Sophos Mobile : migrer du mode Administrateur de l’appareil Android vers Android Enterprise

Cet article aide à définir le parcours de migration et les vérifications nécessaires. Il n’autorise aucune réinitialisation en production. Sophos qualifie le mode Administrateur de l’appareil d’obsolète : dans Sophos Mobile, il n’est disponible que pour Android 9 ou une version antérieure ; les appareils sous Android 10 ou une version ultérieure ne peuvent pas être inscrits dans ce mode. Cela ne signifie pas que toutes les fonctions Android Device Policy Manager ont été abandonnées, et ne constitue pas une recommandation de continuer à utiliser Android 9. N’inscrivez pas de nouveaux appareils dans l’ancien mode. La procédure de migration Sophos suppose qu’un environnement Android Enterprise est déjà installé et configuré.

Déterminer d’abord le propriétaire et le mode cible

Avant tout changement, confrontez le mode de gestion réel, l’identité de l’appareil, son propriétaire, la version d’Android, l’utilisateur associé, les stratégies, les applications, la connectivité et le dernier état connu, sur l’appareil et dans le bon tenant Sophos.

Préparer la nouvelle inscription avant l’intervention

Cette vérification s’effectue tant que l’ancien appareil est encore géré. Elle ne déclenche ni réinitialisation ni désinscription. Consignez dans le journal de migration les informations suivantes pour le mode cible choisi :

Sous Sophos Fusion > My Products > Mobile > Setup > Google setup > Android Enterprise, vérifiez le Android Enterprise mode existant, les informations de compte affichées et l’état de Use managed Google domain device enrollment. Réutilisez l’inscription existante de l’organisation ; n’exécutez pas à nouveau Register account et ne remplacez pas la liaison avec Google. Si cette liaison est absente ou incertaine, clarifiez d’abord la situation en suivant la section Lier l’organisation à Google.
Préparez une Android Enterprise device policy pour l’appareil de l’entreprise et une Android Enterprise work profile policy pour l’appareil personnel. Notez les noms de la stratégie cible et du lot de tâches associé. Le lot correspondant au type d’appareil doit contenir au minimum Enroll et Assign policy, avec cette stratégie précise. Une ancienne stratégie Administrateur de l’appareil ne peut pas la remplacer.
Si vous utilisez le Self Service Portal, ouvrez sous Setup > Self Service Portal la configuration effective pour l’utilisateur. Dans les paramètres de la plateforme Android, Enrollment package doit pointer vers le lot de tâches préparé. Vérifiez Owner, le Device group cible, la priorité des groupes et le quota d’appareils restant. Vérifiez une configuration existante adaptée, plutôt que de créer systématiquement une nouvelle configuration ou de modifier Default. La préparation est décrite dans Préparer la stratégie, le lot et l’identité utilisateur.
Vérifiez l’approbation de Sophos Mobile Control dans Managed Google Play. Sans cette approbation, l’application gérée ne se met pas à jour automatiquement. Si l’inscription des appareils au domaine est activée, les utilisateurs prévus doivent exister dans le domaine Google géré. Cette inscription au domaine nécessite Mobile Control 9.8 ou une version ultérieure ; pour les profils professionnels, toutes les mises à jour disponibles du système d’exploitation et des applications doivent également être installées. Pour une tâche lancée par Sophos Mobile, l’adresse e-mail attribuée doit correspondre exactement à l’identifiant Google.
Sélectionnez une méthode d’inscription autorisée dans le mode actuel de l’organisation et préparez à l’avance, avec le service informatique compétent, l’accompagnement de l’utilisateur décrit ci-dessous. Pour une organisation inscrite avant le 9 avril 2024 en mode managed-Google-domain sans activation de l’inscription des appareils au domaine, l’inscription par l’administrateur n’est pas disponible ; préparez alors le parcours SSP autorisé. N’activez pas cette option au passage comme une étape de migration. Toute modification de la liaison de l’organisation ou du mode d’inscription nécessite une autorisation distincte.

Pour un appareil de l’entreprise auquel un utilisateur est attribué, le guide Android Enterprise, à la rubrique « Pilote administrateur » décrit le parcours pris en charge via l’assistant Devices > Add > Add device wizard, la sélection de l’utilisateur, Platform: Android et le lot d’inscription préparé. N’exécutez ce parcours qu’après la réinitialisation d’usine autorisée séparément et confirmée sur l’appareil. Si le SSP est requis, utilisez la procédure SSP décrite dans ce guide. Les méthodes par code QR, zero-touch et sans utilisateur sont des alternatives nécessitant leur propre préparation, et non des étapes obligatoires supplémentaires.

