Apps et profils

Cette section explique comment configurer les applications gérées et les charges utiles de compte pour les appareils Apple.

Gestion des applications

Le panneau Gestion des applications contient à la fois les restrictions générales liées aux applications et une liste d'applications gérées.

Restrictions générales des applications

• Autoriser les App Clips
• Autoriser l'installation d'applications
• Autoriser la suppression d'applications
• Autoriser le téléchargement automatique des applications
• Autoriser le masquage des applications
• Autoriser le verrouillage des applications
• Autoriser les achats intégrés
• Autoriser la modification du navigateur par défaut
• Autoriser la confiance des applications d'entreprise

Applications gérées

Utilisez Ajouter une application pour ajouter une application à la stratégie. Chaque application gérée est affichée sous forme de carte. Vous pouvez développer la carte pour modifier ses paramètres et supprimer l'application à l'aide de l'action de suppression.

• ID App Store : l'identifiant App Store de l'application gérée.
• ID de bundle : l'identifiant de bundle de l'application.
• Comportement d'installation : contrôle si l'application doit rester installée ou si l'utilisateur peut l'installer ou la supprimer.
• Attribution : le type de licence, choisi par Cerberus pour chaque appareil : une licence d'appareil sur les appareils d'entreprise, une licence utilisateur du Managed Apple Account sur les iPhone et iPad personnels (inscription utilisateur). Le champ ne peut pas être modifié.
• Licence VPP : type de licence VPP utilisé pour l'installation via l'App Store.

La liste de sélection des applications affiche les licences disponibles et totales de chaque application. Les applications gratuites affichent Illimité : Apple leur accorde des licences illimitées. Une application ne peut être ajoutée qu'une seule fois à une stratégie : une application ayant le même ID App Store ou ID de bundle qu'une application déjà présente dans la stratégie est refusée, tout comme une stratégie qui répertorie deux fois la même application lors de l'enregistrement.

La liste de sélection des applications affiche les applications de votre bibliothèque Apple Business. Pour ajouter une application, ouvrez dans Apple Business Apps & Services → Apps & Books → App Store, recherchez l'application et cliquez sur View. Pour une application gratuite, cliquez sur Add, sélectionnez All current and future (ou l'unité organisationnelle de votre jeton Apps and Books) dans Organizational Units, cliquez sur Add, puis sur Review et confirmez. Pour une application payante, cliquez sur son prix, choisissez Managed Licenses comme License Type (les codes d'échange ne peuvent pas être utilisés par Cerberus Enterprise), sélectionnez l'Organizational Unit de votre jeton Apps and Books, saisissez le nombre de Licenses (jusqu'à 1 000 par commande), puis Review et achetez. Un moyen de paiement doit d'abord être configuré dans Settings → Payments & Billing → Apps & Services → Payment Methods. Les applications apparaissent ensuite dans la liste de sélection des applications.

Applications sur les appareils personnels (inscription utilisateur)

Les iPhone et iPad personnels inscrits avec l'inscription utilisateur n'ont pas de numéro de série ; ils reçoivent donc les applications App Store de la stratégie avec une licence utilisateur du Managed Apple Account connecté sur l'appareil. Cerberus enregistre le compte auprès d'Apps and Books et attribue les licences automatiquement, applications gratuites comprises. Les Managed Apple Accounts et le jeton Apps and Books doivent appartenir à la même organisation Apple Business. Une application payante utilise une licence par compte, partagée par tous les appareils personnels de ce compte.

