Les administrateurs informatiques peuvent modifier la stratégie associée à un appareil après l'inscription. Toutefois, chaque appareil ne peut être associé qu'à une seule stratégie à la fois.
Lors du processus d'inscription (provisionnement), les composants de gestion requis sont installés et configurés automatiquement. Sur Android, cela inclut généralement l'application Android Device Policy (et, selon votre configuration, l'application compagnon Cerberus Enterprise). Sur les appareils Apple, la gestion est appliquée via MDM une fois l'appareil inscrit, puis les iPhone et iPad reçoivent l'application compagnon Cerberus Enterprise (cela nécessite l'application gratuite dans votre bibliothèque Apple Business et un jeton Apps and Books). Par conséquent, la stratégie correspondante est automatiquement appliquée à l'appareil et toutes les règles associées sont appliquées par le système de gestion de la plateforme.Une stratégie peut être appliquée à plusieurs appareils. Dans ce cas, lorsque vous modifiez la stratégie, tous les appareils associés reçoivent les modifications.
# Configuration # Configuration d’Android Management Pour gérer des appareils Android avec Cerberus Enterprise, vous devez d’abord connecter votre organisation à Google Android Enterprise.Le processus de configuration prend généralement quelques minutes et nécessite une **adresse e-mail professionnelle** (par exemple *name@enterprise.com*) ou, à défaut, une **adresse e-mail Google personnelle**.
## Ce qui se passe pendant la configuration - Vous serez redirigé vers Google Android Enterprise. - Vous vous connectez avec votre adresse e-mail professionnelle (ou une adresse e-mail Google personnelle). - Google crée le compte Android Management de votre organisation. - Vous êtes redirigé vers Cerberus Enterprise pour terminer la configuration. ## Informations importantes Nous vous recommandons de vous inscrire avec une adresse e-mail professionnelle, et non avec un compte Gmail personnel. Si l’adresse e-mail est déjà associée à un compte Google Admin, ce compte existant est réutilisé et lié à Cerberus Enterprise ; sinon, un nouveau compte Google Admin gratuit est créé. Un compte Google Admin débloque l’ensemble complet des fonctionnalités — par exemple, l’inscription d’appareils via l’authentification Google avec des comptes gérés par votre domaine Google Admin. ## Vous n’avez pas d’adresse e-mail professionnelle ? Vous pouvez toujours vous inscrire avec une adresse e-mail Google personnelle (par exemple, un compte Gmail). Dans ce cas, Google crée un compte Managed Google Play gratuit lié à Cerberus Enterprise. ## Étapes suivantes Après avoir terminé la configuration, créez un [**Jeton d’inscription**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/jetons-dinscription "Enrollment tokens") et choisissez la méthode de provisionnement appropriée pour l’appareil. # Configuration d’Apple Management (APNs) Pour gérer des appareils Apple, Cerberus Enterprise nécessite le certificat du service Apple Push Notification (APNs).Utilisez l’identifiant Apple associé à votre organisation. Le certificat APNs est valide pendant un an et doit être renouvelé chaque année pour continuer à gérer les appareils.
## Étape 1 : télécharger le fichier CSR Dans le tableau de bord, démarrez la configuration d’Apple Management et téléchargez le fichier de demande de signature de certificat (CSR) signé par le fournisseur généré par Cerberus Enterprise. ## Étape 2 : créer le certificat Push sur le portail Apple - Connectez-vous au portail des certificats Apple Push avec votre identifiant Apple. - Cliquez sur *« Créer un certificat »*. - Importez le fichier CSR de l’étape 1. - Téléchargez le certificat Push créé. Lien du portail : [https://identity.apple.com/](https://identity.apple.com/ "Apple Push Certificates Portal") ## Étape 3 : importer le certificat Push Importez dans Cerberus Enterprise le certificat Push que vous avez téléchargé depuis Apple pour terminer la configuration.Si le certificat APNs expire, la gestion des appareils Apple cesse de fonctionner jusqu’au renouvellement du certificat.
À partir de 30 jours avant l’expiration, le tableau de bord affiche une bannière avec une action **Comment renouveler**. **Renouvelez** toujours le certificat existant sur le portail des certificats Apple Push avec le même identifiant Apple : un nouveau certificat a un sujet différent, et les appareils déjà inscrits devraient être réinscrits.
## Étapes suivantes Une fois APNs configuré, vous pouvez procéder à l’inscription des appareils Apple. Poursuivez avec [**Aperçu du provisionnement Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-du-provisionnement-apple "Apple provisioning overview"). # Présentation du provisionnement des appareils Cerberus Enterprise prend en charge la gestion des appareils sur les plateformes Android et Apple. Vous pouvez configurer chaque plateforme indépendamment, selon les appareils que vous devez inscrire. ## 1. Terminez la configuration de la plateforme dans le tableau de bord Avant d'inscrire des appareils, terminez la configuration de la plateforme dans le tableau de bord Cerberus Enterprise. Si votre compte n'est pas encore configuré, le tableau de bord vous guidera à travers les étapes requises. ### Configuration Android (Google Android Enterprise) Pour la procédure complète de configuration Android, consultez [**Configuration d'Android Management**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dandroid-management-AgB "Android Management setup"). - Accédez au parcours d'inscription du tableau de bord et sélectionnez **Configurer Android Management**. - Vous serez redirigé vers Google pour vous connecter avec un **compte professionnel** et autoriser Android Enterprise. - Après l'autorisation, vous serez redirigé vers Cerberus Enterprise pour terminer la configuration. ### Configuration Apple (certificat push APNs) Pour la procédure complète de configuration Apple, consultez [**Configuration d'Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)"). - Accédez au parcours d'inscription du tableau de bord et sélectionnez **Configurer Apple Management**. - Téléchargez le fichier CSR depuis Cerberus Enterprise. - Créez le certificat APNs dans le portail des certificats push Apple et téléchargez le certificat obtenu. - Importez le certificat téléchargé dans Cerberus Enterprise pour activer la gestion des appareils Apple. ## 2. Inscrivez des appareils Une fois la configuration de la plateforme terminée, choisissez la méthode d'inscription adaptée à votre modèle de possession des appareils et à votre système d'exploitation. ### Inscription Android Pour Android, l'inscription est pilotée par les [**jetons d'inscription**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/jetons-dinscription "Enrollment tokens"). Sélectionnez la méthode appropriée selon que l'appareil appartient à un particulier ou à l'entreprise. - Appareils personnels (BYOD / profil professionnel) : [suivez ce guide](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-personnels "Personally-owned devices"). - Appareils d'entreprise (usage professionnel et personnel / profil professionnel) : [suivez ce guide](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-dentreprise-pour-usage-professionnel-et-personnel "Company-owned devices for work and personal use"). - Appareils d'entreprise (usage professionnel uniquement / entièrement gérés ou dédiés) : [suivez ce guide](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-dentreprise-pour-usage-professionnel-uniquement "Company-owned devices for work use only"). - Zero-touch : [suivez ce guide](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/zero-touch "Zero-touch"). ### Inscription Apple Pour Apple, commencez par terminer la configuration APNs décrite ci-dessus, puis suivez les guides de provisionnement Apple : [**Présentation du provisionnement Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-du-provisionnement-apple "Apple provisioning overview"). # Provisionnement des Appareils - Android # Appareils pris en charge En général, tout appareil exécutant Android 6 ou version ultérieure avec Google Play Services est compatible avec Cerberus Enterprise. Pour une meilleure expérience utilisateur, nous vous suggérons d'utiliser des appareils qui répondent aux exigences [Android Enterprise Recommended](https://androidenterprisepartners.withgoogle.com/devices/).Certaines fonctionnalités sont limitées à des versions spécifiques d'Android ou peuvent se comporter différemment selon la version du système d'exploitation. Pour plus d'informations sur une fonctionnalité spécifique, consultez la section [Stratégies](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/chapter/politiques-android "Policies") de la documentation.
Cerberus Enterprise prend en charge les appareils d'entreprise et les appareils personnels, ainsi que deux modes de gestion : propriétaire de l'appareil (device owner) et propriétaire du profil (profile owner). Les **appareils personnels** peuvent être gérés au moyen d'un **profil professionnel**. Cela permet une solution BYOD en séparant les données et apps professionnelles des employés de leurs données et apps personnelles, ce qui améliore à la fois la sécurité et la confidentialité. Cette option convient aux appareils déjà possédés par les employés que vous souhaitez inscrire dans votre organisation pour un usage professionnel. Les **appareils d'entreprise** peuvent également être gérés au moyen d'un profil professionnel, mais vous pouvez aussi choisir l'option **entièrement gérée**, qui offre un contrôle plus strict de l'appareil. Les appareils d'entreprise dotés d'un profil professionnel conviennent lorsque vous fournissez des appareils à vos employés pour le travail tout en autorisant un usage personnel. Les appareils entièrement gérés sont plus adaptés aux appareils qui doivent être utilisés uniquement pour le travail, ou aux **appareils dédiés** (COSU, corporate-owned single-use), comme les bornes interactives. Pour plus d'informations sur le provisionnement des appareils, consultez la page [Présentation du provisionnement des appareils](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-du-provisionnement-des-appareils "Device provisioning overview").L'onglet des jetons d'inscription Android n'est disponible qu'après avoir terminé la [**configuration d'Android Management**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dandroid-management-AgB "Android Management setup").
## Où trouver les jetons d'inscription Dans le tableau de bord, ouvrez **Jetons d'inscription**. Selon la configuration de votre compte, la page peut afficher plusieurs onglets (jetons Android, inscription par connexion Google, inscription manuelle Apple et Apple Automated Device Enrollment).Si votre environnement Android enterprise repose sur un domaine Google géré (Google Workspace), le tableau de bord peut également afficher un onglet **S'authentifier avec Google Enrollment**. Pour en savoir plus sur son activation et son utilisation, consultez [**S'authentifier avec Google Enrollment**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/sauthentifier-avec-google-enrollment "Authenticate Using Google enrollment").
## Liste des jetons d'inscription (Android) L'onglet des jetons Android affiche un tableau de tous les jetons. Un clic sur une ligne ouvre la page de détails du jeton. ### Colonnes - **Statut** : **Actif** (les appareils peuvent s'inscrire avec le jeton), **Expiré** (la date d'expiration est passée) ou **Épuisé** (un jeton à usage unique déjà utilisé). - **Stratégie** : la stratégie attribuée au jeton (l'infobulle affiche l'id de la stratégie). **Stratégie supprimée** signifie que la stratégie a été supprimée après la création du jeton. - **Utilisateur** : utilisateur facultatif préattribué aux appareils inscrits avec le jeton. **Utilisateur supprimé** signifie que l'utilisateur a été supprimé après la création du jeton. - **Inscriptions** : combien d'appareils se sont inscrits avec le jeton, affiché sous la forme **n / 1** pour un jeton à usage unique. - **Usage personnel** : Autorisé / Non autorisé / Appareil dédié. - **Création** : date de création du jeton. Le tableau affiche les jetons les plus récents en premier. - **Expiration** : date et heure d'expiration, ou **Jamais**. - **Code d'inscription** : le code du jeton, celui que vous saisissez sur l'appareil lorsque vous l'inscrivez sans code QR. ### Actions - Chaque ligne comporte une action de suppression (**Supprimer le jeton d'inscription**). La suppression est désactivée lorsque la licence est expirée. - Le tableau prend en charge la sélection de plusieurs lignes : vous pouvez activer le mode de sélection, sélectionner plusieurs jetons et les supprimer avec **Supprimer les jetons sélectionnés**. - Utilisez l'action d'actualisation pour recharger la liste. Le tableau est paginé (10/25/50 éléments par page). ## Créer un jeton d'inscription Dans l'onglet des jetons Android, cliquez sur **Nouveau jeton d'inscription** pour ouvrir la page de création du jeton. Si votre licence est expirée, le bouton de création est désactivé. ### Options du jeton #### 1. Stratégie **Obligatoire.** Stratégie appliquée automatiquement à tous les appareils inscrits avec ce jeton. Sélectionnez l'une de vos [**stratégies Android**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/chapter/politiques-android "Policies"). Si vous n'avez pas encore de stratégie, créez-en une d'abord. #### 2. Utilisateur Facultatif. S'il est défini, les appareils nouvellement inscrits sont automatiquement associés à cet utilisateur. #### 3. Usage personnel Détermine si l'usage personnel est autorisé sur un appareil provisionné avec ce jeton d'inscription : - **Autorisé** : adapté aux appareils personnels (profil professionnel) et aux appareils d'entreprise destinés à un usage professionnel et personnel. - **Non autorisé** : adapté aux appareils d'entreprise destinés à un usage professionnel uniquement (entièrement gérés). - **Appareil dédié** : adapté aux appareils de type kiosque/dédié (l'appareil n'est pas associé à un utilisateur unique). #### 4. Utilisations autorisées Indiquez si le jeton peut être utilisé plusieurs fois (**Multiple**) ou une seule fois (**Une seule fois**). #### 5. Expiration Sélectionnez l'unité d'expiration (**Minutes**, **Heures**, **Jours** ou **Jamais**). Si l'unité n'est pas définie sur Jamais, saisissez la valeur d'expiration. La plage autorisée dépend de l'unité sélectionnée et peut aller jusqu'à 10 000 jours. #### 6. Authentification Google Détermine si l'utilisateur doit s'authentifier avec un compte Google lors de l'inscription de l'appareil : - **Non spécifié** : le paramètre d'authentification Google de l'entreprise est utilisé pour déterminer si l'utilisateur doit s'authentifier auprès de Google lors de l'inscription. - **Facultatif** : l'utilisateur peut choisir d'ignorer l'authentification Google lors de l'inscription. - **Obligatoire** : l'utilisateur doit s'authentifier avec un compte Google pour poursuivre l'inscription. Lorsque **Obligatoire** est sélectionné, un champ facultatif **Adresse e-mail du compte requis** apparaît. S'il est défini, l'utilisateur doit s'authentifier avec ce compte Google spécifique lors de l'inscription. ### Options de provisionnement (QR code uniquement) Ces options supplémentaires sont intégrées au QR code et s'appliquent lors du provisionnement des appareils entièrement gérés inscrits en scannant le QR code. Elles ne s'appliquent pas aux profils professionnels ni aux appareils inscrits à l'aide de l'URL d'inscription ou du jeton. #### Configuration Wi‑Fi Utilisez cette option pour permettre à un appareil de se connecter automatiquement au Wi‑Fi pendant le provisionnement, afin qu'il puisse télécharger et initialiser l'app de gestion. Les champs disponibles incluent **SSID**, **SSID masqué**, **Sécurité** et (si nécessaire) **Phrase secrète**. Vous pouvez également configurer un proxy HTTP (**Proxy**) et, selon le mode, définir **Hôte**/**Port**, **URI PAC** et **Hôte de contournement du proxy**. #### Autres options Les options supplémentaires incluent **Paramètres régionaux**, **Fuseau horaire** et **Ignorer le chiffrement**. ## Détails du jeton d'inscription Lorsque vous ouvrez un jeton, la page de détails affiche la configuration du jeton et les informations d'utilisation : - **Statut**, **Expiration**, **Utilisation**, **Usage personnel**, **Utilisations autorisées** et (le cas échéant) **Authentification Google** avec le champ facultatif **Adresse e-mail du compte requis**. - **Jeton** : la valeur brute du jeton d'inscription (copiable). - **URL d'inscription** : une URL d'inscription Google Android Enterprise (copiable et envoyable par e-mail). - **QR code** : affiché à droite de la page, utilisé pour inscrire les appareils entièrement gérés.Pour les procédures de provisionnement détaillées, suivez les guides d'inscription Android : [**Appareils personnels**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-personnels "Personally-owned devices"), [**Appareils d'entreprise pour usage professionnel et personnel**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-dentreprise-pour-usage-professionnel-et-personnel "Company-owned devices for work and personal use"), [**Appareils d'entreprise pour usage professionnel uniquement**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-dentreprise-pour-usage-professionnel-uniquement "Company-owned devices for work use only") et [**Zero-touch**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/zero-touch "Zero-touch").
# Appareils personnels| Version Android |
| 6.0+ |
| Version Android |
| 6.0+ |
| Version Android |
| 6.0+ |
| Version Android |
| 8.0+ |
| Version Android |
| 7.0+ |
| Version Android |
| 5.1+ |
| Version Android | Profil professionnel | Appareil entièrement géré | Appareil dédié |
| 8.0+ (Pixel 7.1+) | ✓ | ✓ | ✓ |
Cette fonctionnalité est disponible uniquement pour les environnements Android enterprise reposant sur un domaine Google géré (Google Workspace).
## Où la trouver Dans le tableau de bord, ouvrez **Jetons d'inscription** et sélectionnez l'onglet **S'authentifier avec Google Enrollment**. Cet onglet n'apparaît que lorsque Android Management est configuré et que l'intégration Google Workspace est disponible pour votre entreprise. ## Activer (ou désactiver) l'authentification Google L'authentification Google s'active depuis la **Google Admin console**. Après avoir modifié le paramètre, revenez à Cerberus Enterprise et utilisez **Actualiser l'état** pour recharger la configuration actuelle. 1. Connectez-vous à la [**Google Admin console**](https://admin.google.com/) avec un compte administrateur. 2. Ouvrez **Appareils**. 3. Accédez à **Mobile et points de terminaison** → **Paramètres** → **Intégrations tierces**. 4. Recherchez l'**intégration Android EMM** de Cerberus Enterprise et ouvrez-la. 5. Cliquez sur **Gérer les fournisseurs EMM**. 6. Utilisez le bouton **S'authentifier avec Google** pour activer ou désactiver l'authentification Google lors de l'inscription. 7. Cliquez sur **Enregistrer**. 8. Revenez au tableau de bord Cerberus Enterprise et cliquez sur **Actualiser l'état** dans l'onglet **S'authentifier avec Google Enrollment**. ## Jeton d'inscription avec authentification Google Lorsque l'authentification Google est activée, le tableau de bord affiche un jeton d'inscription dédié à ce mode d'inscription. La page peut afficher un **QR code**, une valeur de **jeton d'inscription** et une **URL d'inscription** (copiables et envoyables par e-mail). ### Options clés - **Autoriser l'usage personnel** : détermine si le jeton peut inscrire des appareils pour un usage professionnel et personnel (scénarios de profil professionnel) ou pour un usage professionnel uniquement (scénarios entièrement gérés / dédiés). - **Stratégie par défaut de secours** : la stratégie appliquée lorsque l'utilisateur qui s'inscrit n'a pas de stratégie par défaut d'authentification Google spécifique attribuée. ### Interaction avec les stratégies Le paramètre de stratégie **Authentification lors de la configuration du compte professionnel** (workAccountSetupConfig.authenticationType) détermine comment les utilisateurs s'authentifient lors de la configuration de leur compte professionnel, mais le paramètre **S'authentifier avec Google** de la Google Admin Console et le type de jeton d'inscription peuvent toujours exiger une authentification. Pour les appareils déjà inscrits, cette stratégie ne s'applique que si l'appareil est géré par un compte Managed Google Play (c'est-à-dire inscrit sans **S'authentifier avec Google Enrollment**).Certaines actions (par exemple la modification des options du jeton) peuvent être désactivées lorsque la licence est expirée.
## Inscrire un appareil Lors de l'inscription, l'utilisateur est invité à s'authentifier avec son compte Google Workspace. Une fois l'inscription réussie, l'appareil est associé à l'utilisateur authentifié. ### Profil professionnel (appareils personnels) - Partagez l'**URL d'inscription** avec l'utilisateur. Lorsque celui-ci l'ouvre sur son appareil Android, il est guidé tout au long de la configuration du profil professionnel et de l'authentification Google. - Vous pouvez également partir des Paramètres Android et choisir le flux de configuration du profil professionnel, puis scanner le QR code ou saisir le jeton d'inscription lorsque cela vous est demandé. ### Appareils d'entreprise - **Méthode par QR code** : sur un appareil neuf ou réinitialisé, appuyez plusieurs fois au même endroit sur l'écran jusqu'à ce que l'invite de QR code apparaisse, puis scannez le QR code affiché dans le tableau de bord. - **Méthode par identifiant DPC** (lorsque le scan de QR code n'est pas disponible) : suivez l'assistant de configuration, connectez-vous au Wi‑Fi, puis lorsque vous êtes invité à vous connecter, saisissez **afw#setup** et continuez en scannant le QR code ou en saisissant le jeton d'inscription. Lorsque cela vous est demandé, authentifiez-vous avec le compte Google Workspace. Pour les procédures générales de provisionnement Android (profil professionnel ou entièrement géré), consultez les pages d'inscription Android standard de ce manuel. # Provisionnement des Appareils - Apple # Présentation du provisionnement Apple Cerberus Enterprise permet d'inscrire et de gérer les iPhone, iPad et Mac. Le provisionnement Apple nécessite un certificat APNs et peut être effectué avec différentes méthodes d'inscription. ## Prérequis : configurer Apple Management (APNs) Avant d'inscrire un appareil Apple, effectuez la [**configuration d'Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)"). ## Choisir une méthode d'inscription ### Inscription manuelle (profil d'inscription) Cette méthode fournit une URL d'inscription et un fichier de profil de configuration (mobileconfig) à installer sur l'appareil. Consultez [**Inscription manuelle Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/inscription-manuelle-apple-profil-dinscription "Apple manual enrollment"). ### Automated Device Enrollment (ADE) Cette méthode s'intègre à Apple Business pour automatiser l'inscription des appareils appartenant à l'entreprise. Consultez [**Apple Automated Device Enrollment (ADE)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/apple-automated-device-enrollment-ade "Apple Automated Device Enrollment"). ### Inscription pilotée par le compte (connexion avec un compte professionnel) Les utilisateurs inscrivent leur iPhone, iPad ou Mac en se connectant avec leur Managed Apple Account dans les réglages de l'appareil : User Enrollment pour les appareils personnels, Device Enrollment pour les appareils d'entreprise qui ne figurent pas dans Apple Business. Consultez [**Inscription pilotée par le compte Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/inscription-pilotee-par-le-compte-apple "Apple account-driven enrollment"). Sur les iPhone et iPad personnels inscrits avec User Enrollment, les apps App Store de la stratégie sont installées avec une licence utilisateur du Managed Apple Account, que Cerberus attribue automatiquement ; l'utilisateur est invité à installer chaque app. Les Managed Apple Accounts et le jeton Apps and Books doivent appartenir à la même organisation Apple Business. Consultez [**Apps sur les appareils personnels**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/inscription-pilotee-par-le-compte-apple "Apple account-driven enrollment"). ## App Cerberus Enterprise sur iPhone et iPad Après l'inscription, Cerberus installe son app **Cerberus Enterprise** sur les iPhone et iPad sous **iOS ou iPadOS 18.4 ou version ultérieure**, avec ou sans stratégie. L'app partage la localisation de l'appareil et reçoit les notifications et les demandes de suivi en direct ; sur les appareils personnels (inscription utilisateur), elle reçoit les messages et partage la localisation uniquement si la stratégie active **Localisation et géorepérage sur les appareils personnels** et que l'utilisateur l'autorise. Une étape unique est nécessaire : ajoutez l'app gratuite à votre bibliothèque Apple Business (**Apps et livres** → **App Store**, recherchez « Cerberus Enterprise », **Ajouter** pour toutes les unités organisationnelles actuelles et futures). Les appareils supervisés l'installent silencieusement ; sur les autres appareils, l'utilisateur est invité à l'installer. S'il l'a déjà installée depuis l'App Store, l'appareil demande d'autoriser votre organisation à gérer l'app, et l'app conserve ses données et ses autorisations. Si l'utilisateur refuse, utilisez **Réessayer** sur la page de l'appareil. L'utilisateur ne peut pas supprimer l'app, et elle reste installée si le jeton Apps and Books expire. Les Mac ne reçoivent pas l'app.Vous pouvez utiliser l'inscription manuelle et l'ADE en parallèle, selon votre parc d'appareils et votre processus d'achat.
# Inscription manuelle Apple (profil d’inscription) Cerberus Enterprise prend en charge l’inscription manuelle des appareils Apple à l’aide d’un QR code, d’une URL d’inscription ou d’un fichier de profil d’inscription.L’inscription manuelle est disponible lorsque Apple Management (APNs) est configuré. Si vous n’avez pas encore terminé la configuration APNs, consultez [**Configuration d’Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)").
Les utilisateurs peuvent également inscrire leur iPhone, iPad ou Mac sans profil, en se connectant avec leur compte professionnel dans les réglages de l’appareil. Consultez [**Inscription pilotée par le compte Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/inscription-pilotee-par-le-compte-apple "Apple account-driven enrollment").
## Jetons d’inscription Un jeton d’inscription possède sa propre URL d’inscription et son propre QR code, et attribue ces réglages aux appareils qui s’inscrivent avec lui : - **Stratégie** : appliquée à l’appareil dès son inscription. - **Utilisateur** : attribué à l’appareil. Sans utilisateur dans le jeton, l’appareil n’a pas d’utilisateur. - **Propriété** : appartenant à l'entreprise ou personnel. S'il n'est pas défini, les appareils supervisés sont définis comme appartenant à l'entreprise et les autres comme personnels. Les iPhone et iPad inscrits manuellement ne sont pas supervisés ; les Mac le sont, ils sont donc définis comme appartenant à l'entreprise. - **Expiration** : après ce jour, l’URL d’inscription cesse de fonctionner. Un profil téléchargé auparavant peut encore être installé. - **Inscriptions autorisées** : combien d’appareils peuvent s’inscrire avec le jeton. Laissez vide pour ne fixer aucune limite. Pour créer un jeton, ouvrez la section **Inscription** du tableau de bord, sélectionnez l’onglet **Inscription manuelle Apple (profil d’inscription)** et cliquez sur **Nouveau jeton d’inscription**. Définissez le nom et les réglages, puis cliquez sur **Créer le jeton** : la page du jeton affiche son URL d’inscription, son QR code et le bouton **Télécharger le profil d’inscription**. Le tableau des jetons affiche, pour chaque jeton, son **Statut** (Actif, Expiré ou Épuisé), l'**Expiration**, les **Inscriptions** effectuées parmi celles autorisées, et la **Dernière utilisation**, la dernière fois qu'un appareil s'est inscrit avec. Viennent ensuite la **Stratégie**, l'**Utilisateur** (survolez-le pour voir l'adresse e-mail), la **Propriété** et la date de **Création** (survolez-la pour voir qui a créé le jeton). Les jetons les plus récents apparaissent en premier, et vous pouvez trier par n'importe quelle colonne. Triez par **Dernière utilisation** pour trouver les jetons actifs que plus personne n'utilise, et supprimez-les pour que leur URL d'inscription cesse de fonctionner. Une stratégie ou un utilisateur supprimé après l'enregistrement du jeton s'affiche comme **Stratégie supprimée** ou **Utilisateur supprimé** avec une icône d'avertissement : modifiez le jeton pour en choisir un autre.Les modifications d’un jeton s’appliquent aux inscriptions suivantes : les appareils déjà inscrits conservent leur stratégie et leur utilisateur. Lorsqu’un jeton est supprimé, expire ou atteint son nombre d’inscriptions autorisées, son URL d’inscription cesse de fonctionner.
## Inscription sans jeton Le panneau **Inscription sans jeton** du même onglet contient l’URL d’inscription de votre organisation. Les appareils inscrits avec celle-ci ne reçoivent ni stratégie ni utilisateur : attribuez-les depuis la page de l’appareil. La stratégie et l’utilisateur d’un appareil dépendent de sa méthode d’inscription : la stratégie et l’utilisateur du jeton avec un jeton d’inscription ; la stratégie du profil ADE avec l’Automated Device Enrollment, en conservant l’utilisateur attribué sur la page de l’appareil ; aucune stratégie et aucun utilisateur avec l’URL d’inscription, le QR code ou le profil sans jeton (même si l’appareil possède un profil ADE). Un appareil qui s’inscrit à nouveau ne conserve pas la stratégie et l’utilisateur de son inscription précédente : la page de l’appareil les affiche uniquement si la nouvelle inscription les attribue. Seul un appareil effacé avec **Return to Service** s’inscrit à nouveau avec sa stratégie et son utilisateur actuels. ## Obtenir l’URL et le profil d’inscription - Ouvrez le jeton dans l’onglet **Inscription manuelle Apple (profil d’inscription)** de la section **Inscription**, ou développez **Inscription sans jeton**. - Copiez l’**URL d’inscription**, ou utilisez l’action d’envoi par e-mail. - Scannez le **code QR** affiché à côté de l'URL d'inscription avec l'appareil photo d'un iPhone ou d'un iPad : il ouvre la même URL d'inscription sur l'appareil. Sur un Mac, utilisez l'URL d'inscription ou le fichier de profil. - Téléchargez le **profil d’inscription** (fichier mobileconfig). ## Comment inscrire un iPhone ou un iPad iOS/iPadOS 15.0+ Commencez par télécharger le profil d'inscription sur l'appareil à l'aide de l'une des méthodes suivantes : ### Méthode 1 : QR code Ouvrez l'app *Appareil photo* sur l'appareil et pointez-la vers le QR code affiché à côté de l'URL d'inscription, puis appuyez sur le lien qui apparaît. Safari ouvre l'URL d'inscription et vous demande d'autoriser le téléchargement d'un profil de configuration : appuyez sur *Autoriser*. ### Méthode 2 : URL d'inscription Envoyez l'URL d'inscription à l'utilisateur (par exemple avec l'action d'envoi par e-mail) et ouvrez-la dans *Safari* sur l'appareil, puis appuyez sur *Autoriser* pour télécharger le profil de configuration. ### Méthode 3 : Fichier de profil d'inscription Téléchargez le fichier de profil d'inscription (*enroll.mobileconfig*) et envoyez-le à l'appareil, par exemple en pièce jointe d'un e-mail ou via AirDrop, puis ouvrez-le sur l'appareil. Terminez ensuite l'inscription sur l'appareil : 1. Sur l'appareil, ouvrez *Réglages* → *Profil téléchargé* → *Installer*, puis suivez les instructions. 2. Une fois l'inscription terminée, vous pouvez vérifier l'état dans *Réglages* → *Général* → *VPN et gestion de l'appareil* (ou *Profils et gestion de l'appareil*).Après l'inscription, les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure reçoivent l'app **Cerberus Enterprise**. Sur un appareil inscrit manuellement (non supervisé), l'utilisateur est invité à l'installer ou à autoriser votre organisation à le gérer s'il a déjà été installé depuis l'App Store. Si l'utilisateur refuse, utilisez **Réessayer** sur la page de l'appareil. L'app doit être présente une fois dans votre bibliothèque Apple Business (voir **Paramètres du compte**).
Sur iPhone et iPad, un profil téléchargé qui n'est pas installé dans les 8 minutes est supprimé par l'appareil. Dans ce cas, téléchargez-le à nouveau.
## Comment inscrire un Mac macOS 13.0+ Le code QR ne fonctionne que sur iPhone et iPad. Téléchargez le profil d'inscription sur le Mac avec l'une des méthodes suivantes : ### Méthode 1 : URL d'inscription Envoyez l'URL d'inscription à l'utilisateur (par exemple avec l'action d'envoi par e-mail) et ouvrez-la dans *Safari* sur le Mac, puis autorisez le téléchargement si cela est demandé. Si le profil ne s'ouvre pas de lui-même, ouvrez le fichier *enroll.mobileconfig* téléchargé. ### Méthode 2 : fichier de profil d'inscription Téléchargez le fichier de profil d'inscription (*enroll.mobileconfig*) et envoyez-le au Mac, par exemple en pièce jointe d'un e-mail ou avec AirDrop, puis ouvrez-le sur le Mac. L'ouverture du profil ne fait que l'ajouter aux profils téléchargés. Terminez ensuite l'inscription sur le Mac, connecté en tant que son utilisateur principal : 1. Ouvrez *Réglages Système* → *Général* → *Gestion de l'appareil* (sur macOS 13 et 14 : *Confidentialité et sécurité* → *Profils*). Dans la section *Téléchargés*, double-cliquez sur *Profil d'inscription*, cliquez sur *Inscrire* (ou *Installer*) et suivez les instructions. Saisissez le nom et le mot de passe d'un administrateur du Mac si cela est demandé. 2. Après l'inscription, *Profil d'inscription* est listé au même endroit. Dans *Terminal*, `profiles status -type enrollment` affiche *MDM enrollment: Yes (User Approved)*.Les Mac inscrits manuellement sont supervisés, et l'utilisateur qui installe le profil est affiché dans le panneau **Utilisateurs du Mac** de la page de l'appareil. Les Mac ne reçoivent pas l'app Cerberus Enterprise. Si le profil ne figure plus dans la section *Téléchargés*, téléchargez-le à nouveau.
N'installez que les profils d'inscription obtenus depuis votre tableau de bord Cerberus Enterprise.
# Apple Automated Device Enrollment (ADE) L'inscription automatique des appareils (ADE) s'intègre à Apple Business (anciennement Apple Business Manager) pour inscrire automatiquement les iPhone, iPad et Mac appartenant à l'entreprise lorsqu'ils sont allumés pour la première fois (ou après une réinitialisation d'usine).L’ADE nécessite que Apple Management (APNs) soit configuré au préalable. Si nécessaire, consultez [**Configuration d’Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)").
## Comment inscrire automatiquement des appareils 1. Ajoutez des appareils à votre compte Apple Business et attribuez-les au service de gestion d’appareils Cerberus Enterprise : dans Apple Business, ouvrez **Appareils** → **Inventaire**, sélectionnez les appareils et cliquez sur **Attribuer une gestion d’appareil**, ou attribuez automatiquement les nouveaux appareils depuis **Appareils** → **Services de gestion** → **Attribution de l’appareil par défaut**. Consultez [Gérer les fournisseurs d’appareils](https://support.apple.com/guide/business/manage-device-suppliers-axmef1c47493/web) et [Ajouter des appareils à l’aide d’Apple Configurator](https://support.apple.com/guide/business/add-devices-using-apple-configurator-axm200a54d59/web). 2. Après avoir ajouté de nouveaux appareils à votre compte Apple Business, synchronisez-les dans Cerberus Enterprise depuis la section **Appareils** à l'aide de l'action **Synchroniser depuis Apple Business**. Les appareils synchronisés n'utilisent une licence qu'une fois inscrits. 3. Créez un profil ADE dans le tableau de bord depuis **Inscription** → **Apple Automated Device Enrollment (ADE)** → **Nouveau profil ADE**. 4. Attribuez un profil ADE à un appareil depuis la page de détails de l’appareil à l’aide du champ **Profil ADE**.Après l'inscription, les iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure reçoivent l'app **Cerberus Enterprise**. Les appareils inscrits avec ADE sont supervisés : l'app s'installe donc sans demander à l'utilisateur ; la configuration ne l'attend pas. L'app doit figurer une fois dans votre bibliothèque Apple Business (voir **Paramètres du compte**). Les Mac ne reçoivent pas l'app.
## Réglages du profil ADE (aperçu) Un profil ADE contrôle la manière dont l’appareil est inscrit et le comportement de l’Assistant réglages. Dans Cerberus Enterprise, un profil ADE comprend un nom, une stratégie initiale facultative, des options d’inscription, les panneaux de l’Assistant réglages à ignorer, des contacts d’assistance et des certificats approuvés. ### Nom du profil Un nom lisible pour le profil (par exemple *Profil ADE par défaut*). ### Stratégie La stratégie appliquée aux appareils lorsqu’ils s’inscrivent avec l’Automated Device Enrollment (Assistant réglages). Les appareils du profil inscrits avec l’URL d’inscription ou le QR code reçoivent plutôt la stratégie de leur jeton d’inscription, ou aucune stratégie sans jeton. Modifier uniquement la stratégie conserve le profil tel quel. ### Options d’inscription - **MDM supprimable** : contrôle si la charge utile MDM peut être supprimée de l’appareil. - **Autoriser l’appairage** : contrôle si l’appairage est autorisé (déprécié par Apple dans iOS 13). - **Avancement automatique de la configuration** : fait avancer automatiquement l'assistant de configuration dans ses écrans (Mac sous macOS 11 ou version ultérieure et Apple TV). - **Attendre que l’appareil soit configuré** : l’Assistant réglages attend que la stratégie du profil ADE soit appliquée, afin que les utilisateurs commencent avec ses applications et réglages en place. Cerberus Enterprise laisse ensuite l’appareil continuer, au plus tard 4 minutes après l’inscription. - **Obligatoire** : empêche d’ignorer l’application du profil pendant la configuration. - **Multi-utilisateurs (iPad partagé)** : configure l’appareil pour l’iPad partagé. - **Supervisé** : demande la supervision de l’appareil. ### Assistant réglages - **Service**, **Téléphone du support** et **E-mail du support** (facultatif) : envoyés à Apple avec le profil. L'appareil peut ne pas les afficher. - **Panneaux à ignorer** : l'assistant de configuration n'affiche pas les panneaux sélectionnés (par exemple Compte Apple, Siri ou Temps d'écran). Chaque appareil n'affiche que les panneaux de son système (certains, comme FileVault ou Documents et bureau iCloud, n'existent que sur les Mac) ; **Tout ignorer** et **Tout afficher** sélectionnent ou désélectionnent tous les panneaux. - **Apple TV** : langue et région pour Apple TV avec avancement automatique de la configuration. - **Certificats approuvés** : nécessaires uniquement si le serveur utilise un certificat auquel les appareils ne font pas confiance, par exemple provenant d’une AC privée. Importez d’abord le certificat dans la page Certificats. ### Liste des profils ADE La liste affiche le nom de chaque profil, sa stratégie, ses appareils et son Id, l'identifiant qu'Apple attribue au profil. Un cadenas après le nom signale un profil obligatoire que les utilisateurs de gestion ne peuvent pas supprimer. **Aucune stratégie** ou **Stratégie supprimée** indique que les appareils inscrits avec le profil ne reçoivent aucune stratégie initiale. La colonne **Appareils** compte les appareils inscrits du profil et, à côté, les appareils en attente : attribués au profil dans Apple Business mais pas encore inscrits. Les appareils supprimés ne sont pas comptés. ### Modifier un profil Apple ne permet pas de modifier un profil ADE. Lorsque vous en modifiez un (sauf pour la stratégie uniquement), Cerberus Enterprise définit un nouveau profil portant le même nom et l’attribue aux appareils de l’ancien ; l’ancien profil n’est plus répertorié dès qu’aucun appareil ne l’utilise. Les appareils qui ont déjà terminé l’Assistant réglages utilisent le nouveau profil lors de leur prochain effacement. Un profil qu'aucun appareil n'utilise, inscrit ou en attente, peut être supprimé de la liste des profils ADE. Apple n'autorise pas la suppression d'un profil : il reste donc dans Apple Business, inutilisé.Une fois qu’un profil ADE est attribué à un appareil, celui-ci est prêt à être inscrit automatiquement.
