Android equipe environ 70 % des smartphones dans le monde. En entreprise, cela represente des milliers de Samsung, Google Pixel et autres appareils Android que les equipes IT doivent configurer, securiser et maintenir. La gestion des appareils Android, c'est le controle a distance de cette flotte via une solution MDM connectee a Android Enterprise.
Ce guide detaille le fonctionnement de la gestion Android en entreprise, les modes d'inscription, les politiques de securite, et la distribution d'applications sur votre flotte.
Comment fonctionne la gestion des appareils Android
Google a concu Android Enterprise comme le framework officiel de gestion des appareils Android en milieu professionnel. Il remplace l'ancien Device Admin API (obsolete depuis Android 10) par une couche de gestion plus securisee et plus homogene.
L'architecture est simple : votre serveur MDM communique avec les API EMM de Google. Quand un administrateur pousse une politique ou une application, la commande atteint l'appareil via Google Play services. L'appareil applique le changement sans agent en arriere-plan.
Android Enterprise fonctionne sur tout appareil sous Android 6.0 ou superieur equipe de Google Play services. Pour les appareils Samsung, vous beneficiez de controles supplementaires via Samsung Knox : securite renforcee au niveau materiel et un jeu d'API de gestion plus riche au-dessus d'Android Enterprise.
Modes d'inscription Android Enterprise
Le mode d'inscription que vous choisissez depend de qui possede l'appareil et du niveau de controle souhaite.
Appareil entierement gere (Fully Managed)
Pour les appareils achetes par l'entreprise, ou l'organisation controle tout. L'appareil entier est sous gestion MDM. Pas de profil personnel. L'IT peut imposer n'importe quelle restriction, installer ou supprimer n'importe quelle app, et effacer l'appareil a volonte.
Ce mode convient parfaitement aux appareils partages (scanners en entrepot, tablettes de livraison, bornes en magasin) et aux collaborateurs qui recoivent un telephone professionnel dedie. L'inscription se fait lors de la configuration initiale : l'utilisateur touche six fois l'ecran d'accueil pour declencher le scan QR, scanne le code d'inscription, et l'appareil se configure automatiquement.
Profil professionnel sur appareil d'entreprise (COPE)
Introduit avec Android 11, ce mode donne a l'IT le controle total de l'appareil tout en creant un profil professionnel separe pour les apps metier. L'utilisateur peut utiliser l'appareil a titre personnel (installer des apps perso, utiliser son compte Google personnel), mais le profil professionnel isole les donnees d'entreprise. L'IT peut effacer le profil pro sans toucher aux donnees personnelles, ou effacer l'appareil entier si necessaire.
C'est la meilleure option quand vous fournissez des telephones d'entreprise mais souhaitez autoriser un usage personnel. Les collaborateurs gardent de la flexibilite ; l'IT conserve les controles de securite d'un appareil entierement gere.
Profil professionnel sur appareil personnel (BYOD)
Pour les scenarios de BYOD. Le profil professionnel cree un conteneur separe sur l'appareil de l'utilisateur. Les apps et donnees professionnelles sont chiffrees et isolees du reste de l'appareil. L'IT ne voit ni ne controle rien en dehors du profil pro.
L'utilisateur installe le profil via l'app du MDM depuis le Play Store. L'inscription prend moins de deux minutes. Quand le collaborateur quitte l'entreprise, l'IT efface le profil pro sans affecter ses photos, ses apps ou ses fichiers personnels.
Inscription zero-touch
L'inscription zero-touch est l'equivalent Android de l'ADE Apple. Vous enregistrez les appareils dans le portail zero-touch de Google (ou via votre revendeur). Au premier demarrage, l'appareil s'inscrit automatiquement dans votre MDM sans aucune manipulation de l'utilisateur.
Zero-touch fonctionne uniquement avec les appareils achetes neufs aupres de revendeurs agrees. Vous ne pouvez pas ajouter retroactivement un appareil deja en service. Pour les appareils existants, le scan de QR code reste la methode standard.
Avec Appaloosa, la configuration zero-touch se fait depuis la console d'administration. Vous definissez une fois la politique d'inscription, et tous les futurs appareils s'inscrivent automatiquement.
Politiques de securite Android
Android Enterprise offre un jeu de politiques robuste pour securiser les appareils geres. Les plus courantes :
- Mot de passe : imposez un code PIN de 6 chiffres minimum, un mot de passe complexe, ou l'authentification biometrique
- Chiffrement : le chiffrement du stockage est actif par defaut sur les appareils recents (Android 10+). Le MDM verifie qu'il est bien en place et empeche la desactivation
- Apps non autorisees : bloquez l'installation d'apps hors Play Store gere. Sur un appareil entierement gere, seules les apps que vous approuvez sont disponibles
- Connectivite : configurez les reseaux Wi-Fi, les profils VPN, et les points d'acces autorises. Desactivez le Bluetooth ou le NFC si votre politique l'exige
- Conformite : definissez des regles de conformite (version Android minimale, pas de root, chiffrement actif) et des actions automatiques en cas de non-conformite (notification, verrouillage, effacement)
Distribution d'applications
La distribution d'apps sur Android passe par le Google Play gere (Managed Google Play). Votre MDM configure un Play Store d'entreprise qui ne presente que les apps approuvees par l'IT.
Apps publiques. Selectionnez les apps depuis le Play Store public, approuvez-les dans votre console MDM, et elles apparaissent dans le Play Store gere des utilisateurs. L'installation peut etre silencieuse (poussee sans confirmation) ou disponible en libre-service.
Apps privees. Vos applications internes (APK) peuvent etre distribuees via un catalogue d'applications d'entreprise. Avec Appaloosa, vous uploadez vos APK et les deployez sur les groupes d'appareils cibles. Les mises a jour sont poussees automatiquement.
Configuration d'apps. Android Enterprise supporte les configurations gerees (Managed Configurations). Vous parametrez les apps a distance : URL du serveur, identifiant de connexion, preferences par defaut. L'utilisateur ouvre l'app et tout est deja configure.
Mode kiosque Android
Le mode kiosque verrouille un appareil Android sur une ou plusieurs applications specifiques. L'utilisateur ne peut pas acceder aux parametres, au Play Store, ni a d'autres apps. C'est indispensable pour les appareils a usage unique : bornes d'accueil, tablettes de commande en restaurant, scanners d'inventaire.
En mode kiosque mono-application, l'appareil demarre directement dans l'app configuree. Pas d'ecran d'accueil, pas de barre de navigation. En mode multi-applications, vous autorisez un ensemble restreint d'apps accessibles depuis un lanceur personnalise.
Appaloosa propose un mode kiosque configurable depuis la console : choix des apps autorisees, personnalisation du fond d'ecran, restriction des boutons physiques, et gestion du Wi-Fi.
Par ou commencer
Inscrivez votre organisation a Android Enterprise via votre solution MDM (la plupart automatisent ce processus). Definissez vos groupes d'appareils : appareils entierement geres pour le terrain, COPE pour les collaborateurs sedentaires, BYOD pour les prestataires.
Testez avec 5 a 10 appareils avant de deployer sur toute la flotte. Appaloosa propose un essai gratuit de 14 jours avec l'inscription zero-touch, le mode kiosque, et la distribution d'apps privees. Vous pouvez inscrire vos premiers appareils en moins de 15 minutes.