• En attente d'une licence utilisateur : l'application n'est envoyée à l'appareil qu'après confirmation de sa licence par Apple, généralement en quelques minutes. Le panneau Applications de l'appareil indique la raison.
• Échec de la licence utilisateur : Apple n'a pas pu attribuer la licence, par exemple parce qu'une application payante n'a plus de licence disponible. Ajoutez des licences dans Apple Business, puis utilisez Demander à nouveau ; Cerberus réessaie également automatiquement chaque jour.
• Invite d'installation : iOS demande l'accord de l'utilisateur avant d'installer chaque application. Si l'utilisateur annule, l'application affiche En attente de l'approbation de l'installation par l'utilisateur ; Demander à nouveau affiche à nouveau l'invite.
• Libération : retirer l'application de la stratégie, ou désinscrire le dernier appareil personnel du compte, supprime l'application et libère sa licence, sauf si un autre appareil inscrit du même compte en a encore besoin.

Pour plus de détails, consultez Inscription pilotée par le compte Apple.

Configuration gérée

Une configuration gérée fournit à une application ses paramètres (par exemple une adresse de serveur ou un nom de compte), de la manière documentée par le fournisseur de l'application. Ouvrez l'application dans la stratégie et cliquez sur Ajouter une configuration gérée. Elle est envoyée aux iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure et aux Mac sous macOS 27 ou version ultérieure ; elle n'est pas encore envoyée à Apple Vision Pro. L'application doit prendre en charge la configuration gérée : une application qui ne la lit pas l'ignore. Le panneau de l'application affiche le nombre de clés à côté du nom de l'application.

• Clés : chaque ligne comporte une clé, un type et une valeur. Les types sont Texte, Entier, Nombre décimal, Booléen, Date, Liste de textes et Liste d'entiers. Les clés sont sensibles à la casse et doivent être uniques. Ajouter une clé ajoute une ligne ; Supprimer la configuration supprime toutes les clés.
• Variables : les valeurs Texte et Liste de textes peuvent contenir $EMAIL$, $USERNAME$, $FULLNAME$, $SERIAL$ et $UDID$, remplacées par les valeurs de chaque appareil et de son utilisateur. Une variable sans valeur (par exemple $EMAIL$ sur un appareil sans utilisateur) reste vide, et les journaux système l'indiquent. Lorsque les informations d'un utilisateur changent, les appareils reçoivent les nouvelles valeurs ; pour les utilisateurs synchronisés depuis Google Directory, les valeurs sont mises à jour lors de la prochaine modification de la stratégie ou de l'appareil.
• Importer une configuration : ouvrez ou collez le fichier que le fournisseur de l'application publie pour MDM, puis cliquez sur Lire. Un specfile AppConfig (specfile.xml) répertorie chaque clé prise en charge par l'application avec sa description, son type, sa valeur par défaut et ses valeurs autorisées : sélectionnez les clés à importer (celles ayant une valeur par défaut sont déjà sélectionnées) et renseignez les autres après l'import. Un avertissement apparaît lorsque le specfile concerne une autre application. Une liste de propriétés (une liste de propriétés complète ou seulement son <dict>) est importée telle quelle. Choisissez ensuite de remplacer les clés actuelles ou de les compléter. Les dictionnaires imbriqués, les valeurs de données et les listes contenant des types mixtes ou inconnus ne sont pas pris en charge et sont indiqués comme ignorés. Apple ne publie pas les clés de configuration des applications ; demandez donc le fichier au fournisseur lorsqu'il ne figure pas dans sa documentation. Copier au format plist copie la configuration telle que l'appareil la reçoit, avant le remplacement des variables.
• Limites : jusqu'à 200 clés par application ; clés jusqu'à 255 caractères ; valeurs de texte jusqu'à 4 096 caractères ; listes jusqu'à 200 éléments de 1 024 caractères chacun ; dates entre 1970 et 9999 ; 64 Ko par application au total.
• Pas pour les mots de passe : la configuration est envoyée uniquement à l'appareil pour lequel elle est conçue et les journaux n'affichent que les noms et types des clés, mais les administrateurs du tableau de bord peuvent lire les valeurs, et l'adresse depuis laquelle l'appareil la télécharge change selon les valeurs : une valeur facile à deviner (un booléen ou un petit nombre) pourrait donc en être déduite. Ne placez pas de mots de passe ni d'autres secrets dans une configuration gérée.
• État : lorsque l'appareil signale que l'application n'a pas accepté sa configuration, le panneau Applications de l'appareil affiche Configuration non acceptée à côté de l'application. Cela ne rend pas l'appareil non conforme. Une configuration que l'appareil ne peut pas télécharger le rend en revanche non conforme.