# Inscription pilotée par le compte Apple Avec l’inscription pilotée par le compte, les utilisateurs inscrivent leur iPhone, iPad ou Mac en se connectant avec leur compte professionnel (un **compte Apple géré**, par exemple *name@company.com*) dans les réglages de l’appareil. Aucun profil à télécharger et aucun QR code : Cerberus Enterprise trouve l’utilisateur, applique la stratégie et définit lui-même la propriété. ## Deux modes - **Inscription utilisateur** (appareils personnels) : seules les applications, les comptes et les données professionnels sont gérés, dans une zone distincte de l’appareil. Cerberus ne peut pas voir les données personnelles, effacer l’appareil, le localiser ni lire son numéro de série. L’appareil est défini comme personnel. Nécessite iOS et iPadOS 15 ou macOS 14 ou version ultérieure. - **Inscription d’appareil** (appareils d’entreprise qui ne figurent pas dans Apple Business) : l’appareil entier est géré, comme avec une inscription manuelle. Un Mac inscrit de cette manière est supervisé ; un iPhone ou un iPad ne l’est pas. L’appareil est défini comme appartenant à l’entreprise. Nécessite iOS et iPadOS 17.1 ou macOS 14.1 ou version ultérieure.Vous choisissez le mode pour iPhone et iPad et, séparément, pour Mac : par exemple l’inscription utilisateur pour les iPhone personnels et l’inscription d’appareil pour les Mac. Vous pouvez modifier ultérieurement la propriété d’un appareil sur la page de l’appareil.
L’inscription pilotée par le compte est disponible lorsque Apple Management (APNs) est configuré. Si vous n’avez pas encore terminé la configuration APNs, consultez [**Configuration d’Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)").
## Configurer Apple Business Les utilisateurs se connectent avec des comptes Apple gérés, créés dans Apple Business. Avant de commencer : 1. **Vérifiez votre domaine** (par exemple *company.com*) dans Apple Business, dans les domaines de votre organisation. 2. **Créez les comptes Apple gérés** de vos utilisateurs, ou connectez Apple Business à Google Workspace ou Microsoft Entra ID : le compte de chaque utilisateur correspond alors à son adresse e-mail professionnelle et il se connecte avec son mot de passe. 3. Pour l’inscription utilisateur, vérifiez dans les réglages de gestion des accès que les comptes Apple gérés peuvent se connecter sur des **appareils personnels** : lorsqu’ils ne peuvent se connecter que sur des appareils supervisés, l’inscription utilisateur échoue. 4. Uniquement pour l’option **Apple Business** ci-dessous : ouvrez **Appareils** → **Services de gestion** → **Attribution de l’appareil par défaut** (Modifier) et choisissez le service de gestion d’appareils Cerberus Enterprise pour iPhone, iPad et Mac.Conservez le service de gestion d’appareils Cerberus Enterprise et son jeton dans Apple Business tant que des appareils sont inscrits avec des comptes Apple gérés : leur suppression peut empêcher les comptes de fonctionner sur les appareils.
## Configurer Cerberus Enterprise Ouvrez la section **Inscription** du tableau de bord et sélectionnez l’onglet **Connexion au compte Apple**. Une liste de contrôle en haut indique ce qui manque encore. Seuls les administrateurs peuvent modifier les réglages. - **Autoriser l’inscription en se connectant avec un compte professionnel** : active ou désactive l’inscription pilotée par le compte pour l’ensemble de l’organisation. - **Domaines** : les domaines des comptes de vos utilisateurs (par exemple *company.com*), jusqu’à 20. Seuls les comptes de ces domaines peuvent s’inscrire, et uniquement après vérification du domaine (voir ci-dessous). - **iPhone et iPad** et **Mac** : Désactivé, Inscription utilisateur ou Inscription d’appareil pour chaque famille d’appareils. - **Stratégie** de chaque mode : appliquée aux appareils dès leur inscription. Sans stratégie, les appareils s’inscrivent sans stratégie. Une stratégie modifiée s’applique aux inscriptions suivantes. - **Utilisateurs** : *Uniquement les utilisateurs existants* (l’adresse e-mail d’un utilisateur dans Cerberus Enterprise doit correspondre au compte saisi sur l’appareil), ou *Créer un utilisateur pour les comptes des domaines qui n’en ont pas*.Le compte saisi sur l’appareil est mis en correspondance avec le champ **Compte Apple géré** des utilisateurs, puis avec leur adresse e-mail. Le code est toujours envoyé à l’adresse e-mail de l’utilisateur. Un compte Apple géré défini sur un utilisateur peut s’inscrire même lorsque son domaine n’est pas vérifié dans Cerberus, par exemple un compte du domaine réservé *org.appleid.com* d’Apple Business. Avec la découverte de service Apple Business, les utilisateurs saisissent toujours leur compte Apple géré.
### Vérifier les domaines Une fois les réglages enregistrés, la section **Vérification du domaine** affiche un enregistrement TXT pour chaque domaine. Ajoutez-le au DNS du domaine, puis cliquez sur **Vérifier**. Les modifications DNS peuvent prendre un certain temps avant d’être visibles. Un domaine vérifié reste vérifié : vous pouvez supprimer l’enregistrement par la suite. Les utilisateurs d’un domaine non vérifié ne peuvent pas s’inscrire. ## Découverte de service : comment les appareils trouvent Cerberus Enterprise Lorsqu’un utilisateur se connecte, l’appareil demande au domaine du compte (par exemple *https://company.com*) quel serveur le gère. Configurez au moins l’une de ces trois options. La section **Découverte de service** de l’onglet affiche l’URL de découverte de votre organisation et le texte exact à copier pour chaque option. ### Option 1 : Apple Business (recommandée) Cliquez sur **S’inscrire dans Apple Business** : Cerberus Enterprise stocke son URL de découverte dans votre organisation Apple Business et rien ne doit être publié sur vos domaines. **Vérifier dans Apple Business** affiche l’URL qu’Apple Business possède actuellement, et **Supprimer d’Apple Business** la supprime. - Nécessite iOS et iPadOS 18.2 ou macOS 15.2 ou version ultérieure. Les appareils plus anciens ont besoin de l’option 2 ou 3. - Nécessite Apple Business connecté dans Cerberus Enterprise (jeton de service Automated Device Enrollment) et l’attribution d’appareil par défaut décrite ci-dessus. - L’appareil n’interroge Apple Business que lorsque votre domaine ne répond pas : l’adresse *https://company.com/.well-known/com.apple.remotemanagement* ne doit pas exister (une erreur telle que « not found »). Si votre site web y répond par une page web, les appareils s’arrêtent là. Utilisez **Vérifier la configuration** pour voir ce qu’il répond.Apple Business conserve une seule URL de découverte par organisation : l’inscrire envoie tous les comptes Apple gérés de l’organisation vers cette organisation Cerberus Enterprise. Ne l’inscrivez pas depuis deux organisations Cerberus Enterprise qui utilisent la même organisation Apple Business.
### Option 2 : redirection depuis votre site web Sur le serveur web de chaque domaine, redirigez */.well-known/com.apple.remotemanagement* vers l’URL de découverte de votre organisation, **en conservant la chaîne de requête** (elle contient le compte saisi par l’utilisateur). Cela fonctionne avec toutes les versions du système qui prennent en charge l’inscription pilotée par le compte, et le mode peut être différent pour iPhone et Mac. Copiez le texte pour Apache ou nginx depuis l’onglet ; il ressemble à ceci, avec la clé de votre organisation : **Apache** (.htaccess ou hôte virtuel) : ``` RewriteEngine On RewriteRule ^\.well-known/com\.apple\.remotemanagement$ https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery [R=302,L,QSA] ``` **nginx** : ``` location = /.well-known/com.apple.remotemanagement { return 302 https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/discovery$is_args$args; } ``` Sur d’autres serveurs ou services web (IIS, Cloudflare, panneaux de contrôle d’hébergement), créez une règle de redirection (302) depuis le même chemin vers l’URL de découverte avec l’option qui conserve ou transmet la chaîne de requête. ### Option 3 : fichier statique sur votre site web Si vous ne pouvez pas ajouter de redirection, publiez un fichier à l’adresse *https://company.com/.well-known/com.apple.remotemanagement* (sans extension de fichier), servi avec *Content-Type: application/json*. Copiez son contenu depuis l’onglet. Un fichier statique ne peut pas choisir le mode par appareil : il utilise le même mode pour iPhone, iPad et Mac. Pour l’inscription utilisateur, il ressemble à ceci : ``` {"Servers":[{"Version":"mdm-byod","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/byod"}]} ``` et pour l’inscription d’appareil : ``` {"Servers":[{"Version":"mdm-adde","BaseURL":"https://enterprise.cerberusapp.com/account-enroll/YOUR-KEY/adde"}]} ```Le mode du fichier doit également être le mode défini dans l’onglet pour la famille d’appareils, sinon l’inscription est refusée.
### Vérifier la configuration Dans **Vérifier la configuration**, choisissez un domaine et un appareil (iPhone ou Mac), puis cliquez sur **Vérifier** : Cerberus Enterprise interroge le domaine comme le ferait un appareil et affiche la réponse, chaque redirection et un verdict. Un domaine qui pointe vers Cerberus Enterprise signifie que les options 2 ou 3 fonctionnent ; une réponse d’erreur (telle que « not found ») convient pour l’option 1 ; une page web ou un fichier pointant ailleurs arrête les appareils. La vérification avertit également lorsqu’une redirection perd la chaîne de requête ou que le fichier n’est pas servi en *application/json*. ### Clé d’inscription Les URL de découverte et d’inscription contiennent une clé de votre organisation. Si les URL ont été publiées par erreur, cliquez sur **Régénérer la clé** : les anciennes URL cessent immédiatement de fonctionner, alors mettez à jour les redirections et les fichiers statiques sur vos sites web. Cerberus Enterprise enregistre lui-même la nouvelle URL dans Apple Business lorsque l’option 1 est utilisée. ## Comment les utilisateurs s’inscrivent 1. iPhone et iPad : ouvrez *Réglages* → *Général* → *VPN et gestion de l'appareil* → *Se connecter à un compte professionnel ou scolaire*. Mac : *Réglages Système* → *Général* → *Gestion de l'appareil* → *Se connecter* (sur macOS 14 : *Confidentialité et sécurité* → *Profils* → *Se connecter*). 2. Saisissez le compte Apple géré, ou l’adresse e-mail professionnelle de l’utilisateur dans Cerberus (par exemple *name@company.com*). Lorsque le compte Apple géré de l’utilisateur diffère de ce qui a été saisi, l’appareil demande ensuite de se connecter avec ce compte. 3. Une page Cerberus Enterprise s’ouvre : appuyez sur *Envoyer le code*, puis saisissez le code à 6 chiffres reçu par e-mail. Le code expire après 10 minutes ; après 5 codes erronés, l’utilisateur doit fermer la page et se reconnecter. 4. Connectez-vous avec le mot de passe du compte Apple géré (ou avec la page de connexion de l’entreprise lorsque Apple Business est connecté à Google Workspace ou Microsoft Entra ID), puis autorisez la gestion de l’appareil.Les comptes qui ne peuvent pas s’inscrire (domaine non vérifié, aucun utilisateur correspondant lorsque les utilisateurs ne sont pas créés automatiquement, plusieurs utilisateurs avec la même adresse e-mail) voient le message « Ce compte n’est pas configuré pour l’inscription. Contactez votre administrateur informatique. » Les événements figurent dans les journaux système du tableau de bord.
## Après l’inscription - La page de l’appareil affiche le **compte Apple géré** utilisé pour l’inscription et le type d’inscription (Inscription utilisateur ou Inscription d’appareil pilotée par le compte). Dans la liste des appareils, les appareils en inscription utilisateur affichent « Inscription utilisateur ». - Sur les appareils en inscription utilisateur, les commandes et les paramètres de stratégie qu’Apple n’autorise pas (effacement, localisation, mode perdu, mises à jour du système, nombreuses restrictions) ne sont pas proposés ou ne sont pas envoyés. Les applications App Store de la stratégie utilisent une licence utilisateur au lieu d’une licence d’appareil (voir **Applications sur les appareils personnels** ci-dessous). - Sur les appareils en inscription utilisateur, les clips web apparaissent sur l’écran d’accueil mais ne sont pas répertoriés dans *Réglages* → *Général* → *VPN et gestion de l’appareil*. - Le certificat MDM de ces appareils n’est pas renouvelé automatiquement et **Return to Service** n’est pas disponible : avant l’expiration du certificat MDM (un an après l’inscription, voir la page de l’appareil), demandez à l’utilisateur de réinscrire l’appareil. - Pour quitter la gestion, l’utilisateur se déconnecte du compte professionnel au même endroit des réglages, ou vous désinscrivez l’appareil de Cerberus Enterprise. Avec l’inscription utilisateur, seules les applications, les comptes et les données professionnels sont supprimés ; les données personnelles restent. Un appareil qui s’inscrit à nouveau apparaît comme un nouvel appareil.Juste après l'inscription, certains profils de la stratégie (certificats, réseaux Wi-Fi, clips web) peuvent être signalés comme ayant échoué avec une erreur inconnue, et l'appareil peut apparaître comme **Non conforme** pendant un certain temps. L'appareil les réessaie de lui-même et ils s'installent après un moment, sans aucune action nécessaire. N'enregistrez pas à nouveau la stratégie et n'inscrivez pas à nouveau l'appareil pour cette raison.
## Applications sur les appareils personnels Les iPhone et les iPad inscrits avec l’inscription utilisateur n’ont pas de numéro de série, de sorte qu’Apps and Books ne peut pas leur attribuer de licence d’appareil. Cerberus Enterprise attribue à la place une **licence utilisateur** aux applications App Store de leur stratégie : la licence est attribuée au compte Apple géré connecté sur l’appareil. Rien ne change dans la stratégie : la même stratégie sert les appareils d’entreprise et personnels, et Cerberus choisit le type de licence pour chaque appareil. - **Automatique** : lors de la première inscription, Cerberus enregistre le compte Apple géré auprès d’Apps and Books, puis demande à Apple une licence pour chaque application App Store de la stratégie. Les applications gratuites ont aussi besoin d’une licence ; Apple leur en accorde un nombre illimité. Une application payante utilise une licence par compte Apple géré, partagée par tous les appareils personnels de ce compte. - **Même organisation** : les comptes Apple gérés et le jeton Apps and Books de Cerberus Enterprise doivent appartenir à la même organisation Apple Business, et les applications doivent figurer dans la bibliothèque de l’emplacement du jeton. - **Licence d’abord** : une application n’est envoyée à l’appareil qu’après confirmation de sa licence par Apple, généralement en quelques minutes. Jusque-là, le panneau **Applications** de l’appareil l’affiche comme **En attente d’une licence utilisateur**, avec le motif. - **Invite d'installation** : les appareils personnels ne sont jamais supervisés, iOS demande donc à l'utilisateur avant d'installer chaque application, y compris l'application **Cerberus Enterprise**, que Cerberus installe aussi sur ces appareils (**Installer** ou **Annuler**) ; aucune connexion à un compte Apple n'est nécessaire. Si l'utilisateur annule, l'application affiche **En attente de l'approbation de l'installation par l'utilisateur** : utilisez **Redemander** sur la page de l'appareil pour afficher à nouveau l'invite. Les applications installées comme **Obligatoires** ne peuvent pas être supprimées par l'utilisateur. - **Applications installées avant l’inscription** : Apple ne permet pas à l’organisation de reprendre une application que l’utilisateur a installée personnellement sur un appareil inscrit avec l’inscription utilisateur. Demandez à l’utilisateur de supprimer sa propre copie avant l’inscription, ou supprimez-la puis utilisez **Redemander** sur la page de l’appareil : l’organisation installe alors la copie gérée. - **Quitter la gestion** : lorsque l’appareil est désinscrit, iOS supprime les applications gérées et leurs données. Une licence est libérée lorsqu’aucun autre appareil inscrit du même compte Apple géré n’en a besoin, par exemple lorsque l’application quitte la stratégie ou que le dernier appareil est désinscrit ; les licences dont plus personne n’a besoin sont libérées par la vérification quotidienne dans la journée.Lorsqu’Apple ne peut pas attribuer de licence, par exemple parce qu’une application payante n’a plus de licence disponible, l’application affiche **Échec de la licence utilisateur** avec le message d’Apple. Ajoutez des licences dans Apple Business, puis utilisez **Redemander** sur la page de l’appareil ; Cerberus réessaie également de lui-même lors de la vérification quotidienne. La ligne au-dessus de la liste des applications indique le compte Apple géré et l’état de son utilisateur Apps and Books ; le même état figure sur la page de l’utilisateur.
Les licences utilisateur ne sont utilisées que sur les iPhone et iPad : sur les Mac inscrits avec l'inscription utilisateur, les apps App Store de la stratégie ne sont pas installées. Les livres et les comptes Apple personnels ne sont pas pris en charge.
# Aperçu des stratégies La section **Stratégies** du tableau de bord (*Tableau de bord* → *Stratégies*) répertorie toutes les stratégies de votre compte et vous permet de les créer, copier, modifier et supprimer. ## Liste des stratégies Les stratégies sont affichées dans un tableau. Cliquer sur une ligne ouvre l'éditeur de stratégie correspondant. ### Colonnes - **Nom** : nom de la stratégie. - **Plateforme** : la plateforme de la stratégie (Android ou Apple). Affiché uniquement lorsque Android Management et Apple Management sont tous deux configurés. - **Appareils** : nombre d'appareils inscrits actuellement attribués à la stratégie. Les appareils désinscrits ne sont pas comptés. - **Description** : description de la stratégie. Une description longue est coupée après deux lignes ; pointez-la pour lire le texte complet. - **Dernière modification** : date à laquelle un administrateur a créé, enregistré ou copié la stratégie pour la dernière fois. Vide pour les stratégies non enregistrées depuis l'introduction de cette colonne. - **Id** : identifiant interne de la stratégie. Par défaut, les stratégies les plus récemment modifiées sont affichées en premier ; les stratégies jamais enregistrées depuis l'introduction de la colonne **Dernière modification** suivent, par nom. Cliquez sur l'en-tête d'une colonne pour trier selon cette colonne. ### Filtres et recherche - Si Android Management et Apple Management sont tous deux configurés, vous pouvez filtrer la liste par **Tous**, **Android** ou **Apple**. - Vous pouvez activer **Rechercher** et effectuer une recherche par nom ou description de stratégie. ### Actualisation et pagination - Utilisez l'action d'actualisation pour recharger la liste. - Le tableau est paginé (10/25/50 éléments par page). ## Créer une stratégie En bas de la page Stratégies, vous pouvez créer une stratégie. Selon la plateforme configurée dans votre compte, vous pouvez voir l'une de ces actions, ou les deux : - **Créer une stratégie Android** - **Créer une stratégie Apple**Si votre licence est expirée, la création de stratégies (et les autres actions d'écriture) est désactivée.
## Copier et supprimer des stratégies Chaque ligne de stratégie dispose d'un menu d'actions qui inclut **Copier la stratégie** et **Supprimer la stratégie**. ### Avertissements de suppression de stratégie Lors de la suppression d'une stratégie, le tableau de bord peut afficher des avertissements supplémentaires selon l'utilisation de la stratégie. - Si la stratégie est affectée à des appareils inscrits, sa suppression désinscrira les appareils associés et effacera leurs applications et leurs données. - Si la stratégie est affectée à des jetons d'inscription, ces jetons risquent de ne plus pouvoir terminer l'inscription. - Si la stratégie est définie par défaut pour l'inscription à Google Authentication (globalement ou pour certains utilisateurs), sa suppression peut entraîner l'échec des inscriptions. ### Supprimer plusieurs stratégies La liste des stratégies prend en charge la sélection de plusieurs lignes pour la suppression groupée. En mode multisélection, vous pouvez sélectionner plusieurs stratégies et les supprimer en une seule action.La suppression groupée n'est activée que lorsque toutes les stratégies sélectionnées appartiennent à la même plateforme (toutes Android ou toutes Apple).
## Suivant : modifier les paramètres de stratégie La liste des stratégies est le point d'entrée. Pour configurer les paramètres de stratégie, consultez la documentation de l'éditeur approprié : [**Stratégies → Android**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/chapter/politiques-android "Android policies") et [**Stratégies → Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/chapter/politiques-apple "Apple policies").Les stratégies référencées par des jetons d'inscription sont appliquées automatiquement lors de l'inscription de l'appareil.
# Politiques - Android # Résumé Les stratégies Android sont les entités centrales du système : elles définissent les règles appliquées et imposées sur les appareils gérés. Vous pouvez parcourir vos stratégies et en créer de nouvelles depuis la section **Stratégies** du tableau de bord. Pour ouvrir une stratégie Android, cliquez sur la ligne de la stratégie dans le tableau : le système ouvre la page **Éditeur de stratégie**. Une stratégie peut être associée à un [jeton d'inscription](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/jetons-dinscription "Enrollment tokens"), afin qu'elle soit automatiquement appliquée aux appareils pendant le processus d'approvisionnement. Vous pouvez également modifier la stratégie attribuée à un appareil après l'approvisionnement.Chaque appareil ne peut être associé qu'à une seule stratégie à la fois.
De nombreuses options de stratégie ne s'appliquent qu'à certains types d'appareils (entièrement gérés, dédiés, profil professionnel) et versions d'Android. Les paramètres non pris en charge peuvent être ignorés par l'appareil ou signalés comme non conformes.
## Disposition de l'éditeur de stratégie L'éditeur de stratégie est organisé en un ensemble de sections extensibles. En haut de la page, vous pouvez toujours modifier : - **Nom** (obligatoire) - **Id** (en lecture seule) - **Description** (facultatif) Les sections ci-dessous correspondent aux panneaux de l'éditeur de stratégie (par exemple : Gestion des applications, Sécurité, Réseau, Système, Usage personnel, Stratégies inter-profils, etc.). Lorsque vous ouvrez une stratégie enregistrée, les sections dont les réglages ont été modifiés sont déjà ouvertes et les autres restent fermées. Utilisez les pages de chapitre de ce manuel pour comprendre chaque panneau en détail. ## Enregistrer, supprimer et appareils associés Utilisez **Enregistrer la stratégie** pour appliquer vos modifications. Le bouton est désactivé lorsqu'il n'y a aucune modification en attente ou lorsque la licence est expirée. Si vous avez ouvert une stratégie existante (elle possède un Id), la page affiche une action **Supprimer la stratégie** et une liste **Appareils associés** en bas, afin que vous puissiez voir combien d'appareils utilisent actuellement la stratégie. # Gestion des applications Dans cette section, vous pouvez définir des stratégies liées à la disponibilité, à l'installation, aux mises à jour et à la gestion des autorisations des applications.Les comptes Managed Google Play sont créés automatiquement lors du provisionnement des appareils.
#### 1. Mode Play Store Ce mode contrôle les applications disponibles pour l'utilisateur dans le Play Store ainsi que le comportement sur l'appareil lorsque des applications sont retirées de la stratégie. **Liste blanche (par défaut)** : seules les applications présentes dans la stratégie sont disponibles et toute application absente de la stratégie est automatiquement désinstallée de l'appareil. Le Play Store n'affiche que les applications disponibles. **Liste noire** : toutes les applications sont disponibles et toute application qui ne doit pas être sur l'appareil doit être explicitement marquée comme **bloquée** dans la stratégie d'applications. Le Play Store affiche toutes les applications, sauf celles qui sont bloquées. #### 2. Stratégie des applications non fiables La stratégie relative aux applications non fiables (applications issues de sources inconnues) appliquée sur l'appareil. Cette option contrôle le paramètre du système Android qui détermine si un utilisateur peut installer des applications en dehors du Play Store (installation latérale). **Interdire (par défaut)** : interdire l'installation d'applications non fiables sur l'ensemble de l'appareil. **Profil personnel uniquement** : pour les appareils avec profils professionnels, autorisez l'installation d'applications non fiables uniquement dans le profil personnel de l'appareil. **Autoriser** : autoriser l'installation d'applications non fiables sur l'ensemble de l'appareil. #### 3. Google Play Protect Indique si la vérification des applications par Google Play Protect est appliquée. **Appliquée (par défaut)** : active de force la vérification des applications. **Choix de l'utilisateur** : permet à l'utilisateur de choisir d'activer ou non la vérification des applications. #### 4. Stratégie d'autorisations par défaut La stratégie d'octroi des demandes d'autorisations d'exécution aux applications. **Demander (par défaut)** : demander à l'utilisateur d'accorder une autorisation. **Accorder** : accorder automatiquement une autorisation. **Refuser** : refuser automatiquement une autorisation. #### 5. Fonctions des applications Contrôle si les applications sur les appareils entièrement gérés ou dans les profils professionnels sont autorisées à exposer des fonctions d'application. Nécessite Android 16 ou version ultérieure. **Autorisé (par défaut)** : les applications sur les appareils entièrement gérés ou dans les profils professionnels peuvent exposer des fonctions d'application. **Non autorisé** : les applications sur les appareils entièrement gérés ou dans les profils professionnels ne peuvent pas exposer des fonctions d'application. #### 6. Installation d'applications désactivée Indique si l'installation d'applications par l'utilisateur est désactivée. #### 7. Désinstallation d'applications désactivée Indique si la désinstallation d'applications par l'utilisateur est désactivée. #### 8. Stratégies d'autorisations Octrois ou refus explicites d'autorisations ou de groupes pour toutes les applications. Ces valeurs remplacent le paramètre **Stratégie d'autorisations par défaut**. Utilisez **Ajouter une stratégie d'autorisations** pour créer des entrées et supprimez-les avec l'action de suppression. Chaque entrée comprend : **Autorisation/groupe Android** : l'autorisation ou le groupe Android (requis), par exemple **android.permission.READ\_CALENDAR** ou **android.permission\_group.CALENDAR**. **Stratégie** : Accorder / Refuser / Demander (utilise les mêmes options de stratégie que **Stratégie d'autorisations par défaut**). #### 9. Applications Liste des applications qui doivent être incluses dans la stratégie. Le comportement du contenu de la liste dépend de la valeur définie pour **Mode Play Store**. Si **Mode Play Store** est défini sur **liste blanche**, seules les applications présentes dans la stratégie sont disponibles et toute application absente de la stratégie est automatiquement désinstallée de l'appareil. Si **Mode Play Store** est défini sur **liste noire**, toutes les applications sont disponibles et toute application qui ne doit pas être sur l'appareil doit être explicitement marquée comme **bloquée** dans la stratégie d'applications. Pour ajouter une application, cliquez sur le bouton **Ajouter des applications** (ou sur l'icône **Ajouter des applications**), sélectionnez **Depuis Managed Google Play**, puis choisissez l'application dans le Play Store et cliquez sur le bouton **Sélectionner** de la carte de l'application. Pour ajouter une application qui n'est pas publiée sur Google Play mais qui est déjà présente sur l'appareil (par exemple, une application système ou d'un fabricant), cliquez sur **Ajouter des applications**, sélectionnez **Par nom de package (applications préinstallées)**, saisissez le nom de package de l'application (par ex. **com.example.app**) et cliquez sur **Ajouter**.L'application est ajoutée avec le type d'installation **Installation forcée**. Pour afficher l'application dans le lanceur personnalisé du kiosque, son **Type d'installation** doit être **Préinstallée** ou **Installation forcée** : avec **Disponible**, l'application n'est pas affichée.Les applications qui ne sont pas disponibles sur Managed Google Play sont signalées par une icône Android dans la liste des applications. Elles ne peuvent pas être installées depuis Google Play ; elles doivent donc déjà être présentes sur l'appareil : les appareils qui ne disposent pas de l'application ne peuvent pas l'installer.
Toutes les applications publiées sur le Play Store dans votre pays sont disponibles à la sélection par défaut. Pour sélectionner vos propres applications privées ou web, vous devez d'abord les importer dans le système. Pour plus d'informations, consultez la page [**Applications privées**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/applications-privees "Private apps").
Chaque application peut être configurée avec ses propres paramètres, regroupés visuellement dans une carte : ##### 9.1. Type d'installation Le type d'installation à effectuer pour une application. **Disponible** : l'application peut être installée. **Préinstallée** : l'application est installée automatiquement et peut être supprimée par l'utilisateur. **Installation forcée** : l'application est installée automatiquement et ne peut pas être supprimée par l'utilisateur. **Bloquée** : l'application est bloquée et ne peut pas être installée. Si l'application a été installée sous une stratégie précédente, elle sera désinstallée. **Requise pour la configuration** : l'application est installée automatiquement, ne peut pas être supprimée par l'utilisateur et empêche la configuration de se terminer tant que l'installation n'est pas achevée. **Kiosque** : l'application est installée automatiquement en mode kiosque : elle est définie comme intention d'accueil préférée et ajoutée à la liste blanche pour le mode de verrouillage des tâches. La configuration de l'appareil ne se terminera pas tant que l'application n'est pas installée. Après l'installation, les utilisateurs ne pourront pas supprimer l'application. Vous ne pouvez définir ce **type d'installation** que pour une seule application par stratégie. Lorsque cette option est présente dans la stratégie, la barre d'état est automatiquement désactivée. Pour plus d'informations, consultez la page dédiée [**Mode kiosque**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/mode-kiosque "Kiosk mode"). ##### 9.2. Contraintes d'installation Définit un ensemble de restrictions pour l'installation de l'application. Lorsque plusieurs contraintes sont sélectionnées, elles doivent toutes être satisfaites pour que l'application soit installée.Cette option n'est affichée que lorsque le **Type d'installation** est **Préinstallée** ou **Installation forcée**.
**Réseau non mesuré** : installez l'application uniquement lorsque l'appareil est connecté à un réseau non mesuré (par ex. Wi‑Fi). **En charge** : installez l'application uniquement lorsque l'appareil est en charge. **Inactif** : installez l'application uniquement lorsque l'appareil est inactif. ##### 9.3. Mode de mise à jour automatique Contrôle le mode de mise à jour automatique de l'application. **Par défaut** : l'application est mise à jour automatiquement avec une priorité faible afin de minimiser l'impact sur l'utilisateur. L'application est mise à jour lorsque toutes les contraintes suivantes sont remplies : (1) l'appareil n'est pas activement utilisé, (2) l'appareil est connecté à un réseau non mesuré, (3) l'appareil est en charge. L'appareil est informé d'une nouvelle mise à jour dans les 24 heures suivant sa publication par le développeur, puis l'application est mise à jour la prochaine fois que les contraintes ci-dessus sont remplies. **Reportée** : l'application n'est pas mise à jour automatiquement pendant un maximum de 90 jours après qu'elle est devenue obsolète. 90 jours après que l'application est devenue obsolète, la dernière version disponible est installée automatiquement avec une priorité faible (voir **Par défaut** dans le mode de mise à jour automatique). Une fois l'application mise à jour, elle n'est plus mise à jour automatiquement avant 90 jours après qu'elle est redevenue obsolète. L'utilisateur peut toujours mettre à jour l'application manuellement depuis le Play Store à tout moment. **Priorité élevée** : l'application est mise à jour dès que possible. Aucune contrainte n'est appliquée. L'appareil est informé immédiatement d'une nouvelle mise à jour dès qu'elle est disponible. ##### 9.4. Code de version minimal La version minimale de l'application qui s'exécute sur l'appareil. Si elle est définie, l'appareil tente de mettre à jour l'application vers au moins ce code de version. Si l'application n'est pas à jour, l'appareil contiendra un **Détail de non-conformité** avec **Motif de non-conformité** défini sur **APP\_NOT\_UPDATED**. L'application doit déjà être publiée sur Google Play avec un code de version supérieur ou égal à cette valeur. Au maximum 20 applications peuvent spécifier un code de version minimal par stratégie. ##### 9.5. Portées déléguées Les portées déléguées à l'application depuis Android Device Policy. Vous pouvez accorder à d'autres applications une sélection d'autorisations Android spéciales : **Installation de certificats** : accorde l'accès à l'installation et à la gestion des certificats. **Configurations gérées** : accorde l'accès à la gestion des configurations gérées. **Blocage de la désinstallation** : accorde l'accès au blocage de la désinstallation. **Autorisations** : accorde l'accès à la stratégie d'autorisations et à l'état d'octroi des autorisations. **Accès aux packages** : accorde l'accès à l'état d'accès aux packages. **Application système** : accorde l'accès à l'activation des applications système. ##### 9.6. Réseau préférentiel Le service de réseau préférentiel à utiliser pour cette application. S'il est défini, l'application utilisera la tranche de réseau d'entreprise spécifiée pour ses connexions lorsqu'elle est disponible. Cela doit correspondre à une tranche de réseau configurée dans la section **Configuration de découpage réseau 5G** du panneau **Cellulaire**. 9.7. Stratégie d'autorisations par défaut La stratégie par défaut pour toutes les autorisations demandées par l'application. Si elle est spécifiée, elle remplace la **Stratégie d'autorisations par défaut** au niveau de la stratégie qui s'applique à toutes les applications. Elle ne remplace pas les **Stratégies d'autorisations** qui s'appliquent à toutes les applications. **Demander (par défaut)** : demander à l'utilisateur d'accorder une autorisation. **Accorder** : accorder automatiquement une autorisation. **Refuser** : refuser automatiquement une autorisation. ##### 9.8. Application professionnelle et personnelle connectée Contrôle si l'application peut communiquer avec elle-même entre les profils professionnel et personnel d'un appareil, sous réserve du consentement de l'utilisateur (Android 11+). **Non autorisé (par défaut)** : empêche l'application de communiquer entre profils. **Autorisé** : permet à l'application de communiquer entre profils après avoir reçu le consentement de l'utilisateur. ##### 9.9. Exemption du verrouillage du VPN Always On Indique si l'application est autorisée à accéder au réseau lorsque le VPN n'est pas connecté et que le **verrouillage est activé**. Pris en charge uniquement sur les appareils exécutant Android 10 ou version ultérieure. **Appliquée (par défaut)** : l'application respecte le paramètre de verrouillage du VPN Always On. **Exemptée** : l'application est exemptée du paramètre de verrouillage du VPN Always On. ##### 9.10. Widgets du profil professionnel Indique si l'application installée dans le profil professionnel est autorisée à ajouter des widgets à l'écran d'accueil. **Autorisé** : l'application peut ajouter des widgets à l'écran d'accueil. **Non autorisé** : l'application ne peut pas ajouter de widgets à l'écran d'accueil. ##### 9.11. Paramètres de contrôle utilisateur Indique si le contrôle utilisateur est autorisé pour une application donnée. Le contrôle utilisateur inclut des actions comme l'arrêt forcé et l'effacement des données de l'application (Android 11+). Si **extensionConfig** est activé pour une application, le contrôle utilisateur est interdit quel que soit ce paramètre. Pour les applications de kiosque, vous pouvez utiliser **Autorisé** pour autoriser le contrôle utilisateur. **Non spécifié** : utilise le comportement par défaut de l'application pour déterminer si le contrôle utilisateur est autorisé ou interdit. **Autorisé** : le contrôle utilisateur est autorisé pour l'application. **Non autorisé** : le contrôle utilisateur est interdit pour l'application. ##### 9.12. Désactivée Indique si l'application est désactivée. Lorsqu'elle est désactivée, les données de l'application sont toujours conservées. ##### 9.13. Autoriser le fournisseur d'identifiants Indique si l'application est autorisée à agir comme fournisseur d'identifiants sur Android 14 ou version ultérieure. ##### 9.14. Configuration gérée Pour configurer les paramètres gérés de l'application, cliquez sur le bouton **Activer la configuration gérée**. Si une configuration gérée est déjà définie pour l'application, vous pouvez modifier la configuration avec le bouton **Configuration gérée**, ou la supprimer avec le bouton **Supprimer la configuration**.L'option **Configuration gérée** n'est disponible que pour les applications qui prennent en charge cette fonctionnalité.
##### 9.15. Stratégies d'autorisations Octrois ou refus explicites d'autorisations pour l'application. Ces valeurs remplacent la **Stratégie d'autorisations par défaut** et les **Stratégies d'autorisations** qui s'appliquent à toutes les applications. Utilisez **Ajouter une stratégie d'autorisations** pour ajouter une ou plusieurs règles d'autorisations à la carte de l'application et supprimez-les avec l'action de suppression. ##### 9.16. ID de piste Liste des ID de piste de test fermé de l'application auxquels un appareil peut accéder. Si plusieurs ID de piste sont sélectionnés, les appareils reçoivent la dernière version parmi toutes les pistes accessibles. Si aucun ID de piste n'est sélectionné, les appareils n'ont accès qu'à la piste de production de l'application.L'option **ID de piste** n'est disponible que pour les applications qui disposent d'au moins un ID de piste pour votre organisation. Pour plus de détails sur la façon d'ajouter votre organisation à une piste de test fermé pour une application spécifique, veuillez lire [ceci](https://developers.google.com/android/management/apps#distribute_apps_for_closed_testing).
#### 10. Paramètres d'application par défaut Définissez des applications par défaut pour les types pris en charge. Lorsqu'une application par défaut est définie pour au moins un type, les utilisateurs ne peuvent pas modifier les applications par défaut dans ce profil.Un seul paramètre d'application par défaut est autorisé par **Type d'application par défaut**. La liste des applications par défaut ne doit pas contenir de doublons.
##### 10.1. Type d'application par défaut Sélectionnez la catégorie d'application à configurer (par exemple Navigateur, Téléphone, SMS, Portefeuille ou Assistant). La disponibilité dépend de la version d'Android et du mode de gestion. ##### 10.2. Portées d'application par défaut Sélectionnez l'emplacement où l'application par défaut doit s'appliquer (Entièrement géré, Profil professionnel ou Profil personnel). Seules les portées prises en charge par le type sélectionné peuvent être choisies.Si aucune des portées sélectionnées ne s'applique au mode de gestion de l'appareil, l'appareil signale un détail de non-conformité.
##### 10.3. Applications par défaut Liste des applications pouvant être définies par défaut pour le type sélectionné. La première application installée et éligible est définie par défaut.Si les portées incluent **Entièrement géré** ou **Profil professionnel**, chaque application doit également figurer dans la liste **Applications** avec un **Type d'installation** différent de **Bloquée**.
#### 11. Sélection de clé privée Permet d'afficher sur un appareil une interface permettant à l'utilisateur de choisir un alias de clé privée s'il n'existe aucune règle correspondante dans **Choisir les règles de clé privée**.Pour les appareils antérieurs à Android P, activer cette option peut rendre les clés d'entreprise vulnérables.
