Enrôlement Android Enterprise par code QR : contenu du code et comment le protéger

L'enrôlement par code QR est une méthode courante pour placer un appareil Android d'entreprise sous gestion. Vous réinitialisez le téléphone aux paramètres d'usine, touchez l'écran d'accueil, pointez l'appareil photo vers un carré imprimé, et quelques minutes plus tard, l'appareil est enrôlé, configuré et dispose de ses applications. Aucun compte à saisir, aucune longue liste de contrôle de configuration, aucun câble.

Cette praticité provient de ce que contient le code. Un code QR Android Enterprise n'est pas un simple lien vers une page web. Il s'agit d'un petit fichier de configuration qui indique à l'appareil quelle application de gestion installer, à quelle organisation il appartient, et parfois quel réseau Wi-Fi rejoindre et avec quel mot de passe. Quiconque peut photographier le code peut lire ce fichier, et quiconque détient une copie valide peut enrôler un appareil dans votre flotte.

Ce guide s'adresse aux responsables informatiques qui enrôlent des appareils Android d'entreprise à l'aide de codes QR, à leur bureau ou sur le terrain, et qui peuvent avoir besoin d'expliquer le processus et ses risques à leur direction. Il commence par ce que contient le code, puis aborde le choix entre usage professionnel et personnel, le Wi-Fi dans le code, l'accès au code, et ce qu'il convient de faire lorsqu'un code fuite. Il se termine par une comparaison entre l'enrôlement par code QR, le zero-touch et Knox Mobile Enrollment, ainsi qu'une courte section de dépannage traitant du problème « jeton d'enrôlement expiré ».

Les bases : ce que fait réellement l'enrôlement par code QR

Un peu de vocabulaire d'abord, car la suite de l'article en dépend.

• Enrôlement (ou provisionnement) : le processus qui transforme un appareil neuf ou réinitialisé aux paramètres d'usine en un appareil géré. Durant le provisionnement, une application de gestion est installée et reçoit des droits d'administration sur l'appareil ou sur une partie de celui-ci.
• Contrôleur de règles de l'appareil (DPC ou Device Policy Controller) : l'application de gestion sur l'appareil qui applique les règles de votre organisation. Avec l'API Android Management, l'API de Google pour gérer les appareils Android Enterprise, le DPC est l'application Android Device Policy de Google.
• Jeton d'enrôlement : une chaîne de caractères émise par votre plateforme de gestion qui identifie l'organisation et la politique auxquelles un nouvel appareil doit être associé. Il fonctionne comme un code d'invitation.
• Assistant de configuration : les écrans de premier démarrage qu'Android affiche après une réinitialisation d'usine (langue, réseau, comptes).
• Politique : l'ensemble des règles, applications et paramètres que la plateforme de gestion applique à un appareil : exigences de code secret, applications autorisées, réseaux Wi-Fi, mode kiosque, et ainsi de suite.

Le flux des six appuis

Sur un appareil réinitialisé aux paramètres d'usine fonctionnant sous Android 7 ou version ultérieure, appuyer six fois au même endroit sur l'écran d'accueil ouvre un lecteur de code QR. Sur certaines versions plus anciennes d'Android, l'appareil demande d'abord à se connecter à un réseau pour pouvoir télécharger un lecteur QR. Les versions plus récentes intègrent directement ce lecteur. Une fois le code scanné, l'appareil :

1. Lit la charge utile de provisionnement stockée dans le code.
2. Se connecte au réseau, en utilisant les informations Wi-Fi présentes dans le code le cas échéant.
3. Télécharge le DPC et vérifie sa signature par rapport à une somme de contrôle figurant dans la charge utile, de sorte qu'une application altérée soit rejetée.
4. Transmet le jeton d'enrôlement au DPC, qui le présente au service de gestion.
5. Reçoit la politique liée à ce jeton et l'applique : restrictions, applications, réseaux, paramètres de kiosque.

