Gestion des appareils Apple

La gestion des appareils Apple offre aux équipes informatiques un contrôle centralisé sur chaque iPhone, iPad, Mac et Apple TV de leur organisation, depuis le premier démarrage jusqu’à l’effacement en fin de vie. Si vous développez votre parc Apple au-delà d’une poignée d’appareils, la maîtrise de l’architecture du protocole et des options d’inscription fait toute la différence entre un environnement gérable et une file d’attente quotidienne pour l’assistance.

Fonctionnement de l’Apple MDM : architecture du protocole

À la base, le MDM d’Apple est une infrastructure basée sur des protocoles dans laquelle votre serveur MDM communique avec les appareils inscrits via le service Apple Push Notification (APNs). Lorsque vous diffusez une politique ou une commande, le serveur MDM envoie une notification push silencieuse via APNs, l’appareil se connecte, puis le serveur transmet la charge utile via HTTPS.

Cette architecture a quelques implications pratiques :

• Les certificats APNs expirent chaque année. Si vous laissez le vôtre expirer, votre serveur MDM perdra la capacité de communiquer avec tous les appareils enregistrés jusqu’à ce que vous le renouveliez et que vous renvoyiez la notification.
• Les appareils doivent être en ligne pour recevoir les commandes. Les commandes sont mises en file d’attente côté serveur, mais elles ne s’exécutent pas tant que l’appareil n’est pas connecté.
• Les profils MDM constituent le mécanisme de diffusion. Les profils de configuration (fichiers.mobileconfig ) contiennent des données utiles relatives aux paramètres Wi-Fi, au VPN, aux restrictions, aux certificats, etc. Chaque donnée utile correspond à un domaine de préférences géré spécifique sur l’appareil.

Pour une vision plus globale de ce qu’est la gestion des appareils sur toutes les plateformes, y compris les principes sous-jacents qui s’appliquent aussi bien aux parcs Apple qu’aux parcs non Apple, il est utile de lire ce contexte fondamental avant d’approfondir les spécificités d’Apple.

Appareils supervisés vs appareils non supervisés

Le statut de supervision est la variable la plus importante pour déterminer ce que vous pouvez réellement gérer sur un appareil Apple. Les appareils supervisés vous offrent un contrôle nettement plus étendu.

Les fonctionnalités réservées aux appareils supervisés comprennent :

• Installation silencieuse d’applications sans intervention de l’utilisateur
• Contournement du verrouillage d’activation
• Mode « Une seule application » et mode « Une seule application » autonome
• Filtrage du contenu Web via un proxy DNS
• Blocage de la possibilité d’effacer l’appareil
• Restriction totale d’AirDrop, d’iMessage ou de l’App Store
• Mode « Perdu » pour localiser les appareils d’entreprise

Les appareils non supervisés continuent de recevoir des profils de configuration, d’appliquer les exigences en matière de code d’accès et de prendre en charge la gestion des applications, mais les utilisateurs conservent la possibilité de se désinscrire du MDM en quelques clics.

Les Mac deviennent supervisés via l’inscription automatisée des appareils (ADE). Les iPhone et iPad passent en mode supervisé via l’ADE ou Apple Configurator 2. Tout appareil inscrit via l’inscription d’appareil ou l’inscription d’utilisateur sur le Web est non supervisé.

Comparaison des méthodes d’inscription des appareils Apple

Le choix de la bonne méthode d’inscription détermine les règles que vous pouvez appliquer, le niveau de complexité perçu par les utilisateurs et les données qui restent confidentielles. Voici les quatre méthodes actuellement utilisées :

Inscription automatisée des appareils (ADE)

L’ADE, anciennement appelé DEP, associe les appareils physiques à votre compte Apple Business au cours de la chaîne d’approvisionnement. Lorsqu’un appareil attribué est allumé pour la première fois, il contacte les serveurs d’Apple, reçoit l’URL de votre serveur MDM et s’enregistre automatiquement avant même que l’utilisateur ne crée un compte.

Il s’agit là d’un déploiement « zéro intervention » en pratique. Le service informatique expédie l’appareil directement à l’employé ; celui-ci l’allume et, en moins de 10 minutes, dispose d’un appareil entièrement géré et configuré. Aucune intervention du service informatique, aucune image système, aucune phase de préparation. Les appareils inscrits via l’ADE sont supervisés par défaut et ne peuvent pas être définitivement désinscrits par les utilisateurs finaux.