#### 12. Choisir les règles de clé privée Contrôle l'accès des applications aux clés privées. La règle détermine quelle clé privée, le cas échéant, Android Device Policy accorde à l'application spécifiée. L'accès est accordé soit lorsque l'application appelle KeyChain.choosePrivateKeyAlias (ou toute surcharge) pour demander un alias de clé privée pour une URL donnée, soit, pour les règles qui ne sont pas spécifiques à une URL (c'est-à-dire si urlPattern n'est pas défini, ou est défini sur la chaîne vide ou .\*) sur Android 11 et versions ultérieures, directement afin que l'application puisse appeler KeyChain.getPrivateKey, sans devoir d'abord appeler KeyChain.choosePrivateKeyAlias. Lorsqu'une application appelle KeyChain.choosePrivateKeyAlias et que plusieurs choosePrivateKeyRules correspondent, la dernière règle correspondante définit l'alias de clé à renvoyer. Utilisez **Ajouter une règle de clé privée** pour créer des entrées et supprimez-les avec l'action de suppression. ##### 12.1. Alias de clé privée L'alias de la clé privée à utiliser. ##### 12.2. Modèle d'URL Le modèle d'URL à faire correspondre à l'URL de la requête. S'il n'est pas défini ou s'il est vide, il correspond à toutes les URL. Cela utilise la syntaxe des expressions régulières de java.util.regex.Pattern. ##### 12.3. Noms de packages Les noms de packages auxquels cette règle s'applique. Le hachage du certificat de signature de chaque application est vérifié par rapport au hachage fourni par Play. Si aucun nom de package n'est spécifié, l'alias est fourni à toutes les applications qui appellent KeyChain.choosePrivateKeyAlias ou toute surcharge (mais pas sans appeler KeyChain.choosePrivateKeyAlias, même sur Android 11 et versions ultérieures). Toute application ayant le même UID Android qu'un package spécifié ici y aura accès lorsqu'elle appelle KeyChain.choosePrivateKeyAlias. Utilisez **Ajouter un nom de package** pour ajouter des entrées et supprimez-les avec l'action de suppression.Pour supprimer une application, cliquez sur l'icône **corbeille**, en bas de la carte de l'application.
Les configurations Wi‑Fi peuvent être provisionnées et gérées par le système via **Configurations Wi‑Fi**. Selon la valeur définie pour **Configurer le Wi‑Fi**, les utilisateurs peuvent avoir un contrôle limité ou nul sur l'ajout et la modification des réseaux.
## État des radios de l'appareil #### 1. État du Wi‑Fi Contrôle l'état actuel du Wi‑Fi et si l'utilisateur peut modifier cet état. **Choix de l'utilisateur (par défaut)** : l'utilisateur est autorisé à activer ou désactiver le Wi‑Fi. **Activé** : le Wi‑Fi est activé et l'utilisateur n'est pas autorisé à le désactiver (Android 13+). **Désactivé** : le Wi‑Fi est désactivé et l'utilisateur n'est pas autorisé à l'activer (Android 13+). #### 2. Niveau de sécurité Wi‑Fi minimal Niveau de sécurité minimal requis des réseaux Wi‑Fi auxquels l'appareil peut se connecter. Pris en charge sous Android 13 et versions ultérieures, pour les appareils entièrement gérés et les profils professionnels sur les appareils appartenant à l'entreprise. **Réseau ouvert (par défaut)** : l'appareil peut se connecter à tous les types de réseaux Wi‑Fi. **Réseau personnel** : interdit les réseaux Wi‑Fi ouverts ; exige au moins une sécurité personnelle (par exemple WPA2‑PSK). **Réseau d'entreprise** : exige des réseaux EAP d'entreprise ; interdit les réseaux Wi‑Fi inférieurs à ce niveau de sécurité. **Réseau d'entreprise 192 bits** : exige des réseaux d'entreprise 192 bits ; option la plus stricte. #### 3. État de l'ultra large bande (UWB) Contrôle l'état du paramètre ultra large bande et si l'utilisateur peut l'activer ou le désactiver. **Choix de l'utilisateur (par défaut)** : l'utilisateur est autorisé à activer ou désactiver l'UWB. **Désactivé** : l'UWB est désactivé et l'utilisateur n'est pas autorisé à l'activer via les paramètres (Android 14+). ## Gestion de la connectivité de l'appareil #### 4. Partage Bluetooth Contrôle si le partage Bluetooth est autorisé. **Autorisé** : le partage Bluetooth est autorisé (par défaut sur les appareils entièrement gérés, Android 8+). **Interdit** : le partage Bluetooth est interdit (par défaut sur les profils professionnels, Android 8+). #### 5. Configurer le Wi‑Fi Contrôle les privilèges de configuration du Wi‑Fi. Selon l'option sélectionnée, l'utilisateur dispose d'un contrôle total, limité ou nul sur la configuration des réseaux Wi‑Fi. **Autoriser la configuration du Wi‑Fi (par défaut)** : l'utilisateur est autorisé à configurer le Wi‑Fi. **Interdire l'ajout de configurations Wi‑Fi** : l'ajout de nouvelles configurations Wi‑Fi est interdit. L'utilisateur peut basculer entre les réseaux déjà configurés (Android 13+ ; appareils entièrement gérés et profils professionnels sur appareils d'entreprise). **Interdire la configuration du Wi‑Fi** : interdit la configuration des réseaux Wi‑Fi. Pour les appareils entièrement gérés, cela supprime les réseaux configurés par l'utilisateur et conserve uniquement les réseaux configurés via **Configurations Wi‑Fi**. Pour les profils professionnels sur appareils d'entreprise, les réseaux existants ne sont pas affectés, mais les utilisateurs ne peuvent pas ajouter, supprimer ou modifier de réseaux Wi‑Fi.Lorsque la configuration du Wi‑Fi est désactivée et que l'appareil ne peut pas se connecter au démarrage, le système peut afficher le **moyen de secours réseau** pour permettre à l'utilisateur de se connecter temporairement et d'actualiser la stratégie.
#### 6. Paramètres du Wi‑Fi Direct Contrôle la configuration et l'utilisation des paramètres Wi‑Fi Direct. Pris en charge sur les appareils appartenant à l'entreprise sous Android 13 et versions ultérieures. **Autoriser (par défaut)** : l'utilisateur est autorisé à utiliser le Wi‑Fi Direct. **Interdire** : l'utilisateur n'est pas autorisé à utiliser le Wi‑Fi Direct. #### 7. Paramètres de partage de connexion Contrôle les paramètres de partage de connexion. Selon la valeur définie, l'utilisateur se voit partiellement ou totalement interdire l'utilisation des différentes formes de partage de connexion. **Autoriser tous les partages de connexion (par défaut)** : autorise la configuration et l'utilisation de toutes les formes de partage de connexion. **Interdire le partage de connexion Wi‑Fi** : interdit à l'utilisateur d'utiliser le partage de connexion Wi‑Fi (appareils d'entreprise Android 13+). **Interdire tous les partages de connexion** : interdit toutes les formes de partage de connexion (appareils entièrement gérés + profils professionnels sur appareils d'entreprise). #### 8. Stratégie de SSID Wi‑Fi Restrictions sur les SSID Wi‑Fi auxquels l'appareil peut se connecter (cela n'affecte pas les réseaux qui peuvent être configurés sur l'appareil). Pris en charge sur les appareils appartenant à l'entreprise sous Android 13 et versions ultérieures. **Liste de refus des SSID (par défaut)** : l'appareil ne peut se connecter à aucun réseau Wi‑Fi dont le SSID figure dans la liste, mais peut se connecter à d'autres réseaux. **Liste d'autorisation des SSID** : l'appareil peut se connecter uniquement aux SSID répertoriés. La liste des SSID ne doit pas être vide. Utilisez **Ajouter un SSID** pour ajouter des entrées. Selon le type de stratégie sélectionné, la liste est interprétée comme des SSID autorisés ou refusés. Dans l'interface de l'éditeur de stratégie, la liste des SSID est intitulée **SSID Wi‑Fi autorisés** pour les listes d'autorisation et **SSID Wi‑Fi refusés** pour les listes de refus. #### 9. Paramètres d'itinérance Wi‑Fi Configurez le mode d'itinérance Wi‑Fi par SSID. Utilisez **Ajouter un paramètre d'itinérance Wi‑Fi** pour créer des entrées. Chaque entrée comprend : **SSID** : le SSID auquel le paramètre d'itinérance s'applique (obligatoire). **Mode d'itinérance Wi‑Fi** : Par défaut / Désactivé / Agressif. Les modes Désactivé et Agressif nécessitent Android 15+ et ne sont pris en charge que sur les appareils entièrement gérés et les profils professionnels sur les appareils appartenant à l'entreprise. ## Restrictions réseau #### 10. Bluetooth désactivé Indique si le Bluetooth est désactivé. Préférez ce paramètre à Configuration Bluetooth désactivée, car celle-ci peut être contournée par l'utilisateur. #### 11. Partage de contacts Bluetooth désactivé Indique si le partage de contacts Bluetooth est désactivé. #### 12. Configuration Bluetooth désactivée Indique si la configuration du Bluetooth est désactivée. #### 13. Réinitialisation réseau désactivée Indique si la réinitialisation des paramètres réseau est désactivée. #### 14. Émission sortante via Beam désactivée Indique si l'utilisation du NFC pour envoyer des données depuis des applications est désactivée. ## VPN #### 15. Application VPN Always On Spécifiez un nom de package VPN Always On pour garantir que les données des applications gérées spécifiées passent toujours par un VPN configuré.Remarque : cette fonctionnalité nécessite le déploiement d'un client VPN compatible avec les fonctions Always On et VPN par application.
#### 16. Verrouillage VPN Interdit la mise en réseau lorsque le VPN n'est pas connecté. #### 17. Configuration VPN désactivée Indique si la configuration du VPN est désactivée. ## Proxy et services réseau #### 18. Service réseau préférentiel Contrôle si le service réseau préférentiel est activé sur le profil professionnel. Par exemple, une organisation peut avoir un accord avec un opérateur pour que les données professionnelles soient envoyées via un service réseau de l'opérateur dédié à l'usage professionnel (par exemple, une tranche d'entreprise sur les réseaux 5G). Cela n'a aucun effet sur les appareils entièrement gérés. **Désactivé** : le service réseau préférentiel est désactivé sur le profil professionnel. **Activé** : le service réseau préférentiel est activé sur le profil professionnel.Si vous utilisez le découpage réseau d'entreprise, configurez également **Configuration du découpage réseau 5G** dans le panneau de stratégie **Cellulaire** et affectez les applications à une tranche via leur paramètre **Réseau préférentiel**.
#### 19. Proxy global recommandé Proxy HTTP global indépendant du réseau. En général, les proxys doivent être configurés par réseau dans les configurations Wi‑Fi. Un proxy global peut être utile pour des configurations particulières, comme un filtrage interne général. Le proxy global n'est qu'une recommandation et certaines applications peuvent l'ignorer. **Désactivé** **Proxy direct** **Configuration automatique du proxy (PAC)** ##### 19.1. Hôte L'hôte du proxy direct. ##### 19.2. Port Le port du proxy direct. ##### 19.3. URI PAC L'URI du script PAC utilisé pour configurer le proxy. ##### 19.4. Hôtes exclus Pour un proxy direct, les hôtes pour lesquels le proxy est contourné. Les noms d'hôte peuvent contenir des caractères génériques tels que **\*.example.com**. Utilisez **Ajouter un hôte exclu** pour ajouter des entrées (disponible uniquement pour le proxy direct). ## Configurations Wi‑Fi Définissez les configurations de réseau Wi‑Fi que le système appliquera sur les appareils. Utilisez **Ajouter une configuration Wi‑Fi** pour créer une entrée et supprimez-la avec l'action de suppression. #### 20. Champs de configuration Wi‑Fi Chaque configuration comprend : **Nom de la configuration** : Obligatoire. **SSID** : Obligatoire. **Connexion automatique** : Indique si le réseau doit être connecté automatiquement lorsqu'il est à portée. **Transition rapide** : Indique si le client doit tenter d'utiliser la transition rapide (IEEE 802.11r-2008) avec le réseau. **SSID masqué** : Indique si le SSID sera diffusé. **Mode de randomisation MAC** : Matériel ou Automatique (Android 13+). ##### 20.1. Sécurité Options de sécurité Wi‑Fi : **WEP‑PSK** : WEP (clé prépartagée). **WPA‑PSK** : WPA/WPA2/WPA3-Personal (clé prépartagée). **WPA‑EAP** : WPA/WPA2/WPA3-Enterprise (protocole d'authentification extensible). **Mode 192 bits WPA3** : réseau WPA‑EAP autorisant uniquement le mode 192 bits WPA3. ##### 20.2. Phrase secrète (clé prépartagée) Affiché lorsque la sécurité est **WEP‑PSK** ou **WPA‑PSK**. La phrase secrète est obligatoire. ##### 20.3. Méthode EAP (Enterprise) Affiché lorsque la sécurité est **WPA‑EAP** ou **Mode 192 bits WPA3**. Sélectionnez une méthode EAP externe : **EAP‑TLS** **EAP‑TTLS** **PEAP** **EAP‑SIM** **EAP‑AKA** ##### 20.4. Authentification de phase 2 Affiché pour les méthodes externes utilisant un tunnel (**EAP‑TTLS** et **PEAP**). **MSCHAPv2** **PAP** ##### 20.5. Identifiants EAP fournis par les utilisateurs Lorsque cette option est activée, le système applique automatiquement les identifiants EAP sur les appareils pour chaque utilisateur. Vous pouvez configurer les identifiants des utilisateurs dans la section **Utilisateurs**. ##### 20.6. Certificat client Pour **EAP‑TLS**, vous pouvez attribuer un certificat client utilisé pour l'authentification Wi‑Fi. Pour plus d'informations, consultez la page [**Gestion des certificats**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-certificats "Certificate management"). Si un certificat est déjà attribué, vous pouvez utiliser **Ouvrir le certificat** pour le consulter ou **Changer de certificat** pour en sélectionner un autre. Vous pouvez également spécifier **Alias de paire de clés du certificat client**, qui référence un certificat client stocké dans le trousseau Android et autorisé pour l'authentification Wi‑Fi.Si **Certificat client** et **Alias de paire de clés du certificat client** sont tous deux définis, l'alias de paire de clés est ignoré.
##### 20.7. Identité Identité de l'utilisateur. Pour les protocoles externes avec tunnel (PEAP, EAP‑TTLS), elle est utilisée pour s'authentifier à l'intérieur du tunnel, et l'**Identité anonyme** est utilisée pour l'identité EAP à l'extérieur du tunnel. Pour les protocoles externes sans tunnel, elle est utilisée pour l'identité EAP. ##### 20.8. Identité anonyme Pour les protocoles avec tunnel uniquement, indique l'identité de l'utilisateur présentée au protocole externe. ##### 20.9. Mot de passe Mot de passe de l'utilisateur. S'il n'est pas spécifié, l'utilisateur sera invité à le saisir par défaut. ##### 20.10. Certificats CA du serveur Liste des certificats CA à utiliser pour vérifier la chaîne de certificats de l'hôte. Au moins un certificat CA doit correspondre. Pour plus d'informations, consultez la page [**Gestion des certificats**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-certificats "Certificate management"). Utilisez **Ajouter un certificat CA de serveur** pour ajouter des entrées et supprimez-les avec l'action de suppression. ##### 20.11. Correspondances de suffixe de domaine Liste de contraintes pour le nom de domaine du serveur. Les entrées sont utilisées comme exigences de correspondance de suffixe par rapport aux noms DNS du nom de sujet alternatif d'un certificat de serveur d'authentification. # Système Dans cette section, vous pouvez configurer les stratégies liées au système. #### 1. Niveau d'API minimal Niveau d'API Android minimal autorisé. #### 2. Stratégie de chiffrement Indique si le chiffrement est activé. **Par défaut** : cette valeur est ignorée, c'est-à-dire qu'aucun chiffrement n'est requis. **Activé sans mot de passe** : chiffrement requis, mais aucun mot de passe requis au démarrage. **Activé avec mot de passe** : chiffrement requis avec mot de passe requis au démarrage. #### 3. Date et heure automatiques Indique si la date, l'heure et le fuseau horaire automatiques sont activés sur un appareil appartenant à l'entreprise. **Choix de l'utilisateur (par défaut)** : la date, l'heure et le fuseau horaire automatiques sont laissés au choix de l'utilisateur. **Imposé** : impose la date, l'heure et le fuseau horaire automatiques sur l'appareil. #### 4. Paramètres de développeur Contrôle l'accès aux paramètres de développeur : options de développeur et démarrage sécurisé. **Désactivé (par défaut)** : désactive tous les paramètres de développeur et empêche l'utilisateur d'y accéder. **Autorisé** : autorise tous les paramètres de développeur. L'utilisateur peut y accéder et, s'il le souhaite, les configurer. #### 5. Mode Common Criteria Contrôle le mode Common Criteria, à savoir les normes de sécurité définies dans les Common Criteria for Information Technology Security Evaluation (CC). L'activation du mode Common Criteria renforce certains composants de sécurité d'un appareil (par exemple : chiffrement AES-GCM des clés Bluetooth à long terme, validation supplémentaire de certains certificats réseau et contrôles d'intégrité de la stratégie cryptographique). Le mode Common Criteria n'est pris en charge que sur les appareils d'entreprise exécutant Android 11 ou une version ultérieure. Avertissement : le mode Common Criteria applique un modèle de sécurité strict qui n'est généralement requis que pour les organisations hautement sensibles. L'utilisation standard de l'appareil peut être affectée ; ne l'activez que si nécessaire. **Désactivé (par défaut)** : désactive le mode Common Criteria. **Activé** : active le mode Common Criteria. #### 6. Memory Tagging Extension (MTE) Contrôle Memory Tagging Extension (MTE) sur l'appareil. **Choix de l'utilisateur (par défaut)** : l'utilisateur peut choisir d'activer ou de désactiver MTE sur l'appareil (si l'appareil le prend en charge). **Imposé** : MTE est activé et l'utilisateur n'est pas autorisé à le modifier (Android 14+ ; pris en charge sur les appareils entièrement gérés et les profils professionnels des appareils d'entreprise). **Désactivé** : MTE est désactivé et l'utilisateur n'est pas autorisé à le modifier (Android 14+ ; pris en charge uniquement sur les appareils entièrement gérés). #### 7. Protection du contenu Contrôle si la protection du contenu (qui détecte les applications trompeuses) est activée. Cette fonctionnalité est prise en charge sur Android 15 et versions ultérieures. **Désactivé (par défaut)** : la protection du contenu est désactivée et l'utilisateur ne peut pas la modifier. **Imposé** : la protection du contenu est activée et l'utilisateur ne peut pas la modifier (Android 15+). **Choix de l'utilisateur** : la protection du contenu n'est pas contrôlée par la stratégie ; l'utilisateur peut choisir (Android 15+). #### 8. Contenu d'assistance Contrôle si le contenu d'assistance (AssistContent) peut être envoyé à une application privilégiée telle qu'une application d'assistance (par exemple, Circle to Search). Le contenu d'assistance inclut les captures d'écran et des informations sur une application, comme le nom du package. Cette fonctionnalité est prise en charge sur Android 15 et versions ultérieures. **Autorisé (par défaut)** : le contenu d'assistance peut être envoyé à une application privilégiée (Android 15+). **Non autorisé** : l'envoi du contenu d'assistance à une application privilégiée est bloqué (Android 15+). #### 9. Création de fenêtres désactivée Indique si la création de fenêtres autres que les fenêtres d'application est désactivée. Cette option empêche l'affichage des interfaces système suivantes : toasts et snackbars, activités téléphoniques (comme les appels entrants) et activités téléphoniques prioritaires (comme les appels en cours), alertes système, erreurs système et superpositions système. #### 10. Connexion réseau de secours Indique si la connexion réseau de secours est activée. Si aucune connexion réseau ne peut être établie au démarrage, la connexion de secours invite l'utilisateur à se connecter temporairement à un réseau afin d'actualiser la stratégie de l'appareil. Une fois la stratégie appliquée, le réseau temporaire est oublié et l'appareil poursuit son démarrage. Cela évite de rester dans l'impossibilité de se connecter à un réseau s'il n'existe aucun réseau adapté dans la dernière stratégie et que l'appareil démarre dans une application en mode tâche verrouillée, ou si l'utilisateur ne peut pas accéder autrement aux paramètres de l'appareil. #### 11. Activités par défaut Liste d'activités par défaut pour traiter les intents correspondant à un filtre d'intent particulier. Par exemple, cette fonctionnalité permet aux administrateurs informatiques de choisir l'application de navigation qui ouvre automatiquement les liens web, ou l'application de lancement utilisée lorsque l'utilisateur appuie sur le bouton d'accueil. Utilisez **Ajouter une activité par défaut** pour créer des entrées. Dans une entrée, utilisez **Ajouter une action** et **Ajouter une catégorie** pour construire le filtre d'intent. ##### 11.1. Activité de réception Activité qui doit être le gestionnaire d'intent par défaut. Il doit s'agir d'un nom de composant Android, par exemple com.android.enterprise.app/.MainActivity. La valeur peut également être le nom de package d'une application, auquel cas Android Device Policy choisit une activité appropriée dans l'application pour traiter l'intent. ##### 11.2. Action Actions d'intent à faire correspondre dans le filtre. Si des actions sont incluses dans le filtre, l'action d'un intent doit être l'une de ces valeurs pour correspondre. Si aucune action n'est incluse, l'action de l'intent est ignorée. ##### 11.3. Catégorie Catégories d'intent à faire correspondre dans le filtre. Un intent inclut les catégories dont il a besoin, et toutes doivent être incluses dans le filtre pour correspondre. Autrement dit, l'ajout d'une catégorie au filtre n'a aucun effet sur la correspondance, sauf si cette catégorie est spécifiée dans l'intent. #### 12. Méthodes de saisie autorisées Spécifie les méthodes de saisie autorisées. **Toutes autorisées** : aucune restriction appliquée. Toutes les méthodes de saisie sont autorisées. **Système uniquement** : seules les méthodes de saisie intégrées au système sont autorisées. **Système et fournies uniquement** : seules les méthodes de saisie fournies et celles intégrées au système sont autorisées. ##### 12.1. Méthodes de saisie autorisées Noms de package des méthodes de saisie autorisées. S'applique uniquement lorsque **Méthodes de saisie autorisées** est défini sur **Système et fournies uniquement**. Utilisez **Ajouter une méthode de saisie** pour ajouter des entrées et supprimez-les avec l'action de suppression. #### 13. Services d'accessibilité autorisés Spécifie les services d'accessibilité autorisés. **Tous autorisés** : tout service d'accessibilité peut être utilisé. **Système uniquement** : seuls les services d'accessibilité intégrés au système peuvent être utilisés. **Système et fournis uniquement** : seuls les services d'accessibilité fournis et ceux intégrés au système peuvent être utilisés. ##### 13.1. Services d'accessibilité autorisés Services d'accessibilité autorisés. S'applique uniquement lorsque **Services d'accessibilité autorisés** est défini sur **Système et fournis uniquement**. Utilisez **Ajouter un service d'accessibilité** pour ajouter des entrées et supprimez-les avec l'action de suppression. #### 14. Stratégie de mise à jour du système Configuration de la gestion des mises à jour du système. **Par défaut** : suivez le comportement de mise à jour par défaut de l'appareil, qui exige généralement que l'utilisateur accepte les mises à jour du système. **Automatique** : installez automatiquement dès qu'une mise à jour est disponible. **Fenêtre horaire** : installez automatiquement dans une fenêtre de maintenance quotidienne. Cela configure également les applications Play pour qu'elles soient mises à jour dans cette fenêtre. Cette option est vivement recommandée pour les appareils en mode kiosque, car c'est le seul moyen de mettre à jour via Play les applications épinglées en permanence au premier plan. **Reporter** : reportez l'installation automatique jusqu'à 30 jours maximum. ##### 14.1. Fenêtre de maintenance (Fenêtre horaire uniquement) Lorsque **Stratégie de mise à jour du système** est défini sur **Fenêtre horaire**, vous pouvez définir la fenêtre de maintenance quotidienne à l'aide des champs **de** et **à**. ##### 14.2. Périodes de gel des mises à jour système Période récurrente chaque année pendant laquelle les mises à jour système over-the-air (OTA) sont reportées afin de figer la version du système d'exploitation exécutée sur un appareil. Pour éviter de figer l'appareil indéfiniment, chaque période de gel doit être séparée d'au moins 60 jours. Chaque période de gel ne doit pas dépasser 90 jours. Utilisez **Ajouter une période de gel des mises à jour système** pour créer des entrées. #### 15. Fournisseurs d'identifiants par défaut Contrôle quelles applications sont autorisées à agir comme fournisseurs d'identifiants sur Android 14 et versions ultérieures. **Non autorisé (par défaut)** : les applications dont credentialProviderPolicy n'est pas spécifié ne sont pas autorisées à agir comme fournisseur d'identifiants. **Non autorisé sauf système** : les applications dont credentialProviderPolicy n'est pas spécifié ne sont pas autorisées à agir comme fournisseur d'identifiants, à l'exception des fournisseurs d'identifiants par défaut de l'OEM. # Localisation et géorepérage Ce panneau regroupe les paramètres de stratégie Android qui contrôlent la transmission de la localisation de l'appareil, l'application de la localisation et les définitions de géorepérage. Utilisez-le lorsque vous souhaitez que Cerberus Enterprise collecte la localisation des appareils ou détecte l'entrée ou la sortie des appareils dans les zones configurées. ## Transmission de la localisation ### Signaler la localisation Active la transmission de la géolocalisation de l'appareil. Les données de localisation collectées via ce paramètre sont utilisées par la [**carte de localisation du tableau de bord**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/carte-de-localisation-du-tableau-de-bord "Dashboard location map"), l'historique de localisation de la vue d'ensemble de l'appareil et le traitement du géorepérage.L'historique des positions et les événements de géorepérage sont conservés **90 jours** et les données plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte qu'il reste sur les cartes.
Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.
Sur les appareils Apple personnels (inscription utilisateur), la localisation et le géorepérage sont désactivés par défaut : ils ne sont disponibles que lorsque la stratégie Apple active l'option **Localisation et géorepérage sur les appareils personnels**, et uniquement si l'utilisateur autorise la localisation pour l'application Cerberus Enterprise.
### Mode de localisation Contrôle le paramètre de localisation de l'appareil sur les appareils appartenant à l'entreprise. - **Choix de l'utilisateur** : les services de localisation ne sont pas restreints par la stratégie. - **Imposé** : les services de localisation sont activés sur l'appareil. - **Désactivé** : les services de localisation sont désactivés sur l'appareil. ### Partage de localisation désactivé Désactive le partage de localisation pour les applications professionnelles. Sur les appareils avec propriétaire de profil, cela affecte le profil professionnel. Sur les appareils entièrement gérés, cela désactive la localisation pour l'ensemble de l'appareil et remplace le mode de localisation de l'appareil. ## Comportement automatique avec des géorepérages actifs Les géorepérages actifs nécessitent la transmission de la localisation pour fonctionner. Lorsqu'au moins un géorepérage est actif, Cerberus Enterprise maintient automatiquement la cohérence des paramètres de localisation associés. - **Signaler la localisation** est forcé à Activé tant que des géorepérages actifs existent. - Le **mode de localisation** est forcé sur **Imposé**. - **Partage de localisation désactivé** est forcé à Désactivé. Si vous tentez de désactiver **Signaler la localisation** alors qu'un ou plusieurs géorepérages sont actifs, Cerberus Enterprise affiche une boîte de dialogue de confirmation. Si vous continuez, tous les géorepérages actifs de la stratégie sont désactivés. ## Liste des géorepérages Une stratégie peut contenir jusqu'à **10 géorepérages**. Les noms des géorepérages doivent être uniques au sein de la stratégie. Utilisez **Ajouter un géorepérage** pour créer une nouvelle entrée. Chaque géorepérage contient ces champs principaux : - **Nom** : obligatoire et unique. - **Latitude** et **Longitude** : le centre de la zone. - **Rayon (m)** : obligatoire, de **200** à **10000** mètres. - **Description** : notes facultatives pour les administrateurs. - **Signaler l'entrée** et **Signaler la sortie** : choisissez les événements de transition à générer. - **Actif** : active ou désactive le géorepérage sans le supprimer.Au moins l'une des options **Signaler l'entrée** ou **Signaler la sortie** doit rester activée pour chaque géorepérage.
Le rayon minimal était auparavant de 100 mètres. Les géorepérages existants de moins de 200 mètres continuent de fonctionner et sont conservés tels quels lorsque vous enregistrez la stratégie, même si vous les déplacez ou les renommez. Si vous modifiez leur rayon, celui-ci doit être d'au moins 200 mètres.
## Outils de modification de la carte Chaque carte de géorepérage inclut un aperçu cartographique de la zone. Vous pouvez modifier la géométrie depuis la carte ou depuis les champs numériques. - Cliquez sur la carte pour déplacer le centre du géorepérage lorsque la modification de la zone est déverrouillée. - Utilisez le bouton **Position actuelle** pour centrer la carte sur la position actuelle de votre navigateur. - Utilisez le bouton **Recentrer la carte** pour restaurer la vue préférée de ce géorepérage. - Utilisez le bouton de verrouillage pour éviter toute modification accidentelle de la géométrie du géorepérage. ## Où apparaissent les données de géorepérage Les transitions de géorepérage peuvent être consultées dans la page Android [**Vue d'ensemble de l'appareil**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-de-lappareil "Device overview"), dans l'onglet **Géorepérage** du panneau de localisation. Cet onglet affiche les transitions sur une carte dédiée, ainsi que les outils de filtrage et la liste des transitions. # Gestion des utilisateurs ##### Ajout d'utilisateur désactivé Indique si l'ajout de nouveaux utilisateurs et profils est désactivé. Pour les appareils dont managementMode est **DEVICE\_OWNER**, ce champ est ignoré et l'utilisateur n'est jamais autorisé à ajouter ou supprimer des utilisateurs. ##### Modification des comptes désactivée Indique si l'ajout ou la suppression de comptes est désactivé. ##### Configuration des identifiants utilisateur désactivée Indique si la configuration des identifiants utilisateur est désactivée. ##### Suppression d'utilisateur désactivée Indique si la suppression d'autres utilisateurs est désactivée. ##### Définition de l'icône utilisateur désactivée Indique si la modification de l'icône utilisateur est désactivée. ##### Définition du fond d'écran désactivée Indique si la modification du fond d'écran est désactivée. ##### Authentification lors de la configuration du compte professionnel Contrôle la manière dont les utilisateurs s'authentifient lors de la configuration du compte professionnel. Cette option n'est disponible que pour les entreprises Android adossées à un domaine Google géré (Google Workspace). Lors de la configuration ou de l'inscription de l'appareil, cette stratégie influence l'obligation de connexion à un compte professionnel, mais le paramètre **Authenticate Using Google** de la Google Admin Console et le type de jeton d'inscription peuvent toujours exiger une authentification. Pour les appareils déjà inscrits, cette stratégie s'applique uniquement si l'appareil est géré par un compte Managed Google Play (c'est-à-dire inscrit sans **Authenticate Using Google Enrollment**). Pour plus de détails et pour le dépannage, consultez [**Authenticate Using Google enrollment**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/sauthentifier-avec-google-enrollment "Authenticate Using Google enrollment"). ##### Types de comptes bloqués Types de comptes qui ne peuvent pas être gérés par l'utilisateur. Cette option empêche les utilisateurs de l'appareil d'ajouter des comptes non approuvés. Utilisez **Ajouter un type de compte bloqué** pour ajouter un ou plusieurs types de comptes. Chaque entrée comporte un champ **Type de compte** (obligatoire). Saisissez une chaîne telle que **com.google**. Supprimez une entrée à l'aide de l'action de suppression. # Usage personnel Lors de [l'approvisionnement d'un appareil appartenant à l'entreprise pour un usage professionnel et personnel](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/appareils-dentreprise-pour-usage-professionnel-et-personnel "Company-owned devices for work and personal use"), vous pouvez spécifier certaines règles pour limiter la manière dont l'utilisateur peut utiliser l'appareil à des fins personnelles, en dehors du profil professionnel.Cette section ne s'applique qu'aux appareils appartenant à l'entreprise avec un profil professionnel. Elle n'a aucun effet sur les appareils entièrement gérés ou appartenant à des particuliers.
Ce paramètre dépend de l'option **Fonctions d'application** au niveau de la stratégie (dans la section Gestion des applications). Si Fonctions d'application est défini sur **Interdit**, l'API rejettera les Fonctions d'application inter-profils définies sur **Autorisé**.
##### Contacts professionnels dans le profil personnel Indique si les contacts stockés dans le profil professionnel peuvent apparaître dans les recherches de contacts et les appels entrants du profil personnel. **Autorisé (par défaut)** : autorise l'affichage des contacts du profil professionnel dans le profil personnel. **Interdit** : empêche les applications personnelles d'accéder aux contacts du profil professionnel et de rechercher des contacts professionnels. **Interdit sauf pour le système** : empêche la plupart des applications personnelles d'accéder aux contacts du profil professionnel, à l'exception des applications Téléphone, Messages et Contacts par défaut de l'OEM (Android 14+). Lorsque l'option Contacts professionnels dans le profil personnel est configurée, vous pouvez éventuellement définir une liste d'entrées **Nom de package exempté**. Selon le mode sélectionné, ces exemptions se comportent comme une liste d'autorisation ou une liste de blocage pour les applications personnelles. # Rapports d'état Dans cette section, vous pouvez configurer les données à récupérer depuis l'appareil. Les données d'état peuvent être consultées sur la page du tableau de bord [**État de l'appareil**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/chapter/etat-de-lappareil "Device status"). ##### Rapports d'application Indique si les rapports d'application sont activés. (Informations signalées sur une application installée.)Cette option est requise par le système (pour l'intégration avec l'application compagnon) et est toujours activée ; elle ne peut pas être désactivée.
##### Inclure les applications supprimées Indique si les applications supprimées sont incluses dans les rapports d'application. ##### Paramètres de l'appareil Indique si les rapports sur les paramètres de l'appareil sont activés. (Informations sur les paramètres de sécurité de l'appareil.) ##### Informations logicielles Indique si les rapports sur les informations logicielles sont activés. (Informations sur le logiciel de l'appareil.) ##### Informations sur la mémoire Indique si les rapports sur la mémoire sont activés. (Événement lié aux mesures de mémoire et de stockage.) ##### Informations réseau Indique si les rapports sur les informations réseau sont activés. (Informations réseau de l'appareil.) ##### Informations sur l'écran Indique si les rapports sur les écrans sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel. (Informations sur l'écran de l'appareil.) ##### Événements de gestion de l'alimentation Indique si les rapports sur les événements de gestion de l'alimentation sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel. ##### État du matériel Indique si les rapports sur l'état du matériel sont activés. Les données de rapport ne sont pas disponibles pour les appareils appartenant à des particuliers avec profil professionnel. ##### Propriétés système Indique si les rapports sur les propriétés système sont activés. ##### Mode Common Criteria Indique si les rapports sur le mode Common Criteria sont activés. # Divers #### 1. Jeu easter egg désactivé Indique si le jeu easter egg des Paramètres est désactivé. #### 2. Ignorer les conseils de première utilisation Indicateur permettant d'ignorer les conseils lors de la première utilisation. L'administrateur d'entreprise peut activer la recommandation système invitant les applications à ignorer leur tutoriel utilisateur et autres conseils d'introduction au premier démarrage. #### 3. Message d'assistance court Message affiché à l'utilisateur dans l'écran des paramètres partout où une fonctionnalité a été désactivée par l'administrateur. Si le message dépasse 200 caractères, il peut être tronqué. #### 4. Message d'assistance long Message affiché à l'utilisateur dans l'écran des paramètres des administrateurs de l'appareil. #### 5. Informations du propriétaire sur l'écran de verrouillage Informations du propriétaire de l'appareil à afficher sur l'écran de verrouillage. #### 6. Actions de configuration Actions à exécuter pendant le processus de configuration. Lors de l'inscription, vous pouvez exiger que l'utilisateur ouvre une ou plusieurs applications nécessaires à la configuration de l'appareil. Utilisez **Ajouter une action de configuration** pour créer des entrées et supprimez-les avec l'action de suppression. ##### 6.1. Lancer l'application Nom de package de l'application à lancer ##### 6.2. Titre Fournit un message destiné à l'utilisateur pour lui expliquer pourquoi l'application doit être lancée. ##### 6.3. Description Fournit un message destiné à l'utilisateur pour lui expliquer pourquoi l'application doit être lancée. #### 7. Visibilité du nom d'affichage de l'entreprise Contrôle si le nom d'affichage de l'entreprise est visible sur l'appareil (par exemple, sous forme de message sur l'écran de verrouillage des appareils appartenant à l'entreprise). **Visible (par défaut)** : le nom d'affichage de l'entreprise est visible sur l'appareil (pris en charge sur les profils professionnels sous Android 7+ et les appareils entièrement gérés sous Android 8+). **Masqué** : le nom d'affichage de l'entreprise est masqué sur l'appareil. # Règles de conformité Si un appareil ou un profil professionnel ne respecte pas l'un des paramètres de stratégie répertoriés ci-dessous, Android Device Policy bloque immédiatement l'utilisation de l'appareil ou du profil professionnel par défaut : - **Exigences relatives aux mots de passe** - **Stratégie de chiffrement** - **Keyguard désactivé** - **Méthodes de saisie autorisées** - **Services d'accessibilité autorisés** Si l'appareil ou le profil professionnel reste non conforme après 10 jours, Android Device Policy réinitialisera l'appareil aux paramètres d'usine ou supprimera le profil professionnel. Dans cette section, vous pouvez remplacer les règles d'application de conformité par défaut ou en ajouter de nouvelles. #### Règles Liste des règles qui définissent le comportement lorsqu'une stratégie particulière ne peut pas être appliquée à un appareil. Utilisez **Ajouter une règle** pour créer une nouvelle règle. Chaque carte de règle peut être supprimée à l'aide de l'action de suppression. ##### Nom du paramètre La stratégie de niveau supérieur à appliquer. Par exemple, **Applications** ou **Exigences relatives aux mots de passe**. **Obligatoire.** La valeur doit correspondre à un nom de stratégie de niveau supérieur pris en charge ; sinon, le champ est marqué comme non valide. ##### Bloquer après (jours) Nombre de jours pendant lesquels la stratégie est non conforme avant que l'appareil ou le profil professionnel ne soit bloqué. Pour bloquer l'accès immédiatement, définissez la valeur sur 0. **Bloquer après (jours)** doit être inférieur à **Effacer après (jours)**. Applicable uniquement aux appareils appartenant à l'entreprise. Plage autorisée : 0–300. ##### Portée du blocage Spécifie la portée de l'action de blocage. Applicable uniquement aux appareils appartenant à l'entreprise. Par défaut (nouvelle règle) : **Profil professionnel**. **Profil professionnel** : l'action de blocage s'applique uniquement aux applications du profil professionnel. Les applications du profil personnel ne sont pas affectées. **Appareil entier** : l'action de blocage s'applique à l'ensemble de l'appareil, y compris aux applications du profil personnel. ##### Effacer après (jours) Nombre de jours pendant lesquels la stratégie est non conforme avant que l'appareil ou le profil professionnel ne soit effacé. **Effacer après (jours)** doit être supérieur à **Bloquer après (jours)**. Applicable uniquement aux appareils appartenant à l'entreprise. **Obligatoire.** Par défaut (nouvelle règle) : **1**. Plage autorisée : 1–300. ##### Conserver la protection contre la réinitialisation d'usine Indique si les données de protection contre la réinitialisation d'usine sont conservées sur l'appareil. Ce paramètre ne s'applique pas aux profils professionnels. Par défaut (nouvelle règle) : activé. # Politiques - Apple # Stratégies Apple Les stratégies Apple définissent les paramètres de gestion que Cerberus Enterprise applique aux appareils Apple via MDM. Ces paramètres sont configurés depuis le tableau de bord dans l'éditeur de stratégie Apple. ## Avant de commencer La gestion des appareils Apple nécessite que Apple Management (APNs) soit configuré. Si nécessaire, consultez la page [Configuration d'Apple Management (APNs)](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)"). ## Ouvrir l'éditeur de stratégie Apple Dans le tableau de bord, ouvrez **Stratégies** et cliquez sur **Créer une stratégie Apple**. Pour modifier une stratégie Apple existante, cliquez sur sa ligne dans le tableau des stratégies. ## Disposition de l'éditeur L'éditeur de stratégie Apple est organisé en un ensemble de sections dépliables. En haut de la page, vous pouvez toujours modifier : - **Nom** (requis) - **Id** (en lecture seule) - **Description** (facultatif) ## Sections de la stratégie Les sections ci-dessous correspondent aux panneaux actuellement disponibles dans l'éditeur de stratégie Apple. Lorsque vous ouvrez une stratégie enregistrée, les sections dont les réglages ont été modifiés sont déjà ouvertes et les autres restent fermées : - **Gestion des applications** : configurez les restrictions liées aux applications, les applications gérées et les paramètres de l'application Cerberus Enterprise. - **Kiosque et écran d'accueil** : mode application unique, applications autorisées et bloquées, disposition de l'écran d'accueil, clips web, paramètres de notification et message de l'écran verrouillé. - **Sécurité** : contrôlez des fonctionnalités comme le déverrouillage automatique et le déverrouillage biométrique. - **Paramètres du code d'accès** : configurez les exigences de code d'accès et les règles associées. - **Multimédia** : autorisez ou interdisez l'appareil photo et les fonctionnalités associées. - **Cellulaire** : contrôlez les réglages liés au cellulaire (réglages de données cellulaires des applications, eSIM, changements de forfait) et l'APN cellulaire. - **Réseau** : réseaux Wi-Fi (y compris 802.1X d'entreprise), VPN, certificats, proxy global, DNS chiffré et filtre de contenu web, ainsi que les restrictions de connectivité telles qu'AirDrop et Bluetooth. - **Système et interface utilisateur** : limitez les fonctionnalités système telles que Handoff, le nom de l'appareil et l'économiseur d'écran. - **Mises à jour logicielles** : exigez une version du système avant une date limite et contrôlez le téléchargement et l'installation des mises à jour. - **macOS** : pare-feu, Gatekeeper, économiseur d'écran et verrouillage, stockage externe et réseau, partage d'écran, autorisations de confidentialité et éléments d'ouverture des Mac. - **Applications et services Apple** : limitez les applications et services Apple tels qu'iMessage, Game Center et Localiser. - **Siri et Apple Intelligence** : limitez Siri, la dictée et les fonctionnalités Apple Intelligence. - **iCloud** : autorisez ou interdisez des services iCloud spécifiques (sauvegarde, synchronisation du trousseau, relais privé, etc.). - **Localisation et géorepérage** : zones dans lesquelles les iPhone et iPad équipés de l'application Cerberus Enterprise signalent leur entrée ou leur sortie, pour les règles d'événements. - **Comptes** : limitez la modification des comptes et configurez les comptes Mail, Exchange, Google, calendrier, contacts et annuaire. - **Règles de conformité** : exigences (code d'accès, version minimale du système, supervision, FileVault) qui rendent les appareils non conformes, avec blocage facultatif.De nombreuses options de l'éditeur de stratégie Apple incluent une info-bulle qui documente les exigences et les versions du système prises en charge.
