Toutes vos questions sur l’enrôlement de terminaux mobiles
Cette page centralise les questions les plus fréquemment posées par les gestionnaires de flotte sur l’enrôlement automatisé – qu’il s’agisse de comprendre les fondamentaux, de préparer un déploiement, ou de gérer des situations particulières. Chaque réponse renvoie vers la page thématique du dossier pour approfondir le sujet.
Les bases de l'enrôlement
Quelle est la différence entre l'enrôlement et le MDM ?
Ce sont deux notions complémentaires mais distinctes. Le MDM (Mobile Device Management) est la plateforme logicielle qui permet de gérer les terminaux à distance tout au long de leur cycle de vie : configuration, sécurité, applications, mises à jour. L’enrôlement est le processus d’inscription d’un terminal dans ce MDM – l’acte fondateur qui place le terminal sous gestion de l’entreprise.
Sans enrôlement, un terminal n’est pas sous gestion MDM. Sans MDM, l’enrôlement n’a pas de destination. Les deux sont indissociables.
Faut-il obligatoirement un MDM pour utiliser Apple Business, Android Zero-Touch ou Samsung Knox ?
Oui, dans tous les cas. Les programmes d’enrôlement automatisé ne fonctionnent pas en autonomie : ils ont besoin d’un MDM pour recevoir les terminaux lors de leur premier allumage et leur appliquer une configuration. Le choix du MDM est donc aussi important que le choix du programme d’enrôlement – et les deux doivent être compatibles.
Peut-on changer de MDM après avoir déployé une flotte via enrôlement automatisé ?
Oui, mais c’est une opération qui demande une planification rigoureuse. La migration d’un MDM vers un autre implique généralement de mettre à jour les configurations dans les portails d’enrôlement (Apple Business, portail Zero-Touch, console Knox) pour pointer vers le nouveau MDM, puis de ré-enrôler les terminaux. Selon le programme d’enrôlement et le MDM de destination, le processus varie. Il est fortement recommandé de tester la migration sur un échantillon de terminaux avant de la déployer sur l’ensemble du parc.
L'enrôlement automatisé est-il réservé aux grandes entreprises ?
Non. Les programmes d’enrôlement – notamment Apple Business, Android Zero-Touch et Samsung Knox Mobile Enrollment – sont accessibles aux organisations de toutes tailles, sans seuil minimum de terminaux. En pratique, l’enrôlement automatisé devient pertinent dès lors qu’une flotte dépasse quelques dizaines de terminaux, ou dès que la sécurité des données est un enjeu – ce qui concerne la quasi-totalité des contextes professionnels.
Un terminal enrôlé peut-il être utilisé à des fins personnelles par le collaborateur ?
Cela dépend du mode de déploiement choisi. En mode fully managed, le terminal est entièrement sous gestion de l’entreprise et dédié à un usage professionnel. En mode COPE (Corporate-Owned, Personally Enabled), l’entreprise est propriétaire du terminal mais autorise un usage personnel encadré, via un profil professionnel cloisonné. Le mode BYOD (Bring Your Own Device) permet quant à lui de gérer uniquement le profil professionnel sur un terminal personnel, sans toucher aux données personnelles de l’utilisateur.
Avant le déploiement
Comment préparer ma commande pour que l'enrôlement soit activé dès la livraison ?
L’étape clé est de passer par un revendeur certifié pour le programme d’enrôlement concerné – Apple Business, Android Zero-Touch ou Samsung Knox. Au moment de la commande, le revendeur associe les numéros de série ou IMEI des terminaux au compte d’enrôlement de votre organisation. Les terminaux arrivent ainsi préconfigurés pour rejoindre automatiquement votre MDM au premier allumage.
Si les terminaux sont achetés sans passer par un revendeur certifié, des procédures d’enrôlement manuel existent (Apple Configurator 2 pour Apple, fichier de configuration ou QR code pour Knox), mais elles sont plus contraignantes et moins adaptées aux grands volumes.
Quels prérequis réseau faut-il anticiper pour un déploiement par enrôlement automatisé ?