Inscription des appareils

L’inscription des appareils est un processus d’inscription en ligne destiné aux appareils d’entreprise qui ne font pas partie d’Apple Business. L’utilisateur télécharge un profil d’inscription à partir d’une URL ou d’un lien contenu dans un e-mail, puis l’installe. Cette méthode convient aux appareils existants achetés avant la création de votre compte ABM ou aux appareils acquis en dehors des canaux d’approvisionnement habituels.

Les appareils inscrits de cette manière ne sont pas supervisés. Les utilisateurs peuvent supprimer le profil MDM depuis les Réglages, ce qui supprime simultanément toutes les configurations et applications gérées.

Enregistrement par l’utilisateur

L’inscription des utilisateurs est le cadre BYOD (Bring Your Own Device) d’Apple, introduit avec iOS 13. Elle utilise un compte Apple géré pour créer une séparation cryptographique entre les données professionnelles et les données personnelles sur un même appareil. Le serveur MDM ne peut voir et gérer que les données professionnelles ; il ne peut pas effacer l’intégralité de l’appareil, voir les applications personnelles ni accéder aux données personnelles.

Cette séparation en matière de confidentialité est importante tant pour des raisons juridiques que pour des raisons liées aux ressources humaines. Dans les secteurs réglementés, l’impossibilité d’accéder aux données des applications personnelles élimine une préoccupation majeure des employés concernant l’utilisation de leurs appareils personnels au travail. Le service informatique bénéficie du chiffrement des données des applications gérées, de la possibilité de supprimer uniquement les comptes et les données professionnels, ainsi que d’un routage VPN par application pour les applications gérées.

Apple Configurator 2

Pour les environnements ne disposant pas d’Apple Business ou pour des cas particuliers, comme les iPad de salle de conférence achetés en magasin, Apple Configurator 2 vous permet de superviser physiquement et d’enregistrer des appareils via USB ou Wi-Fi. Ce processus est manuel et n’est pas évolutif, mais il comble le vide pour les appareils qui ne peuvent pas passer par l’ADE.

Apple Business et le déploiement sans intervention (Zero-Touch)

Apple Business est le portail web qui regroupe en un seul endroit les achats, la gestion des appareils mobiles (MDM) et les licences de contenu. En avril 2026, Apple a fusionné Apple Business Manager et Apple School Manager au sein d’une plateforme Apple Business unifiée, rationalisant ainsi l’interface tout en conservant les flux de travail essentiels sur lesquels s’appuient les équipes informatiques.

Fonctions clés d’ABM pour l’intégration MDM :

Attribution des appareils : lorsque vous achetez des appareils Apple auprès d’un revendeur agréé ou directement auprès d’Apple, ces appareils apparaissent automatiquement dans ABM. Vous les attribuez à votre serveur MDM, et l’inscription via ADE s’effectue au premier démarrage.

Applications et livres : la gestion des licences d’applications via ABM vous permet d’acheter des licences d’applications de manière centralisée et de les distribuer aux appareils ou aux utilisateurs via votre MDM. Les licences sont révocables ; ainsi, lorsqu’un employé quitte l’entreprise, vous récupérez automatiquement ses licences d’applications. Ce système a remplacé l’ancien modèle du Programme d’achat en volume (VPP) et fonctionne aussi bien pour les applications payantes que pour les applications gratuites que vous souhaitez gérer.

Comptes Apple gérés : ABM vous permet de créer des comptes Apple gérés pour vos employés, limités au domaine de votre organisation. Ces comptes activent iCloud Drive pour le contenu professionnel, la synchronisation des Notes et des Rappels pour les comptes gérés, ainsi que l’inscription des utilisateurs pour le BYOD.

Gestion déclarative des appareils : l’approche moderne

Le MDM traditionnel repose sur un modèle « pull » : le serveur demande à l’appareil de se connecter, l’appareil récupère ses instructions, puis le serveur effectue des interrogations périodiques pour vérifier la conformité. Ce système fonctionne, mais il engendre une latence entre les modifications de politique et leur application, et impose une charge importante au serveur MDM à grande échelle.

