Jusqu’à présent, beaucoup d’entreprises regardaient Intune Suite avec intérêt… avant de refermer rapidement la page à la vue des tarifs. Pour bénéficier de fonctionnalités comme Remote Help, Endpoint Privilege Management ou Cloud PKI, il fallait souscrire une licence supplémentaire qui n’était pas toujours facile à justifier auprès d’un DSI. 

Avec l’intégration en cours d’Intune Suite dans Microsoft 365 E3 et E5 (au 1^er Juillet 2026), la donne change complètement. Certaines fonctionnalités autrefois réservées à une licence additionnelle deviennent accessibles sans achat supplémentaire. 

La vraie question n’est donc plus « Faut-il acheter Intune Suite ? », mais « Qu’est-ce que ma licence me donne déjà aujourd’hui ? ».

Cet article détaille donc les fonctionnalités incluses, leur valeur concrète, et vous aide à déterminer si elles peuvent simplifier votre environnement ou si des solutions tierces restent nécessaires. 

Ce que votre licence M365 E3 ou E5 inclut avec Intune Suite

Microsoft 365 E3

Les fonctionnalités Intune Suite suivantes sont incluses dans Microsoft 365 E3 :

• Remote Help
• Advanced Analytics
• Microsoft Tunnel for MAM
• Specialty Device Management
• FOTA Updates

Microsoft 365 E5

En complément de toutes les fonctionnalités E3, Microsoft 365 E5 intègre les briques Intune Suite supplémentaires suivantes :

• Endpoint Privilege Management (EPM)
• Enterprise Application Management (EAM)
• Microsoft Cloud PKI

L’E5 apporte bien d’autres avantages en dehors de la Intune Suite (Defender for Endpoint P2, Entra ID P2, Purview, etc.). 

Vous bénéficierez aussi de SCU pour utiliser Copilot for Security dans Entra ID et Intune notamment. À aujourd’hui, ces SCU sont toujours en cours de déploiement, soyez patient.

Remote Help : la prise en main à distance native d’Intune

Qu’est-ce que Remote Help ?

Incluse dans Microsoft 365 E3 et E5, Remote Help est la réponse de Microsoft aux organisations demandant un outil de prise en main à distance dans un contexte Intune natif.

Il s’intègre directement dans le portail d’administration, nécessite l’installation d’une simple application, et résout quatre problèmes concrets : le support limité sur les travailleurs distants, les risques de sécurité des outils de prise en main classiques, le manque de visibilité pour les admins, et l’expérience de support hétérogène selon la plateforme.

Plateformes supportées

Remote Help est compatible avec les plateformes suivantes :

• Windows,
• macOS,
• Android,
• Web.

Note : iOS n’est pas supporté à ce jour.

Prérequis de déploiement

La mise en place de Remote Help requiert les étapes d’activation et de configuration suivantes :

• Activation simple depuis le portail Intune (Tenant Admin > Remote Help),
• Déploiement de l’application Remote Help via Intune sur Windows, macOS et Android. Mise à jour automatique de celle-ci possible,
• Configuration des rôles RBAC et, optionnellement, des politiques de Conditional Access (MFA, conformité de l’appareil), car oui, les actions de prise en main à distance via Remote Help peuvent être sécurisées via ces politiques. Le RBAC vous permettra de donner accès ou non à certaines fonctionnalités de l’outil. (Élévation UAC notamment).  

Ce que Remote Help fait techniquement

Sur Windows

Sur Windows, Remote Help propose un ensemble complet de fonctionnalités de prise en main à distance :

• Partage d’écran assisté (attended) avec prise de contrôle complète, ou mode visualisation seule,
• Support possible des appareils non enrôlés (l’utilisateur reçoit un code de session unique),
• Élévation de session UAC : le technicien peut saisir des credentials administrateur pour passer les prompts UAC sans donner les droits admins à l’utilisateur,
• Unattended access : disponible prochainement sur Windows (livraison prévue en août 2026), pour les interventions sans présence de l’utilisateur,
• Avertissement de non-conformité affiché avant le début de session si le poste cible ne respecte pas les politiques de conformité Intune,
• Le technicien initie la session depuis la fiche appareil Intune → notification push envoyée à l’utilisateur → l’utilisateur accepte ou refuse,
• Gestion du multi-écran, tchat intégré et annotations.

Sur Android

Sur Android, Remote Help cible les appareils en mode dédié et offre les capacités suivantes :

• Cible Android Enterprise Dedicated Mode,
• Mode unattended sur Zebra MX 8.3+,
• Appareils enrôlés uniquement (pas de support unenrolled sur Android).

Sur macOS

Sur macOS, deux modes d’accès sont disponibles selon les contraintes d’installation :

• Via application native : contrôle complet et visualisation,
• Via web app (remotehelp.microsoft.com) : sans installation côté utilisateur, en mode visualisation uniquement,
• Supporte les appareils enrôlés et non enrôlés.

Sécurité et traçabilité

Le dispositif de sécurité et de traçabilité de Remote Help repose sur plusieurs mécanismes complémentaires :

• Authentification Entra ID obligatoire pour le technicien et l’utilisateur avant toute session,
• RBAC granulaire : les rôles Intune définissent précisément qui peut faire quoi (visualisation seule, contrôle complet, élévation UAC, unattended),
• Logs de session (30 jours) : identité du technicien et de l’utilisateur, nom et ID de l’appareil, horodatage, type de session (attended/unattended, view/full control),
• Microsoft ne stocke aucun contenu de session (écran, frappes clavier, transcription de chat, audio),
• Les logs sont exportables depuis le portail Intune.

Documentation : learn.microsoft.com/intune/remote-help

Mon avis sur Remote Help

Pour les organisations déjà clientes Microsoft 365 E3, Remote Help peut suffire à remplacer TeamViewer ou d’autres solutions de PMAD dans de nombreux scénarios de support utilisateur.

Il ne couvre pas encore tous les cas d’usage avancés, notamment sur iOS, mais pour un support quotidien et sécurisé, il répond déjà aux besoins de nombreuses équipes.

Advanced Analytics : surveiller et diagnostiquer son parc

Qu’est-ce qu’Advanced Analytics ?

Incluse dans Microsoft 365 E3 et E5, Advanced Analytics est l’une des fonctionnalités les plus utiles de la suite pour les équipes IT opérationnelles.

Elle s’articule autour de trois objectifs : obtenir une vision globale de la santé de votre parc, diagnostiquer rapidement un appareil pour lequel un utilisateur a déclaré un incident, et analyser à grande échelle les problèmes.

Trois rapports pour surveiller la santé du parc

Battery Health Report

Le Battery Health Report fournit les informations suivantes sur l’état des batteries de votre flotte :

• Santé de la batterie par appareil : capacité résiduelle, runtime moyen, nombre de cycles de charge,
• Identification des batteries sous seuil de remplacement avant expiration de garantie,
• Identification des applications les plus consommatrices (par fenêtre de 14 jours).

Resource Performance Report

Le Resource Performance Report expose plusieurs indicateurs de performance matérielle pour piloter votre parc :

• Scores CPU et RAM par appareil et par modèle,
• Score de spike CPU et spike RAM : détection des appareils dont la sollicitation processeur ou mémoire dépasse les seuils normaux lors des pics d’activité,
• Recommandations automatiques,
• Tendances sur 30 jours pour identifier les dégradations progressives.

Anomaly Detection

L’Anomaly Detection permet d’identifier automatiquement les comportements anormaux selon les axes suivants :

• Identification des hausses de crashs, d’utilisation ressource ou de performances suite à un changement de configuration ou un déploiement applicatif,
• Corrélation des anomalies avec les propriétés des appareils : version OS, version application/driver, modèle matériel,
• Cas d’usage typique : après un déploiement applicatif, un pic de crashs sur un modèle de laptop spécifique est détecté et corrélé à la version du driver graphique avant que les tickets arrivent.

Deux outils pour investiguer un incident utilisateur

Enhanced Device Timeline

La Enhanced Device Timeline expose l’historique chronologique des événements d’un appareil pour faciliter le diagnostic :

• Historique chronologique des événements sur un appareil spécifique : crashes applicatifs, applications défaillantes…,
• Latence inférieure à 24h entre l’événement et son apparition dans la timeline dans Intune,
• Permet de corréler visuellement un incident utilisateur avec un événement précis.

Device Query : appareil individuel

Device Query permet d’interroger un appareil Windows en temps réel, avec les capacités suivantes :

• Requêtes KQL en temps réel sur un appareil Windows cloud only online,
• Chiffrement de bout en bout de la requête et des résultats,
• Device Actions depuis les résultats : après une query, l’admin peut déclencher des actions directement (redémarrage, sync, collecte de logs) sans quitter le contexte.

Analyse et actions à grande échelle

Device Query : multi-appareils (Windows)

Sur la flotte Windows, le Device Query multi-appareils offre les possibilités suivantes :

• Interface KQL sur données en cache de l’ensemble de la flotte Windows, 
• Résultats agrégés,
• Exemple : identifier tous les appareils enrôlés depuis plus d’un an avec une version Windows non conforme.

Device Query : multi-appareils Cross-Platform

Cette même capacité est étendue à Windows, iOS/macOS et Android dans une vue unifiée, permettant des analyses transversales de l’ensemble du parc, toutes plateformes confondues.

Device Actions en masse

Les Device Actions en masse permettent de déclencher des opérations de remédiation directement depuis les résultats d’une requête multi-appareils :

• Actions de remédiation bulk déclenchées depuis les résultats d’une requête multi-appareils,
• Particulièrement efficace pour les corrections de conformité à grande échelle.

Cas d’usage concrets

Voici trois exemples représentatifs de l’apport concret d’Advanced Analytics au quotidien :

• Un utilisateur se plaint que son PC est lent au démarrage → la timeline révèle que le temps de boot est passé de 45 à 180 secondes il y a 3 semaines, corrélé à l’installation d’un driver, avec un pic RAM systématique au logon.
• Vous identifiez proactivement 30 appareils dont la batterie est sous les 40% de capacité nominale → remplacement planifié avant la panne terrain, dans la fenêtre de garantie.
• Une mise à jour applicative déclenche une vague de crashs sur un modèle précis → l’Anomaly Detection le remonte. 

Documentation : Endpoint Analytics – learn.microsoft.com et Advanced Analytics & Device Query – learn.microsoft.com

Mon avis sur Advanced Analytics

C’est probablement l’une des fonctionnalités les plus intéressantes. Beaucoup d’équipes IT travaillent encore de manière réactive en attendant que les utilisateurs ouvrent des tickets.

Advanced Analytics permet au contraire d’identifier les dégradations avant qu’elles ne deviennent un problème, tout en offrant des outils de diagnostic particulièrement efficaces. C’est l’une des fonctionnalités qui apporte le plus de valeur au quotidien.

Microsoft Tunnel for MAM : sécuriser l’accès BYOD aux ressources internes

Qu’est-ce que Microsoft Tunnel for MAM ?

Incluse dans Microsoft 365 E3 et E5, cette fonctionnalité permet à des applications mobiles d’accéder à des ressources on-premises depuis des appareils non managés (BYOD), sans nécessiter d’enrôlement MDM complet de l’appareil.

Ce que Microsoft Tunnel for MAM fait techniquement

Microsoft Tunnel for MAM s’appuie sur les mécanismes techniques suivants :

• Tunnel VPN applicatif (per-app VPN) qui ne couvre que les applications MAM-enrôlées, pas l’ensemble du trafic de l’appareil,
• Le flux de données transite par le Microsoft Tunnel Gateway, déployé on-prem ou dans Azure, qui fait le pont vers les ressources internes,
• Compatible avec les politiques Intune App Protection (APP) pour imposer des contraintes de données (no-copy, PIN, effacement sélectif) sans toucher aux données personnelles de l’appareil,
• Supporte Microsoft Edge, Outlook, Teams et les applications tierces intégrant le SDK Intune. 

Pour qui

Microsoft Tunnel for MAM s’adresse aux organisations qui ont des utilisateurs BYOD devant accéder à des ressources internes depuis des apps mobiles, sans vouloir ou pouvoir enrôler les appareils en MDM.

Cas typique : applications métier exposées uniquement en interne.

Documentation : learn.microsoft.com/intune/microsoft-tunnel

Mon avis sur Microsoft Tunnel for MAM

Cette fonctionnalité s’adresse à un besoin bien précis : sécuriser les accès aux ressources internes depuis des appareils personnels sans imposer un enrôlement MDM complet.

Toutes les organisations n’en auront pas l’utilité, mais dans un contexte BYOD, elle permet de trouver un bon équilibre entre sécurité et respect de la vie privée des utilisateurs.

Specialty Device Management : gérer les appareils spécialisés

Qu’est-ce que Speciality Device Management ?

Incluse dans Microsoft 365 E3 et E5, cette brique étend la gestion Intune à des catégories d’appareils spécialisés qui ne rentrent pas dans le MDM Windows classique.

Appareils couverts

Specialty Device Management prend en charge les catégories d’appareils suivantes :

• Microsoft HoloLens 2 : gestion des politiques, applications, mises à jour et configurations de l’environnement Mixed Reality via Intune (utilise le canal MDM standard mais nécessite cette licence),
• Microsoft Surface Hub (Surface Hub 2S et 3) : gestion centralisée des paramètres Teams Rooms, politiques de sécurité, déploiement d’applications et mises à jour firmware depuis le portail Intune,
• Appareils RealWear : casques industriels Android pour les scénarios de travail mains libres en atelier ou sur le terrain.

Documentation : learn.microsoft.com/intune/specialty-devices

Mon avis sur Specialty Device Management

Cette brique cible des équipements spécifiques comme les Surface Hub, HoloLens ou certains appareils industriels.

Pour les entreprises concernées, elle permet enfin de gérer ces terminaux depuis Microsoft Intune, sans multiplier les outils d’administration.

FOTA Updates : déployer les mises à jour firmware sur Android

Qu’est-ce que FOTA Updates ?

Incluse dans Microsoft 365 E3 et E5, cette fonctionnalité permet de pousser des mises à jour firmware sur des appareils Android dédiés de manière centralisée depuis Intune.

Ce que FOTA Updates (Firmware Over-The-Air) fait techniquement

FOTA Updates s’appuie sur les capacités techniques suivantes :

• Gestion des mises à jour firmware pour les appareils Samsung (via Knox Mobile Enrollment et l’API Samsung E-FOTA) et Zebra (via Zebra LifeGuard Over-the-Air)
• Permet de définir des plages de maintenance pour les mises à jour, de bloquer certaines versions firmware, et d’avoir un inventaire de la version firmware de chaque appareil 
• Conçu pour les scénarios kiosque / terrain : caisse, scanners d’entrepôt, tablettes médicales… 

Documentation : learn.microsoft.com/intune/manage-fota

Mon avis sur FOTA Updates

Si votre parc Android comprend des terminaux durcis comme des Zebra, FOTA simplifie considérablement la gestion des mises à jour firmware.

En revanche, pour un parc composé principalement de smartphones Android classiques, cette fonctionnalité aura un intérêt beaucoup plus limité.

Endpoint Privilege Management : gérer les droits admin sans risque

Qu’est-ce qu’Endpoint Privilege Management ?

Réservé à Microsoft 365 E5, Endpoint Privilege Management (EPM) résout l’un des problèmes les plus classiques en entreprise : des applications qui nécessitent des droits administrateurs locaux pour fonctionner (mises à jour intégrées, installeurs d’outils métier).

Sans EPM, la tentation est de donner les droits admins à l’utilisateur, ce qui élargit drastiquement la surface d’attaque. En 2026, ce modèle ne peut plus être d’actualité. Le modèle d’EPM est clairement orienté « least privilege ».

Ce qu’EPM fait techniquement

Endpoint Privilege Management s’articule autour des mécanismes techniques suivants :

• Élévation de processus spécifiques en contexte administrateur sans donner les droits admins permanents à l’utilisateur,
• Les règles d’élévation sont définies par politique Intune : hash du fichier, éditeur (certificat), chemin d’accès, ou combinaisons de ces critères,
• Intégration dans le menu contextuel Windows (clic droit → « Exécuter avec accès élevé »),
• Les événements d’élévation sont loggés et remontés dans le portail Intune pour l’audit.

Modes d’opération EPM

Trois modes d’élévation sont disponibles selon le niveau de contrôle souhaité :

• Auto-approved : l’élévation est accordée automatiquement si la règle correspond,
• User-confirmed : l’utilisateur doit confirmer avant l’élévation (avec affichage de la justification métier),
• Support-approved : l’utilisateur soumet une demande, le technicien l’approuve depuis le portail Intune (pas de notification mail native sur ce point).

Limite principale d’EPM

EPM est Windows uniquement. Il n’y a pas de support macOS natif à ce jour.

Documentation : learn.microsoft.com/intune/epm

Mon avis sur EPM

C’est certainement l’une des fonctionnalités les plus stratégiques d’Intune Suite.

De nombreuses entreprises continuent encore aujourd’hui à accorder des droits administrateurs locaux, alors que cela représente un risque important. EPM permet de conserver un modèle de moindre privilège sans pénaliser les utilisateurs.

C’est une fonctionnalité qui devrait rapidement devenir un standard dans les environnements Windows modernes.

Enterprise Application Management : automatiser les mises à jour d’applications tierces

Qu’est-ce qu’Enterprise Application Management ?

Réservée à Microsoft 365 E5, Enterprise Application Management (EAM) a pour ambition de résoudre la gestion des mises à jour d’applications tierces sur Windows, un sujet chronophage dans les équipes IT.

Ce qu’EAM fait techniquement

Enterprise Application Management propose les fonctionnalités suivantes :

• Fourniture d’un catalogue d’applications préconfigurées depuis le portail Intune (Win32 Apps packagées par Microsoft, avec métadonnées et icônes),
• Détection automatique des nouvelles versions et possibilité de pousser les mises à jour via Intune,
• Intégration native dans le workflow de déploiement Win32 App d’Intune : pas besoin de re-packager manuellement,
• Utilisation possible dans Autopilot.

Documentation : learn.microsoft.com/intune/enterprise-app-management

Mon avis sur EAM

EAM simplifie clairement la gestion des applications tierces, mais son catalogue reste encore limité. Les entreprises qui recherchent une couverture logicielle très large continueront souvent à utiliser Patch My PC ou une solution équivalente.

Microsoft Cloud PKI : une autorité de certification managée dans le cloud

Qu’est-ce que Microsoft Cloud PKI ?

Réservée à Microsoft 365 E5, Cloud PKI déplace l’autorité de certification (CA) on-prem directement dans Intune, sous forme de service managé. C’est une réponse directe à la dette technique accumulée par les PKI on-prem, et une alternative pour éviter de déployer une infrastructure SCEP/NDES complète.

Ce que Microsoft Cloud PKI fait techniquement

Microsoft Cloud PKI repose sur les capacités techniques suivantes :

• Root CA et Issuing CA entièrement managés dans le cloud Microsoft, sans serveur on-prem à maintenir,
• Délivre des certificats via le protocole SCEP (Simple Certificate Enrollment Protocol), natif dans Intune,
• Compatible avec les profils certificats Intune pour Windows, iOS, Android et macOS,
• Intégration native avec les profils Wi-Fi et VPN Intune pour l’authentification basée sur certificat,
• Révocation des certificats gérée via CRL hébergée par Microsoft,
• Dashboard de suivi des certificats émis, expirés, révoqués.

Documentation : learn.microsoft.com/intune/cloud-pki

Mon avis sur Microsoft Cloud PKI

C’est probablement l’une des fonctionnalités les plus sous-estimées. Beaucoup d’entreprises conservent aujourd’hui une PKI on-prem uniquement pour délivrer des certificats Wi-Fi ou VPN. Cloud PKI permet de simplifier fortement cette architecture. Une PKI opérationnelle en 3 clics !

Intune Suite dans Microsoft 365 E3 E5 : faut-il encore l’acheter séparément ?

Après plusieurs années où Intune Suite était proposée comme une licence additionnelle et où l’adaptation était compliquée à la vue des tarifs pratiqués, Microsoft change progressivement son approche en intégrant plusieurs de ses composants directement dans Microsoft 365 E3 et E5. 

Pour les organisations déjà clientes Microsoft 365, cette évolution représente une opportunité d’exploiter des fonctionnalités souvent méconnues, sans coût supplémentaire.

Assistance à distance sécurisée, analyses avancées du parc, gestion des privilèges, PKI cloud ou encore gestion simplifiée des applications : ces briques permettent de renforcer la sécurité tout en réduisant la complexité opérationnelle. 

Il est probable que certaines organisations découvrent qu’elles disposeront donc, via leurs licences Microsoft 365, de capacités suffisantes pour remplacer une partie de leur existant. 

Avant de renouveler une solution ou d’investir dans un nouvel outil, prenez le temps de comparer vos besoins réels avec ce qui est désormais inclus dans vos licences.  

Pour finir, l’intégration de ces features va engendrer une légère hausse des tarifs (de l’ordre de 3 $) des bundles.

Le calendrier 2026/27 en un coup d’œil

Avant d’entrer dans le détail, voici les échéances à retenir pour ces trois changements de sécurité Entra ID :

Changement n°1 : la dépréciation des Custom Controls au profit d’External MFA

Custom Controls vs External MFA : ce qui change

Microsoft déprécie la fonctionnalité Custom Controls présente dans les règles d’accès conditionnel, au profit d’External MFA, passée en disponibilité générale le 25 mars 2026. Cette fonctionnalité, anciennement connue sous le nom d’External Authentication Methods (EAM), repose nativement sur OpenID Connect (OIDC). De son côté, Custom Controls permettait d’intégrer un fournisseur MFA tiers (par exemple Cisco Duo) dans le flux d’authentification Entra ID.

Jusqu’à présent, les organisations qui souhaitaient utiliser un fournisseur MFA tiers avec Entra ID avaient deux options :

• Les Custom Controls. Ce mécanisme redirige l’utilisateur vers un service externe lors de l’évaluation de la règle, puis retourne un simple signal binaire. Il ne s’appuie pas sur OIDC, ne génère pas de claim MFA exploitable par Entra ID et ne permet donc pas de satisfaire les politiques Conditional Access exigeant une authentification multifacteur. En pratique, une solution limitée et difficilement pérenne.
• La fédération via AD FS. Le fournisseur MFA tiers s’intégrait directement à l’IdP fédéré. Fonctionnel, mais dépendant d’une infrastructure on-premises que Microsoft pousse les organisations à abandonner.

External MFA apporte une intégration OIDC standardisée : le fournisseur tiers devient une méthode d’authentification reconnue nativement par Entra ID. Le MFA externe peut ainsi satisfaire l’exigence « Require multifactor authentication » dans les politiques d’accès conditionnel.

À noter : la principale limite d’External MFA. External MFA n’est pas compatible (pour le moment) avec les Authentication Strengths. Une méthode MFA externe ne permet donc pas de satisfaire les politiques d’accès conditionnel reposant sur le contrôle « Require authentication strength ».

Calendrier de dépréciation des Custom Controls

Deux échéances structurent la fin de vie des Custom Controls :

• 30 septembre 2026 : les Custom Controls entrent en phase de retrait. Il ne sera plus possible de les adopter pour de nouveaux scénarios, tandis que les configurations existantes resteront fonctionnelles jusqu’à leur suppression définitive.
• Mai 2027 : suppression complète.

Les configurations existantes continueront de fonctionner pendant la période de transition, mais la fenêtre de migration reste courte. Il est recommandé d’anticiper ce changement dès que possible si vous êtes concernés.

Migrer vers External MFA : les actions à mener

Pour préparer cette migration sereinement, plusieurs étapes sont à planifier :

• Inventorier toutes les politiques d’accès conditionnel utilisant des Custom Controls.
• Vérifier la compatibilité de votre fournisseur MFA tiers avec External MFA et récupérer les trois paramètres de configuration :
  • Application ID
  • Client ID
  • Discovery URL
• Créer la méthode External MFA dans Entra ID.
• Déployer en parallèle : créer une nouvelle règle d’accès conditionnel utilisant « Require multifactor authentication » en lieu et place du Custom Control, tester avec un groupe pilote, puis basculer progressivement les utilisateurs vers cette nouvelle règle.

Besoin d’aide ? Microsoft publie deux guides pour vous accompagner : la gestion des méthodes d’authentification externes et la migration des Custom Controls vers External MFA.

Changement n°2 : SSPR, des méthodes d’authentification désormais explicitement enregistrées

SSPR : ce qui change pour vos utilisateurs

C’est probablement le changement au plus fort impact pour vos utilisateurs. Jusqu’à présent, le SSPR (Self-Service Password Reset) permettait à un utilisateur de réinitialiser son mot de passe à partir d’un numéro de téléphone ou d’une adresse e-mail renseignés dans ses attributs d’annuaire.

Ces informations étaient souvent ajoutées automatiquement lors de l’onboarding, sans action explicite de l’utilisateur. Un numéro professionnel saisi par un administrateur pouvait donc suffire à autoriser une réinitialisation de compte, sans validation préalable par l’utilisateur concerné. Cette faiblesse, longtemps acceptée, est désormais corrigée.

À partir du 7 septembre 2026, un numéro de téléphone ou une adresse e-mail renseignés uniquement dans les attributs utilisateur ne permettront plus de réinitialiser un mot de passe via SSPR. Microsoft impose que la réinitialisation de mot de passe en libre-service n’accepte plus que des méthodes explicitement enregistrées par l’utilisateur via l’URL aka.ms/mysecurityinfo. Parmi elles, on retrouve notamment le push MFA via Microsoft Authenticator, le SMS, etc.

Calendrier d’application du nouveau SSPR

La bascule s’effectue en deux temps :

• 6 juillet 2026 : début d’une campagne d’enregistrement automatique. Les utilisateurs affectés sont invités à enregistrer leurs méthodes d’authentification à chaque connexion.
• 7 septembre 2026 : enforcement complet.

Préparer le SSPR : les actions à mener

Pour limiter l’impact sur vos utilisateurs, anticipez les actions suivantes :

• Analyser les méthodes MFA actuellement utilisées depuis le centre d’administration Microsoft Entra, via le rapport d’utilisation des méthodes d’authentification, afin d’identifier les utilisateurs dépendant uniquement d’attributs non enregistrés.
• Activer, si ce n’est pas déjà fait, la campagne d’enregistrement SSPR afin d’inciter les utilisateurs à déclarer leurs méthodes d’authentification dès leur prochaine connexion, sans attendre le 6 juillet.
• Mettre en place un processus d’assistance helpdesk pour accompagner les utilisateurs qui ne peuvent pas s’enregistrer eux-mêmes ou rencontrent des difficultés.

Pour aller plus loin, consultez le guide Microsoft sur la mise en place du SSPR.

Changement n°3 : l’accès conditionnel s’étend à Windows Hello for Business et macOS Platform SSO

Accès conditionnel : ce qui change au provisioning

À compter du 6 juillet 2026, les politiques d’accès conditionnel ciblant l’action utilisateur « Register security information » s’appliqueront aussi à deux flux de provisioning jusqu’ici exclus par défaut :

• le provisioning de Windows Hello for Business ;
• l’enregistrement de macOS Platform Single Sign-On (SSO).

L’action « Register security information » a un rôle spécifique : elle ne protège pas une application, mais l’opération par laquelle un utilisateur enregistre ou modifie ses méthodes d’authentification dans aka.ms/mysecurityinfo.

Jusqu’à cette date, Windows Hello for Business et macOS Platform SSO utilisaient des flux de provisioning distincts, qui échappaient à cette évaluation d’accès conditionnel. Avec cette évolution, Microsoft aligne ces flux sur le même moteur d’évaluation. Lorsqu’un appareil tente de provisionner l’une de ces deux méthodes, Entra ID évalue d’abord les politiques d’accès conditionnel ciblant « Register security information », puis autorise ou bloque la création du passwordless.

Le risque à anticiper. Une politique « Register security information » trop restrictive pourrait empêcher un utilisateur de finaliser la configuration de Windows Hello for Business ou de macOS Platform SSO lors de l’installation de son poste.

Auditer vos politiques : les actions à mener

Deux précautions s’imposent avant l’échéance :

• Auditer vos politiques d’enregistrement et vous assurer que les utilisateurs peuvent répondre aux exigences d’accès conditionnel lors de l’enrôlement et de la configuration de l’appareil.
• Tester ces règles en mode report-only uniquement avant leur application effective, comme le recommande Microsoft.

Conclusion

Testez vos politiques « Register security information » en mode report-only avant le 6 juillet 2026, afin de vérifier qu’elles n’empêchent pas l’enrôlement des appareils.

Ces évolutions confirment une nouvelle fois la direction prise par Microsoft : renforcer les contrôles de sécurité autour des identités tout en supprimant progressivement les mécanismes historiques devenus moins robustes. Même si certaines échéances paraissent encore lointaines, les travaux d’analyse, de communication et de tests doivent commencer dès maintenant. Attendre les dates d’enforcement risquerait de transformer ces changements de sécurité en véritables incidents opérationnels.

À vous de jouer !

Retrouvez l’annonce officielle sur le blog Microsoft Entra.

FAQ : vos questions sur les changements de sécurité Entra ID

Les Custom Controls vont-ils cesser de fonctionner immédiatement ?

Non. À partir du 30 septembre 2026, il ne sera plus possible de les adopter pour de nouveaux scénarios, mais les configurations existantes continueront de fonctionner jusqu’à la suppression complète prévue en mai 2027.

External MFA remplace-t-il totalement la fédération AD FS ?

Pour le cas d’usage d’un fournisseur MFA tiers, oui : External MFA permet d’abandonner la dépendance à une infrastructure on-premises. Attention toutefois, External MFA n’est pas encore compatible avec les Authentication Strengths.

Que se passe-t-il si un utilisateur n’a pas enregistré ses méthodes avant le 7 septembre 2026 ?

À partir de cette date, les numéros ou adresses présents uniquement dans les attributs d’annuaire ne permettront plus de réinitialiser un mot de passe via SSPR. L’utilisateur devra passer par le helpdesk : d’où l’importance d’activer la campagne d’enregistrement en amont.

Comment éviter de bloquer la configuration de Windows Hello for Business ?

Testez vos politiques « Register security information » en mode report-only avant le 6 juillet 2026, afin de vérifier qu’elles n’empêchent pas l’enrôlement des appareils.

Ce guide se concentre sur l’exécution concrète de cette migration : comment cadrer le programme, à quoi ressemble un plan type sur douze à dix-huit mois, comment dérouler les vagues, quels outils mobiliser, combien cela coûte réellement (TCO) et quels pièges éviter.

Google Workspace vers Microsoft 365 : comment cadrer un programme de migration ?

Mettre en place une gouvernance

Un programme de cette ampleur exige d’abord un sponsor exécutif, un bureau de programme (PMO) et un comité de pilotage. Le plus souvent, il mobilise aussi un intégrateur spécialisé en migration vers Microsoft 365. On définit ensuite les indicateurs (taux de migration, incidents, satisfaction), les instances de décision et la gestion des risques. Or, sans portage au bon niveau, le programme s’enlise vite. La première résistance d’une direction métier attachée à Gmail suffit alors à le bloquer.

Auditer l’environnement Google Workspace

L’inventaire dépasse de loin le volume des boîtes Gmail et des fichiers Drive. En effet, il couvre aussi les Drive partagés et leurs permissions, les Google Groups et listes de diffusion, les agendas de ressources et les boîtes partagées. Surtout, il recense tout ce qui ne se migrera pas tel quel : automatisations Apps Script, applications AppSheet, Google Sites et modules du Marketplace. Or il faudra reconstruire ces éléments côté Microsoft (Power Automate, Power Apps, SharePoint). C’est d’ailleurs souvent là que se cachent les vrais blocages.

Préparer l’identité et l’authentification cibles

La cible repose sur Entra ID. D’abord, on provisionne les identités et les licences Microsoft 365, en vérifiant qu’elles couvrent toute la population. Ensuite, on configure les domaines. Enfin, on définit la stratégie d’authentification (SSO/SAML) et le cycle de vie des comptes. Attention : une identité mal préparée bloque l’accès de milliers d’utilisateurs le jour de la bascule.

A lire aussi >> Audit Active Directory : quels sont les points de contrôle clés ?

Segmenter et planifier les vagues

On découpe la population par entité, métier ou géographie, pour migrer par lots cohérents. Ce découpage alimente directement le plan de vagues et la coordination des bascules par région. C’est aussi à ce stade que se décide la durée acceptable de coexistence entre Google Workspace et Microsoft 365, qui pèse lourd sur le budget. 

À quoi ressemble un plan type de migration vers Microsoft 365 (12-18 mois) ?

Les sept phases, du cadrage au décommissionnement

Une migration de Google Workspace vers Microsoft 365 en grand compte s’étale typiquement sur douze à dix-huit mois. Les phases s’enchaînent, mais se chevauchent en partie. Par exemple, la préparation technique commence avant la fin de l’audit. De même, les vagues massives se poursuivent alors qu’on décommissionne déjà les premières entités de Google Workspace. Le tableau ci-dessous donne donc une trame de référence.

Trois repères de pilotage

De ce plan en phases découlent trois repères de pilotage :

• Le pilote est un vrai point de décision. Un pilote raté ne se rattrape pas en accélérant les vagues.
• Les vagues massives concentrent la charge, le risque et la dépense. C’est cette phase qu’il faut sécuriser par l’hypercare.
• Le décommissionnement de Google Workspace, souvent négligé, libère le budget de double licence. Plus il tarde, plus il coûte.

Comment dérouler la mission par vagues ?

Établir la coexistence Gmail / Exchange

On configure l’interopérabilité entre Google Workspace et Microsoft 365 : acheminement du courrier entre Gmail et Exchange Online, synchronisation de l’annuaire global (GAL), partage de disponibilité des agendas (free/busy). Cette coexistence dure de quelques semaines à plusieurs mois, le temps de migrer toute la population sans rompre la collaboration entre utilisateurs déjà sur Outlook et utilisateurs encore sur Gmail.

Piloter puis élargir

On démarre par un pilote représentatif (une centaine d’utilisateurs couvrant plusieurs métiers), puis une vague d’early adopters, avant les vagues massives de plusieurs centaines à plusieurs milliers de comptes. Chaque vague affine les procédures et le dispositif de support.

Pré-migrer puis basculer les données

On déplace en amont le gros des messages Gmail et des fichiers Drive (pré-migration), pour que la bascule finale ne porte que sur le delta récent. Les Drive personnels sont transférés vers OneDrive, les Drive partagés vers des sites SharePoint, en conservant permissions et historique de versions. L’occasion est saisie pour rationaliser l’arborescence plutôt que recopier l’existant.

Coordonner la bascule MX par région

La bascule des enregistrements MX vers Exchange Online se planifie en heures creuses, région par région, avec une durée de vie (TTL) DNS abaissée au préalable. On vérifie immédiatement les flux de courrier entrants et sortants, ainsi que le bon fonctionnement des agendas et du partage de fichiers.

Assurer l’hypercare puis décommissionner

Après chaque vague, une période d’hypercare (support renforcé sur Outlook, Teams et OneDrive) absorbe le pic d’incidents. Google Workspace est conservé au moins trente jours en filet de sécurité, puis décommissionné. La documentation est transférée au support courant et au centre de services.

Quels outils pour migrer vers Microsoft 365 ?

À ce volume, le choix de l’outillage et la maîtrise des limitations d’API (throttling) déterminent la durée du programme. On combine l’outil natif Microsoft et des solutions tierces d’entreprise.

Pour un grand compte, l’outil natif suffit rarement seul : un outil tiers d’entreprise apporte l’ordonnancement des vagues, le pilotage des erreurs et le reporting attendu par le PMO. L’accompagnement d’un intégrateur expérimenté n’est pas un confort mais un facteur de réussite, en particulier sur les environnements multi-domaines.

Combien coûte une migration vers Microsoft 365 ?

Le coût visible et le coût réel (TCO)

Le coût visible est la licence Microsoft 365 et le coût réel (TCO) est bien plus large et se répartit entre des dépenses récurrentes et des dépenses de projet ponctuelles. Les négliger conduit aux dépassements de budget classiques.

Coûts récurrents et coûts de projet : deux logiques à distinguer

Deux logiques cohabitent. Les coûts récurrents (les licences Microsoft 365) se négocient et perdurent après la migration. Les coûts de projet (outils, intégrateur, reconstruction des automatisations, conduite du changement, hypercare) sont ponctuels mais lourds, et c’est sur eux que se jouent les dépassements.

Exemple chiffré pour 5000 utilisateurs

Un exemple chiffré, à titre purement indicatif : pour 5 000 utilisateurs, les seuls outils de migration représentent de l’ordre de 50 000 à 75 000 € en one-shot (sur une base de 10 à 15 € par boîte), un montant à mettre en regard de postes généralement supérieurs comme l’intégrateur et la conduite du changement. Le levier de maîtrise le plus efficace reste la fenêtre de coexistence : chaque mois de double licence évité réduit directement la facture. À l’inverse, les deux postes les plus souvent sous-estimés sont la conduite du changement et la reconstruction des automatisations Google (Apps Script, AppSheet), qui ne figurent sur aucune facture éditeur mais conditionnent l’adoption et la continuité métier.

Quels sont les pièges d’une sortie de Google Workspace ?

Une sortie de Google Workspace concentre des risques spécifiques, à inventorier dès l’audit. Les sept principaux :

• Les automatisations Google non migrables. Apps Script, AppSheet et Google Sites ne se transfèrent pas vers Microsoft 365 : ils doivent être reconstruits (Power Automate, Power Apps, SharePoint). À inventorier dès l’audit, car c’est le blocage le plus coûteux.
• Les libellés Gmail mal mappés. Un message porteur de plusieurs libellés se retrouve dupliqué dans Outlook, qui raisonne en dossiers et catégories. À anticiper pour éviter la confusion des utilisateurs.
• Les Drive partagés vers SharePoint. Recopier les Drive partagés sans repenser l’arborescence reproduit, voire amplifie, les problèmes d’accès. Profitez de la migration pour rationaliser.
• La fidélité documentaire. Docs, Sheets et Slides sont convertis vers Word, Excel et PowerPoint : il faut contrôler la mise en forme et les formules complexes, et prévoir la bascule des usages vers les formats Office.
• La synchronisation d’identité et le SSO. Un provisionnement Entra ID mal préparé bloque l’accès de populations entières le jour de la bascule. C’est le risque le plus critique à l’échelle.
• L’archivage légal et la conformité. Rétention, eDiscovery et DLP de Google Vault doivent être réimplémentés dans Microsoft Purview, sous peine de rupture de conformité dans les secteurs régulés.
• Le coût de la coexistence et la conduite du changement. Payer les deux suites pendant des mois pèse sur le budget ; et faire adopter Outlook, Teams et OneDrive à des utilisateurs habitués à Gmail et Drive suppose un dispositif d’accompagnement dimensionné.

FAQ : migration Google Workspace vers Microsoft 365

Combien de temps dure la migration en grand compte ?

De douze à dix-huit mois en moyenne, selon le volume, le nombre de domaines et la complexité des automatisations Google à reconstruire. Le déroulé par vagues et la coexistence Gmail / Exchange étalent la migration pour préserver la continuité de service.

Que deviennent les Google Docs, Sheets et Apps Script ?

Les documents sont convertis vers les formats Office (Word, Excel, PowerPoint), avec un contrôle de mise en forme à prévoir. En revanche, les automatisations Apps Script, les applications AppSheet et les Google Sites ne se migrent pas : ils doivent être reconstruits côté Microsoft (Power Automate, Power Apps, SharePoint).

Comment estimer le budget du programme ?

En raisonnant en TCO : licences Microsoft 365, double licence pendant la coexistence, outils de migration, intégrateur, effort interne, reconstruction des automatisations, conduite du changement et hypercare. Les postes les plus sous-estimés sont la conduite du changement et la reconstruction des automatisations Google.

La double licence pendant la coexistence est-elle inévitable ?

Oui en partie : pendant la coexistence, Google Workspace et Microsoft 365 sont payés en parallèle. L’enjeu est de comprimer cette fenêtre autant que la conduite du changement et la capacité de migration le permettent, car chaque mois évité réduit directement la facture.

Faut-il un intégrateur ou peut-on le faire en interne ?

À cette échelle, l’accompagnement d’un intégrateur spécialisé est fortement recommandé, surtout en multi-domaines. Les équipes internes restent indispensables pour la gouvernance, l’identité et la conduite du changement.

Parmi les nombreuses annonces surtout orientées Dev et IA, trois sujets retiennent particulièrement mon attention en tant qu’ingénieur / Architecte Modern Workplace : Windows 365 Developer, Microsoft Scout et les nouvelles innovations matérielles Surface. 

Je vais donc vous donner dans cet article quelques infos sur ces nouveautés.

Windows 365 Developer Configuration : le cloud PC pour les développeurs

Un environnement de développement prêt en quelques minutes

L’une des annonces les plus remarquées est l’arrivée de Windows 365 Developer Configuration, actuellement disponible en préversion publique. Microsoft souhaite simplifier la mise à disposition d’environnements de développement complets directement dans le cloud via un cloud PC Windows 365. 

L’objectif principal est clair : permettre aux développeurs de disposer en quelques minutes d’un environnement de développement prêt à l’emploi, géré par Intune et sécurisé sans dépendre du poste physique utilisé. 

Actuellement, les organisations mettent à disposition un poste physique avec des capacités élevées pour répondre aux besoins des développeurs, Windows 365 Developer Configuration pourra donc permettre aux organisations de leur mettre un cloud PC Windows 365 avec le SKU adéquat à disposition pour leur développement et un PC physique à configuration standard.

Parmi les bénéfices annoncés :

• Provisionnement rapide d’environnements de développement standardisés avec un socle applicatif intégré (VsCode, Git, NodeJS) et custom avec l’intégration d’Autopilot Device Preparation
• Intégration native avec GitHub, Azure et les outils Microsoft Developer
• Isolation complète des environnements de travail
• Plus besoin de passer des heures à préparer un environnement de développement

Gouvernance et gestion centralisée

Pour les organisations, cette approche ouvre la voie à une meilleure gouvernance des environnements de développement Windows 365, tout en réduisant les contraintes liées à la gestion des postes locaux. Grâce à l’intégration native avec Microsoft Intune, les équipes IT conservent un contrôle total sur les politiques de sécurité, les applications déployées et la conformité des environnements.

Microsoft confirme ainsi que Windows 365 ne se limite plus au simple poste de travail virtuel : il devient une véritable plateforme cloud pour le développement.

Microsoft Scout : le premier agent Autopilot autonome de Microsoft 365

Un agent autonome qui agit sans être sollicité

Scout est sans doute l’annonce la plus inattendue côté productivité de Microsoft Build 2026. Microsoft a introduit une nouvelle catégorie d’agents qu’il appelle les agents Autopilot : des agents toujours actifs, dotés d’une identité Entra ID propre à eux, capables d’agir en votre nom sans attendre d’être invoqués explicitement.

Scout est le premier agent Autopilot conçu par Microsoft. Contrairement à Copilot qui répond à vos questions, Scout est autonome : il surveille, anticipe et agit en arrière-plan dans l’ensemble des applications Microsoft 365 : Outlook, Teams, OneDrive…

Il pourra par exemple :

• Préparer des réunions
• Générer des synthèses de conversation
• Rechercher des informations dispersées dans plusieurs outils
• Effectuer certaines actions sans intervention humaine

Scout repose sur OpenClaw, le runtime agent open source, et s’intègre avec les politiques Microsoft Purview et Microsoft Intune.

Scout est déjà accessible aujourd’hui via le programme Frontier avec une licence GitHub Copilot. Aucune information n’a été communiquée sur le futur mode de licensing de cet agent, à suivre.

Une configuration est nécessaire pour activer la fonctionnalité via Intune : Configuration de Microsoft Scout via Intune

Gouvernance et contrôle IT : ce que ça implique pour vos équipes

Pour les équipes IT, l’arrivée d’un agent autonome comme Scout soulève des enjeux concrets de gouvernance, de sécurité et de contrôle des données — un sujet déjà abordé dans le cadre du déploiement de Microsoft Copilot. Il sera notamment nécessaire de définir les périmètres d’action de l’agent, les données auxquelles il peut accéder et les actions qu’il est autorisé à effectuer. Les politiques Microsoft Purview et Intune seront vos principaux leviers de contrôle.

Pour en savoir plus : Introducing Microsoft Scout – Blog Microsoft 365

Surface Laptop Ultra et RTX Spark Dev Box : le nouveau hardware IA de Microsoft

Surface Laptop Ultra

Microsoft a dévoilé le nouveau Surface Laptop Ultra, un appareil haut de gamme conçu pour les développeurs, créateurs et utilisateurs intensifs de l’IA. C’est le premier laptop Surface à cibler les développeurs et créateurs qui cherchent une alternative portable Windows au MacBook Pro.

Parmi les caractéristiques marquantes :

• Jusqu’à 128 Go de mémoire RAM unifiée
• Nouvelle puce RTX Spark développée avec NVIDIA
• Écran Mini-LED haute luminosité
• Capacités avancées de traitement IA local
• Optimisation pour les modèles d’IA exécutés directement sur le poste

>> Découvrir le Surface Laptop Ultra

Surface RTX Spark Dev Box

Microsoft a également présenté la Surface RTX Spark Dev Box, une station de travail compacte dédiée aux développeurs IA.

Cette machine cible particulièrement :

• Le développement d’agents IA
• Le prototypage rapide de solutions IA

La Dev Box s’oppose directement au Mac Studio d’Apple sur le marché des workstations compactes hautes performances pour développeurs.

>> Découvrir la Surface RTX Spark Dev Box

Microsoft Build 2026 : ce qu’il faut retenir

Les annonces de Microsoft Build 2026 montrent une stratégie cohérente : permettre aux développeurs de créer des agents IA plus facilement, aux entreprises de les gouverner via Intune et Microsoft Purview, et aux utilisateurs de déléguer une partie croissante de leurs tâches quotidiennes à des agents autonomes comme Scout.

Pour les équipes IT et Modern Workplace, une question se pose désormais : comment préparer dès aujourd’hui son environnement Windows, Intune et Microsoft 365 à accueillir cette nouvelle génération d’agents autonomes ?

Nom du poste, version de l’OS, constructeur, quelques informations générales : suffisant pour une gestion basique, mais loin du niveau de granularité qu’attendaient les équipes Modern Workplace habituées à des outils comme SCCM. Ces mêmes équipes devaient jusqu’alors développer des solutions sur base d’Azure Log Analytics ou Power BI pour espérer obtenir un semblant d’équivalent.

Avec l’arrivée de l’Enhanced Hardware Inventory puis du nouvel App Inventory, Microsoft change clairement la donne et rapproche encore un peu plus Intune d’un véritable outil d’inventaire avancé moderne, et de SCCM.

La fin de l’inventaire Microsoft Intune « minimaliste »

Historiquement, Intune remontait surtout des informations standards :

• Le modèle du poste
• La version Windows
• Les informations de conformité
• Les applications découvertes, de manière assez limitée et à une fréquence trop faible

Le problème ? Pour les équipes IT, cela ne suffisait plus pour répondre à des besoins concrets :

• Identifier précisément un matériel spécifique
• Vérifier des configurations
• Suivre les architectures CPU
• Récupérer des détails applicatifs avancés
• Obtenir des données exploitables rapidement

C’était d’ailleurs l’un des arguments souvent utilisés pour maintenir une infrastructure SCCM en cogestion avec Microsoft Intune. Mais ça, c’est de l’histoire ancienne

Enhanced Hardware Inventory : Intune franchit un premier cap

Vue d’ensemble

Avec l’Enhanced Hardware Inventory, Microsoft introduit une collecte beaucoup plus riche des informations matérielles directement depuis les appareils gérés.

L’objectif est clair : offrir une visibilité détaillée sans dépendre de scripts PowerShell complexes, d’outils tiers, ou d’une infrastructure MECM complète.

Microsoft a d’abord introduit cette fonctionnalité sur Windows avant de l’étendre progressivement à macOS, iOS, iPadOS et Android.

Ce que l’on peut désormais remonter

Grâce au Properties Catalog d’Intune, il est possible de choisir précisément les informations à inventorier. Exemples de données désormais accessibles :

• Informations TPM
• Détails BIOS / UEFI
• Caractéristiques CPU
• Chiffrement BitLocker

Et surtout : les données sont consultables directement dans le Resource Explorer / Device Inventory d’une fiche appareil.

Activation via le Properties Catalog

L’activation repose sur une logique désormais classique dans Intune :

1. Création d’un profil de configuration
2. Utilisation du Properties Catalog
3. Sélection des propriétés souhaitées
4. Déploiement sur les appareils ciblés

Prérequis Windows

Avant de déployer l’Enhanced Hardware Inventory, assurez-vous que vos appareils répondent aux conditions suivantes :

App Inventory : le vrai changement stratégique

Ce que le nouvel inventaire applicatif apporte réellement

La vraie évolution majeure concerne le nouvel App Inventory pour Windows.

Pendant des années, la fonctionnalité Discovered Apps d’Intune souffrait de plusieurs limites : un rafraîchissement lent et des métadonnées très pauvres. Microsoft vient de lancer son remplaçant.

Le nouvel App Inventory collecte bien plus d’informations que l’ancien système. Par exemple :

Information	Disponibilité
Chemin d’installation
Taille de l’application
Date d’installation
Commande de désinstallation

Le tout avec une logique de collecte incrémentielle, afin de réduire la consommation réseau et améliorer la rapidité des remontées, plusieurs fois par jour.

A lire aussi : « Intune : gérer les mises à jour d’applications Windows »

Activation

La fonctionnalité n’est pas active par défaut. Elle s’active au même endroit que l’Enhanced Hardware Inventory, dans le Properties Catalog, en sélectionnant le champ Application properties.

Prérequis Windows

Avant d’activer le nouvel App Inventory, vérifiez que vos appareils respectent les conditions suivantes, plus restrictives que pour l’Enhanced Hardware Inventory :

Pourquoi c’est important pour les équipes IT

Sécurité

• Meilleure visibilité sur les logiciels installés
• Détection plus rapide des applications non autorisées
• Suivi plus précis des versions vulnérables

Gouvernance

• Meilleure connaissance du parc
• Rationalisation des licences
• Suivi des usages

Support

• Diagnostic plus rapide
• Informations centralisées

Intune se rapproche progressivement de MECM

Microsoft ne cache plus vraiment sa stratégie : faire d’Intune une plateforme de gestion moderne capable de couvrir progressivement les usages historiquement réservés à Microsoft Configuration Manager.

Même si certaines limites existent encore :

• Peu de filtrage avancé dans les rapports
• Groupes dynamiques Entra non exploitables avec ces données
• APIs encore incomplètes
• Absence de collecte registre / WMI avancée

La direction prise est néanmoins très claire.

Pour aller plus loin : Passez de SCCM à Intune sans rupture

Conclusion

Avec l’Enhanced Hardware Inventory et le nouvel App Inventory, Microsoft Intune franchit une étape importante dans sa maturité. On passe progressivement d’un inventaire « cloud basique » à une vraie plateforme d’observabilité du poste de travail.