Options des applications

Chaque application de la stratégie (App Store et applications personnalisées) dispose de ces options. Valeur par défaut de l'appareil laisse le choix à l'appareil. Les appareils qui ne prennent pas en charge une option ne la reçoivent pas ; l'application est tout de même installée.

• Mises à jour automatiques : réglage App Store, Toujours ou Jamais. iOS, iPadOS, macOS et visionOS 26 ou version ultérieure. Pour les applications personnalisées, le réglage App Store se comporte comme Jamais.
• Téléchargements via le réseau cellulaire : réglage App Store, Toujours ou Jamais, pour les installations et mises à jour automatiques. Uniquement sur les iPhone et iPad supervisés sous iOS ou iPadOS 26 ou version ultérieure.
• Sauvegarder les données de l'application : indique si les données de l'application sont incluses dans les sauvegardes de l'appareil. Non disponible sur Mac.
• L'utilisateur peut masquer l'application et L'utilisateur peut verrouiller l'application : iOS et iPadOS 18.1 ou version ultérieure, appliqué sur les appareils supervisés. Refuser le verrouillage empêche aussi le masquage. Les restrictions Autoriser le masquage des applications et Autoriser le verrouillage des applications s'appliquent à toutes les applications.
• Verrouiller l'appareil après les transactions Tap to Pay nécessitant le code PIN du client : iPhone uniquement.
• Domaines associés : les domaines auxquels l'application est associée (par exemple pour les liens universels ou le remplissage automatique des mots de passe), jusqu'à 50. Saisissez des noms d'hôte simples tels que www.example.com, sans applinks:, caractères génériques ni ?mode=. Non disponible sur Mac.
• Vérifier les domaines directement : l'appareil vérifie directement le fichier d'association de site des domaines au lieu de passer par les serveurs d'Apple. Activez cette option uniquement pour les domaines internes qui ne sont pas accessibles depuis Internet.
• Suppression : les applications installées comme Obligatoires ne peuvent pas être supprimées par l'utilisateur.

Applications du Mac App Store

La liste de sélection des applications affiche les plateformes de chaque application (iPhone/iPad, Mac, Apple TV, Vision) ; une application qui n'existe que pour Mac affiche son icône Mac. Une application qui n'existe que pour Mac s'applique aux Mac lorsque vous l'ajoutez. Une application App Store sans version Mac n'est pas envoyée aux Mac : la stratégie affiche « Cette application n'a pas de version Mac : elle n'est pas envoyée aux Mac » sous S'applique à. Les Mac reçoivent les applications App Store par leur ID App Store, de sorte que les applications ayant un ID de bundle différent sur Mac sont installées correctement.

Application Cerberus Enterprise

Cerberus installe son application Cerberus Enterprise sur chaque iPhone et iPad sous iOS ou iPadOS 18.4 ou version ultérieure, avec ou sans stratégie. L'application partage la position de l'appareil et reçoit les notifications et les demandes de suivi en direct. Elle est installée comme Obligatoire, avec une licence d'appareil issue d'Apps and Books (une licence utilisateur sur les appareils personnels), de sorte que l'utilisateur ne peut pas la supprimer.

