Objectifs
À la fin de cette leçon, l'apprenant sera capable de :
- Comprendre le déploiement automatique des Mac en entreprise
- Utiliser Apple Business Manager pour enregistrer et assigner les Mac
- Associer un Mac à Microsoft Intune via ADE
- Configurer un profil ADE dédié à macOS
- Appliquer automatiquement les profils de configuration et applications
- Réduire les manipulations manuelles lors de l'onboarding
Introduction
Avant Apple Business Manager
Avant Apple Business Manager, chaque Mac devait être configuré manuellement : création de compte local, installation du profil MDM, déploiement des apps une par une. Ce processus était lent, source d'erreurs et difficile à standardiser à grande échelle.
Aujourd'hui avec ABM
- Enregistrement automatique des Mac achetés via revendeurs agréés
- Mode supervisé activé dès la première activation
- Déploiement à distance des profils, apps et restrictions
- Zero Touch Deployment : l'utilisateur ouvre le Mac, se connecte au Wi‑Fi, et l'organisation prend le relais
Parcours de déploiement Mac :
Apple Business Manager
Serveur MDM — Microsoft Intune
Automated Device Enrollment (ADE)
Mac neuf (sortie du carton)
Activation Apple
Configuration automatique Intune
Utilisateur final
Prérequis
- • Apple Business Manager actif avec accès administrateur
- • Microsoft Intune configuré et lié à ABM (jeton server_token.p7m)
- • Token ABM valide et synchronisé dans Intune
- • Certificat APNs valide pour macOS/iOS
- • Mac compatible ADE (Apple Silicon ou Intel récent, macOS 10.14+)
- • Accès administrateur Intune et Entra ID
Checklist de préparation
Configuration Intune
- 1Ouvrir le Microsoft Intune Admin Center (endpoint.microsoft.com)
- 2Aller dans Devices → macOS → macOS enrollment
- 3Sélectionner Enrollment Program Tokens
- 4Choisir le jeton Apple Business Manager synchronisé
- 5Cliquer sur Create Profile (Créer un profil)
- 6Nommer le profil selon votre convention (ex. macOS ADE Production)
- 7Configurer les options d'enrôlement recommandées
- 8Assigner le profil aux Mac cibles
Options recommandées
Supervised
Active le mode supervisé sur macOS : restrictions avancées, profils système, blocage de la suppression MDM et capacités de gestion complètes.
Await Device Configuration
Retient l'assistant de configuration macOS jusqu'à ce qu'Intune ait appliqué tous les profils requis — garantit un Mac conforme avant remise à l'utilisateur.
Locked Enrollment
Empêche l'utilisateur de retirer le profil MDM sans réinitialisation complète — essentiel pour la conformité et la sécurité entreprise.
Création du profil macOS
Profil recommandé : macOS Corporate Standard
✓Masquer Siri
Réduit la surface d'attaque et évite l'indexation vocale de données sensibles en entreprise.
✓Masquer Apple Pay
Contrôle des moyens de paiement sur appareils gérés — alignement avec les politiques financières.
✓Masquer Diagnostics & Usage
Évite l'envoi non contrôlé de données de télémétrie à Apple sans validation IT.
✓Masquer Screen Time
Délègue la gestion du temps d'écran aux politiques MDM plutôt qu'aux réglages personnels.
✓Afficher Remote Management
Informe clairement l'utilisateur que le Mac est géré par l'organisation — transparence et conformité.
Assignation des Mac
- 1Ouvrir Apple Business Manager (business.apple.com)
- 2Aller dans Devices (Appareils)
- 3Sélectionner les Mac par numéro de série ou lot
- 4Cliquer sur Assign to Server (Assigner au serveur)
- 5Choisir le serveur MDM Intune Production
- 6Confirmer l'affectation et attendre la synchronisation
Affectation individuelle
Assignez un Mac spécifique par numéro de série — idéal pour les remplacements ou les appareils VIP.
Affectation par lot
Importez une liste CSV de numéros de série ou sélectionnez plusieurs Mac d'un même bon de commande.
Affectation automatique
Configurez une règle par défaut dans ABM : tout nouveau Mac est automatiquement assigné à Intune.
