Mises à jour de la gestion des appareils de la WWDC26

Configuration du réseau

Les nouvelles configurations réseau disponibles dans la gestion déclarative des appareils permettent d’appliquer des règles réseau cohérentes sur les appareils de toutes les grandes plateformes. Grâce aux avantages de la gestion déclarative des appareils, les équipes informatiques peuvent fournir un identifiant en tant que ressource déclarative à des fins d’authentification au lieu de le regrouper dans le même profil. Cela permet aux équipes informatiques et aux utilisateurs de bénéficier d’un renouvellement automatique et transparent de ces informations d’identification, et permet également d’utiliser les mêmes informations d’identification sur différentes configurations réseau.

Profils de configuration en tant que ressources déclaratives

Actuellement, si un profil ancien est fourni, l’URL doit pointer vers le service de gestion des appareils et l’accès est authentifié avec le certificat d’identité de l’appareil.

Pour assurer une transition en douceur, la gestion déclarative des appareils prend en charge le déploiement de profils hérités en tant que configurations.

Sur les appareils dotés d’iOS 27, d’iPadOS 27, de macOS 27, de tvOS 27, de visionOS 27 et de watchOS 27, les profils hérités peuvent être fournis en tant que ressources déclaratives. Cela permet une flexibilité supplémentaire quant à l’endroit où ces profils sont hébergés et à la manière dont les appareils s’authentifient pour les récupérer. La gestion déclarative des appareils dispose également d’une vérification d’intégrité intégrée pour vous aider à vous assurer que les ressources téléchargées ne sont pas modifiées.

Lorsque la configuration est appliquée, le périphérique télécharge le profil à partir de l’URL. Les équipes informatiques peuvent configurer cela à l’aide de la nouvelle clé ProfileAssetReference disponible dans les configurations suivantes :

Augmentation des exigences de sécurité réseau

Sur les appareils dotés d’iOS 27, d’iPadOS 27, de macOS 27, de tvOS 27, de visionOS 27 et de watchOS 27, sélectionnez les processus système qui imposent des exigences plus strictes en matière de sécurité réseau (TLS). Ces nouvelles exigences peuvent entraîner l’échec des connexions si le service de gestion des appareils ne les respecte pas. Les processus concernés sont ceux impliqués dans les activités liées à la gestion des appareils, à l’inscription automatique des appareils, à l’installation de profils de configuration, à l’installation d’apps et aux mises à jour logicielles. Les services de gestion des appareils doivent prendre en charge TLS 1.2 au minimum en utilisant des suites de chiffrement et des certificats conformes aux nouvelles exigences de la sécurité de transport d’app (ATS).

Pour plus de détails sur les processus concernés, les exigences et la manière d’auditer et de diagnostiquer les défaillances dans des environnements gérés, consultez l’article Préparer votre environnement réseau pour des exigences de sécurité plus strictes de l’assistance Apple.

Pour plus de détails sur ATS et les nouvelles exigences, consultez la rubrique Preventing Insecure Network Connections (en anglais) dans la documentation Apple Developer.

Améliorations du rapport d’état

Inscription et état de santé des appareils

La surveillance du statut de l’inscription des appareils est un élément clé de la gestion des appareils. Actuellement, un service de gestion des appareils doit utiliser des requêtes de gestion des appareils mobiles (MDM), qui introduisent une latence et une charge du serveur sans fournir de précision en temps réel.

Sur les appareils dotés d’iOS 27, d’iPadOS 27, d’macOS 27, d’tvOS 27, d’visionOS 27 et d’watchOS 27, de nouveaux éléments d’état sont disponibles qui fournissent des informations proactives sur un appareil :

• mdm.enrollment-type : cette information indique le type d’inscription de l’appareil, qui peut être :

  • Supervisé : pour une inscription supervisée.

  • Périphérique : pour l’inscription d’appareils.

  • Utilisateur : pour l’inscription d’utilisateurs.