Et surtout, Microsoft répond enfin à un besoin historique des équipes IT : avoir une visibilité détaillée, rapide et centralisée sur leurs appareils… sans dépendre systématiquement d’une infrastructure SCCM complète.

Pour beaucoup d’organisations, cela pourrait devenir un argument supplémentaire pour accélérer la transition vers un modèle full Intune. En tout cas, on l’espère fortement !

Vos questions sur l’inventaire Microsoft Intune

L’App Inventory Intune fonctionne-t-il sur Windows 10 ?

Non. Le nouvel App Inventory est réservé aux appareils Windows 11 joints à Entra ID. Les appareils Windows 10 ne sont pas pris en charge pour cette fonctionnalité.

L’Enhanced Hardware Inventory est-il disponible sur iOS et Android ?

Oui. Microsoft a progressivement étendu l’Enhanced Hardware Inventory à macOS, iOS, iPadOS et Android, après son lancement initial sur Windows.

Ces fonctionnalités nécessitent-elles une licence Intune spécifique ?

Elles sont disponibles dans le cadre des licences Intune standard (Plan 1). Vérifiez toutefois les conditions exactes dans la documentation Microsoft, qui peut évoluer.

Par conséquent, Microsoft Intune s’impose aujourd’hui comme la réponse cloud-native de référence pour piloter les postes Windows à grande échelle, où que soient vos collaborateurs.

Qu’est-ce que Microsoft Intune ?

Une solution de gestion unifiée des terminaux

Imaginez un tableau de bord depuis lequel vous pouvez voir et contrôler tous les appareils de votre entreprise (ordinateurs, téléphones, tablettes) peu importe où ils se trouvent dans le monde. C’est exactement ce que propose Microsoft Intune. Il permet aux équipes IT de gérer l’ensemble du parc informatique depuis un seul endroit, sans avoir à toucher physiquement chaque appareil.

Ainsi, plus besoin que tout le monde soit au bureau ou connecté au réseau de l’entreprise : Intune fonctionne à distance, dans le cloud, en permanence. Peu importe si un collaborateur travaille depuis Lyon, Singapour ou son domicile.

Intune, un bouclier à votre entreprise

Intune vérifie en continu que chaque appareil connecté au réseau de l’entreprise respecte bien les règles de sécurité définies : mot de passe activé, système à jour, applications autorisées.

Si un téléphone ne remplit pas ces critères, il peut automatiquement être bloqué ou isolé, sans que personne n’ait à intervenir manuellement.

Pour les entreprises qui manipulent des données sensibles, c’est une tranquillité d’esprit considérable : Intune surveille là où l’œil humain ne peut pas être partout.

Les trois modes d’enrôlement sous Windows

Avant de gérer un poste avec Intune, il doit être enrôlé. Microsoft propose trois scénarios adaptés à chaque contexte organisationnel :

• Microsoft Entra Registered : pour les postes personnels (BYOD). L’appareil est simplement enregistré, sans être entièrement géré par l’entreprise.
• Microsoft Entra Joined : pour les postes d’entreprise intégrés directement dans Microsoft Entra ID (anciennement Azure AD) et inscrits dans Intune. Approche cloud-native recommandée pour les nouveaux déploiements.
• Microsoft Entra Hybrid Joined : pour les postes d’entreprise intégrés dans un Active Directory on-premise, synchronisé dans Microsoft Entra ID, puis inscrit dans Intune. Adapté aux environnements en cours de migration vers le cloud.

Cette flexibilité permet à Intune de s’adapter aussi bien aux environnements entièrement cloud qu’aux configurations hybrides exploitant une infrastructure Active Directory existante.

Pourquoi adopter et maîtriser Intune ?

Configuration des postes de travail

Gérer des dizaines, voire des centaines d’appareils un par un, c’est une réalité que beaucoup d’équipes IT connaissent encore trop bien et qui coûte un temps précieux. Intune change fondamentalement cette logique. Ainsi, plutôt que d’intervenir poste par poste, vous déployez des configurations, des applications et des règles de sécurité à distance, en quelques clics, sur l’ensemble du parc.

Un collaborateur arrive dans l’entreprise ? Son poste est déjà prêt. Un appareil est perdu ou volé ? Vous le bloquez ou l’effacez à distance, instantanément.

Concrètement, maîtriser Intune, c’est passer d’une gestion réactive et chronophage à une approche proactive et centralisée et retrouver du temps pour ce qui compte vraiment dans votre métier.

Pour en savoir plus : Livre blanc : gérer ses appareils Windows avec Intune

Les pressions réglementaires qui accélèrent l’adoption

Au-delà de l’efficacité opérationnelle, des exigences réglementaires poussent les entreprises à adopter des solutions de gestion plus rigoureuses :

ISO 27001 : inventaire temps réel, politiques d’application uniformes et traçabilité complète… Autant de prérequis qu’Intune facilite nativement.

RGPD : capacité à démontrer la conformité du parc, à effacer les données à distance, à tracer les accès.

Directive NIS2 : exigences de sécurité renforcées pour les opérateurs de services essentiels et les entités importantes, incluant la gestion des endpoints.

Les nouvelles trajectoires IT avec Intune

Microsoft Intune s’est imposé comme le socle incontournable de la gestion moderne des postes de travail. Utiliser Intune ne signifie pas simplement acquérir un nouvel outil. C’est l’occasion de se former et de pivoter vers des rôles plus stratégiques (Modern Workplace Engineer, Cloud Endpoint Specialist ou encore consultant Microsoft 365).

Une formation structurée sur Intune permet de : maîtriser l’enrôlement des appareils, la gestion des politiques de conformité, le déploiement applicatif et la sécurité des endpoints. Autant de compétences qui ouvrent la voie à des missions à plus forte valeur ajoutée.

Nos webinars sur le sujet : ICI

Les bénéfices concrets pour les équipes IT

Intégration native avec l’écosystème Microsoft 365

L’un des avantages décisifs d’Intune réside dans son intégration native avec l’ensemble de la suite Microsoft. Cette cohérence permet une politique de sécurité unifiée sur tout le système d’information :

• Windows Autopatch : automatisation avancée des mises à jour Windows, Microsoft 365 Apps, Edge et Teams, avec reporting consolidé dans la console Intune.
• Microsoft Entra ID (Azure AD) : gestion des identités, accès conditionnel, groupes dynamiques qui pilotent automatiquement les politiques Intune.
• Microsoft Defender for Endpoint : les signaux de menace remontent directement dans Intune pour déclencher des actions automatisées (isolation d’un poste compromis, remédiation).
• Microsoft Purview : classification des données, DLP, conformité réglementaire intégrée à la gestion des appareils.

Cas d’usage clés avec Intune

Quelques articles pour aller plus loin :

Intune : gérer les mises à jour des applications Windows

Hardening Windows : sécuriser efficacement les environnements modernes avec Intune

Intune : gérer la sécurité des appareils en zéro trust

Notre formation Intune

Le parcours formation Intune

En conclusion, se former à Intune, c’est investir dans une compétence directement applicable en entreprise.

Il existe un parcours structuré, des ressources officielles de qualité, et des formations pratiques qui permettent de monter rapidement en compétences.

Financement : CPF, OPCO et plan de développement des compétences IT

L’ADN de Synapsys repose sur l’expertise terrain. Nos formateurs ne sont pas uniquement des théoriciens. Ce sont des consultants qui interviennent quotidiennement sur des missions de gouvernance IT, de sécurisation de scripts et d’architecture Cloud.

• Pédagogie par l’exemple : Nos cas pratiques sont issus de problématiques réelles rencontrées chez nos clients.
• Accompagnement sur mesure : Nous adaptons nos contenus à votre environnement technique (Azure, Intune, On-premise).
• Qualité reconnue : Synapsys est un organisme de formation certifié, garantissant une prise en charge optimale par vos OPCO.

FAQ sur la formation Intune

À qui s’adresse cette formation ?

Cette formation Intune s’adresse principalement à des profils IT intermédiaires.

Des administrateurs systèmes, des administrateurs réseaux ou des techniciens souhaitant évoluer vers la gestion moderne des postes de travail.
Une bonne connaissance de Windows, Active Directory et Azure AD est recommandée.

Quelle est la durée de la formation ?

La formation dure 2 jours (14 heures), en présentiel ou en distanciel

Quel est l’objectif principal de cette formation ?

Cette formation vise à transformer la gestion traditionnelle des parcs informatiques vers le modèle Modern Workplace.

Ainsi, l’objectif est de vous apprendre à déployer, sécuriser et gérer des postes de travail Windows de manière centralisée et automatisée grâce à Microsoft Intune.

Comment se déroule la formation (Format) ?

Synapsys privilégie généralement une approche pratique :

Théorie et retours d’expérience : Les formateurs sont des consultants actifs qui partagent des cas concrets rencontrés en entreprise.

Travaux pratiques : Une large part est accordée à la manipulation dans des environnements de test pour configurer les outils.

Qu’est-ce que PowerShell ?

Un langage pensé pour l’administration système

PowerShell est un interpréteur de commandes et un langage de script développé par Microsoft. Et, contrairement à l’invite de commandes classique (CMD), il a été conçu spécifiquement pour l’administration système. Il vous permet d’interagir avec l’ensemble des composants Windows via une syntaxe claire, cohérente et lisible.

Là où CMD se contente d’exécuter des commandes brutes renvoyant du texte, PowerShell expose une API complète du système d’exploitation, ce qui le rend incomparablement plus puissant pour les scénarios d’administration IT.

La manipulation d’objets

Sa grande particularité : PowerShell manipule des objets. Chaque résultat peut être filtré, trié, transformé et exporté directement. C’est précisément ce qui le rend si puissant pour les tâches d’administration système.

Concrètement, lorsqu’on interroge la liste des services Windows, PowerShell ne renvoie pas une chaîne de texte. Il renvoie une collection d’objets « service » sur lesquels on peut appliquer des filtres, des tris, des exports vers Excel ou des alertes email, le tout en quelques lignes.

Un apprentissage accessible aux profils IT

Et surtout : PowerShell n’est pas réservé aux développeurs. En effet, un administrateur système, un technicien N2 ou un ingénieur cloud peut tout à fait maîtriser les premières commandes utiles en quelques heures. À qui s’adresse les formations d’initiation à PowerShell ?

Contrairement à Python ou à des langages généralistes, PowerShell a une prise en main rapide pour les profils IT. Vos techniciens n’ont pas besoin de devenir développeurs, ils ont besoin d’un outil pensé pour eux.

C’est là toute la force de PowerShell : il offre une progression naturelle, du script le plus simple jusqu’au pipeline le plus élaboré.

Pourquoi maîtriser PowerShell ?

Un socle commun pour tout l’écosystème Microsoft

Maîtriser PowerShell, c’est bien plus que savoir écrire un script. Une fois les bases acquises, cette compétence s’étend naturellement à l’ensemble de votre infrastructure. Des modules officiels existent pour Azure, Microsoft 365, Exchange, Teams, VMware, et des centaines d’autres technologies.

Concrètement, le même raisonnement, écrire une commande, filtrer un résultat, boucler sur une liste, s’applique que vous administriez un serveur on-premise, un tenant Azure AD ou un environnement Exchange hybride. Le langage est universel dans l’écosystème Microsoft.

Contrairement à un outil tiers ou à une solution propriétaire qui peut devenir obsolète, les compétences PowerShell s’accumulent et se réutilisent. Un script écrit aujourd’hui pour gérer des comptes Active Directory peut être adapté demain pour Entra ID avec quelques modifications mineures.

Les bénéfices concrets de PowerShell

Se former à de nouvelles trajectoires IT et à un marché de l’emploi demandeur

Plus votre organisation adopte de services cloud Microsoft, plus PowerShell devient incontournable. C’est le langage natif de l’écosystème : toutes les opérations d’administration en masse sur Azure, Intune, Teams ou Exchange Online passent par des cmdlets PowerShell. Ainsi, se former aujourd’hui, c’est anticiper la trajectoire de votre environnement IT.

Egalement, les enjeux d’automatisation ne cessent de croître avec la complexification des environnements IT. Les entreprises qui prennent ce virage gagnent en agilité, réduisent leurs coûts opérationnels et améliorent leur qualité de service. À l’inverse, celles qui restent sur des processus manuels s’exposent à des pertes de temps, des erreurs humaines et des risques accrus.

Les cas d’usage avec PowerShell

Une montée en compétence rapide

Pour un administrateur système ou un technicien IT, PowerShell ouvre la porte à un large éventail de tâches automatisables au quotidien.

Voici quelques exemples concrets et immédiatement applicables :

• Créer ou désactiver des comptes utilisateurs en masse dans Active Directory
• Générer des rapports d’inventaire matériel ou logiciel sur tout un parc
• Surveiller l’état des services et déclencher des alertes automatiques par email
• Gérer des licences et des groupes Microsoft 365 à distance
• Planifier des tâches récurrentes (sauvegardes, nettoyages, exports) sans intervention manuelle
• Déployer des configurations sur plusieurs postes simultanément
• Vérifier la conformité des machines par rapport à une baseline de sécurité

L’automatisation avec PowerShell

Pour aller plus loin, visionnez le replay de notre webinar sur l’automatisation Intune avec notamment PowerShell, Microsoft Graph API et Scripts

Se former sur PowerShell

Des compétences opérationnelles accessibles rapidement

Débuter avec PowerShell ne demande pas de tout apprendre d’un coup. Cela demande de comprendre la logique des objets, de prendre en main le pipeline, et de s’ancrer dans des cas d’usage réels dès les premières heures. Le reste vient naturellement, à condition d’être accompagné sur ce qui compte vraiment : la robustesse des scripts, les bonnes pratiques de sécurité, et les réflexes professionnels.

Financement : CPF, OPCO et plan de développement des compétences IT

L’ADN de Synapsys repose sur l’expertise terrain. Nos formateurs ne sont pas uniquement des théoriciens, ce sont des consultants qui interviennent quotidiennement sur des missions de gouvernance IT, de sécurisation de scripts et d’architecture Cloud.

• Pédagogie par l’exemple : Nos cas pratiques sont issus de problématiques réelles rencontrées chez nos clients.
• Accompagnement sur mesure : Nous adaptons nos contenus à votre environnement technique (Azure, Intune, On-premise).
• Qualité reconnue : Synapsys est un organisme de formation certifié, garantissant une prise en charge optimale par vos OPCO.

FAQ sur la formation PowerShell

Quelle est la durée d’une formation PowerShell ?

La formation se déroule sur 2 jours consécutifs (14 heures), avec une alternance de cours et d’ateliers pratiques.

Quels sont les prérequis pour suivre une formation PowerShell ?

Aucune expérience en scripting n’est nécessaire : il suffit de savoir administrer Windows au quotidien (Active Directory, interface graphique, outils système). Si vous êtes technicien N2 ou administrateur systèmes en poste, vous avez déjà le niveau requis pour démarrer.

Y a-t-il une suite à cette formation pour aller plus loin ?

Absolument. Synapsys Academy propose également une formation PowerShell niveau avancé. Elle couvre la création de modules, l’optimisation de scripts et l’industrialisation de vos automatisations en environnement de production.

Quelle est la différence entre une formation PowerShell débutant et avancée ?

La formation initiation s’adresse à ceux qui n’ont jamais scripté, elle vise à maîtriser les fondamentaux pour automatiser les tâches courantes. Tandis que le niveau avancé cible les administrateurs déjà utilisateurs de PowerShell qui souhaitent industrialiser leurs scripts, créer des modules réutilisables et les intégrer dans des pipelines DevOps.

Reçoit-on un support de cours après la formation ?

Oui. Chaque participant repart avec un support de cours complet, les scripts développés pendant les ateliers, et un accès à notre base de ressources documentaires pour continuer à progresser après la formation.

L’automatisation c’est une stratégie. En maîtrisant PowerShell, vous réduisez les erreurs humaines, gagnez un temps précieux et valorisez votre profil sur le marché de l’emploi IT.

Prêt à transformer votre manière de travailler ? Consultez notre catalogue complet de formations et contactez nos experts pour élaborer votre plan de formation personnalisé.

Deadline juin 2026 : pourquoi il faut agir immédiatement

Les premiers certificats arrivent à expiration en juin 2026 et d’autres phases d’expiration sont prévues jusqu’en octobre 2026. La mise à jour des certificats Secure Boot peut nécessiter plusieurs redémarrages, ajouté à cela, le redémarrage pour la mise à jour BIOS, c’est donc maintenant qu’il faut agir.

Risques en cas d’inaction sur les certificats Secure Boot

L’absence de mise à jour n’entraîne pas une panne immédiate, mais place les postes dans un état de sécurité dégradé : incapacité d’accepter les futures mises à jour de SecureBoot, incompatibilité progressive avec les mises à jour Windows et exposition accrue aux attaques ciblant la phase de démarrage.

Prérequis incontournable : la mise à jour du BIOS avant les certificats Secure Boot

La mise à jour des certificats Secure Boot nécessite un firmware UEFI compatible. Les constructeurs ont publié les BIOS requis pour la majorité des modèles 2018–2025. La mise à jour BIOS est donc un prérequis incontournable mais souvent sous-estimé. Nous verrons plus bas comment automatiser cette partie.

Les recommandations de Microsoft sur ce sujet « Certificat Secure Boot » sont claires : traitez cela comme un mini projet.

Sur le papier, cela semble assez simple. En pratique ? C’est loin d’être le cas.

Vous ne pouvez pas déployer les nouveaux certificats de démarrage sécurisé tant que votre parc poste de travail n’est pas réellement prêt à les accepter.

C’est là que les problèmes commencent. Car pour cela :

• Vous avez besoin de visibilité sur votre parc d’appareils.
• Vous avez besoin de signaux précis, de remontées d’inventaire.

Inventaire du parc : les questions clés auxquelles vous devez répondre

• Combien d’ordinateurs ont le démarrage sécurisé activé ?
• Combien d’ordinateurs utilisent UEFI mais ont désactivé le démarrage sécurisé ?
• Combien d’entre eux utilisent encore un BIOS non UEFI ?
• Quels appareils utilisent déjà les CA 2023 par rapport à ceux qui utilisent encore celles de 2011 ?
• Quels modèles/gammes d’ordinateurs nécessitent une mise à jour BIOS pour fonctionner correctement avec la chaîne 2023 ?

Sur cette dernière question, les constructeurs ont publié des pages avec des informations utiles :

• LENOVO : https://support.lenovo.com/us/en/solutions/ht518129
• HP : https://support.hp.com/us-en/document/ish_13070353-13070429-16
• DELL : https://www.dell.com/support/kbdoc/en-us/000390990/secure-boot-transition-faq

Option 1 : Inventaire et remédiation des certificats Secure Boot avec Microsoft Intune

Inventaire Secure Boot avec Intune

Le rapport Secure Boot Status dans Intune

Un rapport nommé « Secure Boot Status » est disponible dans le portail Intune : Reports > Windows quality updates > Reports > Secure Boot status

Il offre une vue rapide au niveau de l’appareil, indiquant si le démarrage sécurisé est activé et si les certificats de démarrage sécurisé de l’appareil sont à jour, aidant ainsi les administrateurs informatiques à identifier les machines qui nécessitent la mise à jour du certificat 2023 avant l’expiration des anciens certificats.

Ce rapport permet d’obtenir une vue d’ensemble mais est dépendant notamment des données de télémétrie remontées par les ordinateurs.

Une autre approche est préconisée et Microsoft nous y engage clairement en fournissant les ressources nécessaires : L’utilisation d’un script de remédiation en mode détection pour auditer et répondre à toutes les questions que nous nous sommes posées au début. A ce stade, aucune modification n’est poussée sur les postes.

Vous trouverez le script par ici.

Signaux remontés par le script d’inventaire Secure Boot

Le script remonte notamment les signaux suivants :

• Activation du Secure Boot ou non
• Présence du nouveau certificat Windows UEFI CA 2023
• Version BIOS
• Valeur de la clé UEFICA2023Status : NotStarted / InProgress / Updated qui permet de savoir l’état de la mise à jour de ces certificats.

Les résultats sont exportables en CSV depuis le portail d’administration Intune pour une analyse via Excel ou PowerBI et ainsi faire de jolis tableaux de bord de suivi.

Les données sorties de cet export vous permettront de savoir précisément le pourcentage d’ordinateurs où le démarrage sécurisé est désactivé, ceux qui nécessitent une mise à jour BIOS (même si mon conseil sera de ne pas faire d’exception sur ce point) et ceux où la mise à jour des certificats est déjà faite.

Signaux de conformité : comment savoir si un poste est à jour ?

Les signaux qui montrent qu’un ordinateur est bien conforme vis-à-vis de ces certificats sont :

• Clé de registre UEFICA2023Status = Updated
• Clé de registre UEFICA2023Error = 0
• Event log Event 1808 présent

Remédiation Secure Boot avec Intune

Mise à jour du BIOS via Intune

Vous pouvez utiliser les outils bien connus qui sont pour :

• HP : HP Image Assistant : https://support.hp.com/fr-fr/document/ish_7636715-7671061-16
• Dell : DELL Command Update : https://www.dell.com/support/kbdoc/fr-fr/000177325/dell-command-update

Des outils comme HP Image Assistant permettent la mise à jour du BIOS à distance et gèrent aussi la partie « Bitlocker ». C’est-à-dire que Bitlocker est suspendu automatiquement dans le cadre d’une mise à jour BIOS. Une barrière en moins !

Je vous laisse quelques liens sur cette partie qui peuvent vous être utiles :

• https://developers.hp.com/hp-client-management/blog/using-hp-image-assistant-microsoft-endpoint-manager
• https://scloud.work/hp-driver-intune/
• https://evil365.com/dell/UpdateDriversBIOS-DellCommandUpdate/

Déploiement des certificats Secure Boot 2023 via Intune

Utilisation d’un profil de configuration de type « Settings Catalog »

Le document officiel de Microsoft confirme que le catalogue des paramètres Intune est une méthode entièrement prise en charge pour gérer et contrôler le déploiement du certificat Secure Boot 2023 dans un environnement d’entreprise.

A lire aussi : Configurer la mise à jour des certificats Secure Boot qui expire en 2026 rapidement grâce à Microsoft Intune

Utilisation d’un script ou d’un script de remédiation

Il se peut sur certains environnements que le profil de configuration ci-dessus entre en erreur, dans ce cas, la configuration en utilisant des clés de registre est tout à fait possible.

Je vous invite à jeter un œil à ce repo GitHub qui contient toutes les informations nécessaires.

Comment monitorer la mise à jour des certificats Secure Boot ?

Une fois le paramétrage mis en place, il faut attendre plusieurs redémarrages (2) pour que les certificats soient mis à jour. Vous pouvez monitorer tout cela notamment grâce à des clés de registre ou des événements dans le journal d’événement Windows.

Pour aller plus loin : Evenements de mise à jour de la base de données de démarrage sécurisé et de la variable DBX

Option 2 : Inventaire et remédiation des certificats Secure Boot avec SCCM ou GPO

Inventaire Secure Boot via SCCM

Eh oui, vous qui avez encore du SCCM ou des environnements AD, on ne vous oublie pas

Par contre, pas de rapport magique comme dans Microsoft Intune !

Pour les environnements sans outil de gestion, ça va être compliqué d’avoir un état de parc.

Afin de remonter les ordinateurs où le Secure Boot est actif via SCCM, voici une query :

select SMS_R_System.Name, SMS_G_System_FIRMWARE.SecureBoot, SMS_R_System.SystemOUName from SMS_R_System inner join SMS_G_System_FIRMWARE on SMS_G_System_FIRMWARE.ResourceID = SMS_R_System.ResourceId where SMS_G_System_FIRMWARE.SecureBoot = 1 order by SMS_R_System.Name

Pour remonter les ordinateurs avec la version de BIOS, voici une query :

select SMS_R_System.Name, SMS_G_System_PC_BIOS.Manufacturer, SMS_G_System_PC_BIOS.SMBIOSBIOSVersion, SMS_GH_System_PC_BIOS.BIOSVersion from SMS_R_System inner join SMS_G_System_PC_BIOS on SMS_G_System_PC_BIOS.ResourceID = SMS_R_System.ResourceId inner join SMS_GH_System_PC_BIOS on SMS_GH_System_PC_BIOS.ResourceId = SMS_R_System.ResourceId

Auditer le statut UEFICA2023Status avec SCCM

Pour avoir un statut sur la mise à jour des certificats, vous allez pouvoir vous baser sur l’état de la clé de registre « UEFICA2023Status ».

Vous allez pouvoir faire une extension d’inventaire pour la faire remonter via l’inventaire matériel de SCCM ou utiliser une configuration baseline pour aller auditer la valeur de celle-ci.

Si vous utilisez une configuration baseline, voici un exemple de script PowerShell que vous pouvez utiliser en détection :

$UEFICAStatus = (Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing" -Name UEFICA2023Status -ErrorAction SilentlyContinue).UEFICA2023Status

Write-Output $UEFICAStatus

Mise à jour du BIOS via SCCM

Pour effectuer la mise à jour BIOS, vous pouvez utiliser les mêmes outils cités au-dessus.

Remédiation Secure Boot via SCCM et GPO

Déclencher la mise à jour des certificats via SCCM

Pour lancer la mise à jour des certificats, vous pouvez utiliser dans SCCM la même configuration baseline qu’au-dessus en y ajoutant en remédiation ces actions :

reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Secureboot /v AvailableUpdates /t REG_DWORD /d 0x5944 /f

Start-ScheduledTask -TaskName "\Microsoft\Windows\PI\Secure-Boot-Update"

Cela permettra de déclencher la mise à jour des certificats si le statut n’est pas conforme à l’attendu.

Déployer la mise à jour des certificats Secure Boot via GPO

C’est possible aussi d’activer la mise à jour des certificats via GPO, je vous invite à suivre ce lien qui vous expliquera la marche à suivre.

Points de vigilance communs à Intune et SCCM

Mettre à jour vos ISO bootables avant juin 2026

Pensez à mettre à jour vos ISO bootables sous peine de ne plus pouvoir les utiliser.

Pour aller plus loin : Mettre à jour les supports d’amorçage Windows pour utiliser le gestionnaire de démarrage signé par le certificat PCA2023

Bitlocker et mise à jour BIOS : rester vigilant

Même si les outils de déploiement, notamment HP, gèrent nativement la partie Bitlocker lors de la mise à jour du BIOS, une vigilance reste de mise.

Activer le Secure Boot sur les postes non conformes

Si des ordinateurs n’ont pas le Secure Boot actif, c’est le moment de mener les actions pour les faire rentrer en conformité.

Expiration des certificats Secure Boot : les dernières informations à retenir

À partir d’avril 2026, l’application « Sécurité Windows » affichera des informations supplémentaires sur l’état des mises à jour des certificats Secure Boot sur les appareils Windows. Cette nouvelle fonctionnalité se trouvera dans Sécurité de l’appareil > Démarrage sécurisé.

Le déploiement de cette information s’effectuera en deux temps et vous retrouverez toutes les informations ici.

Votre entreprise vient de racheter une filiale. Ou vous pilotez un programme multi-entités. Dans les deux cas, le constat est le même : chaque organisation a son propre tenant Microsoft 365, et faire collaborer vos équipes de façon fluide et sécurisée devient un casse-tête opérationnel. Invitations B2B manuelles, doublons dans l’annuaire, confusion entre contacts guest et externes, tickets de support qui s’accumulent… Ce scénario, tout DSI en contexte de fusion-acquisition le connaît bien.

La bonne nouvelle : Microsoft propose depuis 2023 une solution native, scalable et gouvernée pour répondre exactement à ce problème. Elle s’appelle le Cross Tenant Sync. Dans la terminologie officielle Microsoft, il s’agit de la synchronisation inter-locataires. Et elle change radicalement la manière de faire collaborer deux tenants Microsoft 365.

Cet article, appuyé sur un retour d’expérience en production sur 40 000 utilisateurs, vous donne toutes les clés pour évaluer, déployer et gouverner cette solution.

La complexité d’une synchronisation cross tenant

Les problèmes concrets d’une coexistence sans solution dédiée

Dans un monde idéal, deux entreprises qui fusionnent migreraient immédiatement vers un tenant unique. Dans la réalité, une migration inter-tenants sur un périmètre de plusieurs milliers d’utilisateurs prend entre 3 et 4 ans, entre la phase de préparation et le basculement en production. Pendant toute cette période, les équipes ont pourtant besoin de collaborer, de partager des fichiers, de se retrouver dans Teams, de consulter les disponibilités de leurs collègues.

Sans outil structuré pour gérer la coexistence, les frictions s’accumulent rapidement et pèsent à la fois sur les utilisateurs et sur les équipes IT :

• Duplication des identités dans les annuaires des deux tenants, difficile à maintenir à jour manuellement.
• Confusion entre comptes guest et contacts externes dans Outlook, avec le risque d’envoyer un e-mail à une adresse guest qui n’a pas de boîte de réception derrière.
• Processus d’invitation B2B chronophage : chaque accès à une nouvelle ressource génère une nouvelle invitation, souvent bloquée en spam ou ignorée.
• Expérience utilisateur dégradée : les collaborateurs ne savent pas toujours s’ils ont bien été invités, ni comment accéder aux espaces partagés.
• Coûts d’administration élevés : les équipes IT passent un temps significatif à gérer manuellement des accès qui devraient être automatisés.

Les limites des alternatives existantes : B2B manuel et scripts PowerShell

Avant le Cross Tenant Sync, deux approches existaient. Chacune a ses limites.

La première est l’Azure B2B classique. Le principe : inviter manuellement les utilisateurs distants en tant que guests. Ça fonctionne à petite échelle. Mais ça ne passe pas à l’échelle. Chaque invitation nécessite une action manuelle. Et sur de gros volumes, la gouvernance de ces comptes guests devient vite ingérable.

La seconde approche repose sur des scripts PowerShell sur mesure. Ils permettent d’automatiser une partie du processus. Mais ils génèrent une dette technique lourde. Et une dépendance forte aux équipes qui les ont développés. Ce n’est pas une solution durable ni gouvernable pour une DSI.

La solution Cross Tenant Sync : fonctionnement et bénéfices

Les trois composantes du Multitenant Organization

Déployé en preview par Microsoft en janvier 2023 et mis en disponibilité générale mi-2023, le Cross Tenant Sync s’inscrit dans une fonctionnalité plus large appelée Multitenant Organization (MTO). C’est aujourd’hui la brique principale de ce dispositif, et la réponse la plus structurée que Microsoft ait proposée pour faire collaborer deux tenants Microsoft 365 de façon automatisée et gouvernée.

Le Multitenant Organization repose sur trois piliers complémentaires, qu’il est important de distinguer pour bien comprendre ce que le Cross Tenant Sync apporte spécifiquement :

• La fédération Teams : elle permet aux utilisateurs des deux tenants de communiquer via Teams et de consulter mutuellement les disponibilités (free/busy). C’est le socle minimal de collaboration.
• Le Cross Tenant Sync : la brique centrale. Elle automatise la création, la mise à jour et la suppression des utilisateurs synchronisés d’un tenant vers l’autre, via Microsoft Entra ID Provisioning et Azure B2B. C’est elle qui élimine les processus manuels d’invitation.
• La fusion des contacts dans la Global Address List : elle résout un problème souvent sous-estimé, la double entrée dans l’annuaire (compte guest ET contact externe) qui génère des erreurs d’envoi de mails chez les utilisateurs finaux.

Comment fonctionne concrètement le Cross Tenant Sync ?

Le principe est simple : un tenant source synchronise automatiquement ses utilisateurs vers un ou plusieurs tenants cibles. Cette synchronisation peut être unidirectionnelle (A vers B) ou bidirectionnelle (A vers B et B vers A). Dans la pratique, et notamment dans le contexte d’une collaboration entre deux entités de taille équivalente, la synchronisation bidirectionnelle est généralement retenue.

La solution offre une granularité fine sur ce qui est synchronisé :

• Le scope des utilisateurs et des groupes à synchroniser (par département, par entité, par profil métier).
• Les attributs à transmettre au tenant cible (département, société, titre…) qui servent ensuite à créer des groupes dynamiques pour automatiser les accès applicatifs.
• Le sens de la synchronisation : unilatéral ou bidirectionnel selon les besoins.
• Un provisioning à la demande, pour forcer manuellement la synchronisation d’un utilisateur spécifique hors cycle automatique.

Bénéfices du Cross Tenant Sync pour les utilisateurs et la DSI

Pour les utilisateurs finaux : la fin des frictions

L’impact le plus immédiat se mesure du côté des utilisateurs. Avant le Cross Tenant Sync, le parcours utilisateur était laborieux. Il fallait attendre une invitation. Cliquer sur un lien. Accepter une demande de consentement. Et souvent contacter le support quand quelque chose bloquait.

Avec le Cross Tenant Sync, tout cela disparaît. Les utilisateurs sont automatiquement provisionnés dans les bonnes équipes Teams et les bons espaces SharePoint. Ils peuvent collaborer immédiatement, sans aucune action de leur part.

Autre avantage visible : dans Teams, les utilisateurs d’un tenant distant ne sont plus identifiés comme « externes » dès lors qu’ils ont été passés au statut member (voir plus bas). L’expérience est quasi identique à celle d’un collègue interne.

Pour la DSI : réduction des coûts et gouvernance renforcée

Du point de vue de la DSI, les gains sont concrets et mesurables :

• Fin des processus manuels d’invitation B2B et des scripts à maintenir.
• Chaque utilisateur est créé, mis à jour ou supprimé automatiquement selon l’état du tenant source.
• Les attributs synchronisés (département, société, etc.) permettent de créer des groupes dynamiques dans le tenant cible, membres de Teams ou de sites SharePoint. La gestion des accès devient automatisée et cohérente.
• Réduction significative des tickets de support liés aux problèmes d’accès et d’invitation.
• Administration centralisée depuis le portail Microsoft Entra ID, avec des logs de synchronisation intégrés.

Pour les chefs de projet : un accélérateur de transformation

Dans un projet de fusion-acquisition, le Cross Tenant Sync change la nature même du chantier collaboration. Plutôt que de passer des semaines à provisionner manuellement des accès applicatifs, les équipes projet peuvent se concentrer sur les enjeux métiers. Un projet inter-entités qui aurait pris plusieurs mois à démarrer opérationnellement se met en route en quelques jours une fois le Cross Tenant Sync en place.

REX : déploiement du Cross Tenant Sync sur 40 000 utilisateurs Microsoft 365

Les enjeux

Le déploiement dont il est question ici concernait deux sociétés de leasing automobile appartenant à un grand groupe bancaire. Quelques chiffres pour cadrer le contexte :

• 40 000 utilisateurs répartis sur deux tenants de taille équivalente (~20 000 de chaque côté).
• Synchronisation configurée dans les deux sens.
• Exigences de sécurité élevées, héritées du groupe bancaire auquel appartiennent les deux entités.
• Déploiement réalisé en plusieurs phases : POC sur tenants de test, puis mise en production progressive.

Toujours commencer par un POC sur des tenants de test

Avant tout déploiement en production, les deux entités disposaient de tenants de test. Le POC a été réalisé à petite échelle sur ces environnements. Il s’agit d’une étape indispensable pour valider le mapping des attributs, le comportement des groupes dynamiques et détecter d’éventuels conflits de configuration. Sur des contextes complexes comme celui-ci, un POC bien conduit fait économiser des semaines de débogage en production.

La première synchronisation : anticiper le délai de go-live

Point d’alerte critique pour tout DSI qui planifie un go-live : la première synchronisation, celle qui crée l’ensemble des identités dans le tenant distant, est beaucoup plus longue que les cycles suivants. Sur 40 000 utilisateurs, après avoir activé la synchronisation en production, rien ne s’est passé pendant les premières heures. Ce n’est que le lendemain après-midi que les utilisateurs invités sont apparus dans les deux tenants respectifs : 16 heures en tout.

En régime normal, la synchronisation tourne toutes les 2 heures et dure environ 40 minutes. Ce point est souvent une source de stress lors du go-live, surtout pour des équipes habituées aux délais d’Azure AD Connect. Il est impératif d’anticiper ce délai dans le plan de déploiement et de communiquer clairement auprès des équipes concernées.

Le statut guest vs member : une distinction à ne pas négliger

Par défaut, les utilisateurs synchronisés arrivent dans le tenant cible avec le statut guest. Ce statut est plus restrictif : un guest ne peut pas être propriétaire d’une équipe Teams, ni créer des shared channels. Pour une vraie expérience de collaboration, il est généralement nécessaire de les faire passer au statut member.

Cette bascule peut se faire de deux façons. Soit via un mapping d’attributs directement dans la configuration du Cross Tenant Sync (l’attribut userType est mappé à « member » côté cible). Soit via un script PowerShell développé en interne. Dans les deux cas, c’est un point à prévoir en amont de la mise en production, et non à traiter après coup.

La limite des 130 applicatifs : un écueil à connaître

Un écueil inattendu a été rencontré en cours de projet. Au-delà d’un certain nombre d’applications autorisées (environ 130 au moment des faits), l’interface d’administration refusait d’en ajouter de nouvelles sans message d’erreur explicite. Après escalade jusqu’à l’équipe produit Microsoft, il s’est avéré que cette limite était by design.

La solution de contournement : jouer sur la configuration du tenant cible pour autoriser les accès non explicitement bloqués. Cela évite de tout lister positivement côté source. Ce comportement a très probablement évolué depuis, Microsoft étant particulièrement réactif sur ce produit. Mais il illustre l’importance de tester les cas limites avant la mise en production.

Pour aller plus loin : Plan de migration vers Microsoft 365 : par quoi démarrer ?

Sécurité du Cross Tenant Sync : accès conditionnel et confiance inter-tenants

La confiance inter-tenants et le jeton MFA

Le Cross Tenant Sync permet de configurer le niveau de confiance accordé au tenant partenaire.

Prenons un exemple concret. Un utilisateur du tenant A s’est déjà authentifié avec MFA dans son environnement natif. Si le tenant B fait confiance au jeton MFA du tenant A, cet utilisateur n’aura pas à refournir une preuve d’identité pour accéder aux ressources de B. L’expérience utilisateur s’en trouve simplifiée.

Mais cette confiance a une condition. Les deux tenants doivent appliquer un niveau de sécurité équivalent sur la délivrance de leurs jetons. Sans cet alignement, on abaisse le niveau de sécurité global, ce qui est inacceptable dans des environnements régulés.

Aligner les politiques d’accès conditionnel des deux côtés

Dans le contexte bancaire évoqué, l’une des entités autorisait le BYOD (Bring Your Own Device) tandis que l’autre l’interdisait. Avant d’établir une relation de confiance inter-tenants, il a fallu réunir les deux équipes de sécurité pour homogénéiser les exigences. Le résultat : aucun appareil personnel non géré ne peut accéder aux ressources du tenant le plus restrictif, quelle que soit l’entité d’origine de l’utilisateur.

Cette étape, souvent perçue comme une formalité, est en réalité l’une des plus structurantes du projet. Elle nécessite un vrai sponsoring DSI des deux côtés pour aboutir dans des délais raisonnables.

Supervision et logs du Cross Tenant Sync

Le Cross Tenant Sync intègre des logs de synchronisation accessibles depuis Entra ID. A savoir : les erreurs par utilisateur, statut des cycles, logs de provisioning. Il est aujourd’hui possible de connecter Microsoft Sentinel pour une supervision en temps réel. Les logs ne sont pas toujours très explicites en cas d’erreur et nécessitent parfois une analyse complémentaire. Mais la traçabilité de base est là, et elle s’est nettement améliorée depuis les premières versions en preview.

Gouvernance du Cross Tenant Sync Microsoft 365 : bonnes pratiques et conventions

Cartographier les besoins avant de tout ouvrir

La tentation est grande d’ouvrir tous les accès dès le départ pour faciliter la vie des utilisateurs. C’est une erreur. La bonne approche : cartographier précisément quelles populations ont besoin d’accéder à quels applicatifs. Puis démarrer avec un périmètre restreint. Uniquement les services Microsoft 365 strictement nécessaires — Teams, SharePoint, Power BI selon les profils. Et élargir progressivement, au rythme des besoins réels.

Sur le projet décrit ici, c’est exactement ce qui a été fait. Le périmètre initial était volontairement limité. Il a ensuite été étendu à 147 applications au fil des mois.

Conventions de nommage et communication utilisateurs

Deux autres points de gouvernance à ne pas négliger :

• Conventions de nommage : les groupes dynamiques créés à partir des utilisateurs synchronisés doivent suivre les mêmes conventions de nommage que le reste de l’environnement Microsoft 365. Si cette cohérence n’est pas imposée dès le départ, la prolifération de groupes mal nommés génère une dette technique difficile à résorber.

• Communication utilisateurs : le Cross Tenant Sync change le quotidien des collaborateurs. Il faut leur expliquer qu’ils vont être automatiquement provisionnés dans certains espaces, leur montrer comment switcher de tenant dans Teams, et anticiper les questions sur les accès. Une communication proactive avant le go-live réduit considérablement les tickets de support.

Cross Tenant Sync : ROI, licences Entra ID P1 et pérennité de la solution

Scénarios

Deux situations distinctes appellent des réponses différentes. Le Cross Tenant Sync s’adapte aux deux :

• Contexte fusion-acquisition avec migration planifiée : le Cross Tenant Sync assure la coexistence pendant les 3 à 4 ans que prend en moyenne un projet de migration inter-tenants à grande échelle. Il permet aux équipes de collaborer efficacement durant toute cette période, sans attendre la migration pour être opérationnelles.
• Partenaire stratégique récurrent : ici, le Cross Tenant Sync n’est pas une étape vers une migration. C’est la solution définitive, installée dans la durée pour une collaboration quotidienne sécurisée et gouvernée.

Le coût des licences : un point à ne pas sous-estimer

Le Cross Tenant Sync nécessite une licence Microsoft Entra ID P1 (anciennement Azure AD Premium P1). Attention : la licence doit couvrir chaque utilisateur bénéficiant de la synchronisation. A savoir un par utilisateur, pas seulement une licence pour ouvrir le service. Sur des périmètres importants, cette exigence peut représenter un poste budgétaire significatif à intégrer dès la phase d’évaluation.

Quel ROI selon la taille de l’organisation ?

La question du retour sur investissement mérite d’être posée honnêtement selon le contexte :

• Plus de 1 000 utilisateurs concernés : le ROI est quasi systématiquement positif. Le gain sur les coûts d’administration, la réduction des tickets de support et l’accélération des projets inter-entités compensent largement le coût des licences.
• Entre 500 et 1 000 utilisateurs : le calcul dépend de la durée de coexistence prévue et de l’intensité de la collaboration. Un POC permet souvent de trancher rapidement.
• Moins de 500 utilisateurs avec une migration à moins d’un an : la question peut légitimement se poser. Le coût des licences sur une courte période peut ne pas justifier l’investissement si la migration est imminente.

Checklist : les facteurs clés de succès d’un projet Cross Tenant Sync

Le Cross Tenant Sync est aujourd’hui la solution la plus mature, la plus native et la mieux intégrée pour faire collaborer deux tenants Microsoft 365. Microsoft fait évoluer le produit rapidement et est particulièrement réactif sur ce sujet. Ce qui est rare et notable pour un outil de cette nature.

Les facteurs clés de succès d’un déploiement réussi :

• Obtenir un sponsoring DSI clair des deux côtés. C’est un prérequis pour avancer sur les sujets de sécurité et de gouvernance.
• Réaliser un POC sur des tenants de test avant tout passage en production.
• Anticiper le délai de la première synchronisation (jusqu’à 16h sur 40 000 utilisateurs) dans la planification du go-live.
• Aligner les politiques d’accès conditionnel entre les deux tenants avant d’établir la relation de confiance.
• Démarrer avec un périmètre applicatif restreint et l’élargir progressivement selon les besoins réels.
• Gérer le statut guest/member dès la configuration pour éviter les frustrations utilisateurs.
• Prévoir le budget licences Entra ID P1 par utilisateur concerné.
• Communiquer auprès des utilisateurs finaux avant le déploiement.

Sur des contextes de grande envergure, en contexte de fusion-acquisition ou de collaboration inter-entités durable, le Cross Tenant Sync Microsoft 365 n’est plus une option. C’est l’infrastructure de collaboration qui permet à vos équipes de travailler ensemble le temps que la stratégie SI prenne sa forme définitive, et parfois, bien au-delà.

Le sujet Windows 365 vs AVD revient systématiquement dans les projets de modernisation du poste de travail. Faut-il choisir Windows 365 ou Azure Virtual Desktop ?

Derrière cette question se cache un enjeu stratégique : comment déployer un pc cloud sécurisé, flexible et économiquement viable pour l’entreprise ?

Travail hybride, prestataires externes, cybermenaces, continuité d’activité… Les organisations ont besoin d’un poste de travail accessible partout, sans compromis sur la sécurité.

Dans cet article complet, nous analysons en profondeur le comparatif entre Windows 365 et AVD, leurs différences, leurs avantages, leurs limites et les clés pour réussir votre projet de PC cloud.

Qu’est-ce qu’un PC cloud ?

Un pc cloud (ou Cloud PC) est un poste de travail Windows entièrement hébergé dans le cloud et accessible via Internet.

Contrairement à un PC physique traditionnel :

• Les ressources (CPU, RAM, stockage) sont exécutées dans un datacenter.
• Les données restent dans le cloud.
• L’utilisateur peut se connecter depuis n’importe quel terminal.

Le pc cloud devient ainsi un levier majeur de sécurisation et de flexibilité.

Pourquoi le PC cloud s’impose dans les entreprises ?

Les entreprises adoptent le pc cloud pour plusieurs raisons :

• Sécuriser l’accès des prestataires
• Standardiser les environnements utilisateurs
• Réduire la dépendance au matériel
• Faciliter le télétravail
• Améliorer la résilience en cas d’incident

C’est dans ce contexte que la comparaison entre Windows 365 et AVD prend tout son sens.

Windows 365 : le PC cloud en mode SaaS

Définition de Windows 365

Windows 365 est une solution SaaS qui fournit un pc cloud personnel dédié à chaque utilisateur.

L’objectif est simple : offrir une expérience Windows persistante, sécurisée et prévisible, sans gestion d’infrastructure complexe.

Chaque utilisateur dispose :

• D’un Cloud PC 1:1
• D’une expérience persistante
• D’un abonnement mensuel fixe

Comment fonctionne Windows 365 ?

Windows 365 repose sur une architecture entièrement gérée par Microsoft :

• Aucun host pool à configurer
• Pas de VM Azure à maintenir
• Provisioning automatisé via Microsoft Intune
• Intégration avec Microsoft Entra ID
• Sécurité Zero Trust intégrée

L’entreprise choisit simplement :

• La taille du Cloud PC (CPU / RAM / stockage)
• Le type de licence
• La stratégie de gestion

Les licences Windows 365

• Windows 365 Business : pour PME (≤300 utilisateurs), déploiement rapide.
• Windows 365 Enterprise : gestion avancée via Intune et Entra ID.
• Windows 365 Frontline Dedidated : optimisé pour équipes en rotation avec Cloud PC dédié mais usage intermittent.
• Windows 365 Frontline Shared : Cloud PC partagé, réinitialisé entre sessions.

Cas d’usage typiques

Dans un comparatif Windows 365 vs AVD, Windows 365 est souvent privilégié pour :

• Prestataires externes sans matériel d’entreprise
• Télétravail sécurisé
• Remplacement rapide en cas de panne
• Environnements de formation
• Déploiements rapides sans équipe Azure experte

Azure Virtual Desktop : la flexibilité avancée

Définition d’Azure Virtual Desktop

Azure Virtual Desktop (AVD) est une plateforme de virtualisation complète dans Microsoft Azure.

Contrairement à Windows 365, AVD donne un contrôle total sur :

• Les machines virtuelles
• Le réseau
• Le stockage
• Les images
• Le multi-session

AVD n’est pas un simple abonnement : c’est une architecture.

Comment fonctionne Azure Virtual Desktop ?

AVD repose sur :

• Host Pools
• Session Hosts (VM Azure)
• Profils utilisateurs via FSLogix
• Infrastructure réseau personnalisable

L’entreprise conserve la responsabilité du dimensionnement, des optimisations et du contrôle des coûts.

Dans le débat Windows 365 vs AVD, Azure Virtual Desktop est la solution la plus flexible.

Le modèle économique d’AVD

Contrairement à Windows 365 (abonnement fixe), AVD fonctionne en consommation Azure :

Les coûts dépendent :

• De la taille des VM
• Du nombre d’heures d’utilisation
• Du stockage
• De la région
• Du mode mono ou multi-session

Sans oublier les optimisations indispensables :

• Autoscaling dynamique
• Multi-session quand possible
• Reserved Instances
• Monitoring continu

AVD est peut-être plus rentable… mais mal optimisé, il peut devenir coûteux.

Quelles différences entre Windows 365 et AVD ?

Voici un comparatif clair pour vous aider à choisir votre pc cloud :

Quand choisir Windows 365 ?

Choisir Windows 365 est particulièrement pertinent lorsque la priorité de l’entreprise est la simplicité de déploiement et la prévisibilité budgétaire.

Windows 365 s’adresse aux organisations qui souhaitent fournir rapidement un pc cloud dédié 1:1, sans avoir à concevoir et maintenir une infrastructure Azure complète. Le modèle SaaS permet un provisionnement rapide, une gestion centralisée via Intune et une expérience utilisateur persistante sans complexité technique avancée.

Cette solution est idéale lorsque :

• Les besoins utilisateurs sont relativement stables dans le temps
• L’entreprise ne dispose pas d’une équipe Azure experte
• La priorité est de maîtriser les coûts grâce à un abonnement fixe
• Il faut équiper rapidement des prestataires, consultants ou filiales
• Le projet nécessite une mise en œuvre rapide avec peu de dépendances techniques

Windows 365 est souvent retenu dans des contextes de télétravail structuré, d’externalisation ou de modernisation progressive du poste de travail.

En résumé, dans le comparatif Windows 365 vs AVD, Windows 365 s’impose lorsqu’on recherche la simplicité, la rapidité et la prévisibilité.

Quand choisir AVD ?

À l’inverse, Azure Virtual Desktop est recommandé lorsque l’organisation a besoin de flexibilité avancée, d’optimisation fine des coûts ou d’architectures spécifiques.

AVD permet de concevoir un environnement totalement personnalisé : choix des machines virtuelles, réseau, stockage, images système, multi-session… Cette granularité offre un contrôle très poussé sur la performance et les dépenses.

Azure Virtual Desktop devient particulièrement pertinent lorsque :

• Les volumes d’utilisateurs fluctuent fortement
• Le multi-session est nécessaire (centres d’appel, équipes support)
• Des applications lourdes ou métiers spécifiques doivent être hébergées
• L’entreprise souhaite optimiser les coûts via autoscaling et consommation réelle
• Une équipe IT Azure est disponible pour piloter l’environnement

AVD est également adapté aux grandes entreprises ayant déjà une stratégie Azure mature et souhaitant intégrer le pc cloud dans une architecture globale (réseau hybride, ExpressRoute, gouvernance avancée).

Dans le duel Windows 365 vs AVD, AVD l’emporte lorsqu’on privilégie la flexibilité, la personnalisation et l’optimisation technique avancée.

