Jamf Self Service+ : valider l’élévation de privilèges avec SSO
À partir d’un correctif ciblé de Self Service+, voici notre protocole pour vérifier l’élévation de privilèges sur les Mac gérés, sans perdre de vue les refus et le support.
1. Le correctif documenté, dans son périmètre exact
La note Jamf Self Service+ 2.32.0 du 13 octobre 2026 décrit le correctif PI-1131 : sur macOS 26.4, l’authentification pouvait échouer lors d’une élévation de privilèges utilisant la clé VerifyUserPromotion lorsqu’un profil d’extension single sign-on était présent. Cette indication porte sur une combinaison précise ; elle ne constitue pas une garantie de fonctionnement pour toutes les versions de macOS ou tous les fournisseurs d’identité.
2. Construire une matrice avant de déployer
Notre méthode consiste à relever, pour chaque population pilote, la version de macOS, celle de Self Service+, le profil SSO effectivement installé, la configuration de VerifyUserPromotion et la politique de droits attendue. Identifiez les utilisateurs autorisés à demander une élévation et ceux qui doivent rester exclus. Faites valider cette matrice par les responsables identité et sécurité avant intervention.
3. Tester le parcours complet, y compris les refus
Sur un Mac de test représentatif, documentez le résultat initial puis appliquez la version candidate approuvée par votre équipe. Rejouez la demande avec un compte autorisé et vérifiez l’authentification, les droits réellement obtenus et leur retrait selon votre politique. Répétez le parcours avec un compte exclu : son refus est un critère de réussite. Testez aussi une annulation et un échec d’authentification ; aucun de ces scénarios ne devrait accorder de droits dans votre recette.
4. Organiser les preuves et les exceptions
Nous recommandons une fiche de test contenant appareil, versions, configuration, résultat attendu, résultat observé, horodatage et décision. Conservez uniquement les éléments nécessaires au diagnostic, sans mot de passe ni jeton. Si le pilote échoue, ouvrez un dossier support avec les informations techniques utiles et attribuez une échéance à l’exception. Évitez de résoudre le blocage en accordant des droits administrateur permanents sans évaluation du risque.
5. Ce que cela change pour une entreprise belge ou française
Pour une PME, notre conseil est de tester le parcours avec le prestataire qui gère les Mac avant d’annoncer sa disponibilité aux utilisateurs. Une ETI, une grande entreprise ou une administration peut répartir les pilotes par configuration d’identité et usage métier. Entre sites belges, français et européens, partagez les mêmes critères de validation et adaptez les fenêtres d’intervention au support disponible. Le correctif ne démontre aucune conformité réglementaire à lui seul.
6. Analyse Underside : traiter l’élévation comme un service contrôlé
Notre lecture est que la réussite d’une authentification ne suffit pas : il faut vérifier qui reçoit quels droits et comment le support traite les échecs. Reliez la recette aux configurations MDM et à leur propriétaire, puis généralisez par groupes après validation. Ces étapes sont les recommandations d’Underside, distinctes des fonctionnalités annoncées par Jamf. Ne confondez pas ce cas d’extension SSO avec une validation générale de Platform SSO.
Constituez un pilote avec un utilisateur autorisé et un utilisateur exclu ; exigez des preuves du résultat et du retrait des droits. Underside, Apple Business Partner, accompagne les entreprises en Belgique, en France et en Europe dans la gestion et la sécurité de leur parc Apple.
Préparer votre pilote MacSource : Jamf — Self Service+ 2.32.0 (2026-10-13).