Premier démarrage — scénario
Le Mac sort du carton. Voici le parcours utilisateur :
- 1Allumer le Mac et choisir la langue et la région
- 2Se connecter au réseau Wi‑Fi (Ethernet possible sur Mac avec port dédié)
- 3Attendre l'activation Apple (connexion aux serveurs d'activation)
- 4Détection automatique ADE — le Mac contacte ABM via le serveur d'activation
- 5Affichage de l'écran de gestion à distance (Remote Management)
- 6Téléchargement automatique du profil MDM Intune
- 7Application des configurations, apps et restrictions définies dans Intune
Message attendu
« Ce Mac est géré par votre organisation. »
Profils appliqués automatiquement
Intune peut déployer automatiquement les éléments suivants dès l'enrôlement ADE :
Réseau
- • Wi‑Fi entreprise (802.1X)
- • VPN Always On
- • Proxy système
Sécurité
- • Certificats PKI / SCEP
- • FileVault (chiffrement)
- • Restrictions système
Applications
- • Microsoft Outlook
- • Microsoft Teams
- • Company Portal
- • Microsoft Edge
- • OneDrive
Checklist de vérification
Captures d'écran
Affectation ADE
Assignation en masse d'appareils ADE au serveur MDM cible.
Légende
Automated Device Enrollment — ex-DEP.
Liste des appareils ADE
Inventaire ADE avec modèle, OS, statut de supervision et profil assigné.
Légende
Synchronisation ABM ↔ MDM toutes les 24 h maximum.
Profil d'enrôlement
Configuration du profil ADE : skip screens, admin account, supervision.
Légende
Profil distinct par plateforme (iOS vs macOS).
Synchronisation ADE
Statut de sync entre ABM et le serveur MDM avec horodatage.
Légende
Forcer une sync après assignation massive.
Déploiement Mac ADE
Mac au Setup Assistant avec écran Remote Management macOS.
Légende
Zero-touch : aucune intervention IT sur site.
Configuration Assistant
Assistant macOS/iOS avec écrans ignorés (Skip Setup) configurés.
Légende
Réduire la friction utilisateur sans compromettre la sécurité.
Supervision automatique
Confirmation du mode supervisé activé via ADE.
Légende
Requis pour installations silencieuses et restrictions avancées.
Dépannage
Erreur
Mac absent dans Intune
Solution
Vérifier la synchronisation ABM : Intune → Enrollment Program Tokens → Sync. Attendre jusqu'à 24 h ou forcer une sync manuelle.
Erreur
ADE ne démarre pas à l'activation
Solution
Vérifier l'affectation du serveur MDM dans ABM pour ce numéro de série. Confirmer que le Mac provient d'un revendeur agréé.
Erreur
Profil MDM non téléchargé
Solution
Contrôler la connectivité Internet (pare-feu, proxy, DNS). Vérifier que le certificat APNs n'est pas expiré.
Erreur
Mac non supervisé après enrôlement
Solution
Vérifier que l'option Supervised est activée dans le profil ADE macOS. Réinitialiser le Mac (Erase All Content and Settings) et recommencer.
Bonnes pratiques
- Tester chaque nouveau profil ADE sur un Mac pilote avant déploiement massif
- Utiliser des groupes pilotes Intune (5–10 Mac) pour valider les changements
- Documenter les configurations : nom, version, date, auteur, apps incluses
- Surveiller les expirations APNs et jetons ABM avec alertes à J-60
- Limiter les privilèges administrateur local — préférer les comptes standard + elevation via MDM
Cas pratique
Cas pratique — 100 MacBook Air M4
Une entreprise reçoit 100 MacBook Air M4 (Apple Silicon). L'objectif est de les déployer sans aucune intervention IT sur site : chaque employé ouvre son Mac, se connecte au Wi‑Fi, et retrouve un poste prêt à l'emploi avec Outlook, Teams et les profils de sécurité.
À votre tour — planifiez le déploiement :
- 1.Configurer Apple Business Manager (serveur MDM Intune, token valide)
- 2.Configurer Intune (profil ADE macOS Corporate Standard)
- 3.Créer le profil avec Setup Assistant personnalisé
- 4.Affecter les 100 Mac au serveur MDM Intune dans ABM
Quiz de validation
10 questions · 0–59 % À revoir · 60–79 % Correct · 80–99 % Validé · 100 % Expert macOS ADE