Manuel Utilisateur

Documentation pour Cerberus Enterprise MDM

Introduction

Cerberus Enterprise est une solution EMM complète, conçue pour vous aider à sécuriser et à gérer vos appareils Android et Apple. Elle propose toutes les fonctionnalités nécessaires à une gestion efficace des appareils BYOD et des appareils d'entreprise dans un tableau de bord clair et convivial, et vous pouvez démarrer en quelques minutes.

Pour utiliser efficacement Cerberus Enterprise, vous devez comprendre quelques concepts clés sur le fonctionnement du système.

Le système prend en charge la gestion des appareils Android et Apple :

Sur Android, Cerberus Enterprise utilise l'Android Management API officielle de Google pour gérer les appareils via l'application Android Device Policy (ADP). La plupart des paramètres sont appliqués directement par ADP. Certaines fonctionnalités facultatives peuvent également nécessiter l'application compagnon Cerberus Enterprise, qui étend les possibilités au-delà d'ADP seul.

Sur les appareils Apple (iPhone, iPad et Mac), Cerberus Enterprise gère les appareils via Apple MDM (Mobile Device Management). La gestion Apple nécessite un certificat APNs et peut éventuellement s'intégrer à Apple Business pour l'inscription automatique et les licences d'app. Sur les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure, Cerberus installe également l'app compagnon Cerberus Enterprise, qui partage la localisation de l'appareil et reçoit les notifications.

Chaque appareil peut être inscrit dans le système à l'aide d'un Jeton d'inscription ou d'un Profil d'inscription (inscription manuelle Apple). La méthode d'inscription est associée à une Stratégie qui contient les règles à appliquer aux appareils.

Les administrateurs informatiques peuvent modifier la stratégie associée à un appareil après l'inscription. Toutefois, chaque appareil ne peut être associé qu'à une seule stratégie à la fois.

Lors du processus d'inscription (provisionnement), les composants de gestion requis sont installés et configurés automatiquement. Sur Android, cela inclut généralement l'application Android Device Policy (et, selon votre configuration, l'application compagnon Cerberus Enterprise). Sur les appareils Apple, la gestion est appliquée via MDM une fois l'appareil inscrit, puis les iPhone et iPad reçoivent l'application compagnon Cerberus Enterprise (cela nécessite l'application gratuite dans votre bibliothèque Apple Business et un jeton Apps and Books). Par conséquent, la stratégie correspondante est automatiquement appliquée à l'appareil et toutes les règles associées sont appliquées par le système de gestion de la plateforme.

Une stratégie peut être appliquée à plusieurs appareils. Dans ce cas, lorsque vous modifiez la stratégie, tous les appareils associés reçoivent les modifications.

 

Configuration

Configuration

Configuration d’Android Management

Pour gérer des appareils Android avec Cerberus Enterprise, vous devez d’abord connecter votre organisation à Google Android Enterprise.

Le processus de configuration prend généralement quelques minutes et nécessite une adresse e-mail professionnelle (par exemple name@enterprise.com) ou, à défaut, une adresse e-mail Google personnelle.

Ce qui se passe pendant la configuration

Informations importantes

Nous vous recommandons de vous inscrire avec une adresse e-mail professionnelle, et non avec un compte Gmail personnel. Si l’adresse e-mail est déjà associée à un compte Google Admin, ce compte existant est réutilisé et lié à Cerberus Enterprise ; sinon, un nouveau compte Google Admin gratuit est créé. Un compte Google Admin débloque l’ensemble complet des fonctionnalités — par exemple, l’inscription d’appareils via l’authentification Google avec des comptes gérés par votre domaine Google Admin.

Vous n’avez pas d’adresse e-mail professionnelle ?

Vous pouvez toujours vous inscrire avec une adresse e-mail Google personnelle (par exemple, un compte Gmail). Dans ce cas, Google crée un compte Managed Google Play gratuit lié à Cerberus Enterprise.

Étapes suivantes

Après avoir terminé la configuration, créez un Jeton d’inscription et choisissez la méthode de provisionnement appropriée pour l’appareil.

Configuration

Configuration d’Apple Management (APNs)

Pour gérer des appareils Apple, Cerberus Enterprise nécessite le certificat du service Apple Push Notification (APNs).

Utilisez l’identifiant Apple associé à votre organisation. Le certificat APNs est valide pendant un an et doit être renouvelé chaque année pour continuer à gérer les appareils.

Étape 1 : télécharger le fichier CSR

Dans le tableau de bord, démarrez la configuration d’Apple Management et téléchargez le fichier de demande de signature de certificat (CSR) signé par le fournisseur généré par Cerberus Enterprise.

Étape 2 : créer le certificat Push sur le portail Apple

Lien du portail : https://identity.apple.com/

Étape 3 : importer le certificat Push

Importez dans Cerberus Enterprise le certificat Push que vous avez téléchargé depuis Apple pour terminer la configuration.

Si le certificat APNs expire, la gestion des appareils Apple cesse de fonctionner jusqu’au renouvellement du certificat.

À partir de 30 jours avant l’expiration, le tableau de bord affiche une bannière avec une action Comment renouveler. Renouvelez toujours le certificat existant sur le portail des certificats Apple Push avec le même identifiant Apple : un nouveau certificat a un sujet différent, et les appareils déjà inscrits devraient être réinscrits.

Étapes suivantes

Une fois APNs configuré, vous pouvez procéder à l’inscription des appareils Apple. Poursuivez avec Aperçu du provisionnement Apple.

Présentation du provisionnement des appareils

Cerberus Enterprise prend en charge la gestion des appareils sur les plateformes Android et Apple. Vous pouvez configurer chaque plateforme indépendamment, selon les appareils que vous devez inscrire.

1. Terminez la configuration de la plateforme dans le tableau de bord

Avant d'inscrire des appareils, terminez la configuration de la plateforme dans le tableau de bord Cerberus Enterprise. Si votre compte n'est pas encore configuré, le tableau de bord vous guidera à travers les étapes requises.

Configuration Android (Google Android Enterprise)

Pour la procédure complète de configuration Android, consultez Configuration d'Android Management.

Configuration Apple (certificat push APNs)

Pour la procédure complète de configuration Apple, consultez Configuration d'Apple Management (APNs).

2. Inscrivez des appareils

Une fois la configuration de la plateforme terminée, choisissez la méthode d'inscription adaptée à votre modèle de possession des appareils et à votre système d'exploitation.

Inscription Android

Pour Android, l'inscription est pilotée par les jetons d'inscription. Sélectionnez la méthode appropriée selon que l'appareil appartient à un particulier ou à l'entreprise.

Inscription Apple

Provisionnement des Appareils - Android

Provisionnement des Appareils - Android

Appareils pris en charge

En général, tout appareil exécutant Android 6 ou version ultérieure avec Google Play Services est compatible avec Cerberus Enterprise.

Pour une meilleure expérience utilisateur, nous vous suggérons d'utiliser des appareils qui répondent aux exigences Android Enterprise Recommended.

Certaines fonctionnalités sont limitées à des versions spécifiques d'Android ou peuvent se comporter différemment selon la version du système d'exploitation. Pour plus d'informations sur une fonctionnalité spécifique, consultez la section Stratégies de la documentation.

Cerberus Enterprise prend en charge les appareils d'entreprise et les appareils personnels, ainsi que deux modes de gestion : propriétaire de l'appareil (device owner) et propriétaire du profil (profile owner).

Les appareils personnels peuvent être gérés au moyen d'un profil professionnel. Cela permet une solution BYOD en séparant les données et apps professionnelles des employés de leurs données et apps personnelles, ce qui améliore à la fois la sécurité et la confidentialité. Cette option convient aux appareils déjà possédés par les employés que vous souhaitez inscrire dans votre organisation pour un usage professionnel.

Les appareils d'entreprise peuvent également être gérés au moyen d'un profil professionnel, mais vous pouvez aussi choisir l'option entièrement gérée, qui offre un contrôle plus strict de l'appareil. Les appareils d'entreprise dotés d'un profil professionnel conviennent lorsque vous fournissez des appareils à vos employés pour le travail tout en autorisant un usage personnel. Les appareils entièrement gérés sont plus adaptés aux appareils qui doivent être utilisés uniquement pour le travail, ou aux appareils dédiés (COSU, corporate-owned single-use), comme les bornes interactives.

Pour plus d'informations sur le provisionnement des appareils, consultez la page Présentation du provisionnement des appareils.


Provisionnement des Appareils - Android

Jetons d'inscription

Cerberus Enterprise utilise des jetons d'inscription pour lancer le processus d'inscription (provisionnement) des appareils Android. Le jeton que vous sélectionnez définit la stratégie initiale appliquée aux appareils inscrits et influence les modes de provisionnement autorisés.

L'onglet des jetons d'inscription Android n'est disponible qu'après avoir terminé la configuration d'Android Management.

Où trouver les jetons d'inscription

Dans le tableau de bord, ouvrez Jetons d'inscription. Selon la configuration de votre compte, la page peut afficher plusieurs onglets (jetons Android, inscription par connexion Google, inscription manuelle Apple et Apple Automated Device Enrollment).

Si votre environnement Android enterprise repose sur un domaine Google géré (Google Workspace), le tableau de bord peut également afficher un onglet S'authentifier avec Google Enrollment. Pour en savoir plus sur son activation et son utilisation, consultez S'authentifier avec Google Enrollment.

Liste des jetons d'inscription (Android)

L'onglet des jetons Android affiche un tableau de tous les jetons. Un clic sur une ligne ouvre la page de détails du jeton.

Colonnes

Actions

Créer un jeton d'inscription

Dans l'onglet des jetons Android, cliquez sur Nouveau jeton d'inscription pour ouvrir la page de création du jeton. Si votre licence est expirée, le bouton de création est désactivé.

Options du jeton

1. Stratégie

Obligatoire. Stratégie appliquée automatiquement à tous les appareils inscrits avec ce jeton. Sélectionnez l'une de vos stratégies Android. Si vous n'avez pas encore de stratégie, créez-en une d'abord.

2. Utilisateur

Facultatif. S'il est défini, les appareils nouvellement inscrits sont automatiquement associés à cet utilisateur.

3. Usage personnel

Détermine si l'usage personnel est autorisé sur un appareil provisionné avec ce jeton d'inscription :

4. Utilisations autorisées

Indiquez si le jeton peut être utilisé plusieurs fois (Multiple) ou une seule fois (Une seule fois).

5. Expiration

Sélectionnez l'unité d'expiration (Minutes, Heures, Jours ou Jamais). Si l'unité n'est pas définie sur Jamais, saisissez la valeur d'expiration. La plage autorisée dépend de l'unité sélectionnée et peut aller jusqu'à 10 000 jours.

6. Authentification Google

Détermine si l'utilisateur doit s'authentifier avec un compte Google lors de l'inscription de l'appareil :

Lorsque Obligatoire est sélectionné, un champ facultatif Adresse e-mail du compte requis apparaît. S'il est défini, l'utilisateur doit s'authentifier avec ce compte Google spécifique lors de l'inscription.

Options de provisionnement (QR code uniquement)

Ces options supplémentaires sont intégrées au QR code et s'appliquent lors du provisionnement des appareils entièrement gérés inscrits en scannant le QR code. Elles ne s'appliquent pas aux profils professionnels ni aux appareils inscrits à l'aide de l'URL d'inscription ou du jeton.

Configuration Wi‑Fi

Utilisez cette option pour permettre à un appareil de se connecter automatiquement au Wi‑Fi pendant le provisionnement, afin qu'il puisse télécharger et initialiser l'app de gestion. Les champs disponibles incluent SSID, SSID masqué, Sécurité et (si nécessaire) Phrase secrète.

Vous pouvez également configurer un proxy HTTP (Proxy) et, selon le mode, définir Hôte/Port, URI PAC et Hôte de contournement du proxy.

Autres options

Les options supplémentaires incluent Paramètres régionaux, Fuseau horaire et Ignorer le chiffrement.

Détails du jeton d'inscription

Lorsque vous ouvrez un jeton, la page de détails affiche la configuration du jeton et les informations d'utilisation :

Pour les procédures de provisionnement détaillées, suivez les guides d'inscription Android : Appareils personnels, Appareils d'entreprise pour usage professionnel et personnel, Appareils d'entreprise pour usage professionnel uniquement et Zero-touch.

Provisionnement des Appareils - Android

Appareils personnels

Les appareils appartenant aux employés peuvent être configurés avec un profil professionnel. Un profil professionnel offre un espace autonome pour les apps et données professionnelles, séparé des apps et données personnelles. La plupart des stratégies de gestion des apps, des données et autres s'appliquent uniquement au profil professionnel, tandis que les apps et données personnelles des employés restent privées.
Pour configurer un profil professionnel sur un appareil personnel, utilisez l'une des méthodes de provisionnement suivantes (assurez-vous que le jeton d'inscription a Usage personnel défini sur Autorisé) :

Lien du jeton d'inscription

Version Android
6.0+
Vous pouvez fournir l'URL d'inscription aux utilisateurs finaux. Lorsqu'un utilisateur final ouvre le lien depuis son appareil, il est guidé tout au long de la configuration du profil professionnel.

Ajouter un profil professionnel depuis "Paramètres"

Version Android
6.0+
Pour configurer un profil professionnel sur son appareil, un utilisateur peut ouvrir l'app Paramètres de l'appareil, puis utiliser la barre de recherche pour trouver et appuyer sur l'option Configurer votre profil professionnel.

Si la recherche ne donne rien, l'emplacement de cette option peut varier. Voici quelques possibilités :

Ces étapes lancent un assistant de configuration qui télécharge Android Device Policy sur l'appareil. L'utilisateur est ensuite invité à scanner un QR code ou à saisir manuellement un jeton d'inscription pour terminer la configuration du profil professionnel.

Télécharger Android Device Policy

Version Android
6.0+
Pour configurer un profil professionnel sur son appareil, un utilisateur peut télécharger Android Device Policy depuis le Google Play Store. Une fois l'app installée, l'utilisateur est invité à scanner un QR code ou à saisir manuellement un jeton d'inscription pour terminer la configuration du profil professionnel.

iPhone et iPad personnels

Les iPhone et iPad personnels (ainsi que les Mac) s'inscrivent avec l'Inscription utilisateur d'Apple : l'utilisateur se connecte avec son Managed Apple Account dans les réglages de l'appareil, et seules les applications, comptes et données professionnels sont gérés. Sur les iPhone et iPad, les applications de l'App Store de la stratégie et l'application Cerberus Enterprise sont installées avec une licence utilisateur de ce compte. La position des appareils personnels est collectée uniquement si leur stratégie active Localisation et géorepérage sur les appareils personnels et que l'utilisateur l'autorise. Consultez la page Inscription Apple pilotée par le compte.

Provisionnement des Appareils - Android

Appareils d'entreprise pour usage professionnel et personnel

La configuration d'un appareil d'entreprise avec un profil professionnel permet de l'utiliser à des fins professionnelles et personnelles. Sur les appareils d'entreprise dotés d'un profil professionnel :
Pour configurer un appareil d'entreprise avec un profil professionnel, utilisez l'une des méthodes de provisionnement suivantes (assurez-vous que le jeton d'inscription a Usage personnel défini sur Autorisé) :

Méthode par QR code

Version Android
8.0+
Sur un appareil neuf ou réinitialisé, l'utilisateur (généralement un administrateur informatique) appuie six fois au même endroit sur l'écran. L'appareil invite alors l'utilisateur à scanner un QR code.
Provisionnement des Appareils - Android

Appareils d'entreprise pour usage professionnel uniquement

Gestion complète de l'appareil convient aux appareils d'entreprise destinés exclusivement à un usage professionnel. Les entreprises peuvent gérer toutes les apps de l'appareil et appliquer l'ensemble des stratégies et commandes de l'API Android Management.
Il est également possible de verrouiller un appareil (via une stratégie) sur une seule app ou un petit ensemble d'apps afin de répondre à un usage ou à un cas d'utilisation dédié. Ce sous-ensemble d'appareils entièrement gérés est appelé appareils dédiés.
Pour configurer la gestion complète d'un appareil d'entreprise, utilisez l'une des méthodes de provisionnement suivantes (assurez-vous que le jeton d'inscription a Usage personnel défini sur Non autorisé) :

Méthode par QR code

Version Android
7.0+
Sur un appareil neuf ou réinitialisé, l'utilisateur (généralement un administrateur informatique) appuie six fois au même endroit sur l'écran. L'appareil invite alors l'utilisateur à scanner un QR code.

Méthode par identifiant DPC

Version Android
5.1+
Si Android Device Policy ne peut pas être ajouté via un QR code, un utilisateur ou un administrateur informatique peut suivre ces étapes pour provisionner un appareil entièrement géré ou dédié :

1. Suivez l'assistant de configuration sur un appareil neuf ou réinitialisé.
2. Saisissez les identifiants Wi-Fi pour connecter l'appareil à Internet.
3. Lorsque vous êtes invité à vous connecter, saisissez afw#setup, ce qui télécharge Android Device Policy.
4. Scannez un QR code ou saisissez manuellement un jeton d'inscription pour provisionner l'appareil.
Provisionnement des Appareils - Android

Zero-touch

Les administrateurs informatiques peuvent provisionner des appareils d'entreprise à l'aide de la méthode d'inscription Zero-touch, décrite dans Inscription Zero-touch pour les administrateurs informatiques. Lorsqu'un appareil est allumé pour la première fois, il est automatiquement soumis aux paramètres définis par l'administrateur informatique.

Les administrateurs informatiques peuvent préconfigurer des appareils achetés auprès de revendeurs agréés et les gérer à l'aide du tableau de bord Cerberus Enterprise. Pour associer votre compte Zero-touch, accédez à la section Zero-touch du tableau de bord, puis suivez les instructions.

Version AndroidProfil professionnelAppareil entièrement géréAppareil dédié
8.0+ (Pixel 7.1+)✓✓✓
Provisionnement des Appareils - Android

S'authentifier avec Google Enrollment

S'authentifier avec Google Enrollment (également appelé Authentification Google pour l'inscription) permet aux utilisateurs de s'authentifier avec leur compte Google Workspace lors de l'inscription d'un appareil Android.

Cette fonctionnalité est disponible uniquement pour les environnements Android enterprise reposant sur un domaine Google géré (Google Workspace).

Où la trouver

Dans le tableau de bord, ouvrez Jetons d'inscription et sélectionnez l'onglet S'authentifier avec Google Enrollment. Cet onglet n'apparaît que lorsque Android Management est configuré et que l'intégration Google Workspace est disponible pour votre entreprise.

Activer (ou désactiver) l'authentification Google

L'authentification Google s'active depuis la Google Admin console. Après avoir modifié le paramètre, revenez à Cerberus Enterprise et utilisez Actualiser l'état pour recharger la configuration actuelle.

  1. Connectez-vous à la Google Admin console avec un compte administrateur.
  2. Ouvrez Appareils.
  3. Accédez à Mobile et points de terminaison → Paramètres → Intégrations tierces.
  4. Recherchez l'intégration Android EMM de Cerberus Enterprise et ouvrez-la.
  5. Cliquez sur Gérer les fournisseurs EMM.
  6. Utilisez le bouton S'authentifier avec Google pour activer ou désactiver l'authentification Google lors de l'inscription.
  7. Cliquez sur Enregistrer.
  8. Revenez au tableau de bord Cerberus Enterprise et cliquez sur Actualiser l'état dans l'onglet S'authentifier avec Google Enrollment.

Jeton d'inscription avec authentification Google

Lorsque l'authentification Google est activée, le tableau de bord affiche un jeton d'inscription dédié à ce mode d'inscription. La page peut afficher un QR code, une valeur de jeton d'inscription et une URL d'inscription (copiables et envoyables par e-mail).

Options clés

Interaction avec les stratégies

Le paramètre de stratégie Authentification lors de la configuration du compte professionnel (workAccountSetupConfig.authenticationType) détermine comment les utilisateurs s'authentifient lors de la configuration de leur compte professionnel, mais le paramètre S'authentifier avec Google de la Google Admin Console et le type de jeton d'inscription peuvent toujours exiger une authentification.

Pour les appareils déjà inscrits, cette stratégie ne s'applique que si l'appareil est géré par un compte Managed Google Play (c'est-à-dire inscrit sans S'authentifier avec Google Enrollment).

Certaines actions (par exemple la modification des options du jeton) peuvent être désactivées lorsque la licence est expirée.

Inscrire un appareil

Lors de l'inscription, l'utilisateur est invité à s'authentifier avec son compte Google Workspace. Une fois l'inscription réussie, l'appareil est associé à l'utilisateur authentifié.

Profil professionnel (appareils personnels)

Appareils d'entreprise

Pour les procédures générales de provisionnement Android (profil professionnel ou entièrement géré), consultez les pages d'inscription Android standard de ce manuel.

Provisionnement des Appareils - Apple

Provisionnement des Appareils - Apple

Présentation du provisionnement Apple

Cerberus Enterprise permet d'inscrire et de gérer les iPhone, iPad et Mac. Le provisionnement Apple nécessite un certificat APNs et peut être effectué avec différentes méthodes d'inscription.

Prérequis : configurer Apple Management (APNs)

Avant d'inscrire un appareil Apple, effectuez la configuration d'Apple Management (APNs).

Choisir une méthode d'inscription

Inscription manuelle (profil d'inscription)

Automated Device Enrollment (ADE)

Inscription pilotée par le compte (connexion avec un compte professionnel)

Sur les iPhone et iPad personnels inscrits avec User Enrollment, les apps App Store de la stratégie sont installées avec une licence utilisateur du Managed Apple Account, que Cerberus attribue automatiquement ; l'utilisateur est invité à installer chaque app. Les Managed Apple Accounts et le jeton Apps and Books doivent appartenir à la même organisation Apple Business. Consultez Apps sur les appareils personnels.

App Cerberus Enterprise sur iPhone et iPad

Après l'inscription, Cerberus installe son app Cerberus Enterprise sur les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure, avec ou sans stratégie. L'app partage la localisation de l'appareil et reçoit les notifications et les demandes de suivi en direct ; sur les appareils personnels (inscription utilisateur), elle reçoit les messages et partage la localisation uniquement si la stratégie active Localisation et géorepérage sur les appareils personnels et que l'utilisateur l'autorise. Une étape unique est nécessaire : ajoutez l'app gratuite à votre bibliothèque Apple Business (Apps et livres → App Store, recherchez « Cerberus Enterprise », Ajouter pour toutes les unités organisationnelles actuelles et futures). Les appareils supervisés l'installent silencieusement ; sur les autres appareils, l'utilisateur est invité à l'installer. S'il l'a déjà installée depuis l'App Store, l'appareil demande d'autoriser votre organisation à gérer l'app, et l'app conserve ses données et ses autorisations. Si l'utilisateur refuse, utilisez Réessayer sur la page de l'appareil. L'utilisateur ne peut pas supprimer l'app, et elle reste installée si le jeton Apps and Books expire. Les Mac ne reçoivent pas l'app.

Vous pouvez utiliser l'inscription manuelle et l'ADE en parallèle, selon votre parc d'appareils et votre processus d'achat.

Provisionnement des Appareils - Apple

Inscription manuelle Apple (profil d’inscription)

Cerberus Enterprise prend en charge l’inscription manuelle des appareils Apple à l’aide d’un QR code, d’une URL d’inscription ou d’un fichier de profil d’inscription.

L’inscription manuelle est disponible lorsque Apple Management (APNs) est configuré. Si vous n’avez pas encore terminé la configuration APNs, consultez Configuration d’Apple Management (APNs).

Jetons d’inscription

Un jeton d’inscription possède sa propre URL d’inscription et son propre QR code, et attribue ces réglages aux appareils qui s’inscrivent avec lui :

Pour créer un jeton, ouvrez la section Inscription du tableau de bord, sélectionnez l’onglet Inscription manuelle Apple (profil d’inscription) et cliquez sur Nouveau jeton d’inscription. Définissez le nom et les réglages, puis cliquez sur Créer le jeton : la page du jeton affiche son URL d’inscription, son QR code et le bouton Télécharger le profil d’inscription.

Le tableau des jetons affiche, pour chaque jeton, son Statut (Actif, Expiré ou Épuisé), l'Expiration, les Inscriptions effectuées parmi celles autorisées, et la Dernière utilisation, la dernière fois qu'un appareil s'est inscrit avec. Viennent ensuite la Stratégie, l'Utilisateur (survolez-le pour voir l'adresse e-mail), la Propriété et la date de Création (survolez-la pour voir qui a créé le jeton). Les jetons les plus récents apparaissent en premier, et vous pouvez trier par n'importe quelle colonne. Triez par Dernière utilisation pour trouver les jetons actifs que plus personne n'utilise, et supprimez-les pour que leur URL d'inscription cesse de fonctionner. Une stratégie ou un utilisateur supprimé après l'enregistrement du jeton s'affiche comme Stratégie supprimée ou Utilisateur supprimé avec une icône d'avertissement : modifiez le jeton pour en choisir un autre.

Les modifications d’un jeton s’appliquent aux inscriptions suivantes : les appareils déjà inscrits conservent leur stratégie et leur utilisateur. Lorsqu’un jeton est supprimé, expire ou atteint son nombre d’inscriptions autorisées, son URL d’inscription cesse de fonctionner.

Inscription sans jeton

Le panneau Inscription sans jeton du même onglet contient l’URL d’inscription de votre organisation. Les appareils inscrits avec celle-ci ne reçoivent ni stratégie ni utilisateur : attribuez-les depuis la page de l’appareil.

La stratégie et l’utilisateur d’un appareil dépendent de sa méthode d’inscription : la stratégie et l’utilisateur du jeton avec un jeton d’inscription ; la stratégie du profil ADE avec l’Automated Device Enrollment, en conservant l’utilisateur attribué sur la page de l’appareil ; aucune stratégie et aucun utilisateur avec l’URL d’inscription, le QR code ou le profil sans jeton (même si l’appareil possède un profil ADE). Un appareil qui s’inscrit à nouveau ne conserve pas la stratégie et l’utilisateur de son inscription précédente : la page de l’appareil les affiche uniquement si la nouvelle inscription les attribue. Seul un appareil effacé avec Return to Service s’inscrit à nouveau avec sa stratégie et son utilisateur actuels.

Obtenir l’URL et le profil d’inscription

Comment inscrire un iPhone ou un iPad

iOS/iPadOS 15.0+

Commencez par télécharger le profil d'inscription sur l'appareil à l'aide de l'une des méthodes suivantes :

Méthode 1 : QR code

Ouvrez l'app Appareil photo sur l'appareil et pointez-la vers le QR code affiché à côté de l'URL d'inscription, puis appuyez sur le lien qui apparaît. Safari ouvre l'URL d'inscription et vous demande d'autoriser le téléchargement d'un profil de configuration : appuyez sur Autoriser.

Méthode 2 : URL d'inscription

Envoyez l'URL d'inscription à l'utilisateur (par exemple avec l'action d'envoi par e-mail) et ouvrez-la dans Safari sur l'appareil, puis appuyez sur Autoriser pour télécharger le profil de configuration.

Méthode 3 : Fichier de profil d'inscription

Téléchargez le fichier de profil d'inscription (enroll.mobileconfig) et envoyez-le à l'appareil, par exemple en pièce jointe d'un e-mail ou via AirDrop, puis ouvrez-le sur l'appareil.

Terminez ensuite l'inscription sur l'appareil :

  1. Sur l'appareil, ouvrez Réglages → Profil téléchargé → Installer, puis suivez les instructions.
  2. Une fois l'inscription terminée, vous pouvez vérifier l'état dans Réglages → Général → VPN et gestion de l'appareil (ou Profils et gestion de l'appareil).

Après l'inscription, les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure reçoivent l'app Cerberus Enterprise. Sur un appareil inscrit manuellement (non supervisé), l'utilisateur est invité à l'installer ou à autoriser votre organisation à le gérer s'il a déjà été installé depuis l'App Store. Si l'utilisateur refuse, utilisez Réessayer sur la page de l'appareil. L'app doit être présente une fois dans votre bibliothèque Apple Business (voir Paramètres du compte).

Sur iPhone et iPad, un profil téléchargé qui n'est pas installé dans les 8 minutes est supprimé par l'appareil. Dans ce cas, téléchargez-le à nouveau.

Comment inscrire un Mac

macOS 13.0+

Le code QR ne fonctionne que sur iPhone et iPad. Téléchargez le profil d'inscription sur le Mac avec l'une des méthodes suivantes :

Méthode 1 : URL d'inscription

Envoyez l'URL d'inscription à l'utilisateur (par exemple avec l'action d'envoi par e-mail) et ouvrez-la dans Safari sur le Mac, puis autorisez le téléchargement si cela est demandé. Si le profil ne s'ouvre pas de lui-même, ouvrez le fichier enroll.mobileconfig téléchargé.

