el historial de comandos del dispositivo.

En resumen

Un código QR de Android Enterprise es un archivo de configuración legible impreso en forma de imagen. Indica la aplicación de gestión, contiene un token de inscripción que admite dispositivos en una política específica y puede incluir una red Wi-Fi de configuración con su contraseña en texto plano. Por eso acelera la inscripción, y por eso requiere el mismo cuidado que cualquier credencial.

Puntos clave:

• Sepa qué contienen sus códigos. El token de inscripción y cualquier contraseña de Wi-Fi son las partes sensibles.
• Elija el modo de gestión (totalmente gestionado, de propiedad corporativa con uso personal o perfil de trabajo) antes de la inscripción. Cambiarlo más adelante suele implicar un restablecimiento de fábrica.
• Incluya la Wi-Fi en el código para evitar teclear en las instalaciones, pero utilice una red de aprovisionamiento dedicada y segmentada, y no publique en carteles códigos puntuales que contengan contraseñas.
• Limite quién puede ver y regenerar códigos, compártalos con personas específicas en lugar de grupos y retire las copias impresas tras los despliegues.
• Supervise la fecha de validez del token y no espere a que caduque si sabe que un código se ha filtrado.
• Si un código se filtra: regenere, vuelva a emitir los códigos a través de un canal más restringido, compruebe si hay dispositivos desconocidos y rote cualquier contraseña de Wi-Fi expuesta. Los dispositivos ya inscritos seguirán funcionando.
• Utilice zero-touch o Knox Mobile Enrollment cuando su modelo de compras lo permita, y QR para todo lo demás.

Próximos pasos: elabore una lista de todos los códigos de inscripción actualmente en circulación: impresiones, capturas de pantalla, mensajes de chat y documentación. Para cada uno, anote a qué política pertenece y si contiene una contraseña de Wi-Fi. A continuación, decida qué códigos conviene regenerar ahora y cuáles pueden dejarse hasta que caduquen.

Si está evaluando plataformas, Nomid MDM sitúa estos controles en la pantalla Inscribir dispositivos de cada política:

• Un código QR por política, generado a partir de los valores predeterminados guardados en la política (tipo de uso, zona horaria, una red Wi-Fi de la política y opciones de aprovisionamiento).
• Una opción puntual claramente diferenciada para usar una red Wi-Fi distinta.
• Enlaces de perfil de trabajo para dispositivos personales en caso de que la política lo permita.
• Información visible de "Válido hasta" y "Última regeneración".
• Una acción de regeneración que exige confirmación y comprueba previamente las dependencias con zero-touch.

Zero-touch, Knox Mobile Enrollment y el propio token de inscripción se ofrecen como vías alternativas. Un plan gratuito cubre hasta 10 dispositivos sin límite de tiempo, lo cual es suficiente para probar su proceso de inscripción y la gestión de códigos antes de implementarlo a mayor escala.