• mdm.is-awaiting-configuration : ceci est renvoyé lorsque l’appareil attend le service de gestion des appareils dans Assistant réglages.

• mdm.is-return-to-service : cela indique si un appareil est configuré pour la remise en service avec conservation des apps.

• mdm.is-shared-ipad : cela indique si un iPad est configuré comme iPad partagé.

• mdm.push-magic et mdm.push-token : permettent de fournir des détails relatifs aux propriétés du service de notifications push Apple (APNs) nécessaires à la gestion des appareils.

• device.system.health (uniquement sur iPhone et iPad) : cela permet de mieux comprendre l’état et l’authenticité de composants matériels tels que la bande de base, la caméra, Face ID, Touch ID, le NFC et l’ultra large bande.

Mode Isolement

Le mode Isolement est une protection extrême facultative conçue pour le très petit nombre de personnes qui, en raison de leur nature ou de leur activité, peuvent être personnellement ciblées par certaines menaces numériques particulièrement élaborées. Si ces personnes font partie d’une organisation, l’équipe informatique peut vouloir s’assurer que le mode Isolement est activé sur leurs appareils et surveiller son statut.

Sur les appareils supervisés fonctionnant sous iOS 27, iPadOS 27, macOS 27 et watchOS 27, les services de gestion des appareils peuvent s’abonner à un nouvel élément d’état security.lockdown-mode qui signale de manière proactive l’état du mode de verrouillage d’un appareil.

Configuration du plugin de filtre de contenus web

Le filtrage de contenu est une nécessité courante dans les environnements éducatifs et professionnels. Il permet aux équipes informatiques de fournir une expérience de navigation gérée et de bloquer les pages web indésirables. iOS, iPadOS, macOS et visionOS proposent des frameworks qui permettent aux solutions de filtrage de contenu web de s’intégrer au système d’exploitation et de filtrer le trafic web.

Sur les appareils dotés d’iOS 27, d'iPadOS 27, de macOS 27 et de visionOS 27, les réglages nécessaires peuvent être déployés à l’aide de la configuration com.apple.configuration.webcontent-filter.plugin, qui permet aux organisations de bénéficier des fonctionnalités de gestion déclarative des appareils dans ce domaine de gestion.

Collecte des journaux AppleCare

La collecte des informations de journaux à partir des appareils pour appuyer un dossier AppleCare est une étape courante et importante pour diagnostiquer un comportement particulier. Pour le moment, cela nécessite généralement un accès physique à l’appareil et la coopération de l’utilisateur, et constitue souvent un processus long et fastidieux, en particulier lorsque les utilisateurs se déplacent ou se trouvent dans un autre bâtiment.

Sur les appareils dotés d’iOS 27, d’iPadOS 27, de macOS 27 et de tvOS 27, les équipes IT peuvent démarrer et annuler la collecte de journaux à distance sur les appareils supervisés à l’aide de deux nouvelles commandes MDM :

• TriggerEnhancedLogCollection : cela lance une session de collecte de journaux à distance et nécessite de spécifier un jeton fourni par AppleCare. Une fois créés, les journaux sont automatiquement téléchargés sur Apple et joints au ticket AppleCare.

• CancelEnhancedLogCollection : cela met fin à une session active.

Selon l’appareil et son état, l’équipe informatique peut demander un jeton interactif ou non interactif dans le cadre d’un ticket AppleCare pour autoriser la session de collecte des journaux sur l’appareil. Voici des détails supplémentaires concernant la session :

• Une session interactive de collecte de journaux demande le consentement de l’utilisateur. L’utilisateur peut donner son accord pour la collecte et le transfert des données immédiatement, choisir de consulter les informations avant de les transférer ou annuler la collecte des journaux.

• Lorsque vous utilisez la collecte de journaux non interactive, l’appareil affiche une notification, collecte et télécharge les journaux en arrière-plan.