Ce qu'il en est de « afw#setup »

La méthode afw#setup et le code QR sont souvent mentionnés ensemble. Il s'agit en réalité de deux points d'entrée distincts menant au même résultat. afw#setup est un identifiant de DPC : vous le saisissez dans le champ de compte Google de l'assistant de configuration à la place d'une adresse e-mail, et l'appareil télécharge Android Device Policy. Cette application demande ensuite le jeton d'enrôlement, généralement en scannant un code QR ou en saisissant le code. La méthode des six appuis obtient les mêmes informations en un seul scan. Dans les deux cas, le jeton d'enrôlement est l'élément qui détermine quelle organisation l'appareil rejoint.

Ce que contient le code

Un code QR est une façon d'encoder du texte sous la forme d'une image. Il ne chiffre rien. N'importe quelle application de lecture de code QR, y compris l'appareil photo de la plupart des téléphones, peut reconvertir l'image en texte d'origine. Pour le provisionnement Android Enterprise, ce texte est un document JSON. Le format JSON est un format en clair et lisible par l'humain, composé de clés et de valeurs.

Voici ci-dessous une charge utile illustrative utilisant les clés documentées par Google pour le provisionnement via l'API Android Management. Votre plateforme de gestion génère la charge utile réelle, et les champs exacts dépendent de vos paramètres.

{
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_COMPONENT_NAME":
      "com.google.android.apps.work.clouddpc/.receivers.CloudDeviceAdminReceiver",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_SIGNATURE_CHECKSUM":
      "<somme de contrôle publiée du DPC>",
  "android.app.extra.PROVISIONING_DEVICE_ADMIN_PACKAGE_DOWNLOAD_LOCATION":
      "https://play.google.com/managed/downloadManagingApp?identifier=setup",
  "android.app.extra.PROVISIONING_WIFI_SSID": "Staging-Net",
  "android.app.extra.PROVISIONING_WIFI_PASSWORD": "example-password",
  "android.app.extra.PROVISIONING_WIFI_SECURITY_TYPE": "WPA",
  "android.app.extra.PROVISIONING_TIME_ZONE": "America/Sao_Paulo",
  "android.app.extra.PROVISIONING_LEAVE_ALL_SYSTEM_APPS_ENABLED": false,
  "android.app.extra.PROVISIONING_ADMIN_EXTRAS_BUNDLE": {
    "com.google.android.apps.work.clouddpc.EXTRA_ENROLLMENT_TOKEN": "<jeton d'enrôlement>"
  }
}

Voici ce que fait chaque groupe de champs et son niveau de sensibilité.

Deux champs sont particulièrement importants : le jeton et le mot de passe Wi-Fi. La suite de cet article traite de leur gestion.

Propriété de l'entreprise ou usage personnel : pourquoi cela se décide à l'enrôlement

Android Enterprise propose plusieurs modes de gestion, qui définissent dans quelle mesure l'organisation contrôle l'appareil.

• Entièrement géré (propriété de l'entreprise) : le DPC devient le propriétaire de l'appareil (device owner) et gère l'ensemble de l'appareil. Cela convient aux appareils partagés, aux terminaux durcis, aux bornes kiosques et aux téléphones professionnels dédiés.
• Propriété de l'entreprise avec usage personnel autorisé : l'organisation possède l'appareil et contrôle sa sécurité globale, et l'utilisateur dispose également d'un espace personnel distinct. Les applications et données professionnelles résident dans un profil professionnel (work profile), un conteneur isolé disposant de ses propres applications et données gérées par l'informatique. La partie personnelle reste privée.
• Profil professionnel sur appareil personnel (BYOD) : l'employé possède l'appareil. L'organisation gère uniquement le profil professionnel et ne peut ni voir ni effacer les données personnelles.