La gestion déclarative des appareils (DDM), introduite par Apple en 2021 et désormais l’approche privilégiée pour la gestion moderne des appareils Apple, inverse ce modèle. Au lieu de commandes, le serveur envoie des déclarations : des descriptions basées sur l’état de ce à quoi l’appareil doit ressembler. L’appareil gère lui-même sa conformité en local, applique les modifications de manière autonome et ne signale son état au serveur que lorsqu’un changement survient.

Les avantages concrets pour les équipes informatiques :

• Une mise en application plus rapide. Un appareil détecte un écart de configuration et le corrige sans attendre le prochain cycle de vérification MDM.
• Meilleure gestion des mises à jour du système d’exploitation. Les déclarations de mise à jour logicielle de DDM vous permettent de spécifier des versions exactes du système d’exploitation avec des dates limites et des délais de report, offrant ainsi aux utilisateurs un délai de grâce tout en maintenant une date butoir stricte.
• Réduction de la charge du serveur. Avec 5 000 appareils, la différence entre une architecture basée sur l’interrogation et une architecture basée sur les événements est mesurable en termes de coûts d’infrastructure.
• Rapports d’état. Les abonnements d’état DDM offrent au serveur MDM une visibilité en temps réel sur les attributs des appareils (état du chiffrement du disque, version du système d’exploitation, état de la batterie) sans que le serveur ait à les demander.

Le DDM nécessite macOS 13 ou une version ultérieure, iOS 16 ou une version ultérieure, ainsi qu’une solution MDM implémentant l’API des déclarations. Tous les fournisseurs MDM n’ont pas entièrement implémenté le DDM ; il est donc recommandé de vérifier ce point avant de choisir une plateforme.

Politiques de sécurité et conformité CIS pour les appareils Apple

Pour les organisations soumises à des exigences de conformité, les benchmarks CIS pour Apple constituent la référence la plus largement utilisée en matière de renforcement de la sécurité sous macOS et iOS. Le CIS publie des profils de niveau 1 et de niveau 2 :

• Le niveau 1 couvre les contrôles de sécurité fondamentaux : verrouillage par écran de veille, pare-feu activé, mises à jour automatiques, navigation sécurisée dans Safari. Il s’agit de contrôles peu contraignants, adaptés à la plupart des utilisateurs.
• Le niveau 2 ajoute des contrôles plus restrictifs : désactivation du Bluetooth, restriction de l’utilisation de l’appareil photo, imposition de règles plus strictes en matière de complexité des mots de passe, etc. Ces mesures conviennent aux rôles nécessitant un niveau de sécurité élevé ou aux environnements de données réglementés.

La mise en œuvre manuelle de ces contrôles via des profils de configuration nécessite de faire correspondre chaque recommandation CIS à la clé de charge utile MDM correspondante. Pour macOS, cela implique notamment de passer en revue les domaines de préférences com.apple.security et com.apple.screensaver, entre autres. Une mise en œuvre entièrement manuelle pour un parc de 500 appareils est réalisable, mais source d’erreurs.

La norme NIST SP 800-124 Rev. 2 fournit la base de référence fédérale pour la politique de gestion des appareils mobiles, couvrant la sécurité de l’inscription, les exigences en matière de protection des données et les contrôles d’accès au réseau. Pour les organisations visant la conformité FedRAMP ou FISMA, l’alignement de vos politiques MDM sur ce cadre constitue un point de départ.

Principaux contrôles de sécurité mis en œuvre par le MDM à mettre en place :

• Chiffrement complet du disque (FileVault sur Mac, chiffrement matériel intégré sur iOS/iPadOS)
• Politiques de complexité des codes d’accès et de verrouillage
• Authentification Wi-Fi et VPN par certificat (802.1X)
• Application automatisée des mises à jour du système d’exploitation avec des fenêtres SLA définies
• Fonctionnalité d’effacement à distance pour les appareils perdus ou volés
• Intégration de l’accès conditionnel avec votre fournisseur d’identité

Distribution des applications et gestion de leur cycle de vie

Gérer les applications à grande échelle via votre solution MDM ne se résume pas à partager un lien vers l’App Store. Un workflow de distribution d’applications abouti couvre l’ensemble du cycle de vie :

Acquisition : achetez des licences via ABM Apps and Books. Pour les applications développées en interne, distribuez-les directement via le MDM en tant qu’applications d’entreprise ou via l’App Store en tant qu’applications privées.

