Samsung Knox Enrollment : une couche de sécurité supplémentaire pour vos flottes Samsung
Dans le contexte de l’enrôlement, Samsung propose deux outils complémentaires qu’il est important de bien distinguer : Knox Mobile Enrollment (KME) et Knox Enrollment Service (KES), tous deux accessibles via la Knox Suite et la console d’administration Samsung Knox. Comprendre leur périmètre respectif est essentiel pour choisir la bonne configuration.
Knox Mobile Enrollment et Knox Enrollment Service : quelle différence ?
C’est l’une des questions les plus fréquentes des gestionnaires de flotte qui abordent l’écosystème Knox pour la première fois.
Knox Mobile Enrollment (KME)
KME est le programme d’enrôlement automatisé historique de Samsung. Il permet d’associer des terminaux Samsung à un MDM d’entreprise dès le premier allumage, sans intervention de l’utilisateur. Son fonctionnement est proche de celui d’Apple Business ou d’Android Zero-Touch : les terminaux sont associés au compte Knox de l’entreprise via un revendeur certifié, et se configurent automatiquement à la mise en service.
KME présente une particularité notable par rapport aux autres programmes : il est compatible avec des terminaux achetés dans n’importe quel canal de distribution – pas uniquement via un revendeur certifié. Samsung propose en effet une procédure d’enrôlement via un code QR ou un fichier de configuration, qui permet d’intégrer des terminaux à KME même s’ils n’ont pas été commandés via un revendeur Knox. Cette flexibilité est appréciée des organisations qui ont des historiques d’achat variés.
Knox Enrollment Service (KES)
KES est une évolution plus récente, intégrée à la Knox Suite. Il étend les capacités d’enrôlement en offrant une intégration plus poussée avec l’écosystème Knox – notamment avec Knox Manage (le MDM propriétaire Samsung) et Knox Platform for Enterprise (KPE), qui donne accès aux fonctionnalités de sécurité avancées de la puce Knox.
Pour la majorité des déploiements en entreprise, KME reste la solution d’enrôlement de référence. KES prend tout son sens dans les environnements qui exploitent pleinement la Knox Suite et ses fonctionnalités avancées.
La plateforme Knox : bien plus qu'un programme d'enrôlement
Knox est souvent présenté comme un programme d’enrôlement, mais c’est en réalité une plateforme de sécurité complète, dont l’enrôlement n’est qu’une brique parmi d’autres.
Knox Security Platform – la fondation matérielle
Au cœur de Knox se trouve une architecture de sécurité implémentée au niveau du matériel et du firmware, présente sur les terminaux Samsung depuis leur fabrication. Elle inclut notamment :
- Un environnement d’exécution sécurisé isolé du reste du système (Trusted Execution Environment)
- Un mécanisme de détection des modifications non autorisées du firmware (Knox Warranty Bit) – si un terminal est rooté ou modifié, ce bit est activé de façon irréversible, ce qui peut déclencher des actions de gestion dans le MDM
- Un conteneur sécurisé pour les applications et données d’entreprise, isolé des applications personnelles
Knox Suite – les services de gestion
Au-dessus de cette fondation matérielle, Samsung propose une suite de services de gestion : Knox Manage (MDM), Knox E-FOTA (gestion des mises à jour firmware), Knox Asset Intelligence (supervision du parc), et Knox Platform for Enterprise (accès aux API de sécurité avancées).
Samsung Knox Mobile Enrollment (KME)
Deux voies d’enrollment selon le canal d’achat.
Voie A - Via réseller certifié
Recommandé pour grands volumes
Commande
Orange Business réseller Knox
Association KME
IMEI → compte Knox client
Voie B - Via QR Code / Fichier Config
Tout canal d’achat – faibles volumes
Achat libre
Tout canal de distribution
Config manuelle
QR code ou fichier KME importé
Phase finale - Premier allumage (automatique)
Allumage
Connexion internet indispensable
Serveurs Samsung
Config KME détectée
MDM Compatible
Profil Knox poussé
Terminal prêt
Knox actif dès le premier allumage
Knox Security Platform - présente sur tous les terminaux Samsung certifiés
Sécurité
Matérielle (puce)
Warranty
Détection modif.
Conteneur
Apps sécurisés
API KPE avancées
Knox Platform for Ent.
Fonctionnalités présentes dès la fabrication – indépendamment du programme d’enrollment
KME est gratuit – les licences Knox Suite (Knox Manage, E-FOTA, Asset Intelligence) sont optionnelles selon les besoins.
Ce que Knox apporte en plus d'Android Zero-Touch
Android Zero-Touch vs Zero-Touch + Knox
Ce que Samsung Knox ajoute pour les terminaux Samsung
Fonctionnalité
Zero-Touch seul
Android Enterprise
Zero-Touch + Knox
Samsung Knox Platform
Enrollment automatisé
Gestion MDM standard
Sécurité matérielle (puce Knox)
Knox
Détection modification firmware
Warranty Bit
Conteneur sécurisé applicatif
Knox Container
Gestion mises à jour firmware
Knox E-FOTA
API de sécurité avancées (KPE)
Knox Platform Ent.
