Serveur MDM

Comment ça marche

Un serveur MDM ne pousse jamais directement un réglage sur un appareil. Il dépose une commande dans une file, puis réveille le terminal via le service de notification de la plateforme : APNs (Apple Push Notification service) pour iOS, iPadOS et macOS, Firebase Cloud Messaging pour Android, WNS pour Windows. L'appareil se connecte alors au serveur, récupère la commande, l'exécute et renvoie un accusé. Cette architecture en deux temps explique pourquoi un iPhone éteint ou sans réseau reçoit son profil avec retard, et pourquoi un serveur MDM doit pouvoir joindre les serveurs d'Apple sur le port 2197 ou 443.

Côté Apple, le serveur s'authentifie auprès d'APNs avec un certificat push MDM, renouvelé chaque année depuis le portail Apple Push Certificates. Un certificat expiré coupe le lien avec toute la flotte, et il faut ré-enrôler chaque appareil si le certificat est régénéré avec une autre clé. Depuis iOS 15, en 2021, Apple ajoute la gestion déclarative : l'appareil applique lui-même des déclarations et remonte son état, ce qui réduit le nombre d'allers-retours.

Sur Android, l'équivalent moderne est l'Android Management API de Google : le serveur MDM parle à Google, qui parle à l'application Android Device Policy sur le terminal.

Pourquoi c'est important pour une flotte

Le serveur est votre point de défaillance unique. S'il tombe, les appareils continuent de fonctionner avec leur dernière configuration, mais vous perdez l'effacement à distance, l'inventaire et les mises à jour de politiques. La question « où est hébergé le serveur, par qui, avec quelle disponibilité » vaut donc autant que la liste des fonctions.

Elle a aussi un volet réglementaire. Le serveur stocke la liste des appareils, les noms des utilisateurs, les applications installées et parfois la position d'un appareil en mode perdu. Ces données relèvent du RGPD. Un hébergement dans l'Union européenne, avec un contrat de sous-traitance clair, évite un chapitre entier de l'analyse d'impact.

Entre serveur auto-hébergé et SaaS, le débat est tranché pour la plupart des flottes : maintenir un serveur MDM en interne coûte plus cher que la licence qu'il économise, et les exceptions sont les environnements totalement isolés d'Internet.

Comment Appaloosa le gère

Appaloosa est un serveur MDM en mode SaaS, hébergé en France sur une infrastructure qualifiée SecNumCloud (la qualification appartient à l'hébergeur). Vous n'installez rien : vous connectez votre compte Apple Business Manager, votre certificat push APNs et votre organisation Android Enterprise, puis les appareils s'enrôlent via ADE, zero-touch, Windows Autopilot ou un lien d'enrôlement. Commandes, inventaire et évaluation continue de la conformité passent par ce serveur, présenté sur la page gestion des appareils mobiles.