## Enregistrer, supprimer et appareils associés Utilisez **Enregistrer la stratégie** pour appliquer vos modifications. Le bouton est désactivé lorsqu'il n'y a aucune modification en attente ou lorsque la licence est expirée. Lors de la modification d'une stratégie existante, la page affiche également une action **Supprimer la stratégie**. L'éditeur peut afficher une liste **Appareils associés** en bas, afin que vous puissiez voir combien d'appareils utilisent actuellement la stratégie. ## Pages suivantes - Applications et profils : configurez les applications installées et les profils de configuration. - Kiosque et écran d'accueil : mode application unique, applications autorisées, disposition de l'écran d'accueil et clips web. - Code d'accès : configurez les exigences de code d'accès et les options de sécurité associées. - Restrictions : définissez les fonctionnalités autorisées et les limitations au niveau du système. - Réseau : réseaux Wi-Fi, VPN, certificats et restrictions de connectivité. - Mises à jour logicielles : mises à jour requises du système et paramètres des mises à jour logicielles. - macOS : pare-feu, Gatekeeper, verrouillage de l'écran, stockage, autorisations de confidentialité et éléments d'ouverture des Mac. - Localisation et géorepérage : zones dont les iPhone et iPad signalent l'entrée et la sortie, et ce dont ils ont besoin pour fonctionner. - Comptes : comptes mail, Exchange, Google, calendrier, contacts et annuaire. - Règles de conformité : exigences pour les appareils et blocage des appareils non conformes. # Apps et profils Cette section explique comment configurer les applications gérées et les charges utiles de compte pour les appareils Apple. ## Gestion des applications Le panneau **Gestion des applications** contient à la fois les restrictions générales liées aux applications et une liste d'applications gérées. ### Restrictions générales des applications - **Autoriser les App Clips** - **Autoriser l'installation d'applications** - **Autoriser la suppression d'applications** - **Autoriser le téléchargement automatique des applications** - **Autoriser le masquage des applications** - **Autoriser le verrouillage des applications** - **Autoriser les achats intégrés** - **Autoriser la modification du navigateur par défaut** - **Autoriser la confiance des applications d'entreprise** ### Applications gérées Utilisez **Ajouter une application** pour ajouter une application à la stratégie. Chaque application gérée est affichée sous forme de carte. Vous pouvez développer la carte pour modifier ses paramètres et supprimer l'application à l'aide de l'action de suppression. - **ID App Store** : l'identifiant App Store de l'application gérée. - **ID de bundle** : l'identifiant de bundle de l'application. - **Comportement d'installation** : contrôle si l'application doit rester installée ou si l'utilisateur peut l'installer ou la supprimer. - **Attribution** : le type de licence, choisi par Cerberus pour chaque appareil : une licence d'appareil sur les appareils d'entreprise, une licence utilisateur du Managed Apple Account sur les iPhone et iPad personnels (inscription utilisateur). Le champ ne peut pas être modifié. - **Licence VPP** : type de licence VPP utilisé pour l'installation via l'App Store. La liste de sélection des applications affiche les licences disponibles et totales de chaque application. Les applications gratuites affichent **Illimité** : Apple leur accorde des licences illimitées. Une application ne peut être ajoutée qu'une seule fois à une stratégie : une application ayant le même ID App Store ou ID de bundle qu'une application déjà présente dans la stratégie est refusée, tout comme une stratégie qui répertorie deux fois la même application lors de l'enregistrement. La liste de sélection des applications affiche les applications de votre bibliothèque Apple Business. Pour ajouter une application, ouvrez dans Apple Business **Apps & Services** → **Apps & Books** → **App Store**, recherchez l'application et cliquez sur **View**. Pour une application gratuite, cliquez sur **Add**, sélectionnez **All current and future** (ou l'unité organisationnelle de votre jeton Apps and Books) dans **Organizational Units**, cliquez sur **Add**, puis sur **Review** et confirmez. Pour une application payante, cliquez sur son prix, choisissez **Managed Licenses** comme **License Type** (les codes d'échange ne peuvent pas être utilisés par Cerberus Enterprise), sélectionnez l'**Organizational Unit** de votre jeton Apps and Books, saisissez le nombre de **Licenses** (jusqu'à 1 000 par commande), puis **Review** et achetez. Un moyen de paiement doit d'abord être configuré dans **Settings** → **Payments & Billing** → **Apps & Services** → **Payment Methods**. Les applications apparaissent ensuite dans la liste de sélection des applications. ### Applications sur les appareils personnels (inscription utilisateur) Les iPhone et iPad personnels inscrits avec l'inscription utilisateur n'ont pas de numéro de série ; ils reçoivent donc les applications App Store de la stratégie avec une **licence utilisateur** du Managed Apple Account connecté sur l'appareil. Cerberus enregistre le compte auprès d'Apps and Books et attribue les licences automatiquement, applications gratuites comprises. Les Managed Apple Accounts et le jeton Apps and Books doivent appartenir à la même organisation Apple Business. Une application payante utilise une licence par compte, partagée par tous les appareils personnels de ce compte. - **En attente d'une licence utilisateur** : l'application n'est envoyée à l'appareil qu'après confirmation de sa licence par Apple, généralement en quelques minutes. Le panneau **Applications** de l'appareil indique la raison. - **Échec de la licence utilisateur** : Apple n'a pas pu attribuer la licence, par exemple parce qu'une application payante n'a plus de licence disponible. Ajoutez des licences dans Apple Business, puis utilisez **Demander à nouveau** ; Cerberus réessaie également automatiquement chaque jour. - **Invite d'installation** : iOS demande l'accord de l'utilisateur avant d'installer chaque application. Si l'utilisateur annule, l'application affiche **En attente de l'approbation de l'installation par l'utilisateur** ; **Demander à nouveau** affiche à nouveau l'invite. - **Libération** : retirer l'application de la stratégie, ou désinscrire le dernier appareil personnel du compte, supprime l'application et libère sa licence, sauf si un autre appareil inscrit du même compte en a encore besoin. Pour plus de détails, consultez [**Inscription pilotée par le compte Apple**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/inscription-pilotee-par-le-compte-apple "Apple account-driven enrollment"). ### Configuration gérée Une configuration gérée fournit à une application ses paramètres (par exemple une adresse de serveur ou un nom de compte), de la manière documentée par le fournisseur de l'application. Ouvrez l'application dans la stratégie et cliquez sur **Ajouter une configuration gérée**. Elle est envoyée aux iPhone et iPad sous **iOS ou iPadOS 18.4 ou version ultérieure** et aux Mac sous **macOS 27 ou version ultérieure** ; elle n'est pas encore envoyée à Apple Vision Pro. L'application doit prendre en charge la configuration gérée : une application qui ne la lit pas l'ignore. Le panneau de l'application affiche le nombre de clés à côté du nom de l'application. - **Clés** : chaque ligne comporte une clé, un type et une valeur. Les types sont Texte, Entier, Nombre décimal, Booléen, Date, Liste de textes et Liste d'entiers. Les clés sont sensibles à la casse et doivent être uniques. **Ajouter une clé** ajoute une ligne ; **Supprimer la configuration** supprime toutes les clés. - **Variables** : les valeurs Texte et Liste de textes peuvent contenir $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$, remplacées par les valeurs de chaque appareil et de son utilisateur. Une variable sans valeur (par exemple $EMAIL$ sur un appareil sans utilisateur) reste vide, et les journaux système l'indiquent. Lorsque les informations d'un utilisateur changent, les appareils reçoivent les nouvelles valeurs ; pour les utilisateurs synchronisés depuis Google Directory, les valeurs sont mises à jour lors de la prochaine modification de la stratégie ou de l'appareil. - **Importer une configuration** : ouvrez ou collez le fichier que le fournisseur de l'application publie pour MDM, puis cliquez sur **Lire**. Un **specfile AppConfig** (specfile.xml) répertorie chaque clé prise en charge par l'application avec sa description, son type, sa valeur par défaut et ses valeurs autorisées : sélectionnez les clés à importer (celles ayant une valeur par défaut sont déjà sélectionnées) et renseignez les autres après l'import. Un avertissement apparaît lorsque le specfile concerne une autre application. Une **liste de propriétés** (une liste de propriétés complète ou seulement son <dict>) est importée telle quelle. Choisissez ensuite de remplacer les clés actuelles ou de les compléter. Les dictionnaires imbriqués, les valeurs de données et les listes contenant des types mixtes ou inconnus ne sont pas pris en charge et sont indiqués comme ignorés. Apple ne publie pas les clés de configuration des applications ; demandez donc le fichier au fournisseur lorsqu'il ne figure pas dans sa documentation. **Copier au format plist** copie la configuration telle que l'appareil la reçoit, avant le remplacement des variables. - **Limites** : jusqu'à 200 clés par application ; clés jusqu'à 255 caractères ; valeurs de texte jusqu'à 4 096 caractères ; listes jusqu'à 200 éléments de 1 024 caractères chacun ; dates entre 1970 et 9999 ; 64 Ko par application au total. - **Pas pour les mots de passe** : la configuration est envoyée uniquement à l'appareil pour lequel elle est conçue et les journaux n'affichent que les noms et types des clés, mais les administrateurs du tableau de bord peuvent lire les valeurs, et l'adresse depuis laquelle l'appareil la télécharge change selon les valeurs : une valeur facile à deviner (un booléen ou un petit nombre) pourrait donc en être déduite. Ne placez pas de mots de passe ni d'autres secrets dans une configuration gérée. - **État** : lorsque l'appareil signale que l'application n'a pas accepté sa configuration, le panneau Applications de l'appareil affiche **Configuration non acceptée** à côté de l'application. Cela ne rend pas l'appareil non conforme. Une configuration que l'appareil ne peut pas télécharger le rend en revanche non conforme. ### Options des applications Chaque application de la stratégie (App Store et applications personnalisées) dispose de ces options. **Valeur par défaut de l'appareil** laisse le choix à l'appareil. Les appareils qui ne prennent pas en charge une option ne la reçoivent pas ; l'application est tout de même installée. - **Mises à jour automatiques** : réglage App Store, Toujours ou Jamais. iOS, iPadOS, macOS et visionOS 26 ou version ultérieure. Pour les applications personnalisées, le réglage App Store se comporte comme Jamais. - **Téléchargements via le réseau cellulaire** : réglage App Store, Toujours ou Jamais, pour les installations et mises à jour automatiques. Uniquement sur les iPhone et iPad supervisés sous iOS ou iPadOS 26 ou version ultérieure. - **Sauvegarder les données de l'application** : indique si les données de l'application sont incluses dans les sauvegardes de l'appareil. Non disponible sur Mac. - **L'utilisateur peut masquer l'application** et **L'utilisateur peut verrouiller l'application** : iOS et iPadOS 18.1 ou version ultérieure, appliqué sur les appareils supervisés. Refuser le verrouillage empêche aussi le masquage. Les restrictions **Autoriser le masquage des applications** et **Autoriser le verrouillage des applications** s'appliquent à toutes les applications. - **Verrouiller l'appareil après les transactions Tap to Pay nécessitant le code PIN du client** : iPhone uniquement. - **Domaines associés** : les domaines auxquels l'application est associée (par exemple pour les liens universels ou le remplissage automatique des mots de passe), jusqu'à 50. Saisissez des noms d'hôte simples tels que www.example.com, sans applinks:, caractères génériques ni ?mode=. Non disponible sur Mac. - **Vérifier les domaines directement** : l'appareil vérifie directement le fichier d'association de site des domaines au lieu de passer par les serveurs d'Apple. Activez cette option uniquement pour les domaines internes qui ne sont pas accessibles depuis Internet. - **Suppression** : les applications installées comme **Obligatoires** ne peuvent pas être supprimées par l'utilisateur. ### Applications du Mac App Store La liste de sélection des applications affiche les plateformes de chaque application (iPhone/iPad, Mac, Apple TV, Vision) ; une application qui n'existe que pour Mac affiche son icône Mac. Une application qui n'existe que pour Mac s'applique aux Mac lorsque vous l'ajoutez. Une application App Store sans version Mac n'est pas envoyée aux Mac : la stratégie affiche « Cette application n'a pas de version Mac : elle n'est pas envoyée aux Mac » sous **S'applique à**. Les Mac reçoivent les applications App Store par leur ID App Store, de sorte que les applications ayant un ID de bundle différent sur Mac sont installées correctement. ### Application Cerberus Enterprise Cerberus installe son application **Cerberus Enterprise** sur chaque iPhone et iPad sous **iOS ou iPadOS 18.4 ou version ultérieure**, avec ou sans stratégie. L'application partage la position de l'appareil et reçoit les notifications et les demandes de suivi en direct. Elle est installée comme **Obligatoire**, avec une licence d'appareil issue d'Apps and Books (une licence utilisateur sur les appareils personnels), de sorte que l'utilisateur ne peut pas la supprimer. - **Configuration unique** : ajoutez l'application gratuite à votre bibliothèque une seule fois. Dans Apple Business, ouvrez **Apps & Services** → **Apps & Books** → **App Store**, recherchez « Cerberus Enterprise », cliquez sur **View**, puis sur **Add**, sélectionnez **All current and future** dans **Organizational Units**, cliquez sur **Add**, puis sur **Review** et confirmez. Si l'application affiche **Manage**, elle est déjà dans votre bibliothèque : ouvrez-la et vérifiez que ses unités organisationnelles sont **All current and future units**. D'ici là, le tableau de bord affiche une bannière et les appareils indiquent l'application comme non installée. Voir **Account settings**. - **Non disponible dans les stratégies** : l'application ne peut pas être ajoutée à une stratégie. Elle est désactivée dans la liste de sélection des applications et refusée en tant qu'application personnalisée (même ID de bundle). Une stratégie qui la répertorie déjà voit son entrée supprimée à l'ouverture : enregistrez la stratégie pour confirmer. - **Non installée sur** : les appareils sous iOS ou iPadOS antérieur à 18.4. L'iPad partagé est pris en charge pour l'installation, mais les fonctionnalités de l'application n'y sont pas vérifiées. - **Appareils personnels** : sur les iPhone et iPad inscrits avec l'Inscription utilisateur, l'application est également installée, avec une invite d'installation et une licence utilisateur du Managed Apple Account. Elle reçoit les messages de votre organisation et n'accède pas à la position, sauf si la stratégie active **Localisation et géorepérage sur les appareils personnels** et que l'utilisateur l'autorise. - **Maintenue installée** : si le jeton Apps and Books expire ou si l'application quitte votre bibliothèque, elle reste sur les appareils et la page de l'appareil indique que Apps and Books nécessite votre attention. Elle n'est supprimée que si l'application est toujours absente de votre bibliothèque 24 heures plus tard. ### Applications personnalisées Les applications personnalisées sont vos propres applications iPhone et iPad (fichiers .ipa), distribuées sans l'App Store. Dans Xcode, exportez l'application pour une distribution **Enterprise** (Apple Developer Enterprise Program : elle s'installe sur tous les appareils) ou **Ad Hoc** (elle s'installe uniquement sur les appareils enregistrés dans son profil de provisionnement). Les versions App Store ne peuvent pas être importées. Cliquez sur **Ajouter une application personnalisée** pour ouvrir les applications personnalisées de votre organisation. **Importer une application** ajoute un fichier .ipa (jusqu'à 2 Go). Sélectionnez une application et cliquez sur **Ajouter à la stratégie**. La liste affiche la version, le type de signature, le nombre d'appareils dans le profil des applications ad hoc et la date d'expiration du profil de provisionnement. - **Nouvelle version** : importez une application ayant le même ID de bundle. Elle remplace la version précédente et les appareils des stratégies qui l'utilisent mettent à jour l'application. - **Prérequis** : iPhone et iPad sous iOS 17.2 ou version ultérieure. Les appareils qui ne peuvent pas installer l'application ne la reçoivent pas : une application réservée à l'iPad sur un iPhone, un iOS plus ancien que celui requis par l'application, un appareil absent du profil d'une application ad hoc ou un profil de provisionnement expiré. - **Expiration** : lorsque le profil de provisionnement expire, l'application ne s'ouvre plus. Importez une version signée avec un nouveau profil avant la date d'expiration. - **ID de bundle réservé** : une application personnalisée ayant l'ID de bundle de l'application Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) ne peut pas être ajoutée à une stratégie, car Cerberus installe cette application automatiquement. - **Supprimer** : retirez d'abord l'application de ses stratégies ; les appareils la retirent ensuite. ### Paquets Mac Les applications personnalisées acceptent aussi les paquets d'installation Mac (fichiers .pkg). Le paquet doit être un paquet de distribution construit avec **productbuild** (un paquet de composants créé uniquement avec pkgbuild est refusé) et signé avec un certificat **Developer ID Installer**. Il est recommandé de le notariser et d'agrafer le ticket (**notarytool** et **stapler**). Les paquets non signés, les paquets modifiés après signature et les paquets signés avec d'autres certificats sont refusés. Téléversez le fichier .pkg avec **Téléverser l'app** et ajoutez-le à la stratégie : il apparaît sous **Paquets Mac**. Les iPhone et iPad l'ignorent. Les Mac avec **macOS 26 ou ultérieur** (supervisés, ce qui inclut les Mac inscrits manuellement, mais pas l'inscription utilisateur) reçoivent le paquet sous forme de **déclaration** : le Mac le télécharge, l'installe, réessaie et le met à jour de lui-même et signale son état. Les Mac plus anciens, et les paquets installés comme applications gérées, le reçoivent avec une **commande MDM**, sur toute version de macOS. Un Mac mis à niveau vers macOS 26 passe de lui-même à la déclaration ; il peut installer chaque paquet une fois de plus. Il peut en aller de même lorsqu'un Mac passe à une autre stratégie contenant le même paquet. - **Nouvelle version** : téléversez un paquet avec le même identifiant de paquet. Il remplace la version précédente, et les Mac des stratégies qui l'utilisent installent la nouvelle. - **Mac ignorés** : les Mac dont macOS est plus ancien que ce que le paquet permet, et les Mac Intel pour les paquets conçus uniquement pour Apple silicon. La page de l'appareil affiche le paquet comme Ignoré, avec la raison ; la version installée auparavant reste sur le Mac. - **Installer** : **Obligatoire** (par défaut) installe le paquet sur le Mac ; **Facultatif** rend le paquet disponible sur le Mac sans l'installer. macOS 26 n'affiche pas les paquets facultatifs à l'utilisateur dans Réglages Système ni dans l'App Store (testé sur macOS 26.3), donc une app ou un script sur le Mac doit les installer ; ne choisissez Facultatif que si vous en avez un. Cela s'applique aux Mac avec macOS 26 ou ultérieur ; les Mac plus anciens installent toujours le paquet. Le choix n'est pas disponible pour les paquets installés comme applications gérées. - **Supprimer les fichiers du paquet lorsqu'il quitte la stratégie (macOS 27 ou ultérieur)** : lorsque le paquet est retiré de la stratégie, les Mac avec macOS 27 ou ultérieur suppriment les fichiers qu'il a installés. Cette option est désactivée par défaut. Sur les Mac plus anciens, les fichiers restent. Non disponible pour les paquets installés comme applications gérées. - **Installer comme application gérée** : activez cette option pour qu'un paquet de la stratégie installe son app comme application gérée (macOS 11 ou ultérieur, pas avec l'inscription utilisateur). macOS signale alors l'échec de l'installation, et le MDM peut supprimer l'app. L'app doit être installée directement dans le dossier Applications, signée avec un certificat **Developer ID Application** et notarisée ; sur macOS 11 à 13, le paquet ne doit contenir que cette app (aucun autre fichier ni script). Les applications personnalisées indiquent quels paquets sont admissibles. Lorsque l'option ne peut pas être appliquée sur un Mac, le paquet y est installé comme d'habitude et la page de l'appareil en explique la raison. - **Options de suppression** d'une application gérée : **Supprimer l'app lorsque le paquet est retiré de la stratégie** (activé par défaut) et **Supprimer l'app lorsque le Mac quitte la gestion**. La suppression d'une app supprime aussi ses données. Si l'utilisateur avait déjà installé la même app, cette copie devient gérée et est également supprimée. - **Suppression** : la commande MDM ne peut pas désinstaller un paquet. Pour un paquet installé comme application gérée, le retirer de la stratégie supprime l'app (lorsque l'option est activée) ; ses autres fichiers et le reçu du paquet restent. Les paquets dont l'option **Supprimer les fichiers du paquet** est activée sont supprimés des Mac avec macOS 27 ou ultérieur. Autres paquets : les retirer de la stratégie ne fait qu'arrêter les nouvelles installations, les fichiers restent sur les Mac. Un Mac ignoré (par exemple après une nouvelle version nécessitant un macOS plus récent) conserve l'app tant que le paquet est dans la stratégie ; le retrait du paquet de la stratégie le supprime alors aussi. Supprimez les fichiers restants sur le Mac (par exemple avec le désinstalleur du paquet) et exécutez `sudo pkgutil --forgetLes options de compte et de restriction comprennent dans le tableau de bord des infobulles documentant les prérequis et les versions de système d'exploitation prises en charge.
# Mode kiosque et écran d'accueil La section **Mode kiosque et écran d'accueil** de l'éditeur de stratégie Apple verrouille les appareils sur une seule app, choisit les apps qui peuvent être ouvertes, organise l'écran d'accueil et ajoute des icônes de site web. Chaque paramètre est installé sur les appareils sous forme de profil de configuration.Apple applique la plupart de ces réglages uniquement aux iPhone et iPad supervisés (appareils inscrits avec l'inscription automatique des appareils ou préparés avec Apple Configurator). Les autres appareils ne les reçoivent pas. Les clips web fonctionnent aussi sur les iPhone et iPad non supervisés. Les Mac ne reçoivent aucun de ces réglages.
## Choix des apps Les apps sont identifiées par leur identifiant de bundle. Saisissez le nom d'une app pour la choisir parmi les apps Apple intégrées et les apps de la stratégie, ou saisissez un identifiant de bundle quelconque, par exemple `com.example.app`. ## Mode app unique L'appareil exécute uniquement l'app choisie : les utilisateurs ne peuvent pas revenir à l'écran d'accueil ni ouvrir d'autres apps. Installez d'abord l'app avec la stratégie. L'appareil quitte le mode app unique lorsque vous désactivez le paramètre ou retirez l'app. - **Options** : désactivez l'écran tactile, la rotation, les boutons de volume, le commutateur Sonnerie/Silencieux, le bouton latéral ou le verrouillage automatique, et activez des fonctions d'accessibilité telles que VoiceOver ou Zoom. - **Fonctions d'accessibilité que l'utilisateur peut activer** : fonctions que l'utilisateur peut activer en appuyant trois fois sur le bouton latéral. ## Apps autorisées et bloquées - **Applications bloquées** : les appareils masquent ces applications et ne les ouvrent pas. `com.apple.webapp` bloque tous les clips web. Réglages et, sur iPhone, Téléphone ne peuvent pas être bloqués. - **Autoriser uniquement certaines apps** : les appareils affichent uniquement ces apps. Laissez la liste vide pour autoriser toutes les apps. **Apps de la stratégie** ajoute les apps installées par la stratégie ; `com.apple.webapp` autorise tous les clips web. - **Apps pouvant démarrer le mode app unique** : apps qui peuvent verrouiller l'appareil sur elles-mêmes pendant qu'elles en ont besoin, par exemple pendant un examen.Avec **Autoriser uniquement certaines apps**, chaque application absente de la liste disparaît des appareils, y compris les applications de la stratégie. Réglages et, sur iPhone, Téléphone restent toujours.
## Disposition de l'écran d'accueil Organisez le Dock et les pages de l'écran d'accueil. Ajoutez des apps, des dossiers d'apps et les clips web de la stratégie, en choisissant l'emplacement avec **Ajouter à**, puis faites glisser les icônes pour les déplacer entre le Dock et les pages. Cliquez sur un dossier pour modifier son nom et ses apps. Les utilisateurs ne peuvent pas déplacer les icônes ni supprimer des applications de l'écran d'accueil. Les applications absentes de la disposition vont sur les pages suivant celles que vous avez définies. Un iPhone affiche quatre icônes dans le Dock. Les utilisateurs peuvent toujours supprimer les applications qui ne sont pas Obligatoires dans l'écran de stockage des Réglages. Pour l'empêcher, désactivez **Autoriser la suppression d'applications** dans Gestion des applications. ## Clips web Un clip web est une icône sur l'écran d'accueil qui ouvre un site web. Définissez le libellé et l'URL, et éventuellement une image (PNG ou JPEG, recadrée en carré). - **Les utilisateurs peuvent le supprimer** : désactivez cette option pour conserver l'icône sur les appareils. - **Plein écran** : le site web s'ouvre comme une app web, sans la barre d'adresse de Safari. **Rester en plein écran sur les autres sites web** ouvre également les liens vers d'autres sites web dans l'app web. - **Ouvrir avec cette app** : une app qui ouvre l'URL à la place de Safari. ## Paramètres de notification Choisissez comment les appareils affichent les notifications de certaines apps : si elles sont autorisées, où elles apparaissent (écran verrouillé, centre de notifications, CarPlay), les badges, les sons, les alertes critiques, le style de bannière, le regroupement et les aperçus. Les utilisateurs ne peuvent pas modifier ces paramètres. ## Message de l'écran verrouillé Un message affiché en bas de l'écran verrouillé, par exemple qui appeler si l'appareil est retrouvé, et une étiquette d'inventaire. Les deux peuvent contenir les variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$ : une variable sans valeur pour l'appareil reste vide. # Code d'accès La section **Réglages du code d'accès** contrôle les exigences de code d'accès de l'appareil et les règles de sécurité associées (par exemple, la longueur minimale et la complexité). Sur un Mac (macOS 13 ou version ultérieure, pas avec l'inscription utilisateur), les règles s'appliquent au mot de passe de connexion des utilisateurs. ## Options Dans l'éditeur de stratégie Apple, les options de code d'accès sont configurées à l'aide d'un mélange de commutateurs et de champs numériques. De nombreux champs comportent des infobulles qui indiquent les versions de système d'exploitation prises en charge et les exigences de supervision. ### Commutateurs de code d'accès - **Modifier à la prochaine authentification** : impose une réinitialisation du code d'accès la prochaine fois que l'utilisateur s'authentifie. - **Exiger un code d'accès alphanumérique** : exige au moins un caractère alphabétique et un chiffre. - **Exiger un code d'accès complexe** : exige un code d'accès « complexe » (sans motifs répétitifs ou séquentiels et avec au moins un caractère non alphanumérique). - **Exiger un code d'accès** : exige un code d'accès sans exigences supplémentaires de longueur ou de qualité. Remarque : la définition d'autres clés de code d'accès impose implicitement un code d'accès. ### Champs numériques - **Réinitialisation des tentatives échouées (minutes)** : nombre de minutes avant la réinitialisation du compteur de tentatives échouées (nécessite Nombre maximal de tentatives échouées). - **Nombre maximal de tentatives échouées** : tentatives échouées autorisées avant l'effacement d'un iPhone ou d'un iPad, ou le verrouillage d'un Mac (plage : 2–11). - **Délai de grâce maximal (minutes)** : durée pendant laquelle l'appareil peut rester déverrouillé sans demander le code d'accès (0 = aucun). - **Inactivité maximale (minutes)** : temps d'inactivité avant le verrouillage de l'appareil (plage : 0–15). - **Âge maximal du code d'accès (jours)** : âge maximal du code d'accès avant un changement forcé (plage : 0–730). - **Nombre minimal de caractères complexes** : nombre minimal de caractères « complexes » (plage : 0–4). - **Longueur minimale** : longueur minimale du code d'accès (plage : 0–16). - **Limite de réutilisation du code d'accès** : nombre de codes d'accès précédents conservés pour empêcher la réutilisation d'anciens codes (plage : 1–50). # Restrictions Les sections Restrictions contrôlent les fonctionnalités du système d'exploitation autorisées sur les appareils Apple gérés. Dans l'éditeur de stratégie Apple, ces options sont présentées sous forme de panneaux groupés avec plusieurs commutateurs. Les options des panneaux **Gestion des apps** et **Réseau** sont décrites dans les pages [Apps et profils](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/apps-et-profils "Apps & profiles") et [Réseau](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/reseau-kAz "Networking") des stratégies Apple.De nombreuses restrictions ne sont prises en charge que sur certaines versions du système d'exploitation et peuvent nécessiter des appareils supervisés. Utilisez les infobulles du tableau de bord pour connaître les exigences faisant foi.
Sur les appareils en inscription utilisateur (appareils personnels inscrits en se connectant avec un compte professionnel), les restrictions qu'Apple n'autorise pas dans ce cas ne sont pas envoyées. Si aucune des restrictions de la stratégie ne s'applique, ces appareils ne reçoivent aucun profil de restrictions. L'éditeur de stratégie indique combien de restrictions ne s'appliquent pas aux appareils en inscription utilisateur.
## Sécurité - **Autoriser le déverrouillage automatique** - **Autoriser l'empreinte digitale pour le déverrouillage** - **Autoriser la modification de l'empreinte digitale** - **Autoriser l'effacement du contenu et des réglages** - **Autoriser l'activation des restrictions** - **Autoriser l'installation de profils par les utilisateurs** - **Autoriser l'appairage avec un hôte** - **Autoriser l'envoi de diagnostics** - **Autoriser la modification de l'envoi de diagnostics** - **Autoriser la publicité personnalisée Apple** - **Autoriser la modification de la gestion à distance** ## Multimédia - **Autoriser l'appareil photo** - **Autoriser la modification du partage de fichiers** - **Autoriser l'accès aux lecteurs USB dans Fichiers** - **Autoriser l'enregistrement des appels** - **Autoriser AirPrint** - **Autoriser le stockage des identifiants AirPrint** - **Autoriser la découverte iBeacon pour AirPrint** ## Cellulaire - **Autoriser la modification des données cellulaires des applications** - **Autoriser la modification du forfait cellulaire** - **Autoriser la modification de l'eSIM** - **Autoriser les transferts sortants d'eSIM** - **Conserver l'eSIM lorsque l'appareil est effacé** - **Autoriser l'actualisation en arrière-plan en itinérance** ### APN cellulaire **APN cellulaire** définit le nom du point d'accès (APN) fourni par votre opérateur, par exemple pour un réseau mobile privé ou professionnel. Définissez le **nom du point d'accès** et, si l'opérateur les demande, l'authentification (PAP ou CHAP), le nom d'utilisateur (les variables comme $EMAIL$ sont autorisées), le mot de passe, les versions IP (aussi en itinérance), un serveur proxy avec son port et XLAT464. Activez **Joindre l'APN** uniquement si l'opérateur vous fournit un APN distinct pour la connexion au réseau. - Seuls les iPhone et les iPad cellulaires le reçoivent, même sans supervision. Les appareils inscrits avec l'inscription utilisateur (appareils personnels) ne le reçoivent pas. - Il s'applique uniquement à la SIM utilisée pour les données cellulaires. Un appareil qui possède déjà un profil APN installé d'une autre manière ne l'installe pas. - Le mot de passe est protégé comme les autres mots de passe réseau : le profil est envoyé uniquement à l'appareil pour lequel il a été créé et le mot de passe n'est pas écrit dans les journaux.Un APN incorrect laisse les appareils sans données cellulaires : essayez d'abord les paramètres sur un appareil de test avec une SIM de l'opérateur.
## Système et interface utilisateur - **Autoriser Handoff** - **Autoriser la correction automatique** - **Autoriser l'assombrissement automatique de l'écran** - **Autoriser l'économiseur d'écran automatique** - **Autoriser le clavier QuickPath** - **Autoriser la recherche de définitions** - **Autoriser la modification du nom de l'appareil** - **Autoriser la mise en veille de l'appareil** - **Autoriser la mise en miroir de l'iPhone** - **Autoriser les widgets iPhone sur Mac** - **Autoriser les raccourcis clavier** ## Applications et services Apple - **Autoriser iMessage** - **Autoriser Game Center** - **Autoriser l'ajout d'amis Game Center** - **Autoriser Localiser mon appareil** - **Autoriser Localiser mes amis** - **Autoriser la modification de Localiser mes amis** - **Autoriser la Librairie** - **Autoriser les contenus érotiques de la Librairie** - **Autoriser la sauvegarde des livres d'entreprise** - **Autoriser la synchronisation des métadonnées des livres d'entreprise** - **Autoriser l'iTunes Store** - **Autoriser le contenu explicite** ## Siri et Apple Intelligence - **Autoriser Siri** - **Autoriser le contenu généré par les utilisateurs pour Siri** - **Autoriser Siri lorsque l'appareil est verrouillé** - **Autoriser la dictée** - **Autoriser les intégrations d'intelligence externe** - **Autoriser la connexion à une intelligence externe** - **Autoriser Genmoji** - **Autoriser Image Playground** - **Autoriser Image Wand** ## iCloud - **Autoriser le carnet d'adresses iCloud** - **Autoriser la sauvegarde iCloud** - **Autoriser les signets iCloud** - **Autoriser le calendrier iCloud** - **Autoriser le bureau et les documents iCloud** - **Autoriser la synchronisation des documents iCloud** - **Autoriser iCloud Freeform** - **Autoriser la synchronisation du trousseau iCloud** - **Autoriser iCloud Mail** - **Autoriser Notes iCloud** - **Autoriser la photothèque iCloud** - **Autoriser le relais privé iCloud** - **Autoriser Rappels iCloud** ## Comptes (restriction) Le panneau Comptes contient à la fois une restriction et (facultativement) une configuration de comptes. L'option de restriction contrôle si l'utilisateur peut modifier les comptes système. - **Autoriser la modification des comptes** # Réseau La section **Réseau** de l'éditeur de stratégie Apple configure les réseaux Wi-Fi et les VPN sur les appareils, installe des certificats et restreint les fonctions de connectivité comme AirDrop et Bluetooth. Chaque réseau Wi-Fi, VPN et certificat est installé sous forme de profil de configuration distinct, que vous pouvez voir sur l'appareil dans **Réglages > Général > VPN et gestion de l'appareil** (Mac : **Réglages Système > Général > Gestion de l'appareil**, ou **Confidentialité et sécurité > Profils** sur macOS 13 et 14) et dans le panneau **Profils, certificats et sécurité** de la page de l'appareil.Les certificats proviennent de la page [**Certificats**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-certificats "Certificate management") : importez-les d'abord à cet endroit. La stratégie ne fait que les référencer, ainsi un certificat n'est jamais copié dans la stratégie.
