Cześć! Dziś bierzemy na warsztat temat, który już ma długą brodę, ale w mojej opinii nadal warto się nad nim pochylić. To temat, który od stycznia 2025 spędza sen z powiek każdemu, kto próbuje kupić licencję Samsung Knox. Samsung postanowił bowiem przebudować Knox Suite z jednego, monolitycznego pakietu w trzy (a na niektórych rynkach cztery) oddzielne plany: Base, Essentials i Enterprise, z opcjonalnym Companion Plan dla firm z własnym UEM.

Brzmi jak porządkowanie oferty? Pewnie tak to wyglądało na prezentacji w Seulu. Z perspektywy admina, który musi dobór licencji uzasadnić w budżecie IT rodzi głównie pytania. Który plan wystarczy dla 50-osobowej firmy handlowej? Co daje Enterprise ponad Essentials? Czy Companion ma sens, jeśli już płacę za Intune? I wreszcie — ile to kosztuje na polskim rynku?

Rozkładam każdy plan na czynniki pierwsze, porównuję je według tych samych kryteriów i podaję konkretne rekomendacje dla różnych typów organizacji. Wszystko oparte na oficjalnej dokumentacji Samsung, komunikatach prasowych i moim doświadczeniu z wdrożeń u klientów w Polsce.

No to lecimy!

Skąd ta zmiana, czyli „jeden rozmiar dla wszystkich” już nie działa

Do końca 2024 roku Knox Suite był jednym produktem. Kupowałeś licencję Knox Suite i dostawałeś pełen pakiet: KPE, KME, Knox Manage, Knox E-FOTA, Knox Asset Intelligence, Knox Capture i Knox Configure. Dla firmy z 500 urządzeniami i dedykowanym działem IT to było sensowne. Dla firmy z 30 telefonami, która potrzebowała tylko enrollment i podstawowe zarządzanie? To jak kupowanie kombajnu, żeby skosić mały trawniczek.

Samsung ogłosił zmianę 10 stycznia 2025 w ramach Samsung Global Newsroom. Oficjalne uzasadnienie brzmiało pięknie: „cater to the diverse security and device management needs of businesses of all sizes.” W praktyce Samsung zaobserwował to samo, co ja widzę u swoich klientów — większość firm z flotami poniżej 200 urządzeń nie używała połowy komponentów starego Knox Suite, ale płaciła za całość.

I tu pojawia się drobny zgrzyt w komunikacji. Na rynku amerykańskim Samsung oferuje cztery plany (Base, Companion, Essentials, Enterprise). Na rynkach międzynarodowych — w tym w Polsce — oficjalna komunikacja mówi o trzech (Base, Essentials, Enterprise). Companion Plan jest wariacją Enterprise bez Knox Manage, przeznaczoną dla firm z własnym UEM. Omówię go osobno, bo to bardzo istotna opcja dla polskiego rynku, gdzie dominują Intune, Essentials MDM, Proget MDM czy Workspace ONE.

Co siedzi w środku — krótki przewodnik po komponentach

Zanim porównam plany, muszę wyjaśnić co robią poszczególne komponenty. Nazewnictwo Samsunga potrafi przyprawić o ból głowy, bo niektóre produkty mają nakładające się funkcje, a granice między nimi nie zawsze są oczywiste.

Knox Platform for Enterprise (KPE) — silnik pod maską

Warstwa bezpieczeństwa działająca na poziomie urządzenia. KPE nie ma własnej konsoli administracyjnej — to zestaw API i polityk, które są egzekwowane przez Wasz system MDM/UEM (Knox Manage, Intune, Essentials MDM lub inny). KPE daje dostęp do zaawansowanych funkcji Samsunga nieosiągalnych przez standardowe Android Enterprise API: kontrola Galaxy AI, DualDAR, Knox Vault integration, zaawansowane polityki sieciowe, konfiguracja DeX i wiele innych.

Od lipca 2021 licencja KPE Premium jest darmowa. To znacząca decyzja Samsunga, która usunęła barierę kosztową dostępu do zaawansowanych polityk bezpieczeństwa. Wyjątek stanowią DualDAR i Universal Credential Management (UCM) — te nadal wymagają oddzielnych, płatnych licencji.

