Intro visuelle

Sans Apple Business Manager, impossible de déployer des iPhone, iPad ou Mac en entreprise de façon industrialisée. Dans cette vidéo, nous comprenons pourquoi ABM est le socle de toute stratégie Apple MDM.

Architecture

ABM centralise quatre piliers : l'inventaire des appareils achetés en volume, les serveurs MDM, Apps & Books pour les licences, et les Managed Apple IDs pour les identités d'entreprise.

Démonstration

Connectez-vous à business.apple.com. Vérifiez le tableau de bord : section Devices pour l'inventaire, MDM Servers pour Intune ou Jamf, et Users pour les administrateurs. Assignez le rôle Device Manager au minimum pour la suite du parcours.

Erreurs fréquentes

Erreur fréquente : l'appareil n'apparaît pas dans ABM — vérifiez le revendeur agréé et le numéro de commande. Autre piège : créer plusieurs serveurs MDM pour le même tenant Intune, ce qui fragmente l'inventaire ADE.

Résumé

ABM est prêt. Passez au lab pour lier Intune, puis validez vos acquis avec le quiz certification ABM.

Intro visuelle

Votre flotte Apple est dans ABM, mais Intune ne peut pas encore la gérer. Il faut créer un serveur MDM dans ABM et importer le token dans le portail Microsoft Intune.

Architecture

Le flux est : ABM génère un fichier server_token.p7m, Intune l'importe dans Apple Enrollment, puis synchronise les appareils et profils ADE. APNs est requis pour pousser les commandes.

Démonstration

Dans ABM, créez le serveur MDM Intune et téléchargez le token. Dans Intune : Devices → Apple → Enrollment Program Tokens → ajoutez le fichier .p7m. Attendez la synchronisation, puis vérifiez les appareils dans Devices → All devices.

Erreurs fréquentes

Token expiré ou réimport d'un mauvais fichier : la sync échoue silencieusement. Token APNs manquant : les appareils apparaissent mais restent non conformes. Vérifiez aussi que le profil ADE est assigné au bon groupe.

Résumé

La liaison ABM-Intune est opérationnelle. Enchaînez avec le déploiement ADE iPhone, puis le lab abm-intune.

Intro visuelle

Un iPhone neuf en entreprise doit rejoindre le MDM sans que l'utilisateur installe un profil manuellement. L'Automated Device Enrollment rend ce zero-touch possible.

Architecture

ABM assigne l'iPhone au serveur MDM. Au premier démarrage, iOS contacte Apple, récupère le profil ADE et affiche Remote Management. L'appareil devient supervisé.

Démonstration

Dans Intune, créez un profil ADE iPhone : nom, utilisateur assigné ou non, configuration Wi-Fi optionnelle. Assignez-le au groupe d'appareils ABM. Allumez l'iPhone : l'écran Remote Management apparaît avant la création du compte.

Erreurs fréquentes

Si Remote Management n'apparaît pas, l'iPhone n'est pas dans ABM ou le mauvais profil ADE est assigné. Un iPhone déjà activé avec un Apple ID personnel nécessite un effacement complet pour ADE.

Résumé

Votre iPhone est supervisé et prêt pour les profils silencieux. Passez au lab ade-iphone puis au quiz ADE.

Intro visuelle

Le déploiement Mac en entreprise suit le même principe ADE qu'iOS, avec des spécificités : profils système, PPPC et chiffrement FileVault dès le premier boot.

Architecture

Le Mac est assigné dans ABM, le profil ADE macOS est poussé au Setup Assistant. Une fois inscrit, Intune ou Jamf déploie FileVault, compte admin et apps.

Démonstration

Créez le profil ADE macOS dans Intune avec skip screens adaptés. Au premier démarrage, validez Remote Management. Vérifiez l'inscription dans Devices, puis confirmez que le profil FileVault est en attente ou appliqué.

