Gestion des appareils Android

La gestion des appareils Android permet aux équipes informatiques de contrôler à distance la configuration, la sécurité et la conformité des smartphones et tablettes Android au sein de leur entreprise. Si vous gérez plus d’une poignée d’appareils Android sans solution MDM dédiée, vous êtes probablement confronté à un niveau de sécurité inégal, à un déploiement manuel des applications et à l’absence de procédure claire pour désenregistrer un collaborateur qui quitte l’entreprise.

Ce guide aborde tous les aspects, des modes de déploiement Android Enterprise à l’inscription sans intervention, et propose des conseils pratiques aux équipes informatiques chargées de gérer des parcs mixtes.

Qu’est-ce que la gestion des appareils Android ?

Fondamentalement, la gestion des appareils Android se résume à une chose : appliquer une politique cohérente aux appareils que vous ne contrôlez pas physiquement. La gestion des appareils Android utilise un logiciel MDM pour pousser des configurations, appliquer des règles de sécurité de base, déployer ou bloquer des applications, et exécuter des actions à distance telles que le verrouillage et l’effacement, le tout sans avoir à intervenir individuellement sur chaque appareil.

Le cadre sous-jacent qui rend cela possible est Android Enterprise, l’ensemble d’API de gestion standardisées de Google introduit en 2014 et qui constitue désormais l’approche obligatoire pour la gestion des appareils Android en entreprise. Avant Android Enterprise, les équipes informatiques s’appuyaient sur l’API « Device Administrator », un ensemble de contrôles limité et incohérent qui variait considérablement d’un fabricant à l’autre. Google a déprécié cette API dans Android 10, ce qui signifie que toute organisation utilisant encore une gestion basée sur « Device Administrator » devrait avoir déjà effectué sa migration depuis longtemps.

Android Enterprise offre des capacités de gestion cohérentes, que votre parc soit composé d’appareils Samsung Galaxy, de Google Pixel ou d’un mélange de matériel provenant de différents fabricants. C’est cette cohérence qui rend viable une gestion MDM Android évolutive.

Explication des modes de déploiement d’Android Enterprise

Le mode de déploiement que vous choisissez détermine ce que l’appareil peut faire, à qui il appartient et dans quelle mesure le MDM le contrôle. Choisir le mauvais mode entraîne soit des failles de sécurité, soit des complications inutiles pour les employés.

Profil professionnel

Le profil professionnel crée un conteneur distinct et chiffré sur un appareil personnel. Les applications, les e-mails et les données de l’entreprise sont stockés dans ce profil. Les applications et données personnelles restent en dehors de celui-ci. Le service informatique peut gérer et effacer le profil professionnel sans toucher aux données personnelles.

Entièrement géré (appareil appartenant à l’entreprise)

Le MDM exerce un contrôle total sur l’appareil. Ce mode est utilisé pour les appareils appartenant à l’entreprise, dont le matériel est entièrement la propriété de l’organisation. Le service informatique peut appliquer n’importe quelle politique, bloquer n’importe quelle application et effacer l’intégralité de l’appareil. Convient aux ordinateurs portables et téléphones standard des employés fournis par le service informatique.

Appareils dédiés (mode kiosque)

Conçu pour des déploiements à usage unique : scanners d’entrepôt, terminaux de point de vente, affichage numérique ou tablettes partagées dans un environnement de vente au détail. L’appareil exécute une ou quelques applications verrouillées. Les utilisateurs ne peuvent pas accéder aux paramètres, installer d’applications ni utiliser l’appareil à d’autres fins que celles pour lesquelles il a été conçu.

COPE (Corporate-Owned, Personally Enabled)

Matériel appartenant à l’entreprise sur lequel un profil professionnel est installé. L’entreprise contrôle l’appareil au niveau matériel, mais réserve un espace personnel à l’employé. Cela offre au service informatique un contrôle de sécurité maximal tout en permettant aux employés une certaine utilisation personnelle. Il s’agit d’un compromis qui convient bien aux organisations qui fournissent des appareils mais souhaitent réduire les appels au service d’assistance concernant les restrictions relatives aux applications personnelles.

Il est essentiel de sélectionner le mode de déploiement approprié avant d’enregistrer le moindre appareil. Changer de mode a posteriori nécessite généralement une réinitialisation aux paramètres d’usine.

Enregistrement « Zero-Touch » et provisionnement en masse sur Android

L’inscription manuelle de centaines d’appareils Android n’est pas un processus viable. L’inscription « zero-touch » Android résout ce problème à grande échelle en associant les appareils à votre solution MDM avant même qu’ils ne parviennent à l’utilisateur final.