KPE działa przez Knox Service Plugin (KSP) — aplikację OEMConfig, która jest mechanizmem dostarczania polityk KPE na urządzenie. KSP jest dostępny w Google Play i działa z każdym UEM obsługującym OEMConfig. To oznacza, że nawet firmy korzystające z Intune mogą stosować pełen zakres polityk KPE bez Knox Manage.

Knox Mobile Enrollment (KME) — odpowiednik ABM dla Samsunga

Odpowiednik Apple Business Manager (ABM) dla ekosystemu Samsung. KME pozwala automatycznie rejestrować urządzenia w systemie MDM/UEM zaraz po pierwszym uruchomieniu, bez ręcznej konfiguracji. Administrator dodaje urządzenia do portalu KME (ręcznie, przez upload CSV lub automatycznie przez resellera), przypisuje je do serwera MDM, i każde urządzenie po włączeniu automatycznie się rejestruje i otrzymuje polityki.

KME działa z każdym kompatybilnym UEM — nie tylko z Knox Manage. Lista obsługiwanych systemów obejmuje między innymi Essentials MDM, Proget MDM, Intune, Workspace ONE, MobileIron, SOTI i inne. To ważne, bo KME jest częścią darmowego planu Base i można go używać z dowolnym UEM bez dodatkowych kosztów.

Knox Manage — Samsungowy MDM

Własny system EMM/UEM od Samsunga. Knox Manage to pełnoprawna konsola do zarządzania urządzeniami — rejestracja, profile, polityki, aplikacje, geolokalizacja, tryb kiosku, zdalne czyszczenie, raporty. Knox Manage obsługuje nie tylko Androida/Samsung, ale również iOS, Windows, macOS, Chrome OS i Wear OS (o czym pisałem w osobnym artykule). Jest zwalidowany przez Google jako Android Enterprise Recommended i Chrome Enterprise Recommended.

Knox Manage to jedyny komponent Knox Suite, który jest pełnym systemem zarządzania urządzeniami. Pozostałe komponenty (KPE, KME, E-FOTA, Asset Intelligence, Capture, Authentication Manager) to narzędzia specjalistyczne, które uzupełniają funkcjonalność UEM — czy to Knox Manage, czy zewnętrznego systemu.

Knox Remote Support — zdalna pomoc bez „proszę kliknąć w trzecią ikonkę od lewej”

Narzędzie do zdalnego podglądu i kontroli ekranu urządzenia. Administrator może zobaczyć ekran urządzenia użytkownika i sterować nim zdalnie. Szczególnie użyteczne w środowiskach frontline, gdzie użytkownicy nie są techniczni i nie potrafią sami wykonać instrukcji helpdesku. Z mojego doświadczenia — zmienia 20-minutową rozmowę telefoniczną pełną „a teraz proszę zjechać palcem w dół, nie, nie tam, wyżej…” w 3-minutową interwencję.

Knox E-FOTA — kontrola firmware, której brak boli dopiero po fakcie

Enterprise Firmware Over-The-Air. Pozwala administratorowi kontrolować wersję firmware (systemu operacyjnego) na urządzeniach. Można wymusić konkretną wersję, zablokować aktualizacje, zaplanować rollout na określony termin, przetestować nowy firmware przed wdrożeniem na całą flotę. Bez E-FOTA administrator nie ma żadnej kontroli nad tym, kiedy i jaka aktualizacja trafia na urządzenia — Samsung pushuje OTA wedle własnego harmonogramu.

Moja rada: E-FOTA to jeden z najbardziej niedocenianych komponentów Knox Suite. Firmy, które go nie używają, odkrywają jego wartość dopiero po tym, jak automatyczna aktualizacja Androida zepsuje kompatybilność z krytyczną aplikacją biznesową na 300 urządzeniach naraz. Kiedyś widziałem sytuację, gdzie aktualizacja Androida 14 zepsuła integrację ze skanerem Zebra u klienta logistycznego. Gdyby mieli E-FOTA, po prostu wstrzymaliby update do czasu łatki. Zamiast tego mieli tydzień przestoju.