Pourquoi vous ne pouvez pas simplement changer plus tard

En dehors des configurations de test pour développeurs, Android n'accorde le rôle de propriétaire de l'appareil (device owner) que lors de la configuration initiale, à partir d'un état réinitialisé d'usine. C'est pourquoi l'enrôlement des appareils appartenant à l'entreprise commence dès l'écran d'accueil. Pour la même raison, le mode est de fait figé une fois l'appareil enrôlé. Faire passer un appareil d'un mode entièrement géré à une configuration avec profil professionnel, ou inversement, implique généralement une réinitialisation d'usine et un nouvel enrôlement. Cela prend du temps et, sur un appareil personnel, s'avère inacceptable pour le propriétaire.

Prenez la décision avant de scanner le premier appareil. Quelques règles pratiques :

• Si l'appareil est partagé, utilisé en mode kiosque ou exécute une seule application métier, choisissez le mode entièrement géré.
• Si l'entreprise achète le téléphone mais que les employés sont légitimement amenés à l'utiliser pour des appels et applications personnels, envisagez le mode propriété de l'entreprise avec usage personnel autorisé, afin que la frontière soit claire dès le premier jour.
• Si les employés apportent leur propre téléphone, utilisez un profil professionnel. Il s'enrôle depuis l'appareil déjà configuré au moyen d'un lien ou d'un code, et non via le flux des six appuis sur l'écran d'accueil.

Le code QR emporte cette décision avec lui. Un code généré pour un usage entièrement géré configurera des appareils entièrement gérés pour quiconque le scanne. Nommez et classez vos codes imprimés de manière à ce qu'un technicien de préparation ne puisse pas se tromper de code.

Le Wi-Fi dans le code : quand il est utile et ce qu'il faut éviter

Un appareil ne peut pas télécharger son DPC sans connexion réseau. Vous pouvez soit laisser le technicien choisir un réseau sur l'appareil, soit intégrer les paramètres réseau dans le code QR.

Quand il est utile

Intégrer le Wi-Fi de configuration dans le code s'avère précieux sur le terrain et pour les déploiements en volume. Un technicien enrôlant vingt terminaux dans une réserve, ou un responsable de magasin configurant une tablette de remplacement, n'a pas besoin de saisir vingt fois un long mot de passe sur un petit clavier. Cela élimine les erreurs de saisie, évite d'avoir à demander le mot de passe à des collègues et rend le processus suffisamment reproductible pour être confié à du personnel non technique. Sur des appareils dépourvus de clavier pratique, comme les terminaux durcis utilisés avec des gants, cela peut faire la différence entre un enrôlement réalisable ou non en pratique.

Ce qu'il faut éviter

Le mot de passe figure dans le code en texte clair. Quiconque scanne le code avec un simple appareil photo de smartphone peut lire le SSID et le mot de passe, sans rien enrôler. Le mot de passe Wi-Fi n'est donc protégé que tant que la copie la moins bien gardée du code reste sécurisée. Parmi les pratiques à risque :

• Un code ponctuel contenant le mot de passe du Wi-Fi d'entreprise, imprimé sur une affiche dans une réserve, une salle de pause ou un arrière-bureau. Des visiteurs, des prestataires ou des livreurs peuvent le photographier.
• Réutiliser votre réseau d'entreprise principal comme réseau de configuration. La fuite du code entraîne alors la fuite de l'accès à tout ce qui se trouve sur ce réseau.
• Des codes qui survivent à la politique de rotation des mots de passe. Si le mot de passe réseau est renouvelé mais que d'anciennes impressions subsistent, il en résulte de la confusion et, tôt ou tard, quelqu'un qui « résout » le problème en imprimant un nouveau code avec le nouveau mot de passe.

Bonnes pratiques

• Utilisez un réseau de provisionnement dédié : segmenté, avec un accès Internet restreint au strict nécessaire pour l'enrôlement, et un mot de passe que vous êtes prêt à renouveler régulièrement.
• Privilégiez un code dont le Wi-Fi provient d'un réseau déjà défini dans la politique, afin que les identifiants soient gérés à un seul endroit plutôt que saisis dans des codes ponctuels.
• Lorsque vous avez besoin d'une exception ponctuelle, comme sur un site client doté de son propre réseau invité, utilisez un code que vous ne sauvegardez pas et détruisez-le après utilisation.
• Réservez le Wi-Fi d'entreprise basé sur des certificats (802.1X) à la politique appliquée après l'enrôlement, et non à la charge utile de configuration. Un réseau de préparation plus simple et isolé est bien plus facile à gérer durant la phase d'installation.
• Si un site dispose de données mobiles ou d'une connexion Ethernet, envisagez de ne pas inclure de Wi-Fi dans le code.