## Restrictions - **Autoriser AirDrop** - **Autoriser les demandes AirPlay entrantes** - **Autoriser la modification de Bluetooth** - **Autoriser la modification du partage Bluetooth** - **Autoriser l'accès aux lecteurs réseau dans Fichiers** - **Autoriser la modification du partage Internet** - **Autoriser la mise en cache du contenu** - **Autoriser le partage de fichiers iTunes** ## Réseaux Wi-Fi Cliquez sur **Ajouter un réseau Wi-Fi** et renseignez : - **Nom du réseau (SSID)** : le nom du réseau, jusqu'à 32 caractères. - **Sécurité** : aucune (réseau ouvert), WEP, WPA ou WPA2, WPA2 ou WPA3, WPA3 uniquement, ou indifférent. - **Mot de passe** : le mot de passe d'un réseau personnel. - **Rejoindre automatiquement** et **Réseau masqué** (pour les réseaux qui ne diffusent pas leur nom). - **Proxy** : aucun, manuel (serveur et port) ou automatique (une URL de fichier PAC, ou vide pour trouver les réglages sur le réseau avec WPAD). - **Nom du profil** (facultatif) et **S'applique à**, pour limiter le réseau à certains types d'appareils. ### Réseaux d'entreprise (802.1X) Activez **Entreprise (802.1X)** lorsque les utilisateurs s'authentifient avec leurs propres identifiants ou un certificat au lieu d'un mot de passe partagé. - **Authentification** : PEAP, TTLS (avec son authentification interne, par exemple MSCHAPv2) ou TLS (certificat uniquement). - **Identifiants de l'utilisateur de l'appareil** : chaque appareil utilise l'identité EAP, l'identité anonyme et le mot de passe de son utilisateur, définis dans la page Utilisateurs. Les appareils sans utilisateur ne reçoivent pas le réseau. - **Identité**, **Identité anonyme** et **Mot de passe** : les mêmes pour chaque appareil. L'identité peut contenir les variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$. Laissez le mot de passe vide pour que l'utilisateur le saisisse sur l'appareil. - **Certificat d'identité** : le certificat client que l'appareil présente (obligatoire pour TLS). Voir les options de certificat ci-dessous. - **Certificats de confiance** : les certificats CA qui ont émis le certificat de votre serveur RADIUS. Ils sont installés avec le réseau. - **Noms de serveur de confiance** : les noms des certificats du serveur RADIUS que les appareils acceptent, par exemple radius.example.com ou \*.example.com. ## VPN Cliquez sur **Ajouter un VPN** pour configurer un VPN IKEv2 ou Cisco IPSec, intégré à iOS, iPadOS et macOS (aucune app VPN nécessaire). - **Type** et **Serveur**. Pour IKEv2 également l'**Identifiant distant** (l'identité du serveur, vide signifie l'adresse du serveur) et l'**Identifiant local**, qui peut contenir les variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$. - **Authentification** de l'appareil : un certificat (depuis la page Certificats, le certificat de l'utilisateur de l'appareil, ou demandé à un serveur SCEP), un secret partagé (avec le nom de groupe facultatif pour IPSec), ou aucune pour les serveurs IKEv2 qui vérifient uniquement le nom d'utilisateur et le mot de passe. - **Certificats de confiance** : les certificats CA de votre serveur VPN, installés avec le VPN. Pour IKEv2, vous pouvez aussi définir l'émetteur et le nom attendus du certificat du serveur. - **Nom d'utilisateur et mot de passe** : l'utilisateur s'authentifie aussi avec un nom d'utilisateur (variables autorisées) et un mot de passe (EAP pour IKEv2, XAuth pour IPSec). Laissez le mot de passe vide pour que l'utilisateur le saisisse sur l'appareil. - **Nom du VPN** (affiché dans Réglages) et **S'applique à**. ### Connexion - **L'utilisateur se connecte dans Réglages** : le VPN est installé et l'utilisateur l'active lorsqu'il en a besoin. - **À la demande** : l'appareil connecte automatiquement le VPN. Avec **sauf sur les Wi-Fi de confiance**, le VPN n'est pas utilisé sur les réseaux Wi-Fi que vous listez, par exemple le réseau du bureau. - **Toujours actif** (IKEv2, iPhone et iPad supervisés uniquement) : tout le trafic passe par le VPN en cellulaire et en Wi-Fi et l'utilisateur ne peut pas le désactiver. Les autres appareils ne reçoivent pas ce VPN. Si le VPN utilise un nom d'utilisateur, le mot de passe doit être défini dans la stratégie. - **VPN par app** : seules certaines apps utilisent le VPN. Choisissez le VPN pour chaque app dans la section **Gestion des apps** (champ **VPN** de l'app, non disponible sur Mac), et listez éventuellement les domaines Safari qui l'utilisent.Testez d'abord un VPN Toujours actif ou à la demande sur un appareil de test : si le serveur est inaccessible, l'appareil peut ne plus avoir de connexion.
## Proxy global, DNS chiffré et filtre de contenu web Ces paramètres s'appliquent à tout le trafic de l'appareil. Activez-les avec leur commutateur. - **Proxy HTTP global** (iPhone et iPad supervisés, Mac) : tout le trafic HTTP passe par le proxy, sur chaque réseau. Définissez le serveur et le port (avec un nom d'utilisateur et un mot de passe facultatifs) ou une configuration automatique (URL de fichier PAC, ou vide pour la trouver sur le réseau). **Autoriser les pages de connexion Wi-Fi** permet à l'utilisateur de se connecter aux réseaux Wi-Fi publics sans le proxy. - **DNS chiffré** : l'appareil résout les noms avec votre serveur DNS via DNS over HTTPS (URL du serveur) ou DNS over TLS (nom du serveur), éventuellement uniquement pour certains domaines. Sur les appareils supervisés, vous pouvez empêcher l'utilisateur de le désactiver. - **Filtre de contenu web** (iPhone et iPad supervisés) : le filtre intégré à iOS limite les sites pour adultes, avec des listes de sites toujours autorisés ou toujours bloqués, ou autorise uniquement une liste de sites, affichés comme favoris dans Safari.Un proxy ou un serveur DNS incorrect peut laisser les appareils sans connexion : essayez d'abord les paramètres sur un appareil de test.
## Certificats Cliquez sur **Ajouter un certificat** pour installer un certificat seul : une autorité de certification à laquelle Safari et les apps doivent faire confiance, ou une identité utilisée par des apps. Les certificats d'un réseau Wi-Fi ou d'un VPN n'ont pas besoin d'être ajoutés ici. ### Options de certificat - **Un certificat de la page Certificats** : le même certificat sur chaque appareil. Cliquez sur **Choisir un certificat** pour le sélectionner. - **Le certificat de l'utilisateur de l'appareil** : chaque appareil reçoit le certificat client lié à son utilisateur. Les appareils dont l'utilisateur n'a pas de certificat ne le reçoivent pas. Lorsque vous liez un autre certificat à l'utilisateur, les appareils sont mis à jour. - **Demandé à un serveur SCEP** : chaque appareil demande son propre certificat à votre serveur SCEP (par exemple Microsoft NDES), de sorte que la clé privée ne quitte jamais l'appareil. Définissez l'URL du serveur, le défi si le serveur en exige un, le sujet (par exemple CN=$EMAIL$), les noms alternatifs, la taille de clé et l'usage de la clé.Les certificats client (.p12) protégés par l'ancien chiffrement RC2 ne peuvent pas être installés sur les appareils Apple. Exportez-les de nouveau avec le chiffrement 3DES ou AES avant de les importer.
## Sécurité Les profils qui contiennent des mots de passe ou des clés privées sont envoyés uniquement à l'appareil pour lequel ils ont été créés : l'appareil doit signer sa demande avec son certificat de gestion. Les mots de passe et les certificats ne sont pas écrits dans les journaux. # Mises à jour logicielles La section **Mises à jour logicielles** de l'éditeur de stratégie Apple permet de maintenir les appareils à jour : elle peut exiger une version spécifique du système d'exploitation avant une date limite et contrôler la façon dont les appareils téléchargent et installent les mises à jour. ## Mises à jour requises du système Cliquez sur **Ajouter une mise à jour requise** pour exiger une version du système. L'appareil télécharge la mise à jour, informe l'utilisateur de la date limite et l'installe à cette date si l'utilisateur ne l'a pas déjà fait. Les appareils qui exécutent déjà cette version ou une version ultérieure l'ignorent. Nécessite iOS et iPadOS 17 ou macOS 14. - **S'applique à** (requis) : iPhone et iPad, ou Mac. Chaque système a ses propres numéros de version, ajoutez donc une mise à jour requise pour chacun. - **Version du système** : la version à installer, par exemple 18.5 ou 15.4.1. - **Build** (facultatif) : une version de compilation spécifique, par exemple une bêta ou une amélioration de sécurité en arrière-plan. - **Installer avant** : la date limite, dans l'heure locale de chaque appareil. Une date passée incite les appareils à installer la mise à jour dès que possible. - **URL des détails** (facultatif) : une page web sur la mise à jour, affichée à l'utilisateur.L'appareil signale la progression de la mise à jour (téléchargement, installation, échecs) dans le panneau **État de l'appareil** de la page de l'appareil.
## Paramètres des mises à jour logicielles Activez **Paramètres des mises à jour logicielles pour iPhone et iPad** ou **Paramètres des mises à jour logicielles pour Mac** pour contrôler les mises à jour sur ces appareils. Lorsqu'une option est désactivée, les appareils conservent leurs propres paramètres. Nécessite iOS et iPadOS 18 ou macOS 15 : les appareils plus anciens ignorent ces paramètres. - **Différer les mises à jour** : les nouvelles mises à jour ne sont présentées à l'utilisateur qu'après le nombre de jours indiqué (1 à 90). Sur un Mac, vous pouvez définir des périodes différentes pour les mises à jour majeures, les mises à jour mineures et les autres mises à jour du système. - **Mises à jour présentées à l'utilisateur** (iPhone et iPad) : lorsque plusieurs mises à jour sont disponibles, affichez-les toutes, uniquement la plus ancienne mise à jour mineure ou uniquement la plus récente. - **Les utilisateurs standard peuvent installer les mises à jour** (Mac) : les utilisateurs sans droits d'administrateur peuvent installer les mises à jour macOS. - **Notifier l'utilisateur des mises à jour requises** : afficher les notifications concernant les mises à jour requises et leur date limite. - **Téléchargement automatique**, **Installation automatique** et **Mises à jour de sécurité automatiques** : laissez l'utilisateur décider (valeur par défaut d'Apple), ou maintenez-les toujours activés ou toujours désactivés. - **Améliorations de sécurité en arrière-plan** : proposez à l'utilisateur les correctifs de sécurité rapides d'Apple et choisissez si l'utilisateur peut les supprimer. - **Programmes bêta** : laissez l'utilisateur rejoindre les programmes bêta d'Apple, ou retirez l'appareil de ces programmes et bloquez-les (sur iPhone et iPad, appareils supervisés uniquement). ## Installer une mise à jour depuis la page de l'appareil Le panneau **État de l'appareil** d'un appareil répertorie les mises à jour disponibles. Utilisez **Rechercher les mises à jour** pour demander la liste à l'appareil et **Installer** pour en installer une immédiatement ou pour la télécharger et laisser l'utilisateur l'installer. Cela fonctionne sur les iPhone et iPad supervisés et sur les Mac. Apple supprime ces commandes dans iOS, iPadOS et macOS 27 : sur ces versions, utilisez les mises à jour requises de la stratégie. # macOS La section **macOS** de l'éditeur de stratégie Apple gère les paramètres de sécurité, de confidentialité et de connexion des Mac : FileVault, pare-feu, Gatekeeper, économiseur d'écran et verrouillage, stockage externe et réseau, partage d'écran, autorisations de confidentialité, éléments de connexion, et extensions système et noyau autorisées à se charger. Elle installe aussi des fichiers de configuration de services système et de tâches en arrière-plan. Les autres appareils de la stratégie ne reçoivent pas ces paramètres. Activez un paramètre pour le gérer ; tant qu'il est désactivé, les utilisateurs conservent leurs propres choix.La plupart des paramètres sont installés sur le Mac sous forme de profils de configuration, visibles dans Réglages Système > Général > Gestion de l'appareil. FileVault, les autorisations de confidentialité, les éléments de connexion et les paramètres d'extension nécessitent un MDM approuvé par l'utilisateur : sur un Mac inscrit avec l'URL d'inscription ou le code QR, l'utilisateur approuve le profil d'inscription dans Réglages Système. La page de l'appareil l'indique dans le champ **MDM approuvé par l'utilisateur**. Lorsque l'utilisateur l'approuve plus tard, le Mac reçoit ces paramètres automatiquement.
## FileVault FileVault chiffre le disque du Mac. Lorsque ce paramètre est activé, les utilisateurs sont invités à activer FileVault avec leur mot de passe, et le Mac envoie sa clé de récupération personnelle à Cerberus Enterprise, chiffrée avec une clé qui appartient uniquement à votre organisation. La clé est affichée et modifiée depuis le champ **FileVault** de la page de l'appareil (voir Commandes de l'appareil). Le paramètre nécessite macOS 13 ou ultérieur et un MDM approuvé par l'utilisateur ; sans MDM approuvé par l'utilisateur, le Mac n'est pas invité à activer FileVault, mais si un utilisateur l'active, sa clé est stockée. - **Obligatoire à la connexion** : à la prochaine connexion, après un certain nombre de reports (l'utilisateur est invité de nouveau à chaque connexion et à la déconnexion), ou uniquement lorsque l'utilisateur se déconnecte. - **Ne pas demander à la déconnexion** : l'utilisateur est invité uniquement à la connexion. Cette option ne peut pas être combinée avec « Uniquement demandé à la déconnexion ». - **Afficher la clé de récupération à l'utilisateur** : désactivé par défaut, de sorte que seuls les administrateurs connaissent la clé, depuis la page de l'appareil. - **Empêcher la désactivation de FileVault** : activé par défaut. - **Supprimer la clé de la mémoire en veille** : l'utilisateur saisit de nouveau le mot de passe lorsque le Mac sort de veille. - **Où la clé est conservée** : texte affiché à l'utilisateur à l'écran de connexion, par exemple qui appeler pour récupérer le Mac (par défaut « Cerberus Enterprise »).Un Mac déjà chiffré lorsqu'il a reçu le paramètre conserve sa clé actuelle, que Cerberus Enterprise ne reçoit pas : la clé est stockée uniquement après que l'utilisateur a désactivé puis réactivé FileVault (avec « Empêcher la désactivation de FileVault » désactivé). La désactivation du paramètre, ou le retrait du Mac de la gestion, ne désactive pas FileVault, et la clé stockée continue de fonctionner. Le paramètre ne peut pas être enregistré lorsque le serveur n'est pas configuré pour stocker les clés de récupération.
## Pare-feu - **Activer le pare-feu** : lorsqu'il est désactivé, le pare-feu reste désactivé et les utilisateurs ne peuvent pas l'activer. - **Bloquer toutes les connexions entrantes** : seuls les services réseau de base (DHCP, Bonjour, IPSec) peuvent recevoir des connexions. - **Mode furtif** : le Mac ne répond pas aux requêtes ping ni aux connexions vers des ports fermés. - **Autoriser les logiciels intégrés** et **Autoriser les apps signées téléchargées** à recevoir des connexions sans demander à l'utilisateur (macOS 12.3 ou ultérieur). - **Règles pour des apps spécifiques** : autorisez ou bloquez les connexions entrantes d'une app, par identifiant de bundle. ## Gatekeeper Gatekeeper vérifie les apps avant qu'elles ne s'ouvrent. Choisissez si les Mac ouvrent uniquement les apps de l'App Store, ou aussi les apps de développeurs identifiés. Avec Gatekeeper désactivé, toute app peut être ouverte, y compris les apps non signées ou endommagées. Sur macOS 15 ou ultérieur, vous pouvez aussi choisir si les utilisateurs sont invités à envoyer les logiciels malveillants bloqués à Apple. ## Économiseur d'écran et verrouillage Démarrez l'économiseur d'écran après une période d'inactivité et demandez le mot de passe lorsque l'économiseur d'écran démarre ou que l'écran s'éteint, immédiatement ou après un délai. Un paramètre laissé sur **Non géré** reste au choix de l'utilisateur. ## Stockage externe et réseau Autorisez, rendez accessible en lecture seule ou bloquez le stockage externe (clés USB, cartes SD, disques externes) et le stockage réseau (partages de fichiers) des Mac. Nécessite macOS 15 ou ultérieur. ## Partage d'écran Limites des personnes qui se connectent à ces Mac avec le partage d'écran : copie de fichiers depuis ou vers le Mac, connexions hautes performances et nombre d'écrans virtuels. L'activation du partage d'écran reste au choix de l'utilisateur. Nécessite macOS 14 ou ultérieur. ## Autorisations de confidentialité Accordez ou refusez aux apps l'accès que les utilisateurs autoriseraient autrement dans Réglages Système > Confidentialité et sécurité, par exemple l'accès complet au disque pour une app de sauvegarde, ou refusez la caméra à une app. Pour chaque autorisation, choisissez : - **Autorisation** : Accès complet au disque, Accessibilité, Automatisation, les dossiers, contacts, calendriers, photos, caméra, microphone, enregistrement de l'écran et les autres autorisations de Confidentialité et sécurité. - **Accès** : autoriser ou refuser. La caméra, le microphone, l'enregistrement de l'écran et la surveillance des entrées ne peuvent pas être autorisés par un profil, seulement refusés ; pour l'enregistrement de l'écran et la surveillance des entrées, vous pouvez permettre aux utilisateurs de les autoriser aussi sans droits d'administrateur. - **App** : l'identifiant de bundle d'une app, ou le chemin d'un programme (par exemple un outil en ligne de commande). - **Exigence de code** : identifie l'app par sa signature. Obtenez-la dans Terminal avec `codesign -dr - /Applications/Example.app` et copiez le texte après `designated =>`. - **Automatisation** nécessite aussi l'app contrôlée (par exemple le Finder) et son exigence de code. ## Éléments de connexion et d'arrière-plan Les éléments de connexion et d'arrière-plan qui correspondent aux règles sont gérés : ils s'exécutent sans demander et les utilisateurs ne peuvent pas les désactiver dans Réglages Système > Général > Éléments de connexion. Une règle correspond à l'identifiant d'équipe de développeur d'une app, à son identifiant de bundle ou au libellé d'un démon ou agent de lancement (aussi par leur première partie). Nécessite macOS 13 ou ultérieur. ## Extensions système Les extensions système sont le moyen moderne pour les apps d'étendre macOS : filtres réseau et VPN, agents et pilotes de sécurité des points de terminaison. Lorsque ce paramètre est activé, les extensions système des équipes de développeurs listées se chargent sans demander à l'utilisateur. Nécessite macOS 10.15 ou ultérieur et un MDM approuvé par l'utilisateur. - **ID d'équipe** : l'ID d'équipe de 10 caractères du développeur (par exemple dans les détails « Signé par » de l'app, ou avec `codesign -dv`). Chaque équipe ne peut apparaître qu'une fois. - **Autoriser** : toutes les extensions de l'équipe, ou uniquement les extensions dont les identifiants de bundle sont listés. - **Types** : limite l'équipe aux pilotes, aux extensions réseau ou de sécurité des points de terminaison. Si aucun type n'est choisi, tous les types sont autorisés. - **Suppression** (uniquement pour les extensions listées) : l'app peut supprimer son extension sans administrateur (macOS 12 ou ultérieur), l'extension ne peut pas être désactivée ni supprimée tant que la protection de l'intégrité du système est activée, ou elle ne peut pas être supprimée dans Réglages Système et le Finder (macOS 15 ou ultérieur). Les Mac avec un macOS plus ancien autorisent toujours l'extension, sans l'option de suppression. - **Les utilisateurs peuvent approuver d'autres extensions système** : activé par défaut. Lorsque cette option est désactivée, seules les extensions autorisées par un profil peuvent se charger ; si un profil du Mac la désactive, elle est désactivée.Sur macOS 11.3 ou ultérieur, la suppression de ce paramètre désactive les extensions système qu'il autorisait, par exemple un agent de sécurité ou un filtre réseau. Cela se produit lorsque le paramètre est désactivé, lorsque la stratégie est supprimée et lorsque le Mac passe à une stratégie qui ne le contient pas. L'éditeur demande une confirmation avant de désactiver le paramètre.
## Extensions de noyau (héritées) Les extensions de noyau sont l'ancien moyen, obsolète, d'étendre macOS : préférez les extensions système lorsque l'éditeur les propose. Les extensions de noyau des équipes listées (toutes les extensions d'une équipe, ou uniquement les identifiants de bundle listés) se chargent sans demander à l'utilisateur, après un redémarrage. Nécessite macOS 10.13.2 ou ultérieur et un MDM approuvé par l'utilisateur. - **Les utilisateurs peuvent approuver d'autres extensions de noyau** : désactivé par défaut, de sorte que seules les équipes listées peuvent charger des extensions de noyau. - **Les utilisateurs standard peuvent aussi les approuver** : lorsque les approbations par les utilisateurs sont activées, les utilisateurs sans droits d'administrateur peuvent aussi les approuver (macOS 11 ou ultérieur).Sur les Mac avec Apple silicon, un profil seul ne suffit pas : quelqu'un doit démarrer le Mac en recoveryOS, choisir Sécurité réduite dans l'Utilitaire de sécurité au démarrage et autoriser la gestion des extensions de noyau par les utilisateurs pour les développeurs identifiés. Le Mac peut aussi avoir besoin d'un Bootstrap Token déposé dans Cerberus Enterprise pour les approuver (voir le champ Bootstrap Token de la page de l'appareil).
## Fichiers Mac Les fichiers de configuration de service et les tâches en arrière-plan utilisent des fichiers que vous téléversez dans les **Fichiers Mac** de votre organisation : archives zip et listes de propriétés (.plist) jusqu'à 20 Mo. Téléversez-les, vérifiez où ils sont utilisés ou supprimez-les avec le bouton **Fichiers Mac** de la section macOS, ou avec **Choisir un fichier** dans un paramètre. Un fichier utilisé par une stratégie ne peut pas être supprimé. Pour modifier un fichier, téléversez la nouvelle version et choisissez-la dans la stratégie : les Mac la téléchargent de nouveau. ## Fichiers de configuration de service Installe les fichiers de configuration d'un service système à partir d'une archive zip. Les services intégrés sont le serveur SSH (sshd), sudo, PAM, l'impression (CUPS), le serveur web Apache, bash, zsh, la connexion par carte à puce et l'autorisation. Vous pouvez aussi utiliser votre propre service, avec un identifiant DNS inversé comme `com.example.service` : il trouve les fichiers avec la bibliothèque de fichiers de configuration gérés de macOS. Chaque service peut avoir un seul paramètre. Nécessite macOS 14 ou ultérieur.Un service intégré utilise uniquement les fichiers de l'archive et ignore ses propres fichiers, par exemple /etc/ssh pour sshd : placez toute la configuration dans l'archive, dans des dossiers qui partent de la racine du disque (par exemple `etc/ssh/sshd_config`). Les fichiers sont en lecture seule sur le Mac et sont supprimés avec le paramètre. Testez d'abord l'archive sur un Mac : une mauvaise configuration de sudo ou de PAM peut empêcher les utilisateurs de se connecter ou d'utiliser les droits d'administrateur.
## Tâches en arrière-plan Programmes et scripts qui s'exécutent en arrière-plan, lancés par launchd. Les utilisateurs ne peuvent pas les désactiver, et ils sont supprimés avec le paramètre. Nécessite macOS 15 ou ultérieur. Pour chaque tâche, choisissez : - **Identifiant de tâche** : un identifiant DNS inversé, comme `com.example.task`, différent pour chaque tâche. - **Programmes et scripts** (facultatif) : une archive zip que le Mac décompresse dans `/var/db/ManagedConfigurationFiles/BackgroundTaskServices/Services/` suivi de l'identifiant de tâche. Conservez le droit d'exécution des fichiers et n'y placez pas de listes de propriétés. - **Listes de propriétés launchd** : les tâches qui démarrent les programmes, chargées comme démon (pour tout le système, en tant que root) ou comme agent (dans chaque session utilisateur). Référez-vous aux programmes avec leur chemin dans le dossier ci-dessus. Une tâche nécessite les programmes ou au moins une liste de propriétés. Lorsque les fichiers changent, les Mac redémarrent la tâche. # Localisation et géorepérage La section **Localisation et géorepérage** de l'éditeur de stratégie Apple définit des zones, par exemple un site ou un entrepôt. Les iPhone et iPad avec l'app Cerberus Enterprise signalent lorsqu'ils entrent dans l'une de ces zones ou en sortent, et les règles d'événement peuvent y réagir : envoyer un e-mail, verrouiller ou désactiver l'appareil, ou le réactiver. Les Mac n'utilisent pas le géorepérage. ## Champs de la zone géographique Utilisez **Ajouter une zone géographique** pour créer une nouvelle entrée. Une stratégie peut contenir jusqu'à **10 zones géographiques**, et leurs noms doivent être uniques au sein de la stratégie. Chaque zone géographique contient les champs suivants : - **Nom** : obligatoire et unique. - **Latitude** et **Longitude** : le centre de la zone. Vous pouvez également cliquer sur la carte pour le définir. - **Rayon (m)** : obligatoire, de **200** à **10 000** mètres. - **Description** : notes facultatives pour les administrateurs. - **Signaler l'entrée** et **Signaler la sortie** : choisissez les événements à générer. Au moins l'un d'eux doit rester activé. - **Active** : active ou désactive la zone géographique sans la supprimer. Chaque zone géographique dispose d'un aperçu de carte. Le centre et le rayon d'une zone géographique enregistrée sont verrouillés : utilisez le bouton de verrouillage sur la carte pour les modifier. Les autres boutons centrent la carte sur la zone ou sur votre position actuelle. Lorsque vous enregistrez la stratégie, Cerberus Enterprise demande aux iPhone et iPad de la stratégie de récupérer les nouvelles zones géographiques. Cela prend généralement quelques minutes, mais iOS peut le retarder, par exemple en mode Économie d'énergie ou sans connexion réseau. La page de l'appareil indique lorsque l'app n'a pas encore appliqué les dernières zones géographiques. ## Exigences Les zones géographiques fonctionnent sur les iPhone et iPad équipés de l'app Cerberus Enterprise. Les Mac les ignorent. Sur l'appareil : - l'app Cerberus Enterprise est installée (Cerberus l'installe) et l'utilisateur l'a ouverte au moins une fois ; - l'accès à la position pour l'app est défini sur **Toujours** ; - **Position précise** est activée pour l'app ; - **Actualisation des apps en arrière-plan** est activée.**Position et zones géographiques sur les appareils personnels**, en haut de la section, est désactivé par défaut. Tant que cette option est désactivée, Cerberus ne collecte pas la position des appareils personnels (inscription utilisateur), leurs événements de zone géographique ne sont pas générés et leur page d'appareil ne propose ni Localiser ni le suivi en direct. Lorsque vous l'activez, les appareils personnels de la stratégie partagent leur position et leurs événements de zone géographique comme les appareils d'entreprise, mais uniquement si l'utilisateur autorise la localisation pour l'app Cerberus Enterprise ; l'app explique cela à l'utilisateur avant que iOS ne le demande. Votre organisation est responsable d'informer les utilisateurs et de respecter la réglementation locale sur la localisation des employés. Le mode Perdu et la demande de localisation MDM ne sont jamais disponibles sur les appareils personnels (Apple ne les autorise pas).
En **mode Économie d'énergie**, les zones géographiques continuent de fonctionner, mais iOS signale une sortie de zone plus tard et avec une position moins précise, et il peut retarder de plusieurs heures la récupération de nouvelles zones géographiques après une modification de stratégie, jusqu'à la prochaine exécution de l'app (par exemple au prochain franchissement ou lorsque l'utilisateur l'ouvre). ## Comment arrivent les événements iOS surveille les zones pour l'app et la réveille lorsque l'appareil franchit une limite, même lorsque l'app n'est pas ouverte. Les événements peuvent arriver quelques minutes après le franchissement, et une petite zone ou une visite courte peut être manquée : iOS exige que l'appareil parcoure une certaine distance au-delà de la limite et y reste un moment. Si l'app ne peut pas s'exécuter, par exemple après un redémarrage avant le déverrouillage de l'appareil, le serveur détecte aussi le franchissement à partir des positions envoyées par l'app, plus tard. Chaque franchissement déclenche une seule fois les règles d'événement, que ce soit l'app ou le serveur qui le détecte. Lorsque l'app n'a pas contacté le serveur depuis plusieurs heures, le serveur demande à iOS de la réveiller afin qu'elle puisse vérifier à nouveau ses zones géographiques. iOS ne garantit pas ces demandes. ## Page de l'appareil Sur la page de l'appareil, l'onglet **Zone géographique** du panneau **Carte de localisation** affiche les transitions de l'appareil. Lorsque la stratégie comporte des zones géographiques actives, une ligne d'état indique si le géorepérage fonctionne sur l'appareil, ou pourquoi il ne le peut pas : l'app n'a pas contacté le serveur ou doit être mise à jour, l'accès à la position n'est pas défini sur **Toujours**, **Position précise** ou **Actualisation des apps en arrière-plan** est désactivé, le **mode Économie d'énergie** était activé lors du dernier signalement des réglages par l'app, ou l'app n'a pas encore appliqué les dernières zones géographiques.Les transitions de zones géographiques et les positions sont conservées **90 jours** et les données plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte qu'il reste sur les cartes.
## Limites - La copie d'une stratégie ne copie pas ses zones géographiques : ajoutez-les de nouveau dans la copie. - Les événements de zone géographique sur iPhone et iPad sont fournis au mieux : iOS décide quand l'app peut s'exécuter.Pour réagir aux événements de zone géographique, créez une règle d'événement pour **L'appareil entre dans une zone géographique** ou **L'appareil sort d'une zone géographique**. Consultez [**Règles d'événement**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/regles-devenements "Event rules").
# Comptes La section **Comptes** de l'éditeur de stratégie Apple ajoute des comptes de messagerie, Exchange, Google, calendrier, contacts et annuaire aux iPhone, iPad et Mac. Cliquez sur **Ajouter un compte** et choisissez le type. La section contient également la restriction **Autoriser la modification du compte** (appareils supervisés).Sur un Mac (macOS 13 ou version ultérieure), les comptes sont installés dans la session des utilisateurs inscrits à la gestion, généralement l'utilisateur qui a inscrit le Mac, lorsqu'ils sont connectés. La page de l'appareil répertorie ces utilisateurs sous **Utilisateurs du Mac**, avec l'état de leurs comptes. Les comptes qui reprennent l'adresse e-mail de l'utilisateur de l'appareil utilisent l'utilisateur affecté au Mac dans Cerberus Enterprise.
## Paramètres communs - **Nom et e-mail de l'utilisateur de l'appareil** (Mail, Exchange, Google) : chaque appareil utilise le nom et l'adresse e-mail de son utilisateur, définis dans la page Utilisateurs (pour Google, le compte Google de l'utilisateur). Les appareils sans utilisateur, ou dont l'utilisateur n'a pas d'adresse e-mail, ne reçoivent pas le compte. Sinon, définissez une adresse e-mail et un nom complet fixes. - **Nom du compte** (facultatif) : le nom du compte dans les Réglages et dans les applications. - **Nom d'utilisateur** et **Mot de passe** (facultatifs) : le nom d'utilisateur peut contenir les variables $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$. Laissez le mot de passe vide pour que l'utilisateur le saisisse sur l'appareil, ou laissez les deux vides pour que l'utilisateur les saisisse. - **S'applique à** : limitez le compte à certains types d'appareils. ## Types de comptes - **Compte de messagerie** : serveur entrant IMAP ou POP et serveur sortant, avec leurs ports et leur authentification. Le serveur sortant peut utiliser le même nom d'utilisateur et le même mot de passe que le serveur entrant. - **Compte Exchange** (Exchange ActiveSync) : le serveur, ou vide pour le rechercher à partir de l'adresse e-mail. Choisissez les services (messagerie, contacts, calendriers, rappels, notes) et si l'utilisateur peut les modifier. Avec **l'authentification moderne (OAuth)**, l'utilisateur se connecte via la page de votre fournisseur d'identité, par exemple Microsoft 365. Un **certificat d'authentification** (iOS 17 ou version ultérieure) authentifie l'appareil avec un certificat. - **Compte Google** : l'utilisateur se connecte au compte Google avec l'adresse e-mail indiquée. - **Compte de calendrier (CalDAV)** et **Compte de contacts (CardDAV)** : le serveur, le port et le chemin. - **Annuaire (LDAP)** : le serveur et le port, ainsi que les recherches (base de recherche, portée et description) utilisées pour rechercher des contacts. - **Calendrier abonné** : l'URL du calendrier (https, http ou webcal). ## S/MIME Les comptes Mail et Exchange peuvent signer et chiffrer les messages avec S/MIME (iOS 17 ou version ultérieure). Pour chacun, choisissez le certificat : l'un de ceux de la page Certificats, le certificat de l'utilisateur de l'appareil ou un certificat demandé à un serveur SCEP. Vous pouvez autoriser l'utilisateur à le désactiver, à choisir un autre certificat et, pour le chiffrement, afficher un commutateur pour chaque message. ## Sécurité Les mots de passe et les certificats ne font pas partie des paramètres envoyés aux appareils : chaque appareil télécharge ses propres identifiants depuis Cerberus Enterprise en signant la demande avec son certificat de gestion. Ils ne sont pas écrits dans les journaux. # Règles de conformité La section **Règles de conformité** de l'éditeur de stratégie Apple définit des exigences pour les appareils de la stratégie. Un appareil qui enfreint une règle est immédiatement non conforme : la page de l'appareil en explique la raison, dans **Pourquoi l'appareil est non conforme**, et la liste des appareils l'affiche comme non conforme. Un appareil est également non conforme lorsqu'un paramètre de la stratégie ne peut pas y être appliqué. ## Règles - **Code d'accès** : l'appareil possède un code d'accès et celui-ci respecte les paramètres de code d'accès de la stratégie. - **Version minimale du système d'exploitation** : pour iPhone et iPad, ou pour Mac. Pour mettre à jour les appareils, ajoutez une mise à jour obligatoire dans Mises à jour logicielles. - **Appareil supervisé** : les appareils inscrits avec le profil d'inscription ou avec l'inscription utilisateur ne sont pas supervisés. - **FileVault activé (Mac)** : le disque du Mac est chiffré avec FileVault. Les autres appareils ne sont pas concernés. Une règle est vérifiée lorsque l'appareil envoie son état, lorsque la stratégie est enregistrée et toutes les heures. Un appareil dont l'état est inconnu (par exemple un Mac qui n'a pas encore signalé FileVault) n'enfreint pas la règle. ## Blocage de l'appareil Activez **Bloquer l'appareil s'il est toujours non conforme** et définissez après combien de jours (0 bloque immédiatement). Les iPhone et iPad supervisés passent en mode Perdu avec le message que vous définissez. Les autres appareils sont verrouillés une fois ; un Mac redémarre et demande un code PIN, affiché dans les détails de la commande de l'historique des commandes. - **Débloquer** : lorsque l'appareil est de nouveau conforme, le mode Perdu est désactivé automatiquement. - **Désactiver vous-même le mode Perdu** : l'appareil n'est plus bloqué tant qu'il ne redevient pas conforme et n'enfreint pas de nouveau une règle. Utilisez cette option pour permettre à l'utilisateur de corriger l'appareil.Pour être notifié ou réagir d'une autre manière, créez une règle d'événement pour **L'appareil devient non conforme** : elle reçoit aussi les raisons.
# État de l'Appareil # Présentation de l’appareil Ouvrez un appareil depuis **Tableau de bord** → **Appareils** en cliquant sur la ligne de l’appareil. Le titre de la page affiche le **Modèle** de l’appareil (lorsqu’il est disponible) et l’**ID** interne. ## Données historiques et inscription actuelle Lorsqu’un appareil a plusieurs inscriptions, Cerberus Enterprise peut afficher un enregistrement historique en lecture seule. Dans ce cas, la page affiche une bannière **Données historiques** et un bouton pour revenir aux données de l’inscription actuelle. ## Champs principaux La section supérieure résume l’identité, l’attribution et l’état de gestion de l’appareil. Certains champs sont spécifiques à la plateforme et n’apparaissent que pour les appareils Android ou Apple. - **ID** et **Modèle** : identifiants en lecture seule. - **Utilisateur** : affiche l’utilisateur actuellement attribué (le cas échéant). Depuis le menu utilisateur, vous pouvez **Ouvrir l’utilisateur** ou **Changer d’utilisateur**, ou attribuer un utilisateur lorsqu’aucun n’est défini. - **Mode de gestion** et **Propriété** : affichés avec des info-bulles dans l’interface. - **État** : état actuel de l'appareil (avec l'icône et les détails dans l'infobulle). Un appareil en mode perdu affiche **Perdu** sur Android comme sur Apple, et une bannière en haut de la page indique la marche à suivre. - **Profil ADE** (Apple uniquement) : affiche le profil Automated Device Enrollment attribué (le cas échéant) et vous permet de l’ouvrir ou de le modifier. - **Stratégie** : affiche la stratégie attribuée et vous permet de l’ouvrir ou de la modifier, ou d’en attribuer une lorsqu’aucune n’est définie. - **Statut de conformité de la stratégie** (lorsqu’une stratégie est attribuée) : indique si l’appareil est conforme. - **Version de la stratégie** (lorsqu’une stratégie est attribuée) : indique si la dernière version de la stratégie a été appliquée sur l’appareil. - **Application Cerberus Enterprise** (iPhone et iPad uniquement) : l'état de l'application Cerberus Enterprise que Cerberus installe sur l'appareil. **Non disponible** (iOS ou iPadOS antérieur à 18.4, absence de numéro de série sur un appareil d'entreprise ou absence de Managed Apple Account sur un appareil personnel) ; **Pas encore disponible sur les appareils personnels** ; **En attente des informations de l'appareil** ; **En attente de la licence utilisateur du Managed Apple Account** (appareils personnels, pendant qu'Apple confirme la licence) ; **Non installée** (l'application n'est pas dans votre bibliothèque Apple Business ou Apps and Books n'est pas configuré, avec un lien vers **Paramètres du compte**) ; **Installée · Apps and Books nécessite votre attention** (le jeton a expiré ou l'application a quitté votre bibliothèque : l'application reste installée) ; **Configuration indisponible** ; **Installation…** (si l'appareil n'envoie aucun rapport d'état pendant 30 minutes, l'infobulle suggère de vérifier qu'il est en ligne et de le redémarrer, ce qui relance généralement l'installation) ; **En attente de l'approbation de l'utilisateur** ; **L'utilisateur a refusé** et **Échec de l'installation** (les deux avec **Réessayer**, qui interroge à nouveau l'appareil) ; **Installée · en attente du démarrage de l'application** (l'application n'a pas encore été ouverte) ; **Installée · configuration non acceptée** ; et, une fois l'application enregistrée, sa version, son dernier contact et l'état des notifications. - **Inscrit le** et **Dernier rapport de statut** : horodatages de l’inscription et du dernier statut signalé. - **Désinscrit le** : affiché lorsque l’appareil a été désinscrit.Certaines données et certains panneaux ne sont disponibles que si la catégorie correspondante est activée dans la stratégie de l'appareil. Pour plus d'informations, consultez les pages [**Signalement de l'état**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/rapports-detat "Status reporting") et [**Localisation et géorepérage**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/localisation-et-georeperage "Location and geofences").