Les moyens d’accès au PC cloud

Un avantage majeur du modèle Windows 365 et AVD est l’accessibilité universelle du pc cloud. Les utilisateurs peuvent se connecter depuis presque n’importe quel appareil.

Voici les principaux moyens d’accès :

• Windows App : client moderne multi-plateforme permettant d’accéder aux Cloud PC Windows 365 et aux environnements Azure Virtual Desktop depuis Windows, macOS, iOS, Android ou navigateur web. Il prend en charge l’authentification via Entra ID et les politiques d’accès conditionnel.
• Windows 365 Boot : fonctionnalité de Windows 11 permettant à un appareil de démarrer directement dans son Cloud PC, sans passer par une session Windows locale.
• Windows 365 Switch : intégré à Windows 11, il permet de basculer instantanément entre le poste local et le Cloud PC comme on change de bureau virtuel.
• Windows 365 Link : terminal léger dédié, conçu pour offrir un accès rapide et sécurisé à un Cloud PC Windows 365, sans stockage local ni données persistantes sur l’appareil.

Cette diversité de modes d’accès renforce l’agilité et permet d’adapter le pc cloud aux différents profils utilisateurs : salariés nomades, prestataires, environnements industriels ou postes partagés.

Les dernières évolutions de Windows 365

Ces derniers mois, Windows 365 a fortement évolué pour répondre aux enjeux de sécurité, de continuité d’activité et de flexibilité des entreprises.

Ces nouveautés renforcent encore la pertinence du pc cloud dans les stratégies de modern workplace et viennent compléter les scénarios couverts par Azure Virtual Desktop.

Parmi les évolutions majeures :

• Windows 365 Cloud Apps : possibilité de publier des applications hébergées sur un Cloud PC sans attribuer un PC cloud dédié à chaque utilisateur.
• Support des external identities : accès sécurisé pour des utilisateurs externes sans création systématique de comptes internes temporaires.
• Windows 365 Reserve : mise à disposition d’un Cloud PC temporaire en cas de panne, vol ou cyberattaque.
• Intégration étendue d’Autopilot Device Preparation : amélioration du provisioning pour garantir un environnement prêt et sécurisé dès la première connexion.

Ces évolutions confirment la volonté de Microsoft de faire de Windows 365 une solution mature et stratégique dans les projets de virtualisation du poste de travail.

Comment réussir votre projet de PC cloud avec Windows 365 ou Azure Virtual Desktop ?

Analyser les profils utilisateurs

Le succès d’un projet Windows 365 ou AVD ne dépend pas uniquement du choix entre Windows 365 et Azure Virtual Desktop.

Un projet de pc cloud est avant tout un projet de transformation du poste de travail. Il doit être structuré, piloté et aligné avec les usages réels des collaborateurs.

Voici les étapes clés pour sécuriser votre déploiement.

Tous les utilisateurs n’ont pas les mêmes besoins. Une erreur fréquente consiste à déployer un modèle unique pour toute l’organisation.

Segmentez vos populations :

• Utilisateurs bureautiques standards
• Utilisateurs intensifs (BI, data, CAO)
• Travailleurs en rotation (équipes terrain, retail, industrie)
• Prestataires ou consultants externes
• Développeurs nécessitant des environnements spécifiques

Cette analyse conditionne :

• Le choix entre Windows 365 ou AVD
• Le dimensionnement des ressources
• Le modèle de licence (Business, Enterprise, Frontline)
• L’utilisation éventuelle du multi-session (AVD)

Un bon cadrage évite le surdimensionnement… et les surcoûts.

Lancer un POC représentatif

Avant un déploiement massif, testez votre stratégie que vous choisissiez Windows 365 ou AVD sur un échantillon représentatif :

• Différents métiers
• Différentes contraintes réseau
• Différents niveaux d’exigence applicative

Le PoC permet de valider :

• Les performances perçues
• La latence
• L’expérience utilisateur
• La compatibilité applicative
• Les scénarios d’impression ou d’accès périphérique

Un pilote bien mené réduit drastiquement les risques en production.

Maîtriser et optimiser les coûts dès le départ

Pour AVD :

• Activer l’autoscaling dynamique
• Favoriser le multi-session lorsque pertinent
• Utiliser des Reserved Instances pour les environnements stables
• Surveiller les VM sous-utilisées
• Adapter la taille des machines aux usages réels

Pour Windows 365 :

• Choisir précisément le bon gabarit (CPU / RAM / stockage)
• Exploiter le modèle Frontline pour les équipes en rotation
• Éviter le surdimensionnement systématique

La gouvernance financière doit être intégrée dès la phase de conception.

Anticiper les enjeux réseau et performance

La performance d’un pc cloud dépend fortement :

• De la bande passante
• De la latence
• De la qualité du réseau local
• De la connectivité VPN ou ExpressRoute

Il est essentiel de :

• Tester la latence vers les régions Azure ciblées
• Adapter la localisation des ressources
• Vérifier la capacité des sites distants
• Prioriser le trafic critique

Une mauvaise préparation réseau peut dégrader l’expérience utilisateur.

Sécuriser les accès avec une approche Zero Trust

Un projet pc cloud est aussi un projet de sécurité.

Mettez en place :

• Authentification multifacteur (MFA)
• Accès conditionnel basé sur le contexte
• Restriction par type d’appareil
• Monitoring des connexions suspectes
• Segmentation réseau adaptée (notamment avec AVD)

Le pc cloud doit renforcer votre posture de sécurité, pas l’affaiblir.

Accompagner les utilisateurs au changement

Même si l’expérience reste proche d’un PC traditionnel, certaines habitudes évoluent :

• Sauvegarde native dans le cloud
• Gestion des impressions à distance
• Accès aux périphériques
• Dépendance à la connectivité

Une communication claire et des sessions de formation courtes permettent :

• D’éviter les frustrations
• De limiter les tickets support
• D’améliorer l’adoption

L’expérience utilisateur est un facteur clé de succès.

Mettre en place une gouvernance solide

Un projet Windows 365 AVD ne peut être pérenne sans un cadre de gouvernance clair, permettant de sécuriser les accès, maîtriser les coûts et garantir la stabilité opérationnelle du pc cloud dans le temps. Il faut tenir compte des éléments suivants :

• Gestion des accès conditionnels
• Supervision continue
• Gestion centralisée des mises à jour
• Support IT réactif

Conclusion entre AVD et Windows 365

Le débat entre Windows 365 et AVD ne se résume pas à un simple choix technologique. Il reflète deux approches complémentaires du poste de travail moderne : l’une orientée simplicité et prévisibilité avec Windows 365, l’autre tournée vers la flexibilité et l’optimisation avancée avec Azure Virtual Desktop.

Le pc cloud s’impose aujourd’hui comme un pilier stratégique des environnements IT. Il répond aux enjeux de travail hybride, de sécurisation des accès externes, de continuité d’activité et de résilience face aux incidents. Mais sa réussite ne dépend pas uniquement de la solution choisie. Elle repose sur une analyse fine des usages, une architecture adaptée, une gouvernance solide et une capacité d’optimisation continue.

Windows 365 conviendra aux organisations qui recherchent un déploiement rapide, une gestion simplifiée et une maîtrise budgétaire claire. Azure Virtual Desktop s’adressera davantage aux entreprises souhaitant exploiter toute la puissance et la flexibilité d’Azure pour concevoir des environnements sur mesure.

Dans tous les cas, un projet pc cloud bien structuré devient un véritable accélérateur de transformation : il modernise le poste de travail, renforce la sécurité et offre aux collaborateurs une expérience fluide, accessible partout et cohérente.

Le pc cloud n’est plus une alternative au poste traditionnel ; il en devient l’évolution naturelle.

Dans ce contexte, Microsoft Intune s’impose comme un outil central du Modern Management. Il permet non seulement de déployer des applications, mais aussi de structurer et automatiser leur mise à jour, à condition d’adopter une stratégie adaptée aux différents types d’applications et aux contraintes de l’organisation.

Les types d’applications Windows gérées dans Microsoft Intune

Applications Microsoft Store (nouvelle version)

Les applications issues du Microsoft Store (nouvelle expérience) constituent le mode de gestion le plus simple dans Intune. Dans ce modèle, Microsoft délègue une grande partie de la maintenance au Store lui-même. Les mises à jour sont téléchargées et installées automatiquement, sans intervention de l’administrateur.

Cette approche présente un avantage évident : elle réduit fortement la charge opérationnelle des équipes IT. En revanche, elle offre peu de contrôle sur la version exacte déployée ou sur le calendrier de mise à jour. Les applications sont mises à jour dès que Microsoft publie une nouvelle version, ce qui peut parfois poser des contraintes de compatibilité dans certains environnements.

Ce type de gestion est particulièrement adapté aux applications standards, largement utilisées, et pour lesquelles les risques liés aux mises à jour automatiques sont faibles.

Applications Win32 (.exe / .msi)

Les applications Win32 représentent la majorité des logiciels utilisés en entreprise : applications métiers, outils tiers, logiciels historiques ou éditeurs spécialisés. Contrairement aux applications du Microsoft Store, ces applications ne disposent d’aucun mécanisme de mise à jour automatique natif dans Intune.

Chaque mise à jour nécessite donc une action volontaire de l’administrateur, qu’il s’agisse de re-packager l’application ou de mettre en place une logique de mise à jour spécifique. C’est précisément sur ce périmètre que se concentrent la plupart des enjeux et des difficultés liés à la mise à jour applicative dans Intune.

Microsoft 365 Apps

Les Microsoft 365 Apps (Word, Excel, Outlook, Teams, etc.) bénéficient d’un modèle de mise à jour bien plus structuré. Intune permet de contrôler finement leur évolution grâce aux Update Channels. Ces canaux définissent la fréquence de mise à jour et le niveau de stabilité attendu.

Ce mécanisme permet aux équipes IT de trouver un équilibre entre innovation, sécurité et compatibilité applicative, en fonction des profils utilisateurs et des contraintes métiers. La gestion des mises à jour des Microsoft 365 Apps est généralement considérée comme mature et fiable lorsqu’elle est correctement configurée.

Gérer les mises à jour des applications Win32 avec Microsoft Intune

L’importance d’un packaging Win32 standardisé

Un packaging Win32 standardisé constitue la base d’une stratégie de mise à jour fiable. L’utilisation de scripts PowerShell permet d’uniformiser les installations, de gérer les prérequis et de produire des logs exploitables en cas d’incident.

Un bon package Win32 doit notamment :

• intégrer une nomenclature claire (éditeur, application, version),
• inclure des métadonnées complètes facilitant le suivi,
• reposer sur une règle de détection robuste.

La règle de détection est un point critique. Une détection basée sur une version « supérieure ou égale » ou sur un ProductCode MSI fiable permet à Intune de déterminer précisément si une mise à jour est nécessaire.

La mise à jour manuelle des applications Win32

La méthode la plus répandue reste la mise à jour manuelle. Elle consiste à télécharger la nouvelle version de l’application, créer un nouveau package Win32 (.intunewin) puis déployer cette version via Intune.

Cette approche présente des avantages clairs :

• un contrôle total sur le contenu et le calendrier de déploiement,
• une forte maîtrise des applications critiques ou sensibles.

En contrepartie, elle montre rapidement ses limites :

• processus chronophage,
• risque d’erreurs humaines,
• difficulté à cibler précisément les postes disposant d’une version donnée, notamment pour les applications déployées en mode « Disponible ».

La supersedence : gérer le remplacement des versions

La fonctionnalité de supersedence permet d’indiquer qu’une application doit en remplacer une autre. Lors du déploiement, Intune peut alors installer la nouvelle version et, si nécessaire, désinstaller automatiquement l’ancienne.

Elle est particulièrement utile dans des scénarios tels que :

• une montée de version majeure,
• un changement de technologie ou de méthode d’installation,
• une standardisation applicative progressive.

Cependant, la supersedence présente plusieurs limites qu’il est important d’anticiper :

• elle ne cible que les applications installées via Intune,
• elle est peu adaptée aux applications proposées en mode « Disponible »,
• elle impose de conserver les anciennes versions tant que la migration n’est pas complète.

Automatiser la mise à jour des applications Windows avec Intune

Utiliser WinGet pour automatiser les mises à jour

WinGet (Windows Package Manager) est l’outil natif de gestion de paquets de Windows. Il permet d’installer, de mettre à jour et de supprimer des applications à partir d’un catalogue maintenu par Microsoft et par des éditeurs partenaires.

Dans Intune, WinGet est généralement utilisé pour maintenir à jour un socle d’applications standards, via des scripts PowerShell ou des applications Win32 encapsulant des commandes WinGet. Le fonctionnement est simple : Intune déclenche le script, WinGet compare les versions installées et applique les mises à jour nécessaires.

WinGet présente plusieurs atouts :

• solution native et gratuite,
• réduction du besoin en packaging manuel,
• catalogue applicatif en évolution constante,
• possibilité de créer des repositories privés.

Il convient néanmoins de garder à l’esprit certaines limites :

• absence de véritables rings de déploiement,
• reporting limité dans Intune,
• incompatibilité avec le déploiement applicatif durant la phase Autopilot.

A lire aussi : Autopilot : Sécurisez vos postes de travail Windows dès la phase OOBE

Automatiser les mises à jour avec Patch My PC et Intune

Pour les environnements plus complexes, Patch My PC s’impose comme une solution d’automatisation avancée. Elle s’intègre nativement avec Microsoft Intune, Configuration Manager et Windows Autopatch.

Patch My PC prend en charge plusieurs milliers d’applications tierces et automatise l’ensemble du cycle de vie applicatif, depuis la détection des nouvelles versions jusqu’à leur déploiement dans Intune.

Son fonctionnement repose sur :

• un connecteur sécurisé vers Intune,
• un catalogue applicatif maintenu par l’éditeur,
• des règles de déploiement définies par l’administrateur.

Contrairement à WinGet, Patch My PC offre un contrôle très fin sur les mises à jour :

• paramètres d’installation silencieuse,
• scripts de pré et post-installation,
• notifications utilisateur personnalisées,
• gestion des redémarrages et des fenêtres de maintenance,
• reporting détaillé et alertes en cas d’échec.

Cette richesse fonctionnelle en fait une solution particulièrement adaptée aux environnements d’entreprise exigeants, au prix d’une dépendance à un éditeur tiers et d’un coût de licence.

Conclusion

Microsoft Intune offre de nombreuses possibilités pour gérer efficacement la mise à jour des applications Windows, à condition de choisir les bons leviers. Les approches manuelles restent pertinentes pour des applications critiques, mais montrent rapidement leurs limites à grande échelle.

En combinant un packaging Win32 rigoureux, des règles de détection fiables et des solutions d’automatisation comme WinGet ou Patch My PC, les organisations peuvent renforcer la sécurité de leur parc, améliorer la stabilité des postes de travail et réduire durablement la charge opérationnelle des équipes IT.

La gestion des postes de travail Windows connaît une transformation profonde. Télétravail, mobilité, exigences de sécurité accrues et pression réglementaire imposent aux équipes IT une maîtrise fine et continue de leur parc. Dans ce contexte, Intune s’impose comme un socle incontournable du Modern Workplace.

Pourtant, disposer d’un outil de gestion ne suffit plus. Les organisations ont désormais besoin de visibilité, de pilotage et de capacité d’anticipation. Autrement dit, elles ont besoin d’un reporting Microsoft Intune fiable, automatisé et orienté décision.

C’est précisément à ce niveau qu’interviennent Microsoft Graph API et Power BI, en apportant une approche structurée, automatisée et évolutive du reporting Microsoft Intune.

Pour aller plus loin : « 45 minutes pour voir comment unifier son pilotage avec Intune & Power BI »

Les limites des reporting natifs dans Intune

Les environnements de travail modernes sont devenus distribués par nature. Les équipes IT doivent gérer simultanément :

• des postes Windows distants et mobiles,
• des politiques de conformité évolutives,
• des mises à jour fréquentes,
• des exigences fortes en matière de sécurité et de traçabilité.

Sans reporting structuré, cette complexité rend le pilotage du parc approximatif et réactif, là où il devrait être proactif et prédictif.

Microsoft Intune fournit des rapports intégrés, mais ceux-ci sont principalement orientés vers une consultation opérationnelle dans la console. Ils offrent peu de possibilités de personnalisation avancée, d’agrégation transverse ou d’analyse historique.

Dans de nombreux contextes, cela oblige encore les équipes à accéder directement à la console Intune pour obtenir des informations, ce qui limite la diffusion de la donnée et complique la prise de décision à des niveaux non techniques.

Objectifs d’un reporting Intune efficace

Un reporting Microsoft Intune efficace ne doit pas se contenter de restituer des données brutes. Il doit avant tout servir les enjeux opérationnels et décisionnels de l’entreprise.

L’objectif est de centraliser l’information, de la rendre lisible et exploitable, tout en garantissant un haut niveau de sécurité. Un bon reporting doit permettre d’avoir une vision globale de l’état du parc, tout en offrant la possibilité de zoomer sur des indicateurs précis selon les profils utilisateurs.

En effet, un bon dispositif de reporting doit notamment permettre de :

• centraliser les données Intune dans un référentiel unique,
• offrir une vision consolidée et historisée du parc,
• produire des indicateurs lisibles pour différents niveaux de décision,
• limiter l’accès direct à la console d’administration,
• renforcer la gouvernance et la sécurité des accès.

C’est dans cette optique qu’une approche basée sur Power BI et Microsoft Graph API prend tout son sens.

Aller plus loin : Formation de 2 jours sur la gestion avancée d’Intune avec Microsoft Graph API

Architecture de référence pour un reporting Intune automatisé

Pour répondre à ces enjeux, une architecture basée sur les services Azure s’impose naturellement. Elle permet de construire un pipeline de données robuste, sécurisé et maintenable dans le temps.

Chaque composant joue un rôle précis dans la chaîne de valeur du reporting :

• Microsoft Graph API pour l’accès aux données Intune,
• Azure Automation pour orchestrer les extractions,
• Azure Blob Storage pour stocker les données brutes,
• Azure Key Vault pour sécuriser les secrets,
• Managed Identity pour l’authentification sans mot de passe,
• Power BI pour la visualisation et l’analyse.

Cette combinaison permet de bâtir une solution 100 % automatisée, sans dépendance à des comptes techniques exposés.

L’automatisation complète du processus garantit la fiabilité des données dans le temps, tandis que l’utilisation des services natifs Azure permet de s’aligner sur les bonnes pratiques de sécurité cloud, notamment le principe du moindre privilège.

Comprendre Azure Automation, le moteur d’extraction des données Intune

Une fois l’architecture définie, Azure Automation devient le cœur opérationnel du reporting.

Azure Automation exécute des runbooks PowerShell planifiés qui interrogent Microsoft Graph API à intervalles réguliers. Ces scripts récupèrent les données nécessaires, les structurent et les exportent dans des formats exploitables.

Azure Automation est principalement utilisé pour :

• interroger Graph API sur les objets Intune ciblés,
• structurer les données (terminaux, conformité, applications),
• générer des fichiers CSV,
• déposer automatiquement les exports dans Azure Blob Storage.

La planification des runbooks permet de garantir une mise à jour régulière des indicateurs. Les logs d’exécution facilitent le suivi, le diagnostic et l’amélioration continue des scripts.

Microsoft Graph API pour exploiter les données Intune

Accéder à des données détaillées et exploitables

Microsoft Graph API est le point d’entrée unifié vers l’écosystème Microsoft. Dans le cadre du reporting Intune, son usage est incontournable.

Graph API permet d’extraire des informations fines sur :

• les appareils gérés,
• leur état de conformité,
• les politiques MDM appliquées,
• les applications déployées,
• les niveaux de mise à jour Windows.

Cette granularité permet de dépasser largement les capacités de reporting offertes par la console Intune.

Adapter les permissions aux besoins réels

Les permissions Graph API doivent être soigneusement sélectionnées en fonction des données à collecter. L’utilisation de permissions applicatives, associées à une Managed Identity, permet d’appliquer strictement le principe du moindre privilège.

Sécuriser l’architecture avec Managed Identity et Azure Key Vault

Authentification sans secrets grâce aux Managed Identities

La sécurité est un pilier fondamental de toute architecture de reporting, en particulier lorsque des données liées aux postes de travail sont manipulées.

La Managed Identity permet à Azure Automation de s’authentifier automatiquement auprès de Microsoft Graph et des ressources Azure, sans stocker de mot de passe ni de secret applicatif. Cette approche réduit fortement les risques de compromission.

Gestion centralisée des secrets avec Azure Key Vault

Lorsque certaines clés sont nécessaires, notamment pour l’accès au stockage depuis Power BI, Azure Key Vault permet de centraliser les secrets, contrôler finement les accès et d’appliquer des politiques de rotation.

Stocker et organiser les données Intune dans Azure Blob Storage

Une fois extraites, les données doivent être stockées de manière structurée pour être exploitées efficacement dans Power BI.

Azure Blob Storage offre une solution économique, hautement disponible et parfaitement intégrée à l’écosystème Azure. Il permet également de conserver un historique des données, indispensable pour l’analyse dans le temps.

Pour garantir la lisibilité et la maintenabilité du reporting, il est recommandé de :

• adopter un nommage horodaté des fichiers,
• séparer les données par type (devices, apps, conformité),
• mettre en place des règles de rétention,
• activer le Soft Delete pour prévenir les suppressions accidentelles.

Connecter les données à Power BI

C’est dans Power BI que les données prennent réellement de la valeur pour les équipes IT et les décideurs.

Power BI Desktop se connecte directement à Azure Blob Storage pour importer les fichiers CSV. Les données sont ensuite nettoyées, transformées et enrichies via Power Query afin d’obtenir un modèle cohérent et fiable.

Les tableaux de bord Power BI permettent de restituer les indicateurs sous forme visuelle, claire et interactive, facilitant la lecture et la prise de décision, même pour des profils non techniques.

Modéliser les données Intune

Avant de produire des visualisations, la modélisation des données joue un rôle déterminant.

La séparation entre tables de faits et tables de dimensions permet :

• d’améliorer les performances des rapports,
• de simplifier la création des visuels,
• de faciliter l’évolution du modèle dans le temps.

Une modélisation propre et cohérente réduit la dette technique et permet d’adapter le reporting à de nouveaux besoins sans refonte complète.

Choisir ses KPI

Un reporting Intune pertinent repose sur des indicateurs alignés avec les enjeux IT et métiers.

Parmi les indicateurs les plus fréquemment suivis, on retrouve :

• le taux de conformité des terminaux,
• le niveau de mise à jour Windows,
• la répartition par OS et par version,
• le taux de succès des déploiements applicatifs,
• le nombre d’appareils inactifs.

Ces KPI offrent une vision synthétique de l’état du parc et permettent d’anticiper les risques avant qu’ils n’impactent les utilisateurs ou la sécurité.

Gouverner l’accès aux rapports Power BI

La diffusion des rapports Power BI constitue une étape sensible du reporting Microsoft Intune. Les tableaux de bord contiennent souvent des informations critiques sur l’état de sécurité, la conformité ou l’exposition du parc, et doivent donc être accessibles uniquement aux personnes habilitées.

Power BI propose des mécanismes de gouvernance adaptés à ces enjeux, notamment à travers le Row-Level Security (RLS). Cette fonctionnalité permet de restreindre dynamiquement l’accès aux données en fonction du profil de l’utilisateur. Un responsable de service peut, par exemple, n’accéder qu’aux terminaux de son périmètre, tandis qu’une équipe centrale conserve une vision globale.

Cette approche évite la multiplication des rapports par population ou par entité, tout en garantissant un cloisonnement strict de la donnée. Elle s’inscrit pleinement dans une logique de gouvernance moderne, où la donnée est partagée de manière contrôlée, cohérente et sécurisée, sans compromettre la lisibilité ni la performance des rapports.

Industrialiser le reporting avec un pipeline Power BI

Pour qu’un reporting Intune soit réellement pérenne, il doit dépasser le cadre d’un tableau de bord isolé ou ponctuel. L’industrialisation du reporting passe par l’adoption d’une démarche structurée, inspirée des pratiques DevOps, appliquée aux rapports Power BI.

Les pipelines de déploiement Power BI permettent de gérer le cycle de vie complet des rapports à travers différents environnements, généralement développement, test et production. Cette organisation garantit que les évolutions sont testées, validées et maîtrisées avant d’être mises à disposition des utilisateurs finaux.

Au-delà de la simple mise en production, cette approche apporte de la traçabilité, réduit les risques d’erreur et facilite la collaboration entre équipes IT et métiers. Elle permet également d’aligner le reporting sur les standards de qualité et de gouvernance attendus dans des environnements IT matures, où la donnée devient un actif stratégique à part entière.

Conclusion sur les reporting Power BI dans Intune

Mettre en place un reporting Microsoft Intune automatisé avec Power BI et Microsoft Graph API permet de transformer des données techniques en véritables outils de pilotage. Cette démarche apporte une visibilité accrue, renforce la gouvernance et améliore la capacité des équipes IT à anticiper les risques.

Au-delà du reporting, il s’agit d’un levier de maturité pour le Modern Workplace, aligné avec les exigences actuelles de sécurité, de performance et de décision.

Cette année, une tendance majeure se confirme, l’IA ne se limite plus à Copilot, elle devient agentique. Autrement dit, ce sont des agents Copilot qui automatiseront et sécuriseront nos environnements Microsoft 365, Intune ou encore Entra ID.

L’événement a encore été riche en annonces dans tous les domaines mais nous allons nous concentrer sur les annonces majeures liées au domaine du Modern Workplace en débordant un peu sur Windows et M365.

Microsoft Ignite 2025 : l’intelligence artificielle arrive dans Microsoft Intune

Microsoft a profité d’Ignite 2025 pour dévoiler une nouvelle vision d’Intune : l’IA et les agents Copilot deviennent des piliers de cet outil de gestion.

Quels sont les objectifs de cette nouveauté liée à l’IA ?

Les objectifs sont simples :

• Simplifier la vie des administrateurs
• Renforcer la sécurité
• Automatiser les tâches les plus chronophages

Qui aura accès à cette fonctionnalité ?

Ces expériences d’IA seront accessibles à encore plus de professionnels avec l’annonce de l’intégration de Security Copilot dans le bundle Microsoft 365 E5. C’est une des grosses annonces de cet événement !

Cela va permettre de démocratiser l’accès à Security Copilot pour les organisations qui utilisent ce bundle et elles sont nombreuses.

Le déploiement de Security Copilot a commencé pour les clients disposant du bundle E5 et se poursuivra dans les mois à venir, vous serez averti 30 jours avant activation.

Plus d’infos sur cette annonce : https://www.microsoft.com/en-us/security/blog/2025/11/18/agents-built-into-your-workflow-get-security-copilot-with-microsoft-365-e5/

Les 3 agents Copilot qui vont faire leur apparition dans Microsoft Intune

Microsoft enrichit Intune avec trois nouveaux agents Copilot conçus pour automatiser les tâches récurrentes, renforcer la conformité et optimiser la sécurité opérationnelle. Ces agents agissent directement au cœur des processus d’administration pour rendre chaque action plus fiable, plus rapide et plus simple.

Vous pouvez les retrouver (sous réserve d’avoir la licence adéquate) en version preview dans la partie « Agents » sur le côté gauche de votre console d’administration Intune.

Aussi, le chat Copilot facilite le travail au quotidien en vous donnant des conseils et des recommandations exploitables, simplement en utilisant un langage naturel. Vous pouvez gérer tous les terminaux, y compris les PC Cloud Windows 365, directement depuis le chat.

Il est possible d’interroger les données venant d’Intune avec des requêtes simples et de les visualiser. Les types de données analysés par Copilot évoluent sans cesse avec dernièrement l’arrivée des données venant notamment d’Autopilot ou de EPM.

Plus d’infos en suivant ce lien : https://techcommunity.microsoft.com/blog/microsoftintuneblog/whats-new-in-microsoft-intune-at-ignite/4471043

Microsoft Ignite 2025 : les évolutions majeures de Windows 11

Nouvelles options de récupération pour Windows 11

Microsoft a fait un énorme travail sur les fonctionnalités de récupération des postes de travail Windows en les rendant plus disponibles et exploitable que ce soit sur site, au bureau ou à distance, par exemple au domicile d’un collaborateur.

On va parler ici de 4 fonctionnalités :

Toutes ces options permettront forcément aux équipes IT de gagner en agilité et efficacité en cas d’incident impactant les postes des utilisateurs.

Quelques infos sur cette partie : Windows Recovery and Remediation for Quick Machine Recovery

Nouveautés Windows 11 (IA et sécurité)

Windows 11 poursuit son évolution en intégrant nativement davantage de capacités d’IA et de sécurité.

Pour les bénéficiaires de PC Copilot +, on retiendra notamment :

On va terminer en faisant un tour coté virtualisation des postes de travail.

Microsoft Ignite 2025 : les nouveautés pour AVD et Windows 365

Microsoft Ignite 2025 apporte plusieurs évolutions majeures pour AVD et Windows 365, avec un objectif commun : renforcer la flexibilité d’accès, améliorer la sécurité et simplifier la gestion des environnements de travail virtuels. Ces nouveautés étendent les usages possibles, facilitent l’accueil d’utilisateurs externes et offrent de nouvelles garanties en matière de protection et de continuité d’activité.

Conclusion sur les annonces de la Microsoft Ignite 2025

Comme vous pouvez le voir, ces 3 jours ont été riches en annonces et ceux sur tous les domaines.

Si vous êtes curieux de découvrir les autres nouveautés, Microsoft a condensé le tout dans le Book Of News que vous pouvez trouver ici : Microsoft Ignite 2025 Book of News

De mon côté, j’ai hâte de pouvoir découvrir d’un peu plus près les nouveautés liées à Intune et Windows que j’ai pu vous exposé juste au-dessus et on vous en parlera sans doute sur des webinars prévus sur l’année 2026. Stay tuned 

Microsoft vient d’annoncer un changement majeur dans la gestion de Configuration Manager (SCCM) : à partir de septembre 2026, une seule version principale sera publiée chaque année, contre deux actuellement. Cette mise à jour sera essentiellement liée à la sécurité et la stabilité du produit : aucune innovation n’est à attendre sur SCCM. 

Ce n’est donc pas juste un ajustement, c’est un signal fort envoyé à tous.  

Le modèle traditionnel de gestion des postes (AD / SCCM) n’est clairement plus à privilégier, tandis que le modern management, porté par Intune et Entra ID, devient le cœur des investissements et des innovations pour les années à venir !  

Intune n’est plus l’alternative, c’est désormais la trajectoire à privilégier pour vos projets liés à la gestion des terminaux et cela vous aidera à répondre aux enjeux forts de sécurité et de mobilité. Le modern management n’est plus une tendance mais doit devenir la norme. 

Retour vers l’annonce de Microsoft à ce sujet : Announcing the Annual Release Cadence for Microsoft Configuration Manager | Microsoft Community Hub 

Pourquoi migrer vers une gestion moderne avec Microsoft Intune ?

La gestion des postes de travail a profondément évolué ces dernières années. 
Entre le travail hybride, la montée du cloud, la sécurité désormais devenue obligatoire et la diversité des appareils (Windows, macOS, mobiles…), les méthodes traditionnelles comme les GPO et SCCM montrent clairement leurs limites. 

C’est là qu’intervient Microsoft Intune, la brique centrale de la gestion moderne des postes de travail (Modern Management) couplé à Microsoft Entra ID. Mais qu’est-ce que cela change vraiment, et pourquoi tant d’entreprises franchissent aujourd’hui le pas ?

Microsoft investit massivement dans Intune, et cela se reflète dans :

• L’innovation continue : mises à jour mensuelles, intégration de Copilot for Security, automatisation via Graph API. 
• La gestion multiplateforme : Windows, macOS, iOS, Android, un peu de Linux… tout est couvert. 
• La simplification de l’infrastructure : plus besoin de serveurs locaux, de VPN ou de GPO complexes. C’est donc aussi une source d’économie. 
• La sécurité intégrée : hardening, conformité, protection des données, accès conditionnel, Defender for Endpoint. 
• L’expérience utilisateur moderne : déploiement zero touch (Autopilot), support à distance. 

La gestion moderne, une gestion centrée sur l’utilisateur et le cloud

La gestion moderne repose sur une logique inverse à la gestion traditionnelle (AD/SCCM) :

• On ne gère plus un poste à travers le réseau interne, mais à travers l’identité et le cloud.
• L’authentification passe par Entra ID.
• La gestion des appareils et des applications se fait via Microsoft Intune.
• Le déploiement initial est automatisé via Windows Autopilot.
• Les politiques de sécurité sont dynamiques et s’appliquent quel que soit l’endroit où se trouve l’utilisateur et à un rythme régulier.

Exemple :

Un nouvel employé reçoit un ordinateur neuf.
Dès qu’il le démarre et se connecte avec son compte Microsoft 365, le PC s’enrôle automatiquement dans Intune, récupère la configuration, les applications et les politiques de sécurité.
Aucune image, aucun VPN, aucun passage par le service IT.

C’est ce qu’on appelle le Modern Workplace.

Les avantages concrets d’une gestion moderne avec Intune

Adopter Microsoft Intune, ce n’est pas seulement changer d’outil : c’est transformer en profondeur la façon dont les postes sont déployés, sécurisés et administrés. Voici les principaux atouts du modern management :

Simplification du déploiement

La première étape vers une gestion moderne, c’est la simplification du déploiement des postes. Microsoft Intune et Windows Autopilot transforment complètement cette phase souvent chronophage pour les équipes IT :

• Windows Autopilot remplace l’imaging traditionnel.
• Plus besoin de maintenir des images customisées, drivers packs etc.
• Les paramètres, applications et politiques sont appliqués dynamiquement à l’enrôlement.
• Les nouveaux employés peuvent recevoir un PC directement chez eux, prêt à l’emploi. Plus besoin de l’IT.
• Gain de temps avec la réduction du délai de mise en service de plusieurs jours à quelques heures.

Sécurité renforcée

La sécurité est au cœur du modern management. Intune permet d’appliquer automatiquement des politiques de protection et de conformité, garantissant un niveau de sécurité homogène sur l’ensemble du parc :

• Intune applique automatiquement des politiques de sécurité et de mise à jour.  
• Chiffrement des données avec BitLocker et Personnal Data Encryption.
• Activation de LAPS pour protéger et sécuriser le compte administrateur local.
• Activation de Windows Hello pour protéger l’identité de l’utilisateur sur son poste.
• Gestion des mises à jour avec Windows Update for Business voire Autopatch.
• Mise en place du hardening en conformité avec le CIS en utilisant les security baseline intégrés.
• Mise en place de règles d’accès conditionnel pour contrôler l’accès au SI selon : l’identité de l’utilisateur, l’état de l’appareil ou son niveau de risque. 
• Si vous avez les licences > Intégration native avec Microsoft Defender for Endpoint : l’appareil non conforme peut être isolé ou bloqué automatiquement. 

C’est la mise en œuvre concrète du modèle Zero Trust.

Flexibilité et mobilité

La gestion moderne s’adapte aux nouveaux modes de travail hybrides. Avec Intune, les collaborateurs peuvent travailler en toute sécurité, où qu’ils soient et depuis n’importe quel appareil :

• Gestion unifiée de tous les appareils : Windows, macOS, iOS, Android. 
• Support des appareils BYOD (personnels) via des politiques MAM (Mobile Application Management). 
• Les collaborateurs peuvent travailler depuis n’importe où, avec un accès sécurisé et fluide. 

L’IT devient facilitateur plutôt que gendarme.

Réduction des coûts et de la complexité

Au-delà des aspects techniques, la gestion moderne a un impact direct sur les coûts et l’efficacité opérationnelle. En centralisant la gestion dans le cloud, Intune réduit considérablement la complexité de l’infrastructure :

• Moins de serveurs locaux à entretenir (SCCM, WSUS, AD). 
• Moins de scripts et d’interventions manuelles. 
• Une seule console cloud pour gérer tout le parc. 
• Administration plus rapide, reporting intégré avec possibilité de l’améliorer grâce à Graph API et PowerBI.

Intune et Entra ID apportent une vision centralisée, sécurisée et évolutive du parc.

Comment préparer la migration vers Intune

Migrer vers Intune, c’est un projet à part entière avec des étapes à ne pas négliger. En voici un résumé :

Evaluer l’existant

Avant toute migration vers Intune, il est indispensable de réaliser un état des lieux complet de votre environnement actuel pour identifier les dépendances et les points de vigilance :

• Inventaire complet des appareils et de leurs dépendances : OS, applis et GPO. 
• Analyse des dépendances à l’environnement PDT : AD, VPN, scripts, outils internes. 
• Cartographie des utilisateurs et de leurs usages (fixes, mobiles, hybrides). 
• Vérification de l’intégration actuelle avec Entra ID pour la partie identité. 

Objectif : identifier ce qui peut être migré, remplacé ou supprimé.

Choisir le mode de transition

Une fois l’analyse réalisée, il est temps de définir la stratégie de bascule vers la gestion moderne. Deux approches principales s’offrent à vous, selon votre niveau de maturité et votre contexte technique :

Co-management (SCCM + Intune)

Le mode co-management permet de faire coexister SCCM et Intune sur une même période. C’est une approche progressive qui offre le temps de tester, d’ajuster et de transférer les charges de travail vers Intune sans perturber la production :

• Les appareils restent gérés par SCCM, mais certaines charges (mises à jour, déploiement d’applications, conformité) peuvent être basculées progressivement vers Intune.
• Ce modèle facilite la transition tout en limitant les risques liés à un changement brutal.
• Il nécessite toutefois une configuration hybride (Hybrid Azure AD Join) et une synchronisation entre les environnements locaux et cloud.

Le co-management peut sembler une passerelle idéale vers Microsoft Intune pour les utilisateurs venant de SCCM mais apporte un niveau de complexité liés notamment à l’hybridation qu’il ne faut pas négliger. Il faut retenir que c’est un chemin vers le modern management et pas une finalité.

Cloud native

L’approche cloud-native s’adresse aux environnements modernes souhaitant se libérer totalement de l’infrastructure locale. Elle offre une gestion simplifiée, agile et parfaitement intégrée à l’écosystème Microsoft 365 :

• Pour les nouveaux appareils ou lors d’un replace / refresh 
• Azure AD Join + Intune direct via Autopilot. 
• Moins d’infrastructure, plus d’agilité.

Pourquoi pas profiter d’un changement de parc, d’un remplacement de poste ou d’une remasterisation pour le basculer à la cible cloud-native ?

Intune et Entra ID : préparer l’environnement et bâtir le socle

Avant de déployer massivement, il est essentiel de poser des fondations solides. La préparation de l’environnement Intune et Entra ID permet d’assurer la cohérence, la sécurité et la fiabilité de votre dispositif :

• Acheter et configurer les licences adéquates : Intune Plan 1/2 ou Microsoft 365 E3/E5. Il y a plusieurs plans de licences qui intègrent Intune.  
• Créer des groupes dynamiques (appareils Windows 11, utilisateurs Finance…). 
• Packager vos applicatifs 
• Mettre en place les profils de configuration (Hardening, sécurité paramètres Windows, Wi-Fi, VPN, restrictions) et configurer Windows Update for Business.  
• Activer et configurer Autopilot pour automatiser le déploiement. 
• Définir les politiques de conformité : OS à jour, BitLocker, antivirus, etc 
• Configurer les accès conditionnels pour lier sécurité et conformité. 

Lancement d’un pilote

Une phase pilote bien menée est la clé d’une migration réussie. Elle permet de tester en conditions réelles, de recueillir les retours des utilisateurs et d’ajuster les paramètres avant le déploiement global :

• Sélectionner un groupe pilote (10 à 50 utilisateurs). 
• Tester les configurations, le déploiement d’applications et la conformité. 
• Collecter les retours via un canal Teams ou un formulaire. 
• Ajuster les politiques et la documentation avant le grand déploiement global. 

Un pilote réussi = une migration sans problème.

Ensuite on étend le déploiement progressivement, tout en ne négligeant pas les aspects communication et accompagnement aux changements auprès des équipes IT notamment. Une migration bien planifiée peut s’étaler sur plusieurs mois selon la taille de votre parc. Les KPI présentes dans le portail Intune vous permettront de suivre ce déploiement.

Optimisation et maintien en conditions opérationnelles

Une fois la migration déployée, le travail ne s’arrête pas. L’optimisation continue et le maintien en conditions opérationnelles garantissent la performance, la conformité et la pérennité de l’environnement :

• Suivre la conformité de votre parc en continu. 
• Automatiser le nettoyage des appareils inactifs. (Penser à mettre en place des actions d’automatisation pour nettoyer aussi Entra ID) 
• Mettre à jour régulièrement les profils et politiques selon vos besoins.
• Former les équipes IT et le support à ces nouveaux outils, nouvelles méthodes.

Réussir sa migration vers Intune : évitez ces erreurs courantes

Pour protéger vos utilisateurs et sécuriser votre parc, il est important de connaître les erreurs fréquentes qui peuvent survenir lors d’un projet de migration vers Intune, à savoir :

• Négliger l’analyse initiale : les dépendances non identifiées (scripts, GPO, applis locales) bloquent souvent la migration. 
• Vouloir tout migrer d’un coup : mieux vaut un déploiement progressif  
• Oublier la communication interne : tout le monde doit comprendre les bénéfices de cette gestion moderne 
• Sous-estimer la sécurité : c’est primordial  ! 
• Ignorer la formation des équipes : une équipe non formée limitera le succès de la modernisation.

Conclusion

Migrer vers une gestion moderne avec Intune et Entra ID, c’est bien plus qu’un simple projet technique. C’est une évolution stratégique vers une IT plus agile, sécurisée et centrée sur l’expérience utilisateur. 

La question n’est plus “Faut-il migrer vers Intune ?” mais “Quand et comment bien le faire ? ». Vous avez toutes les clés pour bien réussir votre projet 

Pensée pour renforcer le contrôle des actions sensibles comme le déploiement d’applications, de scripts, voire le lancement d’action critiques comme un remote wipe, cette approche impose une validation croisée entre administrateurs avant toute modification critique.

Cette fonctionnalité existe déjà depuis quelques temps dans Intune mais a évolué dernièrement. Le moment idéal pour refaire un tour d’horizon du MMA au travers d’un article 

Quels sont les objectifs du Multi Admin Approval dans Intune ?

Le Multi Admin Approval dans Intune apporte plusieurs bénéfices pour renforcer la sécurité et le pilotage des environnements IT.

Parmi les principaux avantages :

• Prévenir les erreurs humaines : Un administrateur peut, par inadvertance, déployer une application défaillante ou un script mal configuré. Grâce à MAA, vous imposez une validation par un pair avant le lancement du déploiement.
• Limiter les risques en cas de compromission : Si un compte admin est compromis, l’attaquant ne pourra pas déployer un ransomware ou désactiver une protection sans approbation d’un autre administrateur.
• Renforcer la gouvernance : Grâce aux journaux d’audit, MAA permet de tracer les décisions critiques, ce qui peut être essentiel en cas d’audit.
• Encourager la collaboration : Les équipes IT doivent se coordonner pour valider ensemble les actions sensibles, ce qui améliore la communication entre elles et la transparence.

Lire aussi : Zero Trust : comment sécuriser les appareils avec Intune ?

Multi Admin Approval : quelles actions peuvent être protégées dans Intune ?

Les politiques MAA permettent aujourd’hui de sécuriser plusieurs types d’actions :

• Le déploiement d’applications,
• Le déploiement de scripts PowerShell,
• Les actions sur l’appareil comme un effacement ou une suppression de la console,
• La création de politiques d’accès MAA,
• La gestion des rôles via RBAC.

Les stratégies de configuration et de conformité ne sont pas encore prises en charge mais on peut penser que cela sera le cas dans un futur proche (je l’espère et cela serait logique ).

Les bonnes pratiques avant la mise en place d’Intune Multi Admin Approval

Avant de voir comment mettre en place cette fonctionnalité, quelques tips à savoir :

• Intune n’envoie pas d’alertes lorsqu’une nouvelle demande est créée ou lorsqu’une demande existante change de statut. Par conséquent, si vous soumettez une demande urgente, il est préférable d’en informer directement un approbateur.
• Vous pouvez toujours suivre vos demandes dans le centre d’administration Intune.
• S’il existe déjà une approbation en attente pour un objet, vous ne pouvez pas soumettre une autre demande tant que celle-ci n’est pas résolue.
• Chaque étape du processus de demande et d’approbation est enregistrée dans les journaux d’audit Intune.

Comment fonctionne le processus d’approbation ?

Lorsqu’un administrateur modifie ou crée un objet protégé par une politique MAA, une justification (la raison de la modification) lui est demandée lors de la création de celui-ci. Cette justification est incluse dans la demande d’approbation.

Pour les demandeurs

Après avoir soumis une demande, vous pouvez la suivre dans le centre d’administration Intune sous Administration des locataires > Approbation multi-administrateurs > Mes demandes.

Pour les approbateurs

Ils accèdent à la page Demandes reçues, où ils voient les demandes en attente, ainsi que des détails tels qui les a soumises, quand et de quel type de modification il s’agit.

À partir de là, l’approbateur :

• Clique sur le lien Justification pour voir les détails indiqués par le demandeur,
• Peut ajouter des notes,
• Choisit d’approuver ou de rejeter la demande.

En cas de rejet, la justification est partagée avec le demandeur afin qu’il en connaisse les raisons.

Quand le demandeur est aussi approbateur

Si une personne est à la fois demandeur et approbateur, elle verra toujours sa demande dans la section « Demandes reçues », mais ne pourra pas approuver ses propres modifications.

Processus post-approbation

Lorsqu’une modification est approuvée, Intune la traite et met à jour l’objet. Pendant le traitement, le statut est « Approuvé ». Le demandeur initial doit ensuite cliquer sur « Terminer » pour lancer la modification. Une fois la modification effectuée, le statut passe à « Terminé ».

Les statuts restent actifs pendant 30 jours. Si rien ne se passe pendant ce temps, la demande expire et doit être soumise à nouveau.

Comment mettre en place la politique Multi Admin Approval dans Intune ?

Prérequis pour la configuration

Pour utiliser l’approbation multi-administrateur, vous devez posséder au moins deux comptes d’administrateur. Un compte est utilisé pour créer les stratégies, le deuxième pour les approuver.

Pour créer une access policy, vous devez posséder le rôle « Intune Administrator » ou avoir le rôle approprié avec les permissions « Multi Admin Approval ».

Le compte de l’administrateur doit faire partie du groupe d’approbation pour être en mesure d’approuver la stratégie ciblée.  Ce même groupe d’approbation doit aussi être membre d’un ou plusieurs rôles Intune.

Mise en place d’une access policy en quelques clics

Voilà c’est prêt  C’est cette policy qui permettra de placer le mécanisme d’approbation.

Les actions liées aux objets ciblés dans cette politique sont désormais sécurisées au sein de votre tenant Intune.

Process de justification et d’approbation d’une demande de modification d’un objet sécurisé

Bon à savoir et rappel : Intune n’envoie pas de notifications aux approbateurs lorsque de nouvelles demandes sont créées, ni au demandeur lorsque le statut d’une demande existante change.

Conclusion : pourquoi adopter le Multi Admin Approval dans Intune ?

La fonctionnalité Multi-Admin Approval marque une avancée majeure dans la sécurisation des actions effectuées dans Microsoft Intune. En imposant une validation croisée entre administrateurs, elle réduit considérablement les risques liés aux erreurs humaines ou aux actions malveillantes.

Adopter cette fonctionnalité, c’est faire le choix d’un pilotage plus rigoureux et collaboratif de son infrastructure Intune.

L’absence d’alerte lorsqu’une demande est en attente peut être un frein à sa mise en place, mais elle peut probablement être automatisée ; une piste à explorer prochainement ! (Peut-être même que Microsoft l’a en visu )

Pour plus d’infos, lien vers la documentation Microsoft : https://learn.microsoft.com/en-us/intune/intune-service/fundamentals/multi-admin-approval

Cette nouveauté dans l’expérience OOBE avait été évoquée il y a quelques mois mais reportée à la suite de retours d’ingénieurs Modern Workplace, qui demandaient plus de contrôle sur le paramétrage (auparavant limité à un simple ON/OFF).

Nouveauté avec Autopilot : installation des mises à jour dès l’OOBE

C’est désormais chose faite : la fonctionnalité est activable ou non, et la prise en charge de vos rings de mise à jour est possible. Il suffira pour cela d’assigner, sur votre groupe Entra ID contenant vos postes Autopilot, le profil Windows Update for Business adéquat.

Le paramétrage de l’expérience OOBE sera disponible à partir de la mise à jour Windows de septembre 2025. Il faudra peut-être patienter quelques jours au au moment où vous lisez cet article !

L’activation de cette nouvelle fonctionnalité permettra de :

• Renforcer la sécurité dès la livraison du poste de travail à l’utilisateur en lui fournissant un poste sans retard de mise à jour.
• Améliorer l’expérience utilisateur, l’utilisateur n’aura pas un redémarrage supplémentaire pour l’application des mises à jour après la livraison de son poste.

Quels sont les prérequis pour utiliser cette fonctionnalité OOBE ?

Pour activer cette nouveauté, vous devez :

• Disposer de Windows 11 version 22H2 ou ultérieure avec les éditions Pro, Enterprise ou Education.
• Utiliser Microsoft Intune pour gérer les mises à jour de qualité Windows.
• Utiliser Windows Autopilot avec un profil ESP (Enrollment Status Page).
• Installer l’une des mises à jour requises suivantes :
  • Mise à jour OOBE zero-day patch (ZDP) d’août 2025.
  • Mise à jour non liée à la sécurité de juin 2025 ou ultérieure.

Comment configurer Windows Autopilot dans Microsoft Intune ?

La configuration est simple :

• Rendez-vous dans votre profil ESP
• Vous trouverez le paramétrage « Install Windows Quality updates »…

• Sur les profils existants, le paramétrage sera mis à « NO »
• Si vous voulez que les mises à jour s’installent automatiquement, basculez sur « YES » et sauvegardez le profil.

Comme indiqué plus haut, si vous avez des contraintes particulières au niveau paramétrage Windows Update (Par exemple une deferral period), n’oubliez pas d’affecter le même groupe Entra ID des deux cotés (ESP et Ring Windows Update), celui-ci sera pris en compte.

Windows Autopilot : quels impacts sur l’expérience utilisateur ?

L’appareil va lancer une analyse Windows update au niveau de la dernière page de l’OOBE et installer toutes les mises à jour disponibles en prenant en compte vos paramétrages Windows Update for Business.

L’utilisateur aura donc un poste sécurisé dès son premier login et c’est là tout l’intérêt de cette fonctionnalité 

Conclusion : Windows Autopilot, un atout sécurité pour vos environnements IT

Même si le temps de préparation est légèrement plus long, l’activation de cette fonctionnalité dans la phase OOBE dans Windows Autopilot est un choix stratégique dans un contexte où la sécurité est primordiale.

En livrant des postes déjà à jour et sécurisés, vos équipes IT gagnent en efficacité et vos utilisateurs profitent d’une expérience fluide dès leur première connexion.

