Удалённая настройка корпоративных ноутбуков: просто, быстро, безопасно

Яндекс растёт и открывает новые офисы, география сотрудников постоянно расширяется. Некоторые работают из стран, где нет представительств компании. Настраивать корпоративные ноутбуки в таких условиях сложно. Особенно трудно со странами, где пинг до внутренних серверов через корпоративный VPN превышает три секунды. Ручная настройка одного компьютера может занимать до пяти часов.

Цель проекта — найти решение на смену ручной настройки. Масштабируемое, быстрое, учитывающее особенности интернета в разных странах, отсутствие корпоративной инфраструктуры и разницу в часовых поясах.

Изначально перед нами было два пути: воспользоваться готовыми решениями или разработать собственную систему. Первый вариант мы отмели, потому что продукты Apple и Microsoft — облачные и не позволяют присоединяться к нашему локальному домену. К тому же эти сервисы в итоге перестали работать в России. Так команда пришла к разработке собственного решения.

2025

Мы добились, чтобы в условиях, когда сотрудники компании работают в разных странах, все могли быстро получить готовый к работе компьютер. Для этого мы:

• выстроили процесс автоматического создания пакетов настройки;

• обеспечили подключение к корпоративному VPN на Windows и macOS;

• создали сервис, с помощью которого любой сотрудник может получить пакет настройки ноутбука, просто введя серийный номер своего устройства.

Совсем нагрузку с сотрудников поддержки не сняли — они одобряют заявки на настройку. Однако принятые меры разгрузили саппорт и в разы ускорили процесс подготовки компьютеров к работе. Команда прошла долгий путь от ручной установки образов систем к автоматизированной настройке, удобной для пользователей.

Текущее количество удаленных настроек: 50+ в месяц

Экономия рабочего времени: от 3 до 8 часов

Самоокупаемость решения (с учетом затрат на разработку) - 1 год при объемах 30+ настроек в месяц

Система наливки Corp IT Yandex

В проекте не используются решения из каталога Global CIO

Система взаимодействует со множеством сервисов внутри Яндекса и должна соответствовать жёстким критериям нашей внутренней безопасности. А где безопасность, там, как правило, возникают сложности в реализации всех её требований. И наш проект не был исключением.

Другая важная деталь: наш пользователь получает по клику простое и удобное решение, которое изнутри устроено сложно, причем многие функции и технологии разработчики использовали в этом сервисе впервые. Приходилось учиться прямо в процессе работы.

Примеры: межсервисная авторизация, хранение кэшированных данных в s3 и контроль версий кэшированных данных. Проблемой была даже передача пакета для настройки техники наружу через интернет, ведь мы не можем хранить такие ссылки на портале из соображений безопасности. Это значит, что наш сервис должен был "на лету" передавать человеку ссылку на скачивание пакета.

В современном мире в большинстве случаев основным рабочим местом является компьютер. А для того, чтобы этот инструмент работал, как надо, его нужно настроить — в соответствии с нуждами компании и требованиями безопасности.

Раньше этот процесс был исключительно локальным: настройка или — как её ещё называют, наливка — осуществлялась только в офисах по локальной сети. Но сегодня мы можем настраивать ноутбуки и удалённо.

Когда-то давно настройка ноутбука была прямолинейной, но не гибкой. Мы брали компьютер, вручную устанавливали на него ОС, необходимые драйвера и софт, а потом снимали образ системы и раскатывали его на остальные ноутбуки той же модели. Следовательно, приходилось хранить образы для каждой модели устройства, которое использовали в компании.

Мы разработали систему, которая автоматически выбирала воркфлоу при указании операционная системы, серийного номера ноутбука и логин сотрудника. Такой подход работал быстро и без сбоев в локальной сети благодаря доступу к корпоративным ресурсам и сервисам.

С увеличением количество международных офисов, где зачастую не было не только корпоративной сети и сотрудника технической поддержки, но и стабильного интернета, чтобы сделать процесс простым для пользователя и абсолютно безопасным, команда проекта разработала систему удалённой настройки ноутбуков.

Сейчас сотруднику компании достаточно ввести серийный номер устройства на специальной странице, подождать пару минут, пока создастся пакет настройки, скачать его и запустить. Все заявки отправляются в специальную систему, где можно посмотреть дату отправки, владельца компьютера и другую полезную информацию, которую можно использовать для аналитики. Как именно это происходит?

1. Есть набор скриптов, которые обеспечивают установку необходимого ПО и соединения с доменом. (802.1x, ipv6)

2. Пакет для настройки компьютера создается индивидуально для конкретного ноутбука конкретного пользователя.

3. Пользователь скачивает пакет на корпоративном портале Helpy (призёр Global CIO).

4. Пользователь запускает пакет настройки и через 15 минут получает полностью настроенный и готовый к работе корпоративный ноутбук.

Весь мир, включает любую точку присутствия сотрудников Яндекса (Африка, Ближний Восток, Латинская Америка, Россия, СНГ, etc)