Distribution : déployez les applications en arrière-plan sur les appareils supervisés à l’aide de la commande MDM « InstallApplication ». Sur les appareils non supervisés, l’utilisateur voit s’afficher une invite d’installation. Utilisez des règles de ciblage pour attribuer les applications aux bons groupes d’appareils (le service d’ingénierie reçoit Xcode, le service financier reçoit le client ERP, tout le monde reçoit votre client VPN).

Mises à jour : le MDM peut déployer les mises à jour des applications de manière silencieuse. Configurez des politiques de mise à jour automatique pour les applications sensibles en matière de sécurité, et utilisez les reports de mise à jour gérés pour les applications où le contrôle des versions est crucial (votre application ERP héritée qui cesse de fonctionner avec les nouvelles versions, par exemple).

Suppression : lorsque vous révoquez une licence d’application ABM ou que vous désenregistrez un appareil, les applications gérées et leurs données sont supprimées. Il s’agit d’un processus de désaffiliation propre, ne nécessitant aucune désinstallation manuelle.

Correctifs du système d’exploitation : trouver le juste équilibre entre sécurité et expérience utilisateur

La gestion des correctifs du système d’exploitation est le domaine où la gestion des appareils Apple devient politiquement délicate. Les équipes de sécurité souhaitent que les correctifs soient déployés dans les jours suivant leur publication. Les utilisateurs veulent garder le contrôle de leur machine et n’apprécient pas les redémarrages forcés en milieu d’après-midi.

Une politique de mise à jour pratique pour macOS comprend :

1. Un délai de report pour les mises à jour non critiques : 14 jours à compter de leur publication. Cela laisse le temps à la communauté de signaler d’éventuels problèmes de compatibilité.

2. Délai obligatoire pour les mises à jour de sécurité : 7 jours pour les mises à jour corrigeant des failles activement exploitées.

3. Fréquence des notifications : première notification à 7 jours de la date limite, puis notification quotidienne à partir du 12e jour, et installation obligatoire à la date limite.

4. Application via DDM : utilisez les déclarations de mise à jour logicielle pour définir la version cible du système d’exploitation et la date limite. L’appareil se charge du reste sans interrogation continue du serveur.

La prise en charge du système d’exploitation le jour même par votre fournisseur MDM est ici essentielle. Si Apple publie macOS Sequoia 15.5 un mardi et que votre fournisseur MDM met deux semaines à valider ses schémas de charge utile par rapport à la nouvelle version, vous vous retrouvez avec un délai de deux semaines pendant lequel vous ne pouvez pas imposer la mise à jour. Les fournisseurs MDM axés sur Apple accordent la priorité à la prise en charge le jour même, car cela est au cœur de leur proposition de valeur.

L’approche d’Iru en matière de gestion des appareils Apple

Iru est entièrement conçu autour d’Apple. Chaque fonctionnalité de la plateforme reflète le fonctionnement réel de l’écosystème Apple, y compris les détails de mise en œuvre qui comptent lorsque vous gérez des milliers d’appareils plutôt que quelques dizaines.

Voici quelques exemples concrets :

Prise en charge du système d’exploitation le jour même. Lorsque Apple lance macOS 26 Tahoe ou une mise à jour mineure d’iOS 19, Iru assure la prise en charge dès le premier jour. Les équipes informatiques peuvent appliquer la nouvelle version du système d’exploitation via les déclarations de mise à jour logicielle DDM sans attendre de cycle de validation.

Configuration basée sur des « Blueprints » avec routage ADE. Les configurations d’appareils dans Iru sont organisées sous forme de « Blueprints », c’est-à-dire des ensembles de profils, d’applications et de scripts qui s’appliquent à un appareil. Le routage ADE basé sur des balises vous permet d’attribuer automatiquement le « Blueprint » approprié lors de l’inscription sans intervention (zero-touch), en fonction du type d’appareil, du service ou de tout attribut personnalisé. Un Mac livré au service d’ingénierie est automatiquement affecté au « Blueprint » Ingénierie. Un Mac livré au service financier est automatiquement affecté au « Blueprint » Finance. Aucune attribution manuelle n’est nécessaire.

Modèles de conformité CIS en un clic. Plutôt que de mapper manuellement les contrôles CIS Benchmark aux charges utiles MDM, Iru fournit des modèles prédéfinis pour les niveaux 1 et 2 du CIS sur macOS. Appliquez le modèle à un « Blueprint », et les profils de configuration correspondants sont configurés et délimités. Pour les équipes ne disposant pas d’un ingénieur en sécurité dédié, cela élimine un obstacle majeur à la mise en œuvre.