Retour sur l’annonce officielle de Microsoft : Get ready for Windows quality updates out of the box – Windows IT Pro Blog

Apple a récemment annoncé une mise à jour majeure lors de sa Worldwide Developers Conference 2025 qui résout l’un des plus gros maux de tête des administrateurs : la migration des appareils macOS et iOS/iPadOS d’une solution de gestion des appareils mobiles (MDM) à une autre sans réinitialisation d’usine, sans réinscription manuelle ou perte de configuration.

A savoir sur cette nouvelle fonctionnalité :

• Elle est directement intégrée à Apple Business Manager sans surcoût.
• La migration de MDM est pratiquement transparente pour l’utilisateur, nous le verrons plus bas.
• Elle est parfaite pour les organisations souhaitant unifier leur environnement au sein d’un même MDM et ainsi réduire la charge opérationnelle de leur équipe.

Nous allons voir dans cet article comment utiliser cette fonctionnalité pour migrer d’un MDM vers Microsoft Intune.

Avant de commencer, il est à noter que cette fonctionnalité n’est disponible qu’avec MacOS26 / iOS-iPadOS26. Pour MacOS, une solution manuelle à base de script existe pour les appareils ne disposant pas de cette version.

Etape 1 : Phase de pré-migration

Inventaire matériel

Tout d’abord, il faut créer un inventaire détaillé de tous les appareils de votre organisation.

Une attention particulière doit être portée sur l’OS qu’il exécute. Comme évoqué plus haut, il faut un OS en version 26 mini.

Documenter les configurations du MDM actuel

Dans un second temps, il est important d’auditer et documenter toutes les configurations existantes : profil de configurations / scripts / applications déployées… Considérez que c’est le bon moment pour faire un tri.

Configurer les services Apple dans Microsoft Intune

Puis, vous pouvez ajouter le certificat push Apple nécessaire à la bonne communication entre le MDM et les appareils. Cela permet d’établir la relation de confiance entre Apple Business Manager et Microsoft Intune.

Configurer Microsoft Intune

Enfin, à l’aide des configurations documentées dans l’étape 2, vous pouvez répliquer les configurations existantes dans Microsoft Intune (profils / scripts / apps). Il est important de tester ces configurations sur un appareil de test avant de les déployer sur vos appareils cibles.

Etape 2 : Phase de migration – Flux Admin

Migration via Apple Business Manager

Voici les différentes actions à mettre en place :

• Sélectionnez les appareils concernés.
• Sélectionnez le serveur vers lequel vous souhaitez migrer l’appareil. Dans notre cas, il s’agit d’Intune.
• Définissez une date limite de migration et validez.
• Laissez la magie faire le reste !

Etape 3 : Phase de migration – Flux End-user

Migration sur l’appareil

Voici les différentes étapes qui vont se dérouleront du côté de l’utilisateur :

• L’utilisateur reçoit une notification lui indiquant un changement de configuration prévu.
• Il suit le processus d’inscription : il faudra prévoir sans doute un petit accompagnement au changement.
• Si l’utilisateur ne tient pas compte de la notification et si la date limite fixée par l’administrateur est dépassée, la migration s’effectue automatiquement en plein écran.
• L’appareil est automatiquement enrôlé dans Microsoft Intune et reçoit ses nouvelles configurations et cela sans nécessité de redémarrage.

Quelques screens de l’expérience utilisateur. Ultra simple comme vous pouvez le voir 

Etape 4 : Vérification post-migration

Vérification

Voici quelques conseils :

• Vérifiez dans le centre d’administration Intune que les appareils sont bien enrôlés et qu’ils appliquent les configurations attendues par vos équipes.
• Pour le déploiement il est toujours plus prudent de commencer par un lot pilote pour identifier les éventuels impacts et ainsi, les corriger.

Conclusion

Cette fonctionnalité / évolution est un vrai game changer pour nos projets de migration de MDM vers Microsoft Intune. Elle simplifie grandement les choses et simplifie l’expérience utilisateur au maximum. Plus besoin de reset, de backup manuel, ou d’intervention utilisateur lourde.

Bravo Apple 

Si vous voulez en savoir plus sur les possibilités de gestion Apple avec Microsoft Intune, vous pouvez consulter notre guide Gérer ses appareils Apple dans Intune.

Dans un monde où les outils collaboratifs sont devenus la norme, Microsoft Teams et One Drive sont au cœur de la productivité de nombreuses organisations disposant de licences Microsoft 365.

Que se passe-t-il quand des problèmes de synchronisation OneDrive apparaissent ou que Microsoft Teams devient lent sans vraie raison apparente ?

Pour les utilisateurs finaux, c’est souvent un irritant. Pour les équipes du support informatique, assurer une qualité de service liée aux outils collaboratifs est un défi permanent.

C’est là qu’entre en jeu deux dashboards mis à disposition par Microsoft pour surveiller et anticiper les problématiques liées à OneDrive et à Teams :

• Teams Client Health Dashboard
• OneDrive Sync Health Report

Ces tableaux de bord permettent d’avoir une vue d’ensemble sur l’état de santé de OneDrive et Teams sur les postes de travail des utilisateurs. Ils offrent des indicateurs clairs, des rapports détaillés et aident à cibler rapidement les actions nécessaires à mener pour rendre le service rapidement.

Dans cet article, nous allons découvrir comment ces outils fonctionnent, comment les mettre en place et ce qu’ils peuvent vous apporter dans votre quotidien.

Pourquoi surveiller la santé de vos applications Microsoft 365 ?

Les outils collaboratifs sont au cœur de la productivité et de la communication interne. Un ralentissement de Teams ou une erreur de synchronisation OneDrive peut vite avoir un impact sur l’activité.

Grâce aux données de télémétrie Windows, les dashboards intégrés permettent de :

• améliorer l’expérience utilisateur au quotidien,
• détecter rapidement les incidents,
• identifier les causes récurrentes,
• intervenir sans attendre l’ouverture d’un ticket.

Présentation de Teams Client Health Dashboard

Commençons tout d’abord par le dernier né et qui a été publié il y a de çà quelques semaines, Teams Client Health Dashboard.

Il s’agit d’un tableau de bord mis à disposition par Microsoft dans le Microsoft 365 Admin Center. Celui-ci se concentre exclusivement sur l’état de santé du client Teams installé sur les postes de travail. On parlera ici des versions intégrées dans les M365 Apps ou encore la version MSI machine-wide.

L’objectif est simple :

• Permettre aux équipes supports ou administrateurs de visualiser très simplement et rapidement les problèmes que rencontrent les utilisateurs finaux lorsqu’ils utilisent l’application Teams (plantages, problèmes d’exécution, obsolescence des versions…)
• Améliorer la réactivité des équipes supports grâce à ces insights et de manière proactive.
• Standardiser les versions de Teams sur votre parc.

Les données projetées dans ce dashboard sont directement recueillies grâce à la télémétrie intégrée de Microsoft Windows, lorsque celle-ci est activée. Le niveau doit être paramétré sur « Requis ».

Voici un aperçu du dashboard disponible, vous pourrez trouver en quelques clics des informations comme :

• Les clients Teams en bon état de fonctionnement, ceux rencontrant des erreurs, et ceux qui posent problème.
• Il est possible d’apposer des filtres pour cibler un problème (Version de Teams / Version de Windows / Typologie d’erreur ou encore région Entra ID)
• Pour chaque erreur, des informations précises sont disponibles : messages d’erreur, codes, fréquence d’occurrence, nombre d’utilisateurs impactés, etc.
• Le tout avec 28 jours d’historique et une possibilité d’extraire ces données pour les exploiter dans PowerBI par exemple.

Bien que le Teams Client Health Dashboard soit un outil précieux pour superviser vos outils collaboratifs, il présente quelques limitations techniques à prendre en compte pour bien calibrer son usage :

• La non prise en charge de la version Web ou mobile.
• Les postes doivent être joints à Entra ID ou Hybrid Entra ID.
• Les données ne sont pas en temps réel, prévoir jusqu’à 24h de latence
• Pas de remontée sur la qualité du réseau.

Pour en savoir plus sur l’annonce, cliquez ici.

Introduction OneDrive Sync Reports

Maintenant parlons du 2^e dashboard : OneDrive Sync Reports.

Comme Teams Client Health Dashboard, le OneDrive Sync Report est un tableau de bord intégré à Microsoft 365 Admin Center. Celui-ci se concentre exclusivement sur la synchronisation des clients OneDrive Windows et MacOS.

Il va vous permettre notamment de :

• surveiller les erreurs de synchronisation sur les clients OneDrive.
• Identifier les utilisateurs impactés par ces erreurs.
• Connaitre l’état de déploiement des Known Folders OneDrive.
• Connaitre l’état des versions OneDrive sur le parc.

Voici un aperçu du dashboard disponible, vous pourrez trouver en quelques clics des informations comme le nombre d’appareils présentant des erreurs de synchronisation ou non.

Vous pouvez aussi avoir du détail et regrouper les erreurs par type d’erreur, région Entra ID ou version d’application.

Vous disposez d’un historique de 30 jours et comme pour Teams, le tout est exportable pour un rendu via PowerBI.

Contrairement au Teams Health Dashboard, la mise en place du dashboard OneDrive nécessite le déploiement d’un profil de configuration sur les postes de travail pour les liés au tenant.

Cela peut être fait avec notre MDM favori Microsoft Intune ou via GPO pour les plus anciens 

Pour plus d’infos sur la configuration à appliquer, suivre ce lien : OneDrive sync reports in the Apps Admin Center – SharePoint in Microsoft 365 | Microsoft Learn

Quelques limitations à noter tout de même comme :

• La non prise en charge de la version Web
• Les données ne sont pas en temps réel, prévoir jusque 24h de latence
• L’appareil doit être en ligne au minimum 5 heures pour que ces données remontent.

Conclusion

Dans un environnement IT où les outils collaboratifs prennent de plus en plus de place, les équipes informatiques doivent garantir à la fois leur fiabilité et garantir une expérience utilisateur irréprochable.

Les outils Teams Client Health Dashboard et OneDrive Sync Health Report répondent aux besoins de visibilité voulus.

En centralisant les données issues de la télémétrie Windows, ils permettent aux administrateurs de :

• détecter plus rapidement les incidents côté client,
• analyser les causes récurrentes de dysfonctionnement,
• intervenir de manière ciblée auprès des utilisateurs concernés,
• améliorer la qualité de service globale sans attendre une alerte ou un ticket.

Ces dashboards apportent une brique essentielle et utile pour aider les équipes support dans leur diagnostic.

Dans les environnements de production, il arrive fréquemment qu’un déploiement doive être stoppé en urgence, notamment pour des raisons de sécurité (faille critique, incompatibilité, erreur de version, etc.). Or, les métriques de remontée de conformité dans SCCM peuvent présenter un délai non négligeable, rendant difficile une réaction rapide et ciblée.

Détection d’un logiciel spécifique via une baseline MECM/SCCM

Ce guide propose une solution proactive, basée sur une baseline de conformité personnalisée, permettant de :

• Identifier rapidement les machines ayant reçu l’application ciblée
• Classer dynamiquement les postes selon leur état de conformité 
• Faciliter la désinstallation ciblée et rapide de l’application concernée

Dans cet article, nous vous guidons pas à pas pour créer une baseline dans MECM/SCCM permettant de détecter la présence d’un logiciel spécifique (nommé ici « test ») sur les postes clients. Vous apprendrez à :

• Créer un script PowerShell de détection
• Configurer un élément de configuration (Configuration Item)
• Créer une baseline
• Déployer la baseline
• Créer des collections dynamiques basées sur la conformité
• Utiliser des requêtes WQL pour filtrer les machines

Créer un script PowerShell de détection

Ce script vérifie si un logiciel nommé « test » est présent parmi les programmes installés, en inspectant les chemins de registre classiques de Windows (clés ARP 64 bits et 32 bits). Il retourne :

• 1 si le logiciel est trouvé
• 0 sinon 

Configurer un élément de configuration (CI)

Explication : cette étape permet de définir la règle de détection du logiciel. Le CI sert de base à l’évaluation de conformité sur les postes clients via un script personnalisé.

1. Ouvrir la console Configuration Manager.
2. Aller dans Assets and Compliance > Compliance Settings > Configuration Items.
3. Cliquer sur Create Configuration Item.
4. Nommer l’élément : CI – Présence logiciel test.
5. Cochez Windows Desktops and Servers (custom) ou soit que les desktops ou que les serveurs en fonction des besoins.
6. Dans l’onglet Settings, cliquez sur New :
   • Name : Détection logiciel test
   • Setting type : Script
   • Data type : Integer
   • Ajouter le script PowerShell ci-dessus.
7. Dans l’onglet Compliance Rules, cliquez sur New : 
   • Rule type : Value 
   • Equals → 1 
   • Cochez Report noncompliance if this setting is not met

Créer une baseline

Explication : la baseline regroupe un ou plusieurs éléments de configuration (CI) pour en automatiser l’évaluation sur les postes clients. Elle permet de centraliser la vérification de conformité et de la déployer à grande échelle.

1. Aller dans Configuration Baselines.
2. Cliquer sur Create Configuration Baseline.
3. Nom : Baseline – Vérification logiciel test. ( nommage important, il sera réutilisé en WQL)
4. Ajouter l’élément de configuration créé précédemment.

Déployer une baseline

Explication : le déploiement permet d’appliquer la baseline à une ou plusieurs collections de machines. C’est ce qui déclenche l’évaluation automatique de la conformité sur les postes ciblés.

1. Clic droit sur la baseline > Deploy.
2. Sélectionner une collection cible (ex. : All Workstations).
3. Définir une planification (ex. : tous les jours).
4. (Optionnel) Cochez Remediate noncompliant rules when supported. Si un script de REM est déjà présent dans le CI (inutile dans notre cas).

Créer des collections dynamiques basées sur la conformité

Explication : les collections dynamiques permettent de regrouper automatiquement les machines selon leur état de conformité. Elles facilitent le ciblage des actions à mener, comme la désinstallation ou le redéploiement.

Machines avec le logiciel (compliant) :

Machines sans le logiciel (non-compliant) :

Annexe 1 : valeurs de ComplianceState

Dans MECM, la valeur de ComplianceState correspond à :

• 0 → Unknown (jamais évalué ou état inconnu)
• 1 → Compliant (conforme)
• 2 → Non-compliant (non conforme)

Donc pour détecter les machines sans le logiciel, on utilise bien ComplianceState = 2.

Annexe 2 : suivi du déploiement dans MECM

Pour surveiller l’état de déploiement d’une baseline dans MECM :

• Accède à Monitoring > Overview > Deployments
• Recherche le nom de la baseline
• Clic droit > View Status

La vue se divise en 4 onglets :

• Compliant : logiciel détecté
• Non-Compliant : logiciel absent
• Error : erreur d’exécution
• Unknown : état non évalué

Chaque onglet affiche un tableau détaillé par machine, utile pour cibler les actions correctives.

Le modèle Zero Trust s’impose aujourd’hui comme incontournable face à la montée en puissance et à la sophistication des cybermenaces.

Les entreprises doivent adopter une approche qui considère que tout accès, qu’il soit interne ou externe, peut potentiellement représenter un risque pour son SI. Cela exige une validation systématique de chaque demande d’accès au SI, indépendamment de son origine et de son contexte.

Le modèle Zero Trust repose sur une approche de sécurité qui remet en question le principe traditionnel de confiance implicite envers l’utilisateur. Plutôt que de supposer qu’un utilisateur ou un appareil au sein du réseau est fiable, il applique systématiquement le principe « never trust, always verify ».

Chaque demande d’accès est soumise à une authentification et à une inspection afin de détecter toute anomalie avant d’accorder l’accès. Cela permet aussi de sécuriser l’accès aux ressources de l’entreprise via des appareils personnels (BYOD).

Au cœur de cette stratégie, Microsoft Intune se distingue comme un outil essentiel et incontournable pour une gestion optimale des postes de travail ou des terminaux mobiles. Il facilite l’adoption de ce modèle et renforce ainsi la protection des données de l’entreprise.

À travers cet article, découvrons comment Microsoft Intune peut vous aider à adopter le modèle Zero Trust et ainsi prévenir les menaces.

Gestion des politiques de conformité dans Intune

Une des briques à implémenter sera l’utilisation des politiques de conformité.

En définissant et intégrant celles-ci, vous vous assurerez que les périphériques qui doivent accéder aux ressources de votre entreprise répondent aux critères de sécurité établis.

Microsoft Intune permet de mettre en place des règles de conformité « by-design » qui permettent de contrôler notamment l’état de l’antivirus Windows Defender, du firewall Windows, du chiffrement Bitlocker, voire de positionner une exigence sur la version minimale du système d’exploitation.

Petit exemple des règles disponibles par défaut :

Il est également possible de mettre en place des politiques de conformité « Custom » qui iront contrôler des paramétrages propres à votre contexte et qui ne sont pas disponibles par défaut. On peut penser à une vérification de la présence d’un mot de passe BIOS ou à la présence d’un EDR tiers.

Pour plus d’infos : https://learn.microsoft.com/en-us/intune/intune-service/protect/compliance-use-custom-settings

Lors de la création d’une politique de conformité, deux actions seront nécessaires de votre côté :

• La définition des règles à intégrer dans ces politiques.
• Les actions à réaliser en cas de non-conformité > Il est possible d’envoyer un mail à l’utilisateur pour l’informer, par exemple.

Lire aussi : Endpoint Security : comment gérer la sécurité dans Intune ?

Stratégie d’accès conditionnel avec Intune

Microsoft Intune fonctionne main dans la main avec Entra ID pour appliquer ces stratégies d’accès conditionnel. L’accès conditionnel est un des piliers du Zero Trust, car il garantit que les utilisateurs et les appareils remplissent des conditions spécifiques avant d’accéder aux ressources.

Les politiques de conformité vues un peu plus haut entrent en jeu à ce moment précis, car un des critères possibles pour l’accès aux ressources de l’entreprise est la conformité du poste. Si le poste n’est pas conforme, il se voit refuser l’accès.

D’autres critères importants sont à prendre en compte, comme l’exigence d’une authentification multifacteur pour vérifier l’identité de l’utilisateur ou l’accès basé sur la localisation, ou là vous pouvez limiter l’accès en fonction des régions géographiques.

Lire aussi : MDM Intune : top 8 des règles d’accès conditionnel

Sécurisation des appareils avec Intune

Grâce à Microsoft Intune, vous pouvez gérer directement la sécurisation de vos appareils :

• Déployer directement les security baselines liées à Windows, Office 365, Microsoft Edge. Les security baselines sont des profils préconfigurés par Microsoft et regroupant les bonnes pratiques au niveau sécurité, elles sont bien sûr adaptables à votre environnement.
• Vous pouvez aussi déployer vos propres paramètres de hardening directement grâce à des profils de configuration ou des scripts PowerShell.
• Vous pouvez également intégrer l’EDR Microsoft Defender for Endpoint directement à Microsoft Intune pour onboarder les postes dans cette solution et ainsi avoir une console centralisée (dans ce cas, Microsoft Intune) qui permet de pousser le paramétrage de l’EDR. Selon le niveau de licence (P1 ou P2), vous pourrez aussi gérer les remontées et vulnérabilités.

Protection des applications et des données

Les stratégies de protection des applications dans Intune permettent de protéger les données d’entreprise au niveau de l’application, sans nécessiter d’inscription de l’appareil. Ceci est particulièrement utile dans les scénarios BYOD (Bring Your Own Device).

Les principales stratégies configurables sont les suivantes :

• Exiger un code confidentiel ou une empreinte digitale pour accéder à la messagerie d’entreprise sur un appareil mobile personnel
• Empêcher les utilisateurs de copier et coller des données d’entreprise dans des applications personnelles
• Restriction de l’accès aux données d’entreprise uniquement aux applications approuvées (Exemple : Messagerie d’entreprise uniquement sur Outlook)

Pour plus d’informations, rendez-vous ici : App protection policies overview – Microsoft Intune | Microsoft Learn

Moindre privilège et RBAC (contrôle d’accès en fonction du rôle)

Un autre des principes clés du modèle Zero Trust est d’accorder aux utilisateurs uniquement l’accès dont ils ont besoin pour effectuer leur tâche.

Microsoft Intune prend en charge cela avec le contrôle d’accès en fonction du rôle (RBAC).

• Rôles personnalisés : Les administrateurs peuvent créer des rôles avec des autorisations spécifiques, en veillant à ce que les utilisateurs n’accèdent qu’aux parties d’Intune (ou d’autres ressources d’entreprise) qui sont pertinentes pour leur rôle.

(Exemple : Un technicien de support informatique peut avoir accès à la gestion des appareils dans Intune mais uniquement sur certaines fonctionnalités ou certains devices.)

De manière plus globale, il est possible de faire du RBAC sous Entra ID pour déléguer l’accès aux services M365 par exemple. Il y a des tas de rôles prédéfinis et vous pouvez créer vos propres rôles personnalisés.

Pour plus d’informations liées au RBAC : Documentation Microsoft Entra RBAC – Microsoft Entra ID | Microsoft Learn

Si vous avez le niveau de licence nécessaire, je vous conseille aussi d’utiliser PIM. Privileged Identity Management assure une activation de rôle basée sur l’heure et l’approbation pour atténuer les risques d’autorisations d’accès excessives, injustifiées ou malveillantes sur les ressources qui vous intéressent.

Pour plus d’informations sur PIM : What is Privileged Identity Management? – Microsoft Entra ID Governance | Microsoft Learn

Pour finir, sur la partie Poste de travail et la gestion des administrateurs, je vous conseille la mise en place d’une fonctionnalité désormais bien connue et qui s’appelle LAPS. Une autre fonctionnalité nommée EPM est aussi intéressante pour certains cas d’usages.

Surveillance et reporting

Le Zero Trust nécessite une surveillance continue pour détecter les menaces en temps réel. Microsoft Intune s’intègre à des outils tels que Microsoft Defender et Azure Sentinel pour fournir une surveillance complète de l’ensemble du parc informatique.

• L’intégration avec Azure Sentinel fournit une vue centralisée des événements et des incidents de sécurité, ce qui permet aux équipes de détecter, d’examiner et de répondre plus efficacement aux menaces.
• Les fonctionnalités de reporting intégrées d’Intune donnent aux administrateurs des informations détaillées sur la conformité des appareils, ce qui leur permet de prendre des décisions éclairées sur les politiques de sécurité.
• L’intégration avec Defender for Endpoint permet d’identifier les vulnérabilités et d’effectuer les actions en conséquence dans le but de les résoudre.

Vous pouvez aussi, grâce au Secure Score mesurer la posture de sécurité de votre entreprise et ainsi voir les actions recommandées pour l’améliorer.

Conclusion et recommandations

La mise en place du modèle Zero Trust avec Microsoft Intune représente une étape cruciale vers une sécurité renforcée et une gestion moderne des appareils.

Vous avez ci-dessus une bonne partie des fonctionnalités à mettre en place pour tendre vers ce modèle.

En adoptant cette approche, les entreprises peuvent minimiser les risques liés aux accès non autorisés et aux menaces internes.

Microsoft Intune, par ses capacités de gestion unifiée, facilite cette transition en offrant des contrôles granulaires et une intégration fluide avec d’autres solutions de sécurité Microsoft comme Defender ou Sentinel.

Mais, réussir cette implémentation demande une stratégie bien pensée, une adoption progressive et une sensibilisation des utilisateurs.

Le Zero Trust nécessite d’être constamment ajusté aux besoins et aux menaces émergentes.

Grâce à lui, les entreprises s’assurent une résilience accrue face aux cyberattaques de plus en plus courantes.

Avec l’essor du télétravail, des environnements hybrides et des exigences de sécurité toujours plus fortes, les entreprises se tournent de plus en plus vers les solutions DaaS (Desktop as a Service) pour moderniser l’expérience poste de travail.

Microsoft propose aujourd’hui deux offres complémentaires de PC virtuel : Windows 365, pour une simplicité de gestion maximale, et Azure Virtual Desktop (AVD), pour une flexibilité poussée et un contrôle fin de l’environnement utilisateur.

Mais au-delà des promesses, comment faire le bon choix entre ces deux solutions de PC virtuel ? Quels sont les cas d’usage les plus pertinents ? Et surtout, comment ces solutions évoluent-elles pour répondre aux nouveaux défis des DSI ? Ce guide décrypte les caractéristiques, avantages et scénarios concrets liés à Windows 365 et AVD, tout en apportant un éclairage sur ce que sera le futur du Cloud PC chez Microsoft.

A la découverte du PC virtuel

Dans le contexte du Modern Workplace, la virtualisation s’impose comme une réponse naturelle aux nouveaux usages du travail hybride et à distance. Il ne s’agit pas seulement d’une technologie : c’est un changement de paradigme dans la manière de penser le poste de travail. En effet, la virtualisation permet d’accéder à son environnement professionnel depuis n’importe quel appareil — qu’il soit personnel ou professionnel, managé ou non.

L’approche du PC virtuel s’aligne parfaitement avec les principes du Modern Workplace : mobilité, agilité et expérience utilisateur cohérente. Grâce à la virtualisation, un PC quelconque peut devenir un poste corporate sans embarquer toute la complexité liée aux environnements on-premise traditionnels (images systèmes, infrastructures locales, etc.).

L’enjeu est aussi de standardiser l’expérience utilisateur : quel que soit le device utilisé (PC physique, client léger, appareil mobile), l’objectif est d’offrir un même niveau de sécurité, de configuration, et de performances. Cela passe notamment par une harmonisation des politiques de sécurité (hardening, baseline, etc.) et une réflexion stratégique sur le niveau de protection à appliquer aux postes virtualisés.

Les questions que se posent aujourd’hui les entreprises — « faut-il plus ou moins de sécurité sur un Cloud PC ? », « comment garantir une expérience utilisateur fluide sur un poste non managé ? » — sont au cœur des projets de virtualisation. Et c’est précisément sur ces problématiques que le DaaS intervient.

DaaS : une nouvelle façon de consommer le poste de travail

Le DaaS, c’est la virtualisation modernisée et simplifiée. Si la virtualisation du poste de travail existe depuis longtemps dans les environnements on-prem ou legacy, le PC virtuel vient en renouveler l’approche avec un modèle 100 % cloud, plus flexible, plus rapide à déployer et plus facile à gérer.

Concrètement, le DaaS permet de proposer un bureau virtuel accessible depuis une simple connexion internet, sans avoir à gérer de matériel localement. L’utilisateur se connecte à son environnement de travail — applications, données, paramétrages — via un navigateur ou une application dédiée, depuis n’importe quel appareil. Plus besoin d’une machine physique dédiée, ni d’images ISO complexes à déployer.

Pour les équipes IT, le DaaS offre une réduction significative de la charge opérationnelle : pas de PC à configurer, pas de mot de passe à initialiser ou de logiciels à installer manuellement. On provisionne des accès, on attribue des licences, et le tour est joué. Le gain en scalabilité est majeur : accueillir 10, 50 ou 100 nouveaux collaborateurs peut se faire en quelques clics.

Le DaaS est aussi un facilitateur du télétravail. Il permet de donner accès à l’environnement professionnel sans avoir à fournir un poste physique : un simple PC personnel, une connexion internet, et l’utilisateur est opérationnel, en toute sécurité.

Enfin, le DaaS déplace une grande partie de l’infrastructure informatique dans le cloud — souvent chez Microsoft via Azure Virtual Desktop ou Windows 365, mais d’autres fournisseurs existent également. Cela signifie moins de serveurs à gérer, moins de ressources internes mobilisées, et une résilience accrue pour les systèmes critiques.

DaaS avec Azure Virtual Desktop : flexibilité et contrôle

Une facturation à l’usage pour un contrôle optimisé

La grande différence entre AVD et Windows 365 réside dans le modèle de coût. Là où Windows 365 repose sur un abonnement mensuel fixe par utilisateur, AVD fonctionne à la consommation. Vous payez uniquement pour les ressources utilisées : temps de fonctionnement des machines, puissance allouée, stockage, etc. Ce modèle est particulièrement adapté aux cas d’usage ponctuels, aux environnements de test, ou à des utilisateurs aux besoins fluctuants.

Les entreprises peuvent ainsi éteindre automatiquement les machines non utilisées pour optimiser les coûts, un fonctionnement natif dans AVD, géré directement via le portail Azure.

Un environnement hautement personnalisable

Azure Virtual Desktop (AVD) est la solution DaaS la plus flexible de l’écosystème Microsoft. Elle s’adresse avant tout aux organisations ayant des besoins spécifiques en termes de performance, de gestion fine des ressources et de personnalisation de l’environnement utilisateur.

AVD offre une scalabilité immédiate. Il est possible de modifier à la volée les spécifications d’une machine virtuelle (RAM, CPU, stockage) en fonction des besoins de l’utilisateur, sans devoir la reprovisionner complètement comme c’est parfois le cas avec Windows 365.

Cette granularité de configuration est très appréciée des profils techniques (développeurs, ingénieurs, data analysts), qui ont besoin d’environnements puissants, temporaires et totalement personnalisés.

Une gestion avancée via Azure et Entra ID

Contrairement à Windows 365, géré principalement dans Intune, AVD s’appuie sur le portail Azure pour la gestion complète des machines virtuelles, des pools d’hôtes et du cycle de vie. Cela implique souvent des équipes IT plus expérimentées, maîtrisant Azure, Entra ID et les logiques de RBAC (contrôle d’accès basé sur les rôles), notamment dans les grandes organisations.

Il est possible de :

• Configurer des machines dédiées ou partagées selon les besoins,
• Créer des pools de ressources mutualisés,
• Intégrer des images personnalisées (avec ou sans FSLogix pour la persistance des profils),
• Monitorer les performances et coûts en temps réel.

Sécurité et expérience utilisateur

AVD intègre nativement les principes de sécurité du cloud Microsoft : authentification multifacteur (MFA), Conditional Access, intégration avec Windows App (l’application unifiée de connexion à Windows 365 et AVD), et prise en charge des stratégies de conformité.

Depuis cette même Windows App, un utilisateur peut accéder à ses postes AVD et Windows 365. Cela facilite la cohabitation des deux solutions dans des environnements hybrides.

Cas d’usage avec Azure Virtual Desktop

AVD convient parfaitement à des besoins spécifiques comme :

• Développeurs : environnements temporaires et très puissants, évolutifs à la demande ;
• Tests applicatifs : provisionnement rapide de VM pour essais ponctuels ;
• Centres d’appel ou environnements partagés : grâce aux machines partagées et au modèle à la session, une même machine peut servir à plusieurs utilisateurs sur des plages horaires différentes ;
• Organisations hybrides : intégration possible avec l’environnement on-prem (Kerberos, applications internes non SaaS, etc.) pour un fonctionnement 100 % corporate ;
• Utilisateurs techniques avancés : équipes IT ou métiers ayant besoin d’un contrôle précis sur leurs machines, configurations et performances.

En résumé, AVD est une solution DaaS puissante, flexible et pensée pour les organisations ayant une maturité cloud avancée ou des besoins techniques complexes. Là où Windows 365 vise la simplicité d’un PC prêt à l’emploi, AVD donne la main sur chaque composant de l’environnement, du dimensionnement des machines jusqu’à la gestion fine des coûts et de la sécurité.

DaaS avec Windows 365 : la simplicité au service de l’utilisateur

Une gestion simplifiée pour l’IT

Windows 365 est une solution de DaaS pensée pour offrir un poste de travail cloud personnel, simple à déployer et à utiliser. Elle s’adresse à tous les profils d’utilisateurs, même les moins techniques, et permet de retrouver à tout moment un environnement de travail complet (applications, fichiers, paramètres) depuis n’importe quel appareil connecté à Internet.

Côté utilisateur, l’expérience est fluide : une fois connecté via navigateur ou application dédiée, il accède à son bureau personnel dans le cloud, avec toutes les données et applications de l’entreprise, comme s’il utilisait une machine physique. En cas de vol, de panne ou de perte de l’appareil, aucune donnée n’est compromise : tout est stocké dans le cloud, et un autre terminal suffit pour retrouver son environnement de travail.

Du côté des équipes IT, tout est centralisé dans Microsoft Intune :

• Création de provisioning profiles pour automatiser l’attribution de machines virtuelles ;
• Choix d’images Windows préconfigurées (Windows 10/11 Enterprise + Microsoft 365) ou personnalisation via Azure ;
• Déploiement sans infrastructure locale, sans serveur, sans complexité.

Windows 365 intègre également nativement les piliers de la sécurité moderne : MFA, accès conditionnel, et architecture Zero Trust. Cela permet d’offrir un haut niveau de protection sans multiplier les couches techniques.

Cas d’usage avec Windows 365

Windows 365 est particulièrement adapté dans les contextes suivants :

• Travailleurs distants ou en déplacement : un simple accès Internet suffit pour se connecter à son bureau ;
• Utilisateurs externes : fini les machines à prêter, un accès sécurisé depuis un terminal personnel suffit ;
• Onboarding rapide de nouvelles recrues : plus besoin de préparer des dizaines de machines physiques ;
• Petites structures avec peu de moyens IT : une solution économique, compatible avec les équipements personnels ou avec le boîtier Windows 365 Link de Microsoft (à venir) ;
• Postes partagés en horaires décalés : via la licence Frontline Share (actuellement en preview), une machine virtuelle peut être utilisée par trois utilisateurs distincts sur des plages horaires différentes.

Avec Windows 365, la gestion du poste de travail devient aussi simple que la gestion d’une boîte mail : rapide, sécurisée, et accessible en quelques clics.

Réussir son projet DaaS : les clés d’un déploiement efficace

Moins de développement sur AVD, plus d’innovation sur Windows 365. L’expérience utilisateur est devenue un facteur différenciant : 3 clients sur 4 ayant testé les deux solutions ont choisi Windows 365 pour son intégration fluide à l’environnement Windows 11 et son usage plus proche d’un poste personnel. À l’inverse, AVD reste pertinent pour des besoins spécifiques (ex : développeurs avec moins de contraintes de performance).

Voici les étapes clés d’un projet DaaS :

• Bien identifier les profils utilisateurs visés. De plus en plus, les DaaS sont utilisés pour les populations externes (freelances, prestataires) ou pour des usages ponctuels/métier nécessitant un renfort temporaire en puissance, tout en réduisant les coûts de postes physiques.
• Anticiper l’impact sur l’environnement réseau et applicatif. Un poste dans le cloud implique que vos applications soient accessibles hors du réseau entreprise. Cela nécessite une compatibilité en amont (proxy, firewall, scalers, etc.) et une vraie collaboration entre les équipes infra, réseau et poste de travail.
• Passer par un cycle structuré : POC, pilote, déploiement. Impliquez un panel représentatif des métiers pour valider les cas d’usage et détecter les contraintes applicatives. Cela limite les mauvaises surprises au moment du go-live.
• Soigner l’accompagnement des utilisateurs et du support. Une VM peut sembler complexe mais reste très accessible une fois bien prise en main. Fournissez des procédures claires (connexion via app ou navigateur). Formez également le support aux incidents courants liés à l’environnement virtuel.
• Automatiser et gérer les mises à jour efficacement. Windows 365 propose des images maintenues à jour (Windows 10/11 + apps 365) et peut s’appuyer sur Autopatch ou des méthodes classiques de release management. Anticipez leur configuration pour éviter les blocages au moment du déploiement.
• Enfin, simplifier l’onboarding. L’affectation d’un poste Cloud se fait souvent par simple ajout dans un groupe AD – une tâche automatisable et accessible aux managers via une demande dans un portail ITSM.

What’s next for DaaS ? Vers un poste de travail toujours plus intelligent

Une expérience unifiée avec la Windows App

Avec l’unification progressive des expériences utilisateurs et l’intégration renforcée des services cloud de Microsoft, l’avenir du DaaS se dessine autour d’une logique de convergence, de simplification et d’accessibilité – quelles que soient les plateformes choisies.

L’unification de l’accès aux environnements Cloud PC se précise avec la Windows App. Cette application unique permet à l’utilisateur de se connecter à la fois à son Windows 365 et à son Azure Virtual Desktop (AVD), simplifiant ainsi l’expérience de connexion tout en renforçant la sécurité via des politiques d’accès conditionnel, du MFA ou encore des exigences de conformité des devices.

L’essor du modèle partagé avec Windows 365 Frontline

Jusqu’à présent réservé à AVD, le cas d’usage du poste partagé arrive sur Windows 365 avec le mode Shared PC, actuellement en public preview. Cette nouveauté ouvre la porte à des usages variés comme les centres d’appel ou les environnements de travail en rotation, où plusieurs utilisateurs peuvent exploiter les mêmes ressources, tout en maintenant leur session personnelle.

Flexibilité, performance et maîtrise des coûts avec AVD

AVD continue de séduire les entreprises à la recherche de scalabilité et d’optimisation budgétaire. Son modèle de facturation à la consommation, couplé à la possibilité d’adapter dynamiquement les performances (CPU, RAM, stockage), en fait la solution idéale pour les besoins temporaires, les environnements de test ou les postes développeur.

Une gestion différenciée selon le niveau de maturité de l’IT

Là où Windows 365 mise sur une gestion intégrée et intuitive via Microsoft Intune, AVD reste ancré dans le portail Azure, offrant un contrôle plus fin mais nécessitant un bagage technique plus poussé. Cette dualité permet aux entreprises de choisir leur solution DaaS en fonction de leur organisation IT et de leurs exigences opérationnelles.

Un avenir hybride et sécurisé

Le futur du DaaS s’écrit aussi en mode hybride. Qu’il s’agisse d’exécuter des applications legacy, de rejoindre un domaine Active Directory ou de bénéficier de protocoles comme Kerberos, les Cloud PC de Microsoft – Windows 365 comme AVD – s’intègrent pleinement dans les infrastructures d’entreprise, qu’elles soient 100 % cloud ou hybrides.

Conclusion

Loin d’être une simple tendance, le DaaS s’impose aujourd’hui comme une réponse stratégique aux nouveaux enjeux du poste de travail : télétravail massif, protection des données, scalabilité, sobriété numérique et rationalisation des coûts. En permettant un accès sécurisé, flexible et centralisé à un environnement de travail complet, le Desktop as a Service transforme la manière dont les DSI conçoivent, déploient et gèrent les postes utilisateurs.

Que ce soit via des solutions clés en main comme Windows 365, ou plus modulaires comme Azure Virtual Desktop, les entreprises disposent désormais de briques technologiques matures pour construire un écosystème de Cloud PC performant et adapté à chaque profil. Plus qu’une évolution, le DaaS incarne une nouvelle norme, appelée à s’imposer durablement dans l’architecture numérique des organisations modernes.

Dans un monde où l’agilité est une nécessité et non plus un luxe, le poste de travail se virtualise, s’optimise et s’aligne sur les usages réels des collaborateurs. Le DaaS devient ainsi un pilier de la digital workplace de demain.

Questions à se poser avant de choisir sa solution DaaS

Quelle est la différence entre Windows 365 et Azure Virtual Desktop ?

Windows 365 propose un PC Cloud avec un coût fixe mensuel, tandis qu’Azure Virtual Desktop fonctionne à la consommation, offrant plus de flexibilité et de personnalisation selon les besoins utilisateurs.

Quel est le meilleur DaaS pour les développeurs ou les usages intensifs ?

Azure Virtual Desktop est souvent préféré par les développeurs grâce à sa scalabilité, sa gestion fine des ressources et ses possibilités de personnalisation avancées dans Azure.

Peut-on partager une machine virtuelle entre plusieurs utilisateurs avec Windows 365 ?

Aujourd’hui, seul Azure Virtual Desktop permet nativement le partage de session entre plusieurs utilisateurs. Le mode « Shared » de Windows 365 est encore en preview.

Quel DaaS choisir pour une entreprise sans équipe IT dédiée ?

Windows 365 est idéal pour les structures sans expertise technique, avec une gestion simplifiée via Intune et une expérience proche d’un PC personnel.

Comment optimiser les coûts d’une infrastructure DaaS ?

Choisir Azure Virtual Desktop permet d’optimiser les coûts grâce au modèle à la demande, au pilotage de l’extinction des machines et à l’utilisation de ressources mutualisées.

Dès octobre 2025, Windows 10 ne recevra plus de mises à jour de sécurité. Pour les entreprises, cela signifie une exposition croissante aux cybermenaces et un arrêt progressif de la compatibilité avec de nombreux logiciels. Face à cette échéance, la migration vers Windows 11 devient un impératif stratégique.

Cependant, une migration réussie ne se limite pas à un simple changement d’OS. C’est l’occasion de moderniser les environnements de travail, de renforcer la sécurité, et de rationaliser les processus IT. Dans cet article, nous vous proposons une feuille de route complète et concrète pour aborder ce virage avec méthode.

Pourquoi migrer vers Windows 11 avant octobre 2025 ?

• Microsoft ne proposera plus de correctifs de sécurité ni de mises à jour fonctionnelles.
• Les éditeurs logiciels cesseront progressivement le support sur cet OS.
• Les postes non migrés représenteront un risque pour la sécurité et la conformité réglementaire.
• Le support étendu (LTC jusqu’en 2029) n’est pas une stratégie viable : il est coûteux et ne règle pas les enjeux techniques et métiers.

Est-il pertinent de coupler migration Windows 11 et Modern Workplace ?

Pour beaucoup d’entreprises, la migration vers Windows 11 est l’opportunité de basculer vers une gestion moderne des postes, centrée sur Microsoft Intune, Azure AD, Windows Autopilot et Windows Update for Business.

Les avantages à combiner les deux projets : 

• Réduction des coûts d’exploitation.
• Accès distant simplifié pour les collaborateurs.
• Sécurité renforcée (authentification biométrique, chiffrement, élévation de privilèges contrôlée).
• Flexibilité accrue pour le support et la mise à jour des postes.

Attention : Ce sont deux projets distincts, qu’il convient de piloter avec des équipes et des objectifs clairs.

Comment structurer un projet de migration Windows 11 ?

Étape 1 : Réaliser un audit de l’existant

Avant toute chose, il est indispensable de connaître précisément votre environnement actuel :

• Quel matériel est compatible avec Windows 11 (TPM 2.0, Secure Boot…) ?
• Quels logiciels métiers sont utilisés et sont-ils compatibles ?
• Quels sont les outils de gestion de parc en place ?
• Quelles populations d’utilisateurs sont concernées (et avec quels besoins) ?

Des outils comme Microsoft Endpoint Analytics, le MAP Toolkit ou des scripts personnalisés peuvent vous aider à prendre cette photo initiale.

Étape 2 : Définir vos « persona » utilisateurs 

Chaque population nécessite une stratégie adaptée. Voici les plus courants :

• Office User : utilisateur bureautique classique. Peu mobile. Migration simple (upgrade ou remplacement).
• Utilisateur nomade : mobile, connecté à distance. Migration via mise à jour distante (Intune).
• Population technique / développeurs : logiciels lourds, besoin d’accès admin. Migration plus sensible, souvent manuelle.
• VIP : priorité à l’expérience sans rupture. Nécessite du sur-mesure, postes de secours, support dédié.
• Cas particuliers : postes kiosques, sites mal connectés, contraintes fortes (industrie, retail…).

Cette segmentation permet de construire un déploiement par vague, en limitant les risques et les frictions.

Étape 3 : Choisir la bonne méthode de déploiement 

En environnement on-premise :

• Task Sequence (SCCM) : maîtrise complète, idéal pour les environnements complexes.
• In-Place Upgrade : mise à jour de l’OS existant sans réinstallation. Simple, rapide.
• Windows Update for Business (WUfB) : nécessite une bonne connectivité et configuration en amont.

À lire aussi : SCCM à l’ère d’Intune: adopter, migrer ou conserver ?

En environnement Modern Workplace (Intune) :

• Déploiement piloté par « rings » (anneaux de mise à jour progressifs).
• Mise à jour à distance via Internet (raming upgrade).
• Autopilot + image Windows 11 + enrollment Intune.

Étape 4 : Migration hybride (On-Prem to Modern) 

Peut-on migrer vers Windows 11 et vers le Modern Workplace en même temps ? Oui, mais cela implique deux projets en parallèle :

• Mise en place de l’environnement cloud (Intune, Azure AD…).
• Déploiement des postes sous Windows 11.

Conseil : Le faire nécessite des moyens humains et un calendrier solide. Alternativement, vous pouvez migrer vers Windows 11, puis lancer le projet Modern Workplace après.

Bonnes pratiques pour une migration Windows 11 réussie

• Créez un réseau d’ambassadeurs dans les métiers.
• Testez avec un pilote avant de déployer à grande échelle.
• Impliquez le support IT dès le début.
• Communiquez activement auprès des utilisateurs.
• Préparez des supports pédagogiques (guides, FAQ, vidéos).

Ce que Windows 11 apporte de plus

• Personal Data Encryption (PDE) : chiffrement granulaire des fichiers utilisateurs.
• Admin Protection : jeton admin généré à la demande (just-in-time).
• Quick Recovery & Windows Backup : restauration rapide et sauvegarde intégrée.
• Windows Hello for Business : authentification forte.
• Gestion du LAPS (local admin password solution) : intégrée nativement.

Certaines fonctionnalités (comme PDE ou Admin Protection) nécessitent Windows Hello for Business et une architecture moderne.

Conclusion : votre plan d’action pour 2025

1. Faites un état des lieux de votre parc.
2. Identifiez vos personas et scénarios de migration.
3. Choisissez une méthode adaptée à votre environnement (On-Prem, Intune ou mixte).
4. Définissez des pilotes, puis déployez progressivement.
5. Formez vos équipes support et communiquez avec les utilisateurs.
6. Traitez les cas particuliers avec des solutions spécifiques.
7. Ne misez pas sur le support étendu sauf impératif stratégique.

Besoin d’un accompagnement ? Nous accompagnons de nombreuses organisations dans leur stratégie de migration vers Windows 11 et le Modern Workplace. Contactez-nous pour construire un plan réaliste et efficace.

Questions à se poser dans le cadre d’une migration vers Windows 11

Quels postes sont concernés par la fin du support Windows 10 ?

Tous les postes encore sous Windows 10 seront concernés à partir d’octobre 2025. Cela inclut aussi bien les PC de bureau que les ordinateurs portables, qu’ils soient en environnement on-premise ou hybride.

Faut-il absolument adopter Windows 11 ou peut-on rester sur Windows 10 avec le support étendu ?

Le support étendu est possible jusqu’en 2029, mais il est coûteux et ne corrige pas les limitations techniques ou fonctionnelles. Il est plutôt réservé à des cas spécifiques ou contraints (industrie, kiosques…).

La migration vers Windows 11 impose-t-elle de passer à Intune ?

Non, mais c’est une opportunité. Vous pouvez migrer vos postes sous Windows 11 en restant sur SCCM ou en mode hybride. Intune s’intègre naturellement à Windows 11 pour des scénarios de Modern Workplace plus agiles.

Quels sont les prérequis techniques pour passer à Windows 11 ?

Le matériel doit être compatible (TPM 2.0, Secure Boot, processeurs récents). Un audit préalable est indispensable pour identifier les équipements éligibles et les éventuelles mises à niveau nécessaires.

Quel est le principal risque à retarder la migration ?

Outre l’exposition aux cybermenaces, les postes non migrés pourraient devenir incompatibles avec les outils métiers ou les standards de conformité (ISO, NIS2…). Cela peut impacter la productivité et la sécurité globale du SI.

Pourquoi intégrer Jamf Pro comme référentiel de conformité ?

L’un des principaux atouts de Jamf Pro réside dans sa flexibilité de configuration : il est possible de définir un grand nombre de critères de conformité cumulables, pour affiner le contrôle et s’adapter à vos politiques de sécurité.

Cette approche permet aussi d’éviter d’exclure les appareils Apple des accès conditionnels, tout en leur garantissant un fonctionnement normal au sein du SI même lorsqu’ils ne sont pas gérés directement via Intune.

Par ailleurs, le coût global peut être optimisé : selon le niveau de licence Intune en place (notamment la Suite), les équivalents proposés par Jamf peuvent s’avérer plus économiques, à fonctionnalité comparable.

Enfin, dans un contexte où les interfaces de gestion Jamf et Intune sont bien distinctes, cette séparation permet une claire répartition des rôles entre équipes et une meilleure visibilité sur les périmètres d’intervention. D’ailleurs, Jamf Pro offre une excellente lisibilité de l’état de conformité grâce à la possibilité d’épingler les groupes éligibles directement dans la page d’accueil de la console d’administration.

Prérequis techniques pour déployer la solution

Pour mettre en place cette solution de gouvernance, il vous faudra :

• des licences Jamf Pro,
• des appareils Apple,
• un environnement Intune,
• être administrateur général Microsoft 365.

Étapes de mise en œuvre : comment connecter Jamf Pro à Intune

Une entreprise utilise Jamf Pro pour ses appareils Apple et possède des licences Microsoft 365. Son MDM principal est Intune et son gestionnaire d’identités Entra ID, et elle souhaite centraliser l’administration et le monitoring de toutes ses machines dans l’écosystème Microsoft.

Les étapes ci-dessous sont décrites pour MacOS mais le cheminement est le même pour iOS, il suffit de remplacer la nomenclature en ce sens pour s’y retrouver.

La première étape consiste à connecter Jamf Pro et Intune si ce n’est pas déjà fait ; pour ce faire, il faut créer une application Jamf Pro dans les applications d’entreprise Entra ID. Jamf propose le pas à pas (en français) sur son site, vous le trouverez en bas dans la section documentation de l’article.

Ensuite, il faudra créer deux groupes intelligents, avec pour noms préconisés :

• Jamf-Intune groupe applicable MacOS avec pour critère l’installation de l’app Portail Entreprise
• Jamf-Intune groupe compliance MacOS avec pour critère(s) vos exigences de sécurité

Par ailleurs, il faut créer une stratégie afin de permettre aux utilisateurs de postes MacOS de s’inscrire auprès d’Entra et de déployer le portail entreprise Intune au travers des apps de Jamf (explications et paramètres dans la documentation de l’article, encore une fois).

Enfin, il faudra renseigner vos groupes Applicable et Compliance dans les paramètres de conformité de Jamf (Paramètres > Global > Conformité de l’appareil).

Pour finir, il faudra déclarer Jamf comme partenaire de conformité côté Intune dans Administration > Locataire > Connecteur et jetons > Gestion de la conformité des partenaires.

Questions à se poser avant de mettre en œuvre la conformité Jamf Pro avec Intune

Quels sont les types d’appareils Apple concernés par cette intégration ?

L’intégration concerne principalement les MacBook (macOS), mais elle est également applicable aux appareils iOS (iPhone et iPad). Le principe reste le même, seules certaines nomenclatures diffèrent dans la configuration Jamf.

Ai-je besoin d’une licence Intune spécifique pour activer cette conformité ?

Non, l’intégration avec Jamf Pro ne nécessite pas une licence Intune Suite. Une licence Intune Plan 1 suffit dans la majorité des cas. Toutefois, certaines fonctionnalités avancées (comme les rapports poussés ou les connecteurs tiers) peuvent nécessiter un niveau de licence supérieur. Il est donc essentiel d’auditer vos besoins en amont.

Quels sont les bénéfices pour la gouvernance IT ?

