Chapitre 911 minIntermédiaire
MDM : déployer smartphones et tablettes
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- choisir une méthode d'inscription pour chaque type d'appareil mobile ;
- configurer un appareil dédié en mode kiosque ;
- préparer les profils, applications et règles de conformité d'une flotte ;
- distinguer appareil de l'entreprise et appareil personnel.
3 exercices corrigés
Un MDM (Mobile Device Management, gestion des appareils mobiles) est un outil qui inscrit les smartphones et tablettes de l'organisation, leur applique des réglages et des règles de sécurité, y installe les applications et permet d'agir à distance : verrouiller, localiser, effacer. Pour les mobiles, le MDM joue le rôle que FOG, les GPO et Intune jouent pour les PC. Ce chapitre se concentre sur le déploiement d'une flotte : les méthodes d'inscription, la préparation des profils, le mode kiosque. Les questions de vie privée et de BYOD sont traitées dans le cours Poste de travail.
Ce que doit faire le MDM chez Sorbier
Sorbier a deux besoins mobiles :
- 12 terminaux de scan Android pour l'entrepôt (VLAN 30,
192.168.10.128/27), qui ne doivent servir qu'à une chose : l'application de gestion des stocks. Ils sont partagés entre les équipes et ne sont à personne en particulier. - 15 smartphones Android pour les chauffeurs-livreurs, fournis par l'entreprise : application de tournée, messagerie, téléphone, GPS. Usage personnel toléré mais encadré.
S'y ajoutent les iPhone de la direction. Dans tous les cas, l'appareil appartient à l'entreprise : c'est le cas le plus simple, où le MDM peut gérer l'appareil entier.
Les solutions du marché : Microsoft Intune (avec les licences Microsoft 365 qui l'incluent), Omnissa Workspace ONE, Ivanti, Jamf pour les appareils Apple, Samsung Knox Manage, et des solutions libres comme Headwind MDM pour Android, installable sur un serveur Linux. Sorbier n'a pas de licences Intune : Antoine choisit un MDM en ligne compatible Android Enterprise et Apple. Les principes qui suivent sont les mêmes partout ; seuls les noms des menus changent.
Les prérequis d'un MDM
Avant d'inscrire le premier appareil, il faut relier le MDM aux services des constructeurs :
| Pour | Ce qu'il faut | Pourquoi |
|---|---|---|
| Android | Lier le MDM à un compte Google Play d'entreprise (Managed Google Play), dans le cadre d'Android Enterprise | Gérer les appareils avec les modes d'Android Enterprise et publier les applications du Play Store sans compte Google personnel |
| Apple | Un certificat Apple Push (APNs), à renouveler chaque année | Le MDM réveille les appareils Apple par le service de notification d'Apple |
| Apple, appareils de l'entreprise | Un compte Apple Business relié au MDM | L'inscription automatisée (ADE) et l'achat d'applications en volume |
Apple Business a remplacé en avril 2026 Apple Business Manager, Apple Business Essentials et Apple Business Connect : tu trouveras encore l'ancien nom dans beaucoup de documentations.
Les modes de gestion d'Android Enterprise
| Mode | Appareil | Ce que gère le MDM | Chez Sorbier |
|---|---|---|---|
| Entièrement géré (fully managed) | De l'entreprise, à un utilisateur | Tout l'appareil | Les smartphones des chauffeurs |
| Dédié (dedicated) | De l'entreprise, sans utilisateur attitré | Tout l'appareil, souvent verrouillé sur une ou quelques applications (kiosque) | Les terminaux de scan |
| Profil professionnel sur appareil de l'entreprise (COPE) | De l'entreprise, usage personnel autorisé | L'appareil en partie, et le profil professionnel en entier | Possible pour les chauffeurs, si l'usage personnel est assumé |
| Profil professionnel sur appareil personnel (BYOD) | Du salarié | Seulement le profil professionnel | Non retenu |
Les méthodes d'inscription
Inscrire un appareil, c'est le faire passer sous la gestion du MDM. Pour un appareil de l'entreprise, l'inscription se fait au premier démarrage, sur un appareil neuf ou réinitialisé :
| Méthode | Plateforme | Comment | Quand l'utiliser |
|---|---|---|---|
| QR code | Android 9 et suivants | À l'écran d'accueil, toucher plusieurs fois l'écran pour ouvrir le lecteur, puis scanner le QR code du profil d'inscription généré par le MDM | La méthode la plus courante pour une petite flotte |