• Configuration unique : ajoutez l'application gratuite à votre bibliothèque une seule fois. Dans Apple Business, ouvrez Apps & Services → Apps & Books → App Store, recherchez « Cerberus Enterprise », cliquez sur View, puis sur Add, sélectionnez All current and future dans Organizational Units, cliquez sur Add, puis sur Review et confirmez. Si l'application affiche Manage, elle est déjà dans votre bibliothèque : ouvrez-la et vérifiez que ses unités organisationnelles sont All current and future units. D'ici là, le tableau de bord affiche une bannière et les appareils indiquent l'application comme non installée. Voir Account settings.
• Non disponible dans les stratégies : l'application ne peut pas être ajoutée à une stratégie. Elle est désactivée dans la liste de sélection des applications et refusée en tant qu'application personnalisée (même ID de bundle). Une stratégie qui la répertorie déjà voit son entrée supprimée à l'ouverture : enregistrez la stratégie pour confirmer.
• Non installée sur : les appareils sous iOS ou iPadOS antérieur à 18.4. L'iPad partagé est pris en charge pour l'installation, mais les fonctionnalités de l'application n'y sont pas vérifiées.
• Appareils personnels : sur les iPhone et iPad inscrits avec l'Inscription utilisateur, l'application est également installée, avec une invite d'installation et une licence utilisateur du Managed Apple Account. Elle reçoit les messages de votre organisation et n'accède pas à la position, sauf si la stratégie active Localisation et géorepérage sur les appareils personnels et que l'utilisateur l'autorise.
• Maintenue installée : si le jeton Apps and Books expire ou si l'application quitte votre bibliothèque, elle reste sur les appareils et la page de l'appareil indique que Apps and Books nécessite votre attention. Elle n'est supprimée que si l'application est toujours absente de votre bibliothèque 24 heures plus tard.

Applications personnalisées

Les applications personnalisées sont vos propres applications iPhone et iPad (fichiers .ipa), distribuées sans l'App Store. Dans Xcode, exportez l'application pour une distribution Enterprise (Apple Developer Enterprise Program : elle s'installe sur tous les appareils) ou Ad Hoc (elle s'installe uniquement sur les appareils enregistrés dans son profil de provisionnement). Les versions App Store ne peuvent pas être importées.

Cliquez sur Ajouter une application personnalisée pour ouvrir les applications personnalisées de votre organisation. Importer une application ajoute un fichier .ipa (jusqu'à 2 Go). Sélectionnez une application et cliquez sur Ajouter à la stratégie. La liste affiche la version, le type de signature, le nombre d'appareils dans le profil des applications ad hoc et la date d'expiration du profil de provisionnement.

• Nouvelle version : importez une application ayant le même ID de bundle. Elle remplace la version précédente et les appareils des stratégies qui l'utilisent mettent à jour l'application.
• Prérequis : iPhone et iPad sous iOS 17.2 ou version ultérieure. Les appareils qui ne peuvent pas installer l'application ne la reçoivent pas : une application réservée à l'iPad sur un iPhone, un iOS plus ancien que celui requis par l'application, un appareil absent du profil d'une application ad hoc ou un profil de provisionnement expiré.
• Expiration : lorsque le profil de provisionnement expire, l'application ne s'ouvre plus. Importez une version signée avec un nouveau profil avant la date d'expiration.
• ID de bundle réservé : une application personnalisée ayant l'ID de bundle de l'application Cerberus Enterprise (com.lsdroid.Cerberus.Enterprise) ne peut pas être ajoutée à une stratégie, car Cerberus installe cette application automatiquement.
• Supprimer : retirez d'abord l'application de ses stratégies ; les appareils la retirent ensuite.

Paquets Mac

Les applications personnalisées acceptent aussi les paquets d'installation Mac (fichiers .pkg). Le paquet doit être un paquet de distribution construit avec productbuild (un paquet de composants créé uniquement avec pkgbuild est refusé) et signé avec un certificat Developer ID Installer. Il est recommandé de le notariser et d'agrafer le ticket (notarytool et stapler). Les paquets non signés, les paquets modifiés après signature et les paquets signés avec d'autres certificats sont refusés.

Téléversez le fichier .pkg avec Téléverser l'app et ajoutez-le à la stratégie : il apparaît sous Paquets Mac. Les iPhone et iPad l'ignorent.