Erreurs fréquentes

Sur Mac Apple Silicon, l'utilisateur local créé au setup peut bloquer certains profils système. Oublier l'escrow FileVault empêche la récupération de clé en support.

Résumé

Le Mac est prêt pour FileVault et les profils enterprise. Lab ade-mac, puis vidéo FileVault.

Intro visuelle

Sans certificat APNs valide, votre serveur MDM ne peut pas réveiller les appareils. Aucun profil, aucune app, aucune commande distante ne passera.

Architecture

Le MDM génère une CSR, Apple signe le certificat push, le MDM l'installe. Chaque commande part en notification push silencieuse vers l'appareil.

Démonstration

Dans Intune : Devices → Apple → Apple MDM Push Certificate. Téléchargez la CSR, uploadez-la sur identity.apple.com/pushcert, récupérez le certificat .pem et importez-le. Notez la date d'expiration dans votre calendrier admin.

Erreurs fréquentes

Renouveler avec une nouvelle CSR au lieu du renouvellement du certificat existant casse le push pour tous les appareils. Oublier APNs après migration tenant est une cause classique de flotte orpheline.

Résumé

APNs est configuré. Testez un push avec un profil test, puis lab apns.

Intro visuelle

Demander à chaque employé d'acheter Teams ou Outlook avec son Apple ID personnel est une faille de gouvernance. Apps & Books résout cela avec des licences assignées par le MDM.

Architecture

ABM achète les licences, le token VPP synchronise le catalogue MDM, APNs réveille l'appareil pour installation silencieuse sur appareils supervisés.

Démonstration

Dans ABM Apps & Books, achetez ou assignez des licences Microsoft Teams. Synchronisez le token dans Intune. Créez une app iOS assignée à un groupe, mode Required. Vérifiez l'installation sur l'iPhone supervisé.

Erreurs fréquentes

Licences insuffisantes, app retirée du store VPP, ou appareil non supervisé empêchent l'install silencieuse. Le token VPP expiré désynchronise tout le catalogue.

Résumé

Vos apps métier sont déployées en volume. Lab apps-books, quiz Apple IT Pro.

Intro visuelle

Les Managed Apple IDs séparent la vie professionnelle de l'Apple ID personnel. Indispensables pour Shared iPad, certaines fonctionnalités ABM et la conformité.

Architecture

ABM crée les identités ou les fédère depuis Microsoft Entra. Les services Apple (iCloud org, notes, cours) utilisent ces comptes gérés.

Démonstration

Dans ABM Users, créez un Managed Apple ID manuellement ou configurez la fédération Entra. Testez la connexion sur un appareil managé. Vérifiez les rôles administrateur séparés des comptes utilisateurs.

Erreurs fréquentes

Confondre Apple ID perso et Managed ID sur le même appareil crée des conflits iCloud. La fédération mal configurée bloque la création de comptes au setup.

Résumé

Identités gérées en place. Lab managed-apple-ids, puis Platform SSO.

Intro visuelle

Platform SSO permet à macOS d'utiliser la session Entra pour s'authentifier nativement dans les apps — sans ressaisir mot de passe à chaque ouverture.

Architecture

Entra émet des tokens, le profil Platform SSO macOS configure l'extension d'authentification Microsoft, les apps utilisent le SSO natif Apple.

Démonstration

Déployez l'extension Company Portal ou SSO extension via Intune. Créez le profil Platform SSO avec tenant ID, client ID et redirect URI. Inscrivez un Mac supervisé et testez Safari + Outlook sans re-login.

Erreurs fréquentes

Redirect URI incorrect, Mac non supervisé, ou extension non installée : le SSO échoue avec des prompts répétés. Conditional Access peut bloquer les appareils non conformes.

Résumé

Platform SSO déployé. Lab platform-sso, préparation certification Apple IT Pro.

Intro visuelle

Les profils de configuration sont le langage du MDM sur iPhone et iPad : une fois supervisés, ils s'installent sans intervention utilisateur.