Liftoff pour l’intégration des Mac. Liftoff est l’expérience d’intégration des Mac développée par Iru. Lorsqu’un collaborateur allume un nouveau Mac inscrit via ADE, Liftoff propose un processus de configuration personnalisé à l’image de votre entreprise, installe les applications requises en arrière-plan et guide l’utilisateur tout au long de la configuration de son compte. Cette expérience de déballage sans intervention du service informatique est particulièrement importante pour les collaborateurs en télétravail, pour qui la première interaction avec l’infrastructure informatique coïncide avec leur premier jour de travail.

Mises à jour gérées du système d’exploitation avec respect des délais. L’automatisation des correctifs d’Iru vous permet de définir des SLA de mise à jour et gère l’escalade des notifications ainsi que l’application des règles via DDM. Les administrateurs définissent la politique ; la plateforme se charge du suivi.

Application en libre-service. L’application en libre-service d’Iru permet aux utilisateurs d’accéder à des applications, des scripts et des ressources approuvés par le service informatique sans avoir à ouvrir de ticket. Les demandes courantes (réinstallation d’un profil VPN, configuration d’une imprimante, installation d’une application) deviennent des opérations en libre-service, ce qui réduit le volume de tickets de niveau 1 sans pour autant diminuer le contrôle du service informatique sur les ressources disponibles.

Choisir la solution MDM Apple adaptée à votre entreprise

Le marché du MDM se divise en deux catégories : les solutions « Apple-first » et les outils UEM multiplateformes qui prennent en charge Apple aux côtés d’Android, de Windows et de Chrome. Le bon choix dépend de votre environnement, mais certains critères de décision méritent d’être abordés sans détours.

Si votre parc est principalement composé d’appareils Apple, la prise en charge d’Apple par une solution UEM multiplateforme sera toujours une priorité secondaire. Les ressources de l’entreprise, la rapidité de développement et l’attention portée à la feuille de route des produits sont orientées vers la majorité des clients. Vous le constaterez notamment dans les délais de prise en charge des systèmes d’exploitation le jour même, l’exhaustivité de la mise en œuvre du DDM et la richesse des options de configuration spécifiques à macOS.

Si votre parc est véritablement mixte (une part importante de Windows ou d’Android aux côtés d’Apple), une plateforme unifiée vous évite de gérer plusieurs consoles. Le compromis est toutefois réel : la richesse des fonctionnalités spécifiques à Apple offertes par une solution MDM dédiée à Apple mérite d’être prise en compte dans votre évaluation.

Liste de contrôle pour l’évaluation de toute solution MDM Apple :

• Prend-elle en charge le DDM pour les mises à jour du système d’exploitation et les rapports d’état ?
• Quel est le bilan du fournisseur en matière de prise en charge des mises à jour du système d’exploitation le jour même pour les trois dernières versions majeures d’Apple ?
• Comment fonctionnent l’attribution ADE et le routage Blueprint à votre échelle ?
• À quoi ressemble la mise en œuvre du BYOD et de l’inscription des utilisateurs ?
• S’intègre-t-elle à votre fournisseur d’identité (Okta, Entra ID, Google Workspace) pour la gestion des comptes Apple et l’accès conditionnel ?
• Comment les contrôles de conformité CIS sont-ils mis en œuvre : création manuelle de profils, modèles prédéfinis ou correction automatisée ?
• À quoi ressemble l’expérience utilisateur final, tant lors de l’intégration que pour l’utilisation en libre-service au quotidien ?

Les recommandations d’Apple concernant le choix d’un service de gestion des appareils couvrent les critères d’évaluation fondamentaux du point de vue du fournisseur, notamment les options d’hébergement et les capacités de requête. Utilisez-les comme base de référence, puis ajoutez-y les questions spécifiques à votre entreprise mentionnées ci-dessus.

Pour les équipes informatiques gérant plus de 100 appareils Apple et prévoyant de se développer, Iru propose une évaluation de la plateforme et un déploiement de validation de concept. Vous pouvez voir le routage Blueprint, l’intégration Liftoff et les modèles de conformité CIS fonctionner avec votre parc d’appareils réel avant de vous engager.