Méthode 2 : fichier de profil d'inscription

Téléchargez le fichier de profil d'inscription (enroll.mobileconfig) et envoyez-le au Mac, par exemple en pièce jointe d'un e-mail ou avec AirDrop, puis ouvrez-le sur le Mac.

L'ouverture du profil ne fait que l'ajouter aux profils téléchargés. Terminez ensuite l'inscription sur le Mac, connecté en tant que son utilisateur principal :

  1. Ouvrez Réglages Système → Général → Gestion de l'appareil (sur macOS 13 et 14 : Confidentialité et sécurité → Profils). Dans la section Téléchargés, double-cliquez sur Profil d'inscription, cliquez sur Inscrire (ou Installer) et suivez les instructions. Saisissez le nom et le mot de passe d'un administrateur du Mac si cela est demandé.
  2. Après l'inscription, Profil d'inscription est listé au même endroit. Dans Terminal, profiles status -type enrollment affiche MDM enrollment: Yes (User Approved).

Les Mac inscrits manuellement sont supervisés, et l'utilisateur qui installe le profil est affiché dans le panneau Utilisateurs du Mac de la page de l'appareil. Les Mac ne reçoivent pas l'app Cerberus Enterprise. Si le profil ne figure plus dans la section Téléchargés, téléchargez-le à nouveau.

N'installez que les profils d'inscription obtenus depuis votre tableau de bord Cerberus Enterprise.

Provisionnement des Appareils - Apple

Apple Automated Device Enrollment (ADE)

L'inscription automatique des appareils (ADE) s'intègre à Apple Business (anciennement Apple Business Manager) pour inscrire automatiquement les iPhone, iPad et Mac appartenant à l'entreprise lorsqu'ils sont allumés pour la première fois (ou après une réinitialisation d'usine).

L’ADE nécessite que Apple Management (APNs) soit configuré au préalable. Si nécessaire, consultez Configuration d’Apple Management (APNs).

Comment inscrire automatiquement des appareils

  1. Ajoutez des appareils à votre compte Apple Business et attribuez-les au service de gestion d’appareils Cerberus Enterprise : dans Apple Business, ouvrez Appareils → Inventaire, sélectionnez les appareils et cliquez sur Attribuer une gestion d’appareil, ou attribuez automatiquement les nouveaux appareils depuis Appareils → Services de gestion → Attribution de l’appareil par défaut. Consultez Gérer les fournisseurs d’appareils et Ajouter des appareils à l’aide d’Apple Configurator.
  2. Après avoir ajouté de nouveaux appareils à votre compte Apple Business, synchronisez-les dans Cerberus Enterprise depuis la section Appareils à l'aide de l'action Synchroniser depuis Apple Business. Les appareils synchronisés n'utilisent une licence qu'une fois inscrits.
  3. Créez un profil ADE dans le tableau de bord depuis Inscription → Apple Automated Device Enrollment (ADE) → Nouveau profil ADE.
  4. Attribuez un profil ADE à un appareil depuis la page de détails de l’appareil à l’aide du champ Profil ADE.

Après l'inscription, les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure reçoivent l'app Cerberus Enterprise. Les appareils inscrits avec ADE sont supervisés : l'app s'installe donc sans demander à l'utilisateur ; la configuration ne l'attend pas. L'app doit figurer une fois dans votre bibliothèque Apple Business (voir Paramètres du compte). Les Mac ne reçoivent pas l'app.

Réglages du profil ADE (aperçu)

Un profil ADE contrôle la manière dont l’appareil est inscrit et le comportement de l’Assistant réglages. Dans Cerberus Enterprise, un profil ADE comprend un nom, une stratégie initiale facultative, des options d’inscription, les panneaux de l’Assistant réglages à ignorer, des contacts d’assistance et des certificats approuvés.

Nom du profil

Un nom lisible pour le profil (par exemple Profil ADE par défaut).

Stratégie

La stratégie appliquée aux appareils lorsqu’ils s’inscrivent avec l’Automated Device Enrollment (Assistant réglages). Les appareils du profil inscrits avec l’URL d’inscription ou le QR code reçoivent plutôt la stratégie de leur jeton d’inscription, ou aucune stratégie sans jeton. Modifier uniquement la stratégie conserve le profil tel quel.

Options d’inscription

Assistant réglages

Liste des profils ADE

La liste affiche le nom de chaque profil, sa stratégie, ses appareils et son Id, l'identifiant qu'Apple attribue au profil. Un cadenas après le nom signale un profil obligatoire que les utilisateurs de gestion ne peuvent pas supprimer. Aucune stratégie ou Stratégie supprimée indique que les appareils inscrits avec le profil ne reçoivent aucune stratégie initiale.

La colonne Appareils compte les appareils inscrits du profil et, à côté, les appareils en attente : attribués au profil dans Apple Business mais pas encore inscrits. Les appareils supprimés ne sont pas comptés.

Modifier un profil

Apple ne permet pas de modifier un profil ADE. Lorsque vous en modifiez un (sauf pour la stratégie uniquement), Cerberus Enterprise définit un nouveau profil portant le même nom et l’attribue aux appareils de l’ancien ; l’ancien profil n’est plus répertorié dès qu’aucun appareil ne l’utilise. Les appareils qui ont déjà terminé l’Assistant réglages utilisent le nouveau profil lors de leur prochain effacement.

Un profil qu'aucun appareil n'utilise, inscrit ou en attente, peut être supprimé de la liste des profils ADE. Apple n'autorise pas la suppression d'un profil : il reste donc dans Apple Business, inutilisé.

Une fois qu’un profil ADE est attribué à un appareil, celui-ci est prêt à être inscrit automatiquement.

Provisionnement des Appareils - Apple

Inscription pilotée par le compte Apple

Avec l’inscription pilotée par le compte, les utilisateurs inscrivent leur iPhone, iPad ou Mac en se connectant avec leur compte professionnel (un compte Apple géré, par exemple name@company.com) dans les réglages de l’appareil. Aucun profil à télécharger et aucun QR code : Cerberus Enterprise trouve l’utilisateur, applique la stratégie et définit lui-même la propriété.

Deux modes

Vous choisissez le mode pour iPhone et iPad et, séparément, pour Mac : par exemple l’inscription utilisateur pour les iPhone personnels et l’inscription d’appareil pour les Mac. Vous pouvez modifier ultérieurement la propriété d’un appareil sur la page de l’appareil.

L’inscription pilotée par le compte est disponible lorsque Apple Management (APNs) est configuré. Si vous n’avez pas encore terminé la configuration APNs, consultez Configuration d’Apple Management (APNs).

Configurer Apple Business

Les utilisateurs se connectent avec des comptes Apple gérés, créés dans Apple Business. Avant de commencer :

  1. Vérifiez votre domaine (par exemple company.com) dans Apple Business, dans les domaines de votre organisation.
  2. Créez les comptes Apple gérés de vos utilisateurs, ou connectez Apple Business à Google Workspace ou Microsoft Entra ID : le compte de chaque utilisateur correspond alors à son adresse e-mail professionnelle et il se connecte avec son mot de passe.
  3. Pour l’inscription utilisateur, vérifiez dans les réglages de gestion des accès que les comptes Apple gérés peuvent se connecter sur des appareils personnels : lorsqu’ils ne peuvent se connecter que sur des appareils supervisés, l’inscription utilisateur échoue.
  4. Uniquement pour l’option Apple Business ci-dessous : ouvrez Appareils → Services de gestion → Attribution de l’appareil par défaut (Modifier) et choisissez le service de gestion d’appareils Cerberus Enterprise pour iPhone, iPad et Mac.

Conservez le service de gestion d’appareils Cerberus Enterprise et son jeton dans Apple Business tant que des appareils sont inscrits avec des comptes Apple gérés : leur suppression peut empêcher les comptes de fonctionner sur les appareils.

Configurer Cerberus Enterprise

Ouvrez la section Inscription du tableau de bord et sélectionnez l’onglet Connexion au compte Apple. Une liste de contrôle en haut indique ce qui manque encore. Seuls les administrateurs peuvent modifier les réglages.

Le compte saisi sur l’appareil est mis en correspondance avec le champ Compte Apple géré des utilisateurs, puis avec leur adresse e-mail. Le code est toujours envoyé à l’adresse e-mail de l’utilisateur. Un compte Apple géré défini sur un utilisateur peut s’inscrire même lorsque son domaine n’est pas vérifié dans Cerberus, par exemple un compte du domaine réservé org.appleid.com d’Apple Business. Avec la découverte de service Apple Business, les utilisateurs saisissent toujours leur compte Apple géré.

Vérifier les domaines

Une fois les réglages enregistrés, la section Vérification du domaine affiche un enregistrement TXT pour chaque domaine. Ajoutez-le au DNS du domaine, puis cliquez sur Vérifier. Les modifications DNS peuvent prendre un certain temps avant d’être visibles. Un domaine vérifié reste vérifié : vous pouvez supprimer l’enregistrement par la suite. Les utilisateurs d’un domaine non vérifié ne peuvent pas s’inscrire.

Découverte de service : comment les appareils trouvent Cerberus Enterprise

Lorsqu’un utilisateur se connecte, l’appareil demande au domaine du compte (par exemple https://company.com) quel serveur le gère. Configurez au moins l’une de ces trois options. La section Découverte de service de l’onglet affiche l’URL de découverte de votre organisation et le texte exact à copier pour chaque option.

Option 1 : Apple Business (recommandée)

Cliquez sur S’inscrire dans Apple Business : Cerberus Enterprise stocke son URL de découverte dans votre organisation Apple Business et rien ne doit être publié sur vos domaines. Vérifier dans Apple Business affiche l’URL qu’Apple Business possède actuellement, et Supprimer d’Apple Business la supprime.

Apple Business conserve une seule URL de découverte par organisation : l’inscrire envoie tous les comptes Apple gérés de l’organisation vers cette organisation Cerberus Enterprise. Ne l’inscrivez pas depuis deux organisations Cerberus Enterprise qui utilisent la même organisation Apple Business.

Option 2 : redirection depuis votre site web

Sur le serveur web de chaque domaine, redirigez /.well-known/com.apple.remotemanagement vers l’URL de découverte de votre organisation, en conservant la chaîne de requête (elle contient le compte saisi par l’utilisateur). Cela fonctionne avec toutes les versions du système qui prennent en charge l’inscription pilotée par le compte, et le mode peut être différent pour iPhone et Mac. Copiez le texte pour Apache ou nginx depuis l’onglet ; il ressemble à ceci, avec la clé de votre organisation :

Apache (.htaccess ou hôte virtuel) :

RewriteEngine On
RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA]

nginx :

location = /.well-known/com.apple.remotemanagement {
    return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args;
}

Sur d’autres serveurs ou services web (IIS, Cloudflare, panneaux de contrôle d’hébergement), créez une règle de redirection (302) depuis le même chemin vers l’URL de découverte avec l’option qui conserve ou transmet la chaîne de requête.

Option 3 : fichier statique sur votre site web

Si vous ne pouvez pas ajouter de redirection, publiez un fichier à l’adresse https://company.com/.well-known/com.apple.remotemanagement (sans extension de fichier), servi avec Content-Type: application/json. Copiez son contenu depuis l’onglet. Un fichier statique ne peut pas choisir le mode par appareil : il utilise le même mode pour iPhone, iPad et Mac. Pour l’inscription utilisateur, il ressemble à ceci : 

{"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]}

et pour l’inscription d’appareil :

{"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]}

Le mode du fichier doit également être le mode défini dans l’onglet pour la famille d’appareils, sinon l’inscription est refusée.

Vérifier la configuration

Dans Vérifier la configuration, choisissez un domaine et un appareil (iPhone ou Mac), puis cliquez sur Vérifier : Cerberus Enterprise interroge le domaine comme le ferait un appareil et affiche la réponse, chaque redirection et un verdict. Un domaine qui pointe vers Cerberus Enterprise signifie que les options 2 ou 3 fonctionnent ; une réponse d’erreur (telle que « not found ») convient pour l’option 1 ; une page web ou un fichier pointant ailleurs arrête les appareils. La vérification avertit également lorsqu’une redirection perd la chaîne de requête ou que le fichier n’est pas servi en application/json.

Clé d’inscription

Les URL de découverte et d’inscription contiennent une clé de votre organisation. Si les URL ont été publiées par erreur, cliquez sur Régénérer la clé : les anciennes URL cessent immédiatement de fonctionner, alors mettez à jour les redirections et les fichiers statiques sur vos sites web. Cerberus Enterprise enregistre lui-même la nouvelle URL dans Apple Business lorsque l’option 1 est utilisée.

Comment les utilisateurs s’inscrivent

  1. iPhone et iPad : ouvrez Réglages → Général → VPN et gestion de l'appareil → Se connecter à un compte professionnel ou scolaire. Mac : Réglages Système → Général → Gestion de l'appareil → Se connecter (sur macOS 14 : Confidentialité et sécurité → Profils → Se connecter).
  2. Saisissez le compte Apple géré, ou l’adresse e-mail professionnelle de l’utilisateur dans Cerberus (par exemple name@company.com). Lorsque le compte Apple géré de l’utilisateur diffère de ce qui a été saisi, l’appareil demande ensuite de se connecter avec ce compte.
  3. Une page Cerberus Enterprise s’ouvre : appuyez sur Envoyer le code, puis saisissez le code à 6 chiffres reçu par e-mail. Le code expire après 10 minutes ; après 5 codes erronés, l’utilisateur doit fermer la page et se reconnecter.
  4. Connectez-vous avec le mot de passe du compte Apple géré (ou avec la page de connexion de l’entreprise lorsque Apple Business est connecté à Google Workspace ou Microsoft Entra ID), puis autorisez la gestion de l’appareil.

Les comptes qui ne peuvent pas s’inscrire (domaine non vérifié, aucun utilisateur correspondant lorsque les utilisateurs ne sont pas créés automatiquement, plusieurs utilisateurs avec la même adresse e-mail) voient le message « Ce compte n’est pas configuré pour l’inscription. Contactez votre administrateur informatique. » Les événements figurent dans les journaux système du tableau de bord.

Après l’inscription

Juste après l'inscription, certains profils de la stratégie (certificats, réseaux Wi-Fi, clips web) peuvent être signalés comme ayant échoué avec une erreur inconnue, et l'appareil peut apparaître comme Non conforme pendant un certain temps. L'appareil les réessaie de lui-même et ils s'installent après un moment, sans aucune action nécessaire. N'enregistrez pas à nouveau la stratégie et n'inscrivez pas à nouveau l'appareil pour cette raison.

Applications sur les appareils personnels

Les iPhone et les iPad inscrits avec l’inscription utilisateur n’ont pas de numéro de série, de sorte qu’Apps and Books ne peut pas leur attribuer de licence d’appareil. Cerberus Enterprise attribue à la place une licence utilisateur aux applications App Store de leur stratégie : la licence est attribuée au compte Apple géré connecté sur l’appareil. Rien ne change dans la stratégie : la même stratégie sert les appareils d’entreprise et personnels, et Cerberus choisit le type de licence pour chaque appareil.

Lorsqu’Apple ne peut pas attribuer de licence, par exemple parce qu’une application payante n’a plus de licence disponible, l’application affiche Échec de la licence utilisateur avec le message d’Apple. Ajoutez des licences dans Apple Business, puis utilisez Redemander sur la page de l’appareil ; Cerberus réessaie également de lui-même lors de la vérification quotidienne. La ligne au-dessus de la liste des applications indique le compte Apple géré et l’état de son utilisateur Apps and Books ; le même état figure sur la page de l’utilisateur.

Les licences utilisateur ne sont utilisées que sur les iPhone et iPad : sur les Mac inscrits avec l'inscription utilisateur, les apps App Store de la stratégie ne sont pas installées. Les livres et les comptes Apple personnels ne sont pas pris en charge.

Aperçu des stratégies

La section Stratégies du tableau de bord (Tableau de bord → Stratégies) répertorie toutes les stratégies de votre compte et vous permet de les créer, copier, modifier et supprimer.

Liste des stratégies

Les stratégies sont affichées dans un tableau. Cliquer sur une ligne ouvre l'éditeur de stratégie correspondant.

Colonnes

Par défaut, les stratégies les plus récemment modifiées sont affichées en premier ; les stratégies jamais enregistrées depuis l'introduction de la colonne Dernière modification suivent, par nom. Cliquez sur l'en-tête d'une colonne pour trier selon cette colonne.

Filtres et recherche

Actualisation et pagination

Créer une stratégie

En bas de la page Stratégies, vous pouvez créer une stratégie. Selon la plateforme configurée dans votre compte, vous pouvez voir l'une de ces actions, ou les deux :

Si votre licence est expirée, la création de stratégies (et les autres actions d'écriture) est désactivée.

Copier et supprimer des stratégies

Chaque ligne de stratégie dispose d'un menu d'actions qui inclut Copier la stratégie et Supprimer la stratégie.

Avertissements de suppression de stratégie

Lors de la suppression d'une stratégie, le tableau de bord peut afficher des avertissements supplémentaires selon l'utilisation de la stratégie.

Supprimer plusieurs stratégies

La liste des stratégies prend en charge la sélection de plusieurs lignes pour la suppression groupée. En mode multisélection, vous pouvez sélectionner plusieurs stratégies et les supprimer en une seule action.

La suppression groupée n'est activée que lorsque toutes les stratégies sélectionnées appartiennent à la même plateforme (toutes Android ou toutes Apple).

Suivant : modifier les paramètres de stratégie

La liste des stratégies est le point d'entrée. Pour configurer les paramètres de stratégie, consultez la documentation de l'éditeur approprié : Stratégies → Android et Stratégies → Apple.

Les stratégies référencées par des jetons d'inscription sont appliquées automatiquement lors de l'inscription de l'appareil.

Politiques - Android

Politiques - Android

Résumé

Les stratégies Android sont les entités centrales du système : elles définissent les règles appliquées et imposées sur les appareils gérés.

Vous pouvez parcourir vos stratégies et en créer de nouvelles depuis la section Stratégies du tableau de bord. Pour ouvrir une stratégie Android, cliquez sur la ligne de la stratégie dans le tableau : le système ouvre la page Éditeur de stratégie.

Une stratégie peut être associée à un jeton d'inscription, afin qu'elle soit automatiquement appliquée aux appareils pendant le processus d'approvisionnement. Vous pouvez également modifier la stratégie attribuée à un appareil après l'approvisionnement.

Chaque appareil ne peut être associé qu'à une seule stratégie à la fois.

De nombreuses options de stratégie ne s'appliquent qu'à certains types d'appareils (entièrement gérés, dédiés, profil professionnel) et versions d'Android. Les paramètres non pris en charge peuvent être ignorés par l'appareil ou signalés comme non conformes.

Disposition de l'éditeur de stratégie

L'éditeur de stratégie est organisé en un ensemble de sections extensibles. En haut de la page, vous pouvez toujours modifier :

Les sections ci-dessous correspondent aux panneaux de l'éditeur de stratégie (par exemple : Gestion des applications, Sécurité, Réseau, Système, Usage personnel, Stratégies inter-profils, etc.). Lorsque vous ouvrez une stratégie enregistrée, les sections dont les réglages ont été modifiés sont déjà ouvertes et les autres restent fermées. Utilisez les pages de chapitre de ce manuel pour comprendre chaque panneau en détail.

Enregistrer, supprimer et appareils associés

Utilisez Enregistrer la stratégie pour appliquer vos modifications. Le bouton est désactivé lorsqu'il n'y a aucune modification en attente ou lorsque la licence est expirée.

Si vous avez ouvert une stratégie existante (elle possède un Id), la page affiche une action Supprimer la stratégie et une liste Appareils associés en bas, afin que vous puissiez voir combien d'appareils utilisent actuellement la stratégie.

Politiques - Android

Gestion des applications

Dans cette section, vous pouvez définir des stratégies liées à la disponibilité, à l'installation, aux mises à jour et à la gestion des autorisations des applications.

Les comptes Managed Google Play sont créés automatiquement lors du provisionnement des appareils.

 

1. Mode Play Store

Ce mode contrôle les applications disponibles pour l'utilisateur dans le Play Store ainsi que le comportement sur l'appareil lorsque des applications sont retirées de la stratégie.

Liste blanche (par défaut) : seules les applications présentes dans la stratégie sont disponibles et toute application absente de la stratégie est automatiquement désinstallée de l'appareil. Le Play Store n'affiche que les applications disponibles.

Liste noire : toutes les applications sont disponibles et toute application qui ne doit pas être sur l'appareil doit être explicitement marquée comme bloquée dans la stratégie d'applications. Le Play Store affiche toutes les applications, sauf celles qui sont bloquées.

 

2. Stratégie des applications non fiables

La stratégie relative aux applications non fiables (applications issues de sources inconnues) appliquée sur l'appareil. Cette option contrôle le paramètre du système Android qui détermine si un utilisateur peut installer des applications en dehors du Play Store (installation latérale).

Interdire (par défaut) : interdire l'installation d'applications non fiables sur l'ensemble de l'appareil.

Profil personnel uniquement : pour les appareils avec profils professionnels, autorisez l'installation d'applications non fiables uniquement dans le profil personnel de l'appareil.

Autoriser : autoriser l'installation d'applications non fiables sur l'ensemble de l'appareil.

 

3. Google Play Protect

Indique si la vérification des applications par Google Play Protect est appliquée.

Appliquée (par défaut) : active de force la vérification des applications.

Choix de l'utilisateur : permet à l'utilisateur de choisir d'activer ou non la vérification des applications.

 

4. Stratégie d'autorisations par défaut

La stratégie d'octroi des demandes d'autorisations d'exécution aux applications.

Demander (par défaut) : demander à l'utilisateur d'accorder une autorisation.

Accorder : accorder automatiquement une autorisation.

Refuser : refuser automatiquement une autorisation.

 

5. Fonctions des applications

Contrôle si les applications sur les appareils entièrement gérés ou dans les profils professionnels sont autorisées à exposer des fonctions d'application. Nécessite Android 16 ou version ultérieure.

Autorisé (par défaut) : les applications sur les appareils entièrement gérés ou dans les profils professionnels peuvent exposer des fonctions d'application.

Non autorisé : les applications sur les appareils entièrement gérés ou dans les profils professionnels ne peuvent pas exposer des fonctions d'application.

 

6. Installation d'applications désactivée

Indique si l'installation d'applications par l'utilisateur est désactivée.

 

7. Désinstallation d'applications désactivée

Indique si la désinstallation d'applications par l'utilisateur est désactivée.

 

8. Stratégies d'autorisations

Octrois ou refus explicites d'autorisations ou de groupes pour toutes les applications. Ces valeurs remplacent le paramètre Stratégie d'autorisations par défaut.

Utilisez Ajouter une stratégie d'autorisations pour créer des entrées et supprimez-les avec l'action de suppression.

Chaque entrée comprend :

Autorisation/groupe Android : l'autorisation ou le groupe Android (requis), par exemple android.permission.READ_CALENDAR ou android.permission_group.CALENDAR.

Stratégie : Accorder / Refuser / Demander (utilise les mêmes options de stratégie que Stratégie d'autorisations par défaut).

 

9. Applications

Liste des applications qui doivent être incluses dans la stratégie. Le comportement du contenu de la liste dépend de la valeur définie pour Mode Play Store.

Si Mode Play Store est défini sur liste blanche, seules les applications présentes dans la stratégie sont disponibles et toute application absente de la stratégie est automatiquement désinstallée de l'appareil.

Si Mode Play Store est défini sur liste noire, toutes les applications sont disponibles et toute application qui ne doit pas être sur l'appareil doit être explicitement marquée comme bloquée dans la stratégie d'applications.

Pour ajouter une application, cliquez sur le bouton Ajouter des applications (ou sur l'icône Ajouter des applications), sélectionnez Depuis Managed Google Play, puis choisissez l'application dans le Play Store et cliquez sur le bouton Sélectionner de la carte de l'application.

Pour ajouter une application qui n'est pas publiée sur Google Play mais qui est déjà présente sur l'appareil (par exemple, une application système ou d'un fabricant), cliquez sur Ajouter des applications, sélectionnez Par nom de package (applications préinstallées), saisissez le nom de package de l'application (par ex. com.example.app) et cliquez sur Ajouter.L'application est ajoutée avec le type d'installation Installation forcée. Pour afficher l'application dans le lanceur personnalisé du kiosque, son Type d'installation doit être Préinstallée ou Installation forcée : avec Disponible, l'application n'est pas affichée.

Les applications qui ne sont pas disponibles sur Managed Google Play sont signalées par une icône Android dans la liste des applications. Elles ne peuvent pas être installées depuis Google Play ; elles doivent donc déjà être présentes sur l'appareil : les appareils qui ne disposent pas de l'application ne peuvent pas l'installer.

Toutes les applications publiées sur le Play Store dans votre pays sont disponibles à la sélection par défaut. Pour sélectionner vos propres applications privées ou web, vous devez d'abord les importer dans le système. Pour plus d'informations, consultez la page Applications privées.

Chaque application peut être configurée avec ses propres paramètres, regroupés visuellement dans une carte :

9.1. Type d'installation

Le type d'installation à effectuer pour une application.

Disponible : l'application peut être installée.

Préinstallée : l'application est installée automatiquement et peut être supprimée par l'utilisateur.

Installation forcée : l'application est installée automatiquement et ne peut pas être supprimée par l'utilisateur.

Bloquée : l'application est bloquée et ne peut pas être installée. Si l'application a été installée sous une stratégie précédente, elle sera désinstallée.

Requise pour la configuration : l'application est installée automatiquement, ne peut pas être supprimée par l'utilisateur et empêche la configuration de se terminer tant que l'installation n'est pas achevée.

Kiosque : l'application est installée automatiquement en mode kiosque : elle est définie comme intention d'accueil préférée et ajoutée à la liste blanche pour le mode de verrouillage des tâches. La configuration de l'appareil ne se terminera pas tant que l'application n'est pas installée. Après l'installation, les utilisateurs ne pourront pas supprimer l'application. Vous ne pouvez définir ce type d'installation que pour une seule application par stratégie. Lorsque cette option est présente dans la stratégie, la barre d'état est automatiquement désactivée. Pour plus d'informations, consultez la page dédiée Mode kiosque.

9.2. Contraintes d'installation

Définit un ensemble de restrictions pour l'installation de l'application. Lorsque plusieurs contraintes sont sélectionnées, elles doivent toutes être satisfaites pour que l'application soit installée.

Cette option n'est affichée que lorsque le Type d'installation est Préinstallée ou Installation forcée.

Réseau non mesuré : installez l'application uniquement lorsque l'appareil est connecté à un réseau non mesuré (par ex. Wi‑Fi).

En charge : installez l'application uniquement lorsque l'appareil est en charge.

Inactif : installez l'application uniquement lorsque l'appareil est inactif.

9.3. Mode de mise à jour automatique

Contrôle le mode de mise à jour automatique de l'application.

Par défaut : l'application est mise à jour automatiquement avec une priorité faible afin de minimiser l'impact sur l'utilisateur. L'application est mise à jour lorsque toutes les contraintes suivantes sont remplies : (1) l'appareil n'est pas activement utilisé, (2) l'appareil est connecté à un réseau non mesuré, (3) l'appareil est en charge. L'appareil est informé d'une nouvelle mise à jour dans les 24 heures suivant sa publication par le développeur, puis l'application est mise à jour la prochaine fois que les contraintes ci-dessus sont remplies.

Reportée : l'application n'est pas mise à jour automatiquement pendant un maximum de 90 jours après qu'elle est devenue obsolète. 90 jours après que l'application est devenue obsolète, la dernière version disponible est installée automatiquement avec une priorité faible (voir Par défaut dans le mode de mise à jour automatique). Une fois l'application mise à jour, elle n'est plus mise à jour automatiquement avant 90 jours après qu'elle est redevenue obsolète. L'utilisateur peut toujours mettre à jour l'application manuellement depuis le Play Store à tout moment.

Priorité élevée : l'application est mise à jour dès que possible. Aucune contrainte n'est appliquée. L'appareil est informé immédiatement d'une nouvelle mise à jour dès qu'elle est disponible.

9.4. Code de version minimal

La version minimale de l'application qui s'exécute sur l'appareil. Si elle est définie, l'appareil tente de mettre à jour l'application vers au moins ce code de version. Si l'application n'est pas à jour, l'appareil contiendra un Détail de non-conformité avec Motif de non-conformité défini sur APP_NOT_UPDATED. L'application doit déjà être publiée sur Google Play avec un code de version supérieur ou égal à cette valeur. Au maximum 20 applications peuvent spécifier un code de version minimal par stratégie.

9.5. Portées déléguées

Les portées déléguées à l'application depuis Android Device Policy. Vous pouvez accorder à d'autres applications une sélection d'autorisations Android spéciales :

Installation de certificats : accorde l'accès à l'installation et à la gestion des certificats.

Configurations gérées : accorde l'accès à la gestion des configurations gérées.