Architecture

Intune ou Jamf compose le profil XML, APNs push l'installation, iOS valide la signature MDM et applique payloads Wi-Fi, VPN, restrictions.

Démonstration

Créez un profil Wi-Fi enterprise avec certificat SCEP, puis un profil Restrictions bloquant l'App Store perso. Assignez à un groupe iOS supervisé. Vérifiez dans Réglages → Général → VPN et appareil management.

Erreurs fréquentes

Profil Wi-Fi avec certificat expiré, SCEP mal configuré, ou appareil non supervisé : l'install échoue ou demande interaction. Trop de profils conflictuels ralentit le check-in.

Résumé

Profils iOS maîtrisés. Lab ios-profiles, quiz certification.

Intro visuelle

macOS exige une approche différente d'iOS : profils système, approbation admin local, PPPC pour apps tierces, et extensions système.

Architecture

Le MDM pousse le profil, macOS affiche le panneau d'approbation système si requis, les payloads s'appliquent au niveau machine.

Démonstration

Créez un profil PPPC pour Microsoft Teams (micro, caméra). Déployez un profil Dock et wallpaper. Sur Mac supervisé, l'install est silencieuse ; sinon l'admin local doit approuver dans Réglages système.

Erreurs fréquentes

Oublier PPPC provoque des popups micro/caméra répétés. Profil non approuvé reste en attente indéfiniment sur Mac non supervisé.

Résumé

Profils macOS déployés. Lab macos-profiles, enchaîner FileVault.

Intro visuelle

Un Mac portable perdu sans chiffrement disque expose toutes les données corporate. FileVault est la baseline sécurité macOS exigée par la plupart des frameworks.

Architecture

Le profil MDM force FileVault, macOS génère une clé de récupération escrow vers Intune ou Jamf, l'admin peut déverrouiller sans mot de passe utilisateur.

Démonstration

Déployez le profil FileVault Intune avec escrow vers Azure AD ou clé personal recovery key désactivée. Vérifiez sur Mac : System Settings → Privacy & Security → FileVault On. Récupérez la clé dans Intune device record.

Erreurs fréquentes

Pas d'escrow = impossible de débloquer un Mac si l'utilisateur oublie son mot de passe. FileVault activé avant ADE peut compliquer le déploiement initial.

Résumé

Mac chiffrés et conformes. Lab macos-security, quiz Apple IT Pro.

Intro visuelle

macOS intègre Gatekeeper, XProtect et System Integrity Protection avant même votre EDR. Un admin MDM doit les connaître pour ne pas les contourner par erreur.

Architecture

Gatekeeper vérifie notarisation des apps, XProtect/MRT bloquent malwares connus via mises à jour silencieuses, SIP protège les fichiers système contre modifications même root.

Démonstration

Dans System Settings → Privacy & Security, montrez App Store + identified developers. Terminal : spctl --assess sur app notarisée vs non. Vérifiez XProtect updates dans Software Update. Expliquez pourquoi désactiver SIP est interdit en prod.

Erreurs fréquentes

Autoriser apps anywhere ouvre la porte au malware. Désactiver SIP pour installer un agent legacy crée une dette sécurité majeure. Retarder les mises à jour XProtect laisse des signatures obsolètes.

Résumé

Défenses natives comprises. Complétez avec Jamf Protect. Lab macos-security.

Intro visuelle

Jamf Pro est la référence MDM Apple pour les organisations qui veulent un contrôle granulaire sur macOS et iOS. Cette vidéo pose les fondations de la console.

Architecture

Jamf Pro repose sur l'inventaire MDM, les Smart Groups pour le ciblage, les Configuration Profiles et les Policies pour l'automatisation.

Démonstration

Connectez-vous à Jamf Pro. Explorez Computers & Devices : recherche par serial, OS version, last check-in. Créez un site test, une catégorie, et localisez Self Service et Settings.

Erreurs fréquentes

Check-in absent signifie APNs ou réseau bloqué. Mauvais site assignment fausse les scopes. Ne jamais modifier les built-in groups sans comprendre l'impact.