## Panneaux La page de l'appareil est organisée en sections extensibles. Selon la plateforme et l'état, vous pouvez voir un ou plusieurs des panneaux suivants : - **Carte de localisation** : un panneau à onglets présentant l’historique de **Localisation** de l’appareil actuel et, sur les appareils Android, les iPhone et les iPad, un onglet **Zones géographiques** pour les transitions de zones géographiques. - **Gestion des SIM** : EID de l’appareil et SIM et eSIM installées. Sur Android également les commandes eSIM et leur historique ; sur les iPhone et les iPad cellulaires appartenant à l’entreprise également l’itinérance des données, le partage de connexion et **Actualiser les forfaits cellulaires**. Consultez la page [**Gestion des SIM**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-sim "SIMs management") dédiée. - **Commandes** : envoyez des commandes à l’appareil et consultez l’historique des commandes (selon la plateforme). - **Posture de sécurité** : l'état de sécurité de l'appareil et ses risques. Sur Android également, le verdict Play Integrity. Tant que l'appareil ne l'a pas signalé, il indique **Non spécifié**, ou **Pas encore signalé** sur un appareil Android qui n'a envoyé aucune donnée de sécurité. - **Pourquoi l'appareil est non conforme** : affiché uniquement lorsque l'appareil est non conforme, avec une icône d'alerte rouge ; ouvrez-le pour voir les raisons. Sur Android, il liste les paramètres de stratégie non conformes ; sur Apple, il indique aussi si une règle de conformité a bloqué l'appareil. - **État de l’appareil** (Apple uniquement) : version du système, progression de la mise à jour logicielle, code d’accès, FileVault, batterie et comptes signalés par l’appareil, ainsi que les mises à jour du système disponibles pour celui-ci. Consultez la page [**Commandes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/commandes "Commands"). - **Applications** (Android) : applications installées et leurs commentaires et rapports d'erreur. - **Applications** (Apple uniquement) : les applications installées par la stratégie, les applications installées avec des commandes et les applications installées par l’utilisateur, avec leur état d’installation, leurs erreurs et leurs actions (réessayer, supprimer). Sur les Mac, elle répertorie également les paquets installés par la stratégie, avec leur état et **Réinstaller** ; les paquets installés comme applications gérées portent une puce **Géré**, et une note indique quand un paquet a été installé sans gestion et pourquoi, ou quand son application n’a pas été trouvée une heure après le téléchargement. Sur les iPhone et les iPad, l’application Cerberus Enterprise porte la puce **Installée par Cerberus** ; elle n’est pas répertoriée sous le filtre **Stratégie**. Une application dont la configuration gérée n’a pas été acceptée par l’appareil porte la puce **Configuration non acceptée**. Sur les iPhone et les iPad personnels (inscription utilisateur), une ligne indique le compte Apple géré dont les licences utilisateur sont utilisées par les applications App Store, les applications en attente de leur licence affichent **En attente d’une licence utilisateur** ou **Échec de la licence utilisateur**, une application dont l’utilisateur a annulé l’invite d’installation affiche **En attente de l’approbation de l’installation par l’utilisateur**, et **Redemander** demande à nouveau la licence à Apple ou réaffiche l’invite. Consultez la page [**Commandes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/commandes "Commands"). - **Profils, certificats et sécurité** (Apple uniquement) : profils de configuration, certificats et état de sécurité signalés par l’appareil. - **Modifications de l’inventaire** (Apple uniquement) : une chronologie des applications, profils et certificats installés, supprimés ou mis à jour sur l’appareil, avec recherche et filtres par type et par modification. Consultez la page [**Commandes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/commandes "Commands"). - **Utilisateurs de l'iPad partagé** et **Utilisateurs du Mac** (Apple uniquement) : les utilisateurs d'un iPad partagé et les utilisateurs d'un Mac. Consultez la page [**Commandes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/commandes "Commands"). - **Rapports de statut** : données supplémentaires signalées par l’appareil, affichées sous forme d’arborescence de catégories et de valeurs. - **Historique des inscriptions** : inscriptions précédentes pour ce même appareil physique, affichées sous forme de liste. ## Onglets du panneau de localisation Le panneau **Carte de localisation** utilise des onglets pour séparer l'historique des positions et les transitions de géorepérage. - **Localisation** : affiche les filtres d’historique, une recherche par plage de dates, les repères de localisation, le cercle de précision et les commandes de suivi en direct pour l’appareil actuel. - **Zones géographiques** (Android, iPhone et iPad) : affiche l’historique des transitions de zones géographiques sur une carte dédiée, avec des filtres de période, une option pour inclure les zones archivées et une liste latérale des transitions. Sur les iPhone et les iPad, une ligne d’état indique également quand la géolocalisation par zones ne peut pas fonctionner sur l’appareil. Pour connaître le comportement complet de ces onglets, consultez [**Carte de localisation**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/carte-de-localisation "Location map"). ## Actions En bas de la page, vous pouvez actualiser les données et effectuer des actions selon la plateforme, l’état de l’appareil et le statut de la licence. - **Actualiser les données** : recharge l’enregistrement de l’appareil. - **Désactiver l’appareil** / **Activer l’appareil** (Android uniquement) : disponible dans les états pris en charge. - **Désinscrire l’appareil** : retire la gestion de l’appareil. Le comportement exact dépend de la plateforme et de la propriété (par exemple, Android peut effacer un profil professionnel ou réinitialiser l’appareil). - **Supprimer l’appareil** : disponible lorsque l’appareil est déjà désinscrit et que son enregistrement peut être supprimé. # Carte de localisation Cette page documente les outils de localisation propres à l'appareil disponibles dans [**Présentation de l'appareil**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-de-lappareil "Device overview"). Le panneau contient un onglet **Localisation** pour l'historique des positions et, sur les appareils Android, les iPhone et iPad, un onglet **Geofencing** pour les transitions de geofencing. ## Prérequis Sur Android, les données de localisation de l'appareil ne sont affichées que si le signalement de la localisation est activé dans la stratégie de l'appareil. Pour l'activer, ouvrez la stratégie et activez **Localisation et géorepérage** → **Signaler la localisation**. Pour plus de détails, consultez [**Localisation et géorepérage**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/localisation-et-georeperage "Location and geofences"). Sur les iPhone et iPad, la position provient de l'application Cerberus Enterprise, une fois que l'utilisateur l'autorise, ou de la commande **Localiser l'appareil** lorsque l'appareil est en mode perdu. Les Mac et les autres appareils Apple ne signalent pas leur position.Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.
Sur les appareils personnels (User Enrollment), la localisation et le geofencing ne sont disponibles que lorsque la stratégie Apple a l'option **Localisation et geofencing sur les appareils personnels** activée, et uniquement si l'utilisateur autorise la localisation pour l'application Cerberus Enterprise. Sinon, la page de leur appareil n'affiche pas les actions de localisation ni le suivi en direct. Le mode perdu n'est jamais disponible sur les appareils personnels.
Pour la carte globale multi-appareils disponible depuis le tableau de bord, consultez [**Carte de localisation du tableau de bord**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/carte-de-localisation-du-tableau-de-bord "Dashboard location map").
## État de chargement et d'absence de données - Pendant le chargement des données de localisation, le panneau affiche une superposition de chargement sur la carte. - Si l'appareil n'a aucune donnée de localisation disponible, le panneau affiche un message indiquant **Aucune donnée de localisation disponible**. Sur Android, il ajoute un rappel pour activer la transmission de la localisation dans la stratégie attribuée lorsqu'elle est désactivée. Sur Apple, il indique d'où provient la position ou que ce type d'appareil ne la signale pas. - Si un filtre de date est actif et qu'aucun échantillon ne correspond, le panneau affiche **Aucune donnée disponible dans la plage de dates sélectionnée**. ## Onglet Localisation Ouvrez l'onglet **Localisation** pour consulter l'historique d'un seul appareil. Les filtres disponibles incluent la dernière position connue, des plages d'historique récentes, une plage de dates personnalisée et le suivi en direct. - **Dernière** : affiche la dernière position connue. - **Aujourd'hui**, **7 derniers jours** et **30 derniers jours** : affichent les positions enregistrées pour la période sélectionnée. - **Rechercher** : permet de choisir une plage de dates personnalisée. - **Direct** : démarre ou arrête le suivi en direct de l'appareil actuel.Les positions sont conservées **90 jours** : les plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée, de sorte que l'appareil reste sur les cartes même s'il n'a pas envoyé de position depuis longtemps. Pour les appareils supprimés et les inscriptions passées, toutes les positions de plus de 90 jours sont supprimées. C'est pourquoi la plage de dates du filtre **Rechercher** ne peut pas commencer il y a plus de 90 jours.
## Détails du marqueur Lorsque vous cliquez sur un marqueur de localisation, une fenêtre d'informations s'ouvre avec : - Horodatage de l’enregistrement de localisation. - La **précision** signalée (en mètres). - La **vitesse** signalée, lorsque l’appareil la fournit. - Le **cap** ou le relèvement signalé, lorsque l’appareil le fournit. ## Cercle de précision Lorsque la fenêtre d’informations est ouverte, un cercle de précision s’affiche autour du repère. Le rayon du cercle correspond à la précision signalée (en mètres). La fermeture de la fenêtre d’informations masque le cercle. ## Suivi en direct Dans la vue de l’historique de l’appareil, la sélection du filtre **En direct** démarre une demande de suivi en temps réel pour cet appareil spécifique. Cerberus Enterprise demande une confirmation avant de démarrer la demande. - Le suivi en direct dure jusqu’à **15 minutes**. - Pendant le suivi en direct, les appareils Android affichent une notification et les iPhone et les iPad affichent l’indicateur de localisation. - Pendant le suivi en direct, le panneau actualise en continu la dernière position et l’indicateur en direct reste visible. - Sélectionner à nouveau le filtre En direct vous permet d’arrêter le suivi en direct avant la fin du délai. - Sur **iPhone et iPad**, le suivi en direct s’effectue via l’application Cerberus Enterprise, avec l’accès à la localisation réglé sur **Toujours**. La demande réveille normalement l’application même lorsqu’elle n’est pas ouverte, et l’application envoie ensuite les positions pendant toute la session. iOS ne garantit pas ces demandes : il peut les retarder ou ne pas les livrer, par exemple en mode Économie d’énergie ou sans connexion réseau. Si aucune position n’arrive dans les 2 minutes, le tableau de bord annule la demande : demandez à l’utilisateur d’ouvrir l’application une fois, puis réessayez. ## Onglet Zones géographiques Sur les appareils Android, les iPhone et les iPad, le deuxième onglet affiche les transitions de zones géographiques générées à partir des zones géographiques définies dans la stratégie attribuée. - La carte affiche les zones géographiques actuelles ainsi que les points de transition enregistrés. - La liste des transitions à droite vous permet d’examiner les événements **d’entrée** et **de sortie**. - Les filtres disponibles sont **Aujourd’hui**, **7 derniers jours**, **30 derniers jours** et une recherche personnalisée par plage de dates. - **Inclure les archives** affiche également les transitions liées à d’anciennes définitions de zones géographiques qui ne sont plus présentes dans la stratégie actuelle. - Les transitions de zones géographiques sont conservées **90 jours** et les plus anciennes sont supprimées automatiquement chaque nuit : la recherche par plage de dates personnalisée ne peut donc pas commencer il y a plus de 90 jours. Sur les iPhone et les iPad, lorsque la stratégie comporte des zones géographiques actives, une ligne d’état en haut de l’onglet indique si la géolocalisation par zones fonctionne sur l’appareil. Elle vous informe lorsque cela ne peut pas fonctionner : l’application Cerberus Enterprise n’a pas contacté le serveur ou doit être mise à jour, l’accès à la localisation n’est pas réglé sur **Toujours**, **Position précise** ou **Actualisation des apps en arrière-plan** est désactivé, **Mode économie d’énergie** était activé lors du dernier rapport de réglages de l’application (les événements et changements de zones peuvent alors être retardés de plusieurs heures), ou l’application n’a pas encore appliqué les dernières zones géographiques. Lorsque tout fonctionne, elle indique combien de zones géographiques l’application surveille. ## Détails de la transition de zone géographique La sélection d’une transition ouvre ses détails sur la carte et met en évidence l’entrée correspondante dans la liste. Lorsqu’elles sont disponibles, Cerberus Enterprise affiche également les coordonnées de l’appareil et la précision signalée pour cette transition. # Gestion des SIM La page de l'appareil propose un panneau **Gestion des SIM**. Sur les appareils Android, il gère les SIM et les profils eSIM installés sur l'appareil, ajoute ou supprime des profils eSIM et affiche l'historique des commandes eSIM envoyées à l'appareil. Sur les iPhone et iPad cellulaires d'entreprise, il affiche les SIM et les forfaits eSIM signalés par l'appareil et permet à l'appareil de télécharger les forfaits eSIM préparés par l'opérateur : voir **iPhone et iPad** ci-dessous.Les informations SIM sont signalées par les appareils entièrement gérés lorsque la communication des **Informations réseau** est activée dans la stratégie de l’appareil (cette option est toujours activée par Cerberus Enterprise). Consultez la page [**Communication du statut**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/rapports-detat "Status reporting").
## EID de l’appareil L’EID (eUICC Identifier) identifie le matériel eSIM de l’appareil. Les opérateurs l’utilisent pour associer les profils eSIM à l’appareil ; sa récupération constitue donc généralement la première étape d’un flux de provisionnement eSIM. - **Appareils appartenant à l’entreprise** (Android 13 et versions ultérieures) : l’EID est signalé automatiquement avec l’état de l’appareil et aucune interaction de l’utilisateur n’est requise. - **Appareils personnels** (Android 13 et versions ultérieures) : utilisez le bouton **Demander l’EID**. L’utilisateur verra une notification sur l’appareil lui demandant de partager l’EID et pourra approuver ou refuser la demande. L’EID n’est affiché que si l’utilisateur approuve. Tant que la demande est en attente, le bouton reste désactivé.L’envoi d’une demande d’EID affiche d’abord une boîte de dialogue de confirmation, car l’utilisateur verra une notification sur l’appareil.
## SIM installées Le tableau **SIM installées** répertorie les SIM actuellement connues pour l’appareil, y compris les SIM physiques et les profils eSIM. Sur les appareils personnels, les profils eSIM installés avec la commande **Ajouter une eSIM** sont affichés même lorsque l’appareil ne signale pas les informations SIM. - **Opérateur** : le nom de l’opérateur associé à la SIM (lorsqu’il est signalé). - **Numéro de téléphone** : le numéro de téléphone associé à la SIM (lorsqu’il est signalé). - **ICCID** : l’identifiant de carte à circuit intégré de la SIM. - **État d’activation** : indique si l’eSIM est activée ou non. Signalé uniquement pour les eSIM sous Android 15 et versions ultérieures. - **Mode de configuration** : indique si l’eSIM a été configurée par un administrateur ou par l’utilisateur. Signalé uniquement pour les eSIM sous Android 15 et versions ultérieures. - **Type de SIM** : indique si l’appareil signale l’entrée comme une eSIM.Les eSIM faisant l’objet d’une commande de suppression en cours ou exécutée (non échouée) affichent un état d’activation **Suppression en cours** temporaire. L’entrée disparaît de la liste lorsque l’appareil signale la liste de SIM mise à jour. Pendant une suppression en cours, le bouton de suppression n’est pas disponible, afin d’éviter d’envoyer deux fois la même commande.
### Supprimer une eSIM Utilisez le bouton de suppression à côté d’une eSIM installée pour supprimer son profil de l’appareil. Une boîte de dialogue de confirmation vous demande de confirmer l’ICCID de l’eSIM à supprimer avant l’envoi de la commande. La suppression d’une eSIM est prise en charge sous Android 15 et versions ultérieures. ## Ajouter une eSIM La section **Ajouter une eSIM** installe un nouveau profil eSIM sur l’appareil (prise en charge sous Android 15 et versions ultérieures). Elle nécessite : - **Validité** : la durée pendant laquelle la commande est valide si elle ne peut pas être exécutée immédiatement. - **Code d’activation** : le code d’activation du profil eSIM, fourni par l’opérateur. Vous pouvez saisir le code complet, ou uniquement l’adresse SM-DP+ pour permettre à l’appareil de découvrir un profil que l’opérateur a déjà associé à son EID. - **État d’activation** : indique si le profil eSIM doit être activé automatiquement après le téléchargement, ou laissé désactivé pour une activation manuelle par l’utilisateur. ## Historique des commandes Sous la section Ajouter une eSIM, le panneau affiche l’historique des commandes eSIM envoyées à l’appareil : **Ajouter une eSIM**, **Supprimer une eSIM** et **Demander l’EID**. Le tableau est triable et prend en charge la pagination. Certaines lignes peuvent être développées pour consulter les paramètres de la commande (par exemple le code d’activation ou l’ICCID) et l’état d’exécution, y compris les détails de l’erreur eSIM lorsqu’une opération échoue sur l’appareil. - **Date de création** - **Commande** - **Validité** - **État** - **Erreur** : affiche l’état d’erreur eSIM (par exemple *Utilisateur refusé*, *Code d’activation non valide* ou *ICCID introuvable*) lorsque l’exécution de la commande le signale. - **Date d’exécution** ## Effacer les eSIM lors de l’effacement et de la désinscription Lorsque vous effacez l’appareil depuis le panneau Commandes, l’option **Effacer les eSIM** détermine si les profils eSIM sont supprimés lors de l’effacement. Sur les appareils personnels dotés d’un profil professionnel, cette option est activée par défaut (les eSIM gérées sont supprimées, les eSIM personnelles ne sont pas affectées). La même option est disponible dans la boîte de dialogue de confirmation **Désinscrire l’appareil**. ## iPhone et iPad Le panneau est affiché pour les iPhone et pour les iPad ayant signalé des données cellulaires (un iPad Wi-Fi uniquement n’en a aucune), uniquement lorsque l’appareil appartient à l’entreprise et ne relève pas d’une inscription utilisateur. Les informations cellulaires de l’appareil sont demandées avec les informations de l’appareil : lors de l’inscription, chaque jour, avec **Actualiser les informations de l’appareil**, lorsque son propriétaire devient l’entreprise, et quelques minutes après **Actualiser les forfaits cellulaires**. - **EID de l’appareil** : l’EID signalé avec les SIM, avec un bouton pour le copier à l’intention de l’opérateur. Si l’appareil ne le signale pas, l’utilisateur le trouve dans Réglages > Général > À propos. - **Signalé**, **Itinérance des données**, **Partage de connexion** et **Micrologiciel du modem** : la réponse de l’appareil et l’état qu’il a signalé. L’itinérance des données et le partage de connexion peuvent être modifiés avec **Réglages de l’appareil** dans le panneau Commandes, qui affiche également l’état actuel. - **SIM** : une ligne par SIM ou forfait eSIM (les appareils double SIM en ont deux), avec l’emplacement tel que signalé par l’appareil, son libellé et son type (**eSIM** lorsque l’appareil signale l’EID avec, **Carte SIM** sinon), l’opérateur (l’opérateur d’origine dans une info-bulle lorsque l’appareil est en itinérance sur un autre réseau), le numéro de téléphone, l’ICCID, l’EID, l’IMEI, la SIM utilisée pour les données et pour les appels, et l’itinérance. Un emplacement eSIM sans forfait est affiché en grisé sous la forme **Aucun forfait**. - **Cet appareil n’a signalé aucune SIM** signifie que l’appareil a répondu sans aucune SIM ; **Aucune information cellulaire pour l’instant** signifie qu’il n’a pas encore répondu : utilisez **Actualiser les informations de l’appareil**.Les numéros de téléphone, l’ICCID, l’IMEI et l’EID identifient la personne et la ligne : ils ne sont jamais demandés aux appareils personnels ni aux inscriptions utilisateur. Lorsqu’un appareil devient personnel, les informations sont supprimées immédiatement et masquées dans les résultats des anciennes commandes d’informations de l’appareil, dans l’historique des commandes. Elles ne sont pas exportées et ne sont pas écrites dans les journaux système.
### Actualiser les forfaits cellulaires Les iPhone et les iPad ne peuvent pas installer une eSIM à partir d’un code d’activation. L’opérateur associe (réserve) le forfait eSIM à l’EID de l’appareil sur son serveur eSIM (SM-DP+) et vous fournit l’adresse de ce serveur ; **Actualiser les forfaits cellulaires** demande alors à l’appareil de télécharger les forfaits qui l’attendent. Le bouton **Actualiser les forfaits cellulaires** du panneau sélectionne la commande dans le panneau Commandes, où vous saisissez l’**URL du serveur eSIM de l’opérateur** : - **Une adresse https://**, envoyée telle quelle. Les adresses avec http://, un nom d’utilisateur ou un mot de passe, ou une partie # ne sont pas acceptées. - **Un nom d’hôte**, par exemple *smdp.carrier.example*, envoyé sous la forme https://smdp.carrier.example. - **Un code d’activation LPA** (LPA:1$server$code, le texte d’un QR code eSIM) : seul le serveur est utilisé, car la commande ne peut pas transporter le code. Le forfait doit être associé à l’EID de l’appareil par l’opérateur, sinon l’appareil ne trouve rien à télécharger. L’appareil installe et active le forfait sans demander à l’utilisateur, y compris lorsqu’il n’est pas supervisé. Un succès dans l’historique des commandes signifie que l’appareil a accepté la demande, et non qu’un forfait a été installé : l’installation peut prendre jusqu’à trois minutes, et Cerberus Enterprise redemande ses SIM à l’appareil environ trois minutes plus tard, afin que le nouveau forfait apparaisse dans le panneau. Les erreurs 36001 (l’appareil n’a pas pu joindre son système cellulaire), 36002 (aucune prise en charge des eSIM) et 36003 (système cellulaire occupé, réessayez plus tard) sont expliquées dans les journaux système. Un forfait téléchargé une fois ne peut pas être téléchargé à nouveau : si l’installation échoue, contactez l’opérateur. La commande est également disponible pour plusieurs appareils à la fois dans le menu **Actions pour appareils Apple** de la page Appareils. ### Ce qu’Apple n’autorise pas - **Ajouter une eSIM** à partir d’un code d’activation : impossible, utilisez **Actualiser les forfaits cellulaires** avec un forfait associé à l’EID. - **Supprimer une eSIM** : une eSIM ne peut pas être supprimée à distance une par une. L’effacement de l’appareil avec l’option **Conserver le forfait de données eSIM** désactivée supprime toutes les eSIM. Pour arrêter un seul forfait, demandez à l’opérateur de le désactiver : le forfait reste sur l’appareil mais ne peut pas se connecter. - **Demander l’EID** : inutile, l’EID est fourni avec les SIM des appareils appartenant à l’entreprise. - **Les Mac** ne disposent d’aucune gestion cellulaire ou eSIM. # Commandes La page de l'appareil propose un panneau **Commandes** pour envoyer des commandes à distance à un appareil géré. Les commandes disponibles dépendent de la plateforme (Android ou Apple) et de l'état de l'appareil. Les commandes ne peuvent être envoyées qu'à un appareil actuellement inscrit. Sur un appareil désinscrit, sur un appareil ADE qui n'est pas encore inscrit et sur l'historique d'une inscription passée, le panneau affiche uniquement l'historique des commandes.Si l'appareil n'est pas actuellement en ligne, la commande sera transmise et exécutée dès que l'appareil se connectera à Internet. Pour les commandes Android, vous pouvez définir le paramètre **Validité** afin de déterminer pendant combien de temps une commande non transmise reste valide.
## Commandes Android (AMAPI) Pour les appareils Android, le panneau Commandes comprend un champ **Validité** (valeur + unité) et un sélecteur **Commande**. Certaines commandes nécessitent des paramètres supplémentaires, qui apparaissent dynamiquement lorsque vous sélectionnez la commande. ### Paramètres courants - **Validité** : durée pendant laquelle la commande reste valide si elle ne peut pas être exécutée immédiatement. - **Commande** : choisissez l'action à envoyer à l'appareil. ### Commandes sans champs supplémentaires - **Verrouiller l'appareil** : verrouille l'appareil. - **Redémarrer l'appareil** : redémarre l'appareil. Nécessite Android 7.0 ou version ultérieure. - **Désactiver le mode perdu** : sort l'appareil du mode perdu. - **Renoncer à la propriété** : supprime le profil professionnel et toutes les stratégies d'un appareil d'entreprise sous Android 8.0 ou version ultérieure, et le laisse pour un usage personnel. Les applications et données du profil personnel sont conservées. L'appareil est supprimé du serveur après avoir accusé réception de la commande. Cette action est irréversible. ### Commandes avec des champs supplémentaires - **Réinitialiser le mot de passe** : nécessite **Nouveau mot de passe** et **Confirmer le nouveau mot de passe**. Des options facultatives sont disponibles : **Verrouiller maintenant**, **Exiger la saisie** et **Ne pas demander d'identifiants au démarrage**. - **Effacer les données de l'application** : nécessite le **Nom du package** cible. - **Activer le mode perdu** : nécessite un **Message du mode perdu** et prend en charge des champs de contact facultatifs (adresse, organisation, numéro de téléphone, e-mail). Lorsque l'appareil le signale, son état devient **Perdu**, la page de l'appareil affiche une bannière et cette commande est masquée jusqu'à la désactivation du mode perdu. - **Effacer l'appareil** : prend en charge un **Message de motif de réinitialisation** (affiché aux utilisateurs sur les appareils personnels) et des options de réinitialisation facultatives, notamment **Effacer les eSIM**.Les commandes eSIM (**Ajouter une eSIM**, **Supprimer une eSIM**, **Demander l'EID**) sont disponibles dans le panneau dédié [**Gestion des SIM**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-sim "SIMs management").
### Historique des commandes Sous les commandes d'envoi, le tableau de bord affiche un tableau d'historique des commandes. Le tableau est triable et prend en charge la pagination. Certaines lignes peuvent être développées pour consulter des paramètres supplémentaires ou des détails d'exécution. #### Colonnes de l'historique Android - **Date de création** - **Commande** - **Validité** - **État** - **Erreur** - **Date d'exécution** ## Commandes Apple (MDM) Pour les appareils Apple, le panneau Commandes fournit un sélecteur **Commande**. Certaines commandes nécessitent des saisies supplémentaires. Comme pour Android, un tableau d'historique des commandes est affiché ci-dessous. ### Commandes avec des champs supplémentaires - **Installer l'application** : nécessite le **Bundle ID** de l'application. - **Envoyer une notification** : nécessite un **Message de notification** (200 caractères maximum). Sur les iPhone et iPad, **Envoyer une notification** et le suivi en direct atteignent l'appareil via l'application **Cerberus Enterprise** : ils sont désactivés tant que l'application n'est pas installée et enregistrée pour les notifications (voir le champ **Application Cerberus Enterprise**). Le démarrage du suivi en direct affiche « Demande de suivi en direct envoyée à l'appareil » : le suivi commence lorsque l'appareil envoie sa première position. iOS peut retarder ou ne pas transmettre la demande, par exemple en mode Économie d'énergie ou sans connexion réseau : si aucune position n'arrive dans les 2 minutes, demandez à l'utilisateur d'ouvrir l'application une fois. En cas d'échec d'une demande, le message indique la raison, par exemple que l'application n'est pas encore enregistrée, que la clé de notification du serveur est absente ou que le jeton de notification de l'appareil n'est plus valide. ### Actions sur l'appareil Seules les commandes prises en charge par l'appareil sont répertoriées : certaines nécessitent un iPhone ou un iPad supervisé, d'autres ne sont pas disponibles sur un Mac. Les commandes perturbatrices demandent une confirmation. - **Verrouiller l'appareil** : verrouille l'écran, avec un message et un numéro de téléphone facultatifs. Un Mac est redémarré et verrouillé avec un code PIN à six chiffres, affiché une fois après l'envoi de la commande et dans les détails de la commande. L'iPhone affiche le titre « iPhone perdu » au-dessus de votre message, même si cette commande n'active pas le mode perdu. - **Activer le mode perdu** (iPhone et iPad supervisés) : verrouille l'appareil et affiche votre message, votre numéro de téléphone et votre note de bas de page sur l'écran verrouillé. Tant que le mode perdu est activé, la page affiche une bannière et les commandes **Localiser l'appareil** (la localisation apparaît sur la carte de localisation), **Lire un son** et **Désactiver le mode perdu**. - L'appareil indique à la personne qui le tient qu'il a été localisé : après **Localiser l'appareil**, l'écran verrouillé affiche **iPhone localisé** avec l'heure et le nom du serveur qui a reçu la position, ainsi qu'un bouton **Continuer**. iOS affiche cet avis et il est impossible de le désactiver. - **Effacer le code d'accès** : supprime le code d'accès d'un iPhone ou d'un iPad, par exemple lorsque l'utilisateur l'a oublié. Si la stratégie exige un code d'accès, l'utilisateur est invité à en définir un nouveau. - **Actualiser les informations de l'appareil** : demande à l'appareil ses informations (supervision, version du système, état de sécurité, certificat MDM) et son inventaire. - **Réglages de l'appareil** : ouvre une fenêtre pour modifier le nom de l'appareil, le nom d'hôte d'un Mac, le Bluetooth, l'itinérance des données, le partage de connexion, le fuseau horaire, le fond d'écran, l'autorisation du verrouillage d'activation et, sur un iPad partagé, ses réglages (voir ci-dessous). Seuls les réglages que vous modifiez sont envoyés ; ceux que l'appareil ne prend pas en charge sont désactivés avec la raison. Un appareil peut accuser réception de l'itinérance des données ou du partage de connexion sans les appliquer (par exemple lorsque le forfait SIM ne comprend pas le partage de connexion), c'est pourquoi Cerberus Enterprise les relit environ 30 secondes plus tard et écrit un avertissement dans les journaux système s'ils n'ont pas changé. - **Redémarrer l'appareil** et **Éteindre l'appareil** : redémarrent ou éteignent l'appareil immédiatement, après confirmation. - **Effacer l'appareil** : efface tout le contenu et les réglages et retire l'appareil de la gestion. Sur iPhone et iPad, vous pouvez conserver le forfait de données eSIM et ignorer la configuration de proximité ; un Mac reçoit un code PIN à six chiffres. - **Retour au service** (option de **Effacer l'appareil**, iPhone et iPad avec iOS 17 ou ultérieur) : après l'effacement, l'appareil se configure à nouveau tout seul, sans intervention, et s'inscrit à nouveau avec sa stratégie, son utilisateur et son propriétaire actuels. Choisissez un réseau Wi-Fi de la stratégie de l'appareil pour la configuration, sauf si l'appareil dispose d'Ethernet ou de données cellulaires : seuls les réseaux personnels (avec un mot de passe, sans certificats) peuvent être utilisés, car l'appareil n'a encore ni utilisateur ni certificat. Le verrouillage d'activation doit être désactivé. - **Actualiser les forfaits cellulaires** (iPhone et iPad cellulaire, iOS 13 ou ultérieur, hors User Enrollment) : saisissez l'**URL du serveur eSIM de l'opérateur** fournie par l'opérateur (une adresse https://, un nom d'hôte ou un code d'activation LPA, dont seul le serveur est utilisé) et l'appareil télécharge les forfaits eSIM que l'opérateur a associés à son EID. L'EID de l'appareil est affiché sous le champ pour l'envoyer à l'opérateur. Consultez la page [**Gestion des SIM**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-sim "SIMs management"). - **Conserver le forfait de données eSIM** désactivé supprime toutes les eSIM lors de l'effacement. La restriction de stratégie **Conserver l'eSIM lors de l'effacement de l'appareil** (appareils supervisés, iOS 17.2 ou ultérieur) s'applique aux effacements lancés sur l'appareil (trop de tentatives de code d'accès échouées, Effacer tout le contenu et les réglages) : Apple ne documente pas son effet sur cette commande. - **Déconnecter l'utilisateur** (iPad partagé) : déconnecte l'utilisateur actuel et revient à l'écran de connexion. Les données non encore synchronisées avec iCloud restent sur l'iPad. ### iPad partagé Un iPad partagé est utilisé par plusieurs personnes, chacune avec son propre Managed Apple Account, ou par des invités avec des sessions temporaires. Il est configuré avec un profil ADE qui active l'iPad partagé (voir la page [**Apple Automated Device Enrollment**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/apple-automated-device-enrollment-ade "Apple Automated Device Enrollment")), et son champ **Type d'inscription** indique **iPad partagé**. - **Utilisateurs de l'iPad partagé** : les utilisateurs de l'iPad, avec l'utilisateur connecté, l'espace de stockage qu'ils utilisent et si certaines données ne sont pas encore synchronisées avec iCloud. Utilisez **Actualiser** pour demander à nouveau la liste à l'iPad. Un utilisateur peut être supprimé avec ses données, sauf l'utilisateur connecté (déconnectez-le d'abord) ; **Supprimer tous les utilisateurs** nécessite iPadOS 14 ou ultérieur. Lorsque les données ne sont pas encore synchronisées, la confirmation avertit qu'elles seront perdues. - **Réglages de l'appareil** : le stockage de chaque utilisateur, le nombre d'utilisateurs attendu, le délai d'inactivité après lequel les utilisateurs et les sessions invité sont déconnectés, les sessions invité uniquement, les domaines Managed Apple Account suggérés sur l'écran de connexion, le nombre de jours pendant lesquels un utilisateur peut se connecter sans vérifier le mot de passe en ligne, et l'ignorance de la configuration de la langue et de la région pour les nouveaux utilisateurs. Les champs vides conservent leur valeur actuelle ; les réglages nécessitant une version plus récente d'iPadOS sont désactivés. ### Utilisateurs du Mac Sur un Mac, le panneau **Utilisateurs du Mac** répertorie les utilisateurs inscrits à la gestion, généralement l'utilisateur qui a inscrit le Mac. Les comptes de la stratégie sont installés dans leurs sessions. Pour chaque utilisateur, il indique quand il a été inscrit, le dernier rapport de sa session et l'état des comptes : **À jour**, **En attente de l'utilisateur** (le Mac les installe lorsque l'utilisateur est connecté), **Non appliqué** avec les raisons signalées par le Mac, ou **Aucun compte** lorsque la stratégie n'en contient aucun. Utilisez **Recharger** pour relire la liste. ### Verrouillage d'activation Le champ **Verrouillage d'activation** indique si le verrouillage d'activation est activé. Lorsqu'il est activé, un appareil effacé ne peut être configuré à nouveau qu'avec le compte Apple de l'utilisateur ou avec le code de contournement de l'appareil. Les appareils supervisés n'activent le verrouillage d'activation que s'il est autorisé dans **Réglages de l'appareil**. Cerberus Enterprise demande aux appareils supervisés leur code de contournement et le stocke : utilisez **Afficher le code de contournement** dans le menu du champ pour le consulter (seuls les administrateurs le peuvent, et chaque consultation est enregistrée dans le journal système), puis saisissez-le comme mot de passe sur l'écran de verrouillage d'activation de l'appareil, en laissant le compte Apple vide. ### Verrouillage de récupération et mot de passe du microprogramme (Mac) Un Mac avec Apple silicon affiche le champ **Verrouillage de récupération**, un Mac à processeur Intel le champ **Mot de passe du microprogramme**. Les deux protègent le Mac au démarrage : avec le verrouillage de récupération, recoveryOS demande le mot de passe ; avec un mot de passe du microprogramme, le Mac le demande pour démarrer depuis un autre disque ou depuis la récupération. Le champ indique si le Mac signale un mot de passe et, dans son infobulle, quand Cerberus Enterprise l'a stocké et quand il a été vérifié pour la dernière fois. - **Définir ou modifier le mot de passe** : Cerberus Enterprise génère un mot de passe de 20 lettres situées sur les mêmes touches quel que soit la disposition du clavier, ou un administrateur le saisit (8 à 64 caractères sans accents ; les autres rôles peuvent uniquement en générer un, car ils ne peuvent pas voir les mots de passe stockés). Le mot de passe est stocké chiffré avant d'être envoyé et ne remplace celui qui est stocké que lorsque le Mac le confirme. Si le Mac possède déjà un mot de passe défini en dehors de Cerberus Enterprise, saisissez-le comme mot de passe actuel : il est utilisé une seule fois et n'est pas stocké. - **Vérifier le mot de passe** : demande au Mac si le mot de passe stocké est correct. Le résultat figure dans l'infobulle et dans le journal système. - **Afficher le mot de passe** : seuls les administrateurs peuvent voir le mot de passe stocké, et chaque consultation est enregistrée dans le journal système. Les mots de passe générés sont affichés par groupes de quatre lettres : saisissez-les sans espaces. - **Effacer le mot de passe** : supprime le mot de passe du Mac. Un Mac à processeur Intel redémarre pour appliquer une modification du mot de passe du microprogramme : jusque-là, l'ancien mot de passe reste nécessaire (Afficher le mot de passe l'indique) et aucune autre modification ne peut être envoyée. Apple n'accepte également qu'une seule commande de mot de passe du microprogramme toutes les 30 secondes. Les mots de passe sont masqués dans l'historique des commandes. Lorsqu'un Mac quitte la gestion (désinscrit, retiré par l'utilisateur ou effacé), macOS supprime le verrouillage de récupération de lui-même et Cerberus Enterprise abandonne le mot de passe de verrouillage de récupération stocké ; il fait de même lorsque le Mac signale qu'il n'a pas de verrouillage de récupération, par exemple après une nouvelle inscription. Lorsque vous désinscrivez un Mac (ou supprimez sa stratégie), un mot de passe du microprogramme stocké est d'abord effacé, le Mac redémarre puis quitte la gestion. Si l'effacement échoue, le Mac quitte la gestion malgré tout et le mot de passe reste stocké afin que vous puissiez encore le consulter. Un Mac retiré de la gestion par l'utilisateur, ou effacé, conserve son mot de passe du microprogramme : Cerberus Enterprise le conserve aussi. La suppression de l'enregistrement de l'appareil supprime le mot de passe stocké ; il vous est donc demandé de confirmer au préalable : notez le mot de passe, car sans lui, seul Apple peut le supprimer. ### FileVault (Mac) Le champ **FileVault** indique si le disque du Mac est chiffré et, dans son infobulle, si Cerberus Enterprise conserve sa clé de récupération personnelle. Un Mac envoie la clé lorsque FileVault est activé après avoir reçu le réglage FileVault de sa stratégie (voir la page [**macOS**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/macos "macOS") des stratégies Apple). - **Afficher la clé de récupération** : seuls les administrateurs peuvent voir la clé, et chaque consultation est enregistrée dans le journal système. Utilisez-la à la fenêtre de connexion du Mac pour réinitialiser le mot de passe de l'utilisateur, ou en mode récupération pour déverrouiller le disque. Elle reste disponible après que le Mac a quitté la gestion ; la suppression de l'enregistrement de l'appareil la supprime. - **Modifier la clé de récupération** : le Mac remplace sa clé de récupération personnelle et envoie la nouvelle, chiffrée ; l'ancienne clé cesse de fonctionner. Cela n'est possible que lorsque la clé stockée peut être lue : le Mac est déverrouillé avec celle-ci et aucun mot de passe utilisateur n'est nécessaire. La clé stockée est masquée dans l'historique des commandes et supprimée du serveur dès que le Mac répond (ou après 7 jours sans réponse). ### Bootstrap Token (Mac) Un Mac avec macOS 10.15 ou ultérieur envoie son **Bootstrap Token** au serveur de gestion lorsqu'un utilisateur disposant d'un jeton sécurisé se connecte. Le serveur le conserve et le renvoie uniquement à ce Mac, qui l'utilise pour attribuer un jeton sécurisé aux nouveaux utilisateurs et, sur un Mac avec Apple silicon, pour installer des mises à jour logicielles et approuver des extensions de noyau sans demander de mot de passe administrateur. Personne ne peut voir le jeton, ni dans le tableau de bord ni ailleurs. Le champ **Bootstrap Token** indique son état : - **Séquestré** : le serveur possède le jeton ; l'infobulle indique quand le Mac l'a envoyé. - **Séquestré auparavant** : le jeton stocké a été envoyé avant la dernière inscription ou le dernier renouvellement du certificat MDM du Mac. Après un renouvellement, c'est normal : le jeton est conservé et le Mac ne l'envoie plus. Après une nouvelle inscription, il peut ne plus être valide : exécutez `sudo profiles install -type bootstraptoken` dans Terminal sur le Mac. - **Non séquestré** : le Mac n'a pas encore envoyé de jeton. Pour l'envoyer maintenant, un administrateur du Mac exécute `sudo profiles install -type bootstraptoken` dans Terminal (`sudo profiles status -type bootstraptoken` indique s'il est séquestré). L'infobulle indique également si le Mac autorise le jeton pour l'authentification. Les Mac configurés avec Automated Device Enrollment l'autorisent automatiquement ; sur les autres Mac avec Apple silicon, un utilisateur peut l'autoriser dans l'Utilitaire de sécurité au démarrage de recoveryOS. Les Mac Intel ne peuvent pas utiliser le jeton pour l'authentification (**Non pris en charge**), mais un jeton séquestré attribue tout de même un jeton sécurisé aux nouveaux utilisateurs. Chaque fois qu'un Mac envoie, supprime ou demande son jeton, cela est enregistré dans le journal système. ### État de l'appareil et mises à jour du système Le panneau **État de l'appareil** affiche ce que l'appareil signale à son sujet : la version et la compilation du système, la progression d'une mise à jour logicielle (version en attente, échéance, origine du déclenchement, échecs), la présence d'un code d'accès et sa conformité à la stratégie, FileVault sur un Mac, l'état de la batterie et les comptes configurés sur l'appareil. La liste **Mises à jour disponibles** affiche les mises à jour du système que l'appareil peut installer, collectées lors de l'inscription et chaque semaine. Utilisez **Rechercher des mises à jour** pour les demander maintenant, et **Installer** pour installer immédiatement une mise à jour (l'appareil redémarre, après confirmation) ou seulement la télécharger et laisser l'utilisateur l'installer. Cela fonctionne sur les iPhone et iPad supervisés et sur les Mac, jusqu'à iOS, iPadOS et macOS 26 : sur les versions ultérieures, et pour mettre à jour de nombreux appareils, utilisez les mises à jour obligatoires de la stratégie (voir la page [**Mises à jour logicielles**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/mises-a-jour-logicielles "Software updates") des stratégies Apple). Un Mac avec Apple silicon n'installe une mise à jour sans demander de mot de passe administrateur que lorsqu'il autorise son Bootstrap Token pour l'authentification et que le jeton est séquestré (voir Bootstrap Token ci-dessus). Sinon, la confirmation indique qu'un utilisateur devra peut-être saisir un mot de passe administrateur avant l'installation de la mise à jour. ### Applications et inventaire Le panneau **Applications** répertorie toutes les applications de l'appareil dans un seul tableau. L'état d'installation des applications installées par la stratégie ou par une commande est signalé en direct par l'appareil ; les versions, les tailles et les applications installées par l'utilisateur proviennent de la dernière liste d'applications, collectée lors de l'inscription et chaque semaine. Utilisez **Interroger l'appareil** pour la demander maintenant. - **Gestion** : **Stratégie** pour les applications installées par la stratégie de l'appareil, **Géré** pour les applications installées avec une commande telle que **Installer l'application**, **Non géré** pour celles installées par l'utilisateur. L'application Cerberus Enterprise porte la puce **Installé par Cerberus**. - **Nécessite votre attention** : applications dont l'installation a échoué, qui ont été refusées ou supprimées par l'utilisateur, ou qui attendent l'utilisateur. Ouvrez une ligne pour voir l'erreur ; les applications de stratégie en échec peuvent être réinstallées avec le bouton de nouvelle tentative. Les applications intégrées et les applications App Store que l'appareil signale comme non validées ne sont pas comptabilisées. - **Supprimer l'application** : les applications gérées peuvent être supprimées, avec leurs données. Pour supprimer une application installée par la stratégie, retirez-la de la stratégie. La stratégie envoie également cette commande d'elle-même lorsqu'un paquet Mac installé comme application gérée est retiré de la stratégie. Le panneau **Profils, certificats et sécurité** affiche les profils de configuration, les certificats et l'état de sécurité (code d'accès, chiffrement, FileVault et pare-feu sur un Mac) signalés par l'appareil.Sur les appareils personnels, les applications installées par l'utilisateur ne sont pas collectées et seuls les profils et certificats gérés par Cerberus Enterprise sont répertoriés.
