Zero-Touch Enrollment: что это и что нужно для старта

Zero-Touch Enrollment — это регистрация устройства в домене организации без участия человека. Сотрудник открывает коробку, включает устройство, подключается к сети — и получает рабочее место с политиками, приложениями и настройками. Ни ИТ-специалист, ни пользователь ничего не настраивают руками.

Что происходит внутри

1. При производстве устройство получает уникальный идентификатор и попадает в реестр производителя.
2. При продаже партнёр привязывает эти устройства к домену заказчика: реестр запоминает, какому домену принадлежит каждый серийный номер.
3. При первом включении устройство спрашивает у сервера, есть ли для него предписание. Если есть, регистрация в домене запускается автоматически, минуя экран входа личного аккаунта.
4. Устройство скачивает политики организации: список приложений, настройки сети и печати, разрешения пользователей.

Что должно совпасть

• Домен и консоль управления. У организации должен быть подтверждённый домен и доступ к консоли администратора.
• Лицензия управления на каждое устройство. Без неё устройство останется обычным, пользовательским.
• Устройства, купленные у партнёра, подключённого к программе. Ноутбук из розницы в реестр не попадёт — его придётся регистрировать вручную.
• Сеть на площадке. Первое включение требует интернета. Сеть с порталом авторизации не подойдёт: устройство не сможет пройти капчу до входа пользователя.

Когда это окупается

Ручная регистрация одного устройства занимает 5–10 минут при идеальном сценарии. На парке в 20 устройств экономия несущественна, на парке в 500 — это недели работы. Второй эффект важнее первого: устройство, зарегистрированное автоматически, невозможно «случайно» ввести в эксплуатацию мимо политик организации.

Чего Zero-Touch не делает

Он не переносит данные пользователей, не устанавливает лицензии на офисные пакеты и не настраивает сторонние сервисы. Он также не отменяет планирование: политики, организационные подразделения и списки приложений нужно подготовить заранее — иначе устройства зарегистрируются и получат пустой набор правил. Начинать поэтому стоит не с закупки, а с пилота на 10–20 устройствах.

С чего начать на практике

Порядок такой: подтвердить домен, спроектировать организационные подразделения, закупить лицензии на нужное число устройств, договориться с поставщиком о привязке партии к вашему домену и только затем принимать технику. Если техника уже пришла, а домен не готов, устройства придётся регистрировать вручную — процесс рабочий, но на большой партии он съедает неделю. Мы просим заказчиков присылать структуру подразделений до отгрузки: это единственный этап, который нельзя сделать задним числом без ручной работы.