Qué vas a conseguir
Que un jefe de planta en otro país saque el móvil de la caja, lo encienda, inicie sesión con su cuenta y tenga el correo, Teams, la app de partes de mantenimiento y la VPN sin que nadie de IT lo toque. En una industria con sedes repartidas, los móviles se compran en cada país, llegan por el operador local y el usuario está en la nave o en la carretera: el alta tiene que ser automática y el soporte, remoto.
Antes de empezar
- Intune con la autoridad MDM configurada y el tenant enlazado a Managed Google Play.
- Apple Business Manager (ahora Apple Business) con el token de inscripción automatizada (ADE) cargado en Intune, y el Apple ID de la organización que lo renueva cada año documentado.
- Los proveedores de cada país: que el distribuidor o el operador asigne los equipos a vuestra cuenta (ID de cliente de Apple, revendedor de zero-touch o Knox Mobile Enrollment). Si no, el móvil llega como uno de tienda.
- Una política de qué apps lleva cada perfil: dirección, comerciales, jefes de turno y móviles compartidos de almacén no necesitan lo mismo.
1. Los perfiles de dispositivo
| Quién | Propiedad | Inscripción | Por qué |
|---|---|---|---|
| Jefes de planta, dirección | Empresa | Android Enterprise totalmente gestionado o iPhone con ADE supervisado | Todo el equipo es de empresa; borrado y bloqueo completos |
| Comerciales que viajan | Empresa | Igual, con más apps de cliente | Mucho tiempo fuera de la red y en otros países |
| Móvil personal con correo | Usuario | Sin inscripción, solo protección de apps | No se gestiona el teléfono, solo los datos de empresa |
| Terminal compartido de almacén | Empresa | Android Enterprise dedicado | Una app en modo quiosco, sin usuario |
Cada perfil, un grupo de dispositivos (por el nombre del perfil de inscripción o por un filtro) para asignar apps, configuración y cumplimiento sin listas manuales.
2. Alta automática: Android y iPhone
Android Enterprise totalmente gestionado: en Intune, Dispositivos › Inscripción › Android › Perfiles de inscripción › Dispositivos de usuario corporativos totalmente administrados. El perfil genera un token y un código QR. El móvil, recién sacado de la caja o restablecido, se inscribe:
- Con zero-touch o Knox Mobile Enrollment si el proveedor lo ha registrado: al conectarse a internet, el móvil se inscribe solo.
- Si no, con el QR: en la pantalla de bienvenida se toca seis veces seguidas, se escanea el código y se sigue el asistente.
- El usuario inicia sesión con su cuenta corporativa; Intune instala el Authenticator, el Portal de empresa y las apps asignadas.
iPhone con ADE: el equipo aparece en Apple Business Manager asignado al servidor MDM de Intune, y en Intune recibe el perfil de inscripción (supervisado, con afinidad de usuario y autenticación moderna en el Asistente de configuración). Al encenderlo, el iPhone muestra la pantalla de Gestión remota y se inscribe antes de llegar al escritorio.
Un iPhone comprado en una tienda o por un operador que no está asociado a vuestra cuenta se puede añadir a Apple Business Manager con Apple Configurator en otro iPhone; luego hay que borrarlo y volver a empezar el asistente.
3. Protección de apps y cumplimiento
- Protección de apps (Aplicaciones › Protección): PIN de la app, impedir copiar datos de Outlook y Teams a apps personales, cifrado de los datos de empresa y borrado selectivo. Es lo único que se aplica a móviles personales y una segunda capa en los corporativos.
- Cumplimiento: versión mínima de sistema, bloqueo de pantalla, sin root ni jailbreak y, en Android, la verificación de integridad de Google Play. Un móvil no conforme se marca y, tras un periodo de gracia, deja de acceder.
- Acceso condicional exige dispositivo conforme o app protegida para el correo y el ERP móvil. Sin eso, la política de cumplimiento solo informa.
- Las actualizaciones de sistema con un plazo, no al instante: en la planta hay apps de proveedores (mantenimiento, calidad) que se prueban primero.
4. SIM, operadores y países
- Un contrato por país con el operador local, o uno global con roaming. Lo habitual es local para quien no sale del país y tarifa con roaming incluido para comerciales y dirección.
- eSIM: cada vez más operadores la ofrecen; el QR de activación se entrega al usuario por un canal seguro y una sola vez. Si se borra el móvil, en muchos casos hay que pedir una nueva.
- El PIN y el PUK de las SIM físicas, en el gestor de inventario, no en un sobre en el cajón de la planta.
- El inventario cruza IMEI, número de serie, número de teléfono, usuario y país. Cuando el operador facture una línea, tienes que saber de quién es.
5. El ticket: "el móvil nuevo no se inscribe, se queda en la configuración inicial"
Martes, planta 9. El nuevo jefe de mantenimiento ha recibido un iPhone del operador local y se queda en el asistente: no aparece la pantalla de gestión remota, o aparece y da error.
- ¿Está el equipo en Apple Business Manager? Busca el número de serie. Si no está, el operador no lo ha asociado a vuestra cuenta: o se lo pides con el número de pedido, o lo añades con Apple Configurator.