Les Mac avec macOS 26 ou ultérieur (supervisés, ce qui inclut les Mac inscrits manuellement, mais pas l'inscription utilisateur) reçoivent le paquet sous forme de déclaration : le Mac le télécharge, l'installe, réessaie et le met à jour de lui-même et signale son état. Les Mac plus anciens, et les paquets installés comme applications gérées, le reçoivent avec une commande MDM, sur toute version de macOS. Un Mac mis à niveau vers macOS 26 passe de lui-même à la déclaration ; il peut installer chaque paquet une fois de plus. Il peut en aller de même lorsqu'un Mac passe à une autre stratégie contenant le même paquet.

• Nouvelle version : téléversez un paquet avec le même identifiant de paquet. Il remplace la version précédente, et les Mac des stratégies qui l'utilisent installent la nouvelle.
• Mac ignorés : les Mac dont macOS est plus ancien que ce que le paquet permet, et les Mac Intel pour les paquets conçus uniquement pour Apple silicon. La page de l'appareil affiche le paquet comme Ignoré, avec la raison ; la version installée auparavant reste sur le Mac.
• Installer : Obligatoire (par défaut) installe le paquet sur le Mac ; Facultatif rend le paquet disponible sur le Mac sans l'installer. macOS 26 n'affiche pas les paquets facultatifs à l'utilisateur dans Réglages Système ni dans l'App Store (testé sur macOS 26.3), donc une app ou un script sur le Mac doit les installer ; ne choisissez Facultatif que si vous en avez un. Cela s'applique aux Mac avec macOS 26 ou ultérieur ; les Mac plus anciens installent toujours le paquet. Le choix n'est pas disponible pour les paquets installés comme applications gérées.
• Supprimer les fichiers du paquet lorsqu'il quitte la stratégie (macOS 27 ou ultérieur) : lorsque le paquet est retiré de la stratégie, les Mac avec macOS 27 ou ultérieur suppriment les fichiers qu'il a installés. Cette option est désactivée par défaut. Sur les Mac plus anciens, les fichiers restent. Non disponible pour les paquets installés comme applications gérées.
• Installer comme application gérée : activez cette option pour qu'un paquet de la stratégie installe son app comme application gérée (macOS 11 ou ultérieur, pas avec l'inscription utilisateur). macOS signale alors l'échec de l'installation, et le MDM peut supprimer l'app. L'app doit être installée directement dans le dossier Applications, signée avec un certificat Developer ID Application et notarisée ; sur macOS 11 à 13, le paquet ne doit contenir que cette app (aucun autre fichier ni script). Les applications personnalisées indiquent quels paquets sont admissibles. Lorsque l'option ne peut pas être appliquée sur un Mac, le paquet y est installé comme d'habitude et la page de l'appareil en explique la raison.
• Options de suppression d'une application gérée : Supprimer l'app lorsque le paquet est retiré de la stratégie (activé par défaut) et Supprimer l'app lorsque le Mac quitte la gestion. La suppression d'une app supprime aussi ses données. Si l'utilisateur avait déjà installé la même app, cette copie devient gérée et est également supprimée.
• Suppression : la commande MDM ne peut pas désinstaller un paquet. Pour un paquet installé comme application gérée, le retirer de la stratégie supprime l'app (lorsque l'option est activée) ; ses autres fichiers et le reçu du paquet restent. Les paquets dont l'option Supprimer les fichiers du paquet est activée sont supprimés des Mac avec macOS 27 ou ultérieur. Autres paquets : les retirer de la stratégie ne fait qu'arrêter les nouvelles installations, les fichiers restent sur les Mac. Un Mac ignoré (par exemple après une nouvelle version nécessitant un macOS plus récent) conserve l'app tant que le paquet est dans la stratégie ; le retrait du paquet de la stratégie le supprime alors aussi. Supprimez les fichiers restants sur le Mac (par exemple avec le désinstalleur du paquet) et exécutez sudo pkgutil --forget <identifier> pour oublier le reçu du paquet.
• État sur l'appareil : le panneau Applications du Mac affiche chaque paquet de la stratégie comme En file d'attente, Accepté (le Mac a accepté la commande), Téléchargé, Installé (uniquement pour les paquets contenant des apps, lorsque les apps sont trouvées sur le Mac) ou Échec (avec l'erreur). macOS ne signale pas l'installation d'un paquet envoyé avec la commande, donc Téléchargé est le dernier état pour les paquets sans app. Un paquet installé comme application gérée passe aussi à Échec lorsque macOS signale que l'app n'a pas pu être installée ou a été supprimée du Mac. Réinstaller renvoie le paquet au Mac.
• État avec la déclaration : les paquets livrés sous forme de déclaration affichent la puce Déclaration et l'état signalé par le Mac : En file d'attente, Disponible (un paquet facultatif que l'utilisateur n'a pas installé), En attente de l'utilisateur, Téléchargement, Installation, Installé ou Échec (avec la raison, par exemple un téléchargement ou une installation échoués, ou une déclaration rejetée par le Mac). La puce Fichiers supprimés avec la stratégie signale les paquets dont les fichiers sont supprimés par un Mac sous macOS 27 lorsqu'ils quittent la stratégie. Réinstaller n'apparaît qu'après un échec et demande au Mac de réessayer ; elle n'est pas proposée lorsque le Mac a rejeté la déclaration.

