Gérer les appareils Apple de l’installation au retrait

Commencez par la liste de tous vos appareils. Pour chacun, notez qui l’utilise, sous quel système d’exploitation il fonctionne et quelles apps métier y sont installées. Incluez les téléphones personnels qui ouvrent la messagerie professionnelle et les appareils partagés, comme l’iPad d’une salle de réunion. Ce sont eux qu’on oublie le plus facilement. Notez aussi avec quel fournisseur d’identité vos collaborateurs se connectent, dans quel outil de gestion se trouvent les appareils aujourd’hui et qui s’occupe du support.

Reprenez tels quels les réglages qui fonctionnent aujourd’hui, et notez à part les changements que vous avez décidés. Si vous changez de MDM et revoyez toute la configuration en même temps, la migration devient un projet bien plus gros que prévu. Et quand quelque chose ne fonctionne plus, il est difficile de savoir si le problème vient du changement de MDM ou de la nouvelle configuration.

Pour les appareils qui appartiennent à l’organisation, testez d’abord l’inscription automatisée des appareils via Apple Business. Un nouveau Mac ou iPhone s’inscrit alors dans votre MDM lors de sa première configuration, et vous pouvez rendre cette étape obligatoire. Vérifiez que votre fournisseur ajoute les appareils à votre compte Apple Business et que chacun est attribué au bon MDM et au bon profil d’inscription. S’il manque l’un de ces deux liens, l’appareil se configure comme un appareil personnel, sans passer par votre MDM.

Les appareils que vous possédez déjà ne figurent parfois pas du tout dans Apple Business. Il faut les inscrire autrement, et certains doivent d’abord être préparés.

Pour les appareils personnels, examinez l’inscription de l’utilisateur (User Enrollment) et vérifiez qu’elle donne à vos apps les accès dont elles ont besoin. Elle sépare les données professionnelles des données personnelles, et le service informatique a moins de contrôle que sur un appareil de l’entreprise. Expliquez à vos collaborateurs ce qu’un administrateur peut voir et faire sur leur téléphone, et ce qu’il ne peut pas. Chacun inscrit plus volontiers son propre appareil quand il sait jusqu’où va l’accès de l’entreprise. Notre guide sur les appareils personnels ou professionnels détaille ces choix.

Attribuez à chaque groupe les apps et les licences dont il a besoin. Avant de distribuer une app à tout le monde, testez aussi ses mises à jour, sa suppression et, s’il y en a, les réglages propres à cette app. Quand votre façon de travailler le permet, attribuez les licences à l’appareil. L’app s’installe alors sans que personne n’ait à se connecter avec un compte Apple.

Définissez une base de sécurité pour les appareils de l’entreprise et une autre pour les appareils personnels, car un Mac de l’entreprise et un iPhone personnel n’autorisent pas les mêmes contrôles. Vérifiez ensuite sur les appareils eux-mêmes le chiffrement, les contrôles d’accès et la récupération. Un réglage que le MDM indique comme appliqué peut ne pas fonctionner pour autant. Un Mac peut signaler FileVault comme activé alors que sa clé de récupération n’est jamais arrivée dans le MDM. Certains appareils auront besoin d’exceptions. Consignez chacune là où tout le monde peut la voir, et désignez la personne qui en est responsable.

Avant le déploiement, testez les demandes du quotidien. Préparez l’appareil d’un nouvel arrivant, réinitialisez un mot de passe oublié, corrigez une app qui ne s’installe pas et remplacez un appareil. Ces demandes touchent toutes à l’inscription, à la connexion ou aux apps. Elles montrent donc vite où la configuration est fragile. Décidez qui traite chaque cas et de quels accès cette personne a besoin dans le MDM. Quelqu’un qui réinitialise des mots de passe n’a pas besoin de tous les droits d’administrateur.

Votre MDM dépend de certificats et de jetons qui expirent, comme le certificat push d’Apple (APNs) et les jetons qui relient votre MDM à Apple Business. Pour chaque renouvellement, désignez une personne responsable. Selon celui qui expire, le MDM perd le contact avec les appareils, les nouveaux appareils ne s’inscrivent plus automatiquement ou les apps ne peuvent plus être attribuées.

Chronométrez une installation complète, du premier démarrage jusqu’au moment où la personne peut travailler, téléchargement des apps et première connexion compris. La durée dépend du réseau et du nombre d’apps à installer. Ne promettez donc pas de durée fixe.

Déployez les mises à jour avec une règle que vous avez testée. Commencez par un petit groupe, fixez une échéance et gardez un moyen de différer la mise à jour des appareils qui ne peuvent pas encore la recevoir, par exemple parce qu’une app métier ne prend pas en charge la nouvelle version. Surveillez les installations qui échouent, et prévenez vos collaborateurs de ce qui arrive avant qu’une échéance n’impose un redémarrage.

Quand vous retirez un appareil, supprimez ses accès aux comptes et aux données de l’entreprise, récupérez ses licences d’apps pour les réutiliser et vérifiez qu’il a été effacé selon vos règles. Désactivez le verrouillage d’activation par une voie autorisée, par exemple votre MDM, pour que la personne suivante puisse configurer l’appareil. Ne libérez l’appareil dans Apple Business que si vous le vendez, le donnez à une autre organisation ou le mettez au rebut. Ensuite, il ne s’inscrit plus automatiquement dans votre MDM.

Apple Platform Deployment · Apple Business · User Enrollment · Software updates