Le panneau **Modifications de l'inventaire** affiche ce qui a changé entre deux listes envoyées par l'appareil : applications installées, supprimées ou mises à jour (avec l'ancienne et la nouvelle version), profils installés, supprimés ou mis à jour, et certificats ajoutés ou supprimés. Une modification est détectée lorsque l'appareil envoie une nouvelle liste, chaque semaine pour les applications et les profils, chaque jour pour les certificats, ou lorsque vous utilisez **Interroger l'appareil** : la date affichée correspond au moment de la détection, la modification ayant eu lieu entre la liste précédente et celle-ci. La première liste d'un appareil, ainsi que la première après une nouvelle inscription ou un changement de propriétaire, est uniquement enregistrée comme point de départ. Recherchez par nom ou identifiant, et filtrez par type et par modification. Les modifications sont conservées pendant 365 jours.Lorsqu'une mise à jour du système remplace plusieurs applications Apple à la fois, elles sont affichées sur une seule ligne (par exemple "23 applications Apple mises à jour") que vous pouvez développer. Le renouvellement du certificat MDM est affiché comme **Certificat MDM renouvelé**. Sur les appareils personnels, seules les modifications des éléments gérés par Cerberus Enterprise sont affichées.
#### Colonnes de l'historique Apple - **Date de création** - **Commande** - **Statut** : **Envoyé** (en attente de l'appareil, remis dès qu'il se connecte), **Réussi**, **Répondu** (ouvrez la ligne pour voir le résultat), **En attente de l'appareil** (l'appareil ne peut pas exécuter la commande pour le moment), **Échoué** (ouvrez la ligne pour voir la raison) ou **Annulé** (la file de commandes de l'appareil a été vidée, par exemple lors d'une nouvelle inscription). - **Date d'exécution** ## Actualiser Utilisez l'action d'actualisation dans le panneau Commandes pour recharger l'historique des commandes. # Carte de localisation du tableau de bord La carte de localisation du tableau de bord offre une vue globale de la dernière position connue des appareils qui transmettent des données de localisation. Ouvrez-la depuis **Tableau de bord** pour consulter plusieurs appareils sur la même carte Google. ## Prérequis Un appareil n'apparaît sur cette carte que si le signalement de la localisation est activé dans la stratégie qui lui est attribuée. Pour l'activer, ouvrez la stratégie et activez **Localisation et géorepérage** → **Signaler la localisation**. Pour plus de détails, consultez [**Localisation et géorepérage**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/localisation-et-georeperage "Location and geofences").Sur les appareils qui ne sont pas entièrement gérés, les données de localisation peuvent encore dépendre de l'autorisation de localisation accordée à l'application Cerberus Enterprise et de l'activation des services de localisation sur l'appareil.
Les appareils personnels (User Enrollment) ne partagent leur localisation que lorsque leur stratégie Apple a l'option **Localisation et geofencing sur les appareils personnels** activée et que l'utilisateur autorise la localisation pour l'application Cerberus Enterprise. Sinon, Cerberus ne collecte pas leur localisation et le suivi en direct n'est pas disponible pour eux.
Pour l'historique par appareil et les transitions de geofencing disponibles dans l'éditeur d'appareil, consultez [**Carte de localisation**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/carte-de-localisation "Location map").
L'historique des positions est conservé **90 jours** et les positions plus anciennes sont supprimées automatiquement chaque nuit. La dernière position de chaque appareil inscrit est toujours conservée : les appareils qui n'ont pas envoyé de position depuis longtemps restent donc affichés sur la carte.
## État de chargement et d'absence de données - Pendant le chargement des données de localisation, la carte affiche une superposition de chargement. - Si aucun appareil ne dispose actuellement de données de localisation, la page affiche le message **Aucune donnée de localisation disponible**. ## Marqueurs et groupes Chaque appareil disposant de données de localisation est affiché sous forme de marqueur. Lorsque de nombreux appareils sont proches les uns des autres, les marqueurs sont regroupés automatiquement pour que la carte reste lisible. Les appareils en cours de suivi en direct sont mis en évidence par un marqueur animé afin d'être plus faciles à repérer sur la carte. ## Commandes de la carte Lorsque la carte contient des localisations d'appareils, Cerberus Enterprise affiche des boutons d'action dans le coin supérieur droit de la carte. - **Position actuelle** : utilise la position de votre navigateur pour déplacer la carte vers votre position actuelle et ajuster la zone de précision signalée. - **Recentrer la carte** : ajuste à nouveau la carte autour des marqueurs d'appareils actuellement affichés. - Pastille de suivi en direct **Suivis** : apparaît lorsqu'un ou plusieurs appareils sont suivis en direct et indique combien sont actuellement actifs. - **Arrêter tout le suivi en direct** : le bouton d'icône situé dans la pastille de suivi en direct arrête le suivi en direct de tous les appareils actuellement suivis après confirmation. ## Détails du marqueur Cliquer sur un marqueur ouvre une fenêtre d'informations contenant : - Le **Modèle** de l'appareil et son **Identifiant** interne. - L'horodatage de la dernière localisation signalée. - La **précision** signalée, en mètres. - La **vitesse** signalée, lorsqu'elle est disponible. - Le **cap** signalé, lorsqu'il est disponible. L'identifiant de l'appareil dans la fenêtre d'informations est un lien qui ouvre la page [**Présentation de l'appareil**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/presentation-de-lappareil "Device overview") correspondante. ## Actions de la fenêtre d'informations Chaque fenêtre d'informations comprend également des boutons d'action pour l'appareil sélectionné. - **Lien de l'appareil** : le nom et l'identifiant de l'appareil en haut de la fenêtre d'informations ouvrent la page de présentation correspondante. - **Zoom avant** : centre la carte sur l'appareil sélectionné et ajuste plus précisément le cercle de précision signalé autour de celui-ci. - **Direct** : démarre le suivi en direct de cet appareil. Si le suivi en direct est déjà actif, le même bouton l'arrête après confirmation. - **Suivi en direct actif** : lorsque cette ligne d'état est présente, elle indique que l'appareil sélectionné est déjà suivi en temps réel. ## Cercle de précision Lorsqu'un marqueur est sélectionné, la carte affiche un cercle de précision autour de la localisation. Le rayon du cercle correspond à la précision signalée. ## Comportement du suivi en direct Le démarrage du suivi en direct depuis une fenêtre d'informations envoie une demande de suivi en temps réel à cet appareil. Cerberus Enterprise actualise ensuite la carte automatiquement pendant que la session est active. - Chaque session de suivi en direct dure jusqu'à **15 minutes**. - Pendant le suivi en direct, les appareils Android affichent une notification et les iPhone et iPad affichent l'indicateur de localisation. - Le suivi en direct peut être arrêté depuis la fenêtre d'informations de l'appareil sélectionné ou depuis le bouton global **Arrêter tout le suivi en direct** de la carte. - Sur **iPhone et iPad**, le suivi en direct s'effectue via l'application Cerberus Enterprise, avec l'accès à la localisation défini sur **Toujours**. La demande réveille normalement l'application même lorsqu'elle n'est pas ouverte, puis l'application envoie des localisations pendant toute la session. iOS ne garantit pas ces demandes : il peut les retarder ou ne pas les transmettre, par exemple en mode économie d'énergie ou sans connexion réseau. Si aucune localisation n'arrive dans les 2 minutes, le tableau de bord annule la demande : demandez à l'utilisateur d'ouvrir l'application une fois, puis réessayez. # Applications privées Depuis cette section du tableau de bord, vous pouvez importer vos propres applications Android privées ou créer des applications web à distribuer sur vos appareils. Les seuls détails à fournir sont le titre et l'APK d'une application. Les applications privées sont automatiquement approuvées pour votre organisation et sont généralement prêtes à être distribuées sous 10 minutes. Vous pouvez téléverser au total 15 applications privées par jour. Notez que les applications web comptent également dans ce total. La première fois que vous publiez une application privée, vous devrez fournir une adresse e-mail pour recevoir les notifications de la Play Console concernant vos applications et votre compte développeur Google Play. De plus, Managed Google Play crée automatiquement un compte Play Developer au nom de votre organisation. Vous n'avez pas à payer de frais d'inscription pour ce compte. Applications privées publiées depuis l'iframe : - Ne sont pas soumises aux mêmes contrôles que les autres applications. Par conséquent, elles ne peuvent pas être converties en applications publiques. - Ne sont pas transférables. Vous ne pouvez pas transférer la propriété d'une application vers un autre compte Play Developer. Pour plus de détails, consultez la page [Aide de Managed Google Play ](https://support.google.com/googleplay/work/answer/9146439) # Gestion des certificats Le tableau de bord comprend une section **Certificats** pour importer, consulter et supprimer des certificats. Cliquer sur une ligne de certificat ouvre l'éditeur de certificat. ## Liste des certificats Les certificats sont affichés dans un tableau triable et paginé. La liste inclut à la fois les certificats client et les autorités de certification (CA). ### Filtres En haut de la page, vous pouvez activer des filtres à l'aide de la liste de puces. Certains filtres sont mutuellement exclusifs. - **Tous** : afficher tous les certificats. - **Client** : afficher uniquement les certificats client. - **Autorité de certification (CA)** : afficher uniquement les certificats d'autorité de certification. - **Rechercher** : affiche un champ de texte (libellé **Nom ou nom de fichier**) pour rechercher par nom de certificat ou nom de fichier importé. - **Sans utilisateur** : afficher les certificats client non associés à un utilisateur. ### Colonnes du tableau - **Nom** - **Type** - **Expiration** - **Utilisateur** (affiché pour les certificats client) - **Nom du fichier importé** - **Date d'importation** ### Actions - **Ouvrir le certificat** : cliquez sur une ligne pour ouvrir l'éditeur de certificat. - **Supprimer le certificat** : disponible uniquement lorsque le certificat n'est associé à aucun utilisateur ni à aucune stratégie et qu'il n'est pas utilisé par des appareils. L'action peut également être désactivée lorsque la licence est expirée. - **Sélection multiligne** : vous pouvez activer la sélection multiligne pour supprimer plusieurs certificats à la fois. Seuls les certificats supprimables peuvent être sélectionnés. - **Actualiser** : recharge la liste des certificats. ## Importer des certificats Pour importer des certificats, cliquez sur **Importer un certificat** et sélectionnez un ou plusieurs fichiers. Les formats pris en charge sont indiqués dans l'infobulle du bouton d'importation. ### Clients Format pris en charge : PKCS#12 encodé en Base64 (.p12 / .pfx). Les certificats client identifient un utilisateur ou un appareil sur le réseau de l'entreprise. Les certificats client peuvent être associés à un utilisateur spécifique. Chaque certificat client peut éventuellement être attribué à un utilisateur spécifique : cela permet de déployer la même configuration EAP Wi‑Fi sur de nombreux appareils. Vous pouvez le faire dans la section [configuration réseau](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/reseau "Networking") de la stratégie, à l'aide de l'option **Identifiants EAP des utilisateurs**.Vous pouvez également attribuer un certificat à un utilisateur depuis la page **Utilisateurs**.
Sur les appareils Apple, les certificats sont installés via la **Réseau** section de la stratégie Apple, où vous pouvez également choisir **Le certificat de l'utilisateur de l'appareil**. Consultez la page [Réseau](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/reseau-kAz "Networking") des stratégies Apple. ### Autorités de certification (CA) Formats pris en charge : X.509 encodé en Base64 (.crt / .pem / .cer / .der). Les certificats d'autorité de certification identifient une autorité de certification et indiquent à l'appareil que tous les certificats émis par cette autorité doivent être approuvés. Le tableau de bord vérifie qu'un certificat X.509 importé est bien une autorité de certification. ## Éditeur de certificat Lorsque vous ouvrez un certificat, l'éditeur affiche ses champs principaux et un panneau **Informations sur le certificat** en lecture seule. ### Champs principaux - **Nom** (obligatoire) - **Identifiant** (en lecture seule) - **Type** (en lecture seule) - **Expiration** (en lecture seule) - **Date d'importation** (en lecture seule) - **Nom du fichier importé** (en lecture seule) ### Association d'utilisateur (certificats client) Pour les certificats **Client**, l'éditeur affiche un champ **Utilisateur**. Si un utilisateur est attribué, un menu propose les options **Ouvrir l'utilisateur**, **Changer d'utilisateur** ou **Dissocier l'utilisateur**. Si aucun utilisateur n'est attribué, vous pouvez en attribuer un à l'aide du bouton d'action utilisateur. ### Supprimer le certificat L'action de suppression est désactivée lorsque le certificat est actuellement associé à un utilisateur ou utilisé dans des stratégies. Elle peut également être désactivée lorsque la licence est expirée. # Règles d'événements Les règles d'événement vous permettent d'automatiser des réactions à des événements d'appareil pris en charge. Ouvrez **Tableau de bord** → **Règles d'événement** pour créer des règles qui surveillent les événements d'inscription, de désinscription, de non-conformité et de géorepérage (appareils Android et Apple ; les événements de géorepérage proviennent des appareils Android, des iPhone et des iPad), puis déclenchent automatiquement une ou plusieurs actions. ## Ce que peut faire une règle d'événement Chaque règle combine un **sujet**, un **événement** et une ou deux **actions**. Les sujets pris en charge sont **Tous les appareils**, **Appareil spécifique** et **Stratégie**. - **Événements** : appareil inscrit, appareil désinscrit, appareil devenu non conforme, entrée dans un géorepérage, sortie d'un géorepérage. - **Actions sur l'appareil** : désactiver l'appareil, activer l'appareil, verrouiller l'appareil. - **Action e-mail** : envoyer un e-mail de notification aux administrateurs et, si cette option est activée, aux gestionnaires délégués.Une règle peut contenir uniquement une action e-mail, uniquement une action sur l'appareil, ou une action sur l'appareil et une action e-mail. Si les deux actions sont configurées, Cerberus Enterprise exécute d'abord l'action sur l'appareil, puis l'action e-mail.
## Règles de plateforme et de compatibilité Les événements et actions disponibles dépendent du sujet sélectionné et de la plateforme applicable à ce sujet. - **Android** prend en charge l'inscription, la désinscription, la non-conformité et les événements de géorepérage. - **Apple** prend en charge l'inscription, la désinscription, la non-conformité et les événements de géorepérage. Les événements de géorepérage proviennent des iPhone et iPad équipés de l'application Cerberus Enterprise. - **Désactiver l'appareil** est disponible sur Android et Apple. Sur les iPhone et iPad supervisés, elle active le mode Perdu ; les autres appareils Apple sont verrouillés à la place (un Mac avec un code PIN à six chiffres, affiché dans l'historique des commandes de l'appareil). Le mode Perdu est désactivé depuis la page de l'appareil. - **Activer l'appareil** n'est proposé que pour les événements de géorepérage, sur Android et Apple. Sur les iPhone et iPad, il désactive le mode Perdu. - **Désactiver l'appareil** et **Activer l'appareil** excluent un appareil Android en mode perdu : seule la commande **Désactiver le mode perdu** le sort du mode perdu. Les autres actions de la règle s'exécutent quand même, et le journal système indique pourquoi l'action sur l'appareil a été exclue. - **Verrouiller l'appareil** et **Envoyer un e-mail** sont disponibles sur Android et Apple, lorsque l'événement sélectionné les prend en charge. Un Mac est verrouillé avec un code PIN à six chiffres, affiché dans l'historique des commandes de l'appareil. - **Appareil désinscrit** ne prend en charge que l'e-mail. ## Liste des règles La liste des règles d'événement est la page de gestion principale de cette fonctionnalité. Elle comprend un tableau avec recherche indiquant le nom de la règle, le sujet, l'événement, les actions, la plateforme, l'état d'activation et la date de mise à jour. - Utilisez les puces de filtre pour basculer entre toutes les règles, les règles activées, les règles désactivées et la recherche textuelle. - Utilisez le bouton **Actualiser** pour recharger la vue actuelle du tableau. - Utilisez l'interrupteur d'activation de chaque ligne pour activer ou désactiver temporairement une règle. - Utilisez le mode de sélection multiligne pour supprimer plusieurs règles à la fois. - Utilisez **Créer une règle d'événement** pour ouvrir l'éditeur d'une nouvelle règle. ## Éditeur de règle L'éditeur est divisé en sections **Général**, **Portée**, **Déclencheur** et **Actions**. En bas de la page, une barre d'actions fixe maintient les boutons principaux visibles pendant le défilement. ### Général - **Nom** : obligatoire, jusqu'à 150 caractères. - **Description** : facultative, jusqu'à 2000 caractères. - **Règle activée** : enregistre la règle à l'état activé ou désactivé. ### Portée La portée définit les appareils auxquels la règle peut correspondre. L'éditeur affiche également la plateforme résolue et, lorsque disponible, le contexte de stratégie effectif. - **Tous les appareils** : la règle peut correspondre à tous les appareils pris en charge de l'entreprise. - **Appareil spécifique** : sélectionnez un appareil géré dans la boîte de dialogue de sélection. - **Stratégie** : sélectionnez un modèle de stratégie dans la boîte de dialogue de sélection. ### Déclencheur La section du déclencheur filtre automatiquement les événements disponibles en fonction de la portée et de la plateforme sélectionnées. #### Déclencheurs de géorepérage Les règles d'entrée et de sortie de géorepérage fonctionnent pour les appareils Android, les iPhone et les iPad, et une règle pour un appareil ou une stratégie nécessite un contexte de stratégie valide. Pour les définitions de géorepérage, consultez [**Localisation et géorepérage**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/localisation-et-georeperage "Location and geofences") (Android) et [**Localisation et géorepérage**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/localisation-et-georeperage-Gw9 "Location and geofences") (Apple). - Si le sujet est **Tous les appareils**, la règle s'applique toujours à **Tout géorepérage**. - Si le sujet est un appareil ou une stratégie, vous pouvez choisir **Tout géorepérage** ou un **Géorepérage spécifique**. - La liste des géorepérages spécifiques est chargée à partir du contexte de stratégie effectif de l'appareil ou de la stratégie sélectionnée. - Les règles de géorepérage pour tous les appareils enregistrées avant que les géorepérages ne soient disponibles sur iPhone et iPad s'appliquent toujours uniquement aux appareils Android. Ouvrez-les et enregistrez-les à nouveau pour les appliquer également aux appareils Apple. ### Actions La section des actions vous permet de choisir une action sur l'appareil et une notification par e-mail, toutes deux facultatives. L'interface masque automatiquement les combinaisons non prises en charge. La notification par e-mail est activée par défaut, même lorsque vous choisissez une action sur l'appareil : désactivez-la si vous ne voulez que l'action sur l'appareil. - Si aucune action d'appareil n'est disponible pour l'événement et la portée sélectionnés, vous pouvez toujours enregistrer une règle par e-mail uniquement. - Si l'e-mail est désactivé pour l'événement et la plateforme sélectionnés, l'option d'e-mail n'est pas disponible. - Une règle sans aucune action n'est pas valide et ne peut pas être enregistrée. ## Destinataires des e-mails Les actions par e-mail incluent toujours les utilisateurs de l'entreprise ayant le rôle **ADMIN**. Si l'entreprise est gérée en mode multi-tenant, vous pouvez étendre les destinataires aux gestionnaires MT. - **Gestionnaires principaux uniquement** : inclut les administrateurs de l'entreprise et les contacts des gestionnaires MT principaux. - **Gestionnaires principaux et gestionnaires de sous-comptes** : ajoute également les gestionnaires de sous-comptes affectés. - La liste d'aperçu affiche les adresses e-mail réelles qui seront utilisées lors de l'exécution de la règle. - Seuls les gestionnaires délégués ayant reçu l'accès à l'entreprise sont inclus dans la liste finale des destinataires. ## Comportement d'exécution Les règles d'événement s'exécutent immédiatement lorsque Cerberus Enterprise reçoit un événement pris en charge provenant des intégrations backend. Les règles désactivées sont ignorées automatiquement. Les exécutions réussies, ignorées et échouées sont enregistrées dans le journal système avec des messages lisibles, y compris la raison lorsqu'une règle ou une action sur l'appareil a été ignorée.Le journal système conserve les événements d'état et de localisation des appareils, ainsi que les exécutions de règles réussies ou ignorées, pendant **90 jours**. Les autres événements, tels que les actions des administrateurs, les connexions, les avertissements et les erreurs (y compris les exécutions de règles échouées), sont conservés **12 mois**. Les entrées plus anciennes sont supprimées automatiquement chaque nuit.
# Appareils # Appareils La section **Appareils** du tableau de bord (*Tableau de bord* → *Appareils*) répertorie tous les appareils inscrits dans votre compte. Depuis cette page, vous pouvez filtrer la liste, ouvrir la fiche d'un appareil et effectuer des actions sur l'appareil, comme le désactiver ou le désinscrire. ## Filtres En haut de la page, vous pouvez activer un ou plusieurs filtres à l'aide de la liste de puces. Les puces sélectionnées représentent les filtres actuellement actifs. Les filtres dépendent des plateformes configurées dans votre compte : les filtres des appareils Apple ou Android n'apparaissent que lorsque cette plateforme est configurée, et les filtres Android et Apple n'apparaissent que lorsque les deux le sont. ### Filtres disponibles - **Tous** : afficher tous les appareils. - **Inscrits** : affiche les appareils inscrits, quel que soit leur état (par exemple Actif, Perdu ou Désactivé). Les appareils désinscrits et les appareils ADE pas encore inscrits ne sont pas affichés. Il est sélectionné à l'ouverture de la page : choisissez Tous pour voir les appareils désinscrits et les appareils synchronisés depuis Apple Business qui ne sont pas encore inscrits. - **Non conformes** : affiche les appareils non conformes à la stratégie. - **Non sécurisé** : afficher les appareils dont la posture n'est pas sécurisée. - **Erreur d'app** : afficher les appareils Android dont les apps ont envoyé un retour d'erreur, ainsi que les appareils Apple dont les apps gérées nécessitent une attention (échec d'installation, refusées ou supprimées par l'utilisateur, ou en attente de l'utilisateur). - **Perdus** : affiche les appareils en mode perdu, sur Android et Apple. Leur état est affiché comme Perdu. - **État non mis à jour** : afficher les appareils qui n'ont pas signalé leur état au cours des 72 dernières heures. - **Stratégie non mise à jour** : afficher les appareils qui ont des modifications de stratégie en attente. - **Certificat MDM bientôt expiré** : afficher les appareils Apple dont le certificat MDM a expiré ou expire dans les 14 jours. - **Android** : afficher uniquement les appareils Android. - **Apple** : afficher uniquement les appareils Apple. - **iPhone**, **iPad**, **Mac** : afficher uniquement ces appareils Apple. Vous pouvez en sélectionner plusieurs. - **Appareils d'entreprise** : afficher uniquement les appareils d'entreprise. - **Appareils personnels** : afficher uniquement les appareils personnels. - **Propriétaire de l'appareil** : afficher uniquement les appareils Android entièrement gérés. - **Propriétaire du profil** : afficher uniquement les appareils Android avec profil professionnel. - **Supervisé** / **Non supervisé** : afficher les appareils Apple supervisés ou non. - **Recherche** : activer un champ de recherche textuelle. ### Recherche Lorsque vous activez le filtre **Recherche**, un champ de texte apparaît avec le libellé **Id, modèle, utilisateur, numéro de série ou OS** : il recherche l'id de l'appareil, le modèle, le nom d'utilisateur, le numéro de série et la version de l'OS. La liste est mise à jour automatiquement lorsque vous arrêtez de saisir. ## Tableau des appareils Les appareils sont affichés dans un tableau paginé et triable. Cliquer sur une ligne ouvre l'éditeur de l'appareil. ### Colonnes - **Modèle** : modèle de l'appareil. - **Utilisateur** : utilisateur associé (nom, e-mail ou id selon la disponibilité). - **État** : état de l'appareil (détails dans l'infobulle). - **Conformité** : indicateur de statut de conformité. - **Sécurité** : posture de sécurité (détails dans l'infobulle). Sur les appareils Apple : **À risque** en l'absence de code d'accès, et sur les Mac avec FileVault ou le démarrage sécurisé désactivé ; **Potentiellement compromis** sur les Mac avec la protection de l'intégrité du système ou le volume système signé désactivé. La page de l'appareil répertorie les risques. Apple ne signale pas les iPhone et iPad jailbreakés à la gestion des appareils. - **Erreur d'app** : indicateur d'erreur des apps. - **Dernier rapport d'état** : horodatage du rapport d'état le plus récent (s'il est disponible). - **Stratégie** : stratégie actuellement attribuée. - **OS** : système d'exploitation et version (par exemple iOS 17.7 ou Android 14). Le tri s'effectue par système, puis par version. - **Propriété** : appareil d'entreprise ou appareil personnel (détails dans l'infobulle). - **Mode de gestion** : mode de gestion (détails dans l'infobulle). - **Id** : identifiant interne de l'appareil. ### Actualisation et pagination - Utilisez l'action d'actualisation pour recharger la liste. - Le tableau est paginé (10/25/50 éléments par page). ## Actions sur l'appareil Chaque ligne d'appareil peut proposer des actions, selon la plateforme et l'état de l'appareil. Certaines actions sont désactivées lorsque votre licence est expirée ou résiliée. ### Actions par appareil - **Désactiver l'appareil** / **Activer l'appareil** : disponible pour les appareils Android dans les états pris en charge. - **Désinscrire l'appareil** : supprime la gestion. Sur Android, cela peut effacer le profil professionnel ou réinitialiser l'appareil (selon la propriété de l'appareil) ; sur Apple, cela supprime les paramètres de stratégie. - **Supprimer l'appareil** : disponible pour les appareils déjà désinscrits (supprime l'enregistrement du système). Un Mac dont le mot de passe du firmware est encore stocké dans Cerberus Enterprise n'est supprimé qu'après confirmation, car le mot de passe est supprimé en même temps. ### Sélection de plusieurs lignes Vous pouvez activer la sélection de plusieurs lignes depuis la barre d'actions sous le tableau. Une fois activée, vous pouvez sélectionner plusieurs lignes et appliquer des actions groupées (désactiver, activer, désinscrire ou supprimer), selon les appareils sélectionnés. Pour les appareils Apple, le menu **Actions sur les appareils Apple** verrouille, redémarre, éteint, actualise les informations ou efface tous les appareils sélectionnés. Une action est disponible lorsque chaque appareil sélectionné est un appareil Apple inscrit qui la prend en charge. Les codes PIN des Mac verrouillés ou effacés sont affichés une seule fois après l'envoi de la commande. La désinscription des appareils Apple supprime leur profil d'inscription et leurs paramètres de stratégie, sans les effacer. **Actualiser les forfaits cellulaires** demande aux iPhone et iPad sélectionnés de télécharger les forfaits eSIM que l'opérateur a associés à leurs EID, à partir d'un serveur eSIM de l'opérateur saisi dans une fenêtre pour tous ces appareils. Contrairement aux autres actions, elle n'est envoyée qu'aux appareils sélectionnés qui la prennent en charge : les Mac, les inscriptions User Enrollment, les appareils dotés d'une ancienne version d'iOS et les iPad qui n'ont jamais signalé de données cellulaires sont ignorés et répertoriés dans le résultat. Consultez la page [**Gestion des SIM**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-sim "SIMs management"). ## Synchronisation Apple Business Si Apple Management est configuré et qu'un jeton Automated Device Enrollment est présent, la page peut afficher l'action **Synchroniser depuis Apple Business** pour importer des appareils depuis Apple Business. Un message indique combien d'appareils ont été ajoutés. Lorsque certains ont été ajoutés, la liste passe au filtre **Tous**, car les appareils pas encore inscrits ne sont pas affichés par le filtre **Inscrits**. ## Inscrire un appareil Utilisez **Inscrire un appareil** pour ouvrir la section Jetons d'inscription et commencer l'inscription d'un nouvel appareil. # Utilisateurs # Utilisateurs La section **Utilisateurs** du tableau de bord (*Tableau de bord* → *Utilisateurs*) répertorie tous les utilisateurs configurés dans votre compte. Depuis cette page, vous pouvez rechercher des utilisateurs, ouvrir l'éditeur d'utilisateur, créer de nouveaux utilisateurs et supprimer les utilisateurs qui ne sont actuellement associés à aucun appareil. ## Rechercher En haut de la page se trouve un champ de recherche avec le libellé **Rechercher** et l'espace réservé **Nom, nom d'utilisateur ou e-mail**. La liste se met à jour automatiquement dès que vous cessez de saisir. ## Tableau des utilisateurs Les utilisateurs sont affichés dans un tableau paginé et triable. Cliquer sur une ligne ouvre l'éditeur d'utilisateur. ### Colonnes - **Nom** : prénom et nom de l'utilisateur. Le tableau est trié par nom par défaut. - **E-mail** : adresse e-mail de l'utilisateur. - **Nom d'utilisateur** : nom d'utilisateur (souvent un nom d'utilisateur d'annuaire). - **Appareils** : nombre d'appareils actuellement associés à l'utilisateur, appareils désinscrits exclus. Cela inclut les appareils Apple attribués à l'utilisateur qui ne sont pas encore inscrits. - **Dernière activité de l'appareil** : le rapport d'état le plus récent envoyé par l'un des appareils de l'utilisateur. Il est vide lorsque l'utilisateur n'a aucun appareil. Triez par cette colonne pour trouver les utilisateurs inactifs. - **Certificat Wi-Fi** : nom du certificat Wi-Fi attribué à l'utilisateur, avec une icône. Il est vide lorsque l'utilisateur n'a aucun certificat. - **Id** : identifiant interne de l'utilisateur. ### Actualisation et pagination - L'action d'actualisation recharge la liste. - Le tableau est paginé (10/25/50 éléments par page). ## Actions sur les utilisateurs ### Créer un utilisateur Utilisez **Créer un utilisateur** pour ouvrir la boîte de dialogue de création d'utilisateur. Cette action est désactivée lorsque votre licence est expirée. ### Synchroniser depuis Google Workspace Si la synchronisation d'annuaire Google Workspace est disponible pour votre compte, la page affiche **Synchroniser depuis Google Workspace**. Lorsque vous démarrez une synchronisation, un indicateur de progression s'affiche pendant l'exécution de la requête. ### Supprimer un utilisateur Vous ne pouvez supprimer un utilisateur que lorsque celui-ci n'est associé à aucun appareil (la colonne **Appareils** doit être 0). L'action de suppression est désactivée lorsque votre licence est expirée ou résiliée. ### Sélection multiligne et suppression groupée Depuis la barre d'actions située sous le tableau, vous pouvez activer la sélection multiligne. Dans ce mode, vous pouvez sélectionner plusieurs utilisateurs et les supprimer en masse. - **Éligibilité** : seuls les utilisateurs dont **Appareils** = 0 peuvent être sélectionnés pour suppression. - **Tout sélectionner** : la case à cocher **Tout** sélectionne toutes les lignes éligibles de la page actuelle. - **Suppression groupée** : **Supprimer les utilisateurs sélectionnés** est désactivé lorsqu'aucune ligne n'est sélectionnée ou lorsque votre licence est expirée ou résiliée. ## Certificats Wi‑Fi et EAP La colonne **Certificat Wi-Fi** affiche le nom du certificat actuellement attribué à un utilisateur. Les certificats utilisateur servent généralement aux configurations Wi-Fi EAP (par exemple EAP-TLS). Pour l'attribution et la gestion des certificats, consultez [**Gestion des certificats**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-certificats "Certificate management"). # Éditeur d'utilisateur L'éditeur d'utilisateur est accessible depuis *Tableau de bord* → *Utilisateurs* en cliquant sur la ligne d'un utilisateur. Il vous permet de modifier les détails d'un utilisateur, de configurer des identifiants EAP Wi‑Fi par utilisateur et de consulter les appareils associés à l'utilisateur. ## Détails de l'utilisateur La section supérieure contient les champs principaux de l'utilisateur. Certains champs sont obligatoires et l'éditeur affiche des erreurs de validation lorsqu'ils sont manquants ou non valides. - **Id** : identifiant en lecture seule. - **Prénom** : obligatoire. - **Nom** : obligatoire. - **Nom d'utilisateur** : obligatoire. - **E-mail** : obligatoire et doit être une adresse e-mail valide. - **Numéro de téléphone** : facultatif. - **Compte Google** : facultatif et doit être une adresse e-mail valide lorsqu'il est renseigné. - **Apps and Books** (en lecture seule, affiché sous le champ **Managed Apple Account** une fois que l'utilisateur a inscrit un iPhone ou iPad personnel avec User Enrollment) : état de l'utilisateur Apps and Books que Cerberus a créé pour le Managed Apple Account afin d'attribuer des licences d'application aux appareils personnels de l'utilisateur : *associé*, *inscrit, en attente d'Apple*, *en cours de création*, *en échec* ou *retiré*. Un utilisateur qui reste inscrit peut toujours recevoir des licences ; *en échec* signifie généralement que le compte ne se trouve pas dans la même organisation Apple Business que le jeton Apps and Books. ## Stratégie par défaut d'authentification Google Dans les environnements Google Workspace où l'authentification Google est activée, l'éditeur peut afficher **Stratégie par défaut d'authentification Google**. Il s'agit de la stratégie appliquée aux appareils inscrits via l'authentification Google par cet utilisateur. - **Changer de stratégie** : ouvre la boîte de dialogue de sélection de stratégie. - **Ouvrir la stratégie** : ouvre la stratégie sélectionnée dans l'éditeur de stratégie (lorsqu'une stratégie est définie). - Après avoir sélectionné une nouvelle stratégie par défaut, vous devez enregistrer l'utilisateur pour appliquer la modification. L'éditeur affiche une notification vous rappelant d'enregistrer. ## Identifiants EAP Wi‑Fi La section **Identifiants EAP Wi‑Fi** sert à configurer des identifiants par utilisateur qui sont automatiquement installés sur les appareils de l'utilisateur lorsque la stratégie qui lui est attribuée contient une configuration EAP Wi‑Fi qui les requiert. La configuration EAP Wi‑Fi fait partie de la [configuration réseau](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/reseau "Networking") de la stratégie Android. ### Certificat client Vous pouvez éventuellement attribuer un certificat client à un utilisateur. Lorsqu'un certificat est attribué, il s'affiche dans le champ **Certificat client** et un menu propose des actions. Lorsqu'aucun certificat n'est attribué, le champ affiche **Aucun certificat attribué** et vous pouvez en attribuer un. - **Attribuer un certificat** : ouvre la boîte de dialogue de sélection de certificat. - **Ouvrir le certificat** : ouvre l'éditeur de certificat. - **Changer de certificat** : sélectionne un autre certificat client. - **Dissocier le certificat** : retire le certificat de l'utilisateur. Le système retire également le certificat de tous les appareils associés à cet utilisateur. Pour l'importation et la gestion des certificats, consultez [**Gestion des certificats**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/gestion-des-certificats "Certificate management"). ### Identité, identité anonyme et mot de passe - **Identité** : identité de l'utilisateur. Pour les protocoles externes de tunnélisation (PEAP, EAP‑TTLS), elle est utilisée à l'intérieur du tunnel. - **Identité anonyme** : utilisée pour les protocoles externes de tunnélisation comme identité présentée à l'extérieur du tunnel. Lorsqu'elle n'est pas spécifiée, elle est par défaut une chaîne vide. - **Mot de passe** : mot de passe de l'utilisateur pour les méthodes EAP qui le requièrent. S'il n'est pas spécifié, l'appareil peut le demander à l'utilisateur. Une action d'affichage/masquage permet d'afficher ou de masquer le mot de passe. ## Appareils associés La section **Appareils associés** affiche la liste des appareils actuellement liés à l'utilisateur. Si l'utilisateur possède un ou plusieurs appareils associés, il ne peut pas être supprimé. ## Enregistrer et supprimer - **Enregistrer l'utilisateur** : activé uniquement lorsque le formulaire est valide, que des modifications sont en attente et que la licence est active. Un indicateur de progression s'affiche pendant l'enregistrement. - **Supprimer l'utilisateur** : désactivé lorsque l'utilisateur est associé à des appareils ou lorsque la licence est expirée/résiliée. Lorsque la suppression est autorisée, une boîte de dialogue de confirmation s'affiche. Si l'utilisateur est affecté à des jetons d'inscription, la boîte de dialogue l'avertit que les appareils inscrits avec ces jetons ne seront plus affectés à un utilisateur. La suppression de l'utilisateur libère également les licences d'application de son utilisateur Apps and Books et le retire chez Apple. ## Avertissement de modifications non enregistrées Si vous avez des modifications non enregistrées et que vous essayez de quitter la page, le tableau de bord vous demande si vous souhaitez abandonner les modifications. # Compte # Paramètres La page **Paramètres** (*Tableau de bord* → *Paramètres*) récapitule les informations du compte et de la licence, et propose des actions pour gérer la facturation, la configuration des plateformes (Android Management et Apple Management) ainsi que les intégrations facultatives d'annuaire et de jeton. ## Bannière de licence (bientôt expirée / expirée) Lorsque votre licence est **bientôt expirée**, **expirée** ou **résiliée**, une bannière bien visible s'affiche en haut de la page. Selon l'état de votre abonnement, elle propose soit une action **Gérer la facturation** (portail client Stripe), soit une action **Acheter une licence**.Lorsque la licence est expirée, le compte est limité à la seule désinscription des appareils. Après la période de grâce, le compte peut être annulé et les appareils peuvent être désinscrits automatiquement.