• Les Mac utilisent toujours la collecte de journaux interactive. Les iPhone et iPad nécessitent une collecte interactive des journaux si un compte (par exemple App Store, iCloud, Mail, etc.) est configuré ou si un code est défini sur l’appareil. Apple TV et iPad partagé utilisent toujours la collecte non interactive de journaux.

De plus, des informations sur la collecte de journaux sont disponibles dans de nouveaux éléments d’état déclaratif :

• enhanced-logging.status : cela indique si la collecte de journaux a commencé, s’est terminée ou a été annulée, si l’appareil attend le consentement de l’utilisateur et si un téléchargement est en cours.

• enhanced-logging.timestamp : cela indique l’horodatage du dernier changement d’état.

• enhanced-logging.applecare-token : cette information concerne le jeton AppleCare fourni.

Restauration de la sauvegarde

Sur les appareils dotés dʼiOS 27, dʼiPadOS 27 et de visionOS 27, les appareils ne restaurent plus les informations de gestion des appareils à partir d’une sauvegarde. Cela inclut le profil d’inscription, la configuration de gestion et l’état de la supervision. Les appareils qui s’affichent dans Apple School Manager ou Apple Business s’inscrivent automatiquement via l’inscription d’appareils automatisée après la restauration de l’appareil, garantissant ainsi qu’ils reçoivent l’état de gestion actuel et non une configuration obsolète de la sauvegarde.

Si une app gérée n’est pas marquée pour suppression lors de la désinscription, ses données sont restaurées. Les services de gestion des appareils peuvent prendre en charge la gestion de ces données en installant l’app gérée correspondante après la restauration.

Améliorations de la remise en service

Voici les améliorations apportées à la fonctionnalité Remise en service.

Tentative automatique d’inscription

Actuellement, lorsqu’un appareil reçoit la commande « Remise en service », il est réinitialisé et tente de s’inscrire à un service de gestion des appareils spécifique. Dans certains cas, par exemple lors de problèmes réseau transitoires ou d’erreurs du service de gestion des appareils, l’inscription peut échouer, ce qui laisse l’appareil effacé mais non inscrit.

Sur les iPhone et iPad dotés d’iOS 27 et d’iPadOS 27, une nouvelle clé ShouldRetryEnrollment dans le dictionnaire ReturnToService de la commande EraseDevice est conçue pour améliorer ces situations. Lorsque cette clé est définie sur TRUE, l’appareil réessaye automatiquement l’inscription avec un délai de plus en plus long (jusqu’à cinq minutes) si la première tentative échoue.

Réglage de la langue et de la région

Sur les iPhone et iPad exécutant iOS 27 et iPadOS 27, les équipes informatiques peuvent définir la langue et la région de l’appareil dans le profil d’inscription automatique des appareils. Cela offre une flexibilité supplémentaire pendant le processus « Retour en service », car les équipes informatiques peuvent définir la région souhaitée sur lʼappareil lors dʼun réinitialisation. Sinon, le choix sélectionné précédemment est appliqué. La langue et la région peuvent être définies avec deux nouvelles clés dans le profil d’inscription à la gestion des appareils :

• language : définit la langue à définir à l’aide du code ISO 639-1 de deux lettres.

• region : définit la région à définir à l’aide du code ISO 3166-1 à deux lettres.

Lancer la remise en service

Sur les iPhone et iPad dotés dʼiOS 27 et dʼiPadOS 27 configurés pour la remise en service avec conservation des apps, de nouvelles options sont disponibles pour lancer le processus de remise en service.

Les utilisateurs peuvent soit lancer « Remise en service » à partir du Centre de contrôle, soit les équipes informatiques peuvent utiliser la clé SharedDeviceConfiguration.TemporarySessionTimeout de la commande Settings pour configurer « Remise en service » afin qu’elle soit automatiquement lancée après une période d’inactivité définie (en secondes).

Lorsque la fonctionnalité « Remise en service » est lancée à partir du Centre de contrôle, l’appareil effectue un enregistrement ReturnToService auprès du service de gestion des appareils afin de récupérer les informations d’inscription nécessaires. Les informations peuvent également inclure la nouvelle clé ShouldRetryEnrollment.