Comptes

Le panneau Comptes vous permet de configurer les comptes appliqués aux appareils gérés. Il comprend également une option de restriction pour la modification des comptes.

Restriction

• Autoriser la modification des comptes : lorsqu'elle est désactivée, les utilisateurs ne peuvent pas modifier les comptes tels que les comptes Apple et les comptes Internet.

Ajouter des comptes

Utilisez Ajouter un compte Google ou Ajouter un compte de messagerie pour ajouter des charges utiles de compte à la stratégie. Chaque compte apparaît sous forme de carte avec ses champs de configuration.

Identifiants de compte fournis par les utilisateurs

Les cartes de compte Google et de compte de messagerie proposent toutes deux une option Identifiants de compte fournis par les utilisateurs. Lorsqu'elle est activée, le système applique les identifiants de compte pour chaque utilisateur. Lorsqu'elle est désactivée, vous saisissez l'identité du compte dans la stratégie.

Champs du compte Google

• Nom visible : le nom présenté à l'utilisateur pour le compte.
• Adresse e-mail Google : l'adresse e-mail de l'utilisateur.
• Nom complet : le nom complet de l'utilisateur.

Champs du compte de messagerie

Les comptes de messagerie comprennent des champs d'identité ainsi que la configuration des serveurs entrants et sortants. Les noms d'hôte sont obligatoires.

• Nom visible : le nom présenté à l'utilisateur pour le compte de messagerie.
• Adresse e-mail : l'adresse e-mail de l'utilisateur.
• Nom complet : le nom complet de l'utilisateur.

Serveur entrant

• Type de serveur : protocole de messagerie (par exemple IMAP ou POP).
• Méthode d'authentification : méthode d'authentification du serveur.
• Préfixe de chemin IMAP : affiché uniquement lorsque le type de serveur est IMAP.
• Nom d'hôte : obligatoire.
• Port : port du serveur (1–65535).

Serveur sortant

• Méthode d'authentification
• Nom d'hôte : obligatoire.
• Port : port du serveur (1–65535).

Options S/MIME

Pour les comptes de messagerie, vous pouvez également configurer le comportement de chiffrement et de signature S/MIME.

Chiffrement

• Chiffrement S/MIME
• Identité modifiable par l'utilisateur
• Choix par message activé
• Modifiable par l'utilisateur

Signature

• Signature S/MIME
• Identité modifiable par l'utilisateur
• Modifiable par l'utilisateur

Les options de compte et de restriction comprennent dans le tableau de bord des infobulles documentant les prérequis et les versions de système d'exploitation prises en charge.