L'écran d'enrôlement de Nomid respecte cette séparation. Le code QR standard d'une politique tire son Wi-Fi de configuration d'un réseau appartenant déjà à la politique, le mot de passe étant extrait de celle-ci. Une option distincte « Utiliser un autre Wi-Fi une seule fois » crée un code ponctuel qui n'est pas enregistré, et le portail avertit que toute personne en possession du code QR peut lire le mot de passe.

Traiter le code comme une clé

La métaphore du passe-partout est parlante, mais il convient de préciser exactement ce que cette clé ouvre, afin de ne pas surévaluer ni sous-estimer le risque.

Ce qu'un code divulgué peut et ne peut pas faire

Un jeton d'enrôlement valide permet à quelqu'un d'ajouter un appareil à votre flotte sous la politique liée à ce jeton. Cet appareil peut ensuite recevoir tout ce que la politique distribue, ce qui peut inclure :

• Vos applications privées ou internes, distribuées via Google Play géré ou une boutique d'applications privée.
• Des configurations réseau, y compris les identifiants Wi-Fi déployés par la politique après l'enrôlement.
• Des liens web, des fichiers et des contenus destinés au personnel.
• Tous les paramètres VPN ou certificats contenus dans la politique.

Cela ajoute également un appareil inconnu à votre inventaire, ce qui fausse les rapports et peut consommer des licences.

En revanche, ce que le jeton ne permet pas, c'est d'accéder à votre console de gestion, aux appareils existants ou à leurs données. C'est la clé de la porte d'entrée de l'enrôlement, pas celle de la salle de contrôle. Cette distinction est essentielle lorsque vous expliquez un incident à la direction. L'exposition se limite à « ce que tout appareil enrôlé dans cette politique reçoit », plus le mot de passe Wi-Fi si le code en contenait un.

Qui peut le créer et l'imprimer

Traitez les codes d'enrôlement comme d'autres identifiants, selon le principe du moindre privilège. Posez-vous les questions suivantes :

• Quels administrateurs de la console peuvent voir le code d'enrôlement d'une politique ?
• Qui a le droit de le régénérer ?
• Les administrateurs régionaux ou de site ont-ils besoin des codes de chaque politique, ou seulement de ceux des politiques utilisées par leurs sites ?

Dans Nomid, les administrateurs ne disposant pas de l'autorisation de provisionnement sur une politique ne peuvent pas voir ses codes d'enrôlement, et la régénération d'un code exige le droit de modifier la politique. La définition des rôles constitue donc le premier niveau de contrôle. N'accordez aux responsables de magasin ou de terrain des droits de provisionnement que pour les politiques dans lesquelles ils enrôlent effectivement des appareils.

Où il finit par se retrouver

Une fuite n'a pas besoin d'un attaquant. Souvent, le code circule simplement plus loin que prévu. Parmi les canaux courants :

• Photos. Un technicien photographie le code « pour l'avoir sous la main », et celui-ci finit dans une sauvegarde cloud de photos ou un album partagé.
• Groupes de messagerie. Un code partagé avec un collègue est transféré à un groupe régional, puis à un groupe de fournisseurs.
• Affiches et impressions. Des codes scotchés aux murs, laissés dans des salles de préparation ou glissés dans des documents d'expédition.
• Captures d'écran dans des tickets et de la documentation. Des articles d'assistance, des présentations et des guides d'accueil qui intègrent un code actif.
• Invitations par e-mail. Transférées au-delà du destinataire prévu.