Voici comment cela fonctionne concrètement :

1. Vous achetez des appareils auprès d’un revendeur « Zero-Touch » ou directement via le programme matériel de Google.
2. Les appareils sont enregistrés sur le portail «zero-touch» et affectés à votre configuration MDM.
3. Lorsque l’appareil s’allume et se connecte au Wi-Fi, il télécharge automatiquement votre profil MDM, applique votre configuration de base et installe les applications requises.
4. L’utilisateur reçoit un appareil prêt à l’emploi sans aucune intervention informatique sur site.

Pour les entreprises déployant 50 appareils ou plus à la fois, la solution « zero-touch » réduit le temps de mise en service de plusieurs heures à quelques minutes par appareil. Samsung ajoute ici une couche supplémentaire avec Samsung Knox Mobile Enrollment, qui offre des fonctionnalités « zero-touch » similaires mais nécessite un matériel compatible Knox et un portail Knox distinct. Si votre parc est principalement composé d’appareils Samsung, l’inscription via Knox peut fonctionner en parallèle d’Android Enterprise, mais vous ajoutez ainsi une interface de gestion supplémentaire à maintenir.

D’autres méthodes d’inscription pour les déploiements de moindre envergure incluent la mise en service par code QR (l’appareil photo de l’appareil scanne un code QR d’inscription lors de la configuration) et la mise en service par contact NFC (un simple contact NFC transfère la configuration d’inscription d’un appareil à un autre). Ces deux méthodes sont plus rapides que l’inscription manuelle, mais ne rivalisent pas avec la technologie « zero-touch » pour les déploiements à grande échelle.

Google Play géré et déploiement d’applications

Contrairement au déploiement d’applications grand public, Google Play géré permet aux administrateurs informatiques de contrôler quelles applications sont mises à la disposition des utilisateurs et comment elles sont configurées avant leur installation.

Grâce à Google Play géré, les équipes informatiques peuvent :

• Ajouter des applications spécifiques à une liste blanche afin que seules les applications approuvées apparaissent dans le Play Store du profil professionnel
• Déployer des applications en mode silencieux sur les appareils sans intervention de l’utilisateur
• Préconfigurer les applications à l’aide de configurations gérées (AppConfig) avant leur installation, afin que les clients de messagerie, les applications VPN et les outils de productivité soient déjà configurés dès leur installation
• Empêcher l’installation parallèle d’applications personnelles dans le profil professionnel
• Distribuer des applications internes privées sans les publier publiquement

Les configurations gérées allègent considérablement la charge de support. Lorsqu’un nouvel employé enregistre son appareil, son client de messagerie est déjà configuré pour se connecter à votre serveur Exchange, son client VPN dispose déjà de l’adresse du serveur et son certificat d’authentification est déjà en place. L’utilisateur ouvre l’application et celle-ci fonctionne.

Fragmentation du système d’exploitation : le défi persistant d’Android

La fragmentation d’Android est l’aspect le plus frustrant sur le plan opérationnel de la gestion des appareils Android. Contrairement à iOS, où Apple contrôle l’ensemble du processus de mise à jour, les mises à jour Android transitent par Google, puis par le fabricant, puis par l’opérateur, et parfois n’arrivent jamais.

Conséquences pratiques pour les services informatiques :

• la conformité aux correctifs est inégale. Un appareil Pixel de votre parc peut recevoir un correctif de sécurité plusieurs semaines avant un appareil Samsung équivalent, tandis que certains appareils des fabricants d’équipements d’origine (OEM) fonctionnant sous des versions plus anciennes d’Android peuvent ne jamais le recevoir.
• Les niveaux de correctifs de sécurité varient au sein de votre parc. Même les appareils fonctionnant sous la même version d’Android peuvent présenter des niveaux de correctifs de sécurité sous-jacents différents en fonction des calendriers de publication des fabricants.
• La disponibilité des API diffère. Certaines API de gestion Android Enterprise sont disponibles sur les appareils Google Pixel et certains appareils Samsung Knox, mais pas sur tous les matériels des fabricants.

L’approche d’atténuation la plus couramment utilisée par les équipes informatiques d’entreprise consiste à standardiser un petit nombre de modèles d’appareils approuvés plutôt que d’autoriser n’importe quel matériel Android. Cela n’élimine pas complètement le problème, mais réduit le nombre de calendriers de mise à jour des fabricants que vous devez suivre. Exiger une version minimale d’Android (actuellement Android 12 ou 13 pour la plupart des déploiements d’entreprise) et définir une politique de conformité qui signale les versions obsolètes du système d’exploitation vous offre une visibilité, même si vous ne pouvez pas imposer la mise à jour elle-même.

