MDM: gestión de móviles corporativos en plantas y sedes de varios países

Qué vas a conseguir

Que un jefe de planta en otro país saque el móvil de la caja, lo encienda, inicie sesión con su cuenta y tenga el correo, Teams, la app de partes de mantenimiento y la VPN sin que nadie de IT lo toque. En una industria con sedes repartidas, los móviles se compran en cada país, llegan por el operador local y el usuario está en la nave o en la carretera: el alta tiene que ser automática y el soporte, remoto.

Antes de empezar

• Intune con la autoridad MDM configurada y el tenant enlazado a Managed Google Play.
• Apple Business Manager (ahora Apple Business) con el token de inscripción automatizada (ADE) cargado en Intune, y el Apple ID de la organización que lo renueva cada año documentado.
• Los proveedores de cada país: que el distribuidor o el operador asigne los equipos a vuestra cuenta (ID de cliente de Apple, revendedor de zero-touch o Knox Mobile Enrollment). Si no, el móvil llega como uno de tienda.
• Una política de qué apps lleva cada perfil: dirección, comerciales, jefes de turno y móviles compartidos de almacén no necesitan lo mismo.

1. Los perfiles de dispositivo

Cada perfil, un grupo de dispositivos (por el nombre del perfil de inscripción o por un filtro) para asignar apps, configuración y cumplimiento sin listas manuales.

2. Alta automática: Android y iPhone

Android Enterprise totalmente gestionado: en Intune, Dispositivos › Inscripción › Android › Perfiles de inscripción › Dispositivos de usuario corporativos totalmente administrados. El perfil genera un token y un código QR. El móvil, recién sacado de la caja o restablecido, se inscribe:

1. Con zero-touch o Knox Mobile Enrollment si el proveedor lo ha registrado: al conectarse a internet, el móvil se inscribe solo.
2. Si no, con el QR: en la pantalla de bienvenida se toca seis veces seguidas, se escanea el código y se sigue el asistente.
3. El usuario inicia sesión con su cuenta corporativa; Intune instala el Authenticator, el Portal de empresa y las apps asignadas.

iPhone con ADE: el equipo aparece en Apple Business Manager asignado al servidor MDM de Intune, y en Intune recibe el perfil de inscripción (supervisado, con afinidad de usuario y autenticación moderna en el Asistente de configuración). Al encenderlo, el iPhone muestra la pantalla de Gestión remota y se inscribe antes de llegar al escritorio.

Un iPhone comprado en una tienda o por un operador que no está asociado a vuestra cuenta se puede añadir a Apple Business Manager con Apple Configurator en otro iPhone; luego hay que borrarlo y volver a empezar el asistente.

3. Protección de apps y cumplimiento

• Protección de apps (Aplicaciones › Protección): PIN de la app, impedir copiar datos de Outlook y Teams a apps personales, cifrado de los datos de empresa y borrado selectivo. Es lo único que se aplica a móviles personales y una segunda capa en los corporativos.
• Cumplimiento: versión mínima de sistema, bloqueo de pantalla, sin root ni jailbreak y, en Android, la verificación de integridad de Google Play. Un móvil no conforme se marca y, tras un periodo de gracia, deja de acceder.
• Acceso condicional exige dispositivo conforme o app protegida para el correo y el ERP móvil. Sin eso, la política de cumplimiento solo informa.
• Las actualizaciones de sistema con un plazo, no al instante: en la planta hay apps de proveedores (mantenimiento, calidad) que se prueban primero.

4. SIM, operadores y países

• Un contrato por país con el operador local, o uno global con roaming. Lo habitual es local para quien no sale del país y tarifa con roaming incluido para comerciales y dirección.
• eSIM: cada vez más operadores la ofrecen; el QR de activación se entrega al usuario por un canal seguro y una sola vez. Si se borra el móvil, en muchos casos hay que pedir una nueva.
• El PIN y el PUK de las SIM físicas, en el gestor de inventario, no en un sobre en el cajón de la planta.
• El inventario cruza IMEI, número de serie, número de teléfono, usuario y país. Cuando el operador facture una línea, tienes que saber de quién es.

5. El ticket: "el móvil nuevo no se inscribe, se queda en la configuración inicial"

Martes, planta 9. El nuevo jefe de mantenimiento ha recibido un iPhone del operador local y se queda en el asistente: no aparece la pantalla de gestión remota, o aparece y da error.

1. ¿Está el equipo en Apple Business Manager? Busca el número de serie. Si no está, el operador no lo ha asociado a vuestra cuenta: o se lo pides con el número de pedido, o lo añades con Apple Configurator.
2. ¿Tiene perfil en Intune? Si está en el token pero sin perfil asignado, asígnalo y pulsa Sincronizar. Si el iPhone ya se activó antes de tener perfil, no lo recogerá: hay que borrarlo (Ajustes › General › Transferir o restablecer el iPhone › Borrar contenidos y ajustes) y empezar de nuevo.
3. ¿Llega a internet? Este es el caso típico en planta: el usuario se conecta a la WiFi de invitados, que tiene portal cautivo, y el asistente no puede hablar con Apple ni con Intune. Que use datos móviles o una WiFi sin portal.
4. ¿Puede el usuario inscribirse? Que tenga licencia de Intune, que no supere el límite de dispositivos por usuario y que las restricciones de inscripción permitan la plataforma y la propiedad corporativa.
5. En Android, lo mismo con otros nombres: el equipo registrado en zero-touch o Knox, el token del perfil no revocado ni caducado y, si se usa QR, un móvil restablecido de fábrica (no se puede inscribir como totalmente gestionado un móvil ya configurado).

Para ver qué está pasando en Intune:

›Connect-MgGraph -Scopes DeviceManagementManagedDevices.Read.All›Get-MgDeviceManagementManagedDevice -Filter "serialNumber eq 'F2LXK9Q1N7'" | Select-Object DeviceName, ComplianceState, EnrolledDateTime, LastSyncDateTimeDeviceName       ComplianceState EnrolledDateTime     LastSyncDateTime----------       --------------- ----------------     ----------------iPhone-P09-0117  compliant       28/10/2026 08:36:50  28/10/2026 08:41:12

Si aparece y es conforme, la inscripción terminó y el problema es de apps o configuración. Si no aparece, la inscripción no llegó a completarse y sigues en los pasos anteriores.

6. Pérdida, robo y bajas

Antes de reutilizar un iPhone, comprueba el bloqueo de activación: en un equipo supervisado Intune puede guardar el código para saltarlo. En Android, la protección de restablecimiento de fábrica corporativa debe estar configurada con una cuenta de la empresa, no con la del usuario que se fue.

7. Lo que revisas cada mes

• Móviles sin sincronizar en más de 30 días: perdidos, en un cajón o de alguien que ya no está.
• Móviles no conformes por país y su causa.
• Fecha de caducidad del token ADE, del certificado push de Apple y del enlace con Managed Google Play.
• Líneas facturadas por cada operador frente al inventario: una SIM sin móvil asignado es un gasto o un riesgo.

Siguientes pasos

• La guía de Intune del Nivel 3 detalla perfiles, cumplimiento y asignación de apps.
• Las guías de iPhone y iPad y de Android del Nivel 1 cubren el soporte al usuario en el día a día.
• La guía de Entra ID: Conditional Access explica cómo exigir dispositivo conforme para el correo y el ERP.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.