Résumé

Console Jamf maîtrisée. Lab jamf-discovery, quiz Jamf 100, vidéo Smart Groups.

Intro visuelle

Les groupes statiques deviennent ingérables à 500 Macs. Les Smart Groups mettent à jour le membership automatiquement selon OS, apps, EA ou localisation.

Architecture

Critères inventory → Smart Group → scope policies/profiles. Extension Attributes enrichissent les critères avec données custom scripts.

Démonstration

Créez un Smart Computer Group : macOS Sonoma + Microsoft Teams absent + last check-in < 7 days. Scope une policy test. Observez le membership se mettre à jour après un reconnaissance inventory.

Erreurs fréquentes

Critères trop larges ciblent toute la flotte par erreur. Oublier de recalculer inventory retarde le membership. Nested groups mal conçus créent des boucles de scope.

Résumé

Smart Groups opérationnels. Lab jamf-smart-groups, vidéo Policies.

Intro visuelle

Les policies Jamf sont le moteur d'automatisation : installer apps, scripts, packages au enrollment, au check-in ou via Self Service.

Architecture

Trigger → Policy payloads (packages, scripts, profiles) → Scope Smart Group → Execution logs sur chaque Mac.

Démonstration

Créez une policy Enrollment Complete installant un package .pkg test. Ajoutez un script de banner bienvenue. Scope sur Smart Group pilotes. Vérifiez les logs policy sur un Mac test.

Erreurs fréquentes

Policies en conflit sur le même trigger s'exécutent dans un ordre imprévisible. Oublier de désactiver une policy de test en prod cause redeploy loops. Scripts sans exit code proper masquent les échecs.

Résumé

Policies maîtrisées. Lab jamf-policies, vidéo Scripts Jamf.

Intro visuelle

Quand le profil MDM ne suffit pas, les scripts Jamf automatisent configuration fine, API calls et remediation — avec paramètres $4–$11.

Architecture

Script uploadé dans Jamf → attaché à Policy → exécuté root ou user → logs dans policy history et fichier local.

Démonstration

Uploadez un script bash vérifiant FileVault status, paramètre $4 = seuil alerte. Liez à policy Recurring Check-in daily. Testez sur Mac pilote, lisez /var/log/jamf.log et policy logs.

Erreurs fréquentes

Scripts hardcodés sans paramètres, chemins absolus fragiles, ou exécution user au lieu de root pour tâches système. Timeout policy trop court sur scripts longs.

Résumé

Scripts déployés. Lab jamf-scripts, Patch Management ensuite.

Intro visuelle

Les apps tierces sont le vecteur d'attaque le plus négligé. Jamf Patch Management surveille versions Chrome, Zoom, Firefox et déploie updates automatiquement.

Architecture

Catalogue Patch → Software Title → Patch Policy → Smart Group non conforme → Policy install update → reporting conformité.

Démonstration

Activez un Software Title Chrome dans Patch Management. Définissez seuil minimum version et deadline 14 jours. Scope patch policy sur Smart Group. Consultez Patch Compliance report.

Erreurs fréquentes

Custom apps non reconnues par le catalogue nécessitent Extension Attributes manuels. Patch policy sans Self Service fallback bloque les users en deadline.

Résumé

Patch Management actif. Lab jamf-patch-management, quiz Jamf 200.

Intro visuelle

XProtect ne suffit pas face aux menaces ciblées. Jamf Protect analyse comportements endpoint macOS et remonte analytics au SOC.

Architecture

Jamf Pro inscrit l'agent Protect, les plans définissent règles MITRE, alertes remontent dans Protect dashboard et peuvent déclencher workflows Jamf Pro.

Démonstration

Liez Jamf Pro à Protect, déployez l'agent via policy. Créez un Security Plan baseline avec blocage binaries non signés. Simulez une alerte test et tracez la remediation dans Protect dashboard.