Pour un appareil dont le caractère personnel est confirmé, préparez à l’avance la section Configurer le profil professionnel dans le guide Android BYOD afin d’accompagner l’utilisateur. Elle présente Owner: Personal, le lot pour profil professionnel et la configuration de Mobile Control sur l’appareil. Cette nouvelle inscription ne commence qu’après confirmation de l’ancienne désinscription, puis suppression de la bonne entrée correspondant à l’ancien appareil. La vérification de la protection des données et du consentement dans la rubrique « Avant l’inscription » en fait également partie ; la procédure BYOD ne s’applique pas aux appareils de l’entreprise dotés d’un profil professionnel.

Si l’un de ces prérequis manque, arrêtez la procédure avant d’engager l’un ou l’autre des parcours de migration. Avant toute intervention en production, vérifiez le parcours choisi sur un appareil de test représentatif et autorisé. Des comptes préparés, un lot enregistré ou des options visibles dans le portail ne prouvent pas encore la réussite de l’inscription d’un appareil. Après l’inscription, contrôlez le mode de gestion, l’utilisateur associé, l’état des tâches et la stratégie effective dans Sophos Mobile et sur l’appareil.

Parcours de migration documentés

Ne mélangez pas les deux parcours documentés :

Appareil de départ	Mode cible documenté	Intervention selon Sophos — uniquement après autorisation distincte
Appareil de l’entreprise, jusqu’ici en mode Administrateur de l’appareil	Android Enterprise : gestion complète de l’appareil	L’action Gerät anzeigen > Aktionen > Zurücksetzen rétablit les paramètres d’usine de l’appareil ; inscrivez-le ensuite à nouveau. Sophos cite comme voies possibles l’assistant « Gerät hinzufügen », le portail Sophos Fusion Self Service, l’inscription par code QR et l’inscription zero-touch.
Appareil personnel, jusqu’ici en mode Administrateur de l’appareil	Android Enterprise : gestion par profil professionnel	Utilisez Gerät anzeigen > Aktionen > Deregistrieren, puis Aktionen > Löschen ; n’inscrivez le profil professionnel qu’ensuite. Sophos cite l’assistant « Gerät hinzufügen » ou le portail Sophos Fusion Self Service. Pas de réinitialisation d’usine comme étape standard pour un appareil BYOD.

Ces libellés proviennent de l’aide Sophos en allemand datée du 22 septembre 2026 ; dans une console en anglais, les commandes sont Show device > Actions > Wipe, Unenroll et Delete. Vérifiez au préalable les menus, les autorisations et les méthodes d’inscription disponibles dans le tenant cible. Un Wipe de Sophos Fusion, un Zurücksetzen dans l’administration Mobile et la suppression d’un profil professionnel déjà configuré ne sont ni des termes interchangeables ni des étapes équivalentes de migration. Les appareils de l’entreprise disposant déjà d’un profil professionnel et les autres modes requièrent une décision distincte : ne les classez pas automatiquement dans ces deux catégories. Sources : migration, désinscription et conséquences.

Arrêter la procédure avant toute action destructive

Appareil de l’entreprise : obtenez une autorisation écrite pour la réinitialisation d’usine de cet appareil précis ; vérifiez les données locales, les comptes professionnels, les applications, l’authentification, une sauvegarde et une restauration réellement utilisables. Une réinitialisation efface les données locales non sauvegardées. Une méthode d’inscription Android Enterprise effectivement opérationnelle, l’accès Wi-Fi ou mobile, les identifiants et les autorisations nécessaires doivent être prêts. Vérifiez au préalable, selon l’appareil et la méthode de réinitialisation, les comptes Google et les protections contre la réinitialisation. Sophos documente la Factory Reset Protection pour les appareils Android Enterprise entièrement gérés ; cela ne prouve pas que cette même configuration FRP régissait déjà la réinitialisation en ancien mode Administrateur de l’appareil. Ne promettez aucun contournement de la FRP.
Appareil personnel : clarifiez avec l’utilisateur son consentement, la distinction entre données personnelles et professionnelles et les effets de l’ancienne désinscription. Selon la description de la désinscription Sophos, celle-ci désactive l’administrateur de l’appareil Sophos Mobile Control, supprime les identifiants du serveur et les données reçues, et réinitialise Sophos Intercept X for Mobile. Confirmez d’abord la désinscription, puis supprimez l’enregistrement correspondant ; une tâche en attente ou la disparition d’une entrée de la console ne prouve pas que la gestion a bien été retirée de l’appareil. Si le profil professionnel créé ultérieurement est supprimé, ses applications et ses données locales sont perdues : cela ne restaure pas l’ancien profil. Ne garantissez pas la conservation des données personnelles sans contrôle sur l’appareil.
Appareil hors ligne, état inconnu ou appareil verrouillé : ne marquez pas l’opération comme terminée et ne déclenchez pas une deuxième suppression ou réinitialisation au hasard. Déterminez avec l’utilisateur et l’assistance Sophos ou l’assistance de l’appareil son état réel, la réception de la tâche et la voie de récupération autorisée. Une tâche envoyée depuis le cloud ne prouve pas son exécution.