- ¿Tiene perfil en Intune? Si está en el token pero sin perfil asignado, asígnalo y pulsa Sincronizar. Si el iPhone ya se activó antes de tener perfil, no lo recogerá: hay que borrarlo (Ajustes › General › Transferir o restablecer el iPhone › Borrar contenidos y ajustes) y empezar de nuevo.
- ¿Llega a internet? Este es el caso típico en planta: el usuario se conecta a la WiFi de invitados, que tiene portal cautivo, y el asistente no puede hablar con Apple ni con Intune. Que use datos móviles o una WiFi sin portal.
- ¿Puede el usuario inscribirse? Que tenga licencia de Intune, que no supere el límite de dispositivos por usuario y que las restricciones de inscripción permitan la plataforma y la propiedad corporativa.
- En Android, lo mismo con otros nombres: el equipo registrado en zero-touch o Knox, el token del perfil no revocado ni caducado y, si se usa QR, un móvil restablecido de fábrica (no se puede inscribir como totalmente gestionado un móvil ya configurado).
Para ver qué está pasando en Intune:
Connect-MgGraph -Scopes DeviceManagementManagedDevices.Read.AllGet-MgDeviceManagementManagedDevice -Filter "serialNumber eq 'F2LXK9Q1N7'" | Select-Object DeviceName, ComplianceState, EnrolledDateTime, LastSyncDateTimeDeviceName ComplianceState EnrolledDateTime LastSyncDateTime---------- --------------- ---------------- ----------------iPhone-P09-0117 compliant 28/10/2026 08:36:50 28/10/2026 08:41:12Si aparece y es conforme, la inscripción terminó y el problema es de apps o configuración. Si no aparece, la inscripción no llegó a completarse y sigues en los pasos anteriores.
6. Pérdida, robo y bajas
| Situación | Acción en Intune | Además |
|---|---|---|
| Perdido, quizá aparece | Bloqueo remoto; en iPhone supervisado, modo perdido con un mensaje y localización | Avisar al operador si no aparece en 24 horas |
| Robado | Borrar | Bloqueo de la SIM e IMEI con el operador, denuncia según el país |
| Baja de la persona | Retirar la licencia, borrar y reasignar el equipo | Recuperar el móvil y la SIM en la planta |
| Cambio de puesto | Cambiar el usuario principal o reinscribir | Revisar el perfil de apps |
Antes de reutilizar un iPhone, comprueba el bloqueo de activación: en un equipo supervisado Intune puede guardar el código para saltarlo. En Android, la protección de restablecimiento de fábrica corporativa debe estar configurada con una cuenta de la empresa, no con la del usuario que se fue.
7. Lo que revisas cada mes
- Móviles sin sincronizar en más de 30 días: perdidos, en un cajón o de alguien que ya no está.
- Móviles no conformes por país y su causa.
- Fecha de caducidad del token ADE, del certificado push de Apple y del enlace con Managed Google Play.
- Líneas facturadas por cada operador frente al inventario: una SIM sin móvil asignado es un gasto o un riesgo.
Siguientes pasos
- La guía de Intune del Nivel 3 detalla perfiles, cumplimiento y asignación de apps.
- Las guías de iPhone y iPad y de Android del Nivel 1 cubren el soporte al usuario en el día a día.
- La guía de Entra ID: Conditional Access explica cómo exigir dispositivo conforme para el correo y el ERP.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A plant manager in another country takes the phone out of the box, switches it on, signs in with their account and has email, Teams, the maintenance work order app and the VPN without anyone from IT touching it. In an industrial company with spread-out sites, phones are bought in each country, arrive through the local carrier and the user is on the shop floor or on the road: enrolment has to be automatic and support remote.
Before you start
- Intune with the MDM authority set and the tenant linked to Managed Google Play.
- Apple Business Manager (now Apple Business) with the automated device enrolment (ADE) token uploaded to Intune, and the organisation's Apple ID that renews it every year documented.
- Each country's suppliers: the reseller or carrier must assign devices to your account (Apple Customer Number, zero-touch reseller or Knox Mobile Enrollment). If not, the phone arrives like one from a shop.
- A policy of which apps each profile gets: management, sales staff, shift supervisors and shared warehouse devices don't need the same.
1. Device profiles
| Who | Ownership | Enrolment | Why |
|---|---|---|---|
| Plant managers, management | Company | Android Enterprise fully managed or iPhone with supervised ADE | The whole device is the company's; full wipe and lock |
| Travelling sales staff | Company | Same, with more customer apps | A lot of time off the network and in other countries |
| Personal phone with email | User | No enrolment, app protection only | The phone isn't managed, only company data |
| Shared warehouse handheld | Company | Android Enterprise dedicated | One app in kiosk mode, no user |
Each profile gets a device group (by enrolment profile name or by a filter) to assign apps, configuration and compliance without manual lists.