Intégration d’un fournisseur d’identité pour Android Enterprise

Une solution MDM Android sans intégration d’identité laisse une faille importante dans votre stratégie de contrôle d’accès. Lorsque des appareils Android s’authentifient auprès des ressources de l’entreprise, ces requêtes doivent transiter par votre fournisseur d’identité (Okta, Microsoft Entra ID ou similaire) afin que les politiques d’accès conditionnel puissent évaluer la conformité des appareils en temps réel.

Le déroulement est le suivant :

1. Un utilisateur sur un appareil Android inscrit tente d’accéder à une application ou à une ressource d’entreprise.

2. Le fournisseur d’identité vérifie l’état de conformité de l’appareil auprès du MDM.

3. Si l’appareil est inscrit, conforme (chiffré, code PIN obligatoire, système d’exploitation à jour) et que l’identité de l’utilisateur est vérifiée, l’accès est accordé.

4. Si l’appareil n’est pas inscrit, s’il n’est pas conforme ou si le compte utilisateur est désactivé, l’accès est bloqué.

L’approche d’Iru en matière de gestion des appareils Android

Iru a été conçu à l’origine comme une solution MDM axée sur Apple, et c’est toujours dans ce domaine qu’il excelle le plus. Mais la réalité opérationnelle pour la plupart des équipes informatiques en 2026 est celle d’un parc mixte : des MacBook et des iPhone d’un côté, des téléphones Android et parfois des machines Windows de l’autre. Gérer ces environnements avec des outils distincts implique des consoles distinctes, des rapports de conformité distincts et des workflows distincts.

Iru étend aux appareils Android la même approche de configuration basée sur des modèles qu’elle utilise pour macOS et iOS. Vous pouvez ainsi définir une fois pour toutes une base de référence en matière de sécurité et l’appliquer sur toutes les plateformes, plutôt que de devoir recréer votre ensemble de politiques dans un deuxième outil. L’intégration gérée de Google Play gère le déploiement silencieux des applications et la préconfiguration d’AppConfig sur Android de la même manière qu’Iru gère Auto App sur macOS. L’inscription sans intervention pour Android s’intègre au même flux de travail d’intégration que celui que vous avez déjà mis en place pour le matériel Apple.

Côté sécurité, la gestion des vulnérabilités d’Iru couvre les terminaux Android au même titre que les Mac et les Windows, vous offrant ainsi une vue unifiée de la conformité aux correctifs et des CVE ouvertes sur l’ensemble de votre parc, plutôt que des rapports cloisonnés par plateforme. L’intégration avec les fournisseurs d’identité Okta et Entra ID permet de mettre en place des politiques d’accès conditionnel qui évaluent la conformité des appareils Android avant d’accorder l’accès aux ressources de l’entreprise.

Pour les équipes qui ont jusqu’à présent évité d’intégrer Android dans leur périmètre MDM, car cela impliquait d’adopter un deuxième outil, Iru présente des arguments convaincants en faveur d’une gestion centralisée.

Choisir une solution MDM Android pour votre parc

Le choix de la solution MDM Android adaptée dépend de la composition de votre parc et de la nécessité d’une solution Android autonome ou d’une gestion unifiée des terminaux sur toutes les plateformes.

Si votre environnement est exclusivement Android et que vous n’avez aucun appareil Apple à gérer, des outils MDM Android spécialement conçus peuvent offrir des fonctionnalités plus avancées spécifiques à ces appareils. Si vous gérez un parc mixte, l’ajout d’un deuxième MDM engendre une surcharge opérationnelle qui s’accumule au fil du temps : duplication des workflows d’intégration, tableaux de bord de conformité séparés et application incohérente des politiques entre les plateformes.

Évaluez toute solution MDM Android à l’aune des critères suivants :

• Prise en charge d’Android Enterprise : la solution doit utiliser les API Android Enterprise, et non l’API Device Administrator, désormais obsolète.
• Couverture des modes de déploiement : les modes « profil professionnel », « entièrement géré », « dédié » et « COPE » doivent tous être pris en charge.
• Inscription sans intervention : indispensable pour tout parc de plus de 25 à 30 appareils.
• Intégration gérée de Google Play : la distribution silencieuse d’applications et la prise en charge d’AppConfig sont indispensables pour une utilisation en entreprise.
• Intégration d’un fournisseur d’identité : connectivité avec Okta et Entra ID pour l’accès conditionnel.
• Visibilité sur la fragmentation du système d’exploitation : politiques de conformité indiquant le niveau de correctif et la version du système d’exploitation pour les différents fabricants.
• Gestion multiplateforme : si vous disposez d’appareils Mac, iOS ou Windows, vérifiez si la gestion Android est intégrée de manière native ou ajoutée en post-construction.