Avec macOS 27, Apple ne se contente pas d’ajouter quelques nouvelles fonctions destinées aux administrateurs. Cette version marque surtout une nouvelle étape dans l’évolution de la gestion du Mac en entreprise.
Declarative Device Management devient incontournable, Platform SSO continue de prendre de l’ampleur, de nouveaux mécanismes permettent de contrôler l’exécution des applications et Apple renforce encore les possibilités offertes aux solutions de gestion.
Certaines nouveautés sont assez discrètes. D’autres peuvent nécessiter de revoir une partie de sa stratégie MDM.
Voyons ce qui change réellement.
Declarative Device Management : la transition n’est plus vraiment optionnelle
C’est probablement le changement le plus important de macOS 27 pour les administrateurs.
Apple indique que les anciens mécanismes de gestion des mises à jour logicielles ne fonctionnent plus avec les systèmes en version 27.0.
Cela concerne notamment :
- Les commandes MDM de mise à jour
- Les requêtes relatives aux mises à jour
- Les paramètres de cadence recommandée
- Les restrictions de mise à jour, comme les reports
- La gestion des améliorations de la sécurité en arrière-plan (Background Security Improvement)
Pour administrer les mises à jour de macOS 27, Apple demande désormais aux équipes IT d’utiliser la gestion déclarative des mises à jour (DDM – Declarative Device Management)
Ce n’est pas une surprise : Apple fait évoluer son framework MDM vers Declarative Device Management depuis plusieurs années. Mais macOS 27 matérialise un véritable changement de génération.
De nouvelles informations d’état permettent également au serveur de gestion d’obtenir de manière proactive certaines informations sur le Mac, comme son type d’enrôlement, l’état du Mode Isolement (Lockdown Mode) ou encore le fait qu’il soit en attente du service MDM dans le Setup Assistant.
macOS 27 ajoute de nouvelles configurations réseau déclaratives, notamment pour les profils VPN, DNS et Relay.
Autre élément intéressant pour les environnements existants : les anciens profils MDM peuvent désormais être distribués sous forme d’assets déclaratifs. Apple poursuit donc progressivement la migration des mécanismes historiques du protocole MDM vers son architecture déclarative.
Pour les entreprises utilisant Microsoft Intune, Jamf Pro ou une autre solution MDM, la question n’est donc plus seulement de savoir si leur outil « prend en charge macOS 27 », il faut également vérifier comment il implémente les nouvelles déclarations Apple et comment les politiques de mise à jour existantes vont se comporter lors de la migration.
Platform SSO se rapproche encore d’une véritable intégration de l’identité
macOS 27 permet désormais d’utiliser OpenID avec le fournisseur d’identité pour authentifier l’utilisateur à plusieurs endroits particulièrement sensibles du système : au déverrouillage FileVault, sur l’écran verrouillé ou encore à la fenêtre de connexion.
Ces mécanismes prennent en charge les processus d’authentification en plusieurs étapes, le MFA ainsi que l’authentification par QR Code.
Apple ajoute également la prise en charge des réseaux captifs au moment du login ou du déverrouillage, ainsi que de nouveaux contrôles permettant d’imposer Touch ID ou l’Apple Watch. FileVault peut également fonctionner avec le mode Authenticated Guest.
Platform SSO devient donc une brique de plus en plus importante à prendre en compte dans une architecture Mac moderne en entreprise.
Contrôler quelles applications peuvent réellement s’exécuter
Autre nouveauté particulièrement intéressante : la gestion des appareils peut désormais déterminer quelles applications ou quels binaires sont autorisés à s’exécuter. Pour les environnements fortement sécurisés, c’est une capacité importante.
Le MDM ne sert donc plus uniquement à installer une application, la configurer ou lui accorder certaines autorisations. Il peut également participer directement au contrôle de son exécution.
Apple introduit parallèlement un mécanisme de consentement permettant à l’utilisateur d’accorder à une application ou à un site web les autorisations de confidentialité nécessaires.