Knox Asset Intelligence — wiedzieć zanim użytkownik zadzwoni

Platforma analityczna w chmurze, która zbiera dane o użytkowaniu urządzeń: stan baterii, zużycie danych, użycie aplikacji, kondycja sieci, anomalie bezpieczeństwa. Dane prezentowane są w formie dashboardów i raportów. Samsung rozwija też integrację Knox Asset Intelligence z Microsoft Sentinel (SIEM), co pozwala korelować dane z urządzeń mobilnych z szerszym kontekstem bezpieczeństwa organizacji.

Knox Capture — skaner kodów bez skanera

Zamienia aparat Samsung Galaxy w skaner kodów kreskowych klasy enterprise. Obsługuje formaty 1D i 2D, integruje się z aplikacjami biznesowymi przez intenty Android i eliminuje potrzebę zakupu dedykowanych skanerów. Niszowy komponent, ale w logistyce, magazynach i handlu detalicznym potrafi zaoszczędzić setki złotych na urządzenie.

Knox Authentication Manager — jedno urządzenie, wielu użytkowników

Automatyzuje logowanie na urządzeniach współdzielonych przez wielu użytkowników (shared devices). Wykorzystuje rozpoznawanie twarzy do identyfikacji użytkownika i automatycznego logowania do aplikacji. Przydatny w środowiskach zmianowych — szpitale, fabryki, magazyny — gdzie jedno urządzenie przechodzi z rąk do rąk.

Wielka tabela — co jest w którym planie

Dobra, po tym wprowadzeniu czas na konkrety. Oto co dostajecie w poszczególnych planach:

Kluczowa różnica między Companion a Enterprise: Companion nie zawiera Knox Manage. Jest przeznaczony dla firm, które mają już własny UEM (Intune, Essentials MDM, Proget MDM itp.) i chcą dodać zaawansowane narzędzia Knox bez duplikowania systemu zarządzania. Enterprise zawiera Knox Manage i całą resztę.

Ile to kosztuje — i skąd wziąć ceny

I tu zaczyna się robić pod górkę. Samsung nie publikuje cennika Knox Suite na stronie internetowej. Oficjalne stanowisko brzmi: „Pricing depends on several factors, including the selected plan, your location, and number of licenses or products purchased. For details, we recommend contacting the Samsung Knox sales team or your local official reseller.”

W świecie, gdzie Microsoft publikuje ceny Intune co do centa, a Jamf ma transparentny pricing na stronie, Samsung nadal zmusza do kontaktu z resellerem. Rozumiem, że model dystrybucji jest inny (Samsung sprzedaje przez partnerów, nie bezpośrednio), ale brak choćby orientacyjnych widełek cenowych na stronie produktu utrudnia planowanie budżetu i porównywanie ofert.

Mogę podać orientacyjne ramy na podstawie publicznie dostępnych cenników MSRP (Samsung publikował je dla rynku amerykańskiego) i mojego doświadczenia z polskim rynkiem:

Ceny MSRP dla planów Essentials i Enterprise są szacunkami opartymi na historycznych cennikach Samsung (Knox Manage był wyceniany na ~24 USD/urz./rok w MSRP z 2020 roku, Knox Suite pełny — odpowiednio drożej). Samsung nie opublikował zaktualizowanego cennika MSRP po podziale na plany. Na polskim rynku ceny w PLN są ustalane przez autoryzowanych resellerów i mogą różnić się od MSRP.

BARDZO WAŻNE: Nie mam dostępu do aktualnego cennika Samsung Knox Suite na rynku polskim i nie chcę podawać konkretnych kwot w PLN, których nie mogę zweryfikować. Po aktualne ceny należy się zwrócić do polskich resellerów Samsung Knox — wśród nich jest między innymi operator Plus, który pełni rolę autoryzowanego partnera Samsung na polskim rynku.

Jest jeszcze jeden istotny wyjątek kosztowy: Galaxy Enterprise Edition. Samsung oferuje urządzenia w wariancie Enterprise Edition (np. Galaxy S25 Enterprise Edition, Galaxy A55 Enterprise Edition), które są identyczne pod względem sprzętowym z wersjami konsumenckimi, ale mają dołączoną roczną licencję Knox Suite Enterprise Plan bez dodatkowej opłaty. W UK Samsung precyzuje, że licencja Enterprise jest dołączana „at no additional cost when a one-, two-, or three-year Knox Suite license is purchased.” To efektywnie oznacza, że przy zakupie urządzeń Enterprise Edition koszt licencji Enterprise jest wliczony w cenę urządzenia.