Blocage de la désinstallation : accorde l'accès au blocage de la désinstallation.

Autorisations : accorde l'accès à la stratégie d'autorisations et à l'état d'octroi des autorisations.

Accès aux packages : accorde l'accès à l'état d'accès aux packages.

Application système : accorde l'accès à l'activation des applications système.

9.6. Réseau préférentiel

Le service de réseau préférentiel à utiliser pour cette application. S'il est défini, l'application utilisera la tranche de réseau d'entreprise spécifiée pour ses connexions lorsqu'elle est disponible. Cela doit correspondre à une tranche de réseau configurée dans la section Configuration de découpage réseau 5G du panneau Cellulaire.

9.7. Stratégie d'autorisations par défaut

La stratégie par défaut pour toutes les autorisations demandées par l'application. Si elle est spécifiée, elle remplace la Stratégie d'autorisations par défaut au niveau de la stratégie qui s'applique à toutes les applications. Elle ne remplace pas les Stratégies d'autorisations qui s'appliquent à toutes les applications.

Demander (par défaut) : demander à l'utilisateur d'accorder une autorisation.

Accorder : accorder automatiquement une autorisation.

Refuser : refuser automatiquement une autorisation.

9.8. Application professionnelle et personnelle connectée

Contrôle si l'application peut communiquer avec elle-même entre les profils professionnel et personnel d'un appareil, sous réserve du consentement de l'utilisateur (Android 11+).

Non autorisé (par défaut) : empêche l'application de communiquer entre profils.

Autorisé : permet à l'application de communiquer entre profils après avoir reçu le consentement de l'utilisateur.

9.9. Exemption du verrouillage du VPN Always On

Indique si l'application est autorisée à accéder au réseau lorsque le VPN n'est pas connecté et que le verrouillage est activé. Pris en charge uniquement sur les appareils exécutant Android 10 ou version ultérieure.

Appliquée (par défaut) : l'application respecte le paramètre de verrouillage du VPN Always On.

Exemptée : l'application est exemptée du paramètre de verrouillage du VPN Always On.

9.10. Widgets du profil professionnel

Indique si l'application installée dans le profil professionnel est autorisée à ajouter des widgets à l'écran d'accueil.

Autorisé : l'application peut ajouter des widgets à l'écran d'accueil.

Non autorisé : l'application ne peut pas ajouter de widgets à l'écran d'accueil.

9.11. Paramètres de contrôle utilisateur

Indique si le contrôle utilisateur est autorisé pour une application donnée. Le contrôle utilisateur inclut des actions comme l'arrêt forcé et l'effacement des données de l'application (Android 11+). Si extensionConfig est activé pour une application, le contrôle utilisateur est interdit quel que soit ce paramètre. Pour les applications de kiosque, vous pouvez utiliser Autorisé pour autoriser le contrôle utilisateur.

Non spécifié : utilise le comportement par défaut de l'application pour déterminer si le contrôle utilisateur est autorisé ou interdit.

Autorisé : le contrôle utilisateur est autorisé pour l'application.

Non autorisé : le contrôle utilisateur est interdit pour l'application.

9.12. Désactivée

Indique si l'application est désactivée. Lorsqu'elle est désactivée, les données de l'application sont toujours conservées.

9.13. Autoriser le fournisseur d'identifiants

Indique si l'application est autorisée à agir comme fournisseur d'identifiants sur Android 14 ou version ultérieure.

9.14. Configuration gérée

Pour configurer les paramètres gérés de l'application, cliquez sur le bouton Activer la configuration gérée. Si une configuration gérée est déjà définie pour l'application, vous pouvez modifier la configuration avec le bouton Configuration gérée, ou la supprimer avec le bouton Supprimer la configuration.

L'option Configuration gérée n'est disponible que pour les applications qui prennent en charge cette fonctionnalité.

9.15. Stratégies d'autorisations

Octrois ou refus explicites d'autorisations pour l'application. Ces valeurs remplacent la Stratégie d'autorisations par défaut et les Stratégies d'autorisations qui s'appliquent à toutes les applications.

Utilisez Ajouter une stratégie d'autorisations pour ajouter une ou plusieurs règles d'autorisations à la carte de l'application et supprimez-les avec l'action de suppression.

9.16. ID de piste

Liste des ID de piste de test fermé de l'application auxquels un appareil peut accéder. Si plusieurs ID de piste sont sélectionnés, les appareils reçoivent la dernière version parmi toutes les pistes accessibles. Si aucun ID de piste n'est sélectionné, les appareils n'ont accès qu'à la piste de production de l'application.

L'option ID de piste n'est disponible que pour les applications qui disposent d'au moins un ID de piste pour votre organisation. Pour plus de détails sur la façon d'ajouter votre organisation à une piste de test fermé pour une application spécifique, veuillez lire ceci.

 

10. Paramètres d'application par défaut

Définissez des applications par défaut pour les types pris en charge. Lorsqu'une application par défaut est définie pour au moins un type, les utilisateurs ne peuvent pas modifier les applications par défaut dans ce profil.

Un seul paramètre d'application par défaut est autorisé par Type d'application par défaut. La liste des applications par défaut ne doit pas contenir de doublons.

10.1. Type d'application par défaut

Sélectionnez la catégorie d'application à configurer (par exemple Navigateur, Téléphone, SMS, Portefeuille ou Assistant). La disponibilité dépend de la version d'Android et du mode de gestion.

10.2. Portées d'application par défaut

Sélectionnez l'emplacement où l'application par défaut doit s'appliquer (Entièrement géré, Profil professionnel ou Profil personnel). Seules les portées prises en charge par le type sélectionné peuvent être choisies.

Si aucune des portées sélectionnées ne s'applique au mode de gestion de l'appareil, l'appareil signale un détail de non-conformité.

10.3. Applications par défaut

Liste des applications pouvant être définies par défaut pour le type sélectionné. La première application installée et éligible est définie par défaut.

Si les portées incluent Entièrement géré ou Profil professionnel, chaque application doit également figurer dans la liste Applications avec un Type d'installation différent de Bloquée.

 

11. Sélection de clé privée

Permet d'afficher sur un appareil une interface permettant à l'utilisateur de choisir un alias de clé privée s'il n'existe aucune règle correspondante dans Choisir les règles de clé privée.

Pour les appareils antérieurs à Android P, activer cette option peut rendre les clés d'entreprise vulnérables.

 

12. Choisir les règles de clé privée

Contrôle l'accès des applications aux clés privées. La règle détermine quelle clé privée, le cas échéant, Android Device Policy accorde à l'application spécifiée. L'accès est accordé soit lorsque l'application appelle KeyChain.choosePrivateKeyAlias (ou toute surcharge) pour demander un alias de clé privée pour une URL donnée, soit, pour les règles qui ne sont pas spécifiques à une URL (c'est-à-dire si urlPattern n'est pas défini, ou est défini sur la chaîne vide ou .*) sur Android 11 et versions ultérieures, directement afin que l'application puisse appeler KeyChain.getPrivateKey, sans devoir d'abord appeler KeyChain.choosePrivateKeyAlias. Lorsqu'une application appelle KeyChain.choosePrivateKeyAlias et que plusieurs choosePrivateKeyRules correspondent, la dernière règle correspondante définit l'alias de clé à renvoyer.

Utilisez Ajouter une règle de clé privée pour créer des entrées et supprimez-les avec l'action de suppression.

12.1. Alias de clé privée

L'alias de la clé privée à utiliser.

12.2. Modèle d'URL

Le modèle d'URL à faire correspondre à l'URL de la requête. S'il n'est pas défini ou s'il est vide, il correspond à toutes les URL. Cela utilise la syntaxe des expressions régulières de java.util.regex.Pattern.

12.3. Noms de packages

Les noms de packages auxquels cette règle s'applique. Le hachage du certificat de signature de chaque application est vérifié par rapport au hachage fourni par Play. Si aucun nom de package n'est spécifié, l'alias est fourni à toutes les applications qui appellent KeyChain.choosePrivateKeyAlias ou toute surcharge (mais pas sans appeler KeyChain.choosePrivateKeyAlias, même sur Android 11 et versions ultérieures). Toute application ayant le même UID Android qu'un package spécifié ici y aura accès lorsqu'elle appelle KeyChain.choosePrivateKeyAlias.

Utilisez Ajouter un nom de package pour ajouter des entrées et supprimez-les avec l'action de suppression.

 

Pour supprimer une application, cliquez sur l'icône corbeille, en bas de la carte de l'application.

 

 

Politiques - Android

Mode kiosque

Avec le mode kiosque, vous pouvez limiter les fonctionnalités d'un appareil à une seule application ou à plusieurs applications. Le choix entre le mode kiosque mono-application et multi-application dépend de vos objectifs professionnels.

En mode kiosque mono-application, un appareil est configuré pour une seule application et ne permet pas aux utilisateurs finaux d'accéder aux autres applications de l'appareil. Ils ne peuvent pas non plus quitter l'application, ce qui en fait un appareil dédié à cette application spécifique. Pour activer ce mode, spécifiez une application dans la section Gestion des applications avec le Type d'installation défini sur Kiosque.

En mode kiosque multi-application, les appareils peuvent accéder à plusieurs applications. Les utilisateurs finaux peuvent naviguer entre plusieurs applications via un lanceur personnalisé. Pour activer ce mode, activez l'option Lanceur personnalisé de kiosque.

Lorsque le mode kiosque est activé, vous pouvez également configurer si les utilisateurs finaux peuvent accéder à certaines fonctions système, telles que les paramètres système et la barre d'état.

 

Lanceur personnalisé de kiosque

Indique si le lanceur personnalisé de kiosque est activé. Il remplace l'écran d'accueil par un lanceur qui verrouille l'appareil sur les applications installées via le paramètre Gestion des applications. Les applications s'affichent sur une seule page par ordre alphabétique.

 

Actions du bouton d'alimentation

Définit le comportement d'un appareil en mode kiosque lorsqu'un utilisateur maintient enfoncé le bouton d'alimentation.

Disponible (par défaut) : le menu d'alimentation (par exemple Éteindre, Redémarrer) s'affiche lorsqu'un utilisateur maintient enfoncé le bouton d'alimentation d'un appareil en mode kiosque.

Bloqué : le menu d'alimentation (par exemple Éteindre, Redémarrer) ne s'affiche pas lorsqu'un utilisateur maintient enfoncé le bouton d'alimentation d'un appareil en mode kiosque. Remarque : cela peut empêcher les utilisateurs d'éteindre l'appareil.

 

Avertissements d'erreur système

Spécifie si les boîtes de dialogue d'erreur système pour les applications plantées ou ne répondant pas sont bloquées en mode kiosque. Lorsqu'elles sont bloquées, le système force l'arrêt de l'application comme si l'utilisateur choisissait l'option « fermer l'application » dans l'interface.

Bloqué (par défaut) : toutes les boîtes de dialogue d'erreur système, telles que les plantages et les applications ne répondant pas (ANR), sont bloquées. Lorsqu'elles sont bloquées, le système force l'arrêt de l'application comme si l'utilisateur fermait l'application depuis l'interface.

Activé : toutes les boîtes de dialogue d'erreur système, telles que les plantages et les applications ne répondant pas (ANR), sont affichées.

Navigation système

Spécifie quelles fonctions de navigation sont activées (par exemple les boutons Accueil et Aperçu) en mode kiosque.

Désactivé (par défaut) : les boutons Accueil et Aperçu ne sont pas accessibles.

Accueil uniquement : seul le bouton Accueil est activé.

Activé : les boutons Accueil et Aperçu sont activés.

 

Barre d'état

Spécifie si les informations système et les notifications sont désactivées en mode kiosque.

Désactivé (par défaut) : les informations système et les notifications sont désactivées en mode kiosque.

Système uniquement : seules les informations système sont affichées dans la barre d'état.

Activé : les informations système et les notifications sont affichées dans la barre d'état en mode kiosque. Remarque : pour que cette stratégie prenne effet, le bouton Accueil de l'appareil doit être activé via kioskCustomization.systemNavigation.

 

Paramètres de l'appareil

Spécifie si l'application Paramètres est autorisée en mode kiosque.

Autorisé (par défaut) : l'accès à l'application Paramètres est autorisé en mode kiosque.

Bloqué : l'accès à l'application Paramètres n'est pas autorisé en mode kiosque.

Politiques - Android

Sécurité

Dans cette section, vous pouvez configurer les stratégies liées à la sécurité.

 

Actions en cas de risque de sécurité

Choisissez l'action à effectuer lorsqu'un appareil signale un SecurityRisk dans les rapports d'état.

 

Types de SecurityRisk pris en charge :

Système d'exploitation inconnu : Play Integrity API détecte que l'appareil exécute un système d'exploitation inconnu (la vérification basicIntegrity réussit, mais ctsProfileMatch échoue).

Système d'exploitation compromis : Play Integrity API détecte que l'appareil exécute un système d'exploitation compromis (la vérification basicIntegrity échoue).

Échec de l'évaluation matérielle : Play Integrity API détecte que l'appareil ne présente pas une garantie solide d'intégrité du système, si le libellé MEETS_STRONG_INTEGRITY n'apparaît pas dans le champ d'intégrité de l'appareil.

 

Actions disponibles :

Effacer les données d'entreprise (par défaut) : désinscrire et effacer les données professionnelles (l'appareil entier s'il est entièrement géré, ou uniquement le profil professionnel pour les appareils avec profil professionnel).

Aucune action : laissez l'appareil inscrit et n'effectuez aucune action automatiquement.

 

Lorsque vous sélectionnez Effacer les données d'entreprise, vous pouvez également configurer les options d'effacement :

Conserver la protection contre la réinitialisation d'usine : conserver les données de Factory Reset Protection (FRP) lors de l'effacement de l'appareil.

Effacer le stockage externe : effacer également le stockage externe de l'appareil (comme les cartes SD) lors de l'effacement.

Effacer les eSIM : pour les appareils appartenant à l'entreprise, cette option supprime toutes les eSIM de l'appareil lors de l'effacement. Sur les appareils appartenant à des particuliers, elle supprime les eSIM gérées (eSIM ajoutées via la commande ADD_ESIM) et aucune eSIM personnelle n'est supprimée.

 

1. Délai maximal avant verrouillage

Durée maximale (en secondes) d'activité de l'utilisateur avant le verrouillage de l'appareil. Une valeur de 0 signifie qu'il n'y a aucune restriction.

 

2. Rester allumé pendant la charge

Modes de branchement de la batterie pour lesquels l'appareil reste allumé. Lorsque vous utilisez ce paramètre, il est recommandé de désactiver Délai maximal avant verrouillage afin que l'appareil ne se verrouille pas de lui-même tant qu'il reste allumé.

Chargeur secteur : la source d'alimentation est un chargeur secteur.

Port USB : la source d'alimentation est un port USB.

Chargeur sans fil : la source d'alimentation est sans fil.

 

3. Keyguard désactivé

Si cette option est activée, elle désactive l'écran de verrouillage pour les écrans principal et/ou secondaire. Cette stratégie n'est prise en charge qu'en mode de gestion d'appareil dédié.

 

4. Exigences relatives aux mots de passe

Stratégies relatives aux exigences de mot de passe.

Utilisez Configurer les exigences de mot de passe pour ajouter un ou plusieurs blocs d'exigences de mot de passe. Utilisez Tout effacer pour supprimer toutes les exigences de mot de passe configurées.

Les exigences de mot de passe peuvent utiliser la portée Auto (exigence unique) ou des portées distinctes Appareil/Profil professionnel. Les exigences basées sur la complexité doivent être associées à des exigences basées sur la qualité pour la même portée.

4.1. Portée

Portée à laquelle l'exigence de mot de passe s'applique.

Auto : la portée n'est pas spécifiée. Les exigences de mot de passe s'appliquent au profil professionnel pour les appareils avec profil professionnel, et à l'ensemble de l'appareil pour les appareils entièrement gérés ou dédiés.

Appareil : les exigences de mot de passe s'appliquent uniquement à l'appareil.

Profil professionnel : les exigences de mot de passe s'appliquent uniquement au profil professionnel.

4.2. Longueur de l'historique des mots de passe

Longueur de l'historique des mots de passe. Après avoir défini ce champ, l'utilisateur ne pourra pas saisir un nouveau mot de passe identique à un mot de passe de l'historique. Une valeur de 0 signifie qu'il n'y a aucune restriction.

4.3. Nombre maximal de mots de passe erronés avant effacement

Nombre de mots de passe de déverrouillage incorrects pouvant être saisis avant l'effacement de l'appareil. Une valeur de 0 signifie qu'il n'y a aucune restriction.

4.4. Délai d'expiration du mot de passe (jours)

Ce paramètre oblige l'utilisateur à mettre à jour périodiquement son mot de passe après le nombre de jours spécifié.

4.5. Exiger le déverrouillage par mot de passe

Durée après laquelle un appareil ou un profil professionnel déverrouillé à l'aide d'une forme d'authentification forte (mot de passe, code PIN, schéma) peut être déverrouillé à l'aide de toute autre méthode d'authentification (par exemple empreinte digitale, agents de confiance, visage). Une fois ce délai écoulé, seules les formes d'authentification fortes peuvent être utilisées pour déverrouiller l'appareil ou le profil professionnel.

Valeur par défaut de l'appareil : le délai est défini sur la valeur par défaut de l'appareil.

Chaque jour : le délai est défini sur 24 heures.

4.6. Qualité du mot de passe

Qualité de mot de passe requise.

Complexité élevée : définit la bande de complexité de mot de passe élevée comme suit : sur Android 12 et versions ultérieures : code PIN sans séquences répétitives (4444) ni ordonnées (1234, 4321, 2468), longueur minimale de 8 ; alphabétique, longueur minimale de 6 ; alphanumérique, longueur minimale de 6.

Complexité moyenne : définit la bande de complexité de mot de passe moyenne comme suit : code PIN sans séquences répétitives (4444) ni ordonnées (1234, 4321, 2468), longueur minimale de 4 ; alphabétique, longueur minimale de 4 ; alphanumérique, longueur minimale de 4.

Complexité faible : définit la bande de complexité de mot de passe faible comme suit : schéma ; code PIN avec séquences répétitives (4444) ou ordonnées (1234, 4321, 2468).

Aucune : il n'y a aucune exigence de mot de passe.

Faible : l'appareil doit être sécurisé au minimum par une technologie de reconnaissance biométrique à faible niveau de sécurité. Cela inclut les technologies capables de reconnaître l'identité d'une personne, à peu près équivalentes à un code PIN à 3 chiffres (taux de fausse détection inférieur à 1 sur 1 000).

Quelconque : un mot de passe est requis, mais son contenu n'est soumis à aucune restriction.

Numérique : le mot de passe doit contenir des caractères numériques.

Numérique complexe : le mot de passe doit contenir des caractères numériques sans séquences répétitives (4444) ni ordonnées (1234, 4321, 2468).

Alphabétique : le mot de passe doit contenir des caractères alphabétiques (ou des symboles).

Alphanumérique : le mot de passe doit contenir à la fois des caractères numériques et alphabétiques (ou des symboles).

Complexe : le mot de passe doit satisfaire aux exigences minimales spécifiées dans passwordMinimumLength, passwordMinimumLetters, passwordMinimumSymbols, etc. Par exemple, si passwordMinimumSymbols vaut 2, le mot de passe doit contenir au moins deux symboles.

4.7. Longueur minimale

Longueur minimale autorisée du mot de passe. Une valeur de 0 signifie qu'il n'y a aucune restriction.

4.8. Nombre minimal de lettres

Nombre minimal de lettres requis dans le mot de passe.

4.9. Nombre minimal de lettres minuscules

Nombre minimal de lettres minuscules requis dans le mot de passe.

4.10. Nombre minimal de lettres majuscules

Nombre minimal de lettres majuscules requis dans le mot de passe.

4.11. Nombre minimal de caractères non alphabétiques

Nombre minimal de caractères non alphabétiques (chiffres ou symboles) requis dans le mot de passe.

4.12. Nombre minimal de chiffres

Nombre minimal de chiffres requis dans le mot de passe.

4.13. Nombre minimal de symboles

Nombre minimal de symboles requis dans le mot de passe.

4.14. Verrouillage unifié

Contrôle si un verrouillage unifié est autorisé pour l'appareil et le profil professionnel, sur les appareils exécutant Android 9 et versions ultérieures avec un profil professionnel. Cela n'a aucun effet sur les autres appareils.

Autoriser le verrouillage unifié : un verrou commun pour l'appareil et le profil professionnel est autorisé.

Exiger un verrou professionnel séparé : un verrou distinct pour le profil professionnel est requis.

 

5. Réinitialisation d'usine désactivée

Indique si la réinitialisation d'usine depuis les paramètres est désactivée. S'applique uniquement aux appareils entièrement gérés.

 

6. Protection contre la réinitialisation d'usine

Adresses e-mail des administrateurs de l'appareil pour la protection contre la réinitialisation d'usine. Lorsque l'appareil subit une réinitialisation d'usine non autorisée, l'un de ces administrateurs devra se connecter avec l'e-mail et le mot de passe du compte Google pour déverrouiller l'appareil. Si aucun administrateur n'est spécifié, l'appareil ne fournira pas de protection contre la réinitialisation d'usine. S'applique uniquement aux appareils entièrement gérés.

E-mails des administrateurs : utilisez Activer la protection contre la réinitialisation d'usine pour commencer à configurer les administrateurs. Utilisez ensuite Ajouter l'e-mail d'un administrateur pour ajouter des adresses et les supprimer avec l'action de suppression.

 

7. Fonctionnalités de Keyguard

Fonctionnalités de Keyguard (écran de verrouillage) pouvant être désactivées.

7.1. Tout désactiver

Désactive toutes les personnalisations actuelles et futures de Keyguard.

7.2. Désactiver l'appareil photo

Désactive l'appareil photo sur les écrans de verrouillage sécurisés (par exemple, code PIN).

7.3. Désactiver les notifications

Désactive l'affichage de toutes les notifications sur les écrans de verrouillage sécurisés.

7.4. Désactiver les notifications non masquées

Désactive les notifications non masquées sur les écrans de verrouillage sécurisés.

7.5. Ignorer l'état de l'agent de confiance

Ignore l'état de l'agent de confiance sur les écrans de verrouillage sécurisés.

7.6. Désactiver l'empreinte digitale

Désactive le capteur d'empreintes digitales sur les écrans de verrouillage sécurisés.

7.7. Désactiver la saisie de texte dans les notifications

Désactive la saisie de texte dans les notifications sur les écrans de verrouillage sécurisés.

7.8. Désactiver l'authentification par reconnaissance faciale

Désactive l'authentification par reconnaissance faciale sur les écrans de verrouillage sécurisés.

7.9. Désactiver l'authentification par iris

Désactive l'authentification par iris sur les écrans de verrouillage sécurisés.

7.10. Désactiver toutes les authentifications biométriques

Désactive toutes les authentifications biométriques sur les écrans de verrouillage sécurisés.

7.11. Désactiver tous les raccourcis

Désactive tous les raccourcis sur l'écran de verrouillage sécurisé sous Android 14 et versions ultérieures.

Politiques - Android

Multimédia

Dans cette section, vous pouvez configurer le comportement de la caméra et du microphone, l'accès aux données USB, l'impression et les restrictions liées à l'affichage.

 

1. Accès à la caméra

Contrôle l'utilisation de la caméra et si l'utilisateur peut accéder à l'option d'activation de la caméra (Android 12+). En général, la désactivation de la caméra s'applique à l'ensemble de l'appareil sur les appareils entièrement gérés, et uniquement dans le profil professionnel sur les appareils avec profil professionnel.

Choix de l'utilisateur (par défaut) : comportement par défaut de l'appareil. Les caméras sont disponibles et (Android 12+) l'utilisateur peut activer ou désactiver l'accès à la caméra.

Désactivé : toutes les caméras sont désactivées (entièrement géré : ensemble de l'appareil ; profil professionnel : uniquement pour les applications du profil professionnel). L'option d'accès à la caméra n'a aucun effet dans le périmètre géré.

Imposé : les caméras sont disponibles. Sur les appareils entièrement gérés sous Android 12+, l'utilisateur ne peut pas activer ou désactiver l'accès à la caméra. Sur les autres appareils ou versions, cela se comporte comme le choix de l'utilisateur.

 

2. Accès au microphone

Sur les appareils entièrement gérés, contrôle l'utilisation du microphone et si l'utilisateur peut accéder à l'option d'activation du microphone (Android 12+). Ce paramètre n'a aucun effet sur les appareils qui ne sont pas entièrement gérés.

Choix de l'utilisateur (par défaut) : comportement par défaut. Le microphone est disponible et (Android 12+) l'utilisateur peut activer ou désactiver l'accès au microphone.

Désactivé : le microphone est désactivé (ensemble de l'appareil). L'option d'accès au microphone n'a aucun effet.

Imposé : le microphone est disponible. Sous Android 12+, l'utilisateur ne peut pas activer ou désactiver l'accès au microphone. Sous Android 11 ou antérieur, cela se comporte comme le choix de l'utilisateur.

 

3. Accès aux données USB

Contrôle quels fichiers et/ou données peuvent être transférés via USB. Pris en charge uniquement sur les appareils appartenant à l'entreprise.

Interdire le transfert de fichiers (par défaut) : les transferts de fichiers sont interdits, mais les autres connexions de données USB (par exemple souris/clavier) sont autorisées.

Interdire le transfert de données : tous les types de transferts de données USB sont interdits (Android 12+ avec USB HAL 1.3+). Si cette option n'est pas prise en charge, l'appareil revient à Interdire le transfert de fichiers.

Autoriser le transfert de données : tous les types de transferts de données USB sont autorisés.

 

4. Impression

Contrôle si l'impression est autorisée (Android 9+).

Autorisé (par défaut) : l'impression est autorisée.

Interdit : l'impression est interdite (Android 9+).

 

5. Paramètres de luminosité de l'écran

Contrôle le mode de luminosité de l'écran et, éventuellement, la valeur de luminosité.

Mode de luminosité de l'écran :

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à configurer la luminosité de l'écran.

Automatique : la luminosité est automatique et l'utilisateur ne peut pas la modifier. Vous pouvez toujours définir une valeur de luminosité, utilisée dans le cadre du réglage automatique (entièrement géré Android 9+ ; profils professionnels sur appareils d'entreprise Android 15+).

Fixe : la luminosité est définie sur la valeur configurée et l'utilisateur ne peut pas la modifier. La valeur de luminosité est obligatoire (entièrement géré Android 9+ ; profils professionnels sur appareils d'entreprise Android 15+).

Luminosité de l'écran :

Valeur de 1 à 255 (1 = la plus faible, 255 = la plus élevée). Une valeur de 0 signifie qu'aucune valeur de luminosité n'est définie.

 

6. Paramètres de délai d'expiration de l'écran

Contrôle si l'utilisateur peut configurer le délai d'expiration de l'écran et, lorsque ce délai est imposé, sa valeur.

Le champ Mode de délai d'expiration de l'écran permet de choisir entre un comportement contrôlé par l'utilisateur et un comportement imposé.

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à configurer le délai d'expiration de l'écran.

Imposé : le délai d'expiration de l'écran est défini sur la valeur configurée et l'utilisateur ne peut pas le modifier (entièrement géré Android 9+ ; profils professionnels sur appareils d'entreprise Android 15+).

Délai d'expiration de l'écran :

Durée d'expiration en secondes. La valeur doit être supérieure à 0. Si elle est supérieure à Durée maximale avant verrouillage, le système peut la plafonner et signaler une non-conformité.

 

7. Capture d'écran désactivée

Indique si la capture d'écran est désactivée.

 

8. Réglage du volume désactivé

Indique si le réglage du volume principal est désactivé.

 

9. Montage de supports physiques désactivé

Indique si le montage de supports externes physiques est désactivé.

Politiques - Android

Cellulaire

Dans cette section, vous pouvez configurer les stratégies liées au cellulaire.

 

1. Mode avion

Contrôle si l'utilisateur peut activer ou désactiver le mode avion.

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à activer ou désactiver le mode avion.

Désactivé : le mode avion est désactivé. L'utilisateur n'est pas autorisé à activer le mode avion. Pris en charge sur Android 9 et versions ultérieures.

 

2. Cellulaire 2G

Contrôle si l'utilisateur peut activer ou désactiver le paramètre Cellulaire 2G.

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à activer ou désactiver le cellulaire 2G.

Désactivé : le cellulaire 2G est désactivé. L'utilisateur n'est pas autorisé à activer le cellulaire 2G via les paramètres. Pris en charge sur Android 14 et versions ultérieures.

 

3. Remplacer les APN

Contrôle si les APN de remplacement sont activés ou désactivés. Lorsqu'ils sont activés, seuls les APN de remplacement configurés sont utilisés et tous les autres APN de l'appareil sont ignorés.

Désactivé (par défaut) : tous les réglages APN configurés sont enregistrés sur l'appareil, mais ils sont désactivés et n'ont aucun effet. Tous les autres APN de l'appareil restent utilisés.