La solution apporte plus de transparence, une meilleure segmentation des rôles entre les outils, et surtout une vision claire de la conformité réelle des appareils Apple. Grâce à Power BI, il devient possible de personnaliser les indicateurs de suivi pour les aligner avec les objectifs de la DSI, de la SSI ou de la direction générale.

Cette solution remplace-t-elle complètement Intune pour les appareils Apple ?

Non, Jamf Pro complète Intune pour la gestion des appareils Apple. Intune reste le référentiel principal de conformité côté Microsoft, notamment pour les accès conditionnels. Jamf agit ici comme source de vérité pour les terminaux Apple, dont les informations de conformité sont transmises à Intune via le connecteur.

Quelle implication cela suppose-t-il pour les équipes IT ?

La mise en œuvre demande une collaboration étroite entre les équipes poste de travail, sécurité et gouvernance. Elle implique également une bonne compréhension des périmètres fonctionnels de Jamf Pro et Intune, ainsi qu’une coordination dans la gestion des identités via Entra ID. Une formation ou un accompagnement technique peut être judicieux au démarrage.

Documentation sur le sujet

Connecter Jamf Pro et Entra

Configuration de l’intégration Microsoft Entra avec Jamf Pro

Personal Data Encryption est une des dernières fonctionnalités de sécurité publiée par Microsoft et disponible sur Windows 11. 

Personal Data Encryption est une fonctionnalité directement intégrée à Windows 11 qui a pour objectif le chiffrement des données situées dans les répertoires « Bureau », « Documents » et « Images » dans la session de l’utilisateur.  

Avec Personal Data Encryption, ces données sont chiffrées par l’algorithme AES-CBC avec une clé de 256 bits. Il y a une clé de chiffrement spécifique à chaque compte utilisateur. Cette clé est protégée par Windows Hello for Business. 

Nous allons découvrir à travers cet article : 

• Quels sont les avantages de la fonctionnalité Personal Data Encryption de Windows 11 ? 
• Comment la configurer avec Microsoft Intune ? 
• Quelle expérience est proposée du côté des utilisateurs ? 

Différences entre Personal Data Encryption et BitLocker 

La différence entre Personal Data Encryption et BitLocker est que celui-ci chiffre le disque entier, alors que Personal Data Encryption chiffre quant à lui les fichiers. 

Voyons à travers ce tableau les différences entre Personal Data Encryption et BitLocker : 

On peut donc dire que les deux solutions sont complémentaires et leur utilisation simultanée ne fait que renforcer la posture sécurité du poste de travail. 

Contrairement à BitLocker qui libère les clés de chiffrement au démarrage du poste de travail, Personal Data Encryption ne libère pas les clés de chiffrement des données chiffrées tant que l’utilisateur ne se connecte pas à l’aide de Windows Hello Entreprise ce qui offre une protection supplémentaire. 

En effet, avec Personal Data Encryption, un autre utilisateur ou un administrateur qui se connecte sur la machine et souhaite parcourir les données d’un autre utilisateur via l’explorateur de fichiers se verra l’accès refusé purement et simplement ! 

Prérequis pour utiliser Personal Data Encryption dans Windows 11 

Pour utiliser la fonctionnalité Personal Data Encryption, il y a des prérequis à respecter tels que : 

• Windows 11, version 22H2 et ultérieures, 
• Machines jointes à Entra ID ou en mode Entra ID Hybrid Join, 
• Les machines jointes à un domaine Active Directory seul ne sont pas supportées, 
• Utiliser Windows 11 Enterprise ou Education, hélas la version Pro n’est pas supportée , 
• Mise en place de Windows Hello Entreprise.  

Sur ce dernier point, Windows Hello Entreprise fait partie des impondérables du poste de travail niveau sécurité. Vous pouvez en savoir plus via ce lien : Vue d’ensemble de Windows Hello Entreprise | Microsoft Learn 

Microsoft apporte plusieurs recommandations quant à la mise en place de cette fonctionnalité, telles que : 

• Activer BitLocker : Personal Data Encryption fonctionne sans BitLocker mais il est recommandé d’activer BitLocker. Le chiffrement des données personnelles est destiné à fonctionner avec BitLocker pour renforcer la sécurité, il n’est pas un remplacement de BitLocker. BitLocker est aujourd’hui une brique de sécurité essentielle. 
• Avoir une solution de sauvegarde type OneDrive : dans certains scénarios comme un reset de la puce TPM, les clés de chiffrement sont perdues et le contenu est inaccessible. Le fait d’avoir une sauvegarde OneDrive permet de restaurer l’accès à ces données. 
• Activation du service « Windows Hello for Business Pin reset” : pour avoir, en cas d’oubli par l’utilisateur, une réinitialisation du code Pin Windows Hello « non destructive ». 
• Activer la connexion renforcée avec Windows Hello for Business : offrir une sécurité supplémentaire via la biométrie par exemple. 

Mettre en place Personal Data Encryption avec Microsoft Intune 

La mise en place de Personal Data Encryption se fait très facilement et rapidement avec le MDM Microsoft Intune. 

Pour cela, il faut se rendre dans la partie « Endpoint Security » / « Disk Encryption » d’Intune : 

Puis de créer un profil de type Personal Data Encryption comme suit : 

Comme vous pouvez le voir dans la copie d’écran, l’activation de Personal Data Encryption dans Intune est assez simple à l’aide de ces 4 paramètres. Libre à vous de ne l’activer que sur Documents ou Desktop, par exemple. 

À noter : il est mentionné « Windows Insiders Only », n’en tenez pas compte, l’UI n’est pas à jour  

Ensuite, sélectionnez le groupe de déploiement dans Intune et let’s go ! 

L’expérience utilisateur dans Personal Data Encryption 

Lorsque la stratégie est appliquée sur le poste de travail, les dossiers où vous avez activé Personal Data Encryptions se verront apposer une icône avec un cadenas jaune, preuve de la sécurisation de leurs données. 

Si un autre utilisateur essaye d’accéder aux données stockées dans un de ces répertoires, il recevra un message lui indiquant qu’il n’a pas les autorisations d’y accéder. 

Preuve que seul l’utilisateur est propriétaire de ces données.  

Conclusion sur Personal Data Encryption dans Windows 11 

Dans un paysage IT où la menace sécurité est de plus en plus présente, Microsoft propose, à travers Personal Data Encryption, une nouvelle fonctionnalité pour sécuriser les données des utilisateurs.  

La mise en place étant assez simple pour un bénéfice immédiat, si votre environnement respecte les prérequis, n’hésitez pas à le faire et à offrir une couche de sécurité supplémentaire à vos utilisateurs et à votre organisation ! 

L’usage des appareils mobiles Apple (iPhone et iPad) en entreprise s’est largement démocratisé ces dernières années. Que ce soit pour la communication, la gestion de tâches ou l’accès aux applications métiers, ces appareils Apple sont devenus des outils incontournables dans de nombreux secteurs.

L’adoption croissante des iPhones et iPad dans les environnements professionnels s’explique par plusieurs facteurs :

• Un écosystème fluide et sécurisé, avec des fonctionnalités comme Face ID, le chiffrement matériel et l’authentification forte via Apple ID et iCloud.
• Un déploiement et une gestion simplifiés grâce à des solutions MDM comme Microsoft Intune, permettant une configuration sans intervention utilisateur via Apple Business Manager et l’Enrôlement Automatique des Appareils.
• Une expérience utilisateur homogène, avec une interface intuitive, des mises à jour régulières et une compatibilité optimisée entre les applications et services cloud.
• Une productivité accrue, notamment avec l’iPad qui devient une véritable alternative aux ordinateurs portables grâce à des accessoires comme l’Apple Pencil et le Magic Keyboard.
• Un matériel fiable et durable, garantissant un bon retour sur investissement et une adoption large par les collaborateurs.

De grandes entreprises comme Delta Airlines, IBM ou encore la SNCF exploitent les appareils mobiles Apple pour améliorer la mobilité et la réactivité de leurs équipes, que ce soit pour la relation client, la gestion des stocks ou le suivi de projet.

Dans cet article, nous verrons comment Intune permet d’administrer efficacement une flotte Apple d’iPhone et d’iPad en entreprise, en assurant à la fois sécurité, conformité et flexibilité d’usage.

Prérequis à la gestion d’une flotte Apple avec Microsoft Intune

Pour gérer un environnement Apple avec Microsoft Intune, il y a deux prérequis essentiels et obligatoires à mettre en place qui sont :

• Apple Push Certificate : il est essentiel car il permet d’assurer une communication sécurisée entre les appareils Apple et le MDM
• Apple Business Manager : c’est un portail Web qui permet entre autres de faire l’inscription automatisée de l’appareil lors de sa mise en route et de déployer des applications venant de l’Apple Store

Ces tokens sont à renouveler tous les ans sous peine de perdre la gestion de vos périphériques Apple.

Apple : les méthodes d’enrôlement des iPad et BYOD avec Intune

Dans ce tableau vous trouverez les différentes méthodes d’enrôlement d’un périphérique Apple (iPhone ou iPad) dans Microsoft Intune avec comme ordre de préférence la méthode « Automated Device Enrollment » qui vous permettra d’avoir un enrôlement automatisé dès le démarrage du périphérique. Le seul prérequis est que votre matériel soit enregistré dans Apple Business Manager.

Pour cela 2 solutions :

• Demandez à votre revendeur
• Utiliser l’application Apple Configurator for MacOS

Cette méthode vous apportera aussi la fonctionnalité « Await Final Configuration » qui permet à l’utilisateur de prendre le contrôle de son environnement une fois que toutes les configurations voulues par l’IT sont déployées. Si le mobile est déjà en service, il faudra le réinitialiser pour bénéficier de cette méthode.

Mais si vous voulez enrôler un iPhone/iPad existant sans le réinitialiser, vous pouvez utiliser la méthode « Company portal enrollment with corporate identifier ». Le prérequis pour cette méthode est l’installation de l’application « Portail d’entreprise » .

La partie « Corporate Identifier » vous permettra de faire reconnaitre le périphérique en tant que « Corporate » lors de son enrôlement dans Microsoft Intune.

L’enrôlement à partir du Portail d’entreprise se fait assez simplement : l’utilisateur final se connecte avec ses identifiants et il accepte l’installation du profil de gestion.

Concernant la dernière méthode dite « BYOD – Web Based Device Enrollment », des détails arrivent ci-après.

Apple : gestion des iPad partagés avec Intune

Le provisionnement d’un iPad en tant qu’iPad partagé fait en sorte qu’il puisse être utilisé et partagé entre plusieurs employés de votre organisation. Les iPad inscrits dans Intune à l’aide de l’inscription automatisée des appareils, et sans affinité utilisateur, peuvent être provisionnés en tant qu’iPad partagés.

L’iPad partagé crée un nombre prédéfini de partitions utilisateur sur l’appareil. Les partitions utilisateur garantissent que les applications, données et préférences de chaque utilisateur sont stockées séparément sur l’iPad. Si vous l’autorisez, ces partitions peuvent être sauvegardées sur iCloud pour une transition transparente entre d’autres iPad partagés.

Lorsque vous fédérer votre tenant Entra ID avec Apple Business Manager, un utilisateur peut se connecter à un iPad partagé à l’aide de son nom d’utilisateur et de son mot de passe Microsoft Entra.

Les avantages sont multiples :

• Idéal dans l’utilisation d’un iPad partagé devant accéder aux services Microsoft 365.
• Réduction des coûts (plusieurs utilisateurs peuvent utiliser le même appareil).
• Sécurité de l’identité et des données.
• Expérience utilisateur personnalisé. (SSO)

La mise en place de ce mode de gestion implique quelques pré requis :

• iPad OS 13.4 mini avec 32 Go de stockage
• Fédération Apple Business Manager <-> Entra ID (attention aux impacts possibles)
• Déploiement uniquement via la méthode « Automated Device Enrollment without user affinity »

En ce qui concerne l’impact possible sur la fédération Entra ID <> Apple Business Manager >

• La fédération est possible avec Entra ID, Google Workspace…
• Utilisation du compte Entra ID en tant qu’Apple ID pour se connecter à un iPad partagé
• Fédération activée = Apple reprend possession du nom de domaine
• Si des utilisateurs ont créer un Apple ID personnel avec leur adresse mail professionnel, Apple leur enverra un mail pour demander le changement de celui-ci dans un délai imparti.

Pour en savoir plus sur ce mode de gestion, suivez ce guide : https://www.cloudtekspace.com/post/configure-shared-ipad-using-microsoft-intune

Apple : gestion du BYOD avec Intune

La gestion des appareils personnels (BYOD) dans un environnement professionnel soulève des enjeux majeurs en matière de sécurité et d’expérience utilisateur. Avec Microsoft Intune, il existe plusieurs approches pour sécuriser les iPhone et iPad sans compromettre la productivité des employés, notamment les App Protection Policies et l’inscription Web Based.

App Protection Policy dans Intune

Son rôle :

• Garantir que les données de l’organisation restent sécurisées ou contenues dans une application managée.
• Contrôler la façon dont les données sont consultées et partagées.
• Pas besoin d’inscrire son terminal dans le MDM. Les stratégies ne s’appliquent pas dans un contexte perso.

Quelques exemples d’utilisation de stratégies de protection des applications avec Microsoft Intune :

• Exiger un code confidentiel ou une empreinte digitale pour accéder à la messagerie d’entreprise sur un appareil mobile
• Empêcher les utilisateurs de copier et coller des données d’entreprise dans des applications personnelles
• Restriction de l’accès aux données d’entreprise uniquement aux applications approuvées

Web Based Enrôlement dans Intune

L’inscription « Web Based Enrôlement » est l’une des deux méthodes d’inscription des appareils disponibles pour les appareils iOS/iPadOS dit personnels. L’autre méthode étant l’inscription à partir du portail d’entreprise.

Le principal facteur de différenciation est que l’inscription « Web based » offre une expérience d’inscription plus rapide et plus conviviale. Il n’est plus nécessaire de télécharger d’abord l’application Portail d’entreprise. Au lieu de cela, l’utilisateur peut simplement se rendre sur le site Web Company Portal.

Nous pouvons voir sur le tableau ci-dessus les différences entre l’inscription « Web based » et l’inscription via « Portail d’entreprise ».

Microsoft Intune prend en charge ce nouveau type d’inscription sur les appareils exécutant iOS/iPadOS version 15 ou ultérieure.

En ce qui concerne le BYOD, ma préférence se dirige plutôt sur l’application de stratégie « App Protection Policy » qui pour moi offre le niveau de sécurité le plus haut et ne s’applique uniquement que sur les applications de l’entreprise. (Exemple : Office 365) contrairement à une inscription « Web Based » qui elle concerne l’appareil.

Tout dépend du niveau de contrôle que vous souhaitez.

Apple : conclusion sur la gestion des iPhone et iPad dans Intune

L’intégration des appareils mobiles Apple (iPhone et iPad) dans un environnement d’entreprise avec Microsoft Intune permet une gestion flexible et sécurisée des appareils, qu’ils soient corporate ou BYOD. Grâce aux différentes méthodes d’enrôlement, les administrateurs peuvent choisir la meilleure approche selon les besoins de l’organisation : Automated Device Enrollment pour un contrôle total, Company Portal Enrollment pour un enrôlement simplifié, ou encore Web-Based Enrollment pour une expérience utilisateur optimisée.

L’ajout de fonctionnalités comme Shared iPad for Business offre une solution efficace pour les environnements où plusieurs utilisateurs partagent le même appareil, tandis que les App Protection Policies permettent de sécuriser les données sans imposer une gestion intrusive des périphériques personnels.

À l’heure où la frontière entre usage professionnel et personnel devient de plus en plus floue, Intune apporte les outils nécessaires pour assurer sécurité, conformité et expérience utilisateur fluide dans un écosystème Apple en entreprise.

Cette solution offre une meilleure visibilité et facilite la gestion logistique ainsi que le diagnostic des incidents auprès des équipes en charge de la gestion du parc informatique. Cet article vous guide pas à pas dans la configuration du Device Hardware Inventory.

Présentation de Device Hardware Inventory dans Intune

La gestion moderne des appareils enrollés dans les tenants Intune propose de nombreuses informations relatives à ces machines, parmi lesquelles on retrouve depuis peu le Device Inventory ou Resource Explorer depuis la console :

Cette fonctionnalité, qui s’active via un profil de configuration (Configuration Profiles), permet de récolter et d’analyser des informations plus exactes sur l’état du parc informatique matériel, telles que la batterie, le BIOS, le CPU, les TPM, etc. 

Certaines informations pouvaient être disponibles dans la partie « Hardware » des appareils. 

Toutefois, le Device Inventory propose la collecte d’informations plus précises.

Ces informations peuvent être utilisées par les gestionnaires de parc à des fins de gestion logistique. Elles pourront aussi apporter certaines informations à distance afin d’isoler les causes d’incidents redondants sur certains modèles pour la population plus technique. 

Configuration du Device Hardware Inventory dans Intune

Avant de s’intéresser à la consultation de ces informations, elles doivent être collectées.

Pour ce faire, il faut préparer un profil de configuration avec un compte disposant des droits. Connectez-vous à Intune : 

• Rendez-vous dans Devices  :

• Puis Windows (accessible aussi depuis Configuration directement dans Devices) :

• Cliquez sur Configuration :

• Cliquez sur Create :

• New policy :

• Depuis le panneau latéral droit, sélectionnez « Windows 10 and later » et « Properties Catalog » :

• Confirmez avec le bouton « Create » :

• Nommez votre profil et renseignez la description (note : le profil est nommé Resource Explorer, à l’instar du nom de la fonctionnalité sur les appareils) :

• Cliquez sur « Next », puis sur l’écran « Configuration Properties » cliquez sur :

• Le panneau latéral droit qui s’affiche vous propose alors de sélectionner les informations matérielles que vous souhaitez voir récoltées :

• Chacune de ces catégories comporte des sous-catégories apportant plus de détails.
• Lorsque vous sélectionnez une catégorie, l’ensemble de ses sous-catégories est alors sélectionné :

Quelques précisions sur cette sélection : 

• En sélectionnant une catégorie, tout est sélectionné. 
• Certaines catégories sont sélectionnées et grisées. 
• Celles en bleu peuvent être décochées. 
• Celles en gris dépendent d’autres sous-catégories. 
• Il est possible de déployer une catégorie et de sélectionner uniquement celles qui sont nécessaires dans cette catégorie. 

Attention toutefois : dans l’exemple ci-dessus, si l’on décoche l’ensemble de la catégorie, puis que l’on sélectionne « Target Operating System » : 

• Les catégories liées sont automatiquement sélectionnées à leur tour :

• Décocher une de ces catégories décoche les 4 à la fois. 

• Sélectionner SM BIOS version bloque les catégories qui sont indispensables pour la récolte de cette information :

• Sélectionnez les catégories voulues.
• Chacune des propriétés sélectionnées est alors visible dans le panneau latéral droit :

• Une fois validées, vos catégories et propriétés sont affichées comme ci-dessous, avec leur fréquence :

• Validez les Scope tags  
• Assignez au groupe Device cible  

Consulter les résultats de la configuration Device Hardware Inventory avec Intune

Votre configuration profile étant en place dans Intune, vous pouvez consulter les informations de vos appareils (comptez néanmoins 24H avant que les premières informations remontent).

Pour consulter les informations  :  

• Rendez-vous dans Devices

• Puis Windows :

•  Cherchez alors l’appareil que vous souhaitez.
• Depuis la partie latérale gauche, cliquez dans Monitor → Resource Explorer :

•  Vous retrouvez ici l’ensemble des catégories, y compris celles non sélectionnées.
• Par exemple, si aucune policy n’est en place, alors toutes les catégories apparaîtront, mais aucun résultat ne sera affiché lors de la sélection d’une catégorie :

Pour aller plus loin avec Intune :

Article – Intune Mobile Device Management : les changements à anticiper en 2025 

Article – Qu’est-ce que l’App Protection Policy dans Intune et comment la mettre en place ? 

Avant d’aborder en détail la gestion des macOS en entreprise avec Microsoft Intune, commençons par quelques chiffres et un peu de contexte.

En 2023, Apple, avec macOS, détenait environ 19 % du marché mondial des systèmes d’exploitation. Si Windows reste dominant, l’adoption des MacBook en entreprise ne cesse de croître.

Pourquoi cet engouement ? Plusieurs facteurs expliquent cette montée en puissance du Mac dans les environnements professionnels :

• Une intégration fluide avec les solutions de gestion modernes comme Microsoft Intune, facilitant l’administration et la sécurisation des appareils.
• Une sécurité avancée avec des technologies natives comme FileVault, Gatekeeper et l’architecture Apple Silicon.
• Une expérience utilisateur optimisée, favorisant la productivité avec une interface fluide et un écosystème harmonisé avec les autres appareils Apple.
• Une longévité et une fiabilité reconnues, avec des machines performantes et une excellente gestion de l’autonomie.
• Un coût total de possession (TCO) souvent optimisé grâce à une maintenance réduite et une valeur de revente élevée.

De grandes entreprises comme IBM, Salesforce ou encore SAP ont adopté le Mac à grande échelle, témoignant de son potentiel dans le monde professionnel.

Dans cet article, nous verrons comment Microsoft Intune permet de gérer efficacement une flotte de Mac en entreprise, en alliant simplicité et sécurité.

Prérequis à la gestion d’une flotte Apple avec Microsoft Intune

Pour gérer un environnement Apple avec Microsoft Intune, il y a deux prérequis essentiels et obligatoires à mettre en place qui sont :

• Apple Push Certificate : il est essentiel car il permet d’assurer une communication sécurisée entre les appareils Apple et le MDM
• Apple Business Manager : c’est un portail Web qui permet entre autres de faire l’inscription automatisée de l’appareil lors de sa mise en route et de déployer des applications venant de l’Apple Store

Ces tokens sont à renouveler tous les ans sous peine de perdre la gestion de vos périphériques Apple.

Apple : les différentes méthodes d’enrôlement macOs avec Intune

Dans ce tableau vous trouverez les différentes méthodes d’enrôlement d’un périphérique macOS dans Microsoft Intune avec comme ordre de préférence la méthode « Automated Device Enrollment » qui vous permettra d’avoir un enrôlement automatisé dès le démarrage du MacBook. Le seul prérequis est que votre matériel soit enregistré dans Apple Business Manager.

Pour cela, deux solutions :

• Demander à votre revendeur
• Utiliser l’application Apple Configurator for Iphone. Pour plus d’informations, cliquez ici.

Cette méthode vous apportera aussi la fonctionnalité « Await Final Configuration » qui permet à l’utilisateur de prendre le contrôle de son environnement une fois que toutes les configurations voulues par l’IT sont déployées. Si le MacBook est déjà en service, il faudra le réinitialiser pour bénéficier de cette méthode. 

Mais si vous voulez enrôler un MacBook existant sans le réinitialiser, vous pouvez utiliser la méthode « Company portal enrollment with corporate identifier », le prérequis pour cette méthode est l’installation de l’application « Portail d’entreprise » . 

La partie « Corporate Identifier » vous permettra de faire reconnaitre le périphérique en tant que « Corporate » lors de son enrôlement dans Microsoft Intune.  

L’enrôlement à partir du Portail d’entreprise se fait assez simplement : L’utilisateur final se connecte avec ses identifiants et il accepte l’installation du profil de gestion.   

La dernière méthode dites « Direct Enrôlement » est à éviter car trop chronophage.

Apple : configurer ses MacBook dans Intune

Microsoft offre de multiples façons de configurer l’environnement MacOS.

Les settings Catalog

Les settings Catalog sont la façon la plus courante et là où vous retrouverez la plus grande quantité de paramétrages.

Microsoft complète ce catalogue mensuellement pour répondre aux différents besoins, les derniers en date concernent par exemple Apple Intelligence.

Les templates

Les templates sont à utiliser pour des besoins spécifiques tel que le déploiement de certificat approuvé ou la configuration des connexions Wifi / Ethernet.

Les scripts

Les scripts sont à utiliser pour des besoins customisés et qui ne sont pas disponibles dans les deux options ci-dessus.

Profils de configuration custom

Il est également possible de créer des profils de configuration custom (plist) pour des logiciels comme Google Chrome avec l’utilitaire « Imazing Profile Editor ».
Ces profils sont à intégrer en profile type « Templates » puis « Custom ».

Les règles de hardening pour Mac

Si vous souhaitez mettre en place des règles de hardening, sachez que des référentiels sont disponibles au niveau du CIS et du NIST.

Vous retrouverez toutes les informations en consultant les liens suivants :

• https://www.cisecurity.org/benchmark/apple_os
• https://github.com/usnistgov/macos_security

Quelques exemples de règles de hardening pour les MacBook :

• Activation des mises à jour automatique
• Désactiver le sharing
• Activation de Gatekeeper et du firewall natif.

Mac Evaluation Utility

Pour finir sur la partie configuration, Apple met à disposition un utilitaire nommé « Mac Evaluation Utility » qui permettra d’auditer une partie de la configuration en place et vous indiquer si vous êtes conforme vis-à-vis des préconisations Apple sur différentes thématiques.

Pour télécharger cet utilitaire, rendez vous sur ce lien https://beta.apple.com/for-it

Apple : gérer les mises à jour de l’OS dans Intune

Sous MacOS, il existe 2 types de mises à jour :

• Minor (update) : plusieurs fois par an (on peut comparer cela à une mise à jour cumulative sous Windows) > Exemple : Passage de MacOS 15.1 à 15.2
• Major (upgrade) : une fois par an (on peut comparer cela à une mise à jour de fonctionnalité sous Windows) > Exemple : Passage de MacOS 15 à 16.
  Vous avez la possibilité de reporter l’installation de ces mises à jour jusqu’à 90 jours.

Sur la base de ces paramétrages dans Intune, vous pouvez donc créer vos rings de mise à jour qui permettront de diffuser les mises à jour selon vos besoins. (Exemple : Déploiement des mises à jour à J+0 sur une population pilote / Déploiement des mises à jour à J+5 sur une autre population etc…)

Vous voulez améliorer l’expérience utilisateur sur cette partie ? Pensez à l’outil Nudge.

Nudge est une petite application qui permet de personnaliser l’expérience utilisateur en offrant des reports et un peu plus de visibilité sur l’installation des mises à jours.

C’est un outil développé par la communauté et supporté par Microsoft qui explique même comment le configurer dans ces documentations 

Pour plus d’infos sur Nudge, c’est par ici : https://github.com/macadmins/nudge

MacOS Intune : gérer la partie « Administrateur local »

A ce jour, il n’existe pas d’équivalent à Microsoft LAPS pour l’environnement MacOS .

Mais Microsoft met une bibliothèque de scripts Bash qui vous permettra de :

• Créer un compte administrateur local
• Downgrader un compte administrateur en compte standard
• Supprimer un compte administrateur local
• Déchiffrer le mot de passe du compte administrateur local pour l’utilisation sur un périphérique (un mot de passe généré par périphérique).

Vous trouverez toutes ces ressources en suivant ce lien : https://github.com/microsoft/shell-intune-samples/tree/master/macOS/Config/Manage%20Accounts

MacOS Intune : déployer les applications

Il existe différents types d’applications que vous pouvez utiliser en fonction de vos cas d’usage.

• Line of Business App :

Application custom ou développé par l’entreprise : elle doit être signé par un certificat développeur Apple pour des questions de sécurité et d’intégrité

• macOS app (DMG) :

Image disque > Peux être utiliser pour des installations simples pour lesquelles il n’y a pas besoin de customisation

• macOS app (PKG) :

Format d’installation natif MacOS > Possibilité d’utiliser des scripts de pre-install ou de post-install pour les installations complexes.

• AppStore :

Application venant de l’app Store et synchronisé avec le jeton VPP

Infos utiles :

• La taille maximale pour un PKG ou un DMG est de 8 Go
• La taille maximale pour une LOB apps est de 2 Go.

MacOS Intune : étendre l’inventaire grâce aux custom attributes

Créer des custom attributes vous permettra de collecter des propriétés personnalisées à partir d’un appareil macOS géré par Intune à l’aide de scripts shell.

• Vous voulez connaitre l’état de la batterie ?
• Vous voulez savoir qui est administrateur de son Mac ?
• Ou encore si Gatekeeper est actif ?

Les Custom attributes sont faits pour vous

Une bibliothèque de Custom Attributes assez complète est disponible via ce lien : https://github.com/microsoft/shell-intune-samples/tree/master/macOS/Custom%20Attributes

MacOS Intune : Declarative Device Management

Passer d’une gestion réactive à une gestion proactive ! Le futur de la gestion Apple !

Protocole MDM (actuel)

Protocole DDM

A la différence du protocole MDM, le protocole DDM fait que la machine garde en mémoire le paramétrage souhaité et que si celle-ci change d’état, le paramètre est réappliqué sans nécessité que la machine recontacte son serveur MDM pour connaitre le paramétrage a appliqué.

Les deux protocoles peuvent être utilisés conjointement.

La gestion « Declarative Device Management » permet aux organisations dʼêtre plus sûres que les périphériques sont dans l’état désiré et que les données essentielles sont en sécurité, même sans connexion à Internet.

Voici pour le moment les paramétrages disponibles en gestion « DDM », d’autres sont sans doute à venir.

MacOS Intune : Platform SSO for macOS

Microsoft a annoncé le 6 mai 2024 la sortie en public preview de la fonctionnalité « Platform SSO for macOS » intégré à Microsoft Entra ID et configurable avec Microsoft Intune. 

Platform SSO est une extension du plugin « Microsoft Entreprise SSO for Apple Devices ». Pour rappel ce plugin permet de mettre en place une authentification SSO (Single Sign On) pour des comptes utilisateurs Microsoft Entra ID sur des périphériques iOS, ipadOS et macOS et sur toutes les applications qui prennent en charge cette fonctionnalité.

La fonctionnalité Platform SSO for macOS offre de nombreux avantages 

Aux administrateurs :

• Simplification et sécurisation du processus de connexion pour les utilisateurs et en réduisant le nombre de mots de passe à mémoriser. 
• Permettre aux utilisateurs de s’authentifier avec à l’aide d’une carte à puce ou d’une clé de sécurité (Identique Windows Hello for Business).
• Utilisation des méthodes d’identification résistantes à l’hameçonnage

Aux utilisateurs :

• Le mot de passe du compte local sera synchronisé avec Entra ID pour faire en sorte que le mot de passe Entra ID et local soit toujours identique et donc avoir un seul mot de passe à retenir. 
• Possibilité d’utiliser une authentification « password less ».
• Expérience de connexion plus sécurisée.

Avant cela, il faudra choisir la méthode d’authentification qui réponds à vos besoins parmi ces 3 choix :

La méthode « Secure Enclave » est celle qui est préconisée par Microsoft et qui offre le plus haut niveau de sécurité.

Des prérequis sont nécessaires pour la configuration et l’utilisation :

• Disposer de Microsoft Intune et d’un MacBook enrôlé (via Apple Business Manager / Automated Device Enrollement par exemple)
• Mettre à jour l’application « Portail d’entreprise » à une version 5.2404 ou supérieur (Cette version est nécessaire pour permettre aux utilisateurs d’être ciblés pour l’authentification unique Platform SSO)
• S’assurer que les utilisateurs sont enregistrés sur une solution d’authentification multi facteur (Microsoft Authenticator est recommandé )
• Pour les utilisateurs de Google Chrome, installer l’extension « Microsoft Single Sign On »
• Mettre à jour les MacBook vers macOS Sonoma (macOS 14). Cette version est recommandée pour une meilleure expérience.

Pour plus d’infos, retrouvez notre article sur le sujet : https://synapsys-groupe.com/blog/platform-sso-mac-microsoft-intune/

Conclusion sur la gestion des macOS dans Intune

La gestion d’un environnement macOS en entreprise avec Microsoft Intune offre une approche complète et sécurisée pour l’administration des périphériques macOS. Grâce aux différentes méthodes d’enrôlement, aux paramètres avancés de configuration et aux outils comme Nudge ou Platform SSO, les équipes IT peuvent optimiser l’expérience utilisateur tout en garantissant la conformité et la sécurité des appareils.

L’évolution vers des technologies comme le Declarative Device Management annonce une gestion encore plus proactive et fluide des MacBook, réduisant la dépendance aux connexions MDM classiques. De plus, avec l’intégration croissante de macOS dans l’écosystème Microsoft, les entreprises disposent désormais de solutions robustes pour unifier la gestion de leurs appareils, quel que soit leur OS.

En adoptant les bonnes pratiques et en tirant parti des outils disponibles, il devient possible d’offrir un environnement de travail performant, sécurisé et aligné sur les exigences modernes de mobilité et de flexibilité.

Elle permet de sécuriser les données présentes dans les applications Microsoft (Teams, Outlook, Sharepoint…) et les applications métiers sur l’ensemble des appareils mobiles (BYOD et appareils d’entreprise).

App Protection Policy dans Intune : comment fonctionne ?

Fonctionnement sans politique MAM

Lorsque aucune restriction d’App Protection Policy n’est mise en place dans Intune, les données de l’entreprise peuvent être transférées et utilisées dans un environnement personnel et non managé. Cela peut causer une fuite de données, de façon volontaire ou non.

Fonctionnement avec politique MAM

En combinant le MAM et une règle d’App Protection Policy dans Intune, il est possible de restreindre l’utilisation des données de l’entreprise. Seules les applications approuvées et managées par l’entreprise peuvent accéder aux données de l’entreprise.

Quelques exemples de ce qu’il est possible de faire avec une App Protection Policy dans Intune :  

• Exiger un code PIN ou une empreinte digitale pour accéder à toutes les applications managées par l’entreprise.
• Empêcher les utilisateurs de copier/coller des données de l’entreprise dans des applications personnelles.
• Restreindre l’accès aux données de l’entreprise aux seules applications approuvées.

Pour les appareils BYOD qui ne sont pas enrôlés dans Intune, il y a certaines limitations à connaître : 

• Il n’est pas possible de déployer des applications sur l’appareil. L’utilisateur doit les télécharger de lui-même depuis le Play Store ou l’Apple Store.
• Il n’est pas possible de déployer des certificats sur ces appareils.
• Il n’est pas possible de déployer les paramètres Wi-Fi et VPN de l’entreprise sur ces appareils. 

Avec cette méthode, il n’y a que les applications et les données qu’elles contiennent qui seront protégées et managées.  

À lire aussi : MAM vs BYOD : quelles différences ?

Liste des prérequis pour mettre en place une App Protection Policy dans Intune

Avant de commencer avec les explications techniques, voici la liste des prérequis : 

• L’utilisateur doit avoir un compte Microsoft Entra de l’entreprise.
• L’utilisateur doit avoir une licence Microsoft Intune attribuée à son compte.
• L’utilisateur doit appartenir à un groupe d’utilisateurs ciblé par une politique d’App Protection Policy (nous verrons les assignations un peu plus loin).
• L’utilisateur doit se connecter à l’application à l’aide de son compte Microsoft.

Exemple de mise en place d’une App Protection Policy dans Intune

Comment créer une App Protection Policy dans Intune​ ?

Rendez-vous dans votre tenant Intune, puis dans Apps > Policy > App Protection Policy cliquez ensuite sur « Create Policy ».

Choisissez ensuite pour quel type d’appareils vous voulez créer et déployer votre App Protection Policy, dans notre exemple, nous choisirons Android. 

Dans la partie Name, assurez-vous d’utiliser la nomenclature qui est propre à votre organisation. Dans la partie description, n’hésitez pas à expliquer ce que fait votre APP. 

Dans notre exemple, nous ciblerons uniquement des applications publiques Microsoft. Mais si vous souhaitez cibler vos applications métiers, assurez-vous que le SDK de Microsoft est bien injecté dans vos applications.

Vous trouverez ici tout ce dont vous avez besoin pour utiliser les App Protection Policy avec vos applications. 

Comment protéger les données avec App Protection Policy ?

Voici comment procéder pour sécuriser ses données avec APP dans Intune :

1. Sélectionnez Bloquer pour empêcher la sauvegarde des données de l’entreprise vers les services de sauvegarde Android. 

2. Policy managed apps : Autorisez le transfert de données vers d’autres applications gérées par l’entreprise (par exemple, copier un paragraphe d’un document Word rattaché au compte Microsoft pro d’un salarié vers son application Outlook ou Teams gérées par une politique MAM).

3. Sélectionnez Bloquer pour empêcher la sauvegarde d’une copie des données vers un nouvel emplacement. Nous autorisons cependant la sauvegarde vers OneDrive for Business et vers SharePoint, tous deux étant des applications professionnelles, gérées. 

1. Transfer messaging data > Any policy-managed messaging app : Pour forcer l’utilisation d’une application gérée lors de l’ouverture d’un lien dans une application de messagerie. 

2. Receive data from other apps > Policy managed apps : Pour autoriser des données personnelles dans des applications professionnelles. Nous autoriserons uniquement OneDrive for Business et SharePoint comme cibles de cette autorisation. 

3. Restrict cut, copy, and paste between other apps > Policy managed apps with paste in : Cela permet d’autoriser du contenu entrant collé à partir d’une autre application. Elle empêche, malgré tout, les utilisateurs de partager du contenu vers l’extérieur, à moins de le faire avec une application gérée. 

4. Sélectionnez Bloquer pour le Screen capture and Google Assistant. En cas de blocage, les fonctionnalités de capture d’écran seront bloquées lors de l’utilisation des applications protégées par l’App Protection Policy. 

5. Bloquer les claviers alternatifs. 

1. Demandez le chiffrement partout

2. Bloquez la possibilité d’imprimer les données de l’entreprise 

3. Laissez le reste par défaut. 

Comment gérer les Access requirements dans App Protection Policy Intune ?

PIN for access > Required : Cela permet de forcer la mise en place d’un code PIN lors de l’ouverture de l’application. Ce code est créé lors de la première utilisation de l’application avec son compte d’entreprise. On gère la complexité de ce code via plusieurs paramètres  : numérique ou alphanumérique, l’autorisation ou non d’un code PIN simple (0000, 1234, etc.) et la longueur du code : de 4 à 16 caractères. 

On peut également autoriser la biométrie pour permettre aux utilisateurs d’accéder aux applications avec leurs empreintes. 

Il est également possible de demander le renouvellement de ce code PIN régulièrement. Tous les 60-90 jours est une valeur qui permet un changement fréquent tout en permettant aux utilisateurs de ne pas être noyés sous les demandes répétées de changement de code PIN. Un historique de 5 mots de passe (cette valeur peut être modifiée) permet d’empêcher la répétition des mêmes codes PIN, pour plus de sécurité. 

Nous pouvons également demander à l’utilisateur de se réauthentifier avec son compte utilisateur, pour un niveau de sécurité encore accru. Attention cependant à ce que vos utilisateurs ne se sentent pas sur-sollicités par toutes ces couches de sécurité, afin de ne pas les décourager à utiliser vos applications. 

L’authentification sera redemandée après 30 minutes d’inactivité.  

Cette année encore, l’événement a été riche en annonces dans tous les domaines (Cloud, IA, Modern Work…). Nous allons, à travers cet article, faire un tour d’horizon sur les différentes annonces qui ont été réalisées autour du Modern Workplace et plus particulièrement autour de Microsoft Intune, Windows…  

Microsoft Ignite 2024 : les annonces sur Intune

Enhanced Hardware Inventory for Windows  

Annoncée en septembre et fortement attendue, cette fonctionnalité permettra d’étendre l’inventaire matériel des postes gérés par Intune. Simplement grâce à la création d’un profil de configuration, il sera possible de choisir les éléments que vous souhaitez collecter. Ces données seront ensuite lisibles depuis une nouvelle catégorie nommée « Ressource Explorer ».

Lire notre dernier article : Comment configurer Device Hardware Inventory dans Intune ?

Il sera ainsi possible de répondre à des questions du type : « Mon périphérique a-t-il une puce TPM 2.0 ? » ou encore « la batterie est-elle en fin de vie ? ».  

De plus, la création de groupes Entra ID dynamiques basés sur ces données collectées est en cours de développement.  

Il sera possible de faire des requêtes sur ces données (en KQL) grâce à Microsoft Intune Advanced Analytics D (disponible dans la Microsoft Intune Suite).  

Pour plus d’infos : Device hardware inventory is coming soon to Microsoft Intune – Microsoft Intune Blog 

Pour finir, cette fonctionnalité sera portée également sur les environnements Apple et Android courant 2025. 

Advanced Analytics extension 

Trouver les informations dont vous avez besoin quand vous en avez besoin ! C’est ce que Microsoft promet avec les nouveautés ajoutées à Advanced Analytics qui est disponible dans la Microsoft Intune Suite. 

Il sera possible de requêter un poste via Device Query en temps réel et de réaliser des actions directement depuis la même fenêtre (exemple : lancer un scan antivirus ou planifier un redémarrage).  

La grosse avancée reste sur le fait de pouvoir requêter l’entièreté des postes afin, par exemple, d’identifier une problématique globale. Il sera aussi possible dans un futur proche d’exécuter des actions sur un groupe de périphériques (multi-devices). 

Vous ajoutez à cela une dose de Microsoft Copilot, et vous obtenez un allié qui vous permettra de gagner du temps et d’être plus efficace lors de vos sessions de troubleshooting. 

Copilot pourra aussi vous servir dans l’analyse d’impacts et de risques lors de la mise en place de configuration.  

Pour plus d’infos : Transforming endpoint management with Copilot in Intune | Microsoft Community Hub 

Extension du support des périphériques Apple  

Microsoft continue ses investissements massifs sur Microsoft Intune avec le support des périphériques VisionOS et tvOS en ce début d’année 2025. 

Cela marque un tournant dans la gestion de l’environnement Apple par Microsoft Intune qui, par ses nombreuses évolutions ces derniers mois, rattrape le retard qu’il peut avoir face à ses concurrents sur cette partie.  

Microsoft montre aussi qu’Intune est prêt à s’adapter aux besoins de toutes les entreprises en matière de gestion de périphériques.  

À noter également, la prise en charge des stratégies de protection d’applications (pour Teams à partir de novembre 2024, la suite Microsoft 365 à partir de début 2025) sur les appareils VisionOS. Cela permet de garantir la conformité et la sécurité de ces appareils pour que les utilisateurs puissent en exploiter tout leur potentiel sans craindre pour la sécurité des données de leur organisation.  

Windows 365 Link 

Microsoft a annoncé l’arrivée de Windows 365 Link, un boitier permettant de se connecter simplement à son environnement de travail Windows 365.  

Ce petit boitier est entièrement sécurisé et permet d’optimiser la connexion à son environnement 365. Aucune donnée utilisateur ni donnée d’identification ne sont stockées.  

L’authentification MFA et/ou passwordless est prise en charge. 

Le tout est gérable bien entendu par Microsoft Intune.  

Le lancement est prévu pour avril 2025 à un prix de 349$. 

Pour plus d’infos : Windows 365 Link—the first Cloud PC device – Windows IT Pro Blog 

Autres nouveautés 

Au rayon des autres nouveautés, on peut noter : 

• Le déploiement des certificats sur MacOS directement dans le trousseau utilisateur  
• Le support des OS ARM64 par EPM (Endpoint Privilege Management)

Pour retrouver un récapitulatif global des annonces liées à Microsoft Intune, suivez ce guide : Microsoft Intune news at Microsoft Ignite 2024 | Microsoft Community Hub 

Microsoft Ignite 2024 : annonces autour de Windows

Windows Hotpatching 

Microsoft a annoncé une évolution importante apportée uniquement aux possesseurs de Windows 11 Entreprise (à partir de 24H2).

Vous en avez assez d’entendre vos utilisateurs se plaindre des redémarrages parfois longs pour appliquer les mises à jour de sécurité ? Cette évolution est pour vous. 

Disponible en préversion publique, la fonction « Hotpatching » va permettre d’installer les mises à jour de sécurité à chaud, c’est-à-dire qu’il ne sera pas nécessaire de redémarrer la machine après l’installation de celle-ci. 

Déjà annoncée et disponible pour Windows Server 2025, cette fonctionnalité est une petite révolution pour le monde du Modern Workplace.  

Comment est-ce que cela fonctionne ? Un redémarrage sera uniquement demandé après l’installation des mises à jour du premier mois de chaque trimestre qui contiendront les dernières corrections de sécurité notamment.  

Cette fonctionnalité permettra d’améliorer la posture sécurité du poste de travail et la productivité des utilisateurs.  

Pour en savoir plus : Hotpatch for client comes to Windows 11 – Windows IT Pro Blog 

Administrator Protection 

Avec « Administrator Protection » sous Windows 11, Microsoft applique le principe du « least privilege » déjà bien connu. L’importance de maintenir une posture sécurité importante ne peut plus être sous-estimée dans notre monde IT actuel. Les privilèges administrateurs représentent un vecteur d’attaque important et Microsoft apporte une réponse grâce à cette fonctionnalité.  

Avec Administrator Protection, Microsoft engage une transformation du rôle « Administrateur » du poste de travail. Cette fonctionnalité vise avant tout à protéger les utilisateurs. 

Elle repose sur les principes suivants : 

•  « Just in Time elevation » pour que cette élévation soit temporaire le temps d’effectuer une opération nécessitant ce type de privilège (installation d’applications par exemple)
• Séparation des profils (conteneurisation)
• Pas d’élévation automatique (intégration de Windows Hello)
• Flexibilité (limiter l’accès de manière granulaire aux applications autorisées)

Cette fonctionnalité est pour l’instant uniquement disponible en test via le canal Insider. Le tout sera configurable par Microsoft Intune. 

Pour plus d’infos : Administrator protection on Windows 11 | Microsoft Community Hub 

Quick Machine Recovery 

Le 19 juillet dernier et suite à une mise à jour défaillante de la solution de sécurité CrowdStrike, des millions de PC dans le monde entier ont été victimes d’une panne.  

Microsoft va mettre en place début 2025 via le canal Insider une fonctionnalité nommée « Quick Machine Recovery » qui permettra à nous, administrateurs, d’appliquer des mises à jour (sur site ou à distance) Windows Update sur des machines même si elles ne sont plus en capacité de démarrer. 

Rendez-vous en 2025 pour connaitre plus de détails sur ce qui s’annonce prometteur. 

Du nouveau sur Universal Print 

Universal Print, l’outil cloud de gestion d’impression, continue son évolution et poursuit sa route avec deux nouvelles fonctionnalités : 

• La disponibilité générale sous MacOS à partir de décembre 2024
• La fonctionnalité « pull printing » en public preview (file d’attente d’impression que l’utilisateur peut libérer depuis n’importe quelle imprimante en scannant un QR code avec son application Microsoft 365 de manière sécurisée)
• Il sera également possible pour un administrateur de choisir les propriétés de cette file d’impression, par exemple imprimer uniquement en noir et blanc, etc… 

Windows Backup  

Windows Backup est un outil sorti pour le grand public courant 2024. Une version « Windows Backup for Organisations » va sortir prochainement et permettra de sauvegarder/restaurer les paramètres Windows pour les postes de travail Windows 10/11 Hybrid ou Entra ID joined.  

Cela pourrait améliorer les processus de remplacement des postes de travail au sein des organisations.  

Pour plus d’infos sur toutes ces annonces, rendez-vous ici : Windows news from Microsoft Ignite 2024 – Windows IT Pro Blog 

Conclusion sur les annonces de la Microsoft Ignite 2024

Toutes ces annonces réalisées par Microsoft pour Microsoft Intune ou Windows sont prometteuses et vont permettre aux administrateurs et aux utilisateurs de gagner en productivité sans négliger la sécurité qui fait partie des enjeux de ces prochains mois. En effet, le risque cyber pèse de plus en plus lourd et nul doute que des fonctionnalités comme Administrator Protection ou Hot Patching auront un rôle à jouer dans tout ça.  

Si vous êtes curieux comme moi, retrouvez le « Book of News » du Microsoft Ignite qui regroupe toutes les annonces faites également dans les autres domaines et notamment autour de l’IA (Copilot). Ce dernier est concerné également par quelques nouveautés que je vous laisse découvrir par ici : Microsoft Ignite 2024 Book of News 

Certains types de contenu comme les mises à jour de sécurité ou de fonctionnalités Windows, les mises à jour de la suite Microsoft 365, les applications du store Microsoft ou encore les applications Win32 déployées par Intune peuvent parfois contenir des fichiers volumineux. 

Le téléchargement de ces contenus peut consommer de la bande passante réseau sur les appareils qui les reçoivent, provoquer des congestions sur les sites/pays où la bande passante Internet peut être faible et ainsi dégrader le service aux utilisateurs finaux. 

Pour répondre à ces besoins, Microsoft a sorti avec Windows 10, en 2015 une fonctionnalité appelée Delivery Optimization. Une fonctionnalité qui vient un peu en remplacement de Branchcache que l’on a pu connaitre à l’époque de Windows 7 / Windows 8.1. 

L’objectif principal de cette fonctionnalité est de garantir que les déploiements en cours n’aient pas d’impact sur le réseau de l’entreprise pour garantir un niveau de service optimal à d’autres services comme Microsoft Teams ou autres solutions de visioconférence, par exemple en utilisant un mécanisme de type P2P local. 

Nous allons vous donner dans cet article quelques éléments qui vous permettront de définir la meilleure stratégie à adopter. 

En parallèle, Microsoft a annoncé ces derniers jours la sortie de « Microsoft Connected Cache » qui vient en complément de Delivery Optimization. 

Découverte rapide de Microsoft Connected Cache 

Auparavant réservé aux utilisateurs de SCCM (System Center Configuration Manager), Microsoft a annoncé fin octobre une preview publique de Microsoft Connected Cache pour les entreprises utilisant Intune.  

La mise en place d’un serveur Microsoft Connected Cache vient en complément de Delivery Optimization et permet de répondre aux demandes de contenu via Delivery Optimization via celui-ci, plutôt que de passer par le cloud en sollicitant les serveurs Microsoft.  

La fonctionnalité peut être gérée à partir du portail d’administration Azure ou via Azure CLI. Il n’y a aucun surcoût à prévoir pour la partie Azure, le coût viendra juste des ressources matérielles dédiées à vos serveurs.  

Elle peut être déployée sur autant de machines virtuelles que nécessaire sur les systèmes d’exploitation suivants : Windows, Windows Server, Linux (Ubuntu ou Red Hat Entreprise) dans votre environnement. C’est vous qui choisissez l’emplacement en fonction du trafic et de la localisation de vos postes de travail. L’idée est qu’il soit proche de la zone à cibler. Le déploiement peut se faire en mono ou multi site.  

Microsoft Connected Cache pour entreprise est disponible pour tous les clients Windows Entreprise E3 ou E5. 

Vous retrouverez ci-dessous les scénarios et contenus pris en charge par un serveur « Connected Cache ». 

On peut remarquer la partie configuration et gestion du serveur « Connected Cache » sur la droite avec une gestion totale via le portail de gestion Azure.  

Sur la gauche, la partie « poste de travail » où on peut voir (numéro 5), le poste qui va requêter le serveur Connected Cache pour récupérer son contenu : s’il n’est pas disponible, il ira le chercher sur le CDN Microsoft (numéro 6).

Pour indiquer à vos postes de travail de se référer à un serveur Connected Cache, vous avez juste à indiquer son IP/Nom DNS dans la stratégie Delivery Optimization.  