Utiliser l’ancienne stratégie comme inventaire, pas comme modèle Android Enterprise

La stratégie pour appareils Android concerne l’ancien mode Administrateur de l’appareil. Android Enterprise full device et Android Enterprise work profile disposent chacun de leurs propres familles de stratégies. Avant toute autorisation, établissez une matrice source/cible documentée pour les 14 sous-configurations anciennes ; pour chaque ligne, consignez le mode cible, le nouveau réglage pris en charge ou l’absence explicite d’équivalent, l’OS, l’OEM et la licence, les tests, les effets et la voie de retour :

Anciennes configurations	Dépendance à vérifier — aucune garantie de reprise à l’identique
APN; Wi-Fi; VPN	Conservez les paramètres de l’opérateur et une connexion de secours : un mauvais réglage Use as default APN peut couper les données mobiles. Ne reprenez pas sans vérification les anciens certificats Wi-Fi/EAP, SSID et types de VPN ; WEP n’est pas un standard cible sûr. Testez la communication avec le système de gestion via un accès indépendant.
Client certificate; Root certificate; SCEP	Les anciens certificats client et ancres de confiance dépendent de la stratégie ; SCEP exige que l’autorité de certification du serveur SCEP soit définie comme configuration racine. Vérifiez à nouveau l’identité cible, l’émission et le renouvellement, la confiance dans l’autorité de certification et l’authentification Wi-Fi/VPN ; ne désactivez jamais la vérification des certificats pour résoudre un incident.
App Control; App permissions; App Protection	Inventoriez les listes de blocage, les autorisations d’exécution et les applications protégées. L’ancien mot de passe commun aux applications peut être contourné via d’autres applications ou fonctions système, ou en mode multifenêtre ; ne présumez ni une protection d’entreprise équivalente ni un transfert automatique vers le Play Store.
Email account; Kiosk mode; Knox Premium restrictions	Vérifiez séparément l’application de messagerie, l’environnement Exchange, l’authentification OAuth prise en charge et le flux réel des messages ; un ancien champ de mot de passe ou Allow all certificates ne constitue pas une solution de repli pour Exchange Online. Testez l’application kiosque, son lancement et la possibilité physique de quitter le mode kiosque avant la réinitialisation. Inventoriez la licence Knox Premium et le modèle d’appareil ; ne déduisez pas de l’ancienne page une équivalence avec la gestion Enterprise actuelle.
Password policies; Restrictions	Un seuil de tentatives infructueuses peut effacer l’appareil ; ne le testez pas sur des appareils en production. Vérifiez la récupération, la sauvegarde ainsi que l’effet, selon l’OS et le mode, de chaque verrouillage ou restriction pertinente ; ne supposez pas les mêmes effets sur les appareils personnels et ceux de l’entreprise.

Les anciennes pages décrivent les paramètres de départ, parfois datés de 2022–2023, et non la prise en charge actuelle des anciens protocoles ou des fonctions OEM sur les appareils cibles. Le tableau indique les dépendances à vérifier avant la migration. Avant toute recommandation de stratégie concrète, consultez les deux stratégies cibles complètes et vérifiez votre propre tenant. Les articles distincts sur les stratégies pour appareils entièrement gérés, les stratégies des profils professionnels, les connexions Android, le BYOD et la FRP ne remplacent pas l’autorisation de migration. L’article sur la migration Exchange traite également de l’authentification de la messagerie.

Pilote, arrêt et retour arrière

Une fois le propriétaire, le tenant, les licences et la voie de récupération autorisée clarifiés, ne réalisez le pilote que sur des appareils représentatifs dont on peut se passer, pour chaque mode. Sauvegardez au préalable les données de l’appareil et les anciennes stratégies ; préparez séparément la nouvelle stratégie et la méthode d’inscription. Pendant le pilote, confirmez l’exécution de l’action sur l’appareil, contrôlez le nouveau mode de gestion et l’attribution effective, puis observez les applications, la connexion au compte et le flux de messagerie, le kiosque le cas échéant, le Wi-Fi/VPN, l’émission et le renouvellement des certificats, ainsi que les données personnelles après le passage d’un appareil BYOD. Ne décidez d’étendre la migration à d’autres appareils qu’après en avoir constaté les effets.

En cas d’absence de connexion, d’incertitude sur les données, d’erreur d’appareil ou de mode, d’échec de connexion au compte ou de blocage lié à la réinitialisation, arrêtez et faites remonter le problème. Avant toute intervention, définissez l’assistance compétente, une connexion indépendante fonctionnelle et une méthode de remise en service. Le retour arrière n’annule ni une réinitialisation d’usine ni la suppression d’un profil professionnel : la restauration n’est possible qu’à partir de sauvegardes dont l’utilisabilité est démontrée et par une nouvelle inscription autorisée ; ni l’exécution immédiate d’une tâche à distance ni des effets identiques des stratégies ne sont établis. Sans test sur le tenant et l’appareil, ne présentez pas ce texte comme une procédure de migration en production ou une garantie de réussite.