L’affaire de l’appareil auto-réparateur
Le tableau des preuves
- La gestion déclarative des appareils (DDM pour Declarative Device Management) d’Apple s’étend désormais au déploiement d’applications, permettant ainsi aux appareils de détecter et de corriger eux-mêmes les installations qui ont échoué, sans intervention d’un technicien.
- Au lieu qu’un serveur interroge régulièrement l’appareil pour connaître son état, celui-ci se compare lui-même à son propre manifeste et signale tout changement dès qu’il se produit.
- Les nouvelles fonctionnalités de contrôle des applications gérées permettent aux administrateurs de configurer les mises à jour automatiques, les installations « Wi-Fi uniquement » ou « avec accès cellulaire autorisé », ainsi que des options de verrouillage et de masquage, le tout à partir du même moteur de politiques qu’ils utilisent déjà.
- Lorsque l’option « Mise à jour automatique » est réglée sur « Toujours activée », elle prend le pas sur les paramètres définis par l’utilisateur sur son appareil ; ainsi, une application ne peut pas devenir obsolète en raison d’une préférence personnelle.
- Pour bénéficier de ces fonctionnalités, les appareils doivent être inscrit à la DDM et fonctionner sous OS 26 ou une version ultérieure ; les appareils plus anciens continuent de fonctionner exactement comme aujourd’hui.
- En cas de conflit entre une déclaration DDM et une commande MDM classique, c’est toujours la déclaration DDM qui prévaut.
Tous les administrateurs informatiques ont déjà été confrontés à un cas similaire. Une politique déploie une application, mais entre la commande et l’appareil, un problème survient. À un moment donné, la piste s’arrête : une connexion interrompue, un appareil occupé… et l’installation n’a jamais lieu. Ni avertissements, ni sirènes, ni sifflets. L’application n’est tout simplement pas installée sur l’appareil et reste discrètement en situation de non-conformité jusqu’à ce que quelqu’un s’en aperçoive. Il peut s’agir d’un utilisateur final qui ouvre un ticket ou envoie un message via le chat, ou encore d’un administrateur informatique surchargé de travail qui remarque qu’une partie du parc informatique ne dispose pas d’une application essentielle. Cependant, c’est généralement l’utilisateur qui est en cause ; l’administrateur informatique doit donc mener une enquête a posteriori depuis la console pour déterminer ce qui s’est passé.
Multipliez cela par les milliers d’appareils que compte le parc, avec leurs nombreuses versions de systèmes d’exploitation et applications différentes, et vous n’avez plus affaire à un mystère mais à un sérieux écart de conformité qu’il faut examiner sous toutes les coutures pour en comprendre les causes. Le problème s’installe petit à petit et personne ne s’en rend compte ; les « détectives » informatiques, qui agissent en réaction aux problèmes, se sont saisis de l’affaire et traquent le coupable pour comprendre pourquoi le système ne « fonctionne » pas exactement comme nous l’avions demandé. Ce n’est pas un film policier, on est en 2026, et les appareils ne devraient pas avoir besoin qu’un humain soit là pour remarquer qu’il y a un problème avant de le résoudre.
NinjaOne propose une nouveauté. Désormais, l’appareil est capable de résoudre son propre problème de manière proactive. Il est sur le coup.
Les arguments en faveur d’un nouveau type d’enquête
Pour bien comprendre ce changement, vous pouvez vous pencher sur la manière dont ce processus fonctionnait auparavant.
Apple a conçu la gestion déclarative des appareils (DDM) comme une extension du protocole MDM existant, et non comme un substitut à celui-ci. Cette fonctionnalité s’ajoute à la gestion des appareils déjà assurée par NinjaOne, mais sa méthode d’analyse est très différente !
Auparavant, le serveur MDM jouait le rôle de « détective ». Il envoyait une commande, puis interrogeait le périphérique. En boucle. Demandant en continu : « Est-ce que ça s’est installé ? » « Est-ce que ça s’est installé ? » « Où en est-on ? » Il s’agit d’un comportement passif qui, à terme, entraîne une forte consommation de bande passante lorsque des centaines d’appareils sont connectés. C’est un processus fatigant et peu productif, qui se déroule en plusieurs étapes successives. Avec la DDM, c’est l’appareil qui joue le rôle de détective. Il compare son propre état à un fichier de configuration et vérifie s’il correspond à ce qu’il devrait être. Si quelque chose ne colle pas, le système décroche pour ainsi dire un « téléphone rouge » dédié et envoie un message via le canal dédié dès qu’un changement survient, afin d’en informer le MDM. C’est élémentaire, mon cher Watson.
Pour les applications, cela signifie que le protocole DDM d’Apple gère la distribution et l’application des règles pour chaque application définie dans une politique NinjaOne sur les appareils prenant en charge le protocole DDM. Si l’installation de l’application a échoué, l’appareil n’attend pas. Il est sur le coup. L’appareil rouvre les fichiers et réessaie de lui-même. Et si jamais une commande MDM traditionnelle et une déclaration DDM donnaient des instructions contradictoires, il n’y a aucun doute quant à savoir qui a le dernier mot : c’est la déclaration DDM qui l’emporte, à chaque fois.
