Inscripción zero-touch de Android: desplegar sin configuración manual

La inscripción zero-touch es el método de Google para preparar dispositivos Android de empresa de forma que se inscriban solos en su solución MDM la primera vez que se encienden. El empleado abre la caja, elige una red wifi y las políticas, las aplicaciones y las restricciones ya están aplicadas. El equipo de TI no llega a tocar el dispositivo en ningún momento.

Google lanzó el sistema en 2017 para los Pixel y desde Android 9 lo extendió a prácticamente todo el catálogo de Android Enterprise. Si compra cincuenta terminales al año o más, configurarlos uno a uno ya no tiene mucha justificación. Lo interesante está en los detalles: el distribuidor, el comportamiento tras un restablecimiento de fábrica y lo que hay que negociar antes con la representación de los trabajadores.

Qué ocurre realmente en el primer arranque

Lo decisivo pasa antes de que el usuario llegue a ver el asistente de bienvenida.

1. Su distribuidor registra el IMEI o el número de serie de los equipos en el portal zero-touch, asociados a su número de cliente. Suele hacerlo en almacén, antes del envío.
2. Usted asigna una configuración desde el portal: qué solución MDM se hace cargo, qué mensaje ve el usuario y si puede o no saltarse la inscripción.
3. Al encenderse por primera vez, el dispositivo pregunta a Google si existe una asignación para ese número de serie. Solo para eso necesita red en ese instante.
4. Si la asignación existe, el terminal descarga el agente correspondiente y cede el control a su gestión de dispositivos Android. El usuario ve la primera pantalla de configuración después de eso, no antes.

Hay un detalle que se infravalora casi siempre: la asignación sobrevive a un restablecimiento de fábrica. Quien resetea el terminal vuelve a caer en la misma inscripción. Esa es la diferencia real frente a un código QR, que cualquier usuario puede quitarse de encima con un borrado.

Requisitos que de verdad condicionan el proyecto

• Compra a un distribuidor autorizado zero-touch. Es la frontera dura. Un terminal comprado en una gran superficie o en un marketplace no se puede dar de alta después en su cuenta zero-touch.
• Android 9 o superior. Desde esa versión el soporte es obligatorio dentro de Android Enterprise. En Android 8.0 era opcional y dependía del fabricante, algo que todavía da sorpresas en parques con terminales rugerizados antiguos.
• Una cuenta zero-touch. La crea el distribuidor y se vincula a una cuenta de Google corporativa. Use una dirección funcional, nunca la cuenta personal de alguien. De lo contrario todo el despliegue depende de que esa persona siga en la empresa.
• Dispositivos propiedad de la empresa. Zero-touch se aplica a equipos corporativos, ya sean totalmente gestionados o en modo COPE con perfil de trabajo. No existe para dispositivos personales en BYOD: ahí es el propio usuario quien se inscribe.
• Servicios de Google accesibles en la primera red. Una wifi de invitados con portal cautivo bloquea la consulta. El proceso se interrumpe sin avisar y el terminal continúa con la configuración estándar.

Cómo se monta, paso a paso

Casi todo el esfuerzo está antes del primer pedido. Luego es rutina.

1. Confirme con su distribuidor que figura en el programa zero-touch. No todos lo están, y algunos solo para determinados fabricantes.
2. Pida que le creen la cuenta zero-touch y anote su número de cliente. Si trabaja con varios proveedores, todos deben usar el mismo número o los equipos acabarán en inventarios separados.
3. Vincule su solución MDM en el portal y cree una configuración.
4. Marque una configuración como predeterminada. Es el paso que más se olvida: sin configuración por defecto, los terminales recién dados de alta aparecen en el portal pero no reciben nada.
5. Pruebe con tres o cinco equipos del primer pedido, incluyendo un restablecimiento de fábrica y una segunda vuelta.
6. Despliegue después por fases, por centro de trabajo o por departamento.

Reserve una semana para la prueba. No por la parte técnica, sino porque la respuesta del distribuidor sobre el número de cliente suele ser lo que más tarda.

Zero-touch, Knox Mobile Enrollment o código QR

Tres métodos que en un parque de dispositivos mixto suelen convivir en lugar de excluirse.

Zero-touch

Vale para cualquier fabricante, resiste el borrado y depende del canal de compra. Es la opción correcta para todo lo que usted adquiere de forma planificada y en volumen.

Samsung Knox Mobile Enrollment

Equivalente en funcionamiento, limitado a terminales Samsung, pero con una red de distribuidores adheridos más amplia. Si su parque es mayoritariamente Galaxy y su proveedor habitual no es socio zero-touch, este es el camino práctico. Los dos sistemas pueden funcionar en paralelo.