Compatible MDM tiers
si certifié Knox par Samsung
Knox est présent dès la fabrication – les deux programmes coexistent sur les terminaux Samsung.
Les prérequis à anticiper
Du côté des terminaux :
- Les terminaux doivent être des appareils Samsung compatibles Knox (la quasi-totalité de la gamme professionnelle Samsung l’est)
- Pour KME via revendeur : les terminaux doivent être achetés auprès d’un revendeur Knox certifié
- Pour KME via QR code ou fichier de configuration : les terminaux peuvent provenir de n’importe quel canal, mais la procédure est plus manuelle
Du côté de l'infrastructure :
- Un MDM compatible Knox est requis pour exploiter les fonctionnalités avancées de la plateforme – tous les MDM ne sont pas certifiés Knox au même niveau
- Les URL Samsung Knox doivent être accessibles depuis le réseau de l’entreprise au premier allumage
Du côté de l'administration :
- Un compte Samsung Knox doit être créé et validé
- La Knox Suite implique une licence par terminal pour les services avancés (Knox Manage, E-FOTA, Asset Intelligence) – KME seul est gratuit
Cas d'usage – Knox en contexte d'entreprise
Secteur santé
Des tablettes Samsung déployées dans des établissements de soins, verrouillées sur les applications médicales autorisées, avec un cloisonnement strict entre les données patients et tout autre usage. La sécurité matérielle Knox répond aux exigences de conformité des environnements de santé réglementés.
Secteur financier
Des smartphones Samsung déployés pour des conseillers en agence, avec un conteneur Knox séparant strictement les applications bancaires des applications personnelles, et une détection automatique de toute tentative de modification du terminal.
Industrie et terrain
Des terminaux durcis Samsung (gamme Galaxy XCover) déployés en mode dedicated device, verrouillés sur l’application métier, avec une gestion centralisée des mises à jour firmware via Knox E-FOTA – pour éviter les mises à jour sauvages qui pourraient perturber les workflows terrain.
Mode kiosque
Des tablettes Samsung en libre-service dans des espaces publics ou des showrooms, verrouillées sur une seule application, avec une interface utilisateur épurée et une gestion à distance via Knox Manage.
Questions fréquentes
KME est-il compatible avec mon MDM actuel ?
KME est compatible avec la majorité des MDM professionnels du marché – Microsoft Intune, VMware Workspace ONE, IBM MaaS360, SOTI MobiControl, entre autres. En revanche, l’accès aux fonctionnalités avancées de Knox Platform for Enterprise (KPE) nécessite que le MDM soit certifié Knox par Samsung. Il est recommandé de vérifier le niveau de certification de votre MDM avant de planifier un déploiement Knox avancé.
Peut-on utiliser KME sans passer par un revendeur certifié ?
Les clients impactés seront informés très en amont pour leur laisser le temps nécessaire de changer leurs équipements. C’est pourquoi le calendrier est étalé dans le temps. Orange contactera ses clients pour les informer et les accompagner au mieux en fonction de leurs usages.
Knox est-il présent sur tous les terminaux Samsung ?
La plateforme de sécurité Knox est intégrée à la quasi-totalité des terminaux Samsung professionnels depuis plusieurs années. En revanche, l’accès aux services avancés de la Knox Suite (Knox Manage, E-FOTA, KPE) nécessite des licences spécifiques. KME, lui, est gratuit et disponible sans licence additionnelle.
Que se passe-t-il si un terminal Samsung enrollé via KME est réinitialisé ?
Comme pour les autres programmes d’enrôlement, une réinitialisation en usine ne supprime pas le profil KME sur un terminal en mode fully managed. Au prochain allumage, le terminal relance le processus d’enrôlement automatiquement.
Knox est-il uniquement adapté aux grandes entreprises ?
Non. KME est gratuit et accessible aux organisations de toutes tailles. Les fonctionnalités avancées de la Knox Suite sont davantage dimensionnées pour des flottes importantes ou des exigences de sécurité élevées, mais l’enrôlement automatisé via KME est pertinent dès lors qu’une flotte Samsung dépasse quelques dizaines de terminaux.
Orange Business est revendeur autorisé Android Zero-Touch. L’association de vos terminaux Android à votre compte Zero-Touch est effectuée au moment de la commande, sans étape supplémentaire de votre côté.
Nos équipes accompagnent la configuration du portail Zero-Touch, le choix des terminaux certifiés adaptés à vos usages, et l’intégration avec votre MDM – que vous déployiez quelques dizaines ou plusieurs milliers de terminaux.