Habitudes pratiques :

• Partagez les codes avec des personnes désignées nommément, non avec des groupes, et préférez l'affichage du code en plein écran sur un ordinateur portable lors d'une session de préparation plutôt que la distribution de feuilles de papier. Tout autre mode de partage laisse une copie derrière lui : dans Nomid, il s'agit d'une image téléchargée, d'une impression, d'un lien copié, d'un message WhatsApp ou d'une invitation par e-mail.
• Récupérez et détruisez les impressions après un déploiement.
• Utilisez des images fictives dans la documentation, jamais un code actif.
• Tenez un bref registre des personnes et emplacements auprès desquels le code de chaque politique a été partagé, afin de connaître l'étendue de l'impact en cas de régénération.

Expiration

Les jetons d'enrôlement ont une durée de validité. Une fois celle-ci expirée, les codes et liens basés sur ce jeton cessent d'enrôler des appareils. Cela limite la durée pendant laquelle une impression oubliée reste dangereuse, mais explique aussi pourquoi un code qui fonctionnait le trimestre dernier peut échouer aujourd'hui. La durée de validité d'un jeton dépend de la manière dont votre plateforme le génère. Plutôt que de vous fier à un chiffre de mémoire, vérifiez l'expiration affichée par votre console et planifiez vos déploiements en conséquence. L'écran d'enrôlement de Nomid indique « Valide jusqu'au <date> » et « Dernière régénération » pour le jeton de chaque politique.

L'expiration est un filet de sécurité, pas un substitut à la régénération. Si vous savez qu'un code a fuité, n'attendez pas qu'il expire.

Un code a fuité : régénérer, et que se passe-t-il ensuite

Supposons qu'un code de préparation ait été publié dans un groupe de discussion avec des prestataires externes, ou qu'une affiche soit restée sur un mur après le réaménagement d'un magasin. Suivez les étapes ci-dessous.

1. Régénérer le jeton

La régénération émet un nouveau jeton d'enrôlement pour la politique et invalide l'ancien. Dans Nomid, l'option « Régénérer le code QR » sur l'écran Enrôler des appareils de la politique nécessite l'autorisation de modifier la politique. L'administrateur doit confirmer « Je comprends que les anciens codes QR et liens cesseront de fonctionner » avant que l'opération ne se poursuive.

2. Comprendre ce qui cesse de fonctionner

Étant donné que chaque code QR et lien d'enrôlement d'une politique porte le même jeton, la régénération les affecte tous simultanément. Après une régénération dans Nomid :

• Tous les codes QR de cette politique cessent de fonctionner, y compris ceux imprimés, les images téléchargées et les captures d'écran.
• Tous les liens d'enrôlement cessent de fonctionner, y compris les liens partagés par messagerie instantanée ou copiés dans des documents.
• Toutes les invitations envoyées par e-mail pour cette politique cessent de fonctionner.

Ce comportement est délibéré, mais il a un coût opérationnel. Tout site disposant d'une impression légitime aura besoin du nouveau code. Prévenez les équipes de terrain avant de procéder à la régénération, ou immédiatement après, et transmettez les codes de remplacement par un canal plus restreint que celui qui a fuité.

3. Pourquoi les appareils déjà enrôlés continuent de fonctionner

Les administrateurs craignent souvent que la régénération ne déconnecte les appareils existants de la gestion. Ce n'est pas le cas. Chaque appareil ne présente le jeton d'enrôlement qu'une seule fois, au moment où il rejoint la flotte (le même jeton peut admettre d'autres appareils jusqu'à son expiration ou sa régénération). Ensuite, l'appareil possède sa propre identité et sa propre relation avec le service de gestion, sans plus jamais faire référence au jeton. La régénération modifie l'invitation, pas l'adhésion. Dans Nomid, les appareils enrôlés ne sont pas affectés par la régénération.

4. Vérifier les dépendances zero-touch

Si une configuration zero-touch utilise le jeton de la politique, la régénération rendrait inopérant, de manière silencieuse, chaque futur appareil zero-touch affecté à cette configuration. Nomid empêche cela : le portail refuse la régénération tant que la configuration zero-touch ne pointe pas ailleurs. Réassignez d'abord cette configuration, puis procédez à la régénération.

