MDM для 200 смартфонов: MobileIron, AirWatch или SCCM 2012 - как мы выбирали

Пару месяцев назад мы писали про BYOD-регламент и первый опыт с MDM у небольших клиентов. С тех пор задача выросла: появился клиент с парком около двухсот смартфонов, пополам iOS и Android, и с конкретным техническим требованием - не просто «что-то поставить», а remote wipe, certificate enrollment для Wi-Fi и VPN-профили с автоматической доставкой. Это уже не эксперимент, это инфраструктурный проект.

Мы потратили несколько недель на сравнение трёх платформ, которые сейчас чаще всего фигурируют в тендерах: MobileIron, AirWatch и SCCM 2012 с ConfigMgr MDM-коннектором. Записываем наблюдения, пока они свежие.

Что нам реально нужно было

Прежде чем смотреть на продукты, зафиксировали список требований - иначе можно бесконечно сравнивать фичи, которые никогда не понадобятся.

Обязательное:

• Remote wipe - полный и selective (только корпоративный контейнер, личные данные не трогаем)
• Certificate enrollment через SCEP - чтобы не раздавать Wi-Fi пароли вручную, а устройства получали клиентский сертификат автоматически
• VPN-профили с автодоставкой - клиент использует Cisco AnyConnect, нужна раздача конфига без участия пользователя
• Интеграция с Active Directory - группы в AD определяют, какой набор политик получает устройство
• Поддержка iOS 5/6 и Android 2.3 и выше

Желательное:

• Портал самообслуживания - пользователь сам регистрирует устройство без звонка в helpdesk
• Инвентаризация приложений - хотя бы видеть, что установлено
• Работа без публичного облака - клиент настаивает на on-premise из соображений параноидальной, но понятной безопасности

MobileIron

Зрелый продукт, on-premise вариант называется MobileIron VSP (Virtual Smartphone Platform). Поддержка SCEP реализована нормально - интеграция с Microsoft CA через NDES (Network Device Enrollment Service) заработала с третьего раза, не с первого, но заработала. VPN-профили для AnyConnect доставляются штатно.

Слабое место, которое нас задело: Android-поддержка явно догоняет iOS. На нескольких тестовых Samsung с TouchWiz политики применялись частично - selective wipe работал, но инвентаризация приложений давала пустой список на Android 2.3. На iOS всё чище.

Цена лицензии за устройство выглядит разумно для крупного парка, но стоимость поддержки и обновлений оказалась неприятным сюрпризом при детальном изучении прайса.

AirWatch

С AirWatch мы уже имели дело в небольших проектах. Здесь тот же on-premise вариант - AirWatch Console разворачивается на Windows Server. Интерфейс гуще MobileIron, порог вхождения чуть выше, но функционально шире.

SCEP через NDES - аналогично, работает. Certificate enrollment на iOS - без нареканий. VPN-профили для AnyConnect доставляются через payload, всё стандартно.

Android здесь тоже не идеален, но на Samsung Galaxy S III и Galaxy S II (а это большая часть парка у клиента) приложение AirWatch MDM Agent вело себя лучше MobileIron - все политики применились с первой попытки.

Портал самообслуживания у AirWatch - реальная экономия для helpdesk. Пользователь сам проходит enrollment по ссылке, сканирует QR-код, получает профиль. Мы прогнали тест с пятью добровольцами из числа сотрудников клиента: трое справились самостоятельно, двое позвонили. Это уже неплохой результат.

SCCM 2012 с MDM-коннектором

Microsoft в SCCM 2012 добавила нативный MDM-коннектор через Exchange ActiveSync. Технически это не полноценный MDM, а управление через EAS-политики - их набор значительно скромнее. Remote wipe есть, принудительный PIN есть, шифрование устройства есть. SCEP через NDES - формально поддерживается в связке с Configuration Manager, но настройка оказалась заметно сложнее, чем у MobileIron или AirWatch.

Главное ограничение: certificate enrollment работает только для устройств, которые находятся в домене, - то есть корпоративные Windows Phone и Windows 8 RT получат всё автоматически, а iOS и Android пойдут по упрощённой схеме через EAS. VPN-профили для Cisco AnyConnect через SCCM не доставляются - это надо делать отдельными скриптами или вручную.

Для нашей задачи SCCM 2012 не подошёл: слишком много дыр именно там, где нужна была полнота решения. Если бы клиент работал только на Windows Phone - разговор был бы другим.

Что выбрали и почему

Остановились на AirWatch. Решение не однозначное - MobileIron в ряде сценариев смотрится увереннее, - но в данном случае сыграли несколько факторов.

Первое - Android-поддержка. Половина парка - Android, и качество работы агента на реальных устройствах клиента оказалось у AirWatch лучше.

Второе - интеграция с AD. AirWatch нормально читает группы безопасности из Active Directory и на их основе применяет политики. Это критично: у клиента несколько отделов с разным уровнем доступа, и раздавать им одинаковый набор профилей мы не хотели. Как раз аудит прав в AD мы у этого клиента делали раньше - структура групп была уже выверена, и MDM просто на неё опёрся.

Третье - enrollment без helpdesk. Двести устройств вручную - это не вариант. Портал самообслуживания AirWatch позволяет снять значительную часть нагрузки.

Развёртывание закончили на прошлой неделе. Certificate enrollment через NDES работает, VPN-профили доехали до устройств, remote wipe проверили на тестовом телефоне - корпоративный контейнер стёрся, личные фото остались. В рамках управляемой поддержки будем вести платформу дальше: добавить мониторинг compliance и доработать процедуру offboarding при увольнении сотрудника.

Один момент, который стоит учесть тем, кто только начинает такой проект: MDM - это не кнопка «защитить все телефоны». Это набор профилей, политик и процедур, который требует поддержки. Если через месяц после развёртывания никто не смотрит в консоль - считайте, что MDM нет.