Chaque programme d’enrôlement nécessite que les terminaux puissent accéder à des URL spécifiques lors du premier allumage – les serveurs Apple, Google ou Samsung selon le programme concerné. Dans les environnements avec un proxy, un filtrage réseau strict, ou une liste blanche d’URL, ces accès doivent être vérifiés et ouverts avant le déploiement.
Les listes d’URL à autoriser sont publiées par chaque constructeur dans leur documentation officielle. Il est recommandé de les vérifier en amont avec votre équipe réseau, particulièrement dans les environnements industriels ou réglementés où le filtrage est souvent plus restrictif.
Combien de temps faut-il pour mettre en place un processus d'enrôlement automatisé ?
La durée dépend de la complexité du projet : taille du parc, nombre de programmes d’enrôlement à activer, MDM à configurer ou à migrer, nombre de profils de configuration à définir. Pour un projet simple – une flotte homogène, un seul programme d’enrôlement, un MDM déjà en place – quelques semaines suffisent généralement pour aller de l’audit initial au premier déploiement. Pour un projet complexe – flotte hétérogène, migration de MDM, déploiement multi-sites – un délai de deux à quatre mois est plus réaliste.
Dans tous les cas, la phase de cadrage et de test est la plus critique : un déploiement bien préparé sur quelques dizaines de terminaux pilotes évite des corrections coûteuses lors du déploiement en masse.
Faut-il former les utilisateurs finaux à l'enrôlement automatisé ?
La formation des utilisateurs finaux est généralement minimale – c’est l’un des avantages de l’enrôlement automatisé. L’utilisateur allume son terminal, suit les quelques étapes de l’assistant de configuration (connexion Wi-Fi, identification professionnelle), et retrouve un terminal configuré. Il n’a pas besoin de comprendre ce qui se passe en arrière-plan.
En revanche, une communication claire en amont est recommandée : expliquer aux collaborateurs ce qu’ils vont recevoir, comment se déroule le premier allumage, et qui contacter en cas de question réduit significativement les sollicitations au helpdesk lors d’un déploiement à grande échelle.
Flottes hétérogènes
Peut-on utiliser un seul MDM pour gérer des terminaux iOS et Android simultanément ?
Oui. Les principaux MDM du marché – Microsoft Intune, VMware Workspace ONE, IBM MaaS360, SOTI MobiControl – sont compatibles multi-OS et peuvent gérer simultanément des terminaux iOS, Android Enterprise et Samsung Knox. Le niveau d’intégration et les fonctionnalités disponibles varient selon le MDM et le programme d’enrôlement. Le choix du MDM est donc un point critique dans les projets de flotte hétérogène.
Faut-il nécessairement homogénéiser sa flotte pour mettre en place l'enrôlement automatisé ?
Non. L’enrôlement automatisé peut être mis en place sur une flotte hétérogène, en activant les programmes correspondant à chaque type de terminal – Apple Business pour les iPhone et iPad, Zero-Touch pour les Android non-Samsung, Knox pour les Samsung – et en les faisant converger vers un MDM unique. La flotte n’a pas besoin d’être homogénéisée matériellement pour bénéficier d’une gestion centralisée.
Comment éviter les doublons de configuration quand on gère plusieurs programmes d'enrôlement en parallèle ?
La clé est de définir les politiques de configuration au niveau du MDM – pas dans chaque portail d’enrôlement séparément. Les portails d’enrôlement (Apple Business, portail Zero-Touch, console Knox) sont des points d’entrée qui orientent les terminaux vers le MDM : c’est dans le MDM que les profils de configuration, les politiques de sécurité et les applications sont définis et maintenus. Cette architecture évite les doublons et garantit la cohérence des configurations sur l’ensemble du parc, quel que soit le programme d’enrôlement utilisé.
Notre entreprise a des entités qui ont chacune leur propre politique IT. Comment gérer l'enrôlement dans ce contexte ?
La plupart des programmes d’enrôlement et des MDM proposent des mécanismes de segmentation qui permettent de gérer des populations de terminaux distinctes au sein d’un même compte d’administration – par entité, par pays, par métier, ou par niveau de droits. Apple Business propose par exemple des rôles et des groupes de terminaux. Les MDM permettent généralement de définir des profils de configuration différents selon les groupes d’utilisateurs ou de terminaux.