Erreurs fréquentes

Agent Protect non installé sur Mac Silicon sans approval system extension. Plans trop agressifs génèrent alert fatigue. Pas de processus SOC pour trier les alertes Protect.

Résumé

Jamf Protect déployé. Lab jamf-protect, examen blanc Jamf 200. Certification Jamf 200 Ready.

Intro visuelle

Configuration Profiles Jamf Pro 11.16 — fondamental certification Jamf 100. Scénario : déployer Wi-Fi enterprise et exiger FileVault sur Mac supervisés ADE.

Architecture

Jamf Pro → Configuration Profile → payloads Wi-Fi, FileVault, restrictions → scope Smart Group → push APNs → Mac.

Démonstration

Computers → Configuration Profiles → New. Ajoutez Wi-Fi enterprise et FileVault escrow. Scope ADE-SUPERVISED. Vérifiez Réglages → Profils sur Mac pilote.

Erreurs fréquentes

Conflits Wi-Fi duplicate SSID, FileVault sans escrow IT, profil scoped avant test pilote.

Résumé

Profils MDM scoped et vérifiés. Lab jamf-discovery, ressource PDF, quiz configuration profiles.

Intro visuelle

L'inventaire Jamf Pro est la source de vérité pour scope, conformité et dépannage MDM enterprise.

Architecture

Check-in appareil → inventaire General/Hardware/Software/Security → EA → Smart Groups et Advanced Search.

Démonstration

Computers → fiche Mac → onglets Security et Software. Advanced Search FileVault OFF. Export pour équipe sécurité.

Erreurs fréquentes

Last check-in stale, inventaire vide post-enrollment, EA script en échec silencieux.

Résumé

Inventaire maîtrisé. Lab jamf-discovery. Quiz inventory. Préparation Jamf Fundamentals.

Intro visuelle

Automated Device Enrollment transforme le déploiement Mac enterprise : ABM, token MDM, PreStage, premier boot configuré.

Architecture

ABM assigne appareils → token serveur Jamf → PreStage scope profils/policies → Setup Assistant Mac supervisé.

Démonstration

Settings → ADE : sync token ABM. Computer PreStage : Wi-Fi, FileVault, agent. Test erase Mac lab, enrollment ADE, validation profils.

Erreurs fréquentes

Token ABM expiré, APNs invalide, PreStage trop lourd, appareil non assigné ABM.

Résumé

Enrollment zero-touch opérationnel. Voir jamf-prestage. Lab jamf-discovery. Quiz enrollment.

Intro visuelle

Self Service réduit les tickets IT en exposant apps et policies approuvées aux utilisateurs macOS.

Architecture

Settings Self Service branding → policies Self Service tab → app sur Mac → exécution policy utilisateur.

Démonstration

Settings → Self Service → macOS : catégories Productivité. Policy Teams : Self Service tab. Test installation sur Mac utilisateur.

Erreurs fréquentes

Catalogue surchargé, policies destructives exposées, descriptions techniques incompréhensibles.

Résumé

Catalogue Self Service pilote validé. Lab jamf-self-service. Quiz Self Service.

Intro visuelle

Les packages Jamf Pro distribuent logiciels enterprise via Distribution Points et policies Packages.

Architecture

PKG upload DP → Jamf metadata → policy Packages Install → scope → Mac télécharge et installe.

Démonstration

Computers → Packages → New upload PKG. Policy Packages Install, scope pilote. Vérifier Policy Logs et app installée.

Erreurs fréquentes

DP inaccessible WAN, PKG non signé, mauvaise action Cache, espace disque insuffisant.

Résumé

Package déployé. Lab jamf-packages. Quiz packages. Jamf 100 et 200.

Intro visuelle

Module 4 — Computers Jamf Pro. Scénario : policy profil Wi-Fi échoue — diagnostiquer via Management History et Policy Logs sur fiche Mac.

