Базовый набор политик для парка устройств

Политик в консоли сотни, и настраивать их все не нужно. Ниже — набор, который закрывает основные риски и не мешает работе. Каждую позицию сначала включайте в тестовом подразделении.

Вход и пользователи

• Ограничение входа доменом организации. Запрещает вход личных аккаунтов на корпоративное устройство. Для школьных устройств это обязательный пункт.
• Гостевой режим. Отключайте на устройствах с доступом к внутренним ресурсам; оставляйте на устройствах общего пользования в библиотеке.
• Автоматический выход из сеанса после заданного времени бездействия — для устройств, которыми пользуются по очереди.

Обновления

• Разрешите автоматические обновления и задайте окно установки в нерабочие часы.
• Ограничение целевой версии используйте только временно: забытое ограничение оставляет парк без обновлений безопасности на месяцы.
• Настройте разброс времени загрузки обновлений, если в одной сети сотни устройств: одновременная загрузка кладёт канал.

Сеть и печать

Профили Wi-Fi с сертификатом раздаются политикой — пользователь не вводит пароль и не может его сообщить постороннему. Принтеры публикуются списком на уровне подразделения. Прокси и корневой сертификат организации задаются там же; проверьте, что сертификат раздаётся до того, как устройство попадёт в фильтруемую сеть.

Питание и энергосбережение

Для мобильных пользователей — стандартные значения, для стационарных киосков — запрет ухода в сон. Отдельно проверьте поведение при закрытии крышки: устройство, которое выключается, теряет несохранённые сеансы, а устройство, которое не засыпает в шкафу, приезжает в класс разряженным.

Внешние носители и порты

Блокировка USB-накопителей — стандартная мера для парков с чувствительными данными. Учтите последствия: пользователи начнут пересылать файлы почтой. Мягкий вариант — разрешить чтение и запретить запись.

Чего не стоит делать

Не включайте всё сразу и не отключайте то, чего не понимаете: самый частый инцидент первого месяца — не взлом, а собственная политика, из-за которой класс не может открыть нужный сервис за пять минут до урока. Ведите журнал изменений: дата, политика, подразделение, причина. Он окупается при первом же разборе.

Как убедиться, что политика применилась

Откройте на устройстве адрес chrome://policy и нажмите «Обновить политики»: таблица покажет имя правила, его значение, источник и время получения. Если правило отсутствует, проверьте, в том ли подразделении находится устройство, и не перепутаны ли политики устройства с политиками пользователя. Это две разные ветки настроек, и правило, заданное не в той, выглядит как не сработавшее.