Application des mises à jour logicielles

Sur les appareils dotés d’iOS 27, d’iPadOS 27 et de visionOS 27, les équipes informatiques peuvent imposer des mises à jour logicielles sur un appareil supervisé lorsqu’il reçoit une commande de suppression « Remise en service ». Le service de gestion des appareils doit renvoyer une réponse 403 lors de lʼinscription, qui inclut des informations sur la version du système dʼexploitation requise sur lʼappareil. L’appareil effectue ensuite automatiquement la mise à jour logicielle et poursuit la procédure « Remise en service ».

Modification du terme « Assistance Wi-Fi »

Sur les appareils dotés d’iOS 27 et d’iPadOS 27, le terme « Assistance Wi-Fi » sera remplacé par « Assistance connectivité ». La clé WiFiAssistPolicy de gestion des appareils dans NetworkUsageRules.SIMRulesItem ne changera pas.

Configuration de la mise en cache de contenu

La mise en cache de contenu est un service de macOS qui accélère le téléchargement des logiciels distribués par Apple et des données que les utilisateurs stockent sur iCloud en enregistrant le contenu que les appareils Apple locaux ont déjà téléchargé. Le contenu enregistré est stocké dans un cache de contenu sur un Mac, et d’autres appareils peuvent le récupérer sans avoir à se connecter à Internet.

Sur un Mac supervisé sous macOS 27, les équipes informatiques peuvent configurer la mise en cache de contenu à l’aide de la gestion déclarative des appareils. La nouvelle configuration com.apple.configuration.content-cache.settings comporte toutes les clés précédemment disponibles dans le profil hérité.

De plus, de nouveaux éléments de statut déclaratifs sont disponibles et sont envoyés à un service de gestion des appareils abonné :

• content-cache.info : informations générales sur le cache de contenu, telles que l’espace de stockage disponible et utilisé, l’état et la pression du cache.

• content-cache.status : informations plus détaillées sur l’état de l’inscription, les adresses IP, l’état du rapport et les erreurs rencontrées.

• content-cache.parents : la liste et l’état des caches de contenu parents.

• content-cache.peers : La liste et l’état des caches de contenu pairs.

Le Mac peut également envoyer régulièrement des informations à une ressource HTTPS quelconque spécifiée dans la clé ManagementStatusTarget, en utilisant l’intervalle de temps défini par la clé ManagementReportingInterval. Cela permet de créer des solutions et des tableaux de bord de surveillance personnalisés, offrant ainsi une meilleure visibilité sur l’utilisation du service de mise en cache de contenu.

Pour sécuriser la connexion au point d’extrémité HTTP de réception, ManagementSecurityConfig propose trois options :

• no-cert : aucune validation du certificat TLS du serveur (cela permet également d’effectuer des requêtes HTTP en clair, par exemple à des fins de test).

• signedByCACert : Le certificat du serveur est validé par rapport à une AC de confiance pour lʼappareil.

• specificServerCert : Le certificat de service doit correspondre au certificat de serveur fourni dans le contenu ManagementStatusCertificateReference.

Le cache de contenu envoie le statut actuel du cache sous la forme d’un texte formaté JSON à l’aide d’une requête HTTPS POST et inclut un serverGUID, qui peut être utilisé pour attribuer plusieurs requêtes au même serveur.

Pour en savoir plus sur le format, consultez la déclaration permettant de configurer le service de mise en cache de contenu dans la documentation Apple Developer.

Nouvelles restrictions visionOS

Sur les appareils dotés de visionOS 27, les équipes informatiques disposent d’un contrôle supplémentaire sur les Apple Vision Pro supervisés grâce à de nouvelles restrictions :

• allowBluetoothModification : empêche les utilisateurs de modifier les réglages Bluetooth.

• allowChat : limite l’utilisation d’iMessage.