| Jeton ou code | Android | Saisir afw#setup à la place d'un compte Google, puis le jeton du MDM | Quand la caméra ne fonctionne pas |
| NFC | Android | Approcher l'appareil d'un autre qui contient la configuration | Rare aujourd'hui |
| Inscription sans contact (zero-touch) | Android, appareils achetés chez un revendeur partenaire | Le revendeur déclare les appareils dans le portail zero-touch de l'entreprise ; à la première connexion, l'appareil s'inscrit seul | Flottes importantes, appareils livrés directement aux utilisateurs |
| Knox Mobile Enrollment | Samsung | Équivalent du zero-touch chez Samsung | Flottes Samsung |
| Inscription automatisée des appareils (ADE) | iPhone, iPad, Mac achetés chez Apple ou un revendeur agréé | Le revendeur rattache les numéros de série au compte Apple Business ; à l'activation, l'appareil s'inscrit, en mode supervisé | Tous les appareils Apple de l'entreprise |
| Apple Configurator | iPhone, iPad | Ajouter à Apple Business, depuis un iPhone ou un Mac, un appareil acheté hors circuit | Appareils achetés sans ADE |
| Inscription par l'utilisateur | iPhone, Android (profil professionnel) | Le salarié installe l'application du MDM ou se connecte avec son compte professionnel | BYOD seulement |
Le mode supervisé des appareils Apple donne au MDM des pouvoirs supplémentaires : empêcher la suppression du profil de gestion, installer des applications sans demander, imposer des restrictions avancées, et le mode Application unique (kiosque).
Préparer les profils avant l'inscription
L'inscription ne fait que rattacher l'appareil au MDM ; ce qu'il reçoit dépend de ce qui a été préparé. Pour les terminaux de l'entrepôt, Antoine prépare :
- Un profil d'inscription « Entrepôt » en mode dédié, qui génère le QR code et place les appareils dans le groupe Terminaux-Entrepot.
- Un profil Wi-Fi pour le réseau de l'entrepôt (SSID associé au VLAN 30), en WPA2 ou WPA3 Entreprise avec un certificat installé par le MDM : aucun salarié ne connaît ni ne saisit de mot de passe Wi-Fi. Le principe du 802.1X est expliqué dans le cours Authentification.
- L'application de gestion des stocks, publiée par le Google Play d'entreprise (ou téléversée en APK privée) et marquée comme obligatoire.
- Le mode kiosque : l'appareil n'affiche que cette application (lock task mode), avec un code administrateur pour en sortir.
- Les restrictions : pas de réinitialisation d'usine par l'utilisateur, pas de débogage USB, pas d'installation d'applications inconnues, pas de capture d'écran, appareil photo désactivé si l'application n'en a pas besoin.
- Les règles de sécurité et de conformité : version minimale d'Android, correctifs de sécurité de moins de trois mois, chiffrement, appareil non débridé (rooté). Un appareil non conforme est signalé et peut perdre l'accès aux services.
- La politique de mises à jour du système : installation automatique, dans une fenêtre de maintenance la nuit, pour ne pas bloquer un terminal en pleine préparation de commande.
Pour les smartphones des chauffeurs, le profil est différent : mode entièrement géré, code de verrouillage d'au moins six chiffres, applications de tournée et de messagerie, profil VPN si l'application de tournée passe par le réseau interne, et localisation seulement en mode perdu, déclenchée par le service informatique sur déclaration de perte (la géolocalisation permanente des salariés est très encadrée par la CNIL).
Mettre en service un terminal en mode kiosque
Une fois les profils prêts, la mise en service d'un terminal prend une dizaine de minutes :
- allumer le terminal neuf (ou le réinitialiser aux paramètres d'usine) ;
- à l'écran d'accueil, ouvrir le lecteur de QR code (en touchant plusieurs fois l'écran) et scanner le QR code du profil « Entrepôt » ;
- connecter le terminal à un Wi-Fi provisoire (ou au Wi-Fi de l'entrepôt si le QR code le contient) ;
- l'appareil télécharge l'application de gestion du MDM, s'inscrit, reçoit son nom (par exemple
TERM-ENT-07), le profil Wi-Fi définitif, l'application et les restrictions ; - le terminal redémarre en kiosque, sur l'application de gestion des stocks ;
- vérifier dans la console : appareil inscrit, conforme, dans le bon groupe ; puis le noter dans l'inventaire avec son numéro de série et son étiquette.