## Bannières de certificat et de jeton Apple (bientôt expirés / expirés) Le certificat Apple Push (APNs), le jeton Apple Business (Automated Device Enrollment) et le jeton Apps and Books (anciennement VPP) doivent être renouvelés chaque année. À partir de **30 jours avant l'expiration**, une bannière s'affiche en haut du tableau de bord pour chaque certificat ou jeton **bientôt expiré** ou **expiré**, avec la date d'expiration ou la fonctionnalité qui a cessé de fonctionner. L'action **Comment renouveler** ouvre cette page avec les instructions de renouvellement correspondantes déployées. Une bannière s'affiche également lorsque le certificat MDM de certains appareils Apple expire dans les 14 jours et que le renouvellement automatique n'est pas terminé, ou a expiré : ces appareils doivent être inscrits à nouveau. L'action **Afficher les appareils** ouvre la liste des appareils avec le filtre **Certificat MDM bientôt expiré**.Lorsque le certificat Apple Push expire, les appareils Apple ne peuvent plus recevoir de commandes ni de mises à jour de stratégie. Lorsque le jeton Apple Business expire, Automated Device Enrollment cesse de fonctionner. Lorsque le jeton Apps and Books expire, les applications ne peuvent plus être distribuées.
## Bannière de l'application Cerberus Enterprise Cerberus installe son application gratuite **Cerberus Enterprise** sur les iPhone et iPad (iOS et iPadOS 18.4 ou ultérieur) avec une licence d'appareil Apps and Books. Une bannière s'affiche en haut du tableau de bord lorsque l'application n'est pas dans votre bibliothèque Apple Business, lorsque le jeton Apps and Books est manquant ou expiré, ou lorsque certains iPhone et iPad attendent encore l'application (avec leur nombre). **Comment l'ajouter** ouvre cette page sur la ligne **Application Cerberus Enterprise** avec les étapes ; **Comment la configurer** (affiché lorsque le jeton Apps and Books est manquant ou expiré) ouvre les instructions du jeton Apps and Books. ## Accès des gestionnaires d'entreprise La carte **Accès des gestionnaires d'entreprise** n'est affichée que pour les entreprises gérées par un compte multi-tenant (par exemple, un fournisseur de services gérés). Elle vous permet de voir quels comptes gestionnaires peuvent intervenir sur votre entreprise et de contrôler leur accès. La carte affiche : - Le **propriétaire** de l'entreprise. Le propriétaire dispose toujours de l'accès et son accès ne peut pas être révoqué. - Chaque compte gestionnaire du compte multi-tenant, étiqueté **Gestionnaire principal** ou **Sous-compte**, avec son nom, son nom d'utilisateur et son état d'accès (**Accordé**, **Révoqué** ou **Non accordé**). ### Accorder et révoquer l'accès Utilisez **Accorder** pour autoriser un compte gestionnaire à accéder à votre entreprise et à la gérer, et **Révoquer** pour retirer cet accès. Chaque action demande une confirmation. Un gestionnaire dont l'accès est révoqué ne peut plus intervenir sur l'entreprise, même s'il y travaille actuellement. - En tant qu'administrateur de l'entreprise, vous pouvez accorder ou révoquer l'accès de tout compte gestionnaire listé. - Le gestionnaire principal peut accorder ou révoquer l'accès de ses propres sous-comptes, mais uniquement tant que son propre accès est accordé. Il ne peut pas s'accorder l'accès à lui-même et ne peut pas révoquer son propre accès.La révocation de l'accès du **Gestionnaire principal** révoque également l'accès de tous ses sous-comptes. Le cas échéant, la boîte de dialogue de confirmation répertorie les sous-comptes qui perdront l'accès.
## Informations du compte La carte **Informations du compte** affiche des champs en lecture seule : - **Nom d'utilisateur** - **Nom de l'entreprise** - **Identifiant de l'entreprise** ### Modifier le mot de passe Si vous n'êtes pas connecté avec Google, Apple ou Microsoft, la carte affiche également une action **Modifier le mot de passe**. Celle-ci ouvre une boîte de dialogue pour poursuivre le processus de modification du mot de passe. Vous pouvez également modifier votre mot de passe à tout moment depuis le menu utilisateur de la barre d'outils supérieure, via **Modifier le mot de passe**. Cela est utile pour les comptes multi-tenant, qui peuvent modifier leur mot de passe sans accéder à une entreprise.Si un administrateur a créé votre compte ou réinitialisé votre mot de passe, vous vous connectez avec un mot de passe temporaire et devez choisir un nouveau mot de passe avant de continuer.
## Informations sur la licence La carte **Informations sur la licence** affiche l'état actuel de la licence et votre limite d'appareils. Elle propose également des actions pour contacter le service commercial et pour gérer la facturation ou acheter une licence. - **État de la licence** : affiché comme **Active** ou **Expirée** (avec un badge d'icône et une infobulle). - **Essai gratuit** : affiché lorsque le compte est actuellement en mode essai. - **Appareils sous licence** : nombre maximal d'appareils autorisés par la licence. Le lien *besoin de plus d'appareils ?* ouvre un message pour contacter l'assistance. Les appareils inscrits sont comptés, quel que soit leur état (par exemple Actif, Perdu ou Désactivé). Les appareils désinscrits ne le sont pas, pas plus que les appareils synchronisés depuis Apple Business tant qu'ils ne sont pas inscrits. Lorsque la limite est atteinte, un nouvel appareil n'est pas ajouté et son inscription est supprimée : l'événement figure dans le journal système et les administrateurs du compte reçoivent un e-mail. Sur les appareils Apple, la suppression prend environ une minute, et un appareil déjà compté peut s'inscrire à nouveau, tout comme un appareil effacé avec Return to Service. - **Prochain renouvellement prévu** : affiché pour les abonnements actifs qui se renouvellent automatiquement. Sinon, la carte affiche la **Date d'expiration**. ## Android Management La carte **Android Management** affiche l'état d'Android Management pour votre entreprise. Si Android Management n'est pas encore configuré, la carte propose une action **Configurer Android Management** qui ouvre le flux de configuration. ### État configuré Lorsque Android Management est configuré, la carte peut afficher : - **Identifiant de gestion** - **Type de liaison** : indique si l'entreprise utilise un **compte Managed Google Play** ou un **domaine Google géré**. - **Synchronisé avec Google Workspace** (badge affiché lorsque la synchronisation d'annuaire est active) - **Synchroniser avec Google Workspace** (affiché lorsque la synchronisation d'annuaire n'est pas configurée ; ouvre le panneau d'instructions en bas de la page) ### Liaison Android Enterprise Android Management peut être associé à un **compte Managed Google Play** ou à un **domaine Google géré**. Le champ **Type de liaison** indique l'option actuellement associée à votre entreprise. Un **compte Managed Google Play** est un compte Android Enterprise léger. Il convient pour gérer les appareils et applications Android via Cerberus Enterprise, mais il est distinct d'une organisation Google Workspace ou Cloud Identity. Il ne fournit pas l'expérience d'administration Google centralisée disponible avec un domaine Google géré. Un **domaine Google géré** associe Android Enterprise à l'identité Google de votre organisation. Les administrateurs informatiques peuvent gérer des produits Google tels que Google Workspace, Cloud Identity et Gemini depuis la Google Admin Console, tout en continuant à gérer les applications et stratégies Android dans Cerberus Enterprise. Cela offre une approche plus rationalisée et intégrée de la gestion Android et permet des workflows d'inscription et de gestion des utilisateurs basés sur Google Workspace. Lorsque l'entreprise utilise un compte Managed Google Play, la carte Paramètres propose **Passer à un domaine Google géré** ainsi qu'une action d'information. La mise à niveau ouvre le processus guidé de Google pour migrer l'entreprise Android existante vers un domaine géré.Lors de la mise à niveau, Google peut associer un compte Google Admin existant lié à votre adresse e-mail professionnelle ou créer automatiquement un nouveau compte Google Admin gratuit. Utilisez une adresse e-mail professionnelle telle que *name@enterprise.com* pour poursuivre la configuration guidée de Google.
## Apple Device Management La carte **Apple Device Management** affiche l'état de la gestion des appareils Apple (MDM) pour votre entreprise. Si la gestion Apple n'est pas encore configurée, la carte propose une action **Configurer Apple Management** qui ouvre le flux de configuration. ### État configuré Lorsque la gestion Apple est configurée, la carte peut afficher : - **Apple ID** - **Expiration du certificat Apple Push** : affiche la date d'expiration et un badge d'icône. Si le certificat est bientôt expiré ou expiré, le badge est cliquable et ouvre les instructions de renouvellement. - **Expiration du jeton Apple Business** : affiche l'expiration du jeton Apple Business utilisé pour Automated Device Enrollment (avec un badge cliquable lorsqu'une action est requise). - **Jeton Apps and Books** : affiche le nom de l'organisation et l'expiration du jeton de contenu Apple Apps and Books, anciennement Volume Purchase Program (VPP) (avec un badge cliquable lorsqu'une action est requise). - **Application Cerberus Enterprise** : sur la carte du jeton Apps and Books, indique si l'application se trouve dans votre bibliothèque Apple Business : **Dans votre bibliothèque (licences illimitées)**, **Absente de votre bibliothèque** ou **Non disponible : le jeton Apps and Books a expiré**, ainsi que le nombre d'iPhone et d'iPad qui l'attendent. Lorsque l'application est absente, la ligne répertorie les étapes pour l'ajouter (dans Apple Business, ouvrez **Apps & Services** → **Apps & Books** → **App Store**, recherchez "Cerberus Enterprise", cliquez sur **View**, puis sur **Add**, sélectionnez **All current and future** dans **Organizational Units**, cliquez sur **Add**, puis sur **Review** et confirmez). **Check again** relit la bibliothèque (au maximum toutes les 5 minutes) ; les appareils en attente de l'application la reçoivent ensuite. - **Apple Business** : lien vers le portail Apple Business, affiché lorsqu'un jeton Apple Business est présent. - **Synchroniser avec Apple Business** et **Synchroniser avec Apple Apps and Books** : affiché lorsque des jetons sont manquants.La gestion Apple nécessite la configuration du certificat APNs. Si nécessaire, consultez [**Configuration d'Apple Management (APNs)**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dapple-management-apns "Apple Management setup (APNs)").
## Préférences et confidentialité La carte **Préférences et confidentialité** contient un bouton d'activation des préférences marketing et des liens vers les Conditions d'utilisation et la Politique de confidentialité. Utilisez **Enregistrer les préférences** pour appliquer les modifications (un indicateur de progression s'affiche pendant l'enregistrement). ## Envoyer des commentaires Lorsque les abonnements sont activés pour le compte, la page peut afficher une carte **Envoyer des commentaires** avec des liens vers : **Proposer une fonctionnalité** et des plateformes d'avis externes. ## Instructions de configuration et de renouvellement intégrées En bas de la page, le tableau de bord peut afficher des panneaux d'instructions extensibles selon l'état actuel (par exemple lorsqu'un certificat ou un jeton est manquant ou bientôt expiré). ### Renouveler le certificat Apple Push (APNs) Lorsque le certificat APNs est bientôt expiré ou expiré, la page affiche un panneau avec les étapes pour télécharger une CSR, renouveler le certificat sur le portail d'Apple et importer le nouveau certificat dans Cerberus Enterprise.Tant qu'un certificat ou un jeton est encore valide, le bouton d'envoi situé à côté ouvre les mêmes étapes. Utilisez-le lorsque vous avez téléchargé un nouveau jeton Apple Business ou Apps and Books, car l'ancien cesse de fonctionner, ou pour renouveler le certificat Apple Push (APNs) à l'avance. Renouvelez toujours le certificat Apple Push actuel : un autre est refusé tant que des appareils Apple sont inscrits, car ils ne pourraient plus être joints.
### Synchroniser avec Apple Business Lorsque le jeton Apple Business est manquant, expiré ou bientôt expiré, la page affiche un panneau avec les étapes pour télécharger un jeton depuis Apple Business et l'importer dans Cerberus Enterprise. Pour une nouvelle connexion, générez le certificat de clé publique dans Cerberus Enterprise, puis dans Apple Business ouvrez **Devices** → **Management Services**, cliquez sur **Add** sous **Device Management Services**, choisissez **Connect external device management** et cliquez sur **Continue** ; saisissez un **Service Name** (par exemple Cerberus Enterprise), importez le certificat avec **Upload Certificate**, cliquez sur **Next**, puis sur **Download Service Token** et **Done**. Pour renouveler le jeton, sélectionnez le service Cerberus Enterprise dans **Management Services**, cliquez sur le bouton **…** (plus) en haut à droite et choisissez **Download Token**.Les appareils ne sont inscrits auprès de Cerberus Enterprise que lorsqu'ils sont affectés à son service dans Apple Business : ouvrez **Devices** → **Management Services** → **Default Device Assignment** pour affecter automatiquement les nouveaux appareils (par type d'appareil), ou **Devices** → **Inventory**, sélectionnez les appareils et cliquez sur **Assign Device Management**.
### Synchroniser avec Apple Apps and Books (VPP) Lorsque le jeton Apps and Books est manquant, expiré ou bientôt expiré, la page affiche un panneau avec les étapes pour télécharger un jeton de contenu depuis Apple Business et l'importer dans Cerberus Enterprise : dans Apple Business, ouvrez le menu de l'organisation en haut à droite (nom de votre organisation) → **Settings** → **Organizational Units**, sélectionnez l'unité organisationnelle (l'unité par défaut correspond à votre organisation) et cliquez sur **Download** dans la section **Content Token**. Le jeton expire après un an, ou plus tôt lorsque le mot de passe du compte Apple qui l'a téléchargé est modifié. La dernière étape de la configuration d'Apps and Books ajoute l'application gratuite Cerberus Enterprise à votre bibliothèque Apple Business, afin que Cerberus puisse l'installer sur vos iPhone et iPad. ### Synchroniser avec Google Workspace Lorsque la synchronisation d'annuaire Google Workspace n'est pas configurée, la page affiche un panneau qui explique l'intégration et fournit un bouton d'autorisation. Il répertorie également la portée OAuth Google requise : **https://www.googleapis.com/auth/admin.directory.user.readonly**.Pour la configuration initiale d'Android, consultez [**Configuration d'Android Management**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/configuration-dandroid-management-AgB "Android Management setup").
# Multitenance # Présentation du multi-tenant La section **Multi-tenant** est disponible pour les comptes MSP et de gestionnaire d'entreprise qui gèrent plusieurs entreprises clientes à partir d'une seule connexion. Ce chapitre explique le modèle de portée des entreprises, le changement d'entreprise, l'administration des entreprises gérées et les sous-comptes.Pour demander un compte multi-tenant, contactez [**enterprise@cerberusapp.com**](mailto:enterprise@cerberusapp.com).
## Concepts clés - **Compte multi-tenant principal** : le compte gestionnaire principal qui peut accéder à l'espace de travail multi-tenant global. - **Sous-compte** : un compte gestionnaire délégué créé par le compte principal, avec des attributions d'entreprises sélectionnables. - **Contexte d'entreprise sélectionné** : l'entreprise active actuellement ouverte dans le tableau de bord pour les opérations quotidiennes. - **Délégation** : autorisation accordée par le propriétaire d'une entreprise permettant à un compte gestionnaire d'y accéder et de la gérer. ## Modèle de navigation Lorsqu'aucun contexte d'entreprise n'est sélectionné, la navigation latérale affiche les zones multi-tenant telles que **Entreprises** et, pour les comptes principaux, **Sous-comptes**. Après avoir accédé à une entreprise, le tableau de bord passe à la navigation standard à entreprise unique (Accueil, Utilisateurs, Appareils, Inscription, Stratégies, etc.). ## Propriété et délégation Chaque entreprise gérée a un propriétaire. Le propriétaire peut toujours accéder à cette entreprise. Les comptes gestionnaires non propriétaires ne peuvent accéder à une entreprise que lorsque la délégation est accordée. - Lorsqu'une entreprise dispose de son propre utilisateur administrateur, cet administrateur est le propriétaire et décide quels comptes gestionnaires peuvent accéder à l'entreprise. - Lorsqu'une entreprise n'a pas son propre utilisateur administrateur, le compte multi-tenant principal est le propriétaire. - Pour les entreprises détenues par un administrateur client, le compte principal peut accorder ou révoquer l'accès de ses propres sous-comptes tant que son propre accès est accordé, mais il ne peut pas s'accorder lui-même l'accès. - Si l'administrateur de l'entreprise révoque l'accès du compte principal, l'accès de ses sous-comptes est également révoqué. - Retirer une entreprise des attributions d'un sous-compte supprime également l'accès de ce sous-compte à l'entreprise. Si vous l'attribuez à nouveau plus tard, l'accès doit être accordé de nouveau. Les administrateurs de l'entreprise gèrent l'accès depuis la carte **Accès du gestionnaire d'entreprise** sur la page **Paramètres**.Le propriétaire et l'état de délégation sont affichés directement sur les cartes d'entreprise afin de rendre explicite la portée de l'accès avant d'accéder à une entreprise.
## Actions de licence et de facturation Les vues multi-tenant exposent l'état des licences, les limites d'appareils et les actions de facturation de l'entreprise. Selon l'état de l'abonnement de l'entreprise et vos autorisations, la carte peut afficher **Gérer la facturation** ou **Acheter une licence**. Pour les entreprises créées par un compte multi-tenant, la gestion des licences est assurée par les utilisateurs multi-tenant. Le compte principal peut toujours gérer les licences, tandis que les sous-comptes ne peuvent les gérer que lorsque le compte principal active **Peut gérer la licence** pour ce sous-compte. ## Pages de ce chapitre - [**Entreprises gérées**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/entreprises-gerees "Managed enterprises") : recherche, filtres, détails des cartes et création d'entreprise. - [**Changement d'entreprise**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/changement-dentreprise "Enterprise switching") : comportement du sélecteur supérieur et transitions de portée. - [**Sous-comptes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/sous-comptes "Sub-accounts") : opérateurs délégués, attributions et gestion des identifiants. # Entreprises gérées La page **Entreprises** (*Tableau de bord* → *Entreprises*) est le centre de contrôle de l'accès aux entreprises gérées. Elle répertorie toutes les entreprises visibles par votre compte multi-tenant et vous permet de filtrer, d'examiner la propriété et la délégation, d'accéder au contexte d'une entreprise et de créer de nouvelles entreprises gérées (comptes principaux uniquement). ## Recherche et filtres - **Rechercher une entreprise** : filtre par nom d'entreprise ou ID d'entreprise. - **Délégation** : **Toutes**, **Déléguées** ou **Non déléguées**. - **État de la licence** : **Tous**, **Valide**, **Bientôt expirée**, **Expirée** ou **Résiliée**. ## Cartes d'entreprise Chaque carte d'entreprise affiche les métadonnées de gestion essentielles : - **État de la licence** avec badge d'icône et infobulle contextuelle. - **Appareils sous licence** (limite d'appareils de l'entreprise). - **Prochain renouvellement prévu** ou **Date d'expiration**, selon l'état de l'abonnement. - État de **délégation** (**Propriétaire**, **Accordée** ou **Non accordée**). - Nom d'affichage et nom d'utilisateur du **propriétaire**. ### Entreprises récemment sélectionnées Les entreprises auxquelles vous avez récemment accédé sont épinglées dans une section **Récemment sélectionnées** pour accélérer les changements de contexte répétés. ## Actions sur l'entreprise - **Accéder à l'entreprise** : ouvre le contexte de l'entreprise sélectionnée lorsque la délégation ou la propriété autorise l'accès. - **Gérer la facturation** : ouvre la gestion de la facturation de l'entreprise lorsqu'elle est disponible et autorisée. - **Acheter une licence** : ouvre le processus d'achat de l'entreprise lorsque la facturation n'est pas active. ### Qui peut gérer les licences Pour les entreprises créées par un compte multi-tenant, la gestion des licences est contrôlée par les utilisateurs multi-tenant. Le compte principal peut toujours gérer la facturation et les actions liées aux licences pour ces entreprises. Les sous-comptes ne peuvent gérer la facturation et les actions liées aux licences que si le compte principal accorde l'autorisation **Peut gérer la licence** dans la page [**Sous-comptes**](https://enterprise.cerberusapp.com/docs/books/manuel-utilisateur/page/sous-comptes "Sub-accounts"). ## Créer une entreprise gérée Les comptes multi-tenant principaux peuvent déployer **Créer une entreprise gérée** depuis la zone d'action inférieure. - Le **Nom de l'entreprise** est obligatoire. - **Créer un utilisateur administrateur par entreprise** contrôle le mode de propriété. - Lorsque cette option est activée, le **Nom d'utilisateur administrateur** (format e-mail) et le **Nom de l'administrateur** sont obligatoires. - Avant la création, une boîte de dialogue de confirmation résume l'opération et, le cas échéant, avertit que des identifiants temporaires sont envoyés par e-mail au nouvel utilisateur administrateur.Le nouvel utilisateur administrateur doit choisir un nouveau mot de passe lors de sa première connexion avec le mot de passe temporaire.
### Mode de propriété - **Administrateur par entreprise activé** : le nouvel utilisateur administrateur est propriétaire de l'entreprise et peut déléguer sa gestion à votre compte multi-tenant. - **Administrateur par entreprise désactivé** : l'entreprise appartient directement à votre compte multi-tenant. ### Quota d'entreprises Si le compte atteint le quota d'entreprises configuré, la création est bloquée et le formulaire affiche un message de contact du support avec le nombre actuel et le nombre maximal d'entreprises.Lorsque le quota d'entreprises est atteint, vous ne pouvez pas créer d'autres entreprises gérées tant que votre limite n'a pas été augmentée.
# Changement d'entreprise Le sélecteur d'entreprise dans la barre d'outils supérieure permet aux utilisateurs multi-tenant de passer d'une entreprise déléguée à une autre sans se déconnecter. Il est disponible lorsqu'au moins un contexte d'entreprise peut être sélectionné. ## Comportement du sélecteur - Le déclencheur affiche le nom de l'entreprise actuelle (ou l'ID d'entreprise si aucun nom n'est disponible). - Le menu répertorie les entreprises déléguées ou accessibles et marque l'entreprise actuelle comme déjà sélectionnée. - Pendant le changement, les actions du sélecteur sont temporairement désactivées pour éviter des modifications de portée simultanées. ## Quitter l'entreprise Le menu du sélecteur comprend **Quitter l'entreprise**, qui efface le contexte d'entreprise actuel et vous ramène à l'espace de travail multi-tenant global. ## Règles de réinitialisation du contexte Changer d'entreprise ou quitter l'entreprise réinitialise la portée du tableau de bord. Les pages et les données propres à l'entreprise s'actualisent pour le contexte nouvellement sélectionné, et la visibilité du menu s'adapte selon qu'une entreprise est actuellement sélectionnée ou non. L'entreprise sélectionnée s'applique à tous vos onglets de navigateur ouverts. Si vous changez ou quittez une entreprise dans un onglet, les autres onglets rechargent le tableau de bord lors de leur prochaine action, afin de ne jamais opérer sur une entreprise différente de celle affichée.Utilisez le sélecteur pour changer rapidement de contexte opérationnel, mais vérifiez le nom de l'entreprise sélectionnée avant d'exécuter des actions sensibles telles que des mises à jour de stratégie ou des commandes sur les appareils.
# Sous-comptes La page **Sous-comptes** (*Tableau de bord* → *Sous-comptes*) est disponible pour les comptes multi-tenant principaux. Elle vous permet de créer des utilisateurs gestionnaires délégués, d'attribuer des entreprises gérées, de contrôler les autorisations de facturation et de gérer les identifiants des sous-comptes. ## Liste des sous-comptes Chaque carte de sous-compte affiche l'identité et les contrôles de gestion : - **Nom** et **nom d'utilisateur/e-mail**. - Attribution multi-sélection des **entreprises gérées**. - Option d'autorisation **Peut gérer la licence**. - Actions **Réinitialiser le mot de passe** et **Supprimer**. ## Attribution des entreprises gérées Les attributions d'entreprises sont modifiées via le champ multi-sélection **Entreprises gérées**. Lorsque vous fermez le sélecteur après des modifications, le tableau de bord demande une confirmation avant d'enregistrer les mises à jour. L'attribution d'une entreprise la rend disponible pour le sous-compte, mais le sous-compte ne peut y accéder qu'une fois l'accès accordé. Retirer une entreprise des attributions supprime également l'accès du sous-compte à cette entreprise. ## Autorisation de gestion des licences L'option **Peut gérer la licence** contrôle si un sous-compte peut accéder aux actions de facturation et de gestion des licences de l'entreprise. Pour les entreprises créées par le compte multi-tenant, le compte principal dispose toujours des droits de gestion des licences. Les sous-comptes ne reçoivent ces droits que lorsque cette option est activée par le compte principal. ## Réinitialisation du mot de passe **Réinitialiser le mot de passe** génère un nouveau mot de passe temporaire et l'envoie au sous-compte par e-mail après confirmation.Lorsqu'il se connecte avec un mot de passe temporaire, que ce soit après une réinitialisation ou pour un sous-compte nouvellement créé, l'utilisateur doit choisir un nouveau mot de passe avant de continuer.
## Supprimer un sous-compte La suppression d'un sous-compte nécessite une confirmation et retire définitivement l'accès délégué de ce compte. ## Créer un sous-compte Utilisez le panneau d'action inférieur **Créer un sous-compte** pour ajouter un nouveau gestionnaire délégué. - **E-mail** : obligatoire et validé au format e-mail. - **Nom** : nom d'affichage obligatoire. - **Peut gérer la licence** : autorisation de facturation initiale facultative. - Avant la création, une boîte de dialogue de confirmation avertit qu'un e-mail contenant un mot de passe temporaire est envoyé à l'adresse indiquée. # Analyses Voici quelques articles qui expliquent comment le MDM peut aider votre entreprise : ## [Qu'est-ce que le mode kiosque ? Guide pour sécuriser les appareils Android et Apple en entreprise](https://enterprise.cerberusapp.com/fr/insights/what-is-kiosk-mode-lock-down-android-apple-business) Le mode kiosque transforme les téléphones et tablettes standard en outils professionnels ciblés. Cerberus Enterprise aide les organisations à verrouiller les appareils sur une seule application ou un petit ensemble d'applications approuvées pour des cas d'usage tels que les points de vente, l'accueil des visiteurs et la navigation de flotte, tout en rendant ces appareils spécialisés plus faciles à sécuriser, à prendre en charge et à gérer à grande échelle. ## [Comment choisir la bonne solution MDM : une liste de contrôle en 7 points pour les petites entreprises](https://enterprise.cerberusapp.com/fr/insights/choose-right-mdm-solution-small-business-checklist) Choisir un MDM tard dans le processus d'achat est plus simple lorsque la comparaison reste concrète. Cette liste de contrôle aide les petites entreprises à évaluer les fournisseurs selon les sept critères qui comptent généralement le plus dans les déploiements réels : sécurité, prise en charge d'Android et d'Apple, facilité d'utilisation pour les équipes réduites, évolutivité, limites de confidentialité, coût total de possession et facilité de support au quotidien. ## [Créer une classe numérique sûre et ciblée : guide du MDM pour les établissements scolaires](https://enterprise.cerberusapp.com/fr/insights/k12-schools-mdm-safe-focused-digital-classroom) Les appareils gérés par l'établissement fonctionnent mieux lorsqu'ils restent centrés sur l'apprentissage. Cerberus Enterprise aide les établissements scolaires à garder les appareils des élèves ciblés grâce à des applications gérées, des restrictions de type kiosque, des configurations standardisées d'appareils partagés ou prêtés et des actions de récupération à distance qui réduisent les pertes, les dérives et les perturbations en classe. ## [Équiper vos techniciens de terrain : comment le MDM améliore l'efficacité et la sécurité sur site](https://enterprise.cerberusapp.com/fr/insights/field-technicians-mdm-onsite-efficiency-security) Les techniciens de terrain dépendent des appareils mobiles pour les plannings, les notes d'intervention, les références techniques, l'historique client et les mises à jour des tâches lorsqu'ils travaillent sur site. Cerberus Enterprise aide à maintenir ces appareils prêts grâce à des applications gérées, des modèles d'appareils standardisés, des commandes d'assistance à distance et une visibilité géolocalisée qui peut améliorer la coordination des interventions tout en renforçant la sécurité sur le terrain. ## [Au-delà de la carte : utiliser le MDM pour une gestion de flotte plus intelligente et la sécurité des conducteurs](https://enterprise.cerberusapp.com/fr/insights/mdm-smarter-fleet-management-driver-safety) Les opérations de flotte reposent sur des appareils mobiles pour la navigation, la répartition des missions, la messagerie, la journalisation et l'exécution sur le terrain. Cerberus Enterprise aide à maintenir ces appareils ciblés sur les flux de travail approuvés grâce à des applications gérées, des contrôles de type kiosque et d'appareil dédié, des stratégies de communication sécurisée, un dépannage à distance et une supervision géolocalisée qui peuvent réduire les temps d'arrêt et favoriser des opérations de conduite plus sûres. ## [Comment les géorepérages, le suivi en direct et les cartes de localisation améliorent les opérations de l'entreprise](https://enterprise.cerberusapp.com/fr/insights/geofences-live-tracking-location-maps) Les fonctionnalités de géolocalisation de Cerberus Enterprise aident les organisations à passer d'une simple visibilité des appareils à un contrôle opérationnel plus concret. La communication périodique de la position, le suivi en direct, les transitions de géorepérage et les cartes interactives peuvent accompagner la logistique, les services de terrain, la santé, le commerce de détail, la construction et d'autres équipes réparties qui ont besoin d'une meilleure visibilité sur le lieu où le travail se déroule et sur le moment où les appareils entrent dans des zones importantes ou en sortent. ## [Comment le multi-tenant aide les MSP à faire évoluer leurs services MDM et à créer de nouvelles sources de revenus](https://enterprise.cerberusapp.com/fr/insights/multi-tenancy-mdm-msp-growth) Le multi-tenant permet aux MSP, aux revendeurs et aux organisations multi-sociétés de gérer plusieurs entreprises à partir d'un seul compte Cerberus Enterprise tout en maintenant chaque environnement séparé. Ce modèle réduit les frictions opérationnelles, améliore l'évolutivité des services et prend en charge l'accès délégué via des sous-comptes et une administration explicite contrôlée par le client. Il crée également de meilleures opportunités commerciales pour les fournisseurs qui souhaitent associer les licences logicielles à l'intégration, au support, à la conformité et aux services de mobilité gérés. ## [Améliorer l'efficacité opérationnelle de l'entreprise grâce aux solutions MDM](https://enterprise.cerberusapp.com/fr/insights/mdm-operativity) La gestion des appareils mobiles centralise le contrôle des appareils de l'entreprise, ce qui simplifie l'inscription, la configuration et la maintenance. Le provisionnement automatisé et les opérations groupées réduisent le travail informatique manuel et garantissent des stratégies cohérentes sur tous les appareils. Des fonctionnalités de sécurité telles que le chiffrement, la surveillance de la conformité et l'effacement à distance protègent les données de l'entreprise. Globalement, le MDM améliore la productivité tout en réduisant les coûts de support et la complexité opérationnelle. ## [Sécurité avancée dans la gestion Android Enterprise](https://enterprise.cerberusapp.com/fr/insights/android-enterprise-security) Android Enterprise utilise un profil professionnel pour isoler les applications et les données de l'entreprise du contenu personnel sur un même appareil. Cette conteneurisation crée des environnements chiffrés distincts gérés indépendamment par les administrateurs informatiques. Les stratégies de sécurité peuvent contrôler le partage des données de l'entreprise sans affecter les applications personnelles. L'architecture protège les données de l'entreprise même si des applications personnelles sont compromises. ## [MDM pour Apple iPhone et inscription automatisée](https://enterprise.cerberusapp.com/fr/insights/apple-iphone-mdm) Le cadre MDM d'Apple permet une gestion centralisée des iPhone dans les environnements d'entreprise. Associés à Apple Business Manager, les appareils peuvent s'inscrire et se configurer automatiquement lors de leur première activation. Les administrateurs peuvent déployer et configurer silencieusement les applications de l'entreprise, appliquer des paramètres de sécurité et surveiller la conformité. Cette automatisation garantit une configuration cohérente des appareils et réduit les erreurs d'installation. ## [Comprendre la gestion des appareils mobiles](https://enterprise.cerberusapp.com/fr/insights/understanding-mdm) La gestion des appareils mobiles fournit une plateforme centralisée pour surveiller, sécuriser et contrôler les appareils mobiles accédant aux systèmes de l'entreprise. Ses capacités principales incluent l'application de stratégies de sécurité, la gestion des applications et le verrouillage ou l'effacement à distance des appareils perdus. Le MDM aide à protéger les données de l'entreprise tout en maintenant la conformité des appareils. Il permet aux organisations de toute taille de gérer en toute sécurité des effectifs mobiles croissants. ## [Modèles de déploiement des appareils en entreprise](https://enterprise.cerberusapp.com/fr/insights/device-deployment-models) Les organisations peuvent adopter plusieurs modèles de propriété des appareils, tels que BYOD, CYOD, COPE, COBO et COSU. Chaque modèle équilibre différemment le coût, la flexibilité pour l'utilisateur et le contrôle de sécurité. Le BYOD privilégie la commodité pour l'utilisateur, tandis que le COBO et le COSU maximisent le contrôle et la sécurité de l'entreprise. Le choix du bon modèle dépend des exigences réglementaires, des besoins des effectifs et de la capacité de gestion informatique. ## [MDM, EMM et UEM](https://enterprise.cerberusapp.com/fr/insights/mdm-emm-uem-difference) Le MDM se concentre sur la gestion et la sécurisation des appareils mobiles par l'application de stratégies, le contrôle de la configuration et la gestion à distance. L'EMM étend ce périmètre à la gestion des applications et du contenu, tandis que l'UEM cherche à gérer tous les points de terminaison, y compris les ordinateurs portables et de bureau. Pour de nombreuses PME, les suites EMM ou UEM complètes ajoutent une complexité inutile. En pratique, des capacités MDM robustes répondent souvent à la plupart des besoins de gestion mobile. ## [MDM sur les téléphones personnels et confidentialité des employés](https://enterprise.cerberusapp.com/fr/insights/mdm-personal-phone-privacy) Les systèmes MDM modernes utilisent la conteneurisation pour séparer les données professionnelles et personnelles sur les appareils appartenant aux employés. Les employeurs ne peuvent gérer et surveiller que l'environnement professionnel, y compris les applications de l'entreprise et les informations de conformité de l'appareil. Les données personnelles telles que les photos, les messages et l'historique de navigation restent inaccessibles à l'entreprise. Cette séparation technique permet des programmes BYOD sécurisés tout en préservant la confidentialité des employés. ## [ROI du MDM et valeur commerciale](https://enterprise.cerberusapp.com/fr/insights/mdm-roi-business-value) Le MDM doit être évalué comme un investissement stratégique plutôt que comme une simple dépense de sécurité. Il génère des retours financiers grâce à la réduction des pertes d'appareils, à la baisse des coûts de support informatique et à l'amélioration de l'efficacité opérationnelle. La gestion automatisée augmente également la productivité des employés et réduit les temps d'arrêt. En outre, une sécurité renforcée réduit le risque et l'impact financier des violations de données. ## [Gestion des appareils conforme à la HIPAA](https://enterprise.cerberusapp.com/fr/insights/hipaa-compliant-device-management) Les organisations de santé doivent protéger les données électroniques des patients conformément aux exigences de sécurité de la HIPAA. Le MDM aide à appliquer le chiffrement, les contrôles d'authentification, la transmission sécurisée des données et des journaux d'audit détaillés. Il permet également l'effacement à distance et l'application centralisée des stratégies pour les appareils accédant aux systèmes médicaux. Ces contrôles réduisent les risques de conformité tout en permettant des flux de travail mobiles dans les environnements de santé. ## [MDM pour les opérations et la sécurité du commerce de détail](https://enterprise.cerberusapp.com/fr/insights/retail-operations-mdm-security) Les organisations du commerce de détail dépendent des appareils mobiles pour les systèmes de point de vente, la gestion des stocks et les opérations en magasin. Le MDM garantit que ces appareils restent sécurisés, à jour et conformes à des normes telles que PCI-DSS. La gestion centralisée réduit les temps d'arrêt et simplifie le déploiement des appareils sur plusieurs sites. Le résultat est une meilleure efficacité opérationnelle et un risque réduit d'incidents de sécurité liés aux paiements.