5. Nettoyer après la fuite

La régénération bloque les nouveaux enrôlements. Elle n'annule pas ceux qui ont déjà eu lieu. Poursuivez en prenant les mesures suivantes :

• Examiner les appareils enrôlés dans cette politique depuis la date présumée de la fuite, en recherchant des noms, modèles ou emplacements que vous ne reconnaissez pas.
• Supprimer ou effacer tout appareil dont vous ne pouvez pas justifier la présence.
• Renouveler le mot de passe Wi-Fi si le code divulgué en contenait un, car régénérer le jeton ne change rien au fait qu'un mot de passe a déjà été lu.
• Examiner ce que distribue la politique. Si elle transmet une configuration sensible, demandez-vous si celle-ci ne devrait pas plutôt relever d'une politique plus restreinte.

Pour la direction, la synthèse tient en une phrase : « Nous avons révoqué le code, les appareils existants n'ont pas été affectés, nous avons vérifié l'absence d'appareils illégitimes et nous avons renouvelé le mot de passe du réseau. »

Code QR vs Zero-Touch vs Knox Mobile Enrollment

Les codes QR constituent l'une des différentes méthodes d'enrôlement, et chacune a sa place. L'enrôlement Android zero-touch associe les appareils à votre organisation dès l'achat par l'intermédiaire d'un revendeur partenaire. L'appareil s'enrôle automatiquement au premier démarrage sans aucun scan, et aucun code imprimé ne risque de fuiter, mais cela implique d'acheter auprès d'un revendeur zero-touch. Samsung Knox Mobile Enrollment propose un enrôlement automatique similaire pour les appareils Samsung, avec des appareils enregistrés via le portail Samsung ou un revendeur participant. L'enrôlement par code QR fonctionne sur presque tous les appareils sous Android 7 ou version ultérieure que vous possédez déjà, quelle que soit leur provenance. Cela en fait l'option pratique pour les flottes hétérogènes, le réenrôlement après réparation et les petits lots, sous réserve de manipuler le code avec précaution. Une répartition raisonnable consiste à utiliser le zero-touch ou Knox pour les nouveaux achats, et le code QR pour tout le reste.

Résolution des problèmes courants d'enrôlement par code QR

« Jeton d'enrôlement expiré » ou « jeton non valide »

Le jeton a dépassé sa période de validité ou a été régénéré, le code n'est donc plus valide. C'est la première piste à vérifier lorsqu'une ancienne impression ou une capture d'écran sauvegardée échoue. Récupérez le code actuel depuis la console et vérifiez sa date d'expiration. Si le code a été régénéré récemment, toutes les copies effectuées avant cette date échoueront par conception.

Appuyer sur l'écran d'accueil ne fait rien

Assurez-vous que l'appareil a bien été réinitialisé aux paramètres d'usine et qu'il se trouve sur le tout premier écran d'accueil, puis appuyez six fois au même endroit. Certaines versions plus anciennes d'Android nécessitent une connexion réseau préalable pour télécharger un lecteur QR. Si l'appareil a déjà dépassé l'écran d'accueil, l'enrôlement en tant qu'appareil d'entreprise nécessite une nouvelle réinitialisation.

L'appareil scanne le code mais ne parvient pas à se connecter

Vérifiez que le réseau de configuration est à portée et que son mot de passe n'a pas changé depuis la création du code. Assurez-vous également que le type de sécurité est bien pris en charge par la charge utile de configuration. Les portails captifs, ces pages de connexion courantes sur les réseaux invités, bloquent le provisionnement. Utilisez un réseau qui n'en comporte pas.

L'appareil s'est enrôlé dans le mauvais mode

L'appareil a été scanné avec un code conçu pour un autre type d'usage ou une autre politique. Le mode étant défini lors de l'enrôlement, la solution consiste à supprimer l'appareil, à le réinitialiser aux paramètres d'usine et à l'enrôler avec le bon code. Étiquetez clairement les codes imprimés pour éviter que l'erreur ne se reproduise.