Pour en savoir plus sur l’installation et la configuration d’un serveur « Microsoft Connected Cache », je vous conseille de suivre ce lien.

Pour finir, les clients Microsoft qui utilisent cette solution ont pu réaliser des économies de plus de 90% de la bande passante sur des scénarios comme une migration vers Windows 11 ou le déploiement des mises à jour de sécurité Windows.  

Vous pouvez suivre assez simplement les métriques et les performances de Connected Cache depuis le portail Azure. 

La sortie de cette fonctionnalité pourrait permettre à certaines organisations d’entamer la transition vers le modern management et ainsi penser à décommissionner, par exemple, leur infrastructure SCCM. 

Découverte rapide de Delivery Optimization

Delivery Optimization est une fonctionnalité de base de Windows 10 et Windows 11 conçue notamment pour améliorer l’efficacité du téléchargement de contenu comme les mises à jour Windows qui peuvent être parfois volumineuses, même si Microsoft a travaillé ces dernières années pour en réduire le poids. 

Comme annoncé un peu plus haut, l’objectif principal de cette fonctionnalité est de réduire la consommation de bande passante en permettant aux postes de travail présents au sein de votre réseau d’entreprise de télécharger le contenu Microsoft à partir d’autres sources qu’Internet : les postes de travail du même réseau local ou via un serveur « Microsoft Connected Cache » dédié comme annoncé plus haut. 

Il permet également d’accroitre la vitesse de téléchargement en téléchargeant le contenu depuis plusieurs sources en simultané (exemple : plusieurs postes de travail). Le tout dans un environnement sécurisé (vérification de l’authenticité / utilisation de hash), l’authenticité est vérifiée lors du téléchargement et juste avant l’installation.

Delivery Optimization ne peut pas être utilisée pour télécharger ou envoyer du contenu personnel. Aussi, aucun accès aux fichiers ou dossiers personnels des utilisateurs n’est possible. 

Pour finir, la configuration de cette fonctionnalité se fait de manière simple et reste flexible pour répondre aux besoins de votre environnement. Il existe également de nombreux moyens pour monitorer l’économie de bande passante réalisée suite à la mise en place de Delivery Optimization. 

Eléments à prendre en compte lors de l’élaboration d’une stratégie Delivery Optimization

1. Réseau

Selon votre environnement réseau (proxy / firewall), des ajustements seront nécessaires afin d’autoriser le service à fonctionner de manière optimale.  

• Côté Firewall : Des ouvertures de flux vers les URL du service sont nécessaires, notamment vers ces URL 

• Delivery Optimization utilise le port 7680 pour la communication, il faudra s’assurer que ce port ne soit pas bloqué sur le firewall de vos postes de travail. 

• Coté proxy : Si votre organisation utilise un proxy Cloud (Type Zscaler), il est recommandé de mettre un bypass au moins sur l’URL * .prod.do.dsp.mp.microsoft.com (Par exemple dans un proxy pac Zscaler, ajouter ceci pour le bypass : shExpMatch(host, « *.prod.do.dsp.mp.microsoft.com »)).

2. Topologie

Selon votre environnement, il vous faudra définir la meilleure configuration à appliquer. Notamment au niveau du « Download Mode » (cela sert à déterminer la méthode de téléchargement que les clients sont autorisés à utiliser). 

Les deux modes les plus couramment utilisés sont le 1 et 2, si vous utilisez le mode 2 (Peering http across private group), il vous faudra définir un « Group ID Source », c’est ce qui permettra de grouper vos périphériques par un critère qui peut être un site AD ou une option DHCP. Les postes téléchargeront leurs sources dans ce groupe spécifique.  

Par exemple, pour utiliser les options DHCP, sur un site spécifique, il vous faudra créer un GUID et distribuer ce GUID via l’option 234 de votre serveur DHCP. On pourrait donc imaginer la création d’un GUID pour chaque site et donc répartir les groupes ainsi. 

La configuration de votre profil ressemblerait donc à ceci : 

À savoir que, par défaut et recommandé par Microsoft, Delivery Optimization est désactivée lorsqu’un utilisateur se connecte à travers un réseau VPN. Il est possible au travers de la configuration de forcer la désactivation ou de l’activer malgré tout si nécessaire. 

3. Performances du système

D’autres critères sont également à prendre en compte comme :  

• Le minimum d’espace disque disponible pour utiliser Delivery Optimization 
• Le minimum de mémoire RAM disponible 
• La taille du cache réservé à Delivery Optimization  
• Définir une stratégie d’optimization de la bande passante (en % ou en vitesse)  

Vous retrouverez dans ce lien Microsoft, un guide de référence sur tout le paramétrage disponible sur cette fonctionnalité.  

Surveillance et monitoring

La mise en place des rapports Windows Update for Business vous permet d’avoir une vision complète sur l’efficacité de Delivery Optimization.  

Il existe aussi quelques cmdlet Powershell comme Get-DeliveryOptimizationStatus qui vous permettent sur un poste de monitorer en temps réel le nombre de données envoyées et reçues. 

Pourquoi combiner Microsoft Connected Cache et Delivery Optimization ?

La mise en place conjointe de Microsoft Connected Cache et de Delivery Optimization peut permettre à une organisation d’économiser une énorme partie de bande passante (les premiers retours vont de l’ordre de 90 à 95%). Imaginez cela à une plus large échelle, cela peut changer la donne.

Selon les besoins, la mise en place uniquement de Delivery Optimization peut couvrir une bonne partie des besoins et ainsi permettre d’optimiser les performances de votre réseau. 

La gestion et la mise en place de l’une et/ou l’autre des fonctionnalités se fait assez rapidement pour des résultats immédiats. On ne peut pas imaginer le volume de données qui transitent par nos postes de travail entre les déploiements applicatifs, les mises à jour des applications Windows ou autres.

Les méthodes d’enrôlement d’Autopilot

En 2024, Microsoft a introduit un nouveau type d’enrôlement appelé Windows Autopilot Device Preparation. Ce mode d’enrôlement n’est pas une version améliorée d’Autopilot, mais plutôt une approche totalement différente pour la configuration des appareils, offrant une nouvelle méthode pour les déployer et les préparer pour l’entreprise.

Historiquement, Windows Autopilot propose trois modes d’enrôlement :

Enrôlement user-driven

Ce mode est centré sur l’utilisateur final. Lorsqu’un appareil est allumé pour la première fois, l’utilisateur est guidé à travers un processus de configuration personnalisé. L’utilisateur s’authentifie, et le processus d’enrôlement s’effectue avec des configurations et applications spécifiques qui sont automatiquement installées. C’est une solution particulièrement adaptée aux environnements où les utilisateurs finaux doivent être impliqués dans la configuration initiale de leur appareil.

Enrôlement pre-provisionning

Aussi appelé « mode pré-approvisionnement », ce mode permet aux équipes IT de préparer et configurer les appareils avant qu’ils ne soient remis aux utilisateurs finaux. L’appareil est configuré en amont, de sorte que lorsque l’utilisateur final le reçoit, toutes les applications et configurations sont déjà prêtes, réduisant considérablement le temps de configuration. Ce mode est idéal pour les déploiements en masse, car il permet de minimiser le temps d’attente pour les utilisateurs et garantit que les appareils sont prêts à l’emploi dès leur réception.

Enrôlement self-deploying

Ce mode est conçu pour permettre aux appareils de s’auto-configurer sans intervention de l’utilisateur final. Il est particulièrement adapté aux appareils partagés, aux kiosques ou aux points de vente. Avec le mode self-deploying, l’appareil se configure automatiquement dès sa première mise sous tension et télécharge les paramètres et applications nécessaires sans nécessiter de connexion utilisateur. Ce mode simplifie la gestion des appareils autonomes ou partagés et assure une configuration cohérente sur tous les terminaux concernés.

Ces trois modes d’Autopilot permettent de couvrir une large gamme de scénarios de déploiement, adaptés aux besoins des entreprises en fonction du niveau de préparation et d’autonomie souhaité pour chaque type d’appareil.

A noter que nous ne retrouvons pour l’instant que le scénario “User Driven” dans Autopilot Device Preparation.

Les axes majeurs de Windows Autopilot Device Preparation

Windows Autopilot Device Preparation apporte son lot de nouveautés pour optimiser le déploiement et la gestion des périphériques en entreprise, en simplifiant les processus et en améliorant le suivi en temps réel. Voici les principaux axes de cette solution :

Simplifier le déploiement des périphériques

Initialement, il fallait créer deux profils dans Autopilot : un profil ESP et un profil de déploiement Autopilot. Désormais, tout se paramètre dans un seul et même profil. Autrement dit, vous choisissez le groupe de déploiement et les applications et les scripts que nous souhaitons déployer.

Autre nouveauté, les applications MSI et Win32 peuvent être déployées en même temps. Auparavant, il était conseillé de privilégier les applications Win32 pour éviter d’avoir des échecs d’installation. Désormais, vous pouvez mixer tout type d’installation voire même des applications du Microsoft Store.

Optimiser le temps global de préparation

Notamment grâce à la nouveauté « Enrollment time grouping ». Vous pouvez ajouter l’utilisateur à un groupe de sécurité lorsqu’il s’authentifie sur Autopilot. Ainsi, les applications et les configurations descendent directement sur le groupe de sécurité associé. Gain de temps considérable.

Cette fonctionnalité sera également mise en place sur Android et iOS dans les prochains mois.

Améliorer la résolution des problématiques et le reporting

La partie reporting a était beaucoup améliorée par rapport à avant et donc là vous pouvez avoir un reporting en état quasi temps réel sur le déploiement des applications, des scripts et le temps de déploiement du poste dans autopilot device préparation.

Autopilot Device Préparation et Windows Autopilot peuvent être utilisés simultanément. Vous pouvez avoir des postes présents d’un côté ou de l’autre. En revanche, un poste ne peut exécuter qu’un seul Autopilot. Ceci étant dit, c’est Autopilot qui est prioritaire par rapport au Autopilot Device Preparation. C’est donc à vous de faire ce choix. 

Notez que si vous choisissez Autopilot Device Preparation, il faudra vous assurer que le poste n’est plus inscrit dans Windows Autopilot classique.

Les différences entre Autopilot vs Autopilot Device Preparation

Autopilot et Autopilot Device Preparation sont deux solutions de déploiement pour appareils Windows qui se différencient par leurs fonctionnalités et cas d’usage.

Autopilot propose plusieurs modes de déploiement, incluant le mode « User Driven », le « Pre-Provisioning » et le « Self-Deploying », tandis qu’Autopilot Device Preparation est limité au mode « User Driven ». Aussi, Autopilot Device Preparation ne peut être utilisé que sur Windows 11 tandis qu’Autopilot l’est sur Windows 11 mais également sur Windows 10.

En termes de type de jonction, Autopilot supporte le « Entra ID Join » et le « Hybrid Entra ID Join » (ce dernier n’étant plus supporté), tandis qu’Autopilot Device Preparation ne prend en charge que le « Entra ID Join ». 

Concernant l’installation d’applications, Autopilot permet un déploiement illimité d’applications, contrairement à Autopilot Device Preparation, qui est limité à 10 applications et 10 scripts. 

Enfin, une différence majeure réside dans la compatibilité avec les applications métier et les applications Win32 : Autopilot ne prend pas en charge ces applications dans un même déploiement, alors qu’Autopilot Device Preparation, lui, les supporte.

On peut imaginer qu’à terme, l’une de ces solutions remplacera l’autre, bien que cet horizon reste encore incertain. Pour l’instant, Autopilot et Autopilot Device Preparation fonctionnent indépendamment, chacune avec une approche distincte. Autopilot Device Preparation, malgré une simplicité au niveau du déploiement, présente encore certaines limitations techniques, liées à la maturité du produit. Microsoft travaille activement à renforcer cette solution, avec des investissements continus pour surmonter ces obstacles et optimiser son efficacité.

En savoir plus : Fin de support Windows 10, comment migrer vers Windows 11 ?

Les prérequis d’Autopilot Device Preparation

Pour une configuration optimale d’Autopilot Device Preparation, plusieurs prérequis sont essentiels :

• Version de Windows requise : Pour tirer parti d’Autopilot Device Preparation, l’appareil doit fonctionner sous Windows 11, version 23H2, avec la mise à jour KB5035942 ou une version ultérieure. Cette version garantit que toutes les fonctionnalités nécessaires pour un déploiement fluide sont présentes.
• Jonction Microsoft Entra ID : Seule la jonction Microsoft Entra ID Join est prise en charge, excluant d’autres types de jonctions. Cela implique que l’appareil doit être lié directement au Microsoft Entra ID afin d’assurer une gestion optimale et une configuration homogène des identités.
• Enregistrement des appareils : Il est essentiel que l’appareil ne soit pas déjà enregistré ou ajouté dans Windows Autopilot. Un appareil déjà lié à Autopilot peut créer des conflits dans la configuration, ce qui impacte le bon déroulement du déploiement via Autopilot Device Preparation.
• Configuration standard du réseau et des licences : Une configuration correcte du réseau (Network) et des licences (Licensing) est nécessaire pour éviter des erreurs lors du déploiement. Ces éléments de base permettent à l’appareil de se connecter, de télécharger les configurations et d’accéder aux ressources nécessaires.
• Groupes Entra ID requis :
  • Groupe Entra ID Utilisateurs : ce groupe permet de gérer les droits d’accès et les autorisations pour les utilisateurs finaux pendant la préparation des appareils.
  • Groupe Entra ID Ordinateurs : les appareils doivent appartenir à ce groupe, avec « Intune Provisioning Client » comme propriétaire. Ce paramétrage spécifique permet de faciliter le provisionnement des appareils par Intune et d’assurer un contrôle efficace tout au long du processus.

Ces prérequis sont indispensables pour garantir une utilisation optimale d’Autopilot Device Preparation, permettant ainsi un déploiement rapide, simplifié et conforme aux standards de sécurité et de gestion de Microsoft.

Les nouveaux concepts d’Autopilot Device Preparation

Avec l’évolution continue d’Autopilot, Microsoft introduit trois nouveaux concepts dans Autopilot Device Preparation, chacun visant à renforcer l’efficacité, la sécurité et la réactivité des déploiements d’appareils. Ces nouveautés, conçues pour répondre aux besoins des équipes IT en simplifiant les processus et en optimisant le suivi, marquent une étape significative dans la gestion des appareils. Découvrons ensemble comment l’Enrollment Time Grouping, les Corporate Identifiers for Windows et la mise à jour du statut en quasi-temps réel transforment l’expérience d’Autopilot Device Preparation.

L’enrollment Time Grouping

C’est la clé d’Autopilot Device Preparation ! Ce concept remplace le traditionnel group tag et vise à automatiser l’attribution des appareils aux groupes appropriés lors de leur inscription.
À l’inscription, chaque appareil est automatiquement assigné à un groupe spécifique, qui peut inclure les configurations, applications, ou scripts requis pour le déploiement.
Son avantage principal est de simplifier le processus de déploiement en éliminant la nécessité de configurer manuellement des balises de groupe pour chaque appareil, accélérant ainsi la configuration initiale.

Corporate Identifiers for Windows

Ce nouveau concept permet une identification unique et sécurisée de chaque appareil. L’identification est basée sur des informations comme le numéro de série, le fabricant et le modèle de l’appareil.
Il assure l’approbation préalable de chaque appareil dans le cadre d’un déploiement via Autopilot Device Preparation, garantissant ainsi que seuls les appareils autorisés sont enrôlés.
Son avantage principal remplace les besoins de hardware hash traditionnels en améliorant la sécurité et la précision de l’identification des appareils, tout en simplifiant le processus d’approbation.

Mise à jour de statut en quasi-temps réel

Son objectif est de fournir des informations actualisées sur l’état des déploiements, permettant une surveillance précise et rapide de chaque étape du processus.
Les administrateurs peuvent consulter l’état des applications et des scripts (comme les scripts PowerShell) utilisés dans le déploiement, leur permettant de repérer rapidement tout problème éventuel.
Son avantage principal est d’améliorer significativement la résolution des problèmes en offrant une vue d’ensemble des déploiements en temps réel, permettant aux équipes IT de réagir rapidement aux erreurs ou dysfonctionnements.

Ces nouveaux concepts d’Autopilot Device Preparation apportent une amélioration considérable en termes d’automatisation, de sécurité et de réactivité, permettant une gestion plus efficace des appareils et un déploiement optimisé.

Que retenir sur Autopilot Device Preparation ?

En conclusion, Autopilot Device Preparation représentent une avancée majeure pour simplifier, automatiser et sécuriser le déploiement des appareils en entreprise. Grâce aux nouveaux modes d’enrôlement, aux outils de préparation optimisés, et aux concepts innovants comme l’Enrollment Time Grouping et les Corporate Identifiers for Windows, Microsoft répond aux besoins de flexibilité et d’efficacité des équipes IT.

Les améliorations en matière de reporting et de suivi en quasi-temps réel permettent une meilleure réactivité face aux problèmes potentiels, offrant ainsi un contrôle accru sur chaque étape du déploiement. Bien qu’Autopilot Device Preparation présente encore certaines limitations, son développement constant laisse entrevoir un avenir prometteur pour les entreprises cherchant à optimiser la gestion de leurs parcs d’appareils.

Intune : mise à jour des SDK pour les applications métiers Android et iOS

Avec l’arrivée d’Android 15 et d’iOS 18, il est important de mettre à jour le SDK Intune ainsi que l’outil de wrapping, pour les deux OS. 

En matière de Mobile Device Management, il est fortement recommandé de mettre à jour vos applications métiers sur la dernière version du SDK et/ou de l’outil de wrapping pour assurer leur bon fonctionnement avec les nouvelles versions d’iOS et d’Android. Cela vous permettra de cibler ces versions dans vos applications métiers et de suivre l’évolution de votre parc mobile.

Google a également annoncé sur son blog qu’il allait augmenter le rythme de parution des kits de développement pour Android. 

Liens pour Android : Kit de développement SDK et l’outil de wrapping 
Liens pour iOS : SDK et l’outil de wrapping

Intune : fin de support pour les anciennes versions d’iOS 

Intune ne supportera bientôt que les versions d’iOS 16 et supérieures. Le portail d’entreprise, le MAM, ainsi que les applications Microsoft 365 ne supporteront plus les versions en dessous. 

Pour les iOS qui sont enrôlés en userless, la situation est différente car la dépréciation ne concerne que les versions en dessous d’iOS 13. 

Vous trouverez ici la liste de tous les modèles encore supportés : 

Intune : changement de méthode d’enrôlement pour iOS 

Web based device enrollement va devenir la nouvelle méthode d’enrôlement par défaut pour les iOS. 

Aujourd’hui, la méthode de Mobile Device Management par défaut consiste à utiliser le portail d’entreprise Device enrollment with company portal. Lors d’une prochaine service release d’Intune (pas plus d’informations à ce sujet), Microsoft prévoit de changer cela par le Web based device enrollement lors de la création de nouveaux profils. Pour les nouveaux tenants sans profil d’enrôlement, les utilisateurs devront donc passer par le Web based device enrollement.  
 
Microsoft recommande de déployer Just in Time et de mettre à jour les documentations pour l’IT et les utilisateurs afin d’anticiper le changement : Mettre en place Web based device enrollement sur Intune 

Intune : fin de support pour Android Device Administrator

Android device administrator ne sera plus supporté sur Intune à partir du 31 décembre 2024 pour les appareils avec GMS (Google Mobile Services). Google abordait déjà le sujet en 2017 et encourageait les entreprises à migrer vers Android Enterprise. 

La fin de support implique : 

• Intune n’apportera pas de modifications ou de mises à jour à la gestion des appareils Android. Cela inclut les corrections de bugs, les correctifs de sécurité ou les corrections liées aux changements des nouvelles versions d’Android. 
• Le support technique d’Intune ne prendra plus en charge ces appareils. Vous pouvez consulter la liste des appareils concernés en vous connectant sur votre plateforme Intune et en allant dans Appareils > Tous les appareils et filtrer la colonne OS sur Android (administrateur de l’appareil). 

Vous trouverez dans la documentation de Microsoft toutes les alternatives d’enrôlement à Android device administrator ainsi que les étapes et prérequis pour les mettre en place dans votre plateforme. 

Google a également mis en ligne son Android Enterprise Migration Bluebook pour parler de la migration de Android device administrator vers Android Enterprise. 

Intune : fin de support pour les custom profiles des Android personnally owned 

A partir du 1^er avril 2025, Microsoft va mettre fin au support de ces profils. Pour rappel, les custom profils pour Android permettent aux administrateurs de configurer des paramètres qui n’ont pas été intégrés dans Intune. Microsoft explique que les custom profiles sont plus difficiles à configurer et à troubleshooter. 

Ce qui va changer en 2025 en Mobile Device Management :  

• Les administrateurs ne pourront pas créer de nouveaux custom profiles pour les Android personnally owned. Toutefois, les administrateurs peuvent toujours afficher et modifier les profils déjà existants. 
• Les Android personnally owned ayant déjà un custom profile affecté ne seront pas immédiatement impactés. 
• Le support technique d’Intune ne prendra plus en charge les custom profiles pour les Android personnally owned. 

Pour avoir la liste de tous vos custom profiles  :  

• Connectez-vous à votre plateforme Intune
• Sélectionnez Appareils > Android > Configuration.
• Filtrez la colonne Plateforme par Android Enterprise pour obtenir une liste des politiques Android Enterprise. 
• Triez la colonne Type de politique et recherchez toutes les politiques dont le type de politique est personnalisé. 

Rappel : Android 10 n’est plus supporté par Intune

N’oubliez pas que depuis octobre 2024, Intune ne supporte plus Android 10. Ce changement n’affecte pas les appareils enrôlés en userless. Intune n’empêche pas l’enrôlement de ces appareils, mais le bon fonctionnement n’est plus garanti et leur utilisation n’est pas recommandée.

Pour être plus précis, Microsoft n’investira plus dans de nouvelles fonctionnalités, ne prendra plus en charge aucune demande d’évolution, mais les fonctionnalités actuelles et la publication des mises à jour de sécurité, quant à elle, sera toujours opérationnelle via ce canal.

Microsoft précise également qu’il n’existe actuellement aucun plan pour supprimer WSUS des versions de Windows Server (y compris Windows Server 2025). Microsoft continuera à s’assurer que la fonctionnalité WSUS telle qu’elle existe aujourd’hui fonctionne et les problèmes qui pourraient arriver seront bien entendus pris en charge.

La vision de Microsoft sur le sujet est très claire et pousse vers l’utilisation des services cloud. Nous allons voir dans cet article les alternatives possibles à WSUS pour le périmètre poste de travail et serveur, mais tout d’abord un peu d’historique sur WSUS.

Qu’est-ce que Windows Server Update Services ?

Windows Server Update Services est un rôle intégré à Windows Server depuis 2005.

Il permet de gérer la distribution des mises à jour des produits Microsoft (Windows, Windows Server, Office) sur différents périmètres (poste de travail, serveur). Il offre un contrôle granulaire sur les mises à jour, permettant d’approuver ou de refuser les mises à jour, de forcer les dates d’installation et de générer des rapports détaillés sur la conformité des mises à jour de votre parc. C’est une fonctionnalité gratuite qui est intégrée à Windows Server qui lui est bien entendu sous licence.

Outre le coût, WSUS permet d’avoir un contrôle granulaire sur l’approbation et la planification de l’installation des mises à jour. Cependant, une infrastructure WSUS réclame beaucoup de maintenance, d’optimisation et est limitée techniquement par rapport aux solutions cloud, notamment en termes d’automatisation.

Quel avenir pour WSUS ?

Comme indiqué un peu plus haut, Microsoft encourage les organisations à entamer une transition vers ses outils de gestion cloud. Généralement, ces outils offrent des fonctionnalités avancées et un meilleur reporting que WSUS.

D’autres aspects sont également à prendre en compte lors du changement d’un outil tel que WSUS :

• Investissement : beaucoup d’organisations ont investi dans une infrastructure WSUS. Un investissement sera sans doute nécessaire pour la transition vers un outil cloud (licences, matériel).
• Coût : Le passage de WSUS vers une nouvelle solution pourrait entraîner une augmentation des coûts, tant en termes d’efforts de migration que de licensing pour les services cloud.
• Sécurité : Il est important de s’assurer que les correctifs de sécurité soient déployés efficacement. Il est aussi crucial de connaître le niveau de conformité de son parc informatique dans le but de voir si les éventuelles failles de sécurité sont bien corrigées.

Alternatives à WSUS pour le périmètre poste de travail

Si vous disposez d’une infrastructure Microsoft Configuration Manager et que vous l’utilisez pour mettre à jour vos postes de travail, pas de panique, vous pouvez toujours passer par ce biais. La dépréciation de WSUS n’aura aucun impact sur ce produit, même si Microsoft recommande une transition vers Windows Update for Business / Windows Autopatch avec Microsoft Intune.

Nous allons faire un zoom rapide sur chacune des fonctionnalités que Microsoft propose en remplacement de WSUS pour ce périmètre.

Zoom sur Windows Update for Business

Windows Update for Business est un service gratuit disponible pour les éditions suivantes de Windows 10 et Windows 11 :

• Pro, y compris Pro pour les stations de travail
• Éducation
• Entreprise

Pour rappel, le 15 octobre 2025, c’est la fin de Windows 10. Pour en savoir plus sur le déploiement vers Windows 11, c’est ici.

Il permet de maintenir les postes de travail Windows à jour avec les dernières mises à jour de sécurité et de fonctionnalités Windows en se connectant directement au service Windows Update.

Les stratégies nécessaires à Windows Update for Business sont configurables via le MDM Intune, par stratégie de groupe ou encore par SCCM.

Grâce à ces stratégies, vous pourrez avoir un contrôle sur le déploiement des mises à jour de sécurité et de fonctionnalités en créant des rings regroupant plusieurs appareils et en décalant l’application des mises à jour sur ceux-ci (voir schéma ci-dessus). Vous bénéficierez également de l’expérience utilisateur « Windows Update » en ce qui concerne les notifications de redémarrage.

Bon à savoir :

• Vous pouvez activer également les mises à jour automatiques pour les drivers Windows et gérer leur approbation grâce à la fonctionnalité « Windows Driver Update Management » (plus d’infos : stratégie de mise à jour des pilotes Windows pour les appareils Windows 10 Windows 11 dans Intune).
• La mise à jour automatique des produits Office est également possible grâce à l’activation du paramètre « Microsoft Product Updates ».
• Si vous découvrez un problème lors du déploiement d’une mise à jour de qualité ou de fonctionnalité, il est possible de suspendre celle-ci pendant 35 jours pour empêcher d’autres appareils de l’installer jusqu’à ce que le problème soit résolu.
• Grâce à l’activation de la fonctionnalité « Windows Update for Business reports », gardez un œil sur la conformité de vos postes de travail. C’est même interconnectable avec PowerBI pour sortir des dashboards pour les équipes sécurité (plus d’infos : Tailor Windows Update for Business reports with Power BI | Windows IT Pro Blog)

Pour en savoir plus globalement sur Windows Update for Business, suivez ce guide : Windows Update for Business | Microsoft Learn.

Zoom sur Windows Autopatch

Windows Autopatch est une sorte de « surcouche » à Windows Update for Business. Il automatise les mises à jour de Windows, des applications Microsoft 365, de Microsoft Edge et de Microsoft Teams dans le but d’améliorer la conformité, la sécurité et la productivité au sein de votre entreprise et libère ainsi du temps à vos équipes informatiques qui peuvent se concentrer sur d’autres tâches à plus hautes valeurs ajoutées.

Windows Autopatch est un service cloud soumis à licence, il n’est disponible entre autre que sur les éditions Windows 10/11 Education A3/A5, Windows 10/11 Entreprise E3/E5.

En fonction du type de licence, vous bénéficierez de plus ou moins de fonctionnalités liés à ce service.

Bon à savoir :

• L’orchestration des mises à jour est déplacée vers Microsoft qui se charge de la planification de l’ensemble du processus de mise à jour.
• Lors de la mise en place d’Autopatch, des rings par défaut sont créés selon la logique suivante :
  • Déploiement ring Test > Gestion manuelle par l’IT (population pilote)
  • Déploiement ring First > Gestion automatique comprenant 1% du parc
  • Déploiement ring Fast > Gestion automatique comprenant 9% du parc
  • Déploiement ring Broad > Gestion automatique comprenant entre 80 et 90% du parc
  • Déploiement ring N/A > Gestion manuelle par l’IT (population VIP ou poste critique par ex).
• Aussi lors de l’activation d’Autopatch, les postes de travail vont s’enregistrer automatiquement auprès du service si les prérequis sont respectés et ils seront assignés automatiquement à un ring. Plus d’infos ici : Device registration overview | Microsoft Learn ou là : Register your devices | Microsoft Learn
• Si Windows Autopatch détecte un problème significatif avec une mise en production, la mise en pause est automatique.

Pour en savoir plus globalement sur Windows Autopatch, suivez ce guide : Windows Autopatch documentation | Microsoft Learn

Autre guide utile : Guide de déploiement de Windows Autopatch | Microsoft Learn qui vous expliquera les différences entre Windows Update for Business et Autopatch et vous guidera aussi pour passer d’une solution à une autre si jamais c’est un projet à venir chez vous.

Depuis septembre 2024, Windows Update for Business et Autopatch sont en cours d’unification sur la partie « Configuration / Stratégie », l’activation des fonctionnalités Autopatch reste soumise à licence Windows Entreprise (par exemple).

Pour finir, un petit comparatif entre ces deux solutions :

Le choix entre ces deux solutions dépendra du niveau de contrôle que vous voulez avoir sur la gestion de vos mises à jour (manuelle ou automatique en laissant la main à Microsoft pour laisser vos équipes IT du temps pour se consacrer à d’autres projets).

Un aspect financier est aussi à prendre en compte, en effet, il faudra prévoir un surcoût supplémentaire pour passer en Windows Entreprise si vous voulez utiliser Windows Autopatch.

Alternative à WSUS pour le périmètre serveur

Comme alternative à WSUS pour la gestion des Windows Serveur, Microsoft recommande l’utilisation d’Azure Update Manager mais il existe d’autres alternatives comme AWS Systems Manager Patch Manager.

Zoom sur Azure Update Manager

Azure Update Manager est un service SAAS centralisé, fourni par Microsoft et qui permet de gérer les mises à jour de vos machines Windows Serveur ou Linux qu’elles soient hébergées dans le cloud Azure, localement dans vos datacenters ou sur d’autres plateformes cloud (via Azure ARC).

Azure Update Manager est disponible sans surcoût pour la gestion des machines virtuelles hébergées dans Azure et les machines virtuelles de type « Azure Stack HCI Arc-Enabled ».

Pour les serveurs gérés via Azure Arc directement, le prix est de 5$ par serveur et par mois.

Concernant la prise en charge des systèmes d’exploitation :

• Pour Microsoft : Windows Server 2022 / Windows Server 2019 / Windows Server 2016 / Windows Server 2012 R2 (ESU)
• Pour Linux : On peut citer des distributeurs comme Ubuntu, Red Hat Entreprise ou encore CentOS.

Azure Update Manager prend aussi en charge les images « custom » avec à peu près les mêmes prises en charge qu’au-dessus.

Pour plus d’infos sur la matrice de support, cliquez ici

Bon à savoir :

• Prise en charge du « hot patching » : Installation des mises à jour à chaud, le redémarrage du système distant n’est plus obligatoire.
• Centralisation : un seul endroit pour gérer le patching de tout type de serveurs.
• Tableau de bord assez complet permettant d’avoir en quelques secondes l’inventaire des machines et l’état des mises à jour.
• Flexibilité (installation, planification, plage de maintenance)
• Rapport, compliance et alerting personnalisables.
• Contrôle d’accès granulaire sur les ressources (RBAC…).

Pour en savoir plus sur Azure Update Manager, suivez ce guide

Zoom sur AWS System Manager Patch Manager

Un petit tour vers la concurrence 

Patch Manager est une fonctionnalité d’AWS Systems Manager, elle permet d’automatiser le processus de gestion des mises à jour, notamment de sécurité. L’utilisation de Patch Manager est possible pour appliquer les mises à jour de sécurité sur les systèmes d’exploitation pris en charge ou les applications publiées par Microsoft.

Vous pouvez patcher, au choix, votre flotte de machines virtuelles AWS EC2, ou des serveurs on-premise.

Outre le coût d’AWS System Manager, (lien vers le calculateur ici) aucun frais supplémentaire n’est facturé pour l’utilisation de Patch Manager pour les systèmes d’exploitation pris en charge ou des applications Linux sur les instances Amazon EC2 ou sur site. Aucun coût supplémentaire non plus pour le patching d’applications Microsoft sur les instances Amazon EC2.

Concernant la prise en charge des systèmes d’exploitation :

• Pour Microsoft : Windows Server 2022 / Windows Server 2019 / Windows Server 2016 / Windows Server 2012 R2  (ESU)
• Pour Linux : On peut citer des distributeurs comme Ubuntu, Red Hat Entreprise ou encore CentOS.
• Pour MacOS : De Big Sur à Sonoma pour les EC2 MacOS hébergés sur AWS.

Plus d’infos sur la matrice de support ici.

Bon à savoir :

• Automatisation des correctifs : Réduction de la charge grâce à l’automatisation du processus
• Centralisation : Un seul endroit pour gérer le patching de tout type de serveurs
• Flexibilité (installation, planification, plage de maintenance)
• Conformité et reporting complet et personnalisable.

Pour en savoir plus sur AWS System Manager Patch Manager, cliquez ici.

Le choix entre ces deux solutions dépendra fortement du cloud provider auquel votre organisation a décidé de faire confiance. Au niveau fonctionnalité, celles-ci se ressemblent fortement et prennent en charge tout type d’hébergement. L’aspect coût a aussi son importance dans ce type de projet.

Conclusion

La dépréciation à venir de WSUS permettra aux organisations de moderniser leur infrastructure de patching OS Client / Serveur et aussi leur process en allant vers beaucoup plus d’automatisation laissant aux équipes IT un temps plus conséquent pour se consacrer, par exemple, à des projets qui ont plus de valeur ajoutée.

Dans cet article, j’ai essayé de comparer deux solutions sur chaque périmètre vous permettant de vous faire votre propre avis sur le sujet en essayant d’être le plus complet possible.

N’hésitez pas à nous contacter si vous avez besoin d’informations supplémentaires 

Pourquoi migrer de tenant Microsoft 365 ?

Les entreprises peuvent être amenées à migrer de tenant pour diverses raisons, chacune présentant des besoins et des objectifs spécifiques. Voici quelques situations où une migration de tenant devient nécessaire :

• Fusions et acquisitions : Intégration des employés et des systèmes dans un tenant unique.
• Changement de marque (rebranding) : Adaptation de l’identité des utilisateurs avec un nouveau domaine, par exemple user@fabrikam.com.
• Séparation des unités : Division d’une entreprise en plusieurs entités distinctes, nécessitant la migration de certains utilisateurs vers de nouveaux tenants.

Les deux approches principales de migration de tenant

Lorsqu’une entreprise se prépare à migrer de tenant to tenant Microsoft 365, deux stratégies principales s’offrent à elle. Chacune a ses avantages et ses inconvénients, en fonction de la taille de l’organisation et de la complexité de l’environnement informatique.

1. Migration de tenant à tenant en un seul événement (migration cutover)

La migration en un seul événement, ou « cutover », consiste à transférer tous les utilisateurs et services en une seule fois, généralement pendant une période d’inactivité comme un week-end. C’est l’option privilégiée pour les organisations de petite à moyenne taille ou les environnements moins complexes qui cherchent à réaliser une transition rapide vers un nouveau tenant Microsoft 365.

L’objectif est de réduire au maximum les interruptions de service pour les utilisateurs, en s’assurant qu’ils puissent reprendre leur travail dans le nouveau tenant dès le début de la semaine suivante, avec toutes leurs données et configurations intactes. Cette approche est particulièrement adaptée lorsqu’il y a peu d’utilisateurs ou un volume de données relativement modeste à migrer. 

• Avantages : Transition rapide et simplification du projet en limitant la durée de coexistence des tenants. Moins de risques de désynchronisation entre les services comme Exchange ou SharePoint.
• Inconvénients : Risques plus élevés pour les grandes organisations ou les environnements complexes. Si un problème survient (panne réseau, erreurs de configuration), cela peut affecter tous les utilisateurs simultanément. Cette approche est déconseillée pour les migrations dépassant 7 To de données ou 15 000 utilisateurs.

2. Migration de tenant progressive

Pour les grandes entreprises ou celles avec des infrastructures complexes, la migration progressive est souvent plus adaptée. Cette approche consiste à déplacer progressivement les utilisateurs, les services, et les données d’un tenant Microsoft 365 à un autre sur une période plus longue.

Cela permet de mieux gérer les volumes de données importants et de minimiser les impacts sur les utilisateurs finaux. En migrant par phases, l’équipe IT peut se concentrer sur des sous-groupes d’utilisateurs, tester et ajuster chaque étape avant de passer à la suivante, réduisant ainsi les risques de perturbations majeures.

• Avantages : Moins de pression sur l’infrastructure réseau et les équipes IT. Les équipes peuvent tester et ajuster chaque phase pour garantir un transfert fluide, tout en minimisant les interruptions pour les utilisateurs.
• Inconvénients : La coexistence entre les deux tenants pendant la transition peut entraîner des problèmes de collaboration (problèmes de synchronisation dans Teams, accès aux fichiers SharePoint, etc.).

Les questions clés avant de migrer de tenant

Avant de se lancer dans une migration tenant to tenant, certaines questions techniques et organisationnelles doivent être posées pour éviter des complications en cours de route. Voici les principales :

1. Techniques

• Le domaine actuel doit-il être conservé dans le nouveau tenant ?
• Quel type de collaboration est attendu entre les tenants après la migration ? 
• Quels services (Exchange, Teams, SharePoint) doivent être migrés ?
• Combien d’utilisateurs et de données sont concernés ?

2. Organisationnelles

• Quels sont les objectifs à atteindre dès le « Jour 1 » ?
• Quelles sont les attentes des utilisateurs concernant la continuité du service ?
• Quelles métriques du projet sont fixées et lesquelles peuvent être optimisées (temps, ressources, qualité) ? 

Les bonnes pratiques pour une migration de tenant réussie

Pour garantir une migration réussie, il est important de suivre des étapes clés avant, pendant et après la migration. Chacune de ces phases joue un rôle essentiel pour minimiser les interruptions et assurer une transition fluide.

1. Avant la migration : Informez les utilisateurs des impacts potentiels sur leurs services (email, fichiers SharePoint, etc.), et mettez les boîtes aux lettres en mode lecture seule pour éviter la perte de données.
2. Pendant la migration : Désactivez le transfert des emails vers l’ancien tenant et assurez-vous que toutes les données soient transférées correctement vers le nouveau tenant.
3. Après la migration : Les utilisateurs doivent reconfigurer leurs profils dans les outils Microsoft 365 (Outlook, OneDrive, Teams) et vérifier la synchronisation des données.

Considérations pour les services intégrés

Lors de la migration, il est essentiel de coordonner le déplacement des services fortement intégrés, tels que Exchange, Teams, SharePoint, et OneDrive. Ces services doivent être migrés ensemble pour éviter des interruptions ou des erreurs, comme des problèmes de cache ou des rendez-vous manquants dans Teams. 

Pour les migrations par étapes, il est important de noter que certains utilisateurs peuvent rencontrer des problèmes de coexistence, tels que des difficultés d’authentification avec des sessions de navigateur, des conflits de contacts Skype, ou des défis liés à l’authentification unique. 

Utilisation des outils tiers et du support Microsoft 

Plusieurs outils tiers et services de consulting de Microsoft sont disponibles pour faciliter la migration des données entre tenants. Ces outils permettent de : 

• Migrer les comptes utilisateurs et leurs propriétés (par exemple, l’historique d’email via le Exchange Legacy DN). 
• Répliquer les dossiers publics Exchange, les sites SharePoint et les documents OneDrive 
• Gérer des scénarios complexes impliquant PowerApps, PowerBI ou Azure Information Protection. 

Microsoft propose également des scripts et des solutions spécifiques pour des tâches comme la migration des boîtes aux lettres Exchange. 

Gestion de la coexistence à long terme 

Dans certains cas, il peut être nécessaire de maintenir une coexistence entre plusieurs tenants pour assurer une collaboration continue. Microsoft propose des fonctionnalités comme B2B Collaboration pour faciliter cette collaboration entre tenants tout en maintenant des frontières de sécurité claires. 

Conclusion

La migration de tenant à tenant Microsoft 365 est un projet complexe qui demande une planification minutieuse et une exécution structurée. Qu’il s’agisse d’une migration en un seul événement ou progressive, choisir la bonne approche dépend des besoins de l’organisation et du volume de données à migrer. En suivant les bonnes pratiques et en utilisant les outils adéquats, les entreprises peuvent assurer une migration fluide tout en limitant les interruptions pour leurs utilisateurs finaux.

Comme dans tout projet IT, la migration vers Microsoft 365 est un projet structurant qui implique un cadrage en amont et un plan d’actions structuré en plusieurs phases. Le plan de migration permet de limiter les risques (organisationnels, techniques et humains), d’assurer la continuité de services et de faciliter la transition vers un nouvel environnement Microsoft 365.

Pourquoi une migration vers Microsoft 365 ?

Réduction des coûts et flexibilité accrue

L’une des principales raisons de la migration vers Microsoft 365 est la réduction des coûts. Maintenir une infrastructure on-premise nécessite des dépenses en matériel, en électricité, en personnel dédié à la maintenance et des mises à jour régulières. Avec Microsoft 365, ces contraintes sont éliminées. Vous payez un abonnement basé sur l’utilisation, ce qui permet de contrôler les coûts et d’adapter les services aux besoins de l’entreprise.

Accès sécurisé et mobilité

Le travail à distance est devenu la norme dans de nombreuses organisations. Grâce au cloud de Microsoft, les collaborateurs peuvent accéder à leurs fichiers, e-mails et outils de collaboration n’importe où, n’importe quand, et sur n’importe quel appareil.

Microsoft 365 assure la sécurité des données avec des fonctionnalités telles que l’authentification multifactorielle (MFA), la gestion des identités via Microsoft Entra ID, et la protection des données avec Microsoft Information Protection.

Outils collaboratifs

Microsoft 365 fournit une suite d’outils optimisés pour améliorer la collaboration et la communication :

• Exchange Online pour la messagerie professionnelle,
• OneDrive pour le stockage personnel et le partage de fichiers,
• SharePoint pour le partage de documents à l’échelle de l’entreprise,
• Microsoft Teams, la plateforme centrale de collaboration en équipe, combinant messagerie instantanée, appels, réunions et gestion des documents.

Sécurité et conformité renforcées

La sécurité est une priorité pour toute entreprise. Microsoft 365 offre une multitude de solutions pour protéger vos données. 

• Accès conditionnel : renforcer les conditions d’accès selon des critères précis (localisation, appareil, etc.),
• Microsoft Defender : protection contre les menaces avancées,
• Gestionnaire de conformité : assurer la conformité avec les réglementations (RGPD, HIPAA, etc.). 

Collaboration facilitée

Avec Microsoft 365, la collaboration est facilitée par des outils comme : 

• Microsoft Teams : réunions, chat, gestion de projet, tout en un,
• Coédition dans Word, Excel, PowerPoint via SharePoint et OneDrive : plusieurs collaborateurs peuvent travailler en simultané sur un même document,
• Power Automate et Power Apps : automatisation des flux de travail et création d’applications métiers.

Scalabilité et continuité des services

Avec le cloud, vous pouvez ajuster vos ressources en fonction des besoins de l’entreprise. Microsoft 365 garantit aussi une disponibilité quasi parfaite grâce à ses data centers redondants, garantissant une disponibilité de 99,9 %. 

Réduction des coûts

• Modèle de licence flexible : adaptez vos licences en fonction de vos besoins et de la taille de votre entreprise
• Réduction des coûts d’infrastructure : éliminez les coûts liés à l’achat, à la maintenance et à la mise à jour de serveurs,
• Optimisation des ressources IT : consacrez moins de temps à la gestion de votre infrastructure informatique et concentrez-vous sur des tâches à plus forte valeur ajoutée. 

Conclusion sur la migration Microsoft 365

Migrer vers Microsoft 365 permet aux entreprises de moderniser leur environnement de travail, d’améliorer la collaboration, de garantir la sécurité et de rester compétitives dans un monde de plus en plus connecté. Bien planifiée, la migration permet non seulement de réduire les coûts opérationnels, mais aussi de fournir une infrastructure flexible, évolutive et sécurisée. 

Avec la montée des menaces de cybersécurité, la nécessité de renforcer les contrôles d’accès aux ressources s’est accrue. Entra ID joue un rôle clé dans la mise en œuvre de stratégies de sécurité dans une logique Zero Trust. L’une des fonctionnalités essentielles dans Entra ID est le Conditional Access (ou accès conditionnel) qui représente un mécanisme de sécurité central dans la protection des infrastructures IT.

Qu’est-ce qu’un Conditional Access dans Entra ID ?

Le Conditional Access est un mécanisme de sécurité intégré à Entra ID qui capture et analyse des signaux provenant de différentes sources pour prendre des décisions d’accès basées sur des règles prédéfinies. Ce processus fonctionne selon une logique de type « si… alors », où des conditions spécifiques doivent être remplies avant qu’un accès ou une action soit autorisé(e).

Par exemple, en fonction des signaux reçus, tels que l’emplacement de connexion de l’utilisateur, l’état de l’appareil ou les risques en temps réel, Entra ID peut déterminer si une authentification multifacteur (MFA) est nécessaire ou si l’accès doit être refusé. Cela permet une gestion granulaire de l’accès aux ressources en s’assurant que seules les personnes autorisées peuvent accéder aux applications critiques de l’entreprise.

Pourquoi utiliser le Conditional Access dans Entra ID ?

Le Conditional Access est au cœur des infrastructures Zero Trust, où l’on ne fait confiance à personne ni à aucun appareil par défaut, même s’ils se trouvent au sein du périmètre réseau de l’entreprise. 

Voici quelques raisons pour lesquelles le Conditional Access est indispensable dans Entra ID :

1. Contrôle des accès en fonction des signaux :
   • Identification de l’utilisateur et de son emplacement,
   • Groupes d’utilisateurs spécifiques,
   • Applications auxquelles l’accès est demandé,
   • Appareils utilisés pour la connexion (compatibilité avec les politiques de l’entreprise),
   • Détection des risques en temps réel (nécessite la licence P2 avec la fonctionnalité Identity Protection).

2. Choix des méthodes d’authentification : En fonction des signaux, le Conditional Access permet de définir les méthodes d’authentification nécessaires pour accéder aux ressources. Par exemple, un utilisateur peut être tenu d’utiliser le MFA pour accéder à certaines applications ou données sensibles.

3. Sécurisation des actions au sein des applications : Vous pouvez lier des actions spécifiques dans Entra ID, comme la création d’une règle Conditional Access, à des conditions précises. Par exemple, un utilisateur doit être connecté via un appareil conforme et avoir activé le MFA pour créer ou modifier des politiques d’accès conditionnel.

4. Gestion des privilèges et des sessions : Le Conditional Access vous permet d’autoriser ou de bloquer des actions sensibles, comme l’élévation de privilèges via PIM (Privileged Identity Management). Il permet également de contrôler la durée des sessions d’utilisateur, en imposant par exemple une réauthentification après un certain laps de temps.

Bonnes pratiques pour créer un Conditional Access dans Entra ID

Mettre en place une stratégie efficace de Conditional Access nécessite un ensemble de bonnes pratiques pour éviter les erreurs et les effets indésirables :

• Convention de nommage : Assurez-vous de suivre des conventions de nommage claires pour les règles, afin d’en faciliter la gestion à long terme.
• Analyse de l’existant : Avant de créer de nouvelles règles, il est essentiel d’analyser les configurations déjà en place pour éviter des conflits ou des comportements non souhaités.
• Ciblage d’un périmètre restreint : Commencez par un périmètre restreint, comme un groupe pilote d’utilisateurs, afin de valider le bon fonctionnement de la règle avant de l’étendre.
• Utilisation du « What if » : Cet outil permet de simuler l’application d’une règle Conditional Access pour un utilisateur ou un groupe cible afin de s’assurer qu’elle fonctionne comme prévu.
• Mode « report only » : Cette fonctionnalité permet de capturer les logs d’activité et de vérifier si les règles de Conditional Access s’appliquent correctement aux utilisateurs. En mode simulation, vous pouvez identifier les réussites ou échecs potentiels avant de rendre les règles effectives.

Prérequis pour utiliser un Conditional Access dans Entra ID

Pour configurer et gérer efficacement le Conditional Access dans Entra ID, il est nécessaire de répondre à certains prérequis essentiels, notamment en termes de licences et de rôles administratifs :

• Licence P1 : C’est le minimum requis pour pouvoir interagir avec les règles de Conditional Access.
• Licence P2 : Requise pour bénéficier des évaluations de risques en temps réel avec la fonctionnalité Identity Protection.
• Rôles administratifs : Vous devez disposer de certains droits, tels que ceux de Conditional Access Administrator, Security Administrator ou Global Administrator, pour gérer les règles d’accès conditionnel.

Bénéfices du Conditional Access dans Entra ID

Le Conditional Access offre une approche proactive pour sécuriser les infrastructures IT, permettant aux entreprises de :

• Renforcer les contrôles d’accès basés sur des signaux en temps réel.
• Protéger les données sensibles grâce à des politiques d’accès strictes.
• Garantir une expérience utilisateur fluide tout en améliorant la sécurité grâce à l’authentification contextuelle.
• Réduire les risques de compromission des comptes via une gestion fine des privilèges et des sessions utilisateurs.

Ce qu’il faut retenir sur le Conditional Access dans Entra ID

Le Conditional Access dans Entra ID est un pilier essentiel de la stratégie de sécurité Zero Trust, apportant flexibilité et efficacité dans la gestion des accès aux ressources critiques. En capturant des signaux multiples et en appliquant des règles dynamiques, il permet d’assurer que seules les bonnes personnes, avec les bons appareils et dans des conditions sûres, puissent accéder aux données sensibles de l’entreprise. Cela en fait un outil indispensable pour toute organisation cherchant à renforcer sa posture de sécurité tout en offrant une expérience utilisateur adaptée et fluide.

Microsoft rend obligatoire l’authentification multifacteur pour ses portails d’administration Azure et Microsoft 365. En imposant la MFA, l’objectif est clair : mieux protéger les administrateurs et les utilisateurs des menaces croissantes de cybersécurité. Cette obligation, qui s’inscrit dans le cadre de l’initiative Secure Future, vise à réduire drastiquement les risques de piratage, en particulier les attaques de phishing, qui continuent de cibler les comptes non protégés.  

L’authentification multifacteur constitue une barrière de sécurité supplémentaire, en exigeant non seulement un mot de passe, mais également un deuxième facteur de vérification, comme un code envoyé sur un smartphone ou une authentification biométrique.