Architecture

Check-in MDM déclenché par APNs ou `sudo jamf policy`. Local user vs MDM user dans fiche Security. Bootstrap Token pour FileVault escrow ADE.

Démonstration

Computers → Mac pilote → Management History. Forcer Update Inventory → vérifier Last Check-in. Policy Logs depuis fiche Mac.

Erreurs fréquentes

Wipe sans confirmation asset tag. Ignorer Management History après échec profil. Unmanage accidentel en production.

Résumé

Computers = fiche Mac complète. Management History et Policy Logs = premier réflexe dépannage. Lab jamf-discovery, quiz quiz-jamf-computers.

Intro visuelle

Module 5 — Mobile Devices Jamf Pro. Scénario : déployer Wi-Fi corporate sur 200 iPad retail supervisés ADE.

Architecture

Mobile Devices → fiche iPad → Profiles / Apps / Security. Shared iPad vs user-assigned selon cas école/retail. Commands : Erase, Clear Passcode, Sync.

Démonstration

Mobile Devices → iPad pilote ADE → profils installés. Créer profil Wi-Fi iOS scoped groupe pilote. Vérifier Last Push et Last Inventory.

Erreurs fréquentes

Profils macOS copiés sur iOS sans adaptation payloads. Oublier supervision pour silent VPP install. Wipe sans mode Lost Device check.

Résumé

Mobile Devices = parc iOS/iPadOS supervisé. PreStage + profils + VPP = triptyque onboarding. Lab jamf-mobile-devices, quiz quiz-jamf-mobile-devices.

Intro visuelle

Module 7 — Static Groups Jamf Pro 11.16. Scénario : exclure Mac labo et VIP d'une policy maintenance nocturne.

Architecture

Static Computer Groups dans Computers → Static Computer Groups. Membership visible dans fiche Mac → Groups tab. Utilisé aussi pour permissions Self Service ciblées.

Démonstration

Créer Static Group VIP-MAC-2024. Ajouter 3 Mac pilotes manuellement. Policy scope Smart Group + exclusion Static VIP.

Erreurs fréquentes

Static Group non maintenu → exclusions obsolètes. Oublier Static exclusion sur policy massive. Confondre Static et Smart pour reporting.

Résumé

Static Groups = listes manuelles pour VIP/labo/exclusions. Toujours maintenir membership. Lab jamf-static-groups, quiz quiz-jamf-static-groups.

Intro visuelle

Module 14 — Reporting Jamf Pro. Audit FileVault CSV trimestriel. Lab jamf-reporting. Quiz quiz-jamf-reporting.

Architecture

Advanced Search ≠ Smart Group. API REST pour BI externe (Tableau, Power BI). Scheduled exports via automation externe.

Démonstration

Advanced Search FileVault off → export CSV. Patch dashboard Chrome versions. Sauvegarder recherche pour audit trimestriel.

Erreurs fréquentes

Smart Group pour rapport ponctuel. Export sans champs EA nécessaires. Confondre Last Check-in et conformité patch.

Résumé

Reporting = Advanced Search + exports + dashboards patch. Pas de scope via Advanced Search. Lab jamf-reporting, quiz quiz-jamf-reporting.

Intro visuelle

Module 15 — Troubleshooting Jamf Pro. Scénario package Failed Mac distant. Lab jamf-troubleshooting. Quiz quiz-jamf-troubleshooting.

Architecture

Jamf Pro logs serveur pour erreurs push. Management History timeline sur fiche Mac. Smart Group circulaire → perf serveur.

Démonstration

Policy package Failed → Policy Logs → DP ping. Profil Wi-Fi → Management History. APNs cert expiry → Dashboard alert.

Erreurs fréquentes

Modifier policy sans lire logs. Renouveler APNs en urgence sans procédure. Wipe comme premier réflexe.

Résumé

Troubleshooting = Policy Logs + Management History + check-in + certificats. Runbook L1/L2. Lab jamf-troubleshooting, quiz quiz-jamf-troubleshooting.