La gestion des autorisations TCC (Transparency, Consent and Control) évolue également.
Une nouvelle commande : tccutil list, permet de connaître les autorisations de confidentialité actuellement accordées à certains services ou applications sur les appareils administrés.
Dans le même temps, les applications ne peuvent plus accéder directement à la base TCC locale. Pour les équipes sécurité comme pour le support, disposer d’un moyen officiellement supporté d’interroger ces informations est une évolution bienvenue.
ManagedApp arrive sur macOS
Le framework ManagedApp est désormais disponible sur macOS. Cette évolution mérite d’être surveillée de près : Apple rapproche progressivement les mécanismes de gestion applicative du Mac de ceux déjà présents sur ses autres plateformes.
macOS 27 permet également au MDM de définir le comportement attendu lorsqu’un package administré est supprimé, afin d’éviter de laisser derrière lui des données ou fichiers devenus inutiles.
Ce n’est probablement pas la nouveauté qui changera immédiatement le quotidien de tous les administrateurs Mac, mais elle participe clairement à l’évolution du modèle de gestion applicative de la plateforme.
Apple Intelligence : davantage de contrôle pour l’entreprise
L’arrivée progressive des fonctions d’intelligence artificielle dans les systèmes Apple pose naturellement la question de leur gouvernance (sous réserve de disponibilité en Europe).
macOS 27 apporte de nouveaux contrôles MDM permettant de restreindre l’utilisation de certaines fonctions, notamment Siri AI, Visual Intelligence ou encore l’édition d’événements de calendrier en langage naturel.
Pour les entreprises devant encadrer l’usage des fonctions d’IA, notamment pour des raisons de sécurité ou de conformité, ces restrictions donnent donc davantage de contrôle aux administrateurs.
Le support AppleCare devient lui aussi plus administrable
Petite nouveauté qui pourrait en revanche avoir un impact très concret pour les équipes support : la collecte des logs nécessaires dans le cadre d’un ticket AppleCare peut désormais être déclenchée à distance via le MDM sur les appareils supervisés. La fonctionnalité concerne iOS 27, iPadOS 27, macOS 27 et tvOS 27.
Sur un parc important ou pour accompagner un utilisateur à distance, éviter certaines manipulations de collecte manuelle peut rapidement faire gagner du temps.
Automated Device Enrollment gagne en fiabilité
Apple annonce également avoir amélioré la fiabilité de l’enrôlement initial d’un Mac dans un service de gestion lors de Setup Assistant via Automated Device Enrollment (ADE).
Il faudra évidemment observer le comportement réel sur le terrain, mais toute amélioration à cette étape est importante : l’enrôlement initial conditionne une bonne partie de l’expérience Zero Touch que l’on cherche aujourd’hui à proposer aux utilisateurs.
Rosetta : attention lors de la migration
Si Rosetta était installée sur un Mac avant sa migration vers macOS 27, elle ne sera pas automatiquement réinstallée après la mise à niveau. Apple précise toutefois que Rosetta reste disponible comme outil de compatibilité général pendant toute la génération macOS 27.
Dans les environnements utilisant encore des applications ou composants Intel, ce comportement devra donc être intégré aux tests de migration.
Pour conclure
Apple continue de déplacer la gestion du Mac vers Declarative Device Management. Platform SSO prend progressivement une place centrale dans la gestion de l’identité. Les contrôles autour des applications et de la confidentialité deviennent plus fins. Et plusieurs mécanismes historiquement associés au MDM classique migrent vers une architecture déclarative.
Pour les équipes qui administrent déjà des Mac, macOS 27 mérite donc davantage qu’un simple test de compatibilité des applications : il faut notamment vérifier la stratégie de mise à jour existante, le niveau de prise en charge de DDM par la solution de gestion utilisée, les éventuelles dépendances à Rosetta et, pourquoi pas, profiter de cette version pour réévaluer la stratégie d’identité autour de Platform SSO.