Jamf Pro 11.34 : valider le SSO et les actions sensibles
Jamf Pro 11.34.0 ajoute notamment le SSO OIDC pour l’enrôlement et Self Service+ mobile, ainsi qu’un journal des actions de verrouillage, effacement, désinscription et suppression. Pour une organisation, ces évolutions touchent l’identité et la traçabilité : elles demandent une recette avant toute généralisation.
1. Ce que confirme Jamf
Jamf indique que le SSO OIDC peut être configuré pour l’Automated Device Enrollment, l’enrôlement initié par l’utilisateur et la connexion à Self Service+ mobile. La configuration se fait dans l’onglet OIDC des réglages SSO et fonctionne avec un fournisseur d’identité compatible OIDC. À ce stade, Jamf annonce que le support de Self Service+ pour macOS arrivera dans une version ultérieure ; ne l’anticipez donc pas dans un scénario Mac.
2. Tester les parcours d’identité séparément
Préparez un pilote avec un tenant, un fournisseur d’identité, un appareil et un compte de test représentatifs. Contrôlez l’authentification, l’attribution de l’utilisateur, le retour dans Jamf et l’accès à Self Service+ mobile. Testez aussi le refus : compte désactivé, groupe absent, session expirée et appareil hors périmètre. Conservez le résultat par parcours au lieu de conclure qu’un SSO d’administration valide l’ensemble de l’expérience utilisateur.
3. Encadrer les actions à fort impact
Le nouvel Action Log enregistre les actions lock, wipe, unmanage et delete sur ordinateurs et appareils mobiles. Il affiche l’initiateur, la date, la cible, le nombre d’appareils concernés et l’état de réponse ; une vue par appareil permet de distinguer les succès des échecs. L’accès nécessite le privilège « View Event Logs » : vérifiez donc que les rôles de support et de sécurité ont une séparation de droits cohérente.
4. Mettre la conformité à l’épreuve
Dans les environnements intégrés à la conformité des appareils, l’inventaire affiche désormais l’état de conformité, l’état applicable, la dernière synchronisation et l’éventuelle période de grâce. Jamf permet de régler cette période entre une heure et trente jours et de cibler les appareils concernés avec le critère de groupe intelligent « In Grace Period ». Faites valider la durée par les équipes identité, sécurité et métier : un délai trop court interrompt les usages, un délai trop long reporte un risque connu.
5. Préparer la mise à niveau et la réversibilité
Documentez la version actuelle, les intégrations OIDC, les comptes de secours, les rôles concernés et les cas de test. Avant de basculer, simulez une action sensible sur un appareil de laboratoire et vérifiez la trace côté console et le résultat côté appareil. Pour Apple entreprise Belgique et Apple entreprise France, consignez aussi qui décide d’un effacement, qui relit le journal et comment l’utilisateur est assisté lorsque son accès est refusé.
6. Analyse Underside : joindre identité et preuve
Jamf présente ces fonctions comme des capacités produit ; elles ne remplacent ni une politique de délégation ni une procédure d’incident. Nous recommandons de faire du journal d’actions la preuve d’exécution de votre procédure, et non son unique contrôle. Associez chaque test SSO et chaque action sensible à un propriétaire, un ticket et une preuve de résultat. Cette recommandation est l’analyse d’Underside, pas une consigne de Jamf.
7. Prérequis mobile et fenêtre Jamf Cloud
L’annonce du 10 novembre précise le prérequis Self Service+ mobile 12.2.0 ou ultérieur. Le calendrier prévoit eu-central-1 du 13 novembre à 23 h au 14 novembre à 10 h UTC, et germanywestcentral Azure du 13 novembre à 23 h au 14 novembre à 1 h UTC. Jamf précise que ce calendrier peut changer.
Une décision par instance
Pour une entreprise belge ou française, notre recommandation est de relever la région hébergée de chaque instance avant de fixer la permanence support. Le pays des utilisateurs ne suffit pas à choisir une fenêtre. Recontrôlez le calendrier officiel et les messages du portail avant intervention ; notez la version constatée après la fenêtre au lieu de déduire la réussite du seul horaire annoncé.
Compléter la fiche de recette
Ajoutez la version de Self Service+ mobile à la fiche de chaque appareil pilote. Un test avec une version trop ancienne ne permet pas de conclure à une panne du fournisseur d’identité. Pour une PME, désignez un responsable et son relais ; pour une organisation multisite, partagez la même fiche entre équipes locales et centrale. Conservez région, version serveur, version de l’app, résultat du parcours OIDC et décision d’extension. Distinguer les accès administratifs Jamf.
Source officielle : Jamf — Notes de version Jamf Pro 11.34.0 ; Jamf — annonce et calendrier Cloud.