Agir à distance et retirer un appareil
Le MDM accompagne l'appareil toute sa vie :
| Action | Effet | Quand |
|---|---|---|
| Verrouiller | Verrouille l'écran à distance | Appareil égaré, en attendant de le retrouver |
| Mode perdu, localisation | Affiche un message et localise l'appareil | Perte déclarée |
| Réinitialiser le code | Supprime ou change le code de verrouillage | Utilisateur bloqué |
| Effacement complet | Remet l'appareil aux paramètres d'usine | Vol, départ, réaffectation d'un appareil de l'entreprise |
| Effacement sélectif (retrait) | Retire seulement les données et applications de l'entreprise | Appareil personnel en BYOD, départ du salarié |
Un appareil qui quitte définitivement l'entreprise (revente, recyclage) doit aussi être libéré du portail zero-touch ou d'Apple Business : sinon, il se réinscrirait dans le MDM de Sorbier chez son nouveau propriétaire. Cette étape fait partie de la procédure de sortie du parc, avec l'effacement et la mise à jour de l'inventaire.
Exercices
Exercice 1 sur 3 Choisir une méthode d'inscription Réussi À revoir
Pour chaque cas, indique le mode de gestion et la méthode d'inscription.
- Les 12 terminaux de scan Android de l'entrepôt de Sorbier, achetés chez un revendeur qui ne propose pas le zero-touch.
- Deux iPhone achetés par la directrice chez un revendeur agréé Apple, sous le numéro de client Apple Business de Sorbier.
- Le téléphone personnel d'un commercial qui veut lire sa messagerie professionnelle.
- 200 smartphones Android commandés par une grande entreprise de transport, livrés directement aux chauffeurs dans toute la France.
Voir la réponseMasquer la réponse de l'exercice 1
- Mode dédié (kiosque), inscription par QR code au premier démarrage : simple pour 12 appareils manipulés par le service informatique.
- Mode supervisé, par l'inscription automatisée (ADE) : les numéros de série sont rattachés au compte Apple Business de Sorbier, les iPhone s'inscrivent à l'activation et ne peuvent pas quitter la gestion.
- Profil professionnel sur appareil personnel (BYOD), par inscription de l'utilisateur, ou seulement une protection des applications (MAM) sans inscription : l'entreprise ne gère que ses données, jamais l'appareil entier.
- Mode entièrement géré, par inscription sans contact (zero-touch), avec un revendeur partenaire qui déclare les appareils : personne n'a à manipuler les 200 téléphones avant leur livraison.
Tu avais trouvé ?
Exercice 2 sur 3 Un kiosque bien fermé Réussi À revoir
Un terminal de l'entrepôt a été retrouvé avec un jeu installé, et un autre a été réinitialisé aux paramètres d'usine par un salarié qui « voulait le réparer » : il n'est plus géré. Quels réglages du MDM manquaient ? Que faut-il faire pour le terminal réinitialisé ?
Voir la réponseMasquer la réponse de l'exercice 2
Il manquait : le mode kiosque (lock task) limité à l'application de gestion des stocks ; l'interdiction d'installer des applications (sources inconnues et Play Store hors applications approuvées) ; l'interdiction de la réinitialisation d'usine par l'utilisateur ; un code administrateur pour sortir du kiosque. Pour le terminal réinitialisé : il revient à l'écran d'accueil, on le réinscrit avec le QR code du profil « Entrepôt » ; il retrouve son groupe, ses réglages et son application. On peut ajouter la protection contre la réinitialisation d'usine (FRP) gérée par l'entreprise, qui impose un compte de l'entreprise après une réinitialisation non autorisée.
Tu avais trouvé ?
Exercice 3 sur 3 Le certificat qui expire Réussi À revoir
Le MDM de Sorbier affiche : « Le certificat Apple Push expire dans 7 jours ». Il a été créé il y a un an par un stagiaire, avec son identifiant Apple personnel ; le stagiaire est parti. Que se passe-t-il si on ne fait rien, et que fais-tu ?
Voir la réponseMasquer la réponse de l'exercice 3
À l'expiration, le MDM ne peut plus contacter les appareils Apple : plus de réglages, d'applications ni d'effacement à distance. Il faut renouveler le certificat avant l'expiration, avec le même identifiant Apple que celui qui l'a créé : un nouveau certificat créé avec un autre compte obligerait à réinscrire tous les appareils. On contacte donc l'ancien stagiaire (ou on récupère l'accès au compte si l'entreprise le connaît) pour le renouvellement, puis on documente la situation et on prévoit, à terme, de passer à un compte de service de l'entreprise, ce qui impose une réinscription planifiée.
Tu avais trouvé ?