Activé : seuls les APN de remplacement sont utilisés, tous les autres APN sont ignorés. Ce paramètre ne peut être configuré que sur les appareils entièrement gérés sous Android 10 ou version ultérieure.

 

4. Paramètres APN

Configurez une ou plusieurs entrées APN. Utilisez Ajouter un APN pour créer une entrée et Supprimer l'APN pour la supprimer.

Chaque APN comporte des champs obligatoires :

Types d'APN : sélectionnez un ou plusieurs types de trafic pour cet APN (la disponibilité dépend du mode de gestion et de la version d'Android).

Nom de l'APN : l'identifiant APN fourni par votre opérateur.

Nom d'affichage : nom convivial affiché dans l'interface.

 

Champs APN facultatifs :

Type d'authentification, Nom d'utilisateur, Mot de passe : configurez l'authentification auprès de l'opérateur (si nécessaire).

Protocole et Protocole d'itinérance : configuration du protocole IP.

Types de réseau : limitez les technologies cellulaires que l'APN peut utiliser (par exemple LTE/5G NR).

Adresse du proxy et Port du proxy : proxy HTTP pour le trafic de données (le cas échéant).

Adresse du proxy MMS, Port du proxy MMS, MMSC (URI du centre MMS) : paramètres liés aux MMS.

ID d'opérateur numérique (MCC+MNC) et ID d'opérateur : champs d'identification de l'opérateur.

Réglage toujours actif : indique si la session PDU activée par cet APN doit être toujours active. Pris en charge sous Android 15 et versions ultérieures.

Type de MVNO : type d'identifiant d'opérateur de réseau mobile virtuel.

MTU IPv4 et MTU IPv6 : unité de transmission maximale pour les routes IPv4/IPv6. Pris en charge sous Android 13 et versions ultérieures.

 

5. Configuration de la diffusion cellulaire désactivée

Indique si la configuration de la diffusion cellulaire est désactivée.

 

6. Configuration des réseaux mobiles désactivée

Indique si la configuration des réseaux mobiles est désactivée.

 

7. Données en itinérance désactivées

Indique si les services de données en itinérance sont désactivés.

 

8. Appels sortants désactivés

Indique si les appels sortants sont désactivés.

 

9. SMS désactivés

Indique si l'envoi et la réception de SMS sont désactivés.

 

10. Configuration du découpage réseau 5G

Configurez les paramètres du service réseau préférentiel pour activer le découpage réseau 5G d'entreprise. Vous pouvez configurer jusqu'à 5 tranches d'entreprise et affecter des applications à des réseaux spécifiques pour optimiser le routage du trafic.

10.1. Réseau préférentiel par défaut

ID de réseau préférentiel par défaut pour les applications qui ne figurent pas dans la liste des applications, ou si le réseau préférentiel d'une application n'est pas défini. Une configuration doit exister pour l'ID de réseau spécifié (sauf s'il est défini sur Aucun réseau préférentiel).

Remarque : les applications critiques comme com.google.android.apps.work.clouddpc et com.google.android.gms sont exclues de ce paramètre par défaut.

 

10.2. Configurations du service réseau

Utilisez Ajouter une configuration réseau pour créer une configuration de tranche. Vous pouvez ajouter jusqu'à 5 configurations. Chaque configuration comporte :

ID de réseau préférentiel (attribué automatiquement) : l'ID de réseau est attribué automatiquement et ne peut pas être modifié.

Repli vers la connexion par défaut : indique si le repli vers le réseau par défaut de l'appareil est autorisé. S'il est interdit, les applications ne peuvent pas accéder à Internet si la tranche 5G est indisponible.

Réseaux non correspondants : indique si les applications soumises à cette configuration peuvent utiliser des réseaux autres que le service préférentiel. Si cette option est définie sur Interdit, Repli vers la connexion par défaut doit également être défini sur Interdit. Nécessite Android 14 ou version ultérieure.

Politiques - Android

Réseau

Dans cette section, vous pouvez configurer les stratégies liées au réseau.

Les configurations Wi‑Fi peuvent être provisionnées et gérées par le système via Configurations Wi‑Fi. Selon la valeur définie pour Configurer le Wi‑Fi, les utilisateurs peuvent avoir un contrôle limité ou nul sur l'ajout et la modification des réseaux.

 

État des radios de l'appareil

1. État du Wi‑Fi

Contrôle l'état actuel du Wi‑Fi et si l'utilisateur peut modifier cet état.

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à activer ou désactiver le Wi‑Fi.

Activé : le Wi‑Fi est activé et l'utilisateur n'est pas autorisé à le désactiver (Android 13+).

Désactivé : le Wi‑Fi est désactivé et l'utilisateur n'est pas autorisé à l'activer (Android 13+).

 

2. Niveau de sécurité Wi‑Fi minimal

Niveau de sécurité minimal requis des réseaux Wi‑Fi auxquels l'appareil peut se connecter. Pris en charge sous Android 13 et versions ultérieures, pour les appareils entièrement gérés et les profils professionnels sur les appareils appartenant à l'entreprise.

Réseau ouvert (par défaut) : l'appareil peut se connecter à tous les types de réseaux Wi‑Fi.

Réseau personnel : interdit les réseaux Wi‑Fi ouverts ; exige au moins une sécurité personnelle (par exemple WPA2‑PSK).

Réseau d'entreprise : exige des réseaux EAP d'entreprise ; interdit les réseaux Wi‑Fi inférieurs à ce niveau de sécurité.

Réseau d'entreprise 192 bits : exige des réseaux d'entreprise 192 bits ; option la plus stricte.

 

3. État de l'ultra large bande (UWB)

Contrôle l'état du paramètre ultra large bande et si l'utilisateur peut l'activer ou le désactiver.

Choix de l'utilisateur (par défaut) : l'utilisateur est autorisé à activer ou désactiver l'UWB.

Désactivé : l'UWB est désactivé et l'utilisateur n'est pas autorisé à l'activer via les paramètres (Android 14+).

 

Gestion de la connectivité de l'appareil

4. Partage Bluetooth

Contrôle si le partage Bluetooth est autorisé.

Autorisé : le partage Bluetooth est autorisé (par défaut sur les appareils entièrement gérés, Android 8+).

Interdit : le partage Bluetooth est interdit (par défaut sur les profils professionnels, Android 8+).

 

5. Configurer le Wi‑Fi

Contrôle les privilèges de configuration du Wi‑Fi. Selon l'option sélectionnée, l'utilisateur dispose d'un contrôle total, limité ou nul sur la configuration des réseaux Wi‑Fi.

Autoriser la configuration du Wi‑Fi (par défaut) : l'utilisateur est autorisé à configurer le Wi‑Fi.

Interdire l'ajout de configurations Wi‑Fi : l'ajout de nouvelles configurations Wi‑Fi est interdit. L'utilisateur peut basculer entre les réseaux déjà configurés (Android 13+ ; appareils entièrement gérés et profils professionnels sur appareils d'entreprise).

Interdire la configuration du Wi‑Fi : interdit la configuration des réseaux Wi‑Fi. Pour les appareils entièrement gérés, cela supprime les réseaux configurés par l'utilisateur et conserve uniquement les réseaux configurés via Configurations Wi‑Fi. Pour les profils professionnels sur appareils d'entreprise, les réseaux existants ne sont pas affectés, mais les utilisateurs ne peuvent pas ajouter, supprimer ou modifier de réseaux Wi‑Fi.

Lorsque la configuration du Wi‑Fi est désactivée et que l'appareil ne peut pas se connecter au démarrage, le système peut afficher le moyen de secours réseau pour permettre à l'utilisateur de se connecter temporairement et d'actualiser la stratégie.

 

6. Paramètres du Wi‑Fi Direct

Contrôle la configuration et l'utilisation des paramètres Wi‑Fi Direct. Pris en charge sur les appareils appartenant à l'entreprise sous Android 13 et versions ultérieures.

Autoriser (par défaut) : l'utilisateur est autorisé à utiliser le Wi‑Fi Direct.

Interdire : l'utilisateur n'est pas autorisé à utiliser le Wi‑Fi Direct.

 

7. Paramètres de partage de connexion

Contrôle les paramètres de partage de connexion. Selon la valeur définie, l'utilisateur se voit partiellement ou totalement interdire l'utilisation des différentes formes de partage de connexion.

Autoriser tous les partages de connexion (par défaut) : autorise la configuration et l'utilisation de toutes les formes de partage de connexion.

Interdire le partage de connexion Wi‑Fi : interdit à l'utilisateur d'utiliser le partage de connexion Wi‑Fi (appareils d'entreprise Android 13+).

Interdire tous les partages de connexion : interdit toutes les formes de partage de connexion (appareils entièrement gérés + profils professionnels sur appareils d'entreprise).

 

8. Stratégie de SSID Wi‑Fi

Restrictions sur les SSID Wi‑Fi auxquels l'appareil peut se connecter (cela n'affecte pas les réseaux qui peuvent être configurés sur l'appareil). Pris en charge sur les appareils appartenant à l'entreprise sous Android 13 et versions ultérieures.

Liste de refus des SSID (par défaut) : l'appareil ne peut se connecter à aucun réseau Wi‑Fi dont le SSID figure dans la liste, mais peut se connecter à d'autres réseaux.

Liste d'autorisation des SSID : l'appareil peut se connecter uniquement aux SSID répertoriés. La liste des SSID ne doit pas être vide.

Utilisez Ajouter un SSID pour ajouter des entrées. Selon le type de stratégie sélectionné, la liste est interprétée comme des SSID autorisés ou refusés.

Dans l'interface de l'éditeur de stratégie, la liste des SSID est intitulée SSID Wi‑Fi autorisés pour les listes d'autorisation et SSID Wi‑Fi refusés pour les listes de refus.

 

9. Paramètres d'itinérance Wi‑Fi

Configurez le mode d'itinérance Wi‑Fi par SSID. Utilisez Ajouter un paramètre d'itinérance Wi‑Fi pour créer des entrées.

Chaque entrée comprend :

SSID : le SSID auquel le paramètre d'itinérance s'applique (obligatoire).

Mode d'itinérance Wi‑Fi : Par défaut / Désactivé / Agressif. Les modes Désactivé et Agressif nécessitent Android 15+ et ne sont pris en charge que sur les appareils entièrement gérés et les profils professionnels sur les appareils appartenant à l'entreprise.

 

Restrictions réseau

10. Bluetooth désactivé

Indique si le Bluetooth est désactivé. Préférez ce paramètre à Configuration Bluetooth désactivée, car celle-ci peut être contournée par l'utilisateur.

 

11. Partage de contacts Bluetooth désactivé

Indique si le partage de contacts Bluetooth est désactivé.

 

12. Configuration Bluetooth désactivée

Indique si la configuration du Bluetooth est désactivée.

 

13. Réinitialisation réseau désactivée

Indique si la réinitialisation des paramètres réseau est désactivée.

 

14. Émission sortante via Beam désactivée

Indique si l'utilisation du NFC pour envoyer des données depuis des applications est désactivée.

 

VPN

15. Application VPN Always On

Spécifiez un nom de package VPN Always On pour garantir que les données des applications gérées spécifiées passent toujours par un VPN configuré.

Remarque : cette fonctionnalité nécessite le déploiement d'un client VPN compatible avec les fonctions Always On et VPN par application.

 

16. Verrouillage VPN

Interdit la mise en réseau lorsque le VPN n'est pas connecté.

 

17. Configuration VPN désactivée

Indique si la configuration du VPN est désactivée.

 

Proxy et services réseau

18. Service réseau préférentiel

Contrôle si le service réseau préférentiel est activé sur le profil professionnel. Par exemple, une organisation peut avoir un accord avec un opérateur pour que les données professionnelles soient envoyées via un service réseau de l'opérateur dédié à l'usage professionnel (par exemple, une tranche d'entreprise sur les réseaux 5G). Cela n'a aucun effet sur les appareils entièrement gérés.

Désactivé : le service réseau préférentiel est désactivé sur le profil professionnel.

Activé : le service réseau préférentiel est activé sur le profil professionnel.

Si vous utilisez le découpage réseau d'entreprise, configurez également Configuration du découpage réseau 5G dans le panneau de stratégie Cellulaire et affectez les applications à une tranche via leur paramètre Réseau préférentiel.

 

Proxy HTTP global indépendant du réseau. En général, les proxys doivent être configurés par réseau dans les configurations Wi‑Fi. Un proxy global peut être utile pour des configurations particulières, comme un filtrage interne général. Le proxy global n'est qu'une recommandation et certaines applications peuvent l'ignorer.

Désactivé

Proxy direct

Configuration automatique du proxy (PAC)

19.1. Hôte

L'hôte du proxy direct.

19.2. Port

Le port du proxy direct.

19.3. URI PAC

L'URI du script PAC utilisé pour configurer le proxy.

19.4. Hôtes exclus

Pour un proxy direct, les hôtes pour lesquels le proxy est contourné. Les noms d'hôte peuvent contenir des caractères génériques tels que *.example.com.

Utilisez Ajouter un hôte exclu pour ajouter des entrées (disponible uniquement pour le proxy direct).

 

Configurations Wi‑Fi

Définissez les configurations de réseau Wi‑Fi que le système appliquera sur les appareils. Utilisez Ajouter une configuration Wi‑Fi pour créer une entrée et supprimez-la avec l'action de suppression.

20. Champs de configuration Wi‑Fi

Chaque configuration comprend :

Nom de la configuration : Obligatoire.

SSID : Obligatoire.

Connexion automatique : Indique si le réseau doit être connecté automatiquement lorsqu'il est à portée.

Transition rapide : Indique si le client doit tenter d'utiliser la transition rapide (IEEE 802.11r-2008) avec le réseau.

SSID masqué : Indique si le SSID sera diffusé.

Mode de randomisation MAC : Matériel ou Automatique (Android 13+).

 

20.1. Sécurité

Options de sécurité Wi‑Fi :

WEP‑PSK : WEP (clé prépartagée).

WPA‑PSK : WPA/WPA2/WPA3-Personal (clé prépartagée).

WPA‑EAP : WPA/WPA2/WPA3-Enterprise (protocole d'authentification extensible).

Mode 192 bits WPA3 : réseau WPA‑EAP autorisant uniquement le mode 192 bits WPA3.

20.2. Phrase secrète (clé prépartagée)

Affiché lorsque la sécurité est WEP‑PSK ou WPA‑PSK. La phrase secrète est obligatoire.

20.3. Méthode EAP (Enterprise)

Affiché lorsque la sécurité est WPA‑EAP ou Mode 192 bits WPA3. Sélectionnez une méthode EAP externe :

EAP‑TLS

EAP‑TTLS

PEAP

EAP‑SIM

EAP‑AKA

20.4. Authentification de phase 2

Affiché pour les méthodes externes utilisant un tunnel (EAP‑TTLS et PEAP).

MSCHAPv2

PAP

20.5. Identifiants EAP fournis par les utilisateurs

Lorsque cette option est activée, le système applique automatiquement les identifiants EAP sur les appareils pour chaque utilisateur. Vous pouvez configurer les identifiants des utilisateurs dans la section Utilisateurs.

20.6. Certificat client

Pour EAP‑TLS, vous pouvez attribuer un certificat client utilisé pour l'authentification Wi‑Fi. Pour plus d'informations, consultez la page Gestion des certificats.

Si un certificat est déjà attribué, vous pouvez utiliser Ouvrir le certificat pour le consulter ou Changer de certificat pour en sélectionner un autre.

Vous pouvez également spécifier Alias de paire de clés du certificat client, qui référence un certificat client stocké dans le trousseau Android et autorisé pour l'authentification Wi‑Fi.

Si Certificat client et Alias de paire de clés du certificat client sont tous deux définis, l'alias de paire de clés est ignoré.

20.7. Identité

Identité de l'utilisateur. Pour les protocoles externes avec tunnel (PEAP, EAP‑TTLS), elle est utilisée pour s'authentifier à l'intérieur du tunnel, et l'Identité anonyme est utilisée pour l'identité EAP à l'extérieur du tunnel. Pour les protocoles externes sans tunnel, elle est utilisée pour l'identité EAP.

20.8. Identité anonyme

Pour les protocoles avec tunnel uniquement, indique l'identité de l'utilisateur présentée au protocole externe.

20.9. Mot de passe

Mot de passe de l'utilisateur. S'il n'est pas spécifié, l'utilisateur sera invité à le saisir par défaut.

20.10. Certificats CA du serveur

Liste des certificats CA à utiliser pour vérifier la chaîne de certificats de l'hôte. Au moins un certificat CA doit correspondre. Pour plus d'informations, consultez la page Gestion des certificats.

Utilisez Ajouter un certificat CA de serveur pour ajouter des entrées et supprimez-les avec l'action de suppression.

20.11. Correspondances de suffixe de domaine

Liste de contraintes pour le nom de domaine du serveur. Les entrées sont utilisées comme exigences de correspondance de suffixe par rapport aux noms DNS du nom de sujet alternatif d'un certificat de serveur d'authentification.

 

Politiques - Android

Système

Dans cette section, vous pouvez configurer les stratégies liées au système.

 

1. Niveau d'API minimal

Niveau d'API Android minimal autorisé.

 

2. Stratégie de chiffrement

Indique si le chiffrement est activé.

Par défaut : cette valeur est ignorée, c'est-à-dire qu'aucun chiffrement n'est requis.

Activé sans mot de passe : chiffrement requis, mais aucun mot de passe requis au démarrage.

Activé avec mot de passe : chiffrement requis avec mot de passe requis au démarrage.

 

3. Date et heure automatiques

Indique si la date, l'heure et le fuseau horaire automatiques sont activés sur un appareil appartenant à l'entreprise.

Choix de l'utilisateur (par défaut) : la date, l'heure et le fuseau horaire automatiques sont laissés au choix de l'utilisateur.

Imposé : impose la date, l'heure et le fuseau horaire automatiques sur l'appareil.

 

4. Paramètres de développeur

Contrôle l'accès aux paramètres de développeur : options de développeur et démarrage sécurisé.

Désactivé (par défaut) : désactive tous les paramètres de développeur et empêche l'utilisateur d'y accéder.

Autorisé : autorise tous les paramètres de développeur. L'utilisateur peut y accéder et, s'il le souhaite, les configurer.

 

5. Mode Common Criteria

Contrôle le mode Common Criteria, à savoir les normes de sécurité définies dans les Common Criteria for Information Technology Security Evaluation (CC). L'activation du mode Common Criteria renforce certains composants de sécurité d'un appareil (par exemple : chiffrement AES-GCM des clés Bluetooth à long terme, validation supplémentaire de certains certificats réseau et contrôles d'intégrité de la stratégie cryptographique). Le mode Common Criteria n'est pris en charge que sur les appareils d'entreprise exécutant Android 11 ou une version ultérieure. Avertissement : le mode Common Criteria applique un modèle de sécurité strict qui n'est généralement requis que pour les organisations hautement sensibles. L'utilisation standard de l'appareil peut être affectée ; ne l'activez que si nécessaire.

Désactivé (par défaut) : désactive le mode Common Criteria.

Activé : active le mode Common Criteria.

 

6. Memory Tagging Extension (MTE)

Contrôle Memory Tagging Extension (MTE) sur l'appareil.

Choix de l'utilisateur (par défaut) : l'utilisateur peut choisir d'activer ou de désactiver MTE sur l'appareil (si l'appareil le prend en charge).

Imposé : MTE est activé et l'utilisateur n'est pas autorisé à le modifier (Android 14+ ; pris en charge sur les appareils entièrement gérés et les profils professionnels des appareils d'entreprise).

Désactivé : MTE est désactivé et l'utilisateur n'est pas autorisé à le modifier (Android 14+ ; pris en charge uniquement sur les appareils entièrement gérés).

 

7. Protection du contenu

Contrôle si la protection du contenu (qui détecte les applications trompeuses) est activée. Cette fonctionnalité est prise en charge sur Android 15 et versions ultérieures.

Désactivé (par défaut) : la protection du contenu est désactivée et l'utilisateur ne peut pas la modifier.

Imposé : la protection du contenu est activée et l'utilisateur ne peut pas la modifier (Android 15+).

Choix de l'utilisateur : la protection du contenu n'est pas contrôlée par la stratégie ; l'utilisateur peut choisir (Android 15+).

 

8. Contenu d'assistance

Contrôle si le contenu d'assistance (AssistContent) peut être envoyé à une application privilégiée telle qu'une application d'assistance (par exemple, Circle to Search). Le contenu d'assistance inclut les captures d'écran et des informations sur une application, comme le nom du package. Cette fonctionnalité est prise en charge sur Android 15 et versions ultérieures.

Autorisé (par défaut) : le contenu d'assistance peut être envoyé à une application privilégiée (Android 15+).

Non autorisé : l'envoi du contenu d'assistance à une application privilégiée est bloqué (Android 15+).

 

9. Création de fenêtres désactivée

Indique si la création de fenêtres autres que les fenêtres d'application est désactivée. Cette option empêche l'affichage des interfaces système suivantes : toasts et snackbars, activités téléphoniques (comme les appels entrants) et activités téléphoniques prioritaires (comme les appels en cours), alertes système, erreurs système et superpositions système.

 

10. Connexion réseau de secours

Indique si la connexion réseau de secours est activée. Si aucune connexion réseau ne peut être établie au démarrage, la connexion de secours invite l'utilisateur à se connecter temporairement à un réseau afin d'actualiser la stratégie de l'appareil. Une fois la stratégie appliquée, le réseau temporaire est oublié et l'appareil poursuit son démarrage. Cela évite de rester dans l'impossibilité de se connecter à un réseau s'il n'existe aucun réseau adapté dans la dernière stratégie et que l'appareil démarre dans une application en mode tâche verrouillée, ou si l'utilisateur ne peut pas accéder autrement aux paramètres de l'appareil.

 

11. Activités par défaut

Liste d'activités par défaut pour traiter les intents correspondant à un filtre d'intent particulier. Par exemple, cette fonctionnalité permet aux administrateurs informatiques de choisir l'application de navigation qui ouvre automatiquement les liens web, ou l'application de lancement utilisée lorsque l'utilisateur appuie sur le bouton d'accueil.

Utilisez Ajouter une activité par défaut pour créer des entrées. Dans une entrée, utilisez Ajouter une action et Ajouter une catégorie pour construire le filtre d'intent.

11.1. Activité de réception

Activité qui doit être le gestionnaire d'intent par défaut. Il doit s'agir d'un nom de composant Android, par exemple com.android.enterprise.app/.MainActivity. La valeur peut également être le nom de package d'une application, auquel cas Android Device Policy choisit une activité appropriée dans l'application pour traiter l'intent.

11.2. Action

Actions d'intent à faire correspondre dans le filtre. Si des actions sont incluses dans le filtre, l'action d'un intent doit être l'une de ces valeurs pour correspondre. Si aucune action n'est incluse, l'action de l'intent est ignorée.

11.3. Catégorie

Catégories d'intent à faire correspondre dans le filtre. Un intent inclut les catégories dont il a besoin, et toutes doivent être incluses dans le filtre pour correspondre. Autrement dit, l'ajout d'une catégorie au filtre n'a aucun effet sur la correspondance, sauf si cette catégorie est spécifiée dans l'intent.

 

12. Méthodes de saisie autorisées

Spécifie les méthodes de saisie autorisées.

Toutes autorisées : aucune restriction appliquée. Toutes les méthodes de saisie sont autorisées.

Système uniquement : seules les méthodes de saisie intégrées au système sont autorisées.

Système et fournies uniquement : seules les méthodes de saisie fournies et celles intégrées au système sont autorisées.

12.1. Méthodes de saisie autorisées

Noms de package des méthodes de saisie autorisées. S'applique uniquement lorsque Méthodes de saisie autorisées est défini sur Système et fournies uniquement.

Utilisez Ajouter une méthode de saisie pour ajouter des entrées et supprimez-les avec l'action de suppression.

 

13. Services d'accessibilité autorisés

Spécifie les services d'accessibilité autorisés.

Tous autorisés : tout service d'accessibilité peut être utilisé.

Système uniquement : seuls les services d'accessibilité intégrés au système peuvent être utilisés.

Système et fournis uniquement : seuls les services d'accessibilité fournis et ceux intégrés au système peuvent être utilisés.

13.1. Services d'accessibilité autorisés

Services d'accessibilité autorisés. S'applique uniquement lorsque Services d'accessibilité autorisés est défini sur Système et fournis uniquement.

Utilisez Ajouter un service d'accessibilité pour ajouter des entrées et supprimez-les avec l'action de suppression.

 

14. Stratégie de mise à jour du système

Configuration de la gestion des mises à jour du système.

Par défaut : suivez le comportement de mise à jour par défaut de l'appareil, qui exige généralement que l'utilisateur accepte les mises à jour du système.

Automatique : installez automatiquement dès qu'une mise à jour est disponible.

Fenêtre horaire : installez automatiquement dans une fenêtre de maintenance quotidienne. Cela configure également les applications Play pour qu'elles soient mises à jour dans cette fenêtre. Cette option est vivement recommandée pour les appareils en mode kiosque, car c'est le seul moyen de mettre à jour via Play les applications épinglées en permanence au premier plan.

Reporter : reportez l'installation automatique jusqu'à 30 jours maximum.

 

14.1. Fenêtre de maintenance (Fenêtre horaire uniquement)

Lorsque Stratégie de mise à jour du système est défini sur Fenêtre horaire, vous pouvez définir la fenêtre de maintenance quotidienne à l'aide des champs de et à.

 

14.2. Périodes de gel des mises à jour système

Période récurrente chaque année pendant laquelle les mises à jour système over-the-air (OTA) sont reportées afin de figer la version du système d'exploitation exécutée sur un appareil. Pour éviter de figer l'appareil indéfiniment, chaque période de gel doit être séparée d'au moins 60 jours. Chaque période de gel ne doit pas dépasser 90 jours.

Utilisez Ajouter une période de gel des mises à jour système pour créer des entrées.

 

15. Fournisseurs d'identifiants par défaut

Contrôle quelles applications sont autorisées à agir comme fournisseurs d'identifiants sur Android 14 et versions ultérieures.

Non autorisé (par défaut) : les applications dont credentialProviderPolicy n'est pas spécifié ne sont pas autorisées à agir comme fournisseur d'identifiants.

Non autorisé sauf système : les applications dont credentialProviderPolicy n'est pas spécifié ne sont pas autorisées à agir comme fournisseur d'identifiants, à l'exception des fournisseurs d'identifiants par défaut de l'OEM.

Politiques - Android

Localisation et géorepérage

Ce panneau regroupe les paramètres de stratégie Android qui contrôlent la transmission de la localisation de l'appareil, l'application de la localisation et les définitions de géorepérage. Utilisez-le lorsque vous souhaitez que Cerberus Enterprise collecte la localisation des appareils ou détecte l'entrée ou la sortie des appareils dans les zones configurées.

Transmission de la localisation

Signaler la localisation

Active la transmission de la géolocalisation de l'appareil. Les données de localisation collectées via ce paramètre sont utilisées par la carte de localisation du tableau de bord, l'historique de localisation de la vue d'ensemble de l'appareil et le traitement du géorepérage.

L'historique des positions et les événements de géorepérage sont conservés 90 jours et les données plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte qu'il reste sur les cartes.

Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.

Sur les appareils Apple personnels (inscription utilisateur), la localisation et le géorepérage sont désactivés par défaut : ils ne sont disponibles que lorsque la stratégie Apple active l'option Localisation et géorepérage sur les appareils personnels, et uniquement si l'utilisateur autorise la localisation pour l'application Cerberus Enterprise.

Mode de localisation

Contrôle le paramètre de localisation de l'appareil sur les appareils appartenant à l'entreprise.

Partage de localisation désactivé

Désactive le partage de localisation pour les applications professionnelles. Sur les appareils avec propriétaire de profil, cela affecte le profil professionnel. Sur les appareils entièrement gérés, cela désactive la localisation pour l'ensemble de l'appareil et remplace le mode de localisation de l'appareil.

Comportement automatique avec des géorepérages actifs

Les géorepérages actifs nécessitent la transmission de la localisation pour fonctionner. Lorsqu'au moins un géorepérage est actif, Cerberus Enterprise maintient automatiquement la cohérence des paramètres de localisation associés.

Si vous tentez de désactiver Signaler la localisation alors qu'un ou plusieurs géorepérages sont actifs, Cerberus Enterprise affiche une boîte de dialogue de confirmation. Si vous continuez, tous les géorepérages actifs de la stratégie sont désactivés.

Liste des géorepérages

Une stratégie peut contenir jusqu'à 10 géorepérages. Les noms des géorepérages doivent être uniques au sein de la stratégie.

Utilisez Ajouter un géorepérage pour créer une nouvelle entrée. Chaque géorepérage contient ces champs principaux :

Au moins l'une des options Signaler l'entrée ou Signaler la sortie doit rester activée pour chaque géorepérage.