L'enrôlement réussit mais les applications sont absentes

Le téléchargement des applications peut prendre du temps après l'enrôlement, en particulier sur des réseaux lents. Confirmez que l'appareil dispose d'une connexion stable et que les applications sont bien assignées dans la politique. Sur les appareils gérés par Nomid, l'application Nomid Settings comprend un écran Bilan de santé (« Check-up »), si la politique affiche son bouton. Il vérifie que les applications du Nomid Store définies dans la politique sont installées, que l'appareil peut joindre l'API Nomid et les serveurs d'accès distant, et que le Play Store, les services Google Play, les services de localisation et les autorisations de l'agent sont en règle. Les vérifications ayant échoué proposent une correction, et l'exécution est consignée dans l'historique des commandes de l'appareil.

Pour récapituler

Un code QR Android Enterprise est un fichier de configuration lisible imprimé sous forme d'image. Il désigne l'application de gestion, transporte un jeton d'enrôlement qui admet les appareils dans une politique spécifique et peut inclure le Wi-Fi de configuration avec son mot de passe en texte clair. C'est pourquoi il accélère l'enrôlement, et pourquoi il requiert la même attention que n'importe quel identifiant.

Points clés à retenir :

• Sachez ce que contiennent vos codes. Le jeton d'enrôlement et l'éventuel mot de passe Wi-Fi en sont les parties sensibles.
• Choisissez le mode de gestion (entièrement géré, propriété de l'entreprise avec usage personnel, ou profil professionnel) avant l'enrôlement. En changer plus tard implique généralement une réinitialisation.
• Intégrez le Wi-Fi dans le code pour éviter la saisie sur place, mais utilisez un réseau de provisionnement dédié et segmenté, et n'affichez pas de codes ponctuels contenant des mots de passe.
• Limitez les personnes pouvant consulter et régénérer les codes, partagez-les avec des personnes désignées nommément plutôt qu'avec des groupes, et récupérez les impressions après les déploiements.
• Surveillez la date de validité du jeton, et n'attendez pas son expiration si vous savez qu'un code a fuité.
• Lorsqu'un code fuite : régénérez-le, réémettez les codes par un canal plus restreint, recherchez d'éventuels appareils inconnus et renouvelez tout mot de passe Wi-Fi exposé. Les appareils déjà enrôlés continuent de fonctionner.
• Utilisez le zero-touch ou Knox Mobile Enrollment lorsque votre processus d'achat le permet, et le code QR pour tout le reste.

Prochaines étapes : listez chaque code d'enrôlement actuellement en circulation : impressions, captures d'écran, messages de discussion et documentation. Pour chacun d'eux, notez la politique à laquelle il appartient et s'il contient un mot de passe Wi-Fi. Décidez ensuite quels codes régénérer immédiatement et lesquels laisser courir jusqu'à leur expiration.

Si vous évaluez des plateformes, le MDM Nomid intègre ces contrôles sur l'écran Enrôler des appareils de chaque politique :

• Un code QR par politique, généré à partir des valeurs par défaut enregistrées de la politique (type d'usage, fuseau horaire, réseau Wi-Fi de la politique et options de provisionnement).
• Une option ponctuelle clairement indiquée pour utiliser un autre réseau Wi-Fi.
• Des liens de profil professionnel pour les appareils personnels lorsque la politique l'autorise.
• Des informations visibles « Valide jusqu'au » et « Dernière régénération ».
• Une action de régénération qui exige une confirmation et vérifie d'abord les dépendances zero-touch.

Le zero-touch, Knox Mobile Enrollment et le jeton d'enrôlement lui-même sont proposés comme méthodes alternatives. Un forfait gratuit couvre jusqu'à 10 appareils sans limite de durée, ce qui est suffisant pour tester votre processus d'enrôlement et la gestion de vos codes avant un déploiement plus large.