Código QR

Funciona con cualquier terminal, sin depender del distribuidor, y no exige preparación previa. El precio: alguien tiene que escanear el código y un restablecimiento de fábrica deshace la inscripción. Aun así, para reposiciones, equipos de sustitución y material ya en circulación es la vía más rápida. Para un almacén lleno de terminales destinados a personal de tienda o de campo, no.

Por qué fallan los despliegues

Los síntomas se repiten y casi ninguno es culpa de la tecnología.

• El equipo aparece en el portal pero no se inscribe. Casi siempre falta asignarle una configuración, o nadie marcó una como predeterminada.
• El equipo ni siquiera aparece. El distribuidor lo cargó en otro número de cliente o transcribió mal el IMEI. Con terminales de doble SIM y dos IMEI ocurre más de lo que parece.
• La inscripción no arranca pese a estar bien asignada. Revise la red. Los servicios de Google Play y los puntos de acceso de su proveedor MDM tienen que ser alcanzables desde la wifi donde el terminal se enciende por primera vez.
• Alguien ya lo configuró. Un compañero curioso que abre la caja y avanza por el asistente le cuesta un restablecimiento de fábrica. Molesto, pero reversible.
• Sin wifi en destino. La inscripción también funciona por datos móviles si la SIM está puesta antes del primer encendido. Con modelos eSIM sin perfil precargado, no.

Protección de datos y relación laboral

El zero-touch en sí apenas plantea problemas: maneja números de serie y una asignación, no datos personales. Lo que hay que justificar no es la inscripción, sino la política que aterriza después en el terminal.

El artículo 87 de la LOPDGDD obliga a fijar criterios de utilización de los dispositivos digitales y exige la participación de la representación de los trabajadores en su elaboración. El artículo 20.3 del Estatuto de los Trabajadores admite medidas de vigilancia, pero sujetas a proporcionalidad y a información previa. Sin ese trabajo hecho, un despliegue impecable se atasca en el comité de empresa, y esa conversación dura más que cualquier preparación técnica.

Sea explícito sobre lo que activa la política. En dispositivos Android corporativos gestionados, la localización periódica y las zonas de geovallado con aviso por correo son funciones técnicamente disponibles que el administrador puede habilitar. En dispositivos personales inscritos en modo BYOD esa función no existe: no es una opción desactivada, sencillamente no aparece en la consola. Explicar bien esa diferencia rebaja mucho la tensión de la negociación.

A eso se suman las obligaciones habituales: contrato de encargado del tratamiento según el artículo 28 del RGPD con su proveedor MDM, medidas técnicas y organizativas documentadas conforme al artículo 32 y la actualización del registro de actividades. Lo desarrollamos con más detalle en nuestro artículo sobre RGPD y gestión de dispositivos móviles. Si trabaja para el sector público o como proveedor suyo, tenga presente además que el Esquema Nacional de Seguridad marca el listón de los pliegos, y que la inscripción automatizada ayuda sobre todo en el inventario de activos y en el control de la línea base de configuración.

Lo que cambia en el día a día

Configurar a mano un móvil corporativo lleva cerca de media hora según la profundidad de la política, más los envíos de ida y vuelta si el equipo de TI tiene que preconfigurarlo. Con doscientos terminales al año eso es una semana de trabajo que nadie presupuestó, repartida en fragmentos de cinco minutos a lo largo de doce meses.

El segundo efecto pesa más: la coherencia. Los equipos configurados a mano acaban divergiendo, y la divergencia se descubre en la auditoría. Un dispositivo que se inscribe solo recoge la política vigente, no la de hace ocho meses.

Queda la parte que el zero-touch no resuelve. Qué aplicación llega a qué terminal, cómo se actualiza y qué pasa el día que alguien se marcha depende de su inscripción zero-touch y de la gestión que hay detrás. Appaloosa inscribe dispositivos Android a través del portal zero-touch, distribuye aplicaciones internas por grupo o por centro y retira los datos de empresa cuando el usuario deja la organización.

En resumen

Resuelva primero el distribuidor, luego el número de cliente y después la configuración predeterminada. Pruebe con un puñado de equipos, con borrado incluido, antes de tocar el primer pedido grande. Y empiece pronto la conversación con la representación de los trabajadores: la parte técnica se monta en una tarde, el acuerdo no. Si quiere ver cómo es el portal por el lado de Google, la documentación del programa y de los distribuidores es el punto de partida.