Le rayon minimal était auparavant de 100 mètres. Les géorepérages existants de moins de 200 mètres continuent de fonctionner et sont conservés tels quels lorsque vous enregistrez la stratégie, même si vous les déplacez ou les renommez. Si vous modifiez leur rayon, celui-ci doit être d'au moins 200 mètres.

Outils de modification de la carte

Chaque carte de géorepérage inclut un aperçu cartographique de la zone. Vous pouvez modifier la géométrie depuis la carte ou depuis les champs numériques.

Où apparaissent les données de géorepérage

Les transitions de géorepérage peuvent être consultées dans la page Android Vue d'ensemble de l'appareil, dans l'onglet Géorepérage du panneau de localisation. Cet onglet affiche les transitions sur une carte dédiée, ainsi que les outils de filtrage et la liste des transitions.

Politiques - Android

Gestion des utilisateurs

Ajout d'utilisateur désactivé

Indique si l'ajout de nouveaux utilisateurs et profils est désactivé. Pour les appareils dont managementMode est DEVICE_OWNER, ce champ est ignoré et l'utilisateur n'est jamais autorisé à ajouter ou supprimer des utilisateurs.

 

Modification des comptes désactivée

Indique si l'ajout ou la suppression de comptes est désactivé.

 

Configuration des identifiants utilisateur désactivée

Indique si la configuration des identifiants utilisateur est désactivée.

 

Suppression d'utilisateur désactivée

Indique si la suppression d'autres utilisateurs est désactivée.

 

Définition de l'icône utilisateur désactivée

Indique si la modification de l'icône utilisateur est désactivée.

 

Définition du fond d'écran désactivée

Indique si la modification du fond d'écran est désactivée.

 

Authentification lors de la configuration du compte professionnel

Contrôle la manière dont les utilisateurs s'authentifient lors de la configuration du compte professionnel. Cette option n'est disponible que pour les entreprises Android adossées à un domaine Google géré (Google Workspace).

Lors de la configuration ou de l'inscription de l'appareil, cette stratégie influence l'obligation de connexion à un compte professionnel, mais le paramètre Authenticate Using Google de la Google Admin Console et le type de jeton d'inscription peuvent toujours exiger une authentification.

Pour les appareils déjà inscrits, cette stratégie s'applique uniquement si l'appareil est géré par un compte Managed Google Play (c'est-à-dire inscrit sans Authenticate Using Google Enrollment).

Pour plus de détails et pour le dépannage, consultez Authenticate Using Google enrollment.

 

Types de comptes bloqués

Types de comptes qui ne peuvent pas être gérés par l'utilisateur. Cette option empêche les utilisateurs de l'appareil d'ajouter des comptes non approuvés.

Utilisez Ajouter un type de compte bloqué pour ajouter un ou plusieurs types de comptes.

Chaque entrée comporte un champ Type de compte (obligatoire). Saisissez une chaîne telle que com.google. Supprimez une entrée à l'aide de l'action de suppression.

Politiques - Android

Usage personnel

Lors de l'approvisionnement d'un appareil appartenant à l'entreprise pour un usage professionnel et personnel, vous pouvez spécifier certaines règles pour limiter la manière dont l'utilisateur peut utiliser l'appareil à des fins personnelles, en dehors du profil professionnel.

Cette section ne s'applique qu'aux appareils appartenant à l'entreprise avec un profil professionnel. Elle n'a aucun effet sur les appareils entièrement gérés ou appartenant à des particuliers.

1. Appareil photo désactivé

Indique si l'appareil photo est désactivé.

 

2. Capture d'écran désactivée

Indique si la capture d'écran est désactivée.

 

3. Nombre maximal de jours avec le travail désactivé

Contrôle la durée pendant laquelle le profil professionnel peut rester désactivé.

 

4. Partage Bluetooth

Contrôle si le partage Bluetooth est autorisé dans le profil personnel d'un appareil appartenant à l'entreprise avec un profil professionnel.

 

5. Espace privé

Contrôle si un espace privé est autorisé sur l'appareil.

 

6. Mode Play Store

Ce mode contrôle les applications autorisées ou bloquées pour l'utilisateur dans le Play Store du profil personnel.

Liste de blocage (par défaut) : toutes les applications sont disponibles et toute application qui ne doit pas se trouver sur l'appareil doit être explicitement marquée comme Bloquée dans la section Applications.

Liste d'autorisation : seules les applications explicitement spécifiées dans la section Applications avec le Type d'installation défini sur Disponible sont autorisées à être installées dans le profil personnel.

 

7. Applications

Liste des applications qui doivent être autorisées ou bloquées sur le profil personnel. Le comportement du contenu de la liste dépend de la valeur définie pour le Mode Play Store.

Pour ajouter une nouvelle application depuis le Play Store, cliquez sur l'icône +.

7.1. Type d'installation

Types de comportements d'installation qu'une application du profil personnel peut avoir.

Bloquée : l'application est bloquée et ne peut pas être installée dans le profil personnel.

Disponible : l'application peut être installée dans le profil personnel.

 

8. Types de comptes bloqués

Types de comptes qui ne peuvent pas être gérés par l'utilisateur. Cette option empêche les utilisateurs d'appareil d'ajouter des comptes non approuvés sur leur profil personnel.

Politiques - Android

Stratégies inter-profils

S'applique uniquement aux appareils dotés de profils personnel et professionnel.

Copier/coller inter-profils

Indique si le texte copié dans un profil (personnel ou professionnel) peut être collé dans l'autre profil.

Interdit (par défaut) : empêche les utilisateurs de coller dans le profil personnel du texte copié depuis le profil professionnel. Le texte copié depuis le profil personnel peut être collé dans le profil professionnel.

Autorisé : le texte copié dans l'un ou l'autre profil peut être collé dans l'autre profil.

 

Partage de données inter-profils

Indique si les données d'un profil (personnel ou professionnel) peuvent être partagées avec les applications de l'autre profil. Contrôle spécifiquement le partage simple de données via des intents. La gestion des autres canaux de communication inter-profils, tels que la recherche de contacts, le copier/coller,
ou les applications professionnelles et personnelles connectées, se configure séparément.

Interdit : empêche le partage de données du profil personnel vers le profil professionnel et du profil professionnel vers le profil personnel.

Professionnel vers personnel interdit (par défaut) : empêche les utilisateurs de partager des données du profil professionnel avec les applications du profil personnel. Les données personnelles peuvent être partagées avec les applications professionnelles.

Autorisé : les données de l'un ou l'autre profil peuvent être partagées avec l'autre profil.

 

Valeurs par défaut des widgets du profil professionnel

Comportement par défaut des widgets du profil professionnel. Si une application spécifique ne définit pas de stratégie de widgets, elle applique celle définie ici par défaut.

 

Fonctions d'application inter-profils

Contrôle si les applications du profil personnel peuvent invoquer les fonctions d'application des applications du profil professionnel. Nécessite Android 16 ou version ultérieure.

Ce paramètre dépend de l'option Fonctions d'application au niveau de la stratégie (dans la section Gestion des applications). Si Fonctions d'application est défini sur Interdit, l'API rejettera les Fonctions d'application inter-profils définies sur Autorisé.

 

Contacts professionnels dans le profil personnel

Indique si les contacts stockés dans le profil professionnel peuvent apparaître dans les recherches de contacts et les appels entrants du profil personnel.

Autorisé (par défaut) : autorise l'affichage des contacts du profil professionnel dans le profil personnel.

Interdit : empêche les applications personnelles d'accéder aux contacts du profil professionnel et de rechercher des contacts professionnels.

Interdit sauf pour le système : empêche la plupart des applications personnelles d'accéder aux contacts du profil professionnel, à l'exception des applications Téléphone, Messages et Contacts par défaut de l'OEM (Android 14+).

Lorsque l'option Contacts professionnels dans le profil personnel est configurée, vous pouvez éventuellement définir une liste d'entrées Nom de package exempté. Selon le mode sélectionné, ces exemptions se comportent comme une liste d'autorisation ou une liste de blocage pour les applications personnelles.

Politiques - Android

Rapports d'état

Dans cette section, vous pouvez configurer les données à récupérer depuis l'appareil. Les données d'état peuvent être consultées sur la page du tableau de bord État de l'appareil.

 

Rapports d'application

Indique si les rapports d'application sont activés. (Informations signalées sur une application installée.)

Cette option est requise par le système (pour l'intégration avec l'application compagnon) et est toujours activée ; elle ne peut pas être désactivée.

 

Inclure les applications supprimées

Indique si les applications supprimées sont incluses dans les rapports d'application.

 

Paramètres de l'appareil

Indique si les rapports sur les paramètres de l'appareil sont activés. (Informations sur les paramètres de sécurité de l'appareil.)

 

Informations logicielles

Indique si les rapports sur les informations logicielles sont activés. (Informations sur le logiciel de l'appareil.)

 

Informations sur la mémoire

Indique si les rapports sur la mémoire sont activés. (Événement lié aux mesures de mémoire et de stockage.)

 

Informations réseau

Indique si les rapports sur les informations réseau sont activés. (Informations réseau de l'appareil.)

 

Informations sur l'écran

Indique si les rapports sur les écrans sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel. (Informations sur l'écran de l'appareil.)

 

Événements de gestion de l'alimentation

Indique si les rapports sur les événements de gestion de l'alimentation sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel.

 

État du matériel

Indique si les rapports sur l'état du matériel sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel.

 

Propriétés système

Indique si les rapports sur les propriétés système sont activés.

 

Mode Common Criteria

Indique si les rapports sur le mode Common Criteria sont activés.

Politiques - Android

Divers

1. Jeu easter egg désactivé

Indique si le jeu easter egg des Paramètres est désactivé.

 

2. Ignorer les conseils de première utilisation

Indicateur permettant d'ignorer les conseils lors de la première utilisation. L'administrateur d'entreprise peut activer la recommandation système invitant les applications à ignorer leur tutoriel utilisateur et autres conseils d'introduction au premier démarrage.

 

3. Message d'assistance court

Message affiché à l'utilisateur dans l'écran des paramètres partout où une fonctionnalité a été désactivée par l'administrateur. Si le message dépasse 200 caractères, il peut être tronqué.

 

4. Message d'assistance long

Message affiché à l'utilisateur dans l'écran des paramètres des administrateurs de l'appareil.

 

5. Informations du propriétaire sur l'écran de verrouillage

Informations du propriétaire de l'appareil à afficher sur l'écran de verrouillage.

 

6. Actions de configuration

Actions à exécuter pendant le processus de configuration. Lors de l'inscription, vous pouvez exiger que l'utilisateur ouvre une ou plusieurs applications nécessaires à la configuration de l'appareil.

Utilisez Ajouter une action de configuration pour créer des entrées et supprimez-les avec l'action de suppression.

6.1. Lancer l'application

Nom de package de l'application à lancer

6.2. Titre

Fournit un message destiné à l'utilisateur pour lui expliquer pourquoi l'application doit être lancée.

6.3. Description

Fournit un message destiné à l'utilisateur pour lui expliquer pourquoi l'application doit être lancée.

 

7. Visibilité du nom d'affichage de l'entreprise

Contrôle si le nom d'affichage de l'entreprise est visible sur l'appareil (par exemple, sous forme de message sur l'écran de verrouillage des appareils appartenant à l'entreprise).

Visible (par défaut) : le nom d'affichage de l'entreprise est visible sur l'appareil (pris en charge sur les profils professionnels sous Android 7+ et les appareils entièrement gérés sous Android 8+).

Masqué : le nom d'affichage de l'entreprise est masqué sur l'appareil.

Politiques - Android

Règles de conformité

Si un appareil ou un profil professionnel ne respecte pas l'un des paramètres de stratégie répertoriés ci-dessous, Android Device Policy bloque immédiatement l'utilisation de l'appareil ou du profil professionnel par défaut :

Si l'appareil ou le profil professionnel reste non conforme après 10 jours, Android Device Policy réinitialisera l'appareil aux paramètres d'usine ou supprimera le profil professionnel.

Dans cette section, vous pouvez remplacer les règles d'application de conformité par défaut ou en ajouter de nouvelles.

Règles

Liste des règles qui définissent le comportement lorsqu'une stratégie particulière ne peut pas être appliquée à un appareil.

Utilisez Ajouter une règle pour créer une nouvelle règle. Chaque carte de règle peut être supprimée à l'aide de l'action de suppression.

Nom du paramètre

La stratégie de niveau supérieur à appliquer. Par exemple, Applications ou Exigences relatives aux mots de passe.

Obligatoire. La valeur doit correspondre à un nom de stratégie de niveau supérieur pris en charge ; sinon, le champ est marqué comme non valide.

Bloquer après (jours)

Nombre de jours pendant lesquels la stratégie est non conforme avant que l'appareil ou le profil professionnel ne soit bloqué. Pour bloquer l'accès immédiatement, définissez la valeur sur 0. Bloquer après (jours) doit être inférieur à Effacer après (jours). Applicable uniquement aux appareils appartenant à l'entreprise.

Plage autorisée : 0–300.

Portée du blocage

Spécifie la portée de l'action de blocage. Applicable uniquement aux appareils appartenant à l'entreprise.

Par défaut (nouvelle règle) : Profil professionnel.

Profil professionnel : l'action de blocage s'applique uniquement aux applications du profil professionnel. Les applications du profil personnel ne sont pas affectées.

Appareil entier : l'action de blocage s'applique à l'ensemble de l'appareil, y compris aux applications du profil personnel.

Effacer après (jours)

Nombre de jours pendant lesquels la stratégie est non conforme avant que l'appareil ou le profil professionnel ne soit effacé.
Effacer après (jours) doit être supérieur à Bloquer après (jours). Applicable uniquement aux appareils appartenant à l'entreprise.

Obligatoire. Par défaut (nouvelle règle) : 1.

Plage autorisée : 1–300.

Conserver la protection contre la réinitialisation d'usine

Indique si les données de protection contre la réinitialisation d'usine sont conservées sur l'appareil. Ce paramètre ne s'applique pas aux profils professionnels.

Par défaut (nouvelle règle) : activé.

Politiques - Apple

Politiques - Apple

Stratégies Apple

Les stratégies Apple définissent les paramètres de gestion que Cerberus Enterprise applique aux appareils Apple via MDM. Ces paramètres sont configurés depuis le tableau de bord dans l'éditeur de stratégie Apple.

Avant de commencer

La gestion des appareils Apple nécessite que Apple Management (APNs) soit configuré. Si nécessaire, consultez la page Configuration d'Apple Management (APNs).

Ouvrir l'éditeur de stratégie Apple

Dans le tableau de bord, ouvrez Stratégies et cliquez sur Créer une stratégie Apple. Pour modifier une stratégie Apple existante, cliquez sur sa ligne dans le tableau des stratégies.

Disposition de l'éditeur

L'éditeur de stratégie Apple est organisé en un ensemble de sections dépliables. En haut de la page, vous pouvez toujours modifier :

Sections de la stratégie

Les sections ci-dessous correspondent aux panneaux actuellement disponibles dans l'éditeur de stratégie Apple. Lorsque vous ouvrez une stratégie enregistrée, les sections dont les réglages ont été modifiés sont déjà ouvertes et les autres restent fermées :

De nombreuses options de l'éditeur de stratégie Apple incluent une info-bulle qui documente les exigences et les versions du système prises en charge.

Enregistrer, supprimer et appareils associés

Utilisez Enregistrer la stratégie pour appliquer vos modifications. Le bouton est désactivé lorsqu'il n'y a aucune modification en attente ou lorsque la licence est expirée.

Lors de la modification d'une stratégie existante, la page affiche également une action Supprimer la stratégie. L'éditeur peut afficher une liste Appareils associés en bas, afin que vous puissiez voir combien d'appareils utilisent actuellement la stratégie.

Pages suivantes

Politiques - Apple

Apps et profils

Cette section explique comment configurer les applications gérées et les charges utiles de compte pour les appareils Apple.

Gestion des applications

Le panneau Gestion des applications contient à la fois les restrictions générales liées aux applications et une liste d'applications gérées.

Restrictions générales des applications

Applications gérées

Utilisez Ajouter une application pour ajouter une application à la stratégie. Chaque application gérée est affichée sous forme de carte. Vous pouvez développer la carte pour modifier ses paramètres et supprimer l'application à l'aide de l'action de suppression.

La liste de sélection des applications affiche les licences disponibles et totales de chaque application. Les applications gratuites affichent Illimité : Apple leur accorde des licences illimitées. Une application ne peut être ajoutée qu'une seule fois à une stratégie : une application ayant le même ID App Store ou ID de bundle qu'une application déjà présente dans la stratégie est refusée, tout comme une stratégie qui répertorie deux fois la même application lors de l'enregistrement.

La liste de sélection des applications affiche les applications de votre bibliothèque Apple Business. Pour ajouter une application, ouvrez dans Apple Business Apps & Services → Apps & Books → App Store, recherchez l'application et cliquez sur View. Pour une application gratuite, cliquez sur Add, sélectionnez All current and future (ou l'unité organisationnelle de votre jeton Apps and Books) dans Organizational Units, cliquez sur Add, puis sur Review et confirmez. Pour une application payante, cliquez sur son prix, choisissez Managed Licenses comme License Type (les codes d'échange ne peuvent pas être utilisés par Cerberus Enterprise), sélectionnez l'Organizational Unit de votre jeton Apps and Books, saisissez le nombre de Licenses (jusqu'à 1 000 par commande), puis Review et achetez. Un moyen de paiement doit d'abord être configuré dans Settings → Payments & Billing → Apps & Services → Payment Methods. Les applications apparaissent ensuite dans la liste de sélection des applications.

Applications sur les appareils personnels (inscription utilisateur)

Les iPhone et iPad personnels inscrits avec l'inscription utilisateur n'ont pas de numéro de série ; ils reçoivent donc les applications App Store de la stratégie avec une licence utilisateur du Managed Apple Account connecté sur l'appareil. Cerberus enregistre le compte auprès d'Apps and Books et attribue les licences automatiquement, applications gratuites comprises. Les Managed Apple Accounts et le jeton Apps and Books doivent appartenir à la même organisation Apple Business. Une application payante utilise une licence par compte, partagée par tous les appareils personnels de ce compte.

Pour plus de détails, consultez Inscription pilotée par le compte Apple.

Configuration gérée

Une configuration gérée fournit à une application ses paramètres (par exemple une adresse de serveur ou un nom de compte), de la manière documentée par le fournisseur de l'application. Ouvrez l'application dans la stratégie et cliquez sur Ajouter une configuration gérée. Elle est envoyée aux iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure et aux Mac sous macOS 27 ou version ultérieure ; elle n'est pas encore envoyée à Apple Vision Pro. L'application doit prendre en charge la configuration gérée : une application qui ne la lit pas l'ignore. Le panneau de l'application affiche le nombre de clés à côté du nom de l'application.

Options des applications

Chaque application de la stratégie (App Store et applications personnalisées) dispose de ces options. Valeur par défaut de l'appareil laisse le choix à l'appareil. Les appareils qui ne prennent pas en charge une option ne la reçoivent pas ; l'application est tout de même installée.

Applications du Mac App Store

La liste de sélection des applications affiche les plateformes de chaque application (iPhone/iPad, Mac, Apple TV, Vision) ; une application qui n'existe que pour Mac affiche son icône Mac. Une application qui n'existe que pour Mac s'applique aux Mac lorsque vous l'ajoutez. Une application App Store sans version Mac n'est pas envoyée aux Mac : la stratégie affiche « Cette application n'a pas de version Mac : elle n'est pas envoyée aux Mac » sous S'applique à. Les Mac reçoivent les applications App Store par leur ID App Store, de sorte que les applications ayant un ID de bundle différent sur Mac sont installées correctement.

Application Cerberus Enterprise

Cerberus installe son application Cerberus Enterprise sur chaque iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure, avec ou sans stratégie. L'application partage la position de l'appareil et reçoit les notifications et les demandes de suivi en direct. Elle est installée comme Obligatoire, avec une licence d'appareil issue d'Apps and Books (une licence utilisateur sur les appareils personnels), de sorte que l'utilisateur ne peut pas la supprimer.

Applications personnalisées

Les applications personnalisées sont vos propres applications iPhone et iPad (fichiers .ipa), distribuées sans l'App Store. Dans Xcode, exportez l'application pour une distribution Enterprise (Apple Developer Enterprise Program : elle s'installe sur tous les appareils) ou Ad Hoc (elle s'installe uniquement sur les appareils enregistrés dans son profil de provisionnement). Les versions App Store ne peuvent pas être importées.

Cliquez sur Ajouter une application personnalisée pour ouvrir les applications personnalisées de votre organisation. Importer une application ajoute un fichier .ipa (jusqu'à 2 Go). Sélectionnez une application et cliquez sur Ajouter à la stratégie. La liste affiche la version, le type de signature, le nombre d'appareils dans le profil des applications ad hoc et la date d'expiration du profil de provisionnement.

Paquets Mac

Les applications personnalisées acceptent aussi les paquets d'installation Mac (fichiers .pkg). Le paquet doit être un paquet de distribution construit avec productbuild (un paquet de composants créé uniquement avec pkgbuild est refusé) et signé avec un certificat Developer ID Installer. Il est recommandé de le notariser et d'agrafer le ticket (notarytool et stapler). Les paquets non signés, les paquets modifiés après signature et les paquets signés avec d'autres certificats sont refusés.

Téléversez le fichier .pkg avec Téléverser l'app et ajoutez-le à la stratégie : il apparaît sous Paquets Mac. Les iPhone et iPad l'ignorent.

Les Mac avec macOS 26 ou ultérieur (supervisés, ce qui inclut les Mac inscrits manuellement, mais pas l'inscription utilisateur) reçoivent le paquet sous forme de déclaration : le Mac le télécharge, l'installe, réessaie et le met à jour de lui-même et signale son état. Les Mac plus anciens, et les paquets installés comme applications gérées, le reçoivent avec une commande MDM, sur toute version de macOS. Un Mac mis à niveau vers macOS 26 passe de lui-même à la déclaration ; il peut installer chaque paquet une fois de plus. Il peut en aller de même lorsqu'un Mac passe à une autre stratégie contenant le même paquet.

Comptes

Le panneau Comptes vous permet de configurer les comptes appliqués aux appareils gérés. Il comprend également une option de restriction pour la modification des comptes.

Restriction

Ajouter des comptes

Utilisez Ajouter un compte Google ou Ajouter un compte de messagerie pour ajouter des charges utiles de compte à la stratégie. Chaque compte apparaît sous forme de carte avec ses champs de configuration.

Identifiants de compte fournis par les utilisateurs

Les cartes de compte Google et de compte de messagerie proposent toutes deux une option Identifiants de compte fournis par les utilisateurs. Lorsqu'elle est activée, le système applique les identifiants de compte pour chaque utilisateur. Lorsqu'elle est désactivée, vous saisissez l'identité du compte dans la stratégie.

Champs du compte Google

Champs du compte de messagerie

Les comptes de messagerie comprennent des champs d'identité ainsi que la configuration des serveurs entrants et sortants. Les noms d'hôte sont obligatoires.

Serveur entrant

Serveur sortant

Options S/MIME

Pour les comptes de messagerie, vous pouvez également configurer le comportement de chiffrement et de signature S/MIME.

Chiffrement

Signature

Les options de compte et de restriction comprennent dans le tableau de bord des infobulles documentant les prérequis et les versions de système d'exploitation prises en charge.

Politiques - Apple

Mode kiosque et écran d'accueil

La section Mode kiosque et écran d'accueil de l'éditeur de stratégie Apple verrouille les appareils sur une seule app, choisit les apps qui peuvent être ouvertes, organise l'écran d'accueil et ajoute des icônes de site web. Chaque paramètre est installé sur les appareils sous forme de profil de configuration.

Apple applique la plupart de ces réglages uniquement aux iPhone et iPad supervisés (appareils inscrits avec l'inscription automatique des appareils ou préparés avec Apple Configurator). Les autres appareils ne les reçoivent pas. Les clips web fonctionnent aussi sur les iPhone et iPad non supervisés. Les Mac ne reçoivent aucun de ces réglages.

Choix des apps

Les apps sont identifiées par leur identifiant de bundle. Saisissez le nom d'une app pour la choisir parmi les apps Apple intégrées et les apps de la stratégie, ou saisissez un identifiant de bundle quelconque, par exemple com.example.app.

Mode app unique

L'appareil exécute uniquement l'app choisie : les utilisateurs ne peuvent pas revenir à l'écran d'accueil ni ouvrir d'autres apps. Installez d'abord l'app avec la stratégie. L'appareil quitte le mode app unique lorsque vous désactivez le paramètre ou retirez l'app.

Apps autorisées et bloquées

Avec Autoriser uniquement certaines apps, chaque application absente de la liste disparaît des appareils, y compris les applications de la stratégie. Réglages et, sur iPhone, Téléphone restent toujours.

Disposition de l'écran d'accueil

Organisez le Dock et les pages de l'écran d'accueil. Ajoutez des apps, des dossiers d'apps et les clips web de la stratégie, en choisissant l'emplacement avec Ajouter à, puis faites glisser les icônes pour les déplacer entre le Dock et les pages. Cliquez sur un dossier pour modifier son nom et ses apps.

Les utilisateurs ne peuvent pas déplacer les icônes ni supprimer des applications de l'écran d'accueil. Les applications absentes de la disposition vont sur les pages suivant celles que vous avez définies. Un iPhone affiche quatre icônes dans le Dock. Les utilisateurs peuvent toujours supprimer les applications qui ne sont pas Obligatoires dans l'écran de stockage des Réglages. Pour l'empêcher, désactivez Autoriser la suppression d'applications dans Gestion des applications.

Clips web

Un clip web est une icône sur l'écran d'accueil qui ouvre un site web. Définissez le libellé et l'URL, et éventuellement une image (PNG ou JPEG, recadrée en carré).

Paramètres de notification

Choisissez comment les appareils affichent les notifications de certaines apps : si elles sont autorisées, où elles apparaissent (écran verrouillé, centre de notifications, CarPlay), les badges, les sons, les alertes critiques, le style de bannière, le regroupement et les aperçus. Les utilisateurs ne peuvent pas modifier ces paramètres.

Message de l'écran verrouillé

Un message affiché en bas de l'écran verrouillé, par exemple qui appeler si l'appareil est retrouvé, et une étiquette d'inventaire. Les deux peuvent contenir les variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$ : une variable sans valeur pour l'appareil reste vide.

Politiques - Apple

Code d'accès

La section Réglages du code d'accès contrôle les exigences de code d'accès de l'appareil et les règles de sécurité associées (par exemple, la longueur minimale et la complexité). Sur un Mac (macOS 13 ou version ultérieure, pas avec l'inscription utilisateur), les règles s'appliquent au mot de passe de connexion des utilisateurs.

Options

Dans l'éditeur de stratégie Apple, les options de code d'accès sont configurées à l'aide d'un mélange de commutateurs et de champs numériques. De nombreux champs comportent des infobulles qui indiquent les versions de système d'exploitation prises en charge et les exigences de supervision.

Commutateurs de code d'accès

Champs numériques

Politiques - Apple

Restrictions

Les sections Restrictions contrôlent les fonctionnalités du système d'exploitation autorisées sur les appareils Apple gérés. Dans l'éditeur de stratégie Apple, ces options sont présentées sous forme de panneaux groupés avec plusieurs commutateurs.

Les options des panneaux Gestion des apps et Réseau sont décrites dans les pages Apps et profils et Réseau des stratégies Apple.

De nombreuses restrictions ne sont prises en charge que sur certaines versions du système d'exploitation et peuvent nécessiter des appareils supervisés. Utilisez les infobulles du tableau de bord pour connaître les exigences faisant foi.

Sur les appareils en inscription utilisateur (appareils personnels inscrits en se connectant avec un compte professionnel), les restrictions qu'Apple n'autorise pas dans ce cas ne sont pas envoyées. Si aucune des restrictions de la stratégie ne s'applique, ces appareils ne reçoivent aucun profil de restrictions. L'éditeur de stratégie indique combien de restrictions ne s'appliquent pas aux appareils en inscription utilisateur.

Sécurité

Multimédia

Cellulaire

APN cellulaire

APN cellulaire définit le nom du point d'accès (APN) fourni par votre opérateur, par exemple pour un réseau mobile privé ou professionnel. Définissez le nom du point d'accès et, si l'opérateur les demande, l'authentification (PAP ou CHAP), le nom d'utilisateur (les variables comme $EMAIL$ sont autorisées), le mot de passe, les versions IP (aussi en itinérance), un serveur proxy avec son port et XLAT464. Activez Joindre l'APN uniquement si l'opérateur vous fournit un APN distinct pour la connexion au réseau.

Un APN incorrect laisse les appareils sans données cellulaires : essayez d'abord les paramètres sur un appareil de test avec une SIM de l'opérateur.