La percée majeure dans cette affaire : les contrôles des applications gérées
Tout bon roman policier a besoin de nouveaux outils, et cette mise à jour en propose quelques-uns aux administrateurs, notamment :
- la mise à jour automatique : les applications restent ainsi à jour sans qu’un technicien ait à installer les nouvelles versions. Lorsqu’elle est réglée sur « Toujours active », cette option prend le pas même sur les paramètres de l’appareil définis par l’utilisateur final ; ainsi, l’application ne peut pas devenir obsolète à l’insu de l’utilisateur simplement parce que celui-ci a sélectionné une préférence personnelle.
- Les installations « Wi-Fi uniquement » ou « avec accès cellulaire » permettront de préserver les forfaits de données sur les appareils mobiles.
- Les boutons « Verrouiller » ou « Masquer » permettent à l’administrateur de déterminer le niveau de contrôle dont disposent les utilisateurs finaux sur les applications gérées.
Les méthodes sont simples. C’est un administrateur qui définit la politique et configure ces options. L’appareil prend ensuite le relais pour amener le cas à l’état souhaité. Les installations ayant échoué sont relancées automatiquement, les mises à jour sont appliquées selon le calendrier prévu et la conformité est assurée sans que personne n’ait besoin de tout surveiller à la loupe ou d’effectuer des vérifications. Si cette rubrique devait avoir un slogan, ce serait que l’appareil se gère tout seul.
Une petite précision concernant les conditions requises : ces fonctionnalités déclaratives nécessitent que les appareils soient inscrits dans la DDM et équipés de la version 26 ou ultérieure du système d’exploitation. Les appareils fonctionnant sous des versions antérieures continuent de fonctionner exactement comme aujourd’hui, sans aucune interruption ; ils ne bénéficient simplement pas encore de la nouvelle fonctionnalité d’auto-réparation.
Trois affaires classées sans qu’un technicien ne se soit rendu sur place
Affaire n°1 : La boucle de resynchronisation manuelle. Les techniciens constituaient autrefois à eux seuls l’ensemble du service des enquêtes. Repérer l’appareil non conforme, en rechercher la cause, le resynchroniser manuellement, en espérant que cela résolve le problème. Désormais, l’appareil détectera tout échec d’installation et réessaiera de lui-même, sans qu’il soit nécessaire d’intervenir ou de le relancer. Verdict : aucune resynchronisation manuelle n’est nécessaire. Cette mesure s’applique aux affectations d’applications nouvelles ou modifiées à compter de maintenant. Les applications déjà installées avant l’activation de DDM nécessitent tout de même une resynchronisation unique des politiques afin d’être intégrées à la gestion DDM.
Affaire n°2 : L’application qui ne se met jamais à jour. Le détective n’a pas besoin de s’en souvenir ni de vérifier : la mise à jour automatique garantit que les appareils restent systématiquement à la dernière version. Cela réduit la période pendant laquelle un appareil fonctionne avec un logiciel obsolète et potentiellement vulnérable, et se traduit par une diminution du nombre de tickets posant la question suivante : « Pourquoi utilise-t-on encore cette ancienne version ? » Verdict : moins d’appareils vulnérables, moins de tickets.
Affaire n°3 : Le MSP gère une douzaine de scènes de « crime » simultanément. Chaque environnement client a ses propres contraintes en matière de bande passante. Les installations « Wi-Fi uniquement » protègent les appareils connectés au réseau mobile contre les frais de données imprévus. La fonction de réessai automatique garantit une conformité homogène pour tous les clients, sans que les techniciens aient à passer en revue une à une les installations ayant échoué, site par site. Verdict : une conformité constante, sans avoir à passer du temps à tout vérifier manuellement.
Quelle est la place de tout cela dans l’enquête plus large ?
Ces contrôles sont intégrés au moteur de politiques que les administrateurs utilisent déjà pour la gestion des autres appareils Apple. Pas besoin d’apprendre à utiliser une nouvelle console ni de nouveaux processus de travail. C’est un indice de plus qui laisse entrevoir la direction prise par l’équipe de NinjaOne chargée des produits Apple : un modèle dans lequel les appareils analysent et résolvent de plus en plus souvent leurs propres problèmes, tandis que les techniciens passent moins de temps à rechercher des indices concernant des problèmes qui se sont déjà résolus d’eux-mêmes.
Affaire classée (pour l’instant)
La gestion déclarative des appareils ne se contente pas de déployer une application sur un appareil en espérant que tout se passe bien. Elle confère à l’appareil un badge, un dossier d’enquête et le pouvoir de clore ses propres enquêtes, sans qu’aucun renfort ne soit nécessaire.
Le déploiement d’une application n’est que le premier cas d’étude. Restez sur le coup : la gestion déclarative des appareils va s’étendre à d’autres fonctionnalités de l’expérience de gestion Apple.
La gestion déclarative des appareils est désormais disponible pour NinjaOne MDM avec la version 15.0.