Plan po planie — dla kogo, po co, kiedy

Base — fundament, z którego nie korzystacie (a powinniście!)

Plan Base jest darmowy i dołączony do każdego zakupionego urządzenia Galaxy. Obejmuje dwa komponenty: Knox Platform for Enterprise (KPE) i Knox Mobile Enrollment (KME). To brzmi skromnie, ale w praktyce daje zaskakująco dużo możliwości.

KME pozwala na automatyczną rejestrację urządzeń w dowolnym kompatybilnym UEM. Jeśli Wasza firma używa Intune, Workspace ONE, Proget MDM, TechStep Essentials MDM lub innego systemu, możecie użyć KME do zero-touch enrollment bez żadnych dodatkowych opłat. To odpowiednik Apple Business Manager, który Samsung daje za darmo.

KPE z darmową licencją Premium daje dostęp do ponad 300 zaawansowanych polityk przez Knox Service Plugin. To obejmuje kontrolę Galaxy AI, zaawansowane polityki sieciowe (firewall, VPN, Wi-Fi), konfigurację DeX, zarządzanie SIM/eSIM, DualDAR (płatny addon) i wiele innych. Te polityki działają przez OEMConfig w każdym UEM — nie potrzeba do tego Knox Manage.

Dla kogo: Każda firma używająca Samsungów do celów służbowych. Nie ma powodu, żeby nie korzystać z Base — jest darmowy i nie wymaga żadnych zobowiązań. Nawet jeśli firma ma 10 telefonów i zarządza nimi przez Intune, KME oszczędza czas przy każdym nowym urządzeniu, a KPE/KSP daje dostęp do polityk niedostępnych przez standardowe Android Enterprise.

Czego brakuje: Własnej konsoli MDM. Base nie zawiera Knox Manage, Remote Support ani żadnych narzędzi analitycznych. Jeśli firma nie ma jeszcze żadnego systemu MDM/UEM, plan Base sam w sobie nie wystarczy do zarządzania urządzeniami — jest tylko „warstwą zero”, która wymaga UEM nad sobą.

Essentials — pełny MDM dla MŚP i mid-market

Essentials dodaje do Base dwa komponenty: Knox Manage i Knox Remote Support. Tym samym staje się kompletnym rozwiązaniem MDM/EMM — firma kupująca Essentials nie potrzebuje żadnego innego systemu do zarządzania urządzeniami.

Knox Manage w ramach Essentials obsługuje wiele platform: Android, iOS, Windows, macOS, Chrome OS, iPadOS i Wear OS. To oznacza, że firma z mieszanym środowiskiem (np. Samsungi dla handlowców, iPady dla zarządu, laptopy Windows dla biura) może zarządzać wszystkim z jednej konsoli. Obsługa cross-platform nie jest tak głęboka jak w Intune czy Essentials MDM (szczególnie po stronie Windows i macOS), ale dla większości scenariuszy MŚP jest wystarczająca.

Knox Remote Support to narzędzie, którego wartość jest proporcjonalna do technicznej biegłości użytkowników. W firmie software’owej, gdzie każdy pracownik umie obsłużyć swój telefon, Remote Support jest miłym dodatkiem. W sieci sklepów, gdzie sprzedawca dzwoni do IT, bo „telefon znowu nie działa”? Remote Support zmienia reguły gry.

Dla kogo: MŚP i średnie firmy (20–500 urządzeń), które nie mają jeszcze systemu MDM/UEM lub szukają tańszej alternatywy dla Intune/Workspace ONE. Firmy z dużą liczbą użytkowników nietechnicznych (handel, logistyka, gastronomia), które skorzystają z Remote Support. Firmy kupujące przede wszystkim Samsungi, które chcą systemu zoptymalizowanego pod Galaxy.

Czego brakuje: Kontroli firmware (E-FOTA), analityki (Asset Intelligence), skanowania kodów (Capture) i uwierzytelniania na urządzeniach współdzielonych (Authentication Manager). Te brakujące elementy są niszowe, ale w konkretnych branżach mogą być krytyczne.