Système et interface utilisateur

Applications et services Apple

Siri et Apple Intelligence

iCloud

Comptes (restriction)

Le panneau Comptes contient à la fois une restriction et (facultativement) une configuration de comptes. L'option de restriction contrôle si l'utilisateur peut modifier les comptes système.

Politiques - Apple

Réseau

La section Réseau de l'éditeur de stratégie Apple configure les réseaux Wi-Fi et les VPN sur les appareils, installe des certificats et restreint les fonctions de connectivité comme AirDrop et Bluetooth. Chaque réseau Wi-Fi, VPN et certificat est installé sous forme de profil de configuration distinct, que vous pouvez voir sur l'appareil dans Réglages > Général > VPN et gestion de l'appareil (Mac : Réglages Système > Général > Gestion de l'appareil, ou Confidentialité et sécurité > Profils sur macOS 13 et 14) et dans le panneau Profils, certificats et sécurité de la page de l'appareil.

Les certificats proviennent de la page Certificats : importez-les d'abord à cet endroit. La stratégie ne fait que les référencer, ainsi un certificat n'est jamais copié dans la stratégie.

Restrictions

Réseaux Wi-Fi

Cliquez sur Ajouter un réseau Wi-Fi et renseignez :

Réseaux d'entreprise (802.1X)

Activez Entreprise (802.1X) lorsque les utilisateurs s'authentifient avec leurs propres identifiants ou un certificat au lieu d'un mot de passe partagé.

VPN

Cliquez sur Ajouter un VPN pour configurer un VPN IKEv2 ou Cisco IPSec, intégré à iOS, iPadOS et macOS (aucune app VPN nécessaire).

Connexion

Testez d'abord un VPN Toujours actif ou à la demande sur un appareil de test : si le serveur est inaccessible, l'appareil peut ne plus avoir de connexion.

Proxy global, DNS chiffré et filtre de contenu web

Ces paramètres s'appliquent à tout le trafic de l'appareil. Activez-les avec leur commutateur.

Un proxy ou un serveur DNS incorrect peut laisser les appareils sans connexion : essayez d'abord les paramètres sur un appareil de test.

Certificats

Cliquez sur Ajouter un certificat pour installer un certificat seul : une autorité de certification à laquelle Safari et les apps doivent faire confiance, ou une identité utilisée par des apps. Les certificats d'un réseau Wi-Fi ou d'un VPN n'ont pas besoin d'être ajoutés ici.

Options de certificat

Les certificats client (.p12) protégés par l'ancien chiffrement RC2 ne peuvent pas être installés sur les appareils Apple. Exportez-les de nouveau avec le chiffrement 3DES ou AES avant de les importer.

Sécurité

Les profils qui contiennent des mots de passe ou des clés privées sont envoyés uniquement à l'appareil pour lequel ils ont été créés : l'appareil doit signer sa demande avec son certificat de gestion. Les mots de passe et les certificats ne sont pas écrits dans les journaux.

Politiques - Apple

Mises à jour logicielles

La section Mises à jour logicielles de l'éditeur de stratégie Apple permet de maintenir les appareils à jour : elle peut exiger une version spécifique du système d'exploitation avant une date limite et contrôler la façon dont les appareils téléchargent et installent les mises à jour.

Mises à jour requises du système

Cliquez sur Ajouter une mise à jour requise pour exiger une version du système. L'appareil télécharge la mise à jour, informe l'utilisateur de la date limite et l'installe à cette date si l'utilisateur ne l'a pas déjà fait. Les appareils qui exécutent déjà cette version ou une version ultérieure l'ignorent. Nécessite iOS et iPadOS 17 ou macOS 14.

L'appareil signale la progression de la mise à jour (téléchargement, installation, échecs) dans le panneau État de l'appareil de la page de l'appareil.

Paramètres des mises à jour logicielles

Activez Paramètres des mises à jour logicielles pour iPhone et iPad ou Paramètres des mises à jour logicielles pour Mac pour contrôler les mises à jour sur ces appareils. Lorsqu'une option est désactivée, les appareils conservent leurs propres paramètres. Nécessite iOS et iPadOS 18 ou macOS 15 : les appareils plus anciens ignorent ces paramètres.

Installer une mise à jour depuis la page de l'appareil

Le panneau État de l'appareil d'un appareil répertorie les mises à jour disponibles. Utilisez Rechercher les mises à jour pour demander la liste à l'appareil et Installer pour en installer une immédiatement ou pour la télécharger et laisser l'utilisateur l'installer. Cela fonctionne sur les iPhone et iPad supervisés et sur les Mac. Apple supprime ces commandes dans iOS, iPadOS et macOS 27 : sur ces versions, utilisez les mises à jour requises de la stratégie.

Politiques - Apple

macOS

La section macOS de l'éditeur de stratégie Apple gère les paramètres de sécurité, de confidentialité et de connexion des Mac : FileVault, pare-feu, Gatekeeper, économiseur d'écran et verrouillage, stockage externe et réseau, partage d'écran, autorisations de confidentialité, éléments de connexion, et extensions système et noyau autorisées à se charger. Elle installe aussi des fichiers de configuration de services système et de tâches en arrière-plan. Les autres appareils de la stratégie ne reçoivent pas ces paramètres. Activez un paramètre pour le gérer ; tant qu'il est désactivé, les utilisateurs conservent leurs propres choix.

La plupart des paramètres sont installés sur le Mac sous forme de profils de configuration, visibles dans Réglages Système > Général > Gestion de l'appareil. FileVault, les autorisations de confidentialité, les éléments de connexion et les paramètres d'extension nécessitent un MDM approuvé par l'utilisateur : sur un Mac inscrit avec l'URL d'inscription ou le code QR, l'utilisateur approuve le profil d'inscription dans Réglages Système. La page de l'appareil l'indique dans le champ MDM approuvé par l'utilisateur. Lorsque l'utilisateur l'approuve plus tard, le Mac reçoit ces paramètres automatiquement.

FileVault

FileVault chiffre le disque du Mac. Lorsque ce paramètre est activé, les utilisateurs sont invités à activer FileVault avec leur mot de passe, et le Mac envoie sa clé de récupération personnelle à Cerberus Enterprise, chiffrée avec une clé qui appartient uniquement à votre organisation. La clé est affichée et modifiée depuis le champ FileVault de la page de l'appareil (voir Commandes de l'appareil). Le paramètre nécessite macOS 13 ou ultérieur et un MDM approuvé par l'utilisateur ; sans MDM approuvé par l'utilisateur, le Mac n'est pas invité à activer FileVault, mais si un utilisateur l'active, sa clé est stockée.

Un Mac déjà chiffré lorsqu'il a reçu le paramètre conserve sa clé actuelle, que Cerberus Enterprise ne reçoit pas : la clé est stockée uniquement après que l'utilisateur a désactivé puis réactivé FileVault (avec « Empêcher la désactivation de FileVault » désactivé). La désactivation du paramètre, ou le retrait du Mac de la gestion, ne désactive pas FileVault, et la clé stockée continue de fonctionner. Le paramètre ne peut pas être enregistré lorsque le serveur n'est pas configuré pour stocker les clés de récupération.

Pare-feu

Gatekeeper

Gatekeeper vérifie les apps avant qu'elles ne s'ouvrent. Choisissez si les Mac ouvrent uniquement les apps de l'App Store, ou aussi les apps de développeurs identifiés. Avec Gatekeeper désactivé, toute app peut être ouverte, y compris les apps non signées ou endommagées. Sur macOS 15 ou ultérieur, vous pouvez aussi choisir si les utilisateurs sont invités à envoyer les logiciels malveillants bloqués à Apple.

Économiseur d'écran et verrouillage

Démarrez l'économiseur d'écran après une période d'inactivité et demandez le mot de passe lorsque l'économiseur d'écran démarre ou que l'écran s'éteint, immédiatement ou après un délai. Un paramètre laissé sur Non géré reste au choix de l'utilisateur.

Stockage externe et réseau

Autorisez, rendez accessible en lecture seule ou bloquez le stockage externe (clés USB, cartes SD, disques externes) et le stockage réseau (partages de fichiers) des Mac. Nécessite macOS 15 ou ultérieur.

Partage d'écran

Limites des personnes qui se connectent à ces Mac avec le partage d'écran : copie de fichiers depuis ou vers le Mac, connexions hautes performances et nombre d'écrans virtuels. L'activation du partage d'écran reste au choix de l'utilisateur. Nécessite macOS 14 ou ultérieur.

Autorisations de confidentialité

Accordez ou refusez aux apps l'accès que les utilisateurs autoriseraient autrement dans Réglages Système > Confidentialité et sécurité, par exemple l'accès complet au disque pour une app de sauvegarde, ou refusez la caméra à une app. Pour chaque autorisation, choisissez :

Éléments de connexion et d'arrière-plan

Les éléments de connexion et d'arrière-plan qui correspondent aux règles sont gérés : ils s'exécutent sans demander et les utilisateurs ne peuvent pas les désactiver dans Réglages Système > Général > Éléments de connexion. Une règle correspond à l'identifiant d'équipe de développeur d'une app, à son identifiant de bundle ou au libellé d'un démon ou agent de lancement (aussi par leur première partie). Nécessite macOS 13 ou ultérieur.

Extensions système

Les extensions système sont le moyen moderne pour les apps d'étendre macOS : filtres réseau et VPN, agents et pilotes de sécurité des points de terminaison. Lorsque ce paramètre est activé, les extensions système des équipes de développeurs listées se chargent sans demander à l'utilisateur. Nécessite macOS 10.15 ou ultérieur et un MDM approuvé par l'utilisateur.

Sur macOS 11.3 ou ultérieur, la suppression de ce paramètre désactive les extensions système qu'il autorisait, par exemple un agent de sécurité ou un filtre réseau. Cela se produit lorsque le paramètre est désactivé, lorsque la stratégie est supprimée et lorsque le Mac passe à une stratégie qui ne le contient pas. L'éditeur demande une confirmation avant de désactiver le paramètre.

Extensions de noyau (héritées)

Les extensions de noyau sont l'ancien moyen, obsolète, d'étendre macOS : préférez les extensions système lorsque l'éditeur les propose. Les extensions de noyau des équipes listées (toutes les extensions d'une équipe, ou uniquement les identifiants de bundle listés) se chargent sans demander à l'utilisateur, après un redémarrage. Nécessite macOS 10.13.2 ou ultérieur et un MDM approuvé par l'utilisateur.

Sur les Mac avec Apple silicon, un profil seul ne suffit pas : quelqu'un doit démarrer le Mac en recoveryOS, choisir Sécurité réduite dans l'Utilitaire de sécurité au démarrage et autoriser la gestion des extensions de noyau par les utilisateurs pour les développeurs identifiés. Le Mac peut aussi avoir besoin d'un Bootstrap Token déposé dans Cerberus Enterprise pour les approuver (voir le champ Bootstrap Token de la page de l'appareil).

Fichiers Mac

Les fichiers de configuration de service et les tâches en arrière-plan utilisent des fichiers que vous téléversez dans les Fichiers Mac de votre organisation : archives zip et listes de propriétés (.plist) jusqu'à 20 Mo. Téléversez-les, vérifiez où ils sont utilisés ou supprimez-les avec le bouton Fichiers Mac de la section macOS, ou avec Choisir un fichier dans un paramètre. Un fichier utilisé par une stratégie ne peut pas être supprimé. Pour modifier un fichier, téléversez la nouvelle version et choisissez-la dans la stratégie : les Mac la téléchargent de nouveau.

Fichiers de configuration de service

Installe les fichiers de configuration d'un service système à partir d'une archive zip. Les services intégrés sont le serveur SSH (sshd), sudo, PAM, l'impression (CUPS), le serveur web Apache, bash, zsh, la connexion par carte à puce et l'autorisation. Vous pouvez aussi utiliser votre propre service, avec un identifiant DNS inversé comme com.example.service : il trouve les fichiers avec la bibliothèque de fichiers de configuration gérés de macOS. Chaque service peut avoir un seul paramètre. Nécessite macOS 14 ou ultérieur.

Un service intégré utilise uniquement les fichiers de l'archive et ignore ses propres fichiers, par exemple /etc/ssh pour sshd : placez toute la configuration dans l'archive, dans des dossiers qui partent de la racine du disque (par exemple etc/ssh/sshd_config). Les fichiers sont en lecture seule sur le Mac et sont supprimés avec le paramètre. Testez d'abord l'archive sur un Mac : une mauvaise configuration de sudo ou de PAM peut empêcher les utilisateurs de se connecter ou d'utiliser les droits d'administrateur.

Tâches en arrière-plan

Programmes et scripts qui s'exécutent en arrière-plan, lancés par launchd. Les utilisateurs ne peuvent pas les désactiver, et ils sont supprimés avec le paramètre. Nécessite macOS 15 ou ultérieur. Pour chaque tâche, choisissez :

Une tâche nécessite les programmes ou au moins une liste de propriétés. Lorsque les fichiers changent, les Mac redémarrent la tâche.

Politiques - Apple

Localisation et géorepérage

La section Localisation et géorepérage de l'éditeur de stratégie Apple définit des zones, par exemple un site ou un entrepôt. Les iPhone et iPad avec l'app Cerberus Enterprise signalent lorsqu'ils entrent dans l'une de ces zones ou en sortent, et les règles d'événement peuvent y réagir : envoyer un e-mail, verrouiller ou désactiver l'appareil, ou le réactiver. Les Mac n'utilisent pas le géorepérage.

Champs de la zone géographique

Utilisez Ajouter une zone géographique pour créer une nouvelle entrée. Une stratégie peut contenir jusqu'à 10 zones géographiques, et leurs noms doivent être uniques au sein de la stratégie. Chaque zone géographique contient les champs suivants :

Chaque zone géographique dispose d'un aperçu de carte. Le centre et le rayon d'une zone géographique enregistrée sont verrouillés : utilisez le bouton de verrouillage sur la carte pour les modifier. Les autres boutons centrent la carte sur la zone ou sur votre position actuelle.

Lorsque vous enregistrez la stratégie, Cerberus Enterprise demande aux iPhone et iPad de la stratégie de récupérer les nouvelles zones géographiques. Cela prend généralement quelques minutes, mais iOS peut le retarder, par exemple en mode Économie d'énergie ou sans connexion réseau. La page de l'appareil indique lorsque l'app n'a pas encore appliqué les dernières zones géographiques.

Exigences

Les zones géographiques fonctionnent sur les iPhone et iPad équipés de l'app Cerberus Enterprise. Les Mac les ignorent. Sur l'appareil :

Position et zones géographiques sur les appareils personnels, en haut de la section, est désactivé par défaut. Tant que cette option est désactivée, Cerberus ne collecte pas la position des appareils personnels (inscription utilisateur), leurs événements de zone géographique ne sont pas générés et leur page d'appareil ne propose ni Localiser ni le suivi en direct. Lorsque vous l'activez, les appareils personnels de la stratégie partagent leur position et leurs événements de zone géographique comme les appareils d'entreprise, mais uniquement si l'utilisateur autorise la localisation pour l'app Cerberus Enterprise ; l'app explique cela à l'utilisateur avant que iOS ne le demande. Votre organisation est responsable d'informer les utilisateurs et de respecter la réglementation locale sur la localisation des employés. Le mode Perdu et la demande de localisation MDM ne sont jamais disponibles sur les appareils personnels (Apple ne les autorise pas).

En mode Économie d'énergie, les zones géographiques continuent de fonctionner, mais iOS signale une sortie de zone plus tard et avec une position moins précise, et il peut retarder de plusieurs heures la récupération de nouvelles zones géographiques après une modification de stratégie, jusqu'à la prochaine exécution de l'app (par exemple au prochain franchissement ou lorsque l'utilisateur l'ouvre).

Comment arrivent les événements

iOS surveille les zones pour l'app et la réveille lorsque l'appareil franchit une limite, même lorsque l'app n'est pas ouverte. Les événements peuvent arriver quelques minutes après le franchissement, et une petite zone ou une visite courte peut être manquée : iOS exige que l'appareil parcoure une certaine distance au-delà de la limite et y reste un moment.

Si l'app ne peut pas s'exécuter, par exemple après un redémarrage avant le déverrouillage de l'appareil, le serveur détecte aussi le franchissement à partir des positions envoyées par l'app, plus tard. Chaque franchissement déclenche une seule fois les règles d'événement, que ce soit l'app ou le serveur qui le détecte.

Lorsque l'app n'a pas contacté le serveur depuis plusieurs heures, le serveur demande à iOS de la réveiller afin qu'elle puisse vérifier à nouveau ses zones géographiques. iOS ne garantit pas ces demandes.

Page de l'appareil

Sur la page de l'appareil, l'onglet Zone géographique du panneau Carte de localisation affiche les transitions de l'appareil. Lorsque la stratégie comporte des zones géographiques actives, une ligne d'état indique si le géorepérage fonctionne sur l'appareil, ou pourquoi il ne le peut pas : l'app n'a pas contacté le serveur ou doit être mise à jour, l'accès à la position n'est pas défini sur Toujours, Position précise ou Actualisation des apps en arrière-plan est désactivé, le mode Économie d'énergie était activé lors du dernier signalement des réglages par l'app, ou l'app n'a pas encore appliqué les dernières zones géographiques.

Les transitions de zones géographiques et les positions sont conservées 90 jours et les données plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte qu'il reste sur les cartes.

Limites

Pour réagir aux événements de zone géographique, créez une règle d'événement pour L'appareil entre dans une zone géographique ou L'appareil sort d'une zone géographique. Consultez Règles d'événement.

Politiques - Apple

Comptes

La section Comptes de l'éditeur de stratégie Apple ajoute des comptes de messagerie, Exchange, Google, calendrier, contacts et annuaire aux iPhone, iPad et Mac. Cliquez sur Ajouter un compte et choisissez le type. La section contient également la restriction Autoriser la modification du compte (appareils supervisés).

Sur un Mac (macOS 13 ou version ultérieure), les comptes sont installés dans la session des utilisateurs inscrits à la gestion, généralement l'utilisateur qui a inscrit le Mac, lorsqu'ils sont connectés. La page de l'appareil répertorie ces utilisateurs sous Utilisateurs du Mac, avec l'état de leurs comptes. Les comptes qui reprennent l'adresse e-mail de l'utilisateur de l'appareil utilisent l'utilisateur affecté au Mac dans Cerberus Enterprise.

Paramètres communs

Types de comptes

S/MIME

Les comptes Mail et Exchange peuvent signer et chiffrer les messages avec S/MIME (iOS 17 ou version ultérieure). Pour chacun, choisissez le certificat : l'un de ceux de la page Certificats, le certificat de l'utilisateur de l'appareil ou un certificat demandé à un serveur SCEP. Vous pouvez autoriser l'utilisateur à le désactiver, à choisir un autre certificat et, pour le chiffrement, afficher un commutateur pour chaque message.

Sécurité

Les mots de passe et les certificats ne font pas partie des paramètres envoyés aux appareils : chaque appareil télécharge ses propres identifiants depuis Cerberus Enterprise en signant la demande avec son certificat de gestion. Ils ne sont pas écrits dans les journaux.

Politiques - Apple

Règles de conformité

La section Règles de conformité de l'éditeur de stratégie Apple définit des exigences pour les appareils de la stratégie. Un appareil qui enfreint une règle est immédiatement non conforme : la page de l'appareil en explique la raison, dans Pourquoi l'appareil est non conforme, et la liste des appareils l'affiche comme non conforme. Un appareil est également non conforme lorsqu'un paramètre de la stratégie ne peut pas y être appliqué.

Règles

Une règle est vérifiée lorsque l'appareil envoie son état, lorsque la stratégie est enregistrée et toutes les heures. Un appareil dont l'état est inconnu (par exemple un Mac qui n'a pas encore signalé FileVault) n'enfreint pas la règle.

Blocage de l'appareil

Activez Bloquer l'appareil s'il est toujours non conforme et définissez après combien de jours (0 bloque immédiatement). Les iPhone et iPad supervisés passent en mode Perdu avec le message que vous définissez. Les autres appareils sont verrouillés une fois ; un Mac redémarre et demande un code PIN, affiché dans les détails de la commande de l'historique des commandes.

Pour être notifié ou réagir d'une autre manière, créez une règle d'événement pour L'appareil devient non conforme : elle reçoit aussi les raisons.

État de l'Appareil

État de l'Appareil

Présentation de l’appareil

Ouvrez un appareil depuis Tableau de bord → Appareils en cliquant sur la ligne de l’appareil. Le titre de la page affiche le Modèle de l’appareil (lorsqu’il est disponible) et l’ID interne.

Données historiques et inscription actuelle

Lorsqu’un appareil a plusieurs inscriptions, Cerberus Enterprise peut afficher un enregistrement historique en lecture seule. Dans ce cas, la page affiche une bannière Données historiques et un bouton pour revenir aux données de l’inscription actuelle.

Champs principaux

La section supérieure résume l’identité, l’attribution et l’état de gestion de l’appareil. Certains champs sont spécifiques à la plateforme et n’apparaissent que pour les appareils Android ou Apple.

Certaines données et certains panneaux ne sont disponibles que si la catégorie correspondante est activée dans la stratégie de l'appareil. Pour plus d'informations, consultez les pages Signalement de l'état et Localisation et géorepérage.

Panneaux

La page de l'appareil est organisée en sections extensibles. Selon la plateforme et l'état, vous pouvez voir un ou plusieurs des panneaux suivants :

Onglets du panneau de localisation

Le panneau Carte de localisation utilise des onglets pour séparer l'historique des positions et les transitions de géorepérage.

Pour connaître le comportement complet de ces onglets, consultez Carte de localisation.

Actions

En bas de la page, vous pouvez actualiser les données et effectuer des actions selon la plateforme, l’état de l’appareil et le statut de la licence.

État de l'Appareil

Carte de localisation

Cette page documente les outils de localisation propres à l'appareil disponibles dans Présentation de l'appareil. Le panneau contient un onglet Localisation pour l'historique des positions et, sur les appareils Android, les iPhone et iPad, un onglet Geofencing pour les transitions de geofencing.

Prérequis

Sur Android, les données de localisation de l'appareil ne sont affichées que si le signalement de la localisation est activé dans la stratégie de l'appareil. Pour l'activer, ouvrez la stratégie et activez Localisation et géorepérage → Signaler la localisation. Pour plus de détails, consultez Localisation et géorepérage.

Sur les iPhone et iPad, la position provient de l'application Cerberus Enterprise, une fois que l'utilisateur l'autorise, ou de la commande Localiser l'appareil lorsque l'appareil est en mode perdu. Les Mac et les autres appareils Apple ne signalent pas leur position.

Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.

Sur les appareils personnels (User Enrollment), la localisation et le geofencing ne sont disponibles que lorsque la stratégie Apple a l'option Localisation et geofencing sur les appareils personnels activée, et uniquement si l'utilisateur autorise la localisation pour l'application Cerberus Enterprise. Sinon, la page de leur appareil n'affiche pas les actions de localisation ni le suivi en direct. Le mode perdu n'est jamais disponible sur les appareils personnels.

Pour la carte globale multi-appareils disponible depuis le tableau de bord, consultez Carte de localisation du tableau de bord.

État de chargement et d'absence de données

Onglet Localisation

Ouvrez l'onglet Localisation pour consulter l'historique d'un seul appareil. Les filtres disponibles incluent la dernière position connue, des plages d'historique récentes, une plage de dates personnalisée et le suivi en direct.

Les positions sont conservées 90 jours : les plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte que l'appareil reste sur les cartes même s'il n'a pas envoyé de position depuis longtemps. Pour les appareils supprimés et les inscriptions passées, toutes les positions de plus de 90 jours sont supprimées. C'est pourquoi la plage de dates du filtre Rechercher ne peut pas commencer il y a plus de 90 jours.

Détails du marqueur

Lorsque vous cliquez sur un marqueur de localisation, une fenêtre d'informations s'ouvre avec :

Cercle de précision

Lorsque la fenêtre d’informations est ouverte, un cercle de précision s’affiche autour du repère. Le rayon du cercle correspond à la précision signalée (en mètres). La fermeture de la fenêtre d’informations masque le cercle.

Suivi en direct

Dans la vue de l’historique de l’appareil, la sélection du filtre En direct démarre une demande de suivi en temps réel pour cet appareil spécifique. Cerberus Enterprise demande une confirmation avant de démarrer la demande.

Onglet Zones géographiques

Sur les appareils Android, les iPhone et les iPad, le deuxième onglet affiche les transitions de zones géographiques générées à partir des zones géographiques définies dans la stratégie attribuée.

Sur les iPhone et les iPad, lorsque la stratégie comporte des zones géographiques actives, une ligne d’état en haut de l’onglet indique si la géolocalisation par zones fonctionne sur l’appareil. Elle vous informe lorsque cela ne peut pas fonctionner : l’application Cerberus Enterprise n’a pas contacté le serveur ou doit être mise à jour, l’accès à la localisation n’est pas réglé sur Toujours, Position précise ou Actualisation des apps en arrière-plan est désactivé, Mode économie d’énergie était activé lors du dernier rapport de réglages de l’application (les événements et changements de zones peuvent alors être retardés de plusieurs heures), ou l’application n’a pas encore appliqué les dernières zones géographiques. Lorsque tout fonctionne, elle indique combien de zones géographiques l’application surveille.

Détails de la transition de zone géographique

La sélection d’une transition ouvre ses détails sur la carte et met en évidence l’entrée correspondante dans la liste. Lorsqu’elles sont disponibles, Cerberus Enterprise affiche également les coordonnées de l’appareil et la précision signalée pour cette transition.

État de l'Appareil

Gestion des SIM

La page de l'appareil propose un panneau Gestion des SIM. Sur les appareils Android, il gère les SIM et les profils eSIM installés sur l'appareil, ajoute ou supprime des profils eSIM et affiche l'historique des commandes eSIM envoyées à l'appareil. Sur les iPhone et iPad cellulaires d'entreprise, il affiche les SIM et les forfaits eSIM signalés par l'appareil et permet à l'appareil de télécharger les forfaits eSIM préparés par l'opérateur : voir iPhone et iPad ci-dessous.

Les informations SIM sont signalées par les appareils entièrement gérés lorsque la communication des Informations réseau est activée dans la stratégie de l’appareil (cette option est toujours activée par Cerberus Enterprise). Consultez la page Communication du statut.

EID de l’appareil

L’EID (eUICC Identifier) identifie le matériel eSIM de l’appareil. Les opérateurs l’utilisent pour associer les profils eSIM à l’appareil ; sa récupération constitue donc généralement la première étape d’un flux de provisionnement eSIM.

L’envoi d’une demande d’EID affiche d’abord une boîte de dialogue de confirmation, car l’utilisateur verra une notification sur l’appareil.

SIM installées

Le tableau SIM installées répertorie les SIM actuellement connues pour l’appareil, y compris les SIM physiques et les profils eSIM. Sur les appareils personnels, les profils eSIM installés avec la commande Ajouter une eSIM sont affichés même lorsque l’appareil ne signale pas les informations SIM.

Les eSIM faisant l’objet d’une commande de suppression en cours ou exécutée (non échouée) affichent un état d’activation Suppression en cours temporaire. L’entrée disparaît de la liste lorsque l’appareil signale la liste de SIM mise à jour. Pendant une suppression en cours, le bouton de suppression n’est pas disponible, afin d’éviter d’envoyer deux fois la même commande.

Supprimer une eSIM

Utilisez le bouton de suppression à côté d’une eSIM installée pour supprimer son profil de l’appareil. Une boîte de dialogue de confirmation vous demande de confirmer l’ICCID de l’eSIM à supprimer avant l’envoi de la commande. La suppression d’une eSIM est prise en charge sous Android 15 et versions ultérieures.

Ajouter une eSIM

La section Ajouter une eSIM installe un nouveau profil eSIM sur l’appareil (prise en charge sous Android 15 et versions ultérieures). Elle nécessite :

Historique des commandes

Sous la section Ajouter une eSIM, le panneau affiche l’historique des commandes eSIM envoyées à l’appareil : Ajouter une eSIM, Supprimer une eSIM et Demander l’EID. Le tableau est triable et prend en charge la pagination. Certaines lignes peuvent être développées pour consulter les paramètres de la commande (par exemple le code d’activation ou l’ICCID) et l’état d’exécution, y compris les détails de l’erreur eSIM lorsqu’une opération échoue sur l’appareil.