2. Automatic enrolment: Android and iPhone
Android Enterprise fully managed: in Intune, Devices › Enrollment › Android › Enrollment Profiles › Corporate-owned, fully managed user devices. The profile generates a token and a QR code. The phone, fresh out of the box or reset, enrols:
- With zero-touch or Knox Mobile Enrollment if the supplier registered it: once it reaches the internet, the phone enrols by itself.
- If not, with the QR code: tap the welcome screen six times in a row, scan the code and follow the wizard.
- The user signs in with their corporate account; Intune installs Authenticator, Company Portal and the assigned apps.
iPhone with ADE: the device appears in Apple Business Manager assigned to the Intune MDM server, and in Intune it gets the enrolment profile (supervised, with user affinity and modern authentication in Setup Assistant). When switched on, the iPhone shows the Remote Management screen and enrols before reaching the home screen.
An iPhone bought in a shop or from a carrier not linked to your account can be added to Apple Business Manager with Apple Configurator on another iPhone; then it has to be erased and the wizard started again.
3. App protection and compliance
- App protection (Apps › Protection): app PIN, blocking copying data from Outlook and Teams into personal apps, encryption of company data and selective wipe. It's the only thing applied to personal phones and a second layer on corporate ones.
- Compliance: minimum OS version, screen lock, no root or jailbreak and, on Android, the Google Play integrity check. A non-compliant phone is flagged and, after a grace period, loses access.
- Conditional Access requires a compliant device or a protected app for email and the mobile ERP. Without it, the compliance policy only reports.
- OS updates with a deadline, not instantly: the plant has supplier apps (maintenance, quality) that are tested first.
4. SIMs, carriers and countries
- One contract per country with the local carrier, or a global one with roaming. The usual mix is local for people who don't leave the country and a tariff with roaming included for sales staff and management.
- eSIM: more and more carriers offer it; the activation QR code is handed to the user over a secure channel, once. If the phone is wiped, in many cases you have to request a new one.
- PIN and PUK for physical SIMs go in the inventory tool, not in an envelope in the plant's drawer.
- The inventory links IMEI, serial number, phone number, user and country. When the carrier bills a line, you need to know whose it is.
5. The ticket: "the new phone doesn't enrol, it's stuck on setup"
Tuesday, plant 9. The new maintenance manager received an iPhone from the local carrier and is stuck in the wizard: the remote management screen doesn't appear, or it appears and fails.
- Is the device in Apple Business Manager? Search for the serial number. If it isn't there, the carrier didn't link it to your account: either ask them to, with the order number, or add it with Apple Configurator.
- Does it have a profile in Intune? If it's in the token but with no profile assigned, assign it and click Sync. If the iPhone was activated before it had a profile, it won't pick it up: erase it (Settings › General › Transfer or Reset iPhone › Erase All Content and Settings) and start again.
- Can it reach the internet? This is the typical case at a plant: the user joins the guest Wi-Fi, which has a captive portal, and the wizard can't talk to Apple or Intune. Have them use mobile data or a Wi-Fi network with no portal.
- Can the user enrol? They need an Intune licence, must not exceed the device limit per user, and enrolment restrictions must allow the platform and corporate ownership.
- On Android, the same with other names: the device registered in zero-touch or Knox, the profile token neither revoked nor expired and, if using QR, a factory-reset phone (a phone already set up can't be enrolled as fully managed).
To see what's happening in Intune:
Connect-MgGraph -Scopes DeviceManagementManagedDevices.Read.AllGet-MgDeviceManagementManagedDevice -Filter "serialNumber eq 'F2LXK9Q1N7'" | Select-Object DeviceName, ComplianceState, EnrolledDateTime, LastSyncDateTimeDeviceName ComplianceState EnrolledDateTime LastSyncDateTime---------- --------------- ---------------- ----------------iPhone-P09-0117 compliant 28/10/2026 08:36:50 28/10/2026 08:41:12If it appears and is compliant, enrolment finished and the problem is apps or configuration. If it doesn't appear, enrolment never completed and you're back at the earlier steps.
6. Loss, theft and leavers
| Situation | Action in Intune | Also |
|---|---|---|
| Lost, may turn up | Remote lock; on a supervised iPhone, lost mode with a message and location | Tell the carrier if it hasn't turned up in 24 hours |
| Stolen | Wipe | Block the SIM and IMEI with the carrier, report to the police as the country requires |
| Leaver | Remove the licence, wipe and reassign the device | Recover the phone and SIM at the plant |
| Change of role | Change the primary user or re-enrol | Review the app profile |
Before reusing an iPhone, check Activation Lock: on a supervised device Intune can store the bypass code. On Android, corporate factory reset protection must be set with a company account, not the account of the user who left.
7. What you review each month
- Phones not synced in over 30 days: lost, in a drawer or belonging to someone who has left.
- Non-compliant phones by country and their cause.
- Expiry dates of the ADE token, the Apple push certificate and the Managed Google Play link.
- Lines billed by each carrier against the inventory: a SIM with no phone assigned is either a cost or a risk.
Next steps
- The Level 3 Intune guide details profiles, compliance and app assignment.
- The Level 1 iPhone and iPad and Android guides cover day-to-day user support.
- The Entra ID: Conditional Access guide explains how to require a compliant device for email and the ERP.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →