Apple Business Manager : ce que les équipes IT doivent vraiment savoir

Apple Business Manager (ABM) est le plan de contrôle qui relie vos achats de matériel Apple, votre infrastructure d'identité et votre solution de gestion d'appareils. ABM ne gère pas les appareils directement : toute la configuration et l'application des politiques de sécurité passent par votre MDM. ABM fournit l'infrastructure qui rend la gestion automatisée et à grande échelle possible. À noter : Apple Business Manager est destiné aux entreprises. Les établissements scolaires utilisent Apple School Manager, qui offre les mêmes fonctionnalités de base adaptées au milieu éducatif. Ce guide ne traite que d'Apple Business Manager. ABM propose trois services fondamentaux : Automated Device Enrollment (anciennement DEP) relie automatiquement les nouveaux appareils à votre solution MDM. Lorsqu'un utilisateur allume un appareil pour la première fois, celui-ci contacte les serveurs d'activation d'Apple, est redirigé vers votre MDM, reçoit sa configuration et est prêt à l'emploi. Aucune intervention IT n'est nécessaire. Apps et Books (anciennement VPP) permet d'acheter et de distribuer des applications en volume. Les licences peuvent être attribuées à des utilisateurs ou à des appareils, puis révoquées lorsqu'un collaborateur quitte l'entreprise ou qu'un appareil est redéployé. Les comptes Apple gérés fournissent à vos utilisateurs des identités Apple rattachées à votre organisation, fédérées avec votre fournisseur d'identité (Microsoft Entra ID ou Google Workspace). Ces comptes vous appartiennent : quand un employé part, vous conservez le contrôle du compte et de ses données. C'est fondamentalement différent des identifiants Apple personnels, qui appartiennent à l'utilisateur. Les trois services sont gratuits et accessibles à toute organisation disposant d'un numéro D-U-N-S.

L'inscription nécessite un numéro D-U-N-S, un domaine email professionnel et la vérification de l'identité de votre organisation. Le processus prend 1 à 5 jours ouvrables. Une fois votre inscription approuvée : 1. Reliez votre serveur MDM. Générez un token de serveur MDM dans ABM et importez-le dans votre MDM. Définissez-le comme serveur par défaut pour que les nouveaux appareils y soient attribués automatiquement. Ce token expire chaque année ; ajoutez un rappel à votre calendrier le jour où vous le générez. 2. Configurez la fédération d'identité. Connectez Microsoft Entra ID ou Google Workspace pour provisionner les comptes Apple gérés. Faites-le avant que vos utilisateurs ne créent des identifiants Apple personnels avec leur adresse email professionnelle ; les conflits de revendication de domaine et de prise en charge d'identifiant Apple sont pénibles à résoudre après coup. 3. Vérifiez votre numéro client Apple. Collaborez avec votre revendeur Apple agréé pour vous assurer que votre numéro client Apple est lié à votre instance ABM. C'est ce lien qui fait apparaitre automatiquement les appareils dans ABM après l'achat. Sans cette liaison, les appareils arrivent non attribues. 4. Configurez Apps et Books. Générez le token Apps et Books (lui aussi à renouveler annuellement) et connectez-le à votre MDM. Achetez les licences d'applications nécessaires. Les appareils existants non achetés par des canaux agréés peuvent être ajoutés via Apple Configurator sur Mac, mais cela nécessite une connexion USB et efface l'appareil. Pour cette raison, il est préférable d'enregistrer les appareils dans ABM au moment de l'achat auprès d'un revendeur agréé.

Les comptes Apple gérés (anciennement identifiants Apple gérés) donnent à vos utilisateurs accès à iCloud Drive, aux fonctionnalités de collaboration et à l'iPad partagé sans mélanger données personnelles et professionnelles. Les comptes appartiennent à votre organisation et peuvent être provisionnes automatiquement par fédération avec Microsoft Entra ID ou Google Workspace. Toutefois, les comptes Apple gérés désactivent volontairement certaines fonctionnalités des identifiants Apple grand public afin de maintenir une séparation nette entre identité personnelle et identité d'entreprise. Ils ne permettent pas d'utiliser Apple Pay, d'effectuer des achats personnels sur l'App Store, ni d'accéder à certaines fonctionnalités iCloud. C'est intentionnel : cette séparation protège à la fois l'organisation et l'employé. La décision critique concerne le moment de la fédération. Si vous la configurez dès le premier jour, les comptes Apple gérés sont provisionnes automatiquement à partir des identifiants d'entreprise existants. Si vous attendez, vos utilisateurs risquent de créer des identifiants Apple personnels avec leur adresse email professionnelle. Récupérer ces domaines par la suite déclenche des conflits de prise en charge qui obligent chaque utilisateur concerné à migrer ses données personnelles hors du domaine d'entreprise. Sur une flotte de plusieurs centaines d'appareils, cela représente des semaines de charge de support.

ABM authentifie toutes les connexions par le biais de tokens, et la réalité opérationnelle de la gestion de ces tokens est l'aspect le plus fréquemment négligé de l'administration d'ABM. Token du serveur MDM : expire chaque année. S'il n'est pas renouvelé, les nouveaux appareils cessent de s'enregistrer automatiquement. Les appareils déjà gérés ne sont pas immédiatement affectés, mais tout appareil allumé pour la première fois ne recevra pas son profil d'enregistrement. Les avertissements d'expiration d'ABM sont faciles à manquer ; configurez vos propres rappels. Token Apps et Books : expire aussi chaque année. Lorsqu'il expire, les attributions de licences d'applications échouent silencieusement : les applications cessent d'être distribuées aux nouveaux appareils, et la révocation puis la réassignation de licences ne fonctionnent plus. Permanence de l'attribution des appareils : une fois qu'un numéro de série est associé à votre instance ABM via un achat agréé, il est lié à votre organisation. Les appareils peuvent être libérés d'ABM par les administrateurs, mais une fois libérés, ils ne peuvent pas être réajoutés par les canaux d'achat normaux. Prenez cela en compte pour le cycle de vie et la revente de vos appareils. Une implémentation MDM professionnelle adresse tous ces points dès le départ.

Acheter des appareils hors canaux agréés. Les appareils acquis auprès de revendeurs non autorisés, d'occasion ou en magasin grand public n'apparaissent pas dans ABM et ne peuvent pas bénéficier de l'Automated Device Enrollment. Il n'existe aucune API ni méthode de masse pour les ajouter rétroactivement sans effacer chaque appareil via Apple Configurator. Pour les organisations qui constituent une grande flotte de Mac, cette erreur coûte cher. Reporter la fédération d'identité. Chaque semaine de retard est une semaine pendant laquelle les utilisateurs risquent de créer des identifiants Apple personnels avec leur adresse professionnelle. Les conflits de revendication de domaine sont la source la plus fréquente de douleur lors d'un déploiement ABM. Ne pas définir de serveur MDM par défaut. Si vous ajoutez un serveur MDM sans le définir par défaut, les nouveaux appareils apparaissent dans ABM mais ne sont attribués à aucun serveur. Ils restent non gérés tant que quelqu'un ne les attribue pas manuellement. Ignorer le renouvellement des tokens. Les tokens du serveur MDM et d'Apps et Books expirent chaque année, et les avertissements d'ABM sont faciles à manquer. Quand ils expirent, le service correspondant cesse de fonctionner silencieusement. Ajoutez des rappels au calendrier le jour de la génération de chaque token.

Les revendeurs Apple agréés en Suisse enregistrent automatiquement les numéros de série des appareils achetés dans ABM lorsque votre numéro client Apple est lié au compte du revendeur. Vérifiez ce lien avec votre revendeur avant votre première commande, pas après que les appareils soient arrivés sans attribution. Pour les organisations au Liechtenstein, la même instance ABM couvre les deux pays. Les organisations opérant en Suisse et dans l'UE font face à une considération supplémentaire : la fédération des comptes Apple gérés doit couvrir tous les domaines d'identité utilisés dans les différentes juridictions. Si votre entité suisse utilise un domaine email différent de vos entités dans l'UE, chaque domaine doit être vérifié et revendique séparément dans ABM. Pour les secteurs réglementés (santé, finance, secteur public), les capacités de fédération d'identité et de supervision des appareils d'ABM sont des prérequis pour répondre aux exigences de conformité suisses et européennes en matière de gestion des appareils et de séparation des données. Si vous passez d'une configuration Apple grand public à une gestion d'entreprise, l'inscription à ABM et la configuration du lien revendeur constituent la première étape indispensable.

ABM est le point de départ, pas la destination. Combiné à l'automatisation MDM, il permet d'expédier les appareils directement d'Apple à l'employé, avec une configuration automatique au premier démarrage : c'est le déploiement zéro-touch. La chaine complète fonctionne ainsi : Apple expédie l'appareil à l'employé. L'appareil est allumé et contacte les serveurs d'activation d'Apple. Apple le redirige vers ABM. ABM l'attribue à votre serveur MDM. Le MDM pousse la configuration, les applications et les politiques de sécurité. L'utilisateur se connecte avec son compte Apple géré. L'appareil est prêt. Aucune intervention IT. Aucune zone de staging. Aucun envoi préalable des appareils au siège. C'est ce qu'ABM rend possible lorsqu'il est configuré correctement, et c'est pourquoi il est essentiel de poser les bonnes bases dès le départ.