Effacer les eSIM lors de l’effacement et de la désinscription

Lorsque vous effacez l’appareil depuis le panneau Commandes, l’option Effacer les eSIM détermine si les profils eSIM sont supprimés lors de l’effacement. Sur les appareils personnels dotés d’un profil professionnel, cette option est activée par défaut (les eSIM gérées sont supprimées, les eSIM personnelles ne sont pas affectées). La même option est disponible dans la boîte de dialogue de confirmation Désinscrire l’appareil.

iPhone et iPad

Le panneau est affiché pour les iPhone et pour les iPad ayant signalé des données cellulaires (un iPad Wi-Fi uniquement n’en a aucune), uniquement lorsque l’appareil appartient à l’entreprise et ne relève pas d’une inscription utilisateur. Les informations cellulaires de l’appareil sont demandées avec les informations de l’appareil : lors de l’inscription, chaque jour, avec Actualiser les informations de l’appareil, lorsque son propriétaire devient l’entreprise, et quelques minutes après Actualiser les forfaits cellulaires.

Les numéros de téléphone, l’ICCID, l’IMEI et l’EID identifient la personne et la ligne : ils ne sont jamais demandés aux appareils personnels ni aux inscriptions utilisateur. Lorsqu’un appareil devient personnel, les informations sont supprimées immédiatement et masquées dans les résultats des anciennes commandes d’informations de l’appareil, dans l’historique des commandes. Elles ne sont pas exportées et ne sont pas écrites dans les journaux système.

Actualiser les forfaits cellulaires

Les iPhone et les iPad ne peuvent pas installer une eSIM à partir d’un code d’activation. L’opérateur associe (réserve) le forfait eSIM à l’EID de l’appareil sur son serveur eSIM (SM-DP+) et vous fournit l’adresse de ce serveur ; Actualiser les forfaits cellulaires demande alors à l’appareil de télécharger les forfaits qui l’attendent. Le bouton Actualiser les forfaits cellulaires du panneau sélectionne la commande dans le panneau Commandes, où vous saisissez l’URL du serveur eSIM de l’opérateur :

L’appareil installe et active le forfait sans demander à l’utilisateur, y compris lorsqu’il n’est pas supervisé. Un succès dans l’historique des commandes signifie que l’appareil a accepté la demande, et non qu’un forfait a été installé : l’installation peut prendre jusqu’à trois minutes, et Cerberus Enterprise redemande ses SIM à l’appareil environ trois minutes plus tard, afin que le nouveau forfait apparaisse dans le panneau. Les erreurs 36001 (l’appareil n’a pas pu joindre son système cellulaire), 36002 (aucune prise en charge des eSIM) et 36003 (système cellulaire occupé, réessayez plus tard) sont expliquées dans les journaux système. Un forfait téléchargé une fois ne peut pas être téléchargé à nouveau : si l’installation échoue, contactez l’opérateur. La commande est également disponible pour plusieurs appareils à la fois dans le menu Actions pour appareils Apple de la page Appareils.

Ce qu’Apple n’autorise pas

État de l'Appareil

Commandes

La page de l'appareil propose un panneau Commandes pour envoyer des commandes à distance à un appareil géré. Les commandes disponibles dépendent de la plateforme (Android ou Apple) et de l'état de l'appareil.

Les commandes ne peuvent être envoyées qu'à un appareil actuellement inscrit. Sur un appareil désinscrit, sur un appareil ADE qui n'est pas encore inscrit et sur l'historique d'une inscription passée, le panneau affiche uniquement l'historique des commandes.

Si l'appareil n'est pas actuellement en ligne, la commande sera transmise et exécutée dès que l'appareil se connectera à Internet. Pour les commandes Android, vous pouvez définir le paramètre Validité afin de déterminer pendant combien de temps une commande non transmise reste valide.

Commandes Android (AMAPI)

Pour les appareils Android, le panneau Commandes comprend un champ Validité (valeur + unité) et un sélecteur Commande. Certaines commandes nécessitent des paramètres supplémentaires, qui apparaissent dynamiquement lorsque vous sélectionnez la commande.

Paramètres courants

Commandes sans champs supplémentaires

Commandes avec des champs supplémentaires

Les commandes eSIM (Ajouter une eSIM, Supprimer une eSIM, Demander l'EID) sont disponibles dans le panneau dédié Gestion des SIM.

Historique des commandes

Sous les commandes d'envoi, le tableau de bord affiche un tableau d'historique des commandes. Le tableau est triable et prend en charge la pagination. Certaines lignes peuvent être développées pour consulter des paramètres supplémentaires ou des détails d'exécution.

Colonnes de l'historique Android

Commandes Apple (MDM)

Pour les appareils Apple, le panneau Commandes fournit un sélecteur Commande. Certaines commandes nécessitent des saisies supplémentaires. Comme pour Android, un tableau d'historique des commandes est affiché ci-dessous.

Commandes avec des champs supplémentaires

Sur les iPhone et iPad, Envoyer une notification et le suivi en direct atteignent l'appareil via l'application Cerberus Enterprise : ils sont désactivés tant que l'application n'est pas installée et enregistrée pour les notifications (voir le champ Application Cerberus Enterprise). Le démarrage du suivi en direct affiche « Demande de suivi en direct envoyée à l'appareil » : le suivi commence lorsque l'appareil envoie sa première position. iOS peut retarder ou ne pas transmettre la demande, par exemple en mode Économie d'énergie ou sans connexion réseau : si aucune position n'arrive dans les 2 minutes, demandez à l'utilisateur d'ouvrir l'application une fois. En cas d'échec d'une demande, le message indique la raison, par exemple que l'application n'est pas encore enregistrée, que la clé de notification du serveur est absente ou que le jeton de notification de l'appareil n'est plus valide.

Actions sur l'appareil

Seules les commandes prises en charge par l'appareil sont répertoriées : certaines nécessitent un iPhone ou un iPad supervisé, d'autres ne sont pas disponibles sur un Mac. Les commandes perturbatrices demandent une confirmation.

iPad partagé

Un iPad partagé est utilisé par plusieurs personnes, chacune avec son propre Managed Apple Account, ou par des invités avec des sessions temporaires. Il est configuré avec un profil ADE qui active l'iPad partagé (voir la page Apple Automated Device Enrollment), et son champ Type d'inscription indique iPad partagé.

Utilisateurs du Mac

Sur un Mac, le panneau Utilisateurs du Mac répertorie les utilisateurs inscrits à la gestion, généralement l'utilisateur qui a inscrit le Mac. Les comptes de la stratégie sont installés dans leurs sessions. Pour chaque utilisateur, il indique quand il a été inscrit, le dernier rapport de sa session et l'état des comptes : À jour, En attente de l'utilisateur (le Mac les installe lorsque l'utilisateur est connecté), Non appliqué avec les raisons signalées par le Mac, ou Aucun compte lorsque la stratégie n'en contient aucun. Utilisez Recharger pour relire la liste.

Verrouillage d'activation

Le champ Verrouillage d'activation indique si le verrouillage d'activation est activé. Lorsqu'il est activé, un appareil effacé ne peut être configuré à nouveau qu'avec le compte Apple de l'utilisateur ou avec le code de contournement de l'appareil. Les appareils supervisés n'activent le verrouillage d'activation que s'il est autorisé dans Réglages de l'appareil. Cerberus Enterprise demande aux appareils supervisés leur code de contournement et le stocke : utilisez Afficher le code de contournement dans le menu du champ pour le consulter (seuls les administrateurs le peuvent, et chaque consultation est enregistrée dans le journal système), puis saisissez-le comme mot de passe sur l'écran de verrouillage d'activation de l'appareil, en laissant le compte Apple vide.

Verrouillage de récupération et mot de passe du microprogramme (Mac)

Un Mac avec Apple silicon affiche le champ Verrouillage de récupération, un Mac à processeur Intel le champ Mot de passe du microprogramme. Les deux protègent le Mac au démarrage : avec le verrouillage de récupération, recoveryOS demande le mot de passe ; avec un mot de passe du microprogramme, le Mac le demande pour démarrer depuis un autre disque ou depuis la récupération. Le champ indique si le Mac signale un mot de passe et, dans son infobulle, quand Cerberus Enterprise l'a stocké et quand il a été vérifié pour la dernière fois.

Un Mac à processeur Intel redémarre pour appliquer une modification du mot de passe du microprogramme : jusque-là, l'ancien mot de passe reste nécessaire (Afficher le mot de passe l'indique) et aucune autre modification ne peut être envoyée. Apple n'accepte également qu'une seule commande de mot de passe du microprogramme toutes les 30 secondes. Les mots de passe sont masqués dans l'historique des commandes.

Lorsqu'un Mac quitte la gestion (désinscrit, retiré par l'utilisateur ou effacé), macOS supprime le verrouillage de récupération de lui-même et Cerberus Enterprise abandonne le mot de passe de verrouillage de récupération stocké ; il fait de même lorsque le Mac signale qu'il n'a pas de verrouillage de récupération, par exemple après une nouvelle inscription. Lorsque vous désinscrivez un Mac (ou supprimez sa stratégie), un mot de passe du microprogramme stocké est d'abord effacé, le Mac redémarre puis quitte la gestion. Si l'effacement échoue, le Mac quitte la gestion malgré tout et le mot de passe reste stocké afin que vous puissiez encore le consulter. Un Mac retiré de la gestion par l'utilisateur, ou effacé, conserve son mot de passe du microprogramme : Cerberus Enterprise le conserve aussi. La suppression de l'enregistrement de l'appareil supprime le mot de passe stocké ; il vous est donc demandé de confirmer au préalable : notez le mot de passe, car sans lui, seul Apple peut le supprimer.

FileVault (Mac)

Le champ FileVault indique si le disque du Mac est chiffré et, dans son infobulle, si Cerberus Enterprise conserve sa clé de récupération personnelle. Un Mac envoie la clé lorsque FileVault est activé après avoir reçu le réglage FileVault de sa stratégie (voir la page macOS des stratégies Apple).

Bootstrap Token (Mac)

Un Mac avec macOS 10.15 ou ultérieur envoie son Bootstrap Token au serveur de gestion lorsqu'un utilisateur disposant d'un jeton sécurisé se connecte. Le serveur le conserve et le renvoie uniquement à ce Mac, qui l'utilise pour attribuer un jeton sécurisé aux nouveaux utilisateurs et, sur un Mac avec Apple silicon, pour installer des mises à jour logicielles et approuver des extensions de noyau sans demander de mot de passe administrateur. Personne ne peut voir le jeton, ni dans le tableau de bord ni ailleurs. Le champ Bootstrap Token indique son état :

L'infobulle indique également si le Mac autorise le jeton pour l'authentification. Les Mac configurés avec Automated Device Enrollment l'autorisent automatiquement ; sur les autres Mac avec Apple silicon, un utilisateur peut l'autoriser dans l'Utilitaire de sécurité au démarrage de recoveryOS. Les Mac Intel ne peuvent pas utiliser le jeton pour l'authentification (Non pris en charge), mais un jeton séquestré attribue tout de même un jeton sécurisé aux nouveaux utilisateurs. Chaque fois qu'un Mac envoie, supprime ou demande son jeton, cela est enregistré dans le journal système.

État de l'appareil et mises à jour du système

Le panneau État de l'appareil affiche ce que l'appareil signale à son sujet : la version et la compilation du système, la progression d'une mise à jour logicielle (version en attente, échéance, origine du déclenchement, échecs), la présence d'un code d'accès et sa conformité à la stratégie, FileVault sur un Mac, l'état de la batterie et les comptes configurés sur l'appareil.

La liste Mises à jour disponibles affiche les mises à jour du système que l'appareil peut installer, collectées lors de l'inscription et chaque semaine. Utilisez Rechercher des mises à jour pour les demander maintenant, et Installer pour installer immédiatement une mise à jour (l'appareil redémarre, après confirmation) ou seulement la télécharger et laisser l'utilisateur l'installer. Cela fonctionne sur les iPhone et iPad supervisés et sur les Mac, jusqu'à iOS, iPadOS et macOS 26 : sur les versions ultérieures, et pour mettre à jour de nombreux appareils, utilisez les mises à jour obligatoires de la stratégie (voir la page Mises à jour logicielles des stratégies Apple).

Un Mac avec Apple silicon n'installe une mise à jour sans demander de mot de passe administrateur que lorsqu'il autorise son Bootstrap Token pour l'authentification et que le jeton est séquestré (voir Bootstrap Token ci-dessus). Sinon, la confirmation indique qu'un utilisateur devra peut-être saisir un mot de passe administrateur avant l'installation de la mise à jour.

Applications et inventaire

Le panneau Applications répertorie toutes les applications de l'appareil dans un seul tableau. L'état d'installation des applications installées par la stratégie ou par une commande est signalé en direct par l'appareil ; les versions, les tailles et les applications installées par l'utilisateur proviennent de la dernière liste d'applications, collectée lors de l'inscription et chaque semaine. Utilisez Interroger l'appareil pour la demander maintenant.

Le panneau Profils, certificats et sécurité affiche les profils de configuration, les certificats et l'état de sécurité (code d'accès, chiffrement, FileVault et pare-feu sur un Mac) signalés par l'appareil.

Sur les appareils personnels, les applications installées par l'utilisateur ne sont pas collectées et seuls les profils et certificats gérés par Cerberus Enterprise sont répertoriés.

Le panneau Modifications de l'inventaire affiche ce qui a changé entre deux listes envoyées par l'appareil : applications installées, supprimées ou mises à jour (avec l'ancienne et la nouvelle version), profils installés, supprimés ou mis à jour, et certificats ajoutés ou supprimés. Une modification est détectée lorsque l'appareil envoie une nouvelle liste, chaque semaine pour les applications et les profils, chaque jour pour les certificats, ou lorsque vous utilisez Interroger l'appareil : la date affichée correspond au moment de la détection, la modification ayant eu lieu entre la liste précédente et celle-ci. La première liste d'un appareil, ainsi que la première après une nouvelle inscription ou un changement de propriétaire, est uniquement enregistrée comme point de départ. Recherchez par nom ou identifiant, et filtrez par type et par modification. Les modifications sont conservées pendant 365 jours.

Lorsqu'une mise à jour du système remplace plusieurs applications Apple à la fois, elles sont affichées sur une seule ligne (par exemple "23 applications Apple mises à jour") que vous pouvez développer. Le renouvellement du certificat MDM est affiché comme Certificat MDM renouvelé. Sur les appareils personnels, seules les modifications des éléments gérés par Cerberus Enterprise sont affichées.

Colonnes de l'historique Apple

Actualiser

Utilisez l'action d'actualisation dans le panneau Commandes pour recharger l'historique des commandes.

Carte de localisation du tableau de bord

La carte de localisation du tableau de bord offre une vue globale de la dernière position connue des appareils qui transmettent des données de localisation. Ouvrez-la depuis Tableau de bord pour consulter plusieurs appareils sur la même carte Google.

Prérequis

Un appareil n'apparaît sur cette carte que si le signalement de la localisation est activé dans la stratégie qui lui est attribuée. Pour l'activer, ouvrez la stratégie et activez Localisation et géorepérage → Signaler la localisation. Pour plus de détails, consultez Localisation et géorepérage.

Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.

Les appareils personnels (User Enrollment) ne partagent leur localisation que lorsque leur stratégie Apple a l'option Localisation et geofencing sur les appareils personnels activée et que l'utilisateur autorise la localisation pour l'application Cerberus Enterprise. Sinon, Cerberus ne collecte pas leur localisation et le suivi en direct n'est pas disponible pour eux.

Pour l'historique par appareil et les transitions de geofencing disponibles dans l'éditeur d'appareil, consultez Carte de localisation.

L'historique des positions est conservé 90 jours et les positions plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée : les appareils qui n'ont pas envoyé de position depuis longtemps restent donc affichés sur la carte.

État de chargement et d'absence de données

Marqueurs et groupes

Chaque appareil disposant de données de localisation est affiché sous forme de marqueur. Lorsque de nombreux appareils sont proches les uns des autres, les marqueurs sont regroupés automatiquement pour que la carte reste lisible.

Les appareils en cours de suivi en direct sont mis en évidence par un marqueur animé afin d'être plus faciles à repérer sur la carte.

Commandes de la carte

Lorsque la carte contient des localisations d'appareils, Cerberus Enterprise affiche des boutons d'action dans le coin supérieur droit de la carte.

Détails du marqueur

Cliquer sur un marqueur ouvre une fenêtre d'informations contenant :

L'identifiant de l'appareil dans la fenêtre d'informations est un lien qui ouvre la page Présentation de l'appareil correspondante.

Actions de la fenêtre d'informations

Chaque fenêtre d'informations comprend également des boutons d'action pour l'appareil sélectionné.

Cercle de précision

Lorsqu'un marqueur est sélectionné, la carte affiche un cercle de précision autour de la localisation. Le rayon du cercle correspond à la précision signalée.

Comportement du suivi en direct

Le démarrage du suivi en direct depuis une fenêtre d'informations envoie une demande de suivi en temps réel à cet appareil. Cerberus Enterprise actualise ensuite la carte automatiquement pendant que la session est active.

Applications privées

Depuis cette section du tableau de bord, vous pouvez importer vos propres applications Android privées ou créer des applications web à distribuer sur vos appareils.

Les seuls détails à fournir sont le titre et l'APK d'une application. Les applications privées sont automatiquement approuvées pour votre organisation et sont généralement prêtes à être distribuées sous 10 minutes. Vous pouvez téléverser au total 15 applications privées par jour. Notez que les applications web comptent également dans ce total.

La première fois que vous publiez une application privée, vous devrez fournir une adresse e-mail pour recevoir les notifications de la Play Console concernant vos applications et votre compte développeur Google Play. De plus, Managed Google Play crée automatiquement un compte Play Developer au nom de votre organisation. Vous n'avez pas à payer de frais d'inscription pour ce compte.

Applications privées publiées depuis l'iframe :

Pour plus de détails, consultez la page Aide de Managed Google Play

Gestion des certificats

Le tableau de bord comprend une section Certificats pour importer, consulter et supprimer des certificats. Cliquer sur une ligne de certificat ouvre l'éditeur de certificat.

Liste des certificats

Les certificats sont affichés dans un tableau triable et paginé. La liste inclut à la fois les certificats client et les autorités de certification (CA).

Filtres

En haut de la page, vous pouvez activer des filtres à l'aide de la liste de puces. Certains filtres sont mutuellement exclusifs.

Colonnes du tableau

Actions

Importer des certificats

Pour importer des certificats, cliquez sur Importer un certificat et sélectionnez un ou plusieurs fichiers. Les formats pris en charge sont indiqués dans l'infobulle du bouton d'importation.

Clients

Format pris en charge : PKCS#12 encodé en Base64 (.p12 / .pfx).

Les certificats client identifient un utilisateur ou un appareil sur le réseau de l'entreprise. Les certificats client peuvent être associés à un utilisateur spécifique.

Chaque certificat client peut éventuellement être attribué à un utilisateur spécifique : cela permet de déployer la même configuration EAP Wi‑Fi sur de nombreux appareils. Vous pouvez le faire dans la section configuration réseau de la stratégie, à l'aide de l'option Identifiants EAP des utilisateurs.

Vous pouvez également attribuer un certificat à un utilisateur depuis la page Utilisateurs.

Sur les appareils Apple, les certificats sont installés via la Réseau section de la stratégie Apple, où vous pouvez également choisir Le certificat de l'utilisateur de l'appareil. Consultez la page Réseau des stratégies Apple.

Autorités de certification (CA)

Formats pris en charge : X.509 encodé en Base64 (.crt / .pem / .cer / .der).

Les certificats d'autorité de certification identifient une autorité de certification et indiquent à l'appareil que tous les certificats émis par cette autorité doivent être approuvés. Le tableau de bord vérifie qu'un certificat X.509 importé est bien une autorité de certification.

Éditeur de certificat

Lorsque vous ouvrez un certificat, l'éditeur affiche ses champs principaux et un panneau Informations sur le certificat en lecture seule.

Champs principaux

Association d'utilisateur (certificats client)

Pour les certificats Client, l'éditeur affiche un champ Utilisateur. Si un utilisateur est attribué, un menu propose les options Ouvrir l'utilisateur, Changer d'utilisateur ou Dissocier l'utilisateur. Si aucun utilisateur n'est attribué, vous pouvez en attribuer un à l'aide du bouton d'action utilisateur.

Supprimer le certificat

L'action de suppression est désactivée lorsque le certificat est actuellement associé à un utilisateur ou utilisé dans des stratégies. Elle peut également être désactivée lorsque la licence est expirée.

Règles d'événements

Les règles d'événement vous permettent d'automatiser des réactions à des événements d'appareil pris en charge. Ouvrez Tableau de bord → Règles d'événement pour créer des règles qui surveillent les événements d'inscription, de désinscription, de non-conformité et de géorepérage (appareils Android et Apple ; les événements de géorepérage proviennent des appareils Android, des iPhone et des iPad), puis déclenchent automatiquement une ou plusieurs actions.

Ce que peut faire une règle d'événement

Chaque règle combine un sujet, un événement et une ou deux actions. Les sujets pris en charge sont Tous les appareils, Appareil spécifique et Stratégie.

Une règle peut contenir uniquement une action e-mail, uniquement une action sur l'appareil, ou une action sur l'appareil et une action e-mail. Si les deux actions sont configurées, Cerberus Enterprise exécute d'abord l'action sur l'appareil, puis l'action e-mail.

Règles de plateforme et de compatibilité

Les événements et actions disponibles dépendent du sujet sélectionné et de la plateforme applicable à ce sujet.

Liste des règles

La liste des règles d'événement est la page de gestion principale de cette fonctionnalité. Elle comprend un tableau avec recherche indiquant le nom de la règle, le sujet, l'événement, les actions, la plateforme, l'état d'activation et la date de mise à jour.

Éditeur de règle

L'éditeur est divisé en sections Général, Portée, Déclencheur et Actions. En bas de la page, une barre d'actions fixe maintient les boutons principaux visibles pendant le défilement.

Général

Portée

La portée définit les appareils auxquels la règle peut correspondre. L'éditeur affiche également la plateforme résolue et, lorsque disponible, le contexte de stratégie effectif.

Déclencheur

La section du déclencheur filtre automatiquement les événements disponibles en fonction de la portée et de la plateforme sélectionnées.

Déclencheurs de géorepérage

Les règles d'entrée et de sortie de géorepérage fonctionnent pour les appareils Android, les iPhone et les iPad, et une règle pour un appareil ou une stratégie nécessite un contexte de stratégie valide. Pour les définitions de géorepérage, consultez Localisation et géorepérage (Android) et Localisation et géorepérage (Apple).

Actions

La section des actions vous permet de choisir une action sur l'appareil et une notification par e-mail, toutes deux facultatives. L'interface masque automatiquement les combinaisons non prises en charge. La notification par e-mail est activée par défaut, même lorsque vous choisissez une action sur l'appareil : désactivez-la si vous ne voulez que l'action sur l'appareil.

Destinataires des e-mails

Les actions par e-mail incluent toujours les utilisateurs de l'entreprise ayant le rôle ADMIN. Si l'entreprise est gérée en mode multi-tenant, vous pouvez étendre les destinataires aux gestionnaires MT.

Comportement d'exécution

Les règles d'événement s'exécutent immédiatement lorsque Cerberus Enterprise reçoit un événement pris en charge provenant des intégrations backend. Les règles désactivées sont ignorées automatiquement.

Les exécutions réussies, ignorées et échouées sont enregistrées dans le journal système avec des messages lisibles, y compris la raison lorsqu'une règle ou une action sur l'appareil a été ignorée.

Le journal système conserve les événements d'état et de localisation des appareils, ainsi que les exécutions de règles réussies ou ignorées, pendant 90 jours. Les autres événements, tels que les actions des administrateurs, les connexions, les avertissements et les erreurs (y compris les exécutions de règles échouées), sont conservés 12 mois. Les entrées plus anciennes sont supprimées automatiquement chaque nuit.

Appareils

Appareils

Appareils

La section Appareils du tableau de bord (Tableau de bord → Appareils) répertorie tous les appareils inscrits dans votre compte. Depuis cette page, vous pouvez filtrer la liste, ouvrir la fiche d'un appareil et effectuer des actions sur l'appareil, comme le désactiver ou le désinscrire.

Filtres

En haut de la page, vous pouvez activer un ou plusieurs filtres à l'aide de la liste de puces. Les puces sélectionnées représentent les filtres actuellement actifs.

Les filtres dépendent des plateformes configurées dans votre compte : les filtres des appareils Apple ou Android n'apparaissent que lorsque cette plateforme est configurée, et les filtres Android et Apple n'apparaissent que lorsque les deux le sont.

Filtres disponibles

Recherche

Lorsque vous activez le filtre Recherche, un champ de texte apparaît avec le libellé Id, modèle, utilisateur, numéro de série ou OS : il recherche l'id de l'appareil, le modèle, le nom d'utilisateur, le numéro de série et la version de l'OS. La liste est mise à jour automatiquement lorsque vous arrêtez de saisir.

Tableau des appareils

Les appareils sont affichés dans un tableau paginé et triable. Cliquer sur une ligne ouvre l'éditeur de l'appareil.

Colonnes

Actualisation et pagination

Actions sur l'appareil

Chaque ligne d'appareil peut proposer des actions, selon la plateforme et l'état de l'appareil. Certaines actions sont désactivées lorsque votre licence est expirée ou résiliée.

Actions par appareil

Sélection de plusieurs lignes

Vous pouvez activer la sélection de plusieurs lignes depuis la barre d'actions sous le tableau. Une fois activée, vous pouvez sélectionner plusieurs lignes et appliquer des actions groupées (désactiver, activer, désinscrire ou supprimer), selon les appareils sélectionnés.

Pour les appareils Apple, le menu Actions sur les appareils Apple verrouille, redémarre, éteint, actualise les informations ou efface tous les appareils sélectionnés. Une action est disponible lorsque chaque appareil sélectionné est un appareil Apple inscrit qui la prend en charge. Les codes PIN des Mac verrouillés ou effacés sont affichés une seule fois après l'envoi de la commande. La désinscription des appareils Apple supprime leur profil d'inscription et leurs paramètres de stratégie, sans les effacer.

Actualiser les forfaits cellulaires demande aux iPhone et iPad sélectionnés de télécharger les forfaits eSIM que l'opérateur a associés à leurs EID, à partir d'un serveur eSIM de l'opérateur saisi dans une fenêtre pour tous ces appareils. Contrairement aux autres actions, elle n'est envoyée qu'aux appareils sélectionnés qui la prennent en charge : les Mac, les inscriptions User Enrollment, les appareils dotés d'une ancienne version d'iOS et les iPad qui n'ont jamais signalé de données cellulaires sont ignorés et répertoriés dans le résultat. Consultez la page Gestion des SIM.

Synchronisation Apple Business

Si Apple Management est configuré et qu'un jeton Automated Device Enrollment est présent, la page peut afficher l'action Synchroniser depuis Apple Business pour importer des appareils depuis Apple Business. Un message indique combien d'appareils ont été ajoutés. Lorsque certains ont été ajoutés, la liste passe au filtre Tous, car les appareils pas encore inscrits ne sont pas affichés par le filtre Inscrits.

Inscrire un appareil

Utilisez Inscrire un appareil pour ouvrir la section Jetons d'inscription et commencer l'inscription d'un nouvel appareil.

Utilisateurs

Utilisateurs

Utilisateurs

La section Utilisateurs du tableau de bord (Tableau de bord → Utilisateurs) répertorie tous les utilisateurs configurés dans votre compte. Depuis cette page, vous pouvez rechercher des utilisateurs, ouvrir l'éditeur d'utilisateur, créer de nouveaux utilisateurs et supprimer les utilisateurs qui ne sont actuellement associés à aucun appareil.

Rechercher

En haut de la page se trouve un champ de recherche avec le libellé Rechercher et l'espace réservé Nom, nom d'utilisateur ou e-mail. La liste se met à jour automatiquement dès que vous cessez de saisir.

Tableau des utilisateurs

Les utilisateurs sont affichés dans un tableau paginé et triable. Cliquer sur une ligne ouvre l'éditeur d'utilisateur.

Colonnes

Actualisation et pagination

Actions sur les utilisateurs

Créer un utilisateur

Utilisez Créer un utilisateur pour ouvrir la boîte de dialogue de création d'utilisateur. Cette action est désactivée lorsque votre licence est expirée.

Synchroniser depuis Google Workspace

Si la synchronisation d'annuaire Google Workspace est disponible pour votre compte, la page affiche Synchroniser depuis Google Workspace. Lorsque vous démarrez une synchronisation, un indicateur de progression s'affiche pendant l'exécution de la requête.

Supprimer un utilisateur

Vous ne pouvez supprimer un utilisateur que lorsque celui-ci n'est associé à aucun appareil (la colonne Appareils doit être 0). L'action de suppression est désactivée lorsque votre licence est expirée ou résiliée.

Sélection multiligne et suppression groupée

Depuis la barre d'actions située sous le tableau, vous pouvez activer la sélection multiligne. Dans ce mode, vous pouvez sélectionner plusieurs utilisateurs et les supprimer en masse.

Certificats Wi‑Fi et EAP

La colonne Certificat Wi-Fi affiche le nom du certificat actuellement attribué à un utilisateur. Les certificats utilisateur servent généralement aux configurations Wi-Fi EAP (par exemple EAP-TLS). Pour l'attribution et la gestion des certificats, consultez Gestion des certificats.