Selon Microsoft, cette mesure pourrait prévenir jusqu’à 90 % des attaques visant les comptes administrateurs. Les comptes non protégés sont souvent la cible privilégiée des hackers, et la MFA permet de bloquer la majorité des tentatives d’accès frauduleuses.

MFA Microsoft : qui est concerné par l’obligation de la MFA ?

L’obligation d’activer la MFA par Microsoft s’applique aux : 

• Utilisateurs se connectant aux outils de gestion Microsoft tels que le Portail Azure, Microsoft Intune, Azure PowerShell, Azure CLI et l’API Graph
• Administrateurs gérant les accès et les configurations
• Comptes d’accès d’urgence, souvent utilisés en cas de besoin critique
• Comptes d’utilisateurs mal utilisés, souvent employés comme comptes de services notamment pour automatiser des tâches ou exécuter des scripts 

A noter que les identités non humaines, comme celles utilisées pour les processus non interactifs, ne sont pas affectées par cette obligation. 

MFA Microsoft : les ressources affectées par la MFA obligatoire

L’obligation d’activer l’authentification multifacteur (MFA) par Microsoft ne concerne pas uniquement les portails d’administration principaux, mais impacte un ensemble d’outils de gestion utilisés quotidiennement par les administrateurs pour gérer leurs environnements Azure et Microsoft 365.

Voici les principales ressources affectées par cette mesure de Microsoft : 

• Centre d’administration Microsoft
• Interface de ligne de commande Azure (Azure CLI)
• Azure PowerShell
• Infrastructure as Code (IaC)
• Application mobile Azure
• Portail Azure 

MFA Microsoft : calendrier de mise en œuvre

La mise en place de la double authentification obligatoire se fera en deux vagues successives : 

Première vague (15 octobre 2024) 

Cette phase couvrira les principaux portails d’administration, tels que le Portail Azure, le Centre d’administration Intune, et le Centre d’administration Microsoft Entra. Tous les utilisateurs se connectant à ces portails devront activer la MFA. 

Deuxième vague (début 2025) 

Elle inclura des outils plus techniques, tels que Azure CLI, Azure PowerShell, l’application mobile Azure ainsi que les outils d’Infrastructure as Code (IaC). 

Actions recommandées par Microsoft pour une transition réussie de la MFA

Afin d’assurer une transition sans encombre, Microsoft recommande plusieurs actions pour les administrateurs et équipes IT : 

1. Activation immédiate de la MFA pour anticiper les changements et éviter des interruptions de service après les dates butoirs. L’activation est facilitée par des paramètres de sécurité par défaut, accessibles même aux organisations disposant d’un compte Entra ID Free. 

2. Mise en place d’une stratégie d’accès conditionnel. Cette stratégie assure que seules les connexions respectant certaines conditions (comme un appareil conforme ou un emplacement sécurisé) peuvent accéder aux ressources sensibles. 

3. Sécurisation des comptes d’urgence avec une clé de sécurité FIDO2 ou un jeton OTP logiciel. Il est fortement recommandé de tester ces comptes avant l’application de la MFA obligatoire pour éviter toute coupure d’accès en cas d’urgence. 

Nous allons, à travers cet article, faire un tour d’horizon de ce que peut proposer cette solution de sauvegarde, comment la configurer, comment suivre les coûts… 

Overview de Microsoft 365 Backup

Tour d’horizon : pourquoi sauvegarder votre tenant avec Microsoft 365 Backup ?

Les menaces liées à la sécurité et les attaques par ransomware sont en hausse dans le monde entier et peuvent coûter des millions d’euros à une entreprise impactée.  

Microsoft 365 Backup permet de limiter l’impact opérationnel, financier et business de ces cyberattaques en offrant un moyen aux administrateurs de sauvegarder et restaurer les comptes OneDrive, les sites SharePoint ou encore les boîtes aux lettres Microsoft Exchange Online des utilisateurs finaux à un point de recouvrement sain en quelques heures seulement.

Le but de Microsoft 365 Backup est de garantir que les données de votre entreprise soient toujours protégées et récupérables facilement et rapidement dans le cadre, par exemple, d’une reprise d’activité à la suite d’une cyberattaque ou simplement restaurer une donnée qu’un utilisateur aurait supprimée par mégarde. 

Les avantages qu’offrent cette solution sont multiples : 

• Sauvegarde et restauration rapide (Microsoft annonce être 20 fois plus performant que les services traditionnels),
• Restauration granulaire ou complète de boîte aux lettres Exchange Online (restauration granulaire d’éléments à l’aide d’un assistant de recherche), 
• Restauration complète de sites SharePoint et de comptes OneDrive, 
• Sécurité et conformité. 

Microsoft 365 Backup est activable via le Centre d’administration de votre tenant Office 365 (nous le verrons plus bas). 

Vous trouverez ci-dessous un résumé des fonctionnalités avec des informations utiles telles que : 

• La fréquence des points de récupération, 
• Le RTO. 

Et ci-dessous, un tableau illustrant les temps de restauration par volumétrie et par type de service.  

Une « protection units » correspond par exemple à une boite aux lettres ou un compte OneDrive. 

Combien coûte Microsoft 365 Backup ?

Ce service est proposé sous la forme d’un service pay-as-you-go, avec un tarif de 15 centimes de dollars par Go et par mois (soit 150 dollars par mois pour 1 To de données par exemple). 

La facturation se fait en fonction de la taille du contenu pendant 365 jours à compter du moment où il est ajouté dans la sauvegarde. 

Par exemple, si vous avez un site SharePoint qui est actuellement de 1 Go pour le premier mois, vous êtes facturé 1 Go d’utilisation de sauvegarde. Si vous supprimez le contenu de ce site de telle sorte qu’il ne soit plus que de 0,5 Go, la prochaine facture mensuelle sera toujours de 1 Go, car l’outil de sauvegarde conserve ce contenu supprimé pendant un an. Après un an, lorsque la sauvegarde de ce contenu supprimé expire, les 0,5 Go conservés à des fins de sauvegarde ne seront plus facturés. 

Microsoft met à disposition une calculette (disponible via ce lien). 

Pour l’utiliser il faudra passer en revue les rapports d’utilisation Microsoft 365 de votre tenant pour obtenir les informations suivantes dans la période que vous définirez (30 à 180 jours) : 

• Nombre de comptes actifs sur OneDrive dans la période définie et quantité de stockage associé, 
• Nombre de sites SharePoint et quantité de stockage associé, 
• Nombre de boîtes aux lettres Exchange Online et quantité de stockage associé. 

Exemple des rapports pour OneDrive

Vous trouverez les autres rapports en suivant ce lien.

Le calculateur vous donnera ensuite les coûts estimés par mois et par service. 

Pour en savoir plus sur les modèles de tarification, suivez ce lien Modèle de tarification pour sauvegarde Microsoft 365 | Microsoft Learn 

Suivi des coûts

Le suivi des coûts peut se réaliser via Azure Cost Management \ Cost Analysis. 

Azure Cost Management est un outil gratuit inclus dans Entra ID et qui permet d’analyser les coûts des différents composants de votre instance Entra. Il peut aussi s’interfacer avec PowerBI pour produire du reporting enrichi. 

Vous pourrez ainsi voir un suivi détaillé du coût par jour ou sur le mois. 

Microsoft 365 Backup : comment le mettre en fonction ?

La mise en place de Microsoft 365 Backup se veut simple, rapide et efficace et cela se fait en 3 étapes. 

Etape 1 : Setup pay-as-you-go biling. 

Comme annoncé plus haut, Microsoft 365 Backup adopte un mode de licensing « pay as you go ».  

Pour mettre en place cela, rendez-vous dans le portail d’administration Office 365 \ Setup \ Use content Ai with Microsoft Syntex 

Vous aurez besoin de ces éléments lors de la configuration : 

• Une souscription Azure 
• Un ressource group 
• Choisir la région d’hébergement 

Etape 2 : Turn on Microsoft 365 Backup 

Toujours dans le portail d’administration Office 365, rubrique Setup \ Microsoft 365 Backup, activer la fonctionnalité Microsoft 365 Backup. 

Etape 3 : Create backup policies

Après avoir activé le « pay as you go » et Microsoft 365 Backup, il est désormais temps de créer vos stratégies de backup. 

Vous pouvez déléguer la création des backup policies via les rôles suivants : 

A l’avenir Microsoft prévoit un rôle global « Backup Admin ». 

Pour utiliser Microsoft 365 Backup, vous devez donc créer une stratégie de sauvegarde pour chaque produit. Une stratégie représente le plan de sauvegarde défini par les administrateurs pour protéger les données de l’organisation. 

Une stratégie contient des détails sur les données (comptes OneDrive, sites SharePoint et boîtes aux lettres Exchange) à protéger. Vous y verrez également la période de rétention et la fréquence de sauvegarde qui ne sont actuellement pas modifiables.  

Pour en savoir plus sur la création, modification, suppression des policies, suivez ce lien. 

Faut-il utiliser Microsoft 365 Backup ? 

Microsoft 365 Backup vise à simplifier la sauvegarde et restauration des données OneDrive, SharePoint, Exchange et vient un peu bousculer un marché sur lequel des acteurs du marché sont déjà bien présents.   

Nul doute que les atouts exposés (sécurité, rapidité, simplicité) dans cet article peuvent changer les règles dans certaines organisations qui n’ont, jusqu’ici, pas de solution de sauvegarde. 

Il faut garder un œil sur les évolutions à venir sur ce produit, notamment l’intégration de la sauvegarde Teams (2025) ou encore Project/Planner et la mise en place de RBAC plus dédiée. 

Pour finir, si vous n’avez pas confiance en Microsoft pour sauvegarder vos données Microsoft 365 (Team : « On ne met pas tous les œufs dans le même panier » par exemple), Microsoft a sorti également un service appelé Microsoft 365 Backup Storage. Celui-ci permet d’ouvrir l’accès à l’espace de stockage à des solutions tierces. Ceci s’effectue par l’intermédiaire de l’API du service. 

Plusieurs éditeurs comme AvePoint ou Veeam sont capables à l’heure actuelle d’utiliser le service Backup Storage. 

Pour aller plus loin

Article – Microsoft Intune Suite : fonctionnalités et pricing

Article – Cadrez votre migration de Windows 10 vers Windows 11

Article – Microsoft 365 : comment fonctionnent les Organizational Messages ?

Déployer Copilot : préparez votre environnement technique Microsoft 365

Evaluation de l’environnement Microsoft 365

Avant de déployer Copilot, il est crucial de réaliser une évaluation approfondie de votre environnement Microsoft 365. Cette étape implique une analyse détaillée de l’infrastructure actuelle, des processus existants et des besoins spécifiques de votre organisation.

Pour commencer, il est essentiel d’effectuer un inventaire des licences pour vérifier que votre organisation dispose des licences Microsoft 365 adéquates pour utiliser Copilot. Sans les licences appropriées, certaines fonctionnalités de Copilot pourraient ne pas être disponibles, limitant ainsi l’efficacité de l’outil.

Ensuite, vérifiez que toutes les applications utilisées sont compatibles avec Copilot pour Microsoft 365. Cela peut nécessiter une mise à jour des applications existantes ou même l’installation de nouvelles versions. Une attention particulière doit être portée aux intégrations avec des applications tierces, car une incompatibilité pourrait entraîner des interruptions dans leur fonctionnement.

À la suite de cette évaluation, vous pourrez identifier les processus métier qui bénéficieront le plus de l’automatisation par l’IA Copilot. Analysez chaque processus pour déterminer comment Copilot peut être intégré dans les usages afin d’améliorer l’efficacité et la productivité des équipes. Cette analyse doit inclure la documentation des processus actuels et l’identification des points de friction ou des goulots d’étranglement.

Déployer Copilot : sécurité et gouvernance

La sécurité des données est une préoccupation majeure lorsque l’on souhaite déployer Copilot. Il est impératif de s’assurer que toutes les mesures de sécurité sont en place pour protéger vos informations et données sensibles.

Un audit de sécurité complet de votre environnement Microsoft 365 doit être réalisé pour identifier les vulnérabilités potentielles. Cet audit doit inclure une évaluation des paramètres de sécurité actuels, des configurations de réseau et des pratiques de gestion des accès. Les résultats de cet audit fourniront une base pour améliorer les mesures de sécurité avant le déploiement concret du déploiement de Copilot.

Assurez-vous que toutes les données sont chiffrées, tant au repos qu’en transit. Le chiffrement est crucial pour protéger les données sensibles contre les accès non autorisés. Des contrôles d’accès stricts doivent être mis en œuvre pour limiter l’accès à l’IA Copilot aux utilisateurs autorisés. Cela inclut la mise en place de politiques d’authentification multifactorielle (MFA) et l’utilisation de groupes de sécurité pour gérer les permissions. La gestion des identités et des accès (IAM) joue un rôle clé dans la protection des données et des applications, en veillant à ce que seuls les utilisateurs autorisés puissent accéder aux ressources critiques.

Définissez votre plan pour déployer Copilot

Il est essentiel de définir clairement les objectifs et les bénéfices attendus de cette intégration. Par exemple, un objectif pourrait être de réduire le temps de traitement des demandes de support client de 20 % en automatisant certaines tâches avec Copilot pour Microsoft 365.

Établissez un calendrier détaillé pour déployer Microsoft Copilot avec des étapes clés et des dates cibles. Ce calendrier doit inclure des phases de préparation, de déploiement, de test et de lancement. Il est également important de prévoir des périodes de formation pour les utilisateurs et des phases de suivi pour évaluer l’efficacité de Copilot après son déploiement.

Détaillez les rôles et responsabilités de chaque membre de l’équipe projet qui va déployer Copilot et assurez-vous que chaque tâche a un propriétaire clairement identifié. Cela inclut les responsables de la sécurité, les administrateurs système, les développeurs et les formateurs. Une bonne coordination entre les différents membres de l’équipe est essentielle pour éviter les retards et les erreurs.

Déployer Copilot : préparez les utilisateurs

Formez vos équipes à Copilot pour M365

Il est essentiel de sensibiliser et de former vos équipes aux nouvelles fonctionnalités et processus pour préparer au mieux votre organisation au déploiement de Copilot. Pensez donc à organiser des sessions de formation pour familiariser les utilisateurs avec Copilot pour Microsoft 365 et à informer régulièrement les équipes des avancées et des changements liés à son intégration.

Lorsque vous organisez des sessions de formation, pensez à les adapter aux différents niveaux de compétences et rôles de chacun. Ces formations doivent couvrir les fonctionnalités de base de Copilot, les meilleures pratiques pour son utilisation mais également les procédures de sécurité. Nous vous recommandons d’avoir des messages sont clairs, cohérents et accessibles à tous via différents canaux de communication.

Également, pensez à proposer une formation spécifique et personnalisée pour les groupes d’utilisateurs qui auraient besoin d’une formation plus approfondie. De même, il peut être intéressant de mettre en place un support technique dédié pour répondre aux questions et résoudre les problèmes liés à l’IA Copilot.

Gérez les autorisations et les licences Copilot

La gestion des autorisations et l’identification des rôles et responsabilités de chaque utilisateur sont capitales pour garantir une utilisation sécurisée et efficace de Copilot lors du déploiement.

Liste des actions pour préparer au mieux la gestion des autorisations Copilot :

• En assignant les autorisations appropriées grâce aux fonctionnalités de gestion des permissions de Microsoft 365.
• En configurant des groupes de sécurité et des rôles basés sur les responsabilités des utilisateurs.
• En s’assurant que les utilisateurs ont uniquement accès aux données et fonctionnalités dont ils ont besoin.
• En effectuant des revues régulières des autorisations (des changements peuvent survenir selon l’évolution de vos besoins, les changements organisationnels ou de nouvelles exigences de sécurité).
• En mettant en place des processus pour apporter les ajustements nécessaires.

Préparer son organisation pour l’IA Copilot implique également de déployer des applications Microsoft 365 et d’affecter des licences adéquates. Assurez-vous que toutes les licences nécessaires sont disponibles et que les utilisateurs sont correctement provisionnés. En gérant les licences de manière proactive, vous vous évitez les interruptions de service et les dépassements de coûts.

Gardez à jour vos procédures et analysez les retombées en matière d’usage

Pour garantir un fonctionnement optimal de Copilot, il est essentiel de mettre en place un plan de gestion des services. Ce plan doit inclure des procédures de maintenance, des stratégies de résolution des incidents et des indicateurs de performance clés (KPI).

Maintenance régulière de Copilot

Définissez des procédures claires pour la maintenance régulière de Copilot. Cela doit inclure les mises à jour logicielles, les correctifs de sécurité et les sauvegardes des données. Nous vous recommandons de documenter et effectuer un suivi rigoureux de ces processus de maintenance.

Incidents techniques

En élaborant en amont des stratégies concernant la résolution des incidents, vous pourrez les gérer et les résoudre plus rapidement. Pour cela, pensez à identifier les types d’incidents potentiels, définissez des procédures pour les détecter, les signaler et les résoudre et mettez en place une équipe de support technique pour intervenir en cas de besoin.

Indicateurs de performance en matière d’IA

L’analyse des rapports d’utilisation de Copilot est cruciale pour comprendre comment l’outil est utilisé et pour identifier les opportunités d’amélioration. Microsoft met à disposition des rapports d’activité pour suivre l’utilisation de l’outil. Vous pouvez donc les paramétrer pour observer le niveau d’adoption, la fidélisation et l’engagement des utilisateurs. Ces tableaux de bord doivent inclure des KPI pertinents, tels que le nombre d’utilisateurs actifs, le taux d’utilisation des fonctionnalités clés et le temps moyen de résolution des tâches automatisées par Copilot.

En plus de cela, vous pouvez recueillir de votre côté les retours d’expérience de vos utilisateurs pour identifier les points forts et les axes d’amélioration.

Déployer Copilot : développez des plug-ins

Pour maximiser les capacités de Copilot, envisagez de développer des plug-ins personnalisés qui répondent aux besoins spécifiques de votre organisation. En identifiant ces besoins non couverts par les fonctionnalités de base de Copilot et en sondant les utilisateurs finaux et les parties prenantes pour comprendre leurs besoins, vous serez en mesure de recueillir des idées pour de nouveaux plug-ins.

Pour créer les plug-ins, vous avez à disposition les outils de développement Microsoft. En effet, Microsoft fournit une gamme d’outils et de ressources pour les développeurs, y compris des SDK, des bibliothèques de code et des environnements de développement intégrés. Pensez à former votre équipe de développement à l’utilisation de ces outils.

Une fois que vos plug-ins sont développés, vous pouvez les publier et les déployer dans votre environnement Microsoft 365. Comme tout nouvel outil développé, il est important de tester les plug-ins de manière approfondie avant leur déploiement pour vous assurer qu’ils fonctionnent correctement et qu’ils n’introduisent pas de problèmes de performance ou de sécurité. Vous pourrez ensuite déployer ces nouveautés progressivement, en commençant par un groupe pilote, puis en les étendant à l’ensemble de l’organisation.

Conclusion sur le déploiement de Copilot

La préparation technique et l’habilitation des utilisateurs sont des étapes cruciales pour garantir une intégration réussie et une utilisation optimale lorsque l’on souhaite déployer Copilot. En suivant les étapes de préparation, d’intégration, de mesure et de mise à l’échelle décrites dans cet article, vous pourrez tirer pleinement parti des avantages de l’IA Copilot.

Pour aller plus loin

Article – Sécurité Cloud : quels sont les outils et les bonnes pratiques ?

Article – AWS Bedrock : comment l’utiliser ?

Article – RGESN 2024 : quelles avancées en matière d’écoconception des services numériques ?

La date de fin de support de Windows 10 22H2 fixée à Octobre 2025 par Microsoft arrive à grand pas.

Quel est votre plan pour migrer vos postes de travail vers Windows 11 avant cette date butoir ? Comme tout bon Ingénieur Modern Workplace le sait, les migrations de systèmes d’exploitation Windows, que ce soit à petite ou grande échelle, nécessitent une planification, des tests et un déploiement par phase pour éviter les interruptions d’activité qui pourrait survenir en cas d’incompatibilité par exemple.

De nombreuses DSI considèrent leur migration vers Windows 11 comme une opportunité d’améliorer la sécurité de leur parc informatique et la fiabilité des postes de travail. Contrairement aux anciens systèmes d’exploitation, Windows 11 introduit de nouvelles fonctionnalités avancées de sécurité qui permettent aux services informatiques de mieux sécuriser leur parc informatique.

Nous allons voir dans cet article les bonnes pratiques pour organiser, planifier et suivre la migration Windows 11 de son parc informatique avec notamment Microsoft Intune et/ou SCCM.

Migration vers Windows 11 : évaluez la comptabilité votre environnement

Compatibilité des applications

De manière générale, on dit que les applications qui fonctionnent sous Windows 10 fonctionnent sous Windows 11.

Cependant, il reste judicieux de valider les applications de votre parc informatique sous ce nouvel environnement, en particulier les solutions de sécurité tierces, de gestion des périphériques non Microsoft ou tout simplement vos applications métiers pour garantir qu’elles fonctionnent comme prévu sous Windows 11 ou si des ajustements sont nécessaires et à prévoir.

La recommandation si une de vos applications n’est pas compatible sera de rentrer en contact avec l’éditeur tiers ou votre équipe de développement s’il s’agit d’un développement interne.

Pour compléter, Microsoft via le FastTrack propose un programme appelé « App Assure » qui permet de bénéficier de l’assistance de Microsoft pour gérer la compatibilité applicative.

Plus d’informations ici App Assure with Microsoft FastTrack

Compatibilité du matériel

Les questions principales à se poser sont :

• Quels sont les périphériques en fin de vie ou incompatibles avec Windows 11 et qui ont donc besoin d’être remplacés ?
• Quels sont les périphériques qui ont besoin d’être upgradés (RAM, stockage) pour être compatibles avec Windows 11 ?

Comme pour les applications et, de manière générale, les pilotes et accessoires fonctionnant sous Windows 10 fonctionnent sous Windows 11.

Microsoft a mis à disposition des rapports pour aider les administrateurs à déterminer le taux de compatibilité de leur parc avec Windows 11 et déterminer la cause de non-compatibilité, les aidant à prendre les bonnes décisions sur par exemple le taux de matériel à renouveler.

Sous Intune, rendez-vous dans Endpoint Analytics / Work from Anywhere | Onglet Windows.

Vous y trouverez la liste de vos périphériques et leur statut de compatibilité avec Windows 11. S’il n’est pas compatible, vous trouverez la raison, comme ici dans notre exemple.

Sous SCCM, rendez-vous dans la partie Windows 11 Upgrade Readiness pour retrouver le même type d’information.

Microsoft a également publié un script qui permet de connaître le degré de compatibilité d’un poste avec Windows 11, vous le trouverez à l’adresse suivante : https://aka.ms/HWReadinessScript

Les raisons de non-compatibilité les plus communes peuvent être les suivantes :

Profiter de la migration Windows 11 pour changer les choses

Vous êtes actuellement sur un environnement « on-premise » Active Directory et SCCM ? Pour vos périphériques existants, vous pouvez opter pour l’hybridation Entra ID et la cogestion SCCM / Intune. Vous pouvez basculer vos workloads de gestion SCCM vers Intune par catégorie (mise à jour Windows Update, configuration, conformité). Vous bénéficierez des avantages de la gestion cloud par Intune sans réinitialiser et reprovisionner l’appareil et perturber l’utilisateur.

Il s’agit d’une étape transitoire, pas d’une finalité.

L’hybridation peut parfois complexifier les choses ou apporter des contraintes notamment si vous souhaitez utiliser la solution Autopilot. Les périphériques hybrides disparaîtront alors de votre environnement lorsqu’ils seront remplacés par des appareils « Cloud Native Entra ID » dans des situations comme une remasterisation ou une panne.

Le mode « Cloud Native » doit rester prioritaire si votre environnement le permet ! Privilégiez donc ce mode pour vos nouveaux déploiements de périphériques.

Cela offre de nombreux avantages comme :

• Le déploiement des périphériques de n’importe où, une connexion à Internet suffit. Autopilot sera votre allié .
• Une gestion simplifiée et sécurisée avec Microsoft Intune.
• Un support de l’authentification SSO cloud et locale.
• La sécurisation de l’identification (Hello for Business / PasswordLess)
• Plus d’attachement avec les environnements « on prem ».

Même si cette possibilité existe, de nombreux clients choisissent d’ignorer complètement cette phase de cogestion SCCM/Intune en optant pour la fourniture de nouveaux appareils en mode cloud natif. Ces clients utilisent le cycle de renouvellement de leur matériel comme levier de migration. Les appareils existants restent gérés localement, tandis que les nouveaux appareils sont déployés en tant que cloud natif. Après un cycle complet de renouvellement du matériel sur environ 2 à 3 ans, tous les périphériques seront finalement gérés exclusivement dans le cloud.

Ces points restent à prendre en compte dans votre stratégie si c’est votre besoin.

Plan de déploiement pour la migration vers Windows 11

Après avoir terminé l’analyse de votre environnement applicatif et matériel, éventuellement remis en cause la manière dont vous allez gérer vos postes Windows 11, il est temps d’établir votre plan de déploiement.

Comment migrer vers Windows 11 facilement ?

Sous Intune, vous pouvez utiliser Windows Update for Business avec la création d’un profil « Feature Updates » :

Vous pouvez opter pour un déploiement requis et, petite nouveauté qui est apparue ces derniers jours, l’apparition du mode « optional » qui propose à l’utilisateur l’installation de Windows 11 sans le forcer au niveau du panneau de configuration Windows Update.

Une option assez pratique également est le « Make update available gradually » qui permet (si vous visez un groupe assez conséquent de périphériques) de faire un déploiement gradué automatique et géré par Microsoft. (Exemple, vous visez un groupe de 100 périphériques avec une date cible à J+7, une petite grappe de postes sera migrée chaque jour). Cela peut réduire le degré d’impact de votre déploiement en cas de problématiques liées à celui-ci.

Sous SCCM, si vous utilisez la cogestion et que le workload « Windows Update » est actif, vous pouvez utiliser la méthode ci-dessus. Sinon il reste possible de déployer Windows 11 en utilisant :

• Une feature Update dans la catégorie Software Update
• Une séquence de tâches de migration Windows 11 qui demandera un peu de temps d’ingéniering pour la mise en place et le testing.

Migration Windows 11 : l’importance de l’accompagnement au changement

Les utilisateurs ne sont pas trop friands des changements qui les impactent. Pour les aider le plus possible à l’adopter, voici les principaux conseils à suivre :

• Gardez un message simple, pertinent et utilisez le moins de jargon technique possible.
• Utilisez les formats et les canaux de communication auxquels votre public est le plus réceptif (Push Mail / Intranet…)
• Créez une communauté d’Early Adopters métiers pour faire tester Windows 11 et s’appuyer dessus pour promouvoir le produit aux autres utilisateurs.
• Assurez la formation des utilisateurs si nécessaire, vous pouvez aussi leur mettre à disposition des tutoriels ou autres documentations les informant des changements invoqués par le passage à Windows 11.
• Mettez à jour les documentations utilisateurs existantes afin de refléter les changements.
• Créez (éventuellement) une communauté d’entraide au sein de l’entreprise.

Les équipes IT, notamment le support, devront être capables de répondre aux sollicitations des utilisateurs dans le cadre de leur migration Windows 11. Il faudra veiller à ce que toutes leurs procédures et leurs fiches de résolution soient à jour concernant ce nouvel OS.

Un déploiement par phase

Pour gérer les risques et résoudre les problèmes sans affecter le business, il faudra envisager une migration progressive vers Windows 11.

Par exemple, il est conseillé de débuter par un groupe pilote d’utilisateurs de l’IT et d’utilisateurs finaux « pilotes » pour lesquels l’impact business est moindre. Suivi des services les moins impactants pour le business de l’entreprise. Et pour finir avec les VIPS.

Les commentaires des utilisateurs lors de chaque phase de déploiement doivent être pris en compte pour, éventuellement, ajuster le plan de déploiement, répondre à leurs problématiques et s’assurer que celles-ci soient bien considérées par vos équipes support pour les prochaines phases.

Cette approche permet aux administrateurs de gérer plus efficacement la migration et d’assurer une transition en douceur pour tous les utilisateurs de l’entreprise.

Support fin de migration / Monitoring

Une fois que vous avez réalisé votre migration, il faut maintenir votre parc en condition opérationnelle et s’assurer que tout fonctionne correctement.

Voici quelques actions qui peuvent être mises en place pour faire baisser le taux d’incidentologie de votre parc à la suite de la migration Windows 11 :

• Mettre en place une analyse et mise à jour récurrente des pilotes via HP Image Assistant (si parc HP) ou Dell Command (si parc Dell). Vous pouvez utiliser les scripts de remédiation proactive pour cela.
• Mettre à jour le BIOS (l’utilisation de HP Connect (si parc HP) est facilitatrice dans ce cas)
• D’une manière générale, garder le poste ainsi que ses applications (natives ou tierces) le plus à jour possible.

Vous pouvez aussi utiliser les rapports fournis avec Endpoint Analytics qui peuvent vous donner des métriques sur les performances de vos postes de travail.

Il existe par rapport des dashboards concernant les temps de démarrage de vos postes de travail :

Il existe aussi des dashboards sur la fiabilité applicative qui peuvent vous donner des éléments sur les applications posant le plus de problèmes sur votre parc et ainsi prendre les mesures adéquates (une mise à jour par exemple) :

Voilà, vous avez une bonne partie des clés pour réussir votre migration Windows 11.
En cas de questions, n’hésitez pas à nous contacter, l’équipe Modern Workplace vous fera un plaisir de vous répondre et de vous accompagner si nécessaire !

Pour aller plus loin

Article – Comment utiliser Microsoft Copilot ?

Article – Windows Autopilot Device Preparation, qu’est-ce que c’est ?

Un organizational message, ou message organisationnel en français, se définit par une communication envoyée à tous les membres d’une organisation pour diffuser des annonces importantes, des mises à jour, ou des informations cruciales relatives aux opérations. Les organizational messages permettent de s’assurer que tous les employés reçoivent et prennent connaissance des informations essentielles à l’organisation.

Après avoir déployé les organizational messages dans Intune, Microsoft a décidé de les déplacer dans Microsoft 365 depuis mai 2024. Cette nouvelle fonctionnalité, qui est pour le moment en preview et directement accessible dans le portail d’Administration Microsoft 365 permettra à vos administrateurs de communiquer envers les utilisateurs par le biais d’expériences natives, personnalisées et directement dans les produits Microsoft qu’ils utilisent au quotidien, comme Windows 11.  

Les organizational messages peuvent être utilisés pour communiquer dans des scénarios de travail à distance et hybrides et sont destinés à aider les utilisateurs dans des scénarios comme la prise en main de leur nouveau matériel ou tout simplement les informer d’une mise à jour ou d’un incident technique impactant leur application métier. 

Ces organizational messages apparaissent à des endroits très visibles (au choix) dans Windows 11 : 

• Dans l’application de prise en main de Windows.
• Dans la zone de notification.
• Au-dessus de la barre des tâches.

Nous allons voir dans cet article les prérequis nécessaires pour utiliser les organizational messages dans Microsoft 365, ainsi qu’un tour d’horizon des usages possibles. 

Organizational messages dans Microsoft 365, quels prérequis ? 

La fonctionnalité Organizational Messages est prise en charge sur les postes de travail exécutant Windows 11 version 22H2 ou supérieure. 

Elle nécessite le niveau de licence suivant :

• Microsoft 365 E3 
• Microsoft 365 E5 
• Windows 11 Entreprise E3 avec Microsoft Intune Plan 1 
• Windows 11 Entreprise E5 avec Microsoft Intune Plan 1 

Il est nécessaire également de déployer une stratégie de configuration via Microsoft Intune qui permet l’activation de la fonctionnalité au niveau du poste de travail. 

Et d’autoriser ou non l’envoi des messages par Microsoft au niveau des paramètres d’administration Microsoft Intune. 

Tour d’horizon des organizational messages dans Microsoft 365 

L’envoi des organizational messages se fera à partir d’août 2024 depuis la console d’administration Microsoft 365. D’ici là, vous pouvez planifier un envoi depuis la console d’administration Microsoft 365 ou celle de Microsoft Intune.

Nous pouvons définir en 5 phases distinctes le fonctionnement de l’envoi d’un organizational message :

• Création : Créer le message en choisissant la catégorie, le texte, le logo, etc.
• Ciblage : Choisir un groupe contenant les destinataires du message.
• Planification : Choisir la date à laquelle le message sera envoyé ainsi que sa fréquence. 
• Approbation : Soumettre le message à approbation (le créateur du message ne peut pas être l’approbateur).
• Revue : Monitorer la performance du message (nombre de vue, de clic etc). 

Nous allons voir comment créer un organizational message depuis la console d’administration Microsoft 365 qui est donc la cible.  

Pour cela, rendez-vous dans la partie « Reports » puis « Organizational Messages » 

Vous arriverez sur 3 choix.  

Choix 1 : « Create a message » 

Envoyer un message selon une thématique précise comme prévenir l’utilisateur d’une interruption de service planifiée ou encourager l’adoption d’un produit. 

Ce type de message peut mettre jusqu’à 24h avant d’être distribué sur la totalité des postes de travail de l’organisation. 

Lors de la création du message, il faudra choisir l’objectif du message et sa localisation, à savoir soit un affichage dans la zone de notifications, soit un affichage au niveau de la barre des tâches ou sur l’écran « Windows Spotlight » (écran de verrouillage).

Nous sommes désormais dans la zone de rédaction : 

Vous devrez notamment entrer le titre et le corps du message et choisir un logo qui habillera la notification. Une URL sera également demandée, elle s’ouvrira quand les utilisateurs cliqueront sur le bouton paramétré dans le champ « Button Text ». 

Vous pouvez avoir directement un aperçu de ce que l’utilisateur recevra sur son poste dans la partie « Preview ». 

Il faut désormais choisir le ou les groupes destinataires. 

Vous pouvez choisir « All Company » si votre message cible tous les utilisateurs de votre organisation ou choisir un groupe personnalisé. 
Vous pouvez également exclure un groupe. (exemple : envoyer le message à toute l’organisation sauf aux utilisateurs d’un site en particulier). 

Ensuite nous pouvons planifier le message et choisir sa fréquence d’exécution. 

Il est temps d’envoyer le message pour approbation en cliquant sur « Send for approval ». 

Un message de confirmation vous indiquera que le message est en attente d’approbation pour être envoyée. 

Pour approuver le message, un administrateur ayant le rôle d’approbateur de organizational message doit se rendre dans le portail d’Administration Microsoft 365 au même endroit que ci-dessus, sélectionnez le message, éventuellement mettre un commentaire et approuver le message. 

Le message mettra quelques heures avant de s’afficher sur les postes des utilisateurs ciblés.  

Choix 2 : « Send urgent message »  

Cela reprend le même workflow qu’au-dessus sauf que le délai d’envoi du message sera plus rapide.  

Choix 3 : « Review Activity » 

Cela vous permettra d’avoir des statistiques sur l’envoi des messages. Le nombre de fois que le message a été vu et le nombre de clic effectué par les utilisateurs sur celui-ci. 

Un moyen de voir rapidement le taux d’adhérence à votre communication. 

Expérience utilisateur

Si vous choisissez la localisation « taskbar », le message s’affiche au-dessus de celle-ci. Nous avons un bouton pour ignorer le message « Not Now » ou un autre pour accéder à plus de détails « More Details » qui ouvre le navigateur avec l’URL configuré dans le message. 

Si vous choisissez la localisation « notification area », le message dans la zone de notification. En cliquant dessus, l’URL configuré dans le message s’ouvre. 

Exemple d’Onboarding personnalisé via l’application « prise en main » de Windows 11.

Conclusion sur les organizational messages

Microsoft ajoute là une corde à l’arc des administrateurs informatiques en leur offrant une façon facile et moderne de communiquer envers les utilisateurs finaux. 

Cette fonctionnalité (même si elle n’est qu’en preview pour le moment) a beaucoup de potentiel, reste à voir si elle sera en mesure de remplacer le traditionnel email de communication dans les habitudes des entreprises. 

Il faudra rester attentif sur l’évolution de l’outil et les possibilités qui s’offriront avec celles-ci, notamment en termes de licencing.  

Pour aller plus loin sur Intune

Article – Platform SSO pour macOS avec Microsoft Intune : tour d’horizon

Article – Microsoft Intune Suite : fonctionnalités et pricing

Article – Autopilot V2 : Windows Autopilot Device Preparation, qu’est-ce que c’est ? 

Messages organisationnels dans le Centre d’administration Microsoft 365 – Microsoft 365 admin | Microsoft Learn 

Nous allons voir dans cet article les changements apportés sur cette nouvelle version ainsi que sa mise en place. 

Windows Autopilot : un peu d’histoire 

Pour faire l’historique de Windows Autopilot, c’est une solution intégrée à Microsoft Intune que Microsoft a lancée en 2017 et qui a révolutionné totalement la façon de déployer des postes de travail Windows avec une vision plus « moderne » et « cloud » que ces prédécesseurs comme SCCM ou MDT. Les avantages mis en avant à l’époque étaient :  

• Réduction du temps consacré par le service informatique au déploiement et à la gestion des périphériques (plus de master à gérer, on part du master OEM présent sur la machine ou d’une image ISO Microsoft). 

• Réduction de l’infrastructure nécessaire au déploiement des appareils.  

• Méthode optimisée et simplifiée pour l’IT ou les utilisateurs finaux. 

Il est possible avec Windows Autopilot de préparer des périphériques en mode « Entra ID Join » et « Entra ID Hybrid Join » (la bonne pratique restant le mode Entra ID Join).

On a également pu voir de nouveaux concepts apparaitre tel que « user-driven » qui permet à l’utilisateur final de provisionner son périphérique directement sans action de l’IT, « whiteglove » qui permet à l’IT ou à un partenaire/revendeur de pré-provisionner entièrement le périphérique avant de le mettre à disposition de l’utilisateur final ou « self-deploying » qui permet de provisionner des PC en mode Kiosque. 

Pour avoir une vue d’ensemble sur Windows Autopilot, vous pouvez suivre ce lien vers le site de Microsoft.

Autopilot V2 : introduction à Windows Autopilot Device Preparation

Windows Autopilot Device Preparation vise à simplifier encore plus le déploiement des périphériques, en optimisant le temps global de préparation de celui-ci et en améliorant notamment la résolution des problématiques qui peuvent survenir pendant le déploiement ainsi que le reporting. 

La grosse nouveauté comparée à Windows Autopilot est qu’il n’est plus nécessaire d’importer le hash matériel pour pouvoir bénéficier du service. Autre nouveauté, le profil de déploiement sera à déployer sur un profil utilisateur et non machine. 

D’un point de vue Administrateur 

Les améliorations apportées par Microsoft dans cette nouvelle version se résument en 4 axes majeurs qui sont :  

• La simplicité : un profil de déploiement unique qui simplifie la configuration et qui regroupe les paramètres de déploiement/OOBE et le déploiement des applications / scripts (auparavant Profil de déploiement et profil ESP). Plus de hash matériel à gérer. 
• La rapidité : utilisation du « enrôlement time grouping » (le périphérique est intégré à un groupe de sécurité au moment de son enrôlement et les configurations sont descendues immédiatement). 
• L’observabilité et la fiabilité : Amélioration de la surveillance et de la résolution des problèmes. Supervision et création de rapports prêts à l’emploi avec l’état quasi-en temps réel du déploiement (Temps de déploiement / Etat d’installation des applications ou des scripts Powershell) 

D’un point de vue Utilisateur 

Les améliorations apportées par Microsoft se résume en 2 axes dont 1 majeur que sont : 

• La simplicité : vue simplifiée pendant le déploiement où un pourcentage de progression est affiché. L’utilisateur est informé quand la configuration est terminée. L’expérience est globalement plus cohérente. 
• La supportabilité : si un problème survient, les journaux peuvent être exportés plus facilement et ainsi fournit à l’administrateur 

Windows Autopilot Device Preparation : les prérequis 

Pour déployer un poste de travail avec succès avec cette nouvelle version, il y a un certain nombre de prérequis à respecter notamment : 

Windows Autopilot Device Preparation : la fin des Hardware Hash ? 

Souvenez-vous, la collecte et l’import des hardware hash de votre parc informatique dans Autopilot. Des manipulations qui pouvaient s’avérer longue et fastidieuse, c’est de l’histoire ancienne ! 

En effet, dans cette nouvelle version d’Autopilot, plus forcément besoin d’importer ces informations.  Le déploiement se basant sur un groupe utilisateurs Entra ID. 

Il y a cependant, une petite particularité à savoir, particulièrement si vous utilisez les « Device Platform Restrictions »  

Il faudra ajouter votre poste dans la partie « Corporate Identifiers » sous Intune.  

Pour cela, je vous invite à suivre ce lien qui vous expliquera la démarche. 

Il est recommandé de mettre en place cette restriction et d’ajouter vos périphériques dans les Corporate Identifiers pour faire en sorte que seuls les périphériques de confiance peuvent consommer le service Autopilot. 

Si vous avez mis en place des restrictions et que vous n’avez pas ajouté votre périphérique dans les corporate identifiers, vous aurez une erreur du type « This feature is not supported ». 

Attention, à aujourd’hui, cette partie ne fonctionne pas comme attendu, il est donc préconisé par Microsoft de retirer la restriction pour pouvoir utiliser la nouvelle version Autopilot le temps d’une correction.  Plus d’infos ici.

Windows Autopilot Device Preparation : création des différents groupes 

Cette nouvelle version s’articule autour de 2 groupes qui sont nécessaire à son bon fonctionnement. 

• Un groupe « Entra ID » qui contiendra les utilisateurs qui seront ciblés par le profil de déploiement. (Nous l’appellerons « Autopilot User » dans cet article) 

• Un groupe « Entra ID » qui recevra le poste fraichement enrôlé dans Intune via Autopilot et sur lequel il faudra assigner les applications et configurations que vous souhaitez déployer. (Nous l’appellerons « Autopilot Device Preparation » dans cet article) 

Petite particularité sur ce groupe, il faut lui affecter un propriétaire qui se nomme « Intune Provisionning Client ». Attention dans certains cas, il peut aussi s’appeler « Intune Autopilot ConfidentialClient » (ID : f1346770-5b25-470b-88bd-d5744ab7952c) 

Si jamais vous n’avez ni l’un, ni l’autre : suivez cette page  

Windows Autopilot Device Preparation : création du profil « Device Preparation Policies » 

Nous allons voir ici comment créer un profil. 

Pour cela, rendez-vous dans la rubrique « Enrollment », puis choisir « Device Preparation Policies » puis « Create » 

Après avoir choisi un nom à votre profil, vous arrivez dans la catégorie « Device Group », c’est là que vous devez sélectionner le groupe Entra ID « Device » créer précédemment et sur lequel vous avez assigner vos applications et vos configurations. 

Ensuite, il convient de paramétrer l’expérience de déploiement selon vos besoins, notamment le temps alloué pour l’installation des applications ou le message d’erreur à afficher à l’utilisateur en cas d’échec. 

Il faut choisir ensuite les applications et les scripts qui s’exécuteront lors de la préparation Autopilot (donc avant que l’utilisateur se connecte). 

Pour l’instant, la limite est fixée à 10 applications et 10 scripts. Cette limitation a été fixée par Microsoft à la suite de remontées de télémétrie qui leur ont indiqué qu’environ 90% des déploiements Autopilot sont effectués avec une dizaine d’applications. Petite nouveauté, il est désormais possible de mixer tout type d’application, même si le type WIN32 reste recommandé. 

Dans la rubrique « Assignments », vous pouvez choisir le groupe Entra ID « Utilisateurs » précédemment créer. 

Faite la revue du profil, puis cliquez sur Créer.  Votre profil est prêt, maintenance place au déploiement ! 

Windows Autopilot Device Preparation : expérience de déploiement 

La nouveauté sur cette version est que le profil Autopilot est téléchargé après la connexion de l’utilisateur et non avant comme Autopilot classique. Vous pouvez faire le lien avec l’assignement du profil précédemment créer à un groupe utilisateur. 

L’expérience OOBE peut être différentes selon les versions de Windows 11 (Pro vs Entreprise). Vous aurez beaucoup plus de questions sur un Windows 11 Pro, par exemple : Nom de la machine / Localisation / Données de diagnostic etc… 

Coté Utilisateur, les nouveautés se font notamment à travers ces 2 nouveaux écrans. 

L’utilisateur pourra ainsi mieux voir la progression du déploiement grâce au pourcentage d’avancement. 

Il aura également un écran lui indiquant quand la configuration est terminée, en cliquant sur Next, sa session se lancera automatiquement. (Il peut y avoir quelques questions OOBE selon l’édition). 

Windows Autopilot Device Preparation : gestion du reporting 

Dans cette nouvelle version, vous retrouverez un reporting détaillé et quasi en temps réel. 

Avoir une vue regroupée de tous les déploiements en cours avec leur état et la durée totale passée. 

Avoir un reporting granulaire sur les déploiements en échec avec l’étape concernée (Applications ou scripts en erreur). 

Microsoft a vraiment retravaillé cette partie qui était un peu le point faible de l’ancienne version d’Autopilot. 

Conclusion sur Windows Autopilot Device Preparation 

Windows Autopilot Device Preparation améliore considérablement la manière de déployer un poste de travail Windows 11. L’expérience utilisateur et l’optimisation se sont vus retravaillés et renforcés. Ces améliorations auront sans doute un impact plus que positif sur la productivité des équipes IT et des utilisateurs. 

La solution est encore en cours de développement par les équipes de Microsoft et des nouveautés / évolutions sont également attendues sur ces parties : 

• Customisation OOBE et renommage du périphérique
• Implémentation des modes « pré provisionning » et « self deploying »
• Amélioration de l’expérience d’onboarding à l’aide de l’application Portail d’entreprise 

Si vous voulez en savoir plus voici quelques liens utiles : 

Retour sur l’annonce de Microsoft : Windows deployment with the next generation of Windows Autopilot | Microsoft Intune Blog 

Lien vers les problèmes connues : Windows Autopilot device preparation known issues | Microsoft Learn 

La foire aux questions : Windows Autopilot device preparation FAQ | Microsoft Learn 

La documentation générale : What’s new in Autopilot device preparation | Microsoft Learn 

Nous allons voir dans cet article quels peuvent être les usages autour de cette fonctionnalité et comment la mettre en place rapidement pour vos utilisateurs. 

Pour aller plus loin : Gérer la sécurité des accès dans Microsoft Intune

Qu’est-ce que la Platform SSO ?

Platform SSO est une extension du plugin « Microsoft Entreprise SSO for Apple Devices ». Pour rappel ce plugin permet de mettre en place une authentification SSO (Single Sign On) pour des comptes utilisateurs Microsoft Entra ID sur des périphériques iOS, ipadOS et macOS et sur toutes les applications qui prennent en charge cette fonctionnalité. 

Ce plugin peut fournir également du SSO pour les anciennes applications que votre entreprise pourrait avoir mais qui ne prennent pas encore en charge les derniers protocoles d’identité (Kerberos). 

Microsoft a travaillé en étroite collaboration avec les équipes d’Apple pour développer ces fonctionnalités dans le but d’augmenter la convivialité et d’améliorer l’expérience utilisateur autour de cet environnement tout en gardant une approche « sécurité ». 

Généralités, avantages et prérequis de Platform SSO pour macOS

Vous l’aurez compris « Entreprise SSO » se concentre plus sur l’aspect « Applications », la où « Platform SSO » se situe plus sur l’aspect « Identification ».  

Aujourd’hui, sur les périphériques macOS, les utilisateurs se connectent avec un compte local. Ensuite, ils se connectent aux applications et aux sites web avec leur compte Microsoft Entra ID. 

Platform SSO va permettre d’aller plus loin dans l’intégration d’Entra ID au sein de l’environnement Apple macOS qui commence à prendre un peu d’ampleur au sein des parcs informatiques. 

Cela permettra aux utilisateurs de se connecter directement à leur périphérique macOS grâce à leurs informations d’identifications Microsoft Entra ID et bénéficier ainsi du SSO sur toutes les applications supportant cette méthode d’authentification.

Cette fonctionnalité offre de nombreux avantages  

Aux administrateurs : 

• Simplification et sécurisation du processus de connexion pour les utilisateurs et en réduisant le nombre de mots de passe à mémoriser.  
• Permettre aux utilisateurs de s’authentifier avec à l’aide d’une carte à puce ou d’une clé de sécurité (Identique Windows Hello for Business).
• Utilisation des méthodes d’identification résistantes à l’hameçonnage basées sur la technologie Windows Hello Entreprise. 

Aux utilisateurs : 

• Le mot de passe du compte local sera synchronisé avec Entra ID pour faire en sorte que le mot de passe Entra ID et local soit toujours identique et donc avoir un seul mot de passe à retenir.  
• Possibilité d’utiliser une authentification « password less ». 
• Expérience de connexion plus sécurisée 

Avant cela, il faudra choisir la méthode d’authentification qui réponds à vos besoins parmi ces 3 choix : 

• SecureEnclave : Utilisation d’une clé de chiffrement liée au matériel avec Secure Enclave (Se rapproche de Windows Hello For Business). Exemple : Utilisation de TouchID. 

Secure Enclave est un sous système sécurisé disponible sur les puces Apple T1 et T2 et processeurs Apple.  

• Carte à puce : Utilisation d’une carte à puce externe ou d’un jeton matériel compatible (par exemple, Yubikey). Une fois l’appareil déverrouillé, la carte à puce est utilisée avec Microsoft Entra ID pour permettre l’authentification unique SSO entre les applications qui s’authentifient à l’aide de Microsoft Entra ID 
• Mot de passe : Utilisation du mot de passe Entra ID. L’utilisateur n’a plus besoin de se souvenir de différents mots de passe, et toute modification du mot de passe Entra ID sera synchronisée avec la machine locale. 

La méthode « Secure Enclave » est recommandée par Microsoft

Voici un schéma fourni par Microsoft sur les différences entre les méthodes d’authentification.

Des prérequis sont nécessaires pour la configuration et l’utilisation : 

• Disposer de Microsoft Intune et d’un MacBook enrôlé (via Apple Business Manager / Automated Device Enrollement par exemple) 
• Mettre à jour l’application « Portail d’entreprise » à une version 5.2404 ou supérieur (Cette version est nécessaire pour permettre aux utilisateurs d’être ciblés pour l’authentification unique Platform SSO) 
• S’assurer que les utilisateurs sont enregistrés sur une solution d’authentification multi facteur (Microsoft Authenticator est recommandé ) 
• Pour les utilisateurs de Google Chrome, installer l’extension « Microsoft Single Sign On » 
• Mettre à jour les MacBook vers macOS Sonoma (macOS 14). Cette version est recommandée pour une meilleure expérience. 

Mise en place de Platform SSO avec Microsoft Intune

La mise en place se fait simplement à partir d’un profil de configuration de type « Settings Catalog » sur Microsoft Intune. 