La définition de cette architecture de segmentation est une étape clé du cadrage, à traiter avant le déploiement.
Terminaux reconditionnés
Un terminal reconditionné peut-il être enrôlé via les programmes d'enrôlement automatisé ?
Oui, sous conditions. Le prérequis fondamental est que le terminal ait été libéré du compte d’enrôlement de son précédent propriétaire. Si ce transfert de propriété n’a pas été effectué, le terminal reste lié à l’organisation précédente et ne peut pas rejoindre le programme d’enrôlement d’une nouvelle organisation – même après une réinitialisation complète en usine.
Ce point est critique et doit être vérifié avant tout achat de terminaux reconditionnés.
Comment vérifier qu'un terminal reconditionné est libre de tout compte d'enrôlement ?
Les vérifications varient selon le programme :
- Pour un terminal Apple, il est possible de vérifier sur le site d’Apple (checkcoverage.apple.com) si le terminal est lié à un compte Apple Business. Un terminal encore lié affichera un statut spécifique. La libération doit être effectuée par l’organisation précédente ou, dans certains cas, via une procédure Apple.
- Pour un terminal Android Zero-Touch, le statut d’enrôlement Zero-Touch n’est pas vérifiable publiquement par le numéro de série. La vérification doit être effectuée par le revendeur ou le fournisseur de reconditionné, qui a accès au portail Zero-Touch.
- Pour un terminal Samsung Knox, la console Knox permet de vérifier si un terminal est encore enregistré dans un compte KME. Le Knox Warranty Bit, s’il a été activé (terminal rooté ou modifié), est également visible et irréversible.
En pratique, il est fortement recommandé de s’approvisionner en terminaux reconditionnés auprès de fournisseurs capables de certifier le statut d’enrôlement de chaque terminal avant livraison.
Existe-t-il des cas où un terminal reconditionné ne peut pas être enrôlé, même si on le souhaite ?
Oui. Si un terminal est encore lié au compte d’une organisation qui n’existe plus, qui est injoignable, ou qui refuse d’effectuer le transfert de propriété, la libération peut s’avérer techniquement impossible ou très longue à obtenir. Apple, Google et Samsung disposent de procédures d’escalade pour ces situations, mais elles ne garantissent pas un résultat dans tous les cas.
C’est l’une des raisons pour lesquelles Orange Business recommande de vérifier systématiquement le statut d’enrôlement avant tout achat de terminaux reconditionnés, et non après.
Les terminaux reconditionnés sont-ils éligibles aux mêmes fonctionnalités d'enrôlement que les terminaux neufs ?
En principe oui, sous réserve que le terminal soit correctement libéré de son précédent compte d’enrôlement et que sa version OS soit compatible avec les prérequis du programme concerné. En pratique, des écarts peuvent apparaître – notamment sur les terminaux Samsung, où le Knox Warranty Bit activé peut limiter l’accès à certaines fonctionnalités Knox avancées, même après libération du compte KME.
Avec Orange Business
Orange Business gère-t-il l'enrôlement à notre place, ou seulement la commande de terminaux ?
Les deux. En tant que revendeur certifié pour les trois programmes, Orange Business effectue l’association des terminaux à votre compte d’enrôlement au moment de la commande – c’est une prestation incluse dans le processus de commande. Au-delà de cela, nos équipes peuvent accompagner la configuration des portails d’enrôlement, le paramétrage du MDM, la définition des profils de configuration, et le suivi du déploiement. Le niveau d’accompagnement est adapté à vos besoins et à vos ressources internes.
Orange Business peut-il accompagner une migration depuis un processus d'enrôlement manuel vers un processus automatisé ?
Oui, c’est l’un des cas d’accompagnement les plus fréquents. La migration depuis un processus manuel implique généralement un audit de l’existant, la définition d’une architecture cible, une phase pilote sur un échantillon de terminaux, puis un déploiement progressif sur l’ensemble du parc. Nos équipes accompagnent chacune de ces étapes, en tenant compte du fait que le parc existant continue de fonctionner pendant la transitio
Comment contacter un expert Orange Business pour un projet d'enrôlement ?
Vous souhaitez échanger avec un expert sur votre projet d’enrollment ? Nos équipes sont disponibles pour un premier échange, sans engagement.