Companion — ukryty faworyt dla firm z Intune

Companion Plan to Enterprise bez Knox Manage. Zawiera: KPE, KME, Knox Remote Support, Knox E-FOTA, Knox Asset Intelligence, Knox Capture i Knox Authentication Manager. Jest przeznaczony explicite dla firm, które mają już własny UEM i nie chcą (lub nie mogą) go zamieniać na Knox Manage.

To moim zdaniem najbardziej niedoceniany plan w całej ofercie Knox Suite, a jednocześnie ten, który (w mojej opinii) byłby najbardziej istotny dla polskiego rynku korporacyjnego. Dlaczego? Bo większość dużych polskich firm korzysta z Intune, Essentials MDM lub Proget MDM jako głównego UEM. Te firmy nie zamienią swojego UEM na Knox Manage — ale mogą chcieć E-FOTA do kontroli aktualizacji, Asset Intelligence do analityki, lub Capture do skanowania.

Companion daje im dostęp do tych narzędzi bez konfliktu z istniejącą infrastrukturą MDM. KPE/KSP działa przez Intune jako OEMConfig. KME działa równolegle z Android Zero-Touch Enrollment (można używać obu). E-FOTA i Asset Intelligence działają niezależnie od tego, jaki UEM jest zainstalowany na urządzeniu.

Dla kogo: Firmy 200+ urządzeń Samsung, które już używają Intune, Workspace ONE, Essentials MDM lub innego UEM. Firmy z regulowanymi środowiskami, które potrzebują kontroli firmware (E-FOTA). Firmy w logistyce/handlu, które chcą Capture i Authentication Manager bez rezygnacji z własnego UEM.

Pro Tip: Companion Plan jest oficjalnie komunikowany na rynku amerykańskim. Na rynkach międzynarodowych może być dostępny pod inną nazwą lub jako niestandardowa konfiguracja — dopytajcie resellera o możliwość zakupu planu Enterprise bez Knox Manage. Z mojego doświadczenia — Samsung jest tu elastyczny, ale trzeba wiedzieć, o co pytać.

Enterprise — pełen pakiet, bez kompromisów

Enterprise to suma wszystkiego: KPE, KME, Knox Manage, Knox Remote Support, Knox E-FOTA, Knox Asset Intelligence, Knox Capture i Knox Authentication Manager. Kompletna platforma do zarządzania flotą Samsung Galaxy od początku do końca życia urządzenia.

Enterprise ma sens w dwóch scenariuszach. Pierwszy: firma jest „all-Samsung” i chce jednego systemu do wszystkiego — MDM, firmware, analityka, skanowanie. Nie chce płacić za Intune i nie potrzebuje zarządzać urządzeniami Apple ani Windows. Drugi: firma kupuje urządzenia Galaxy Enterprise Edition, które mają dołączoną roczną licencję Enterprise Plan — wtedy koszt jest zerowy lub marginalny.

Dla kogo: Firmy 500+ urządzeń Samsung Galaxy bez istniejącego UEM. Firmy kupujące Galaxy Enterprise Edition (roczna licencja Enterprise w cenie). Firmy z dużymi flotami frontline: logistyka, transport, handel detaliczny, ochrona zdrowia. Firmy, które potrzebują pełnej kontroli firmware i nie mogą sobie pozwolić na nieplanowane aktualizacje OS.

Czego nie robi: Nie zastępuje w pełni Intune/Workspace ONE/Essentials MDM w zarządzaniu urządzeniami Apple i Windows. Knox Manage obsługuje iOS i Windows, ale głębokość integracji jest mniejsza niż w natywnych rozwiązaniach (Intune dla Windows, Jamf dla macOS). Firma z mieszanym środowiskiem 50/50 Samsung/iPhone będzie musiała albo zaakceptować kompromisy po stronie iOS, albo utrzymywać dwa systemy MDM.

Matryca decyzyjna — ściągawka dla zapracowanych

Licencje standalone — nie musicie kupować planu

Samsung nie wycofał możliwości zakupu licencji na poszczególne produkty oddzielnie. Dokumentacja licencyjna mówi wprost: „Standalone licenses are also available if you only want to use individual services” i „you can replace certain standalone licenses with a Knox Suite Plan at any time. The reverse also applies.”