Les équipes informatiques peuvent également utiliser allowListedAppBundleIDs et blockedAppBundleIDs, mais elles devraient commencer à passer à la gestion déclarative pour le lancement d’apps. Ces deux restrictions sont obsolètes dans visionOS 27.

Gestion de l’intelligence, de Siri et du clavier

Apple modernise la gestion des systèmes intelligents disponibles sur l’appareil en déplaçant les fonctionnalités des charges utiles de restrictions MDM héritées vers les configurations de gestion déclarative des appareils. Cette migration offre une intention de politique plus claire, une flexibilité accrue quant au moment d’appliquer les configurations et un cheminement simplifié pour localiser les fonctionnalités de gestion. Les réglages suivants sont disponibles via la configuration déclarative moderne :

• Apple Intelligence

• Intelligence externe

• Siri

• Le clavier

Réglages d’Apple Intelligence

Sur les appareils supervisés dotés d’iOS 26.4, d’iPadOS 26.4, de macOS 26.4, de visionOS 26.4 ou d’une version ultérieure, les équipes informatiques peuvent utiliser la configuration com.apple.configuration.intelligence.settings pour autoriser ou interdire les fonctionnalités Apple Intelligence sur l’ensemble de l’appareil, notamment :

• AllowGenmoji : Genmoji

• AllowImagePlayground : Image Playground

• AllowWritingTools : Outils d’écriture

• AllowImageWand : Baguette graphique (iOS, iPadOS, visionOS)

Outre ces réglages applicables à l’appareil dans son ensemble, les équipes informatiques peuvent également contrôler :

• Fonctionnalités d’intelligence spécifiques aux apps Mail, Notes et Safari

• Rapport Apple Intelligence

• Résultats en écriture personnalisée (iOS, iPadOS uniquement)

• Résumé de l’intelligence visuelle (iOS, iPadOS uniquement)

• Traitement des données exécuté uniquement sur l’appareil pour la dictée et la traduction (iOS et iPadOS uniquement)

Sur les appareils supervisés fonctionnant sous iOS 27, iPadOS 27, macOS 27 et visionOS 27, une nouvelle clé Apps.Calendar.AllowNaturalLanguageEditing dans la configuration com.apple.configuration.intelligence.settings contrôle si un utilisateur peut créer des évènements de calendrier à l’aide d’une saisie en langage naturel lorsque la clé est définie sur FALSE.

Réglages d’intelligence externe

Sur les appareils supervisés fonctionnant sous iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4 ou des versions ultérieures, les établissements peuvent gérer les intégrations d’intelligence externe à l’aide de la configuration com.apple.configuration.external-intelligence.settings. Cela permet aux équipes informatiques d’autoriser ou de restreindre les services d’intelligence externe et de contrôler l’accès à la connexion pour ces services.

Les limitations d’application dans les premières versions bêta du système d’exploitation 27.0 sont documentées dans les problèmes connus dans leurs notes bêta respectives sur AppleSeed pour les services informatiques.

Réglages de Siri

Sur les appareils supervisés fonctionnant sous iOS 26.4, iPadOS 26.4, macOS 26.4, visionOS 26.4, watchOS 26.4 ou ultérieur, et tvOS 27, les équipes informatiques peuvent utiliser la configuration com.apple.configuration.siri.settings pour gérer les éléments suivants :

• Autoriser ou interdire Siri globalement (iOS, iPadOS, macOS, tvOS, visionOS)

• Contrôler l’accès à Siri lorsque l’appareil est verrouillé (iOS, iPadOS, watchOS)

• Autoriser ou interdire le traitement du contenu de l’utilisateur par Siri (iOS, iPadOS, watchOS)

• Imposer le filtrage des grossièretés dans les réponses de Siri (iOS, iPadOS, macOS)

Réglages Clavier

Sur les appareils supervisés dotés d’iOS 26.4, d’iPadOS 26.4, de macOS 26.4 ou d’une version ultérieure, les équipes informatiques peuvent utiliser la configuration com.apple.configuration.keyboard.settings pour gérer les éléments suivants :