Utilisateurs

Éditeur d'utilisateur

L'éditeur d'utilisateur est accessible depuis Tableau de bord → Utilisateurs en cliquant sur la ligne d'un utilisateur. Il vous permet de modifier les détails d'un utilisateur, de configurer des identifiants EAP Wi‑Fi par utilisateur et de consulter les appareils associés à l'utilisateur.

Détails de l'utilisateur

La section supérieure contient les champs principaux de l'utilisateur. Certains champs sont obligatoires et l'éditeur affiche des erreurs de validation lorsqu'ils sont manquants ou non valides.

Stratégie par défaut d'authentification Google

Dans les environnements Google Workspace où l'authentification Google est activée, l'éditeur peut afficher Stratégie par défaut d'authentification Google. Il s'agit de la stratégie appliquée aux appareils inscrits via l'authentification Google par cet utilisateur.

Identifiants EAP Wi‑Fi

La section Identifiants EAP Wi‑Fi sert à configurer des identifiants par utilisateur qui sont automatiquement installés sur les appareils de l'utilisateur lorsque la stratégie qui lui est attribuée contient une configuration EAP Wi‑Fi qui les requiert. La configuration EAP Wi‑Fi fait partie de la configuration réseau de la stratégie Android.

Certificat client

Vous pouvez éventuellement attribuer un certificat client à un utilisateur. Lorsqu'un certificat est attribué, il s'affiche dans le champ Certificat client et un menu propose des actions. Lorsqu'aucun certificat n'est attribué, le champ affiche Aucun certificat attribué et vous pouvez en attribuer un.

Pour l'importation et la gestion des certificats, consultez Gestion des certificats.

Identité, identité anonyme et mot de passe

Appareils associés

La section Appareils associés affiche la liste des appareils actuellement liés à l'utilisateur. Si l'utilisateur possède un ou plusieurs appareils associés, il ne peut pas être supprimé.

Enregistrer et supprimer

Avertissement de modifications non enregistrées

Si vous avez des modifications non enregistrées et que vous essayez de quitter la page, le tableau de bord vous demande si vous souhaitez abandonner les modifications.

Compte

Compte

Paramètres

La page Paramètres (Tableau de bord → Paramètres) récapitule les informations du compte et de la licence, et propose des actions pour gérer la facturation, la configuration des plateformes (Android Management et Apple Management) ainsi que les intégrations facultatives d'annuaire et de jeton.

Bannière de licence (bientôt expirée / expirée)

Lorsque votre licence est bientôt expirée, expirée ou résiliée, une bannière bien visible s'affiche en haut de la page. Selon l'état de votre abonnement, elle propose soit une action Gérer la facturation (portail client Stripe), soit une action Acheter une licence.

Lorsque la licence est expirée, le compte est limité à la seule désinscription des appareils. Après la période de grâce, le compte peut être annulé et les appareils peuvent être désinscrits automatiquement.

Bannières de certificat et de jeton Apple (bientôt expirés / expirés)

Le certificat Apple Push (APNs), le jeton Apple Business (Automated Device Enrollment) et le jeton Apps and Books (anciennement VPP) doivent être renouvelés chaque année. À partir de 30 jours avant l'expiration, une bannière s'affiche en haut du tableau de bord pour chaque certificat ou jeton bientôt expiré ou expiré, avec la date d'expiration ou la fonctionnalité qui a cessé de fonctionner. L'action Comment renouveler ouvre cette page avec les instructions de renouvellement correspondantes déployées.

Une bannière s'affiche également lorsque le certificat MDM de certains appareils Apple expire dans les 14 jours et que le renouvellement automatique n'est pas terminé, ou a expiré : ces appareils doivent être inscrits à nouveau. L'action Afficher les appareils ouvre la liste des appareils avec le filtre Certificat MDM bientôt expiré.

Lorsque le certificat Apple Push expire, les appareils Apple ne peuvent plus recevoir de commandes ni de mises à jour de stratégie. Lorsque le jeton Apple Business expire, Automated Device Enrollment cesse de fonctionner. Lorsque le jeton Apps and Books expire, les applications ne peuvent plus être distribuées.

Bannière de l'application Cerberus Enterprise

Cerberus installe son application gratuite Cerberus Enterprise sur les iPhone et iPad (iOS et iPadOS 18.4 ou ultérieur) avec une licence d'appareil Apps and Books. Une bannière s'affiche en haut du tableau de bord lorsque l'application n'est pas dans votre bibliothèque Apple Business, lorsque le jeton Apps and Books est manquant ou expiré, ou lorsque certains iPhone et iPad attendent encore l'application (avec leur nombre). Comment l'ajouter ouvre cette page sur la ligne Application Cerberus Enterprise avec les étapes ; Comment la configurer (affiché lorsque le jeton Apps and Books est manquant ou expiré) ouvre les instructions du jeton Apps and Books.

Accès des gestionnaires d'entreprise

La carte Accès des gestionnaires d'entreprise n'est affichée que pour les entreprises gérées par un compte multi-tenant (par exemple, un fournisseur de services gérés). Elle vous permet de voir quels comptes gestionnaires peuvent intervenir sur votre entreprise et de contrôler leur accès.

La carte affiche :

Accorder et révoquer l'accès

Utilisez Accorder pour autoriser un compte gestionnaire à accéder à votre entreprise et à la gérer, et Révoquer pour retirer cet accès. Chaque action demande une confirmation. Un gestionnaire dont l'accès est révoqué ne peut plus intervenir sur l'entreprise, même s'il y travaille actuellement.

La révocation de l'accès du Gestionnaire principal révoque également l'accès de tous ses sous-comptes. Le cas échéant, la boîte de dialogue de confirmation répertorie les sous-comptes qui perdront l'accès.

Informations du compte

La carte Informations du compte affiche des champs en lecture seule :

Modifier le mot de passe

Si vous n'êtes pas connecté avec Google, Apple ou Microsoft, la carte affiche également une action Modifier le mot de passe. Celle-ci ouvre une boîte de dialogue pour poursuivre le processus de modification du mot de passe.

Vous pouvez également modifier votre mot de passe à tout moment depuis le menu utilisateur de la barre d'outils supérieure, via Modifier le mot de passe. Cela est utile pour les comptes multi-tenant, qui peuvent modifier leur mot de passe sans accéder à une entreprise.

Si un administrateur a créé votre compte ou réinitialisé votre mot de passe, vous vous connectez avec un mot de passe temporaire et devez choisir un nouveau mot de passe avant de continuer.

Informations sur la licence

La carte Informations sur la licence affiche l'état actuel de la licence et votre limite d'appareils. Elle propose également des actions pour contacter le service commercial et pour gérer la facturation ou acheter une licence.

Android Management

La carte Android Management affiche l'état d'Android Management pour votre entreprise. Si Android Management n'est pas encore configuré, la carte propose une action Configurer Android Management qui ouvre le flux de configuration.

État configuré

Lorsque Android Management est configuré, la carte peut afficher :

Liaison Android Enterprise

Android Management peut être associé à un compte Managed Google Play ou à un domaine Google géré. Le champ Type de liaison indique l'option actuellement associée à votre entreprise.

Un compte Managed Google Play est un compte Android Enterprise léger. Il convient pour gérer les appareils et applications Android via Cerberus Enterprise, mais il est distinct d'une organisation Google Workspace ou Cloud Identity. Il ne fournit pas l'expérience d'administration Google centralisée disponible avec un domaine Google géré.

Un domaine Google géré associe Android Enterprise à l'identité Google de votre organisation. Les administrateurs informatiques peuvent gérer des produits Google tels que Google Workspace, Cloud Identity et Gemini depuis la Google Admin Console, tout en continuant à gérer les applications et stratégies Android dans Cerberus Enterprise. Cela offre une approche plus rationalisée et intégrée de la gestion Android et permet des workflows d'inscription et de gestion des utilisateurs basés sur Google Workspace.

Lorsque l'entreprise utilise un compte Managed Google Play, la carte Paramètres propose Passer à un domaine Google géré ainsi qu'une action d'information. La mise à niveau ouvre le processus guidé de Google pour migrer l'entreprise Android existante vers un domaine géré.

Lors de la mise à niveau, Google peut associer un compte Google Admin existant lié à votre adresse e-mail professionnelle ou créer automatiquement un nouveau compte Google Admin gratuit. Utilisez une adresse e-mail professionnelle telle que name@enterprise.com pour poursuivre la configuration guidée de Google.

Apple Device Management

La carte Apple Device Management affiche l'état de la gestion des appareils Apple (MDM) pour votre entreprise. Si la gestion Apple n'est pas encore configurée, la carte propose une action Configurer Apple Management qui ouvre le flux de configuration.

État configuré

Lorsque la gestion Apple est configurée, la carte peut afficher :

La gestion Apple nécessite la configuration du certificat APNs. Si nécessaire, consultez Configuration d'Apple Management (APNs).

Préférences et confidentialité

La carte Préférences et confidentialité contient un bouton d'activation des préférences marketing et des liens vers les Conditions d'utilisation et la Politique de confidentialité. Utilisez Enregistrer les préférences pour appliquer les modifications (un indicateur de progression s'affiche pendant l'enregistrement).

Envoyer des commentaires

Lorsque les abonnements sont activés pour le compte, la page peut afficher une carte Envoyer des commentaires avec des liens vers : Proposer une fonctionnalité et des plateformes d'avis externes.

Instructions de configuration et de renouvellement intégrées

En bas de la page, le tableau de bord peut afficher des panneaux d'instructions extensibles selon l'état actuel (par exemple lorsqu'un certificat ou un jeton est manquant ou bientôt expiré).

Renouveler le certificat Apple Push (APNs)

Lorsque le certificat APNs est bientôt expiré ou expiré, la page affiche un panneau avec les étapes pour télécharger une CSR, renouveler le certificat sur le portail d'Apple et importer le nouveau certificat dans Cerberus Enterprise.

Tant qu'un certificat ou un jeton est encore valide, le bouton d'envoi situé à côté ouvre les mêmes étapes. Utilisez-le lorsque vous avez téléchargé un nouveau jeton Apple Business ou Apps and Books, car l'ancien cesse de fonctionner, ou pour renouveler le certificat Apple Push (APNs) à l'avance. Renouvelez toujours le certificat Apple Push actuel : un autre est refusé tant que des appareils Apple sont inscrits, car ils ne pourraient plus être joints.

Synchroniser avec Apple Business

Lorsque le jeton Apple Business est manquant, expiré ou bientôt expiré, la page affiche un panneau avec les étapes pour télécharger un jeton depuis Apple Business et l'importer dans Cerberus Enterprise. Pour une nouvelle connexion, générez le certificat de clé publique dans Cerberus Enterprise, puis dans Apple Business ouvrez Devices → Management Services, cliquez sur Add sous Device Management Services, choisissez Connect external device management et cliquez sur Continue ; saisissez un Service Name (par exemple Cerberus Enterprise), importez le certificat avec Upload Certificate, cliquez sur Next, puis sur Download Service Token et Done. Pour renouveler le jeton, sélectionnez le service Cerberus Enterprise dans Management Services, cliquez sur le bouton … (plus) en haut à droite et choisissez Download Token.

Les appareils ne sont inscrits auprès de Cerberus Enterprise que lorsqu'ils sont affectés à son service dans Apple Business : ouvrez Devices → Management Services → Default Device Assignment pour affecter automatiquement les nouveaux appareils (par type d'appareil), ou Devices → Inventory, sélectionnez les appareils et cliquez sur Assign Device Management.

Synchroniser avec Apple Apps and Books (VPP)

Lorsque le jeton Apps and Books est manquant, expiré ou bientôt expiré, la page affiche un panneau avec les étapes pour télécharger un jeton de contenu depuis Apple Business et l'importer dans Cerberus Enterprise : dans Apple Business, ouvrez le menu de l'organisation en haut à droite (nom de votre organisation) → Settings → Organizational Units, sélectionnez l'unité organisationnelle (l'unité par défaut correspond à votre organisation) et cliquez sur Download dans la section Content Token. Le jeton expire après un an, ou plus tôt lorsque le mot de passe du compte Apple qui l'a téléchargé est modifié.

La dernière étape de la configuration d'Apps and Books ajoute l'application gratuite Cerberus Enterprise à votre bibliothèque Apple Business, afin que Cerberus puisse l'installer sur vos iPhone et iPad.

Synchroniser avec Google Workspace

Lorsque la synchronisation d'annuaire Google Workspace n'est pas configurée, la page affiche un panneau qui explique l'intégration et fournit un bouton d'autorisation. Il répertorie également la portée OAuth Google requise : https://www.googleapis.com/auth/admin.directory.user.readonly.

Pour la configuration initiale d'Android, consultez Configuration d'Android Management.

Multitenance

Multitenance

Présentation du multi-tenant

La section Multi-tenant est disponible pour les comptes MSP et de gestionnaire d'entreprise qui gèrent plusieurs entreprises clientes à partir d'une seule connexion. Ce chapitre explique le modèle de portée des entreprises, le changement d'entreprise, l'administration des entreprises gérées et les sous-comptes.

Pour demander un compte multi-tenant, contactez enterprise@cerberusapp.com.

Concepts clés

Modèle de navigation

Lorsqu'aucun contexte d'entreprise n'est sélectionné, la navigation latérale affiche les zones multi-tenant telles que Entreprises et, pour les comptes principaux, Sous-comptes. Après avoir accédé à une entreprise, le tableau de bord passe à la navigation standard à entreprise unique (Accueil, Utilisateurs, Appareils, Inscription, Stratégies, etc.).

Propriété et délégation

Chaque entreprise gérée a un propriétaire. Le propriétaire peut toujours accéder à cette entreprise. Les comptes gestionnaires non propriétaires ne peuvent accéder à une entreprise que lorsque la délégation est accordée.

Les administrateurs de l'entreprise gèrent l'accès depuis la carte Accès du gestionnaire d'entreprise sur la page Paramètres.

Le propriétaire et l'état de délégation sont affichés directement sur les cartes d'entreprise afin de rendre explicite la portée de l'accès avant d'accéder à une entreprise.

Actions de licence et de facturation

Les vues multi-tenant exposent l'état des licences, les limites d'appareils et les actions de facturation de l'entreprise. Selon l'état de l'abonnement de l'entreprise et vos autorisations, la carte peut afficher Gérer la facturation ou Acheter une licence.

Pour les entreprises créées par un compte multi-tenant, la gestion des licences est assurée par les utilisateurs multi-tenant. Le compte principal peut toujours gérer les licences, tandis que les sous-comptes ne peuvent les gérer que lorsque le compte principal active Peut gérer la licence pour ce sous-compte.

Pages de ce chapitre

Multitenance

Entreprises gérées

La page Entreprises (Tableau de bord → Entreprises) est le centre de contrôle de l'accès aux entreprises gérées. Elle répertorie toutes les entreprises visibles par votre compte multi-tenant et vous permet de filtrer, d'examiner la propriété et la délégation, d'accéder au contexte d'une entreprise et de créer de nouvelles entreprises gérées (comptes principaux uniquement).

Recherche et filtres

Cartes d'entreprise

Chaque carte d'entreprise affiche les métadonnées de gestion essentielles :

Entreprises récemment sélectionnées

Les entreprises auxquelles vous avez récemment accédé sont épinglées dans une section Récemment sélectionnées pour accélérer les changements de contexte répétés.

Actions sur l'entreprise

Qui peut gérer les licences

Pour les entreprises créées par un compte multi-tenant, la gestion des licences est contrôlée par les utilisateurs multi-tenant. Le compte principal peut toujours gérer la facturation et les actions liées aux licences pour ces entreprises.

Les sous-comptes ne peuvent gérer la facturation et les actions liées aux licences que si le compte principal accorde l'autorisation Peut gérer la licence dans la page Sous-comptes.

Créer une entreprise gérée

Les comptes multi-tenant principaux peuvent déployer Créer une entreprise gérée depuis la zone d'action inférieure.

Le nouvel utilisateur administrateur doit choisir un nouveau mot de passe lors de sa première connexion avec le mot de passe temporaire.

Mode de propriété

Quota d'entreprises

Si le compte atteint le quota d'entreprises configuré, la création est bloquée et le formulaire affiche un message de contact du support avec le nombre actuel et le nombre maximal d'entreprises.

Lorsque le quota d'entreprises est atteint, vous ne pouvez pas créer d'autres entreprises gérées tant que votre limite n'a pas été augmentée.

Multitenance

Changement d'entreprise

Le sélecteur d'entreprise dans la barre d'outils supérieure permet aux utilisateurs multi-tenant de passer d'une entreprise déléguée à une autre sans se déconnecter. Il est disponible lorsqu'au moins un contexte d'entreprise peut être sélectionné.

Comportement du sélecteur

Quitter l'entreprise

Le menu du sélecteur comprend Quitter l'entreprise, qui efface le contexte d'entreprise actuel et vous ramène à l'espace de travail multi-tenant global.

Règles de réinitialisation du contexte

Changer d'entreprise ou quitter l'entreprise réinitialise la portée du tableau de bord. Les pages et les données propres à l'entreprise s'actualisent pour le contexte nouvellement sélectionné, et la visibilité du menu s'adapte selon qu'une entreprise est actuellement sélectionnée ou non.

L'entreprise sélectionnée s'applique à tous vos onglets de navigateur ouverts. Si vous changez ou quittez une entreprise dans un onglet, les autres onglets rechargent le tableau de bord lors de leur prochaine action, afin de ne jamais opérer sur une entreprise différente de celle affichée.

Utilisez le sélecteur pour changer rapidement de contexte opérationnel, mais vérifiez le nom de l'entreprise sélectionnée avant d'exécuter des actions sensibles telles que des mises à jour de stratégie ou des commandes sur les appareils.

Multitenance

Sous-comptes

La page Sous-comptes (Tableau de bord → Sous-comptes) est disponible pour les comptes multi-tenant principaux. Elle vous permet de créer des utilisateurs gestionnaires délégués, d'attribuer des entreprises gérées, de contrôler les autorisations de facturation et de gérer les identifiants des sous-comptes.

Liste des sous-comptes

Chaque carte de sous-compte affiche l'identité et les contrôles de gestion :

Attribution des entreprises gérées

Les attributions d'entreprises sont modifiées via le champ multi-sélection Entreprises gérées. Lorsque vous fermez le sélecteur après des modifications, le tableau de bord demande une confirmation avant d'enregistrer les mises à jour.

L'attribution d'une entreprise la rend disponible pour le sous-compte, mais le sous-compte ne peut y accéder qu'une fois l'accès accordé. Retirer une entreprise des attributions supprime également l'accès du sous-compte à cette entreprise.

Autorisation de gestion des licences

L'option Peut gérer la licence contrôle si un sous-compte peut accéder aux actions de facturation et de gestion des licences de l'entreprise.

Pour les entreprises créées par le compte multi-tenant, le compte principal dispose toujours des droits de gestion des licences. Les sous-comptes ne reçoivent ces droits que lorsque cette option est activée par le compte principal.

Réinitialisation du mot de passe

Réinitialiser le mot de passe génère un nouveau mot de passe temporaire et l'envoie au sous-compte par e-mail après confirmation.

Lorsqu'il se connecte avec un mot de passe temporaire, que ce soit après une réinitialisation ou pour un sous-compte nouvellement créé, l'utilisateur doit choisir un nouveau mot de passe avant de continuer.

Supprimer un sous-compte

La suppression d'un sous-compte nécessite une confirmation et retire définitivement l'accès délégué de ce compte.

Créer un sous-compte

Utilisez le panneau d'action inférieur Créer un sous-compte pour ajouter un nouveau gestionnaire délégué.

Analyses

Voici quelques articles qui expliquent comment le MDM peut aider votre entreprise :

Qu'est-ce que le mode kiosque ? Guide pour sécuriser les appareils Android et Apple en entreprise

Le mode kiosque transforme les téléphones et tablettes standard en outils professionnels ciblés. Cerberus Enterprise aide les organisations à verrouiller les appareils sur une seule application ou un petit ensemble d'applications approuvées pour des cas d'usage tels que les points de vente, l'accueil des visiteurs et la navigation de flotte, tout en rendant ces appareils spécialisés plus faciles à sécuriser, à prendre en charge et à gérer à grande échelle.

Comment choisir la bonne solution MDM : une liste de contrôle en 7 points pour les petites entreprises

Choisir un MDM tard dans le processus d'achat est plus simple lorsque la comparaison reste concrète. Cette liste de contrôle aide les petites entreprises à évaluer les fournisseurs selon les sept critères qui comptent généralement le plus dans les déploiements réels : sécurité, prise en charge d'Android et d'Apple, facilité d'utilisation pour les équipes réduites, évolutivité, limites de confidentialité, coût total de possession et facilité de support au quotidien.

Créer une classe numérique sûre et ciblée : guide du MDM pour les établissements scolaires

Les appareils gérés par l'établissement fonctionnent mieux lorsqu'ils restent centrés sur l'apprentissage. Cerberus Enterprise aide les établissements scolaires à garder les appareils des élèves ciblés grâce à des applications gérées, des restrictions de type kiosque, des configurations standardisées d'appareils partagés ou prêtés et des actions de récupération à distance qui réduisent les pertes, les dérives et les perturbations en classe.

Équiper vos techniciens de terrain : comment le MDM améliore l'efficacité et la sécurité sur site

Les techniciens de terrain dépendent des appareils mobiles pour les plannings, les notes d'intervention, les références techniques, l'historique client et les mises à jour des tâches lorsqu'ils travaillent sur site. Cerberus Enterprise aide à maintenir ces appareils prêts grâce à des applications gérées, des modèles d'appareils standardisés, des commandes d'assistance à distance et une visibilité géolocalisée qui peut améliorer la coordination des interventions tout en renforçant la sécurité sur le terrain.

Au-delà de la carte : utiliser le MDM pour une gestion de flotte plus intelligente et la sécurité des conducteurs

Les opérations de flotte reposent sur des appareils mobiles pour la navigation, la répartition des missions, la messagerie, la journalisation et l'exécution sur le terrain. Cerberus Enterprise aide à maintenir ces appareils ciblés sur les flux de travail approuvés grâce à des applications gérées, des contrôles de type kiosque et d'appareil dédié, des stratégies de communication sécurisée, un dépannage à distance et une supervision géolocalisée qui peuvent réduire les temps d'arrêt et favoriser des opérations de conduite plus sûres.

Comment les géorepérages, le suivi en direct et les cartes de localisation améliorent les opérations de l'entreprise

Les fonctionnalités de géolocalisation de Cerberus Enterprise aident les organisations à passer d'une simple visibilité des appareils à un contrôle opérationnel plus concret. La communication périodique de la position, le suivi en direct, les transitions de géorepérage et les cartes interactives peuvent accompagner la logistique, les services de terrain, la santé, le commerce de détail, la construction et d'autres équipes réparties qui ont besoin d'une meilleure visibilité sur le lieu où le travail se déroule et sur le moment où les appareils entrent dans des zones importantes ou en sortent.

Comment le multi-tenant aide les MSP à faire évoluer leurs services MDM et à créer de nouvelles sources de revenus

Le multi-tenant permet aux MSP, aux revendeurs et aux organisations multi-sociétés de gérer plusieurs entreprises à partir d'un seul compte Cerberus Enterprise tout en maintenant chaque environnement séparé. Ce modèle réduit les frictions opérationnelles, améliore l'évolutivité des services et prend en charge l'accès délégué via des sous-comptes et une administration explicite contrôlée par le client. Il crée également de meilleures opportunités commerciales pour les fournisseurs qui souhaitent associer les licences logicielles à l'intégration, au support, à la conformité et aux services de mobilité gérés.

Améliorer l'efficacité opérationnelle de l'entreprise grâce aux solutions MDM

La gestion des appareils mobiles centralise le contrôle des appareils de l'entreprise, ce qui simplifie l'inscription, la configuration et la maintenance. Le provisionnement automatisé et les opérations groupées réduisent le travail informatique manuel et garantissent des stratégies cohérentes sur tous les appareils. Des fonctionnalités de sécurité telles que le chiffrement, la surveillance de la conformité et l'effacement à distance protègent les données de l'entreprise. Globalement, le MDM améliore la productivité tout en réduisant les coûts de support et la complexité opérationnelle.

Sécurité avancée dans la gestion Android Enterprise

Android Enterprise utilise un profil professionnel pour isoler les applications et les données de l'entreprise du contenu personnel sur un même appareil. Cette conteneurisation crée des environnements chiffrés distincts gérés indépendamment par les administrateurs informatiques. Les stratégies de sécurité peuvent contrôler le partage des données de l'entreprise sans affecter les applications personnelles. L'architecture protège les données de l'entreprise même si des applications personnelles sont compromises.

MDM pour Apple iPhone et inscription automatisée

Le cadre MDM d'Apple permet une gestion centralisée des iPhone dans les environnements d'entreprise. Associés à Apple Business Manager, les appareils peuvent s'inscrire et se configurer automatiquement lors de leur première activation. Les administrateurs peuvent déployer et configurer silencieusement les applications de l'entreprise, appliquer des paramètres de sécurité et surveiller la conformité. Cette automatisation garantit une configuration cohérente des appareils et réduit les erreurs d'installation.

Comprendre la gestion des appareils mobiles

La gestion des appareils mobiles fournit une plateforme centralisée pour surveiller, sécuriser et contrôler les appareils mobiles accédant aux systèmes de l'entreprise. Ses capacités principales incluent l'application de stratégies de sécurité, la gestion des applications et le verrouillage ou l'effacement à distance des appareils perdus. Le MDM aide à protéger les données de l'entreprise tout en maintenant la conformité des appareils. Il permet aux organisations de toute taille de gérer en toute sécurité des effectifs mobiles croissants.

Modèles de déploiement des appareils en entreprise

Les organisations peuvent adopter plusieurs modèles de propriété des appareils, tels que BYOD, CYOD, COPE, COBO et COSU. Chaque modèle équilibre différemment le coût, la flexibilité pour l'utilisateur et le contrôle de sécurité. Le BYOD privilégie la commodité pour l'utilisateur, tandis que le COBO et le COSU maximisent le contrôle et la sécurité de l'entreprise. Le choix du bon modèle dépend des exigences réglementaires, des besoins des effectifs et de la capacité de gestion informatique.

MDM, EMM et UEM

Le MDM se concentre sur la gestion et la sécurisation des appareils mobiles par l'application de stratégies, le contrôle de la configuration et la gestion à distance. L'EMM étend ce périmètre à la gestion des applications et du contenu, tandis que l'UEM cherche à gérer tous les points de terminaison, y compris les ordinateurs portables et de bureau. Pour de nombreuses PME, les suites EMM ou UEM complètes ajoutent une complexité inutile. En pratique, des capacités MDM robustes répondent souvent à la plupart des besoins de gestion mobile.

MDM sur les téléphones personnels et confidentialité des employés

Les systèmes MDM modernes utilisent la conteneurisation pour séparer les données professionnelles et personnelles sur les appareils appartenant aux employés. Les employeurs ne peuvent gérer et surveiller que l'environnement professionnel, y compris les applications de l'entreprise et les informations de conformité de l'appareil. Les données personnelles telles que les photos, les messages et l'historique de navigation restent inaccessibles à l'entreprise. Cette séparation technique permet des programmes BYOD sécurisés tout en préservant la confidentialité des employés.

ROI du MDM et valeur commerciale

Le MDM doit être évalué comme un investissement stratégique plutôt que comme une simple dépense de sécurité. Il génère des retours financiers grâce à la réduction des pertes d'appareils, à la baisse des coûts de support informatique et à l'amélioration de l'efficacité opérationnelle. La gestion automatisée augmente également la productivité des employés et réduit les temps d'arrêt. En outre, une sécurité renforcée réduit le risque et l'impact financier des violations de données.

Gestion des appareils conforme à la HIPAA

Les organisations de santé doivent protéger les données électroniques des patients conformément aux exigences de sécurité de la HIPAA. Le MDM aide à appliquer le chiffrement, les contrôles d'authentification, la transmission sécurisée des données et des journaux d'audit détaillés. Il permet également l'effacement à distance et l'application centralisée des stratégies pour les appareils accédant aux systèmes médicaux. Ces contrôles réduisent les risques de conformité tout en permettant des flux de travail mobiles dans les environnements de santé.

MDM pour les opérations et la sécurité du commerce de détail

Les organisations du commerce de détail dépendent des appareils mobiles pour les systèmes de point de vente, la gestion des stocks et les opérations en magasin. Le MDM garantit que ces appareils restent sécurisés, à jour et conformes à des normes telles que PCI-DSS. La gestion centralisée réduit les temps d'arrêt et simplifie le déploiement des appareils sur plusieurs sites. Le résultat est une meilleure efficacité opérationnelle et un risque réduit d'incidents de sécurité liés aux paiements.