Dans Configuration settings, choisir « Add settings » puis Authentication, et sélectionner Extensible Single Sign On (SSO) : 

Voici un exemple de configuration minimal à appliquer pour que cela fonctionne sous macOS 14:  

Pour en savoir plus sur la configuration, vous pouvez suivre ce lien Microsoft : https://learn.microsoft.com/en-us/mem/intune/configuration/platform-sso-macos 

A savoir : le profil de configuration Platform SSO s’assigne uniquement à un groupe d’utilisateurs et non un groupe de périphériques. 

Une expérience utilisateur simple avec Platform SSO

L’enregistrement à EntraID avec Platform SSO est assez simple, l’utilisateur reçoit une notification de ce type et il suit le parcours d’authentification qui lui est proposé par le portail d’entreprise. 

Si vous voulez en savoir plus, vous pouvez suivre ces vidéos : 

• Mise en place Platform SSO avec SecureEnclave : https://www.youtube.com/watch?v=CRZmH1p89MU&t=1s 
• Mise en place Platform SSO avec password EntraID : https://www.youtube.com/watch?v=yVU6sfSl0dk 

Vous pouvez également voir dans les paramètres utilisateurs du MacBook ce type d’informations qui vous indique que l’enregistrement s’est déroulé avec succès. A savoir que durant le process d’enregistrement, le MacBook se joint à Entra ID, il devient donc Microsoft Entra ID Join. 

Conclusion

Nous avons pu voir dans cet article, quels sont les avantages à mettre en place Platform SSO avec Microsoft Intune pour vos utilisateurs. Cela leur offrira une expérience de connexion simplifiée tout en renforçant la sécurité de votre entreprise.  

Intune Suite : qu’est-ce que c’est ?  

Intune Suite offre un ensemble de solutions avancées dans Microsoft Intune qui permet de simplifier la gestion et la sécurisation des périphériques. 

Elle se présente sous un nouveau plan de licence (facturé par utilisateur et par mois). Nous y reviendrons un peu plus bas dans l’article. 

Ces fonctionnalités sont disponibles pour les périphériques en mode de gestion « Intune seul » ou en « Cogestion » avec Microsoft Configuration Manager. 

Nous allons désormais faire le point sur cinq des fonctionnalités majeures de cette suite. 

Intune Suite : quelles fonctionnalités ?  

Microsoft Cloud PKI 

La PKI Cloud de Microsoft est un service cloud qui simplifie et automatise la gestion du cycle de vie des certificats (distribution, révocation) pour les périphériques gérés par Intune (Windows / Mac OS / iOS / iPadOS / Android). 

Il fournit une infrastructure à clé publique (PKI) à deux niveaux (Racine / Intermédiaire) dédiée pour votre organisation qui gère l’émission, le renouvellement et la révocation des certificats automatiquement. 

Deux scénarios sont disponibles dans Intune Suite : 

• Provisionnement d’une PKI « full Cloud » géré par Microsoft (Racine et Intermédiaire) 
• Provisionnement d’une autorité de certificat intermédiaire dans Microsoft Intune tout en utilisant sa propre autorité racine locale, on parlera de « Bring Your Own Root CA » 

Les avantages sont multiples : 

• Provisionnement d’une PKI cloud en mode SAAS en quelques clics. 
• Réduction des coûts d’infrastructure et de maintenance (plus de nécessité d’avoir une PKI locale pour ces besoins, et pas besoin non plus de connecteurs). 
• Plus besoin d’infrastructure SCEP (Simple Certificate Enrollment Protocol) pour effectuer la distribution de certificats sur les périphériques gérés par Intune. 
• Gestion du cycle de vie complet du certificat. 
• Réalisation de l’authentification par certificat notamment pour accéder au réseau d’entreprise ou encore au VPN.  
• Reporting complet (Certificats actifs / expirés / révoqués / distribués) 

Un rapide coup d’œil sur un schéma d’architecture proposé par Microsoft. 

Microsoft Intune Advanced Analytics 

Microsoft Intune Advanced Analytics offre une visibilité complète sur l’expérience de l’utilisateur final et vous offre la possibilité de l’optimiser grâce à des informations basées sur les données remontées notamment par la télémétrie. 

Il est donc possible de détecter et résoudre de manière proactive les problèmes et améliorer ainsi l’expérience de vos utilisateurs et réduire également l’empreinte sur votre support informatique local. 

Grâce à cela, vous pourrez : 

• Obtenir des données en temps réel sur vos périphériques grâce à Device Query : 

Vous pourrez avoir en quelques clics et en temps réel sur un périphérique : l’état d’une clé de registre / les processus en cours d’exécution ou l’état d’un service Windows. 

• Un rapport sur l’état des batteries de votre parc informatique 

Vous pourrez notamment identifier les périphériques qui présentent des problèmes de batterie / autonomie et ainsi agir en conséquence. 

• Pour aider à résoudre un incident, une timeline détaillée de votre périphérique. 

Vous pourrez voir les derniers événements qui se sont passés tels que le démarrage et sa raison ainsi que le temps associé ou encore un écran bleu. 

• Une détection des anomalies pour aider à identifier les problématiques qui surviennent sur l’ensemble de vos périphériques. 

Vous pourrez voir les anomalies classées par sévérité comme un processus qui échoue de trop nombreuses fois sur un certains nombres de périphériques et prendre les mesures adéquates de manière proactive, comme par exemple, mettre à jour le logiciel en question ou analyser la cause. 

Vous pouvez mettre en place des règles de remédiation pro-active sur aider à la résolution des soucis remontés. 

Microsoft Intune Enterprise Application Management 

Dans Intune Suite, il s’agit d’un catalogue d’applications au format « Win32 » fourni et maintenu par Microsoft et facilement accessible dans Intune.  

Lorsque vous ajoutez une application, les paramètres d’installation, de configuration et de détection sont automatiquement pré remplis. Vous pouvez modifier ces paramètres si besoin. Les sources de ces applications sont stockées dans le cloud Microsoft directement.  

Vous pouvez y trouver des applications telles que : Google Chrome / Citrix Workspace / Firefox ou encore Python. 

Les avantages sont multiples : 

• Gestion simplifiée des applications : vous pouvez gagner du temps et réduire la complexité en rationalisant le processus de gestion des applications. Cela implique aussi une baisse du coût du packaging (temps humain notamment). 
• Restez à jour : vous gardez le contrôle sur la version déployée. Lorsqu’une nouvelle version est disponible, vous pouvez l’ajouter et la déployer. 
• Liste tenue à jour par Microsoft, un formulaire de demande d’intégration d’une app est disponible.  
• Réduction des risques de sécurité et des vulnérabilités, en gardant vos applications à jour le plus possible.  
• Mettre à disposition des utilisateurs un catalogue applicatif, via le portail Entreprise Microsoft Intune et les rendre autonomes dans l’installation. 

Microsoft Intune Endpoint Privilège Management 

Endpoint privilège Management autorise un utilisateur cible à exécuter une application avec des privilèges administrateurs sans avoir le besoin d’être administrateur local de son périphérique.  

Les tâches qui nécessitent couramment des privilèges d’administration sont par exemple les installations ou mises à jour d’applications tierces qui ne rentre pas dans le cadre d’une gestion par l’entreprise. 

Les utilisateurs qui possèdent initialement des privilèges standards peuvent être temporairement promus au statut d’administrateur pour des tâches spécifiques et approuvées par l’administrateur, conformément aux politiques de l’entreprise. Cette approche vise à améliorer la productivité tout en renforçant la sécurité. 

Il s’agit là d’une formidable avancée au niveau sécurité du Poste de Travail. 

Comment cela fonctionne ? L’administrateur créé une règle en définissant notamment les informations de l’exécutable autorisé à être exécuté avec des privilèges administrateurs. (L’exécutable est identifié grâce à son nom et son hash, il est donc impossible de tricher ).  

Le mode d’élévation doit également être précisé, c’est-à-dire qu’une justification « business » ou une demande d’authentification sera requise pour chaque exécution avec des privilèges élevés. 

Dernièrement un workflow « Exiger l’approbation du support » est venue compléter l’offre.  

Les avantages sont multiples : 

• Sécurisation et entrée dans une démarche « Zero Trust » du poste de travail.  
• L’utilisateur n’est plus administrateur de son poste.  
• Les droits d’administration sont délégués sur un exécutable défini et identifié par l’administrateur. 
• Une intégration totale dans Windows. 
• Un reporting complet sur la fonctionnalité. 

Remote Help 

Remote Help est une solution cloud de prise en main à distance sécurisée et intégrée nativement à Microsoft Intune. Il est possible de prendre la main sur un périphérique enrôlé (ou non).

Cette solution est disponible (pour le moment) sur les environnements Windows / MacOs et Android en mode « Appareil dédié ». 

Elle offre notamment : 

• Le contrôle d’accès basé sur les rôles (RBAC) pour la gestion d’accès à la solution (possibilité de ne pas autoriser l’UAC pour un certain type de techniciens par exemple).
• La gestion de l’élévation des privilèges (UAC) lors de la prise en main à distance (tous les outils ne le font pas).
• L’intégration avec la gestion de conformité Microsoft Intune (savoir à travers cet outil et lors de la prise en main si le poste est conforme ou non).

Les avantages sont multiples : 

• Outil intégré directement dans la console de gestion Microsoft Intune. 

• Intégration SSO avec Entra ID pour la connexion à l’outil Remote Help sur un périphérique. 
• Gestion de la conformité, affichage d’un avertissement lorsque le technicien se connecte sur un poste non-conforme. 
• Support de l’UAC, messagerie instantanée, pointeur laser. 
• Reporting complet (qui a pris la main sur quoi et à quel moment par exemple) 

Nous avons désormais fait le tour sur les 5 fonctionnalités majeures de la Microsoft Intune Suite. 
À savoir que d’autres fonctionnalités sont disponibles comme : 

• Microsoft Intune Firmware-Over-The-Air (FOTA) updates : gestion des mises à jour des firmwares des appareils pris en charge comme Zebra. 
• Microsoft Intune Tunnel for Mobile Application Management : intégration de Microsoft Tunnel (VPN) pour des périphériques Android et iOS non inscrits (à travers le MAM).
• Microsoft Intune Management of Specialty Devices : la gestion spécialisée des appareils est un ensemble de fonctionnalités de gestion, de configuration et de protection des appareils spécifiques, tels que les casques AR/VR ou les appareils de salle de réunion. 

Intune Suite : quel pricing ?  

Microsoft Intune Suite est disponible en tant que module complémentaire payant pour les clients qui ont notamment les licences suivantes : Microsoft 365 E3, E5 ou Enterprise Mobility + Security E3 et E5. 

Plans d’abonnement Intune 

Microsoft Intune Plan 1 : les principales fonctionnalités de Microsoft Intune sont incluses dans les abonnements Microsoft 365 E3, E5, ou Enterprise Mobility + Security E3 et E5 et les plans Business Premium. 

Vous pouvez étendre les fonctionnalités de votre plan Microsoft Intune P1 à l’aide des modules complémentaires suivants : 

Microsoft Intune Plan 2 : un module complémentaire de Microsoft Intune Plan 1 avec des fonctionnalités avancées de gestion des périphériques. Microsoft Intune Plan 2 fait partie de Microsoft Intune Suite. 

Microsoft Intune Suite : comprends Microsoft Cloud PKI, Microsoft Intune Remote Help, Microsoft Intune Endpoint Privilège Management, Microsoft Intune Tunnel for Mobile Application Management, Microsoft Intune management of Specialty Devices et Microsoft Intune Advanced Endpoint Analytics dans Microsoft Intune. Un abonnement à Microsoft Intune Plan 1 est nécessaire. 

Voici un tableau récapitulatif regroupant les coûts par plan de licence : 

Il s’agit là d’un prix public par mois et par utilisateur. 

Les modules tels que Remote Help ou Cloud PKI sont disponibles en « module complémentaire » au plan 1 aux prix respectifs de 3,30€HT et 1,87€HT.

Pour en savoir plus : Offres et prix de Microsoft Intune 

Conclusion sur Intune Suite

Intune Suite est une solution complète qui vient étoffer et compléter Microsoft Intune. 

Les différents modules disponibles permettent entre autres d’améliorer la gestion des périphériques, d’accroître leur sécurisation et d’avoir une visualisation complète de l’état de santé de son parc informatique. 

Pour les organisations ayant une optique « cloud first », elle permet aussi de poursuivre cette transformation grâce à la fonctionnalité « Cloud PKI » qui peut venir en remplacement (ou en partie) d’une infrastructure PKI interne. 

Nul doute que Microsoft continuera à faire évoluer cette suite dans les mois à venir et ainsi conforter sa place de leader dans la gestion des périphériques. 

Microsoft Intune Suite est un investissement dans l’avenir de la gestion et de la sécurité des périphériques de votre organisation. 

Pour aller plus loin dans Intune

Article – MDM : pourquoi choisir Microsoft Intune ?

Article – Windows Autopilot et Microsoft Intune : une gestion moderne des appareils

Article – Microsoft Intune : convention de nommage des objets

Article – MAM ou MDM : comment gérer les mobiles d’entreprise ?

Le CRiP, le cercle de confiance des décideurs de l’IT, organise régulièrement des événements qui rassemblent des professionnels de l’IT afin d’échanger sur les dernières tendances et les meilleures pratiques dans le domaine de l’infrastructure et de la production.

Synapsys, avec son adhésion récente au CRiP, marque son engagement à collaborer et à contribuer à la communauté des décideurs IT. Cette collaboration permettra à Synapsys de partager son expertise, d’élargir son influence dans l’industrie et d’explorer de nouvelles opportunités de partenariat.

Synapsys confirme sa participation aux prochains événements organisés par le CRiP, notamment :

• Les Universités du CRiP les 12 et 13 juin,
• CRiP en région à Lille le 21 novembre,
• Les Trophées CTO le 28 novembre
• Et d’autres événements à venir.

Ces occasions seront idéales pour les professionnels IT de rencontrer l’équipe de Synapsys, de découvrir ses services novateurs et de discuter des tendances actuelles et futures de l’IT.

À propos de Synapsys

Synapsys est une entreprise dédiée à la transformation numérique, offrant des services de conseil, d’ingénierie et de services managés. Avec une expertise approfondie dans les domaines du Cloud, du DevOps et du Digital Workplace, Synapsys est un partenaire de confiance pour les entreprises cherchant à optimiser leurs opérations IT.

À propos du CRiP

Le CRiP est une association professionnelle qui fournit une plateforme de confiance pour les décideurs IT. Elle vise à promouvoir le partage de connaissances et l’innovation à travers une série d’événements et d’ateliers centrés sur les défis et les solutions liés à l’infrastructure IT et à la production.

La complexité du co-management

Les limites du co-management SCCM et Intune

Le co-management permet de fusionner les capacités de gestion d’Intune avec les compétences robustes de SCCM. Cette synergie offre aux entreprises une plus grande souplesse et une gestion unifiée des appareils, exploitant les forces de chaque système pour une gestion plus globale et efficace.

Bien que le concept de co-management semble simple, sa mise en œuvre peut être complexe. En effet, cette stratégie ne consiste pas simplement à basculer d’un système à l’autre, mais plutôt à les utiliser conjointement selon les besoins spécifiques. Par exemple, la gestion des mises à jour, habituellement effectuée via SCCM, peut s’avérer complexe lorsqu’on tente de l’intégrer à la philosophie d’Intune.

Le co-management présente également des limitations, notamment en termes de coût et de duplication des efforts. L’utilisation parallèle de SCCM et d’Intune peut entraîner des coûts supplémentaires liés à la gestion des deux infrastructures et à la création de doublons dans les packages applicatifs.

Pourquoi migrer de SCCM vers Intune ?

La question se pose alors : le co-management est-il une bonne alternative pour une transition progressive vers une gestion complète via Intune ? La réponse n’est pas si simple. Initialement, le co-management est envisagé comme un curseur entre SCCM et Intune, débutant près de SCCM et se déplaçant progressivement vers Intune. Cependant, dans la pratique, on constate souvent que ce curseur reste figé à mi-chemin.

Une réflexion stratégique s’impose avant de mettre en place le co-management. Plutôt que de le voir comme une solution permanente, il pourrait être plus judicieux d’envisager une migration directe vers Intune pour certaines populations d’utilisateurs, tout en maintenant d’autres dans un environnement SCCM traditionnel.

Le co-management doit être utilisé avec discernement, en gardant à l’esprit qu’il n’a jamais été conçu comme une solution à long terme par Microsoft. Si votre entreprise est prête à adopter Intune pour la gestion des appareils, il serait préférable de s’orienter directement vers cette solution plutôt que de mettre en place une infrastructure de co-management complexe.

De plus, il est important de prendre en compte les aspects techniques tels que la nécessité de VPN pour l’accès à distance à SCCM, contrairement à Intune qui est accessible en mode cloud.

En résumé, bien que le co-management puisse sembler une solution intermédiaire pratique, il convient de l’utiliser avec prudence, en privilégiant une migration stratégique vers Intune lorsque cela est possible.

Les 5 raisons de migrer de SCCM vers Intune

1. Modernisation de la gestion des postes : Intune permet une gestion cloud-native, adaptée aux environnements hybrides et aux besoins de mobilité.
2. Réduction de la complexité : Fini les serveurs sur site dédiés à SCCM, la gestion passe par le cloud avec des mises à jour automatiques.
3. Amélioration de l’expérience utilisateur : Une meilleure flexibilité pour les utilisateurs nomades, avec une configuration rapide des appareils dès la première connexion.
4. Sécurité renforcée : Intune s’intègre nativement avec Microsoft Defender, Azure AD et les politiques de sécurité Zero Trust.
5. Gain de temps pour les équipes IT : Moins de maintenance, une gestion centralisée et une automatisation accrue.

Migration de SCCM vers Intune : quand franchir le cap ?

Lorsqu’il s’agit de gérer les postes de travail, la migration vers Intune est généralement préférable. Le co-management devrait être envisagé seulement si c’est absolument nécessaire, car il peut s’avérer être un processus complexe et coûteux. Il est donc recommandé de commencer la migration lors du renouvellement du parc informatique ou lors d’une mise à jour majeure du système, par exemple.

La transition de Windows 10 à Windows 11 offre une excellente occasion de migrer vers Intune. Les applications supportées sous Windows 10 devraient être compatibles avec Windows 11, ce qui facilite leur gestion via Intune et permet de s’éloigner progressivement de l’environnement Active Directory.

Bien que le co-management ait été une option viable il y a quelques années, aujourd’hui, il n’y a plus de véritables raisons de maintenir cette approche. Il est important de se rappeler que le co-management n’est pas une solution à long terme, mais plutôt une étape transitoire vers un environnement cloud plus intégré.

Si votre organisation possède déjà une infrastructure SCCM, celle-ci devrait être conservée pour un périmètre limité, comme la gestion de postes spécifiques ou de serveurs. Le reste du parc devrait progressivement migrer vers Intune, avec l’objectif à long terme d’éliminer complètement la dépendance à SCCM.

Un autre point crucial concerne l’accumulation de l’historique de gestion des politiques de groupe (GPO). La migration est l’occasion de rationaliser ces politiques et de les convertir en settings Intune. Ce processus peut être long, mais il est essentiel pour réussir la transition.

Si votre organisation utilise actuellement SCCM sans plans de licence Microsoft 365, il serait judicieux de considérer Intune, car cela impliquerait l’adoption d’un nouveau plan de licence. Pour les entreprises ayant déjà un autre système de MDM et des licences Microsoft 365, il serait pertinent d’envisager la migration vers Intune.

Le futur de SCCM à l’ère d’Intune

SCCM reste un acteur clé dans le paysage de la gestion des postes de travail et conservera son importance pour quelques années encore. Sa robustesse dans la gestion des postes de travail spécifiques est incontestable. Toutefois, l’ascension d’Intune, marquée par l’intégration progressive de fonctionnalités avancées, redéfinit les contours de la gestion des devices.

Intune, bien qu’innovant, doit encore progresser sur certains aspects, notamment en termes d’ergonomie et de facilité d’utilisation. Le reporting, par exemple, avec l’utilisation de l’API Graph, requiert une certaine expertise et connaissance en scripting pour être pleinement exploité.

Le futur de SCCM s’oriente vers la gestion de composants plus traditionnels, ou « legacy », tandis que des solutions comme Copilot, enrichies par l’intelligence artificielle, commencent à s’intégrer avec Intune pour automatiser et simplifier les tâches administratives. Cela annonce une ère où l’IA pourrait potentiellement prendre en charge la génération de rapports de manière autonome au sein d’Intune.

La transition vers Intune implique de la part des utilisateurs une capacité à s’intéresser aux technologies modernes et avant-gardistes, similaires à l’expertise requise pour SCCM dans les domaines des réseaux, SQL, scripting, et autres. Nous nous dirigeons vers un écosystème technologique plus moderne, marquant la transition du Legacy vers le Modern Workplace. Toutefois, tant que les serveurs physiques existeront, SCCM conservera sa place.

Intune se positionne comme un outil d’avenir avec sa capacité accrue à gérer efficacement tous les types d’appareils, notamment grâce à des fonctionnalités comme Autopilot pour la préparation et la configuration des systèmes d’exploitation. Cependant, SCCM maintient sa présence et son importance pour de nombreux clients, notamment pour la gestion des serveurs et dans des domaines où Intune n’est pas encore pleinement opérationnel. L’adoption d’Intune représente un changement de paradigme et une nouvelle approche dans la gestion des devices, illustrant la diversité et la complémentarité des fonctionnalités entre SCCM et Intune.

SCCM ou Intune : faut-il choisir ?

La bonne nouvelle, c’est que vous n’êtes pas obligé de faire un choix brutal. Microsoft propose un mode co-management (co-gestion), permettant de piloter certaines charges de travail via Intune tout en conservant SCCM pour d’autres.

Étapes clés pour réussir la migration SCCM vers Intune

1. Évaluer votre environnement existant : parc, versions Windows, configurations, dépendances applicatives.
2. Définir votre stratégie de co-management ou de bascule complète.
3. Préparer l’infrastructure cloud : Intune, Azure AD, Microsoft Endpoint Manager.
4. Former les équipes IT aux nouveaux outils et processus.
5. Migrer progressivement les charges de travail : mises à jour, applications, politiques de sécurité.
6. Accompagner les utilisateurs finaux pour garantir une transition fluide.

Questions fréquentes

• Combien de temps faut-il pour migrer de SCCM vers Intune ? Cela dépend du nombre de postes, de la complexité du SI et de la stratégie adoptée.
• Peut-on utiliser SCCM et Intune en même temps ? Oui, grâce au mode co-management.
• Quels sont les coûts de migration vers Intune ? Intune est inclus dans certaines licences Microsoft 365, mais des coûts d’accompagnement ou de montée en compétences peuvent s’ajouter.

Conclusion

Migrer de SCCM vers Intune, c’est faire un pas vers une gestion plus agile, moderne et sécurisée des environnements de travail. En s’appuyant sur une stratégie bien définie, des outils performants et un accompagnement adapté, cette transition devient une véritable opportunité pour l’IT et les utilisateurs.

Vous souhaitez être accompagné dans cette migration ? Contactez nos experts pour un diagnostic personnalisé de votre environnement SCCM.

A l’origine, il y avait le « SMS » (Systems Management Server) de Microsoft, un outil destiné à la gestion de grands parcs d’ordinateurs sur systèmes Windows. Il permettait de déployer des applications, de réaliser des inventaires logiciels et matériels, et offrait quelques capacités de reporting.

Avec le temps, SMS a évolué pour devenir SCCM. Cette évolution a apporté des fonctionnalités supplémentaires, comme la gestion des mises à jour, une capacité de reporting accrue et des options avancées pour le déploiement et le développement de « masters » via les séquences de tâches. Jusqu’en 2010, SCCM a continué à évoluer et à s’améliorer, devenant un outil de gestion de référence.

Vers 2010, Microsoft a introduit Microsoft Intune, une solution cloud destinée à la gestion des appareils Windows, Android et Apple. Malgré des débuts difficiles, Intune a connu une évolution constante, avec des mises à jour très fréquentes. Au fil des années, Intune est devenu une solution de gestion de dispositifs mobiles (MDM) de premier plan, offrant de nombreuses fonctionnalités pour divers appareils y compris Windows, Linux, Chromebook, Android et iOS.

Analyse des fonctionnalités : SCCM vs Intune

Bien que SCCM présente toujours quelques atouts non négligeables pour les entreprises, Intune connait de fortes évolutions ces dernières années :

• Accessibilité et mobilité : Étant une solution cloud, Intune permet aux administrateurs de gérer les appareils de n’importe où, à condition d’avoir une connexion Internet. Cela offre une grande flexibilité, surtout pour les organisations avec un grand nombre d’employés en télétravail ou en déplacement. Par ailleurs, les mises à jour se font automatiquement via le cloud, ce qui réduit la charge de travail des administrateurs IT pour maintenir le système à jour.

• Gestion de divers types d’appareils : Intune permet de gérer une large gamme d’appareils, y compris les appareils mobiles sous iOS, Android, Windows, ainsi que les ordinateurs sous Windows et macOS. Cette polyvalence est particulièrement avantageuse dans un environnement de travail où la diversité des appareils est importante.

• Sécurité améliorée : Intune offre des fonctionnalités de sécurité avancées, telles que la gestion des applications mobiles (MAM) et la gestion des identités et des accès. Il permet également d’appliquer des politiques de sécurité de manière plus granulaire sur les appareils et les applications.

• Intégration avec l’écosystème Microsoft 365 : Intune s’intègre étroitement avec d’autres services Microsoft, notamment Azure Active Directory et Microsoft 365. Cette intégration permet une gestion unifiée des utilisateurs, des appareils et des applications. Par ailleurs, l’intégration d’Autopilot permet une configuration et un déploiement automatiques des appareils Windows, ce qui peut considérablement accélérer le processus d’intégration de nouveaux utilisateurs et de nouveaux équipements.

• Facilité de déploiement des applications : Intune simplifie le déploiement et la gestion des applications sur les appareils gérés, y compris les applications d’entreprise personnalisées et les applications du Microsoft Store.

En conclusion, Intune est particulièrement adapté aux organisations qui cherchent une solution de gestion des appareils moderne, flexible et intégrée avec le cloud, et qui ont besoin de gérer un large éventail d’appareils et de systèmes d’exploitation. En revanche, SCCM est à privilégier pour la gestion des appareils sans accès Internet ou à faible débit dans des contextes spécifiques (comme les sites miniers ou les plateformes pétrolières offshore par exemple).

SCCM peut se distinguer par ses capacités avancées en matière de reporting (une fonctionnalité moins accessible dans Intune). Néanmoins, avec l’utilisation de PowerBI et l’adoption croissance de GraphAPI, il est possible de concevoir des rapports avancés, bien que cela nécessite une réflexion et une approche différente.

Un des changements majeurs avec Intune a été l’introduction de la possibilité de créer des fichiers de configuration personnalisés. Alors que les applications disponibles dans le store Microsoft peuvent être limitées, cette flexibilité permet une meilleure adaptation aux besoins spécifiques des entreprises.

Dans SCCM, la gestion des dépendances et des exigences logicielles est relativement simple à configurer. Des fonctionnalités comme la remédiation sont également disponibles. Intune a évolué pour offrir des capacités similaires, notamment grâce à l’utilisation de scripts permettant de détecter et de déployer automatiquement les versions nécessaires sur les appareils.

De SCCM à Intune : quels coûts à prévoir ?

Coûts des licences

Intune, intégré dans le plan de licence Microsoft Office 365, offre un modèle économique avantageux pour les utilisateurs qui possèdent la licence E3. À l’inverse, SCCM requiert des achats de licences additionnelles ainsi que de nombreux coûts annexes (ressources matériels) ce qui peut s’avérer coûteux surtout dans des architectures informatiques complexes.

Pour les organisations possédant déjà des licences SCCM, il est intéressant de noter que l’accès à Intune est automatiquement inclus, ce qui facilite la transition et la gestion des deux systèmes.

Gestion de projets et temps de développement

Dans le cas d’une migration complète de SCCM vers Microsoft Intune, des gains de temps significatifs sont observés, notamment dans la création de nouveaux environnements de travail. Avec SCCM, la construction d’un « master » peut prendre environ un mois, tests inclus. Avec Intune, ce processus est accéléré, les étapes de configuration étant simplifiées et les tests plus rapides, en particulier dans un environnement full cloud.

Cependant, cette efficacité est relative et dépend fortement de la complexité de l’environnement de l’entreprise. Les grandes entreprises avec des applications spécifiques peuvent toujours rencontrer des défis nécessitant des configurations personnalisées, du scripting, et un temps de test comparable à SCCM. Des outils comme Autopilot offrent des avantages différents par rapport aux séquences de tâches SCCM, et l’intégration des applications dans Intune peut parfois exiger plus de temps que dans SCCM, surtout si des scripts personnalisés sont nécessaires.

En résumé, Intune présente un modèle de coût avantageux et une gestion plus simple, mais sa performance optimale est atteinte dans des environnements moins complexes. Les grandes entreprises avec des besoins spécifiques peuvent avoir à investir un temps comparable à SCCM pour configurer et tester leurs systèmes.

Pour aller plus loin : Migration de SCCM vers Intune

Microsoft Endpoint Manager est une plateforme de gestion des terminaux qui combine les capacités de SCCM et d’Intune dans une solution intégrée pour gérer tous les appareils au sein d’une organisation, qu’ils soient sous Windows, macOS, iOS ou Android.

Intune est un service cloud qui se concentre sur la gestion des appareils mobiles (MDM) et la gestion des applications (MAM). Intune permet aux entreprises de simplifier la gestion des PC, des Mac et des devices mobiles (tablettes, téléphones iOS, Android…)

En termes de gestion des applications, Intune propose des fonctionnalités intéressantes :

• Ajout et affectation des applications sur des appareils inscrits ou non.
• Mise à disposition d’un portail d’entreprise dans lequel on retrouve des applications grand public et des applications d’entreprise qu’on peut intégrer.
• Protection des données de l’entreprise, notamment au travers des applications, en utilisant des stratégies de protection des applications.

En termes de gestion de devices, on retrouve deux grands scénarii :

• Un scénario autour du corporate device (appartenant à l’entreprise) avec inscription obligatoire dans Intune et dans lequel on va intégrer des stratégies de configuration, du paramétrage de sécurité, etc.
• Dans le contexte BYOD : possibilité d’accéder aux données et aux applications de l’entreprise sans inscription obligatoire, en sécurisant les accès avec du MFA. Il est donc possible de proposer aux utilisateurs d’enregistrer leur device personnel dans l’organisation afin que ce device soit complètement géré par Intune. On peut par ailleurs mettre en place des stratégies de configuration, de paramétrage, de sécurisation, etc comme si on était sur un mobile corporate.

Comment mettre à profit Intune pour gérer la sécurité avec Endpoint Security ?

En matière de Modern Workplace, la sécurité est un vaste domaine qui impacte le device, les applications et les données d’utilisation. C’est pourquoi, on va s’attacher à comprendre les devices de l’utilisateur et les usages qu’il en fait.

Plusieurs éléments permettent à Intune de gérer la sécurité des devices :

• Compliance Policies : vérifier qu’un device est bien apte et conforme pour se connecter aux informations de l’entreprise.
• Règles d’accès conditionnel : vérifier que l’utilisateur est bien celui qui prétend et que le device utilisé est bien connu et identifié.
• Configurations de profile : définir un ensemble de paramétrages et de configurations pour assurer la compliance des devices.
• Envoyer sur les devices des scripts à exécuter par le biais d’Intune.
• Restrictions d’enrôlement (par exemple : on n’autorise pas les iPhones jailbreakés).

Tous ces aspects seront applicables sur l’ensemble des devices gérés par Intune (PC, Mac, tablettes, smartphones, Surfaces, HoloLens…)

Au niveau de la sécurité des applications, Intune va permettre de :

• Applications Protection Policies : il s’agit de politiques qui permettent de protéger les applications en s’assurant que les applications utilisées sont bien celles mises à disposition par l’entreprise.
• Politiques de configuration des applications : possibilité d’être restrictif sur les applications à utiliser et les paramétrages associés.
• Policies spécifiques pour les applications de la suite Office.
•  « Selective Wipe » dans un contexte BYOD : consiste à effacer les données et les applications liées à l’entreprise sans effacer le reste des données de l’appareil personnel.
• Policies Custom pour les différentes plateformes.

Certaines fonctionnalités dans Intune sont spécifiques aux postes de travail :

• Gestion des mises à jour,
• Implémentation de Windows Hello for Business,
• Intégration encryptions et antivirus,
• Configuration de Firewall,
• Intégration de Microsoft Defender for EndPoint.

La protection des devices et des applications avec Intune

Il est possible de déployer des stratégies de conformité et de configuration des appareils pour répondre à des objectifs de sécurité. Concernant la protection des devices, deux axes sont à anticiper :

• Les profils de paramétrage : configuration de certificats pour l’authentification, définition des comportements de mise à jour des logiciels, etc.
• Les profils de conformité : vérification de la compliance des devices, versions des systèmes d’exploitation, chiffrement des disques, vérification du niveau de menace spécifique, etc.

Pour la protection des applications avec Intune, on va retrouver différents éléments :

• Les applicationsgérées au travers de stratégies de protection des applications sont applicables sur les appareils inscrits ou non (selon le scénario MDM ou MAM).
• Les applications gérées par Intune permettent de travailler avec des données d’entreprise et d’utiliser ses données personnelles.
• L’application qui est gérée est la seule qui peut être utilisée pour accéder aux données d’entreprise.

Dans Microsoft, certaines actions ne sont pas permises techniquement. Par exemple, dans la console d’Intune, en fonction du mode d’enrôlement, certaines options sont grisées comme la possibilité de wipe des appareils personnels qui ont été enrôlés dans Intune. Effectivement, certaines actions peuvent être interdites par Microsoft dans la console elle-même car aucune entreprise a vocation à réinitialiser un appareil qui n’appartient pas à l’entreprise.

Endpoint Security : la gestion des données dans Microsoft EndPoint Manager

Les données professionnelles vont être sécurisées à travers 4 éléments :

• Protection du device, du système et de la donnée lorsque le device est perdu ou volé.
• Séparation de la donnée.
• Leak Protection pour se prémunir d’avoir des utilisateurs non autorisés qui utilisent des applications capables d’accéder à la donnée.
• Sharing protection pour protéger la donnée lorsqu’on la partage avec d’autres personnes, que ce soit au sein de l’entreprise ou en dehors de l’entreprise.

Il est important de se baser sur la Protection des information windows (WIP) d’Intune pour gérer la liste des applications qui vont être protégées, les emplacements réseau de l’entreprise, le niveau de protection attendu et les paramètres de chiffrement.

Avec Windows Information Protection (WIP), on peut créer des stratégies de protection des applications dans Intune, soit avec l’inscription d’appareils (MDM) soit sans inscription de l’appareil (MAM) :

• MAM peut réinitialiser de manière sélective les données d’entreprise à partir de l’appareil personnel d’un utilisateur
• MAM ne prend en charge d’un seul utilisateur par appareil,
• Seul MDM peut utiliser des stratégies CSP BitLocker,
• Si le même utilisateur et le même appareil sont ciblés pour MDM et MAM, la stratégie MDM est appliquée aux appareils joints à Azure AD.

Mobile Threat Defense et Intune

Un Mobile Threat Defense (MTD) est un antivirus qu’on va déployer sur les device des utilisateurs. Le MTD est donc une app qui vient s’associer à Intune. Il existe plusieurs MTD pour Windows, Android ou iOS :

• Active Shield Enterprise,
• Microsoft Defender for EndPoint (version Enterprise)
• Lookout for Work,
• Pradeo Security,
• Harmony Mobile Protect,
• SEP Mobile (Symantec Endpoint Protection),
• Sophos Intercept X for Mobile,
• Wandera,
• Zimperium Mobile IPS (zIPS)

Microsoft Defender for EndPoint offre des fonctionnalités complémentaires assez intéressantes telles que :

• Installation des applications : avertir les utilisateurs lorsque les fichiers APK des applications sont corrompus ou des applications qui ont des comportements un peu détournés.
• Blocages automatiques sur un navigateur, une page web, un lien malveillant, un courrier électronique, etc.

La gestion est basée sur le cloud, ce qui permet d’offrir une vraie expérience SecOps pour les équipes de sécurité qui peuvent centraliser les alertes et de pouvoir investiguer sur les différents incidents et trouver le meilleur moyen d’y répondre.

Les outils de gestion unifiée des terminaux, ou Unified EndPoint Manager (UEM), permettent aux DSI des entreprises de gérer l’intégralité de leur parc d’appareils et de postes de travail sur une seule et même plateforme centralisée.

Les solutions d’Unified EndPoint Management (UEM) ont l’avantage de simplifier les opérations IT, renforcer la sécurité des postes de travail, rationaliser les coûts de gestion des appareils et offrir une expérience utilisateur homogène et cohérente.

Dans un contexte de travail à distance et de travail hybride, l’UEM permet aux DSI et RSSI de gérer facilement les appareils des employés, qu’ils soient sur site ou à distance. L’UEM est particulièrement utile pour les organisations ayant une grande variété de dispositifs et de systèmes d’exploitation, ainsi que pour celles qui sont soumises à des exigences strictes en matière de conformité et de sécurité des données.

UEM, MDM, MAM, EMM : quelles différences ?

Les termes UEM (Unified Endpoint Management), MDM (Mobile Device Management) et EMM (Enterprise Mobility Management) sont utilisés dans le domaine de la gestion des dispositifs informatiques en entreprise.

Le MDM (Mobile Device Management) se concentre sur la gestion et la sécurisation des appareils mobiles (essentiellement les smartphones et les tablettes). Les fonctionnalités du MDM concernent la gestion des applications, le verrouillage et l’effacement à distance, la configuration des paramètres de l’appareil, la mise en œuvre des standards de sécurité… Le Mobile Application Management (MAM) se concentre plus spécifiquement sur la gestion des applications mobiles, permettant aux entreprises de contrôler l’accès aux applications d’entreprise et de sécuriser les données sans gérer tout l’appareil.

L’Enterprise Mobility Management (EMM) permet de combiner le MDM et le MAM avec des fonctionnalités de gestion des contenus et des identités pour offrir une solution plus complète de gestion de la mobilité.

L’Unified Endpoint Management (UEM) est l’aboutissement de ces évolutions, intégrant la gestion des appareils mobiles, des ordinateurs de bureau, des portables, et parfois même des IoT (Internet des Objets) et des wearables (technologies portables) dans une seule et même plateforme.

Les outils d’UEM : Microsoft EndPoint Manager

Les grands éditeurs du marché ont développé des outils d’UEM afin de permettre aux entreprises de mieux gérer leur parc de terminaux. Le choix de l’outil UEM dépend souvent des besoins spécifiques de l’entreprise, de son infrastructure existante, et de ses objectifs de sécurité et de gestion.

Pour une entreprise déjà fortement investie dans les produits Microsoft, Microsoft Endpoint Manager (incluant Microsoft Intune et SCCM) serait un choix pertinent. De même, une entreprise utilisant intensivement la virtualisation pourrait préférer VMware Workspace ONE.

Bien qu’il existe d’autres outils d’UEM sur le marché, Microsoft et VMware proposent les solutions les plus avancées et les plus complètes en matière de gestion des terminaux.

Pour aller plus loin : Rachat VMware : préparez vos scénarios d’alternatives

Voici une liste des outils d’UEM présents sur le marché :

• Microsoft Endpoint Manager (incluant Microsoft Intune et SCCM) propose notamment une intégration étroite avec l’écosystème Microsoft et permet de faciliter la transition en douceur de SCCM à Intune.
• VMware Workspace ONE permet une gestion unifiée des appareils mobiles, postes de travail et application virtuelles. La solution bénéficie d’une intégration avec les environnements VMware pour la virtualisation.
• IBM MaaS360 : intégrée avec les systèmes IBM et tiers, la solution utilise un moteur d’IA permettant de réaliser des analyses avancées.
• Citrix Endpoint Management : la solution bénéficie d’une forte intégration avec les solutions de virtualisation et de réseaux Citrix.
• Ivanti / MobileIron : spécialisée dans la sécurité des appareils mobiles et des données.
• BlackBerry Unified Endpoint Manager reconnue pour ses fonctions de sécurité renforcée et permettant une prise en charge des appareils BlackBerry, iOS, Android et Windows.
• Cisco Meraki Systems Manager permettant une intégration avec les solutions réseau de Cisco.

Ce modèle, qui permet aux employés d’utiliser leurs propres appareils à des fins professionnelles, offre une flexibilité sans précédent, mais soulève également d’importants défis en termes de sécurité et de gestion. Cet article propose une exploration approfondie de cette tendance, en abordant ses avantages, ses défis, ainsi que les meilleures pratiques pour une mise en œuvre réussie.

Une politique BYOD au sein de l’entreprise

Le Bring Your Own Device, ou la gestion des appareils personnels, s’inscrit dans une évolution des méthodes de travail, notamment avec le travail à distance et l’émergence du cloud. Le BYOD s’applique historiquement aux appareils mobiles, bien que le concept existe également pour les workstations, ou postes de travail.

Les entreprises constatent une appétence croissante des employés à travailler avec des outils qu’ils manipulent quotidiennement dans leur environnement personnel, et avec lesquels ils se sentent plus à l’aise et plus efficaces. Pour information, on différencie le BYOD du COBO qui consiste à travailler sur un device qui appartient à l’entreprise et qui est strictement à usage professionnel.

Le BYOD est un sujet d’actualité pour beaucoup d’entreprises qui souhaitent basculer vers un environnement de travail plus moderne et flexible, tout en réduisant les coûts. Contrairement aux idées reçues, le BYOD se prête à de nombreux secteurs parfois très réglementés, comme la banque ou l’énergie, dans la mesure où il est possible de poser un cadre d’usage assez strict.

Cependant, la mise en œuvre du BYOD implique de faire transiter la data d’entreprise dans des appareils personnels. Il est donc important de mettre en place une politique et un cadre technique d’utilisation afin d’empêcher les débordements.

MDM / MAM : quelles différences pour votre politique BYOD ?

Il faut tout d’abord différencier le MDM du MAM et du BYOD. Le BYOD fait référence à une politique permettant aux employés d’utiliser leurs appareils personnels (smartphones, tablettes, ordinateurs portables) pour accéder aux ressources et à la data de l’entreprise. Le MDM (Mobile Device Management) consiste à gérer et enrôler l’appareil mobile en lui-même, alors que le MAM (Mobile Application Management) se concentre sur les applications et la data de l’entreprise sans enrôlement de l’appareil.

Un projet MAM doit démarrer par une phase d’assessment visant à cartographier les applications d’entreprise à sécuriser, puis à définir les règles MAM à déployer dans votre outil selon les applications.

Il est par exemple possible de contrôler les partages ou les captures d’écran, d’interdire la sauvegarde d’un fichier sur le stockage personnel, éviter d’enregistrer une photo dans la galerie d’images, etc. C’est ce qu’on appelle des app protections.

Dans le cadre d’une politique MAM, on personnalise l’expérience que l’utilisateur va avoir sur les applications de l’entreprise, indépendamment de l’appareil qui est utilisé. Le MAM apparait comme une alternative au MDM qui implique de gérer les appareils en direct. Le MAM convient à des organisations qui disposent des données sensibles.

Le MAM permet d’avoir une maîtrise complète des données professionnelles. Dans le cas où l’appareil est volé ou perdu, il est possible de « wiper » la data très facilement. Lorsque l’utilisateur se reconnecte sur un autre device, il retrouve la data exactement comme il l’a laissé. C’est ce qu’on appelle le Selective Wipe dans Intune.

La question centrale consiste à savoir si on souhaite ou non que les appareils personnels soient intégrés au tenant de l’entreprise, dans l’environnement Intune, afin qu’il puisse bénéficier des applications d’entreprise.

Lire aussi : MAM vs BYOD : quelles différences ?

Politiques MAM : l’importance du juridique

La dimension légale est importante lorsqu’il s’agit de BYOD ou de MAM. Bien que l’entreprise ne soit pas tenue d’informer les utilisateurs sur les contrôles qui sont fait dans le cadre d’une politique MAM, il est tout de même important de sensibiliser et d’expliquer ce qui a été mis en place. Cela permet à l’utilisateur de comprendre ce qu’il peut et ne peut plus faire dans le cadre professionnel.

Pour ce qui est du MDM, l’entreprise a la nécessité d’informer les utilisateurs avec conditions générales d’utilisation. Cela permet de protéger juridiquement l’entreprise et d’informer les utilisateurs sur ce à quoi l’entreprise à accès ou non sur l’appareil personnel. Avoir des conditions générales d’utilisation à lire et accepter lors de la phase d’enrôlement du mobile, dans le cas d’un MDM ou d’un BYOD, n’est pas à négliger d’un point de vue juridique.

Déployer des règles de Conditional Access

Il est important de mettre en place des règles de Conditional Access afin de contrôler et protéger la data qui sera manipulée sur le poste de travail ou l’appareil mobile personnel.

Les règles de Conditional Access permettent de contrôler l’habilitation d’un utilisateur sur une application depuis le device. A titre d’exemple, un utilisateur pourra accéder à Teams seulement si l’appareil en question est enrôlé dans le tenant Intune et respecte un certain nombre de règles qu’on appelle des règles de compliance. Les règles de Conditional Access veillent à sécuriser techniquement l’accès à la data suivant les scénarios définis en amont.

Beaucoup d’entreprises ont capitalisé sur les règles de Conditional Access pour stopper l’utilisation de certaines applications d’entreprises sur les devices non enrôlés. A titre d’exemple, une entreprise peut décider de verrouiller l’utilisation des Mac qui concernait généralement une population moins nombreuse et moins critique. Suite à l’activation de la règle d’enrôlement, les entreprises constatent de nombreux enrôlements immédiats par les utilisateurs qui ne peuvent d’un coup plus accéder aux applications. Cet exemple souligne qu’il existe toujours une masse silencieuse au sein des entreprises qui utilise les applications entreprises officieusement.

De la même manière, il existe des logs Microsoft 365 qui permettent de savoir qui utilise la data sur des devices non managés. Cela permet d’estimer l’impact d’une règle de Conditional Access avant son déploiement.

BYOD & Workstations : l’arrivée de Windows 365

Le management des workstations dans un contexte BYOD est plus complexe à mettre en place car les appareils s’y prêtent moins. Cependant la philosophie tend à évoluer avec les nouveautés Microsoft.

Effectivement, la nouvelle solution Microsoft Windows 365 permet d’accéder à un environnement de travail virtuel simplement depuis internet sur des serveurs Azure. Il n’est donc plus question d’enrôlement. L’utilisateur peut accéder à son environnement avec une simple connexion Internet, la machine étant entièrement gérée, compliant et configurée.

Politique BYOD : l’importance de l’implication des métiers

Il est pertinent d’impliquer des pilotes métiers lors des tests d’un projet BYOD. Effectivement, engager les métiers dans une démarche BYOD permet de trouver le bon niveau de protection afin d’éviter de se heurter plus tard à des résistances.

A noter qu’il s’agit de devices personnels. Plus on met de règles lourdes, plus on impacte l’expérience utilisateur. Complexifier l’utilisation d’un device personnel peut être mal perçu. Effectivement, on observe l’abandon de projets à cause de règles trop restrictives.

Il y a une vraie réflexion à mener en amont autour de la politique de protection et le choix des règles de Conditional Access. De manière générale, il est conseillé d’y aller avec légèreté pour fluidifier l’expérience.

Le BYOD a l’avantage de réduire le nombre de devices gérés et donc de réduire le coût de renouvellement des flottes d’appareils. A contrario, il faut accepter une plus grande diversité dans le parc de l’entreprise, bien qu’il soit aussi possible de limiter l’autorisation des applications sur un certain type d’appareils ou sur des appareils respectant une certaine version.

Windows 365, le service de PC Cloud de Microsoft, représente une avancée majeure dans l’approche du travail à distance et de la virtualisation.

Conçu pour répondre aux besoins croissants de flexibilité, de mobilité et de sécurité, Windows 365 propose une approche novatrice en fournissant des ordinateurs virtuels hébergés dans le cloud, accessibles depuis n’importe quel appareil connecté à Internet.

Windows 365 offre une expérience informatique complète, transférant l’environnement de bureau traditionnel sur le cloud. Plutôt que de dépendre d’une machine physique, les utilisateurs accèdent à leur bureau virtuel à travers un navigateur web, permettant une flexibilité sans précédent.

L’essence de Windows 365 réside dans la délocalisation des ressources matérielles, laissant le traitement et le stockage des données être gérés par les serveurs dans le cloud de Microsoft. 

Les avantages de Windows 365 PC Cloud

Si Windows 365 est à ce point apprécié et ce qui explique le fort développement de Microsoft sur ce produit, c’est parce que cette solution change les règles du poste de travail comme on le connait : 

• Inutile d’avoir des postes de travail physiques performants premièrement. En effet, seule une connexion internet est nécessaire. Le renouvellement de la flotte s’espace dans le temps.
• Pensez à vos externes qui apportent souvent leurs propres postes de travail. Pour des prestations très courtes, délivrer un poste physique n’est plus utile. Donnez un compte possédant la licence Windows 365, il ou elle n’aura qu’à se rendre sur le portail web pour accéder à sa machine ou télécharger l’application Windows 365 sur son propre poste pour se connecter aux ressources de l’entreprise. 
• Une des forces de Windows 365 c’est aussi le management des postes virtuels. En effet, ces derniers sont gérés dans le MDM Intune. Les Cloud PCs sont managés dans Intune, tout comme leur provisioning d’ailleurs. 
• Qui dit dans Intune, dit que ces postes virtuels vont hériter des policies, applications, hardening, LAPS, Antivirus, etc. Vous avez alors un véritable poste virtuel d’entreprise à votre image, au même titre que vos postes physiques. 
• Enfin, l’expérience utilisateur est impressionnante. Microsoft a fait un travail titanesque pour faciliter l’adoption en implémentant des fonctionnalités comme le Switch (changer du poste physique au virtuel en un clic) ou Boot (démarrage automatique sur le Cloud PC). 

Quant au licensing de Windows 365 PC Cloud, tout dépendra du besoin. Plus vous souhaitez une machine virtuelle puissant, plus le coût de la licence sera cher.

Là aussi Microsoft fait fort en mettant en place un système basé sur le partage de licence avec le FrontLine. Utile notamment quand vos PC ne sont pas utilisés en même temps, cela vous permet d’étaler les coûts sur plusieurs utilisateurs. Un autre point pour les externes et les prestations courtes. 

En conclusion, Windows 365 est un produit qui a bénéficié de beaucoup de lumière par Microsoft et on comprend pourquoi en s’intéressant à ce que change la solution. 

Derrière ce produit, c’est à la fois une réponse au BYOD mais aussi de nouvelles portes ouvertes vers un monde moins dépendant des ressources physiques et de renouvellement de parc. Pour autant, la gestion de ces postes virtuels n’en est pas amoindrie avec l’intégration dans le MDM Intune. 

Pour aller plus loin

Article – MAM ou MDM : comment gérer les mobiles d’entreprise ?

Article – Device Management : déployer une politique BYOD

Dans cette quête cruciale de la sécurisation, l’utilisation de règles d’accès conditionnel pertinentes dans Entra, intégrées de manière étroite avec votre MDM Intune, s’avère être une clé