• Dictée

• Recherche de définition

• Suggestions du clavier mathématiques

• Prédiction de texte (iOS et iPadOS uniquement)

• Saisie gestuelle (iOS, iPadOS uniquement)

• Raccourcis de remplacement de texte (iOS et iPadOS uniquement)

• Correction de texte : correction automatique, vérification orthographique (iOS, iPadOS uniquement)

Gestion des fournisseurs de fichiers

Sur un Mac doté de macOS 26.4 ou ultérieur, les organisations disposent d’un contrôle supplémentaire sur les extensions de fournisseur de fichiers. Elles peuvent définir les volumes auxquels les extensions de fournisseur de fichiers peuvent accéder et la manière dont elles synchronisent les données. Cela étend l’option existante qui permet de définir la manière dont les extensions du fournisseur de fichiers peuvent synchroniser les données des dossiers Bureau et Documents de l’utilisateur.

Ces fonctionnalités permettent aux organisations utilisant des solutions de gestion de fichiers d’entreprise d’exercer un contrôle plus fin tout en maintenant des limites de sécurité autour des volumes de données.

À l’aide des données utiles com.apple.fileproviderd, les équipes d’informatique peuvent :

• Autoriser ou refuser la synchronisation générale des données pour les extensions du fournisseur de fichiers.

  Remarque : la désactivation de la synchronisation désactive également la synchronisation des données du dossier Bureau et Documents.

• Définissez si les extensions de fournisseur de fichiers peuvent se synchroniser avec des emplacements sur des périphériques de stockage externe formatés en APFS et chiffrés.

• Limitez individuellement la synchronisation et la synchronisation externe aux extensions de fournisseur de fichiers uniquement dans les apps approuvées.

• Sélectionnez les apps dont l’extension du fournisseur de fichiers est activée par défaut.

Assistant migration géré

Sur un Mac doté de macOS 26.4 ou ultérieur, l’Assistant migration géré facilite la migration des données d’un Mac à un autre pendant l’utilisation d’Assistant réglages, offrant aux organisations un contrôle sur les données transférées vers un nouveau Mac, sans avoir à demander aux utilisateurs de prendre ces décisions.

Assistant migration sélectionne l’option de transfert la plus rapide pour la migration. Les options incluent la connexion directe via Wi-Fi, Wi-Fi d’infrastructure, Ethernet ou Thunderbolt. Assistant migration vérifie également fréquemment si une option plus rapide est disponible pendant la migration.

Les équipes informatiques peuvent personnaliser et optimiser lʼexpérience de migration en précisant :

• RequiredPaths : les sous-dossiers et fichiers nécessaires à la migration dans le dossier de départ de l’utilisateur.

• ExcludedPaths : les sous-dossiers et fichiers qui sont exclus.

• ExcludedAccounts : les comptes utilisateur qui ne sont pas proposés pour la migration.

• ShouldMigrateSecurityPrivacySettings : si les réglages de confidentialité au niveau du système sont migrés.

Pour en savoir plus, consultez la rubrique Assistant migration géré pour macOS.

Suppression de la commande de mise à jour logicielle

Annoncée l’an dernier, la gestion des mises à jour logicielles héritées ne fonctionne plus sur tous les systèmes d’exploitation 27.0. Cela comprend :

• Des commandes de mise à jour logicielle

• Des requêtes de mise à jour logicielle

• Des réglages de cadence recommandés

• Des restrictions relatives aux mises à jour logicielles, comme les reports et les améliorations de la sécurité en arrière-plan

Les équipes informatiques doivent utiliser la gestion déclarative des mises à jour logicielles pour configurer et appliquer les mises à jour sur les appareils avec plus de transparence et de contrôle pour l’utilisateur.

Pour en savoir plus, consultez la documentation Gestion des appareils dans la documentation Apple Developer.