Jamf Pro 11.31 : sécuriser les actions de masse sur les flottes Apple

Article créé le 18 août 2026 · Source analysée le 18 août 2026 · Source officielle : Jamf · Thème : Jamf Pro, MDM Apple, sécurité et gouvernance

Dans les notes de Jamf Pro 11.31, Jamf annonce huit futurs privilèges dédiés aux actions de masse sur Mac, iPhone et iPad. La mesure réduit le rayon d’impact d’un compte compromis ou d’une erreur d’exploitation, mais elle impose d’identifier dès maintenant les administrateurs et clients API qui verrouillent, effacent, retirent de la gestion ou suppriment des appareils en nombre.

1. Ce que Jamf annonce officiellement

Jamf prévoit des privilèges distincts pour envoyer en masse les commandes de verrouillage, d’effacement et de retrait de gestion, ainsi que pour supprimer en masse les fiches d’inventaire. Chacune de ces quatre capacités sera séparée entre ordinateurs et appareils mobiles, soit huit privilèges au total.

Jusqu’ici, le privilège correspondant à l’action sur un seul appareil suffisait aussi pour l’exécuter en masse. Jamf précise que les nouveaux droits ne seront attribués automatiquement à aucun compte existant et ne feront pas partie du jeu de privilèges Administrator. Leur disponibilité est annoncée pour une prochaine version ; Jamf Pro 11.31 constitue donc un avertissement préparatoire, pas encore le changement effectif.

2. Pourquoi le changement dépasse une simple option d’interface

Une action unitaire et une action sur plusieurs centaines d’appareils n’ont pas le même risque. Le verrouillage massif peut interrompre le travail ; l’effacement détruit les données locales ; le retrait de gestion supprime le contrôle MDM ; la suppression d’inventaire dégrade la traçabilité. La séparation des droits applique le moindre privilège au volume et non plus seulement au type d’action.

Le changement concerne aussi les intégrations. Un client API de remise en stock, un outil de réponse à incident ou un workflow de départ collaborateur peut disposer aujourd’hui du droit unitaire et l’utiliser sur une sélection. Sans adaptation explicite du jeu de privilèges, ces automatisations pourront échouer lorsque Jamf activera les nouveaux contrôles.

3. Auditer les identités humaines et techniques

L’inventaire doit couvrir les comptes administrateurs locaux, l’authentification via Jamf Account, les groupes fédérés, les clients API et les secrets utilisés par les orchestrateurs. Pour chaque identité, il faut documenter l’action de masse réellement nécessaire, le périmètre Mac ou mobile, le propriétaire, la justification métier et le mécanisme de révocation.

Les équipes devraient distinguer administration quotidienne, support, sécurité, lifecycle management et automatisation. Un technicien autorisé à effacer un iPhone perdu ne doit pas recevoir par défaut le droit d’effacement massif. Un client API chargé de supprimer des fiches d’inventaire obsolètes n’a pas besoin de pouvoir retirer des appareils de la gestion.

4. Qu’est-ce que cette annonce change pour une entreprise belge ou française ?

Pour une PME, l’enjeu est d’éviter qu’un compte administrateur polyvalent concentre toutes les opérations irréversibles. Pour une ETI, une grande entreprise ou une administration en Belgique ou en France, la séparation facilite une matrice d’habilitations plus défendable lors d’un audit ISO 27001, NIS2 ou d’un contrôle interne, sans constituer à elle seule une preuve de conformité.

Les DSI et responsables sécurité doivent aussi relier Jamf à leurs processus d’identité : départ d’un administrateur, revue périodique des accès, rotation des secrets API, journalisation et validation à quatre yeux. Apple Business Manager et Automated Device Enrollment permettent de réenrôler certains appareils, mais ils n’annulent ni une perte de données ni une interruption causée par une commande massive incorrecte.

5. Lecture Underside : isoler le droit, contrôler le workflow

Notre lecture est que les huit privilèges doivent rester exceptionnels et être associés à des rôles dédiés. Leur attribution permanente à tous les administrateurs recréerait le risque que Jamf cherche précisément à réduire. Pour les API, un client distinct par workflow limite le rayon d’impact et rend les journaux plus lisibles.

Le contrôle ne s’arrête pas au RBAC : toute action de masse devrait imposer une sélection vérifiable, un seuil d’alerte, une approbation lorsque l’impact est élevé et une preuve après exécution. Cette préparation complète le passage à l’authentification Jamf Account et OIDC : l’identité forte protège l’accès, tandis que les privilèges dédiés limitent ce que cette identité peut déclencher.

6. Plan de préparation recommandé

• Recenser les comptes, groupes et clients API capables d’agir sur plusieurs appareils.
• Cartographier séparément verrouillage, effacement, retrait de gestion et suppression d’inventaire pour Mac et mobile.
• Identifier les scripts et intégrations qui dépendent actuellement des privilèges unitaires.
• Créer des jeux de privilèges personnalisés par fonction, sans élargissement automatique.
• Tester les workflows dans un environnement ou un périmètre pilote lors de la version qui introduira les droits.
• Ajouter approbation, seuils, journalisation et procédure de reprise aux actions irréversibles.

Source officielle : Jamf Pro 11.31 Release Notes — Upcoming New Privileges for Mass Actions.