To oznacza, że firma potrzebująca wyłącznie Knox E-FOTA nie musi kupować całego planu Companion lub Enterprise. Może kupić samą licencję E-FOTA od resellera. Analogicznie — jeśli jedynym potrzebnym komponentem jest Knox Manage, licencja standalone może być tańsza niż plan Essentials.

W praktyce jednak plan Essentials często wychodzi taniej niż Knox Manage standalone + Knox Remote Support standalone kupione oddzielnie. Samsung świadomie wycenia pakiety atrakcyjniej niż sumę komponentów — to standardowa strategia bundlingu.

Moja rada: Zawsze poproście resellera o wycenę obu wariantów (plan vs. standalone) i porównajcie. Na polskim rynku operator Plus, jako certyfikowany partner Samsung Knox, może przygotować obie oferty i pomóc w wyborze optymalnej konfiguracji licencyjnej.

Co Samsung mógłby komunikować lepiej

Podział Knox Suite na plany to krok w dobrym kierunku, ale nie jest pozbawiony problemów.

Po pierwsze — brak publicznego cennika. Już o tym mówiłem, ale powtórzę, bo to naprawdę frustrujące. W dobie SaaS-owego pricingu, gdzie każdy dostawca wystawia ceny na stronie, Samsung nadal każe Wam dzwonić do resellera. Rozumiem model dystrybucyjny, ale brak choćby orientacyjnych widełek utrudnia planowanie budżetu.

Po drugie — Companion Plan jest słabo komunikowany poza USA. Na stronach Samsung Knox dla rynków europejskich mowa jest o trzech planach (Base, Essentials, Enterprise), a Companion pojawia się głównie w materiałach amerykańskich. To dziwne, bo Companion jest najbardziej sensownym planem dla firm korporacyjnych z istniejącym UEM — a takich firm w Europie jest mnóstwo.

Po trzecie — nazewnictwo. „Base”, „Essentials”, „Enterprise” to nazwy, które nic nie mówią o zawartości. Knox Suite — Manage, Knox Suite — Full, Knox Suite — Add-on byłyby znacznie bardziej opisowe. Ale to już pretensje do działu marketingu, który — zakładam — miał swoje powody.

Mój komentarz — i kontekst polskiego rynku

Podział Knox Suite na plany rozwiązuje realny problem. Przez lata Samsung zmuszał małe firmy do kupowania pełnego pakietu, którego połowy nie używały. Teraz firma z 50 telefonami może kupić Essentials i dostaje dokładnie to, czego potrzebuje: MDM, enrollment i remote support. Firma z Intune może zostać przy darmowym Base i dopłacać tylko za E-FOTA, jeśli tego potrzebuje.

Jednocześnie Samsung powinien lepiej komunikować wartość darmowego planu Base. Wiele firm korporacyjnych, z którymi rozmawiam, nie wie, że KPE Premium jest darmowe od 2021 roku. Nie wie, że KME pozwala na zero-touch enrollment w Intune bez żadnych opłat. Nie wie, że Knox Service Plugin daje dostęp do ponad 300 polityk Samsung (włącznie z kontrolą Galaxy AI) przez OEMConfig. Te informacje są w dokumentacji, ale nie przedostają się do świadomości administratorów.

Na polskim rynku warto rozważyć Knox Suite w kontekście alternatyw. Proget MDM i TechStep Essentials MDM — oba dostępne przez Plus — są pełnymi systemami MDM działającymi z każdym producentem urządzeń, nie tylko Samsungiem. Jeśli firma ma mieszaną flotę (Samsung + Motorola + Xiaomi), Knox Manage nie jest optymalnym wyborem, bo jego zaawansowane funkcje działają głównie na Galaxy. W takim scenariuszu lepszym podejściem jest wieloplatformowy MDM (Proget MDM, Essentials MDM, Intune) + darmowy Knox Base dla Samsungów.

A jak już ogarniesz plany Knox Suite, to zainteresuj się tematem Conditional Access i tym, jak Knox Manage radzi sobie z iOS, macOS i Windows.

Do następnego!