MDM Apple, gestion de parc Mac en entreprise

Dix Mac dans une société, c'est déjà un parc. Sans outil de gestion, chaque poste est monté à la main et personne ne sait vraiment ce qui tourne dessus. Apple a prévu la réponse dès l'usine. Voici comment nous la mettons en place chez nos clients d'Occitanie.

Chaque Mac est configuré à la main. Un salarié arrive, quelqu'un passe une demi journée à installer les applications, la messagerie, le VPN et l'imprimante. Le suivant sera monté autrement. Au bout de vingt machines, il n'existe plus deux Mac identiques.

Personne ne sait ce qui est chiffré. FileVault est actif sur certains postes, pas sur d'autres, et les clés de récupération traînent dans un tableur ou nulle part.

Le départ d'un collaborateur devient une négociation. Le Mac revient sans mot de passe de session, ou lié à un compte Apple personnel. Il faut rappeler l'ancien salarié pour débloquer une machine qui appartient à l'entreprise.

Et le salarié refuse l'enrôlement. Il croit que son employeur va lire ses messages et suivre ses déplacements. Personne ne lui a montré ce qui remonte vraiment.

Nous partons d'Apple Business Manager, désormais regroupé par Apple dans l'offre Apple Business. L'entreprise valide son domaine, puis les appareils achetés auprès d'un revendeur agréé lui sont rattachés par leur numéro de série.

Vient ensuite l'inscription automatisée. Les Mac rattachés à l'organisation peuvent rejoindre le service de gestion dès l'Assistant réglages. L'entreprise applique alors ses profils, ses certificats et ses applications avant la première utilisation, sans configuration manuelle poste par poste. Les appareils inscrits de cette manière sont supervisés, ce qui donne à l'organisation les contrôles prévus par Apple pour un équipement professionnel.

Le reste tient dans des profils de configuration, des fichiers XML qui portent réglages, comptes, restrictions et certificats : Wi-Fi, VPN, exigence de code, applications déployées à distance.

Ce que l'employeur voit, et ce qu'il ne voit pas

C'est la vraie objection. Apple publie la liste dans sa documentation entreprise pour iPhone et iPad. Le service de gestion voit le nom de l'appareil, le numéro de série, le modèle, l'espace disponible, la version du système, les applications installées et l'état du chiffrement.

Apple indique qu'il ne peut pas voir les « e-mails, calendriers, contacts personnels ou professionnels, SMS ou messages iMessage, historique du navigateur Safari, journaux des appels FaceTime ou téléphoniques, rappels et notes personnels, fréquence d'utilisation des apps, localisation de l'appareil ». Apple ajoute que « les comptes personnels des utilisateurs restent toujours inaccessibles ». La logique est identique sur Mac géré : l'inventaire remonte, le contenu non. Nous remettons cette liste aux équipes avant le déploiement, et l'objection tombe.

Nous commençons par l'inventaire réel : machines, âge, versions de système, applications payées. Nous créons ou reprenons ensuite le compte Apple Business Manager, et nous y rattachons le canal d'achat pour que les prochains Mac arrivent déjà déclarés.

Nous écrivons les profils avec vous : ce qui est imposé, ce qui reste libre. Un pilote tourne sur deux ou trois postes volontaires avant tout déploiement large. Puis nous inscrivons le parc, service par service.

La sortie d'un collaborateur se prépare dès le premier jour : restitution, effacement à distance, reprise du poste.

FileVault est piloté par le service de gestion. La clé de récupération personnelle est séquestrée chiffrée auprès du service, qui peut la faire tourner. Apple permet aussi d'exiger l'activation de FileVault pendant l'assistant de réglages. Point d'honnêteté : Apple écrit que la clé de récupération institutionnelle n'est plus recommandée sur Mac, et qu'elle n'a aucune utilité fonctionnelle sur les Mac à puce Apple.

Pour un appareil perdu, Apple Business permet un mode Perdu géré sur iPhone et iPad, un verrouillage à distance du Mac par code à six chiffres, et un effacement. Trois conditions posées par Apple : appareil supervisé, inscrit au service de gestion, connecté à internet. Le verrouillage d'activation se désactive depuis Apple Business pour les appareils que l'entreprise possède.

Les comptes Apple gérés complètent le tableau : détenus par l'entreprise sur son domaine, avec mot de passe réinitialisable par elle.

WiFeel est membre de l'Apple Consultants Network, contrat renouvelé. Apple décrit ce réseau comme « constitué de partenaires technologiques indépendants, qui se spécialisent dans les solutions Apple pour les petites et moyennes entreprises ». Derrière WiFeel, une équipe qui accompagne les professionnels depuis plus de 30 ans sur l'écosystème Apple.

Nous suivons plus de 130 clients professionnels en Occitanie, et 1 client sur 2 fait de nouveau appel à nous. La maintenance prévoit une intervention en 8 heures ouvrées et un dépannage en 24 heures ouvrées maximum, déplacement sur site illimité.

Nous auditons votre parc Apple gratuitement et sans engagement, sur site en Occitanie. Vous repartez avec l'état réel des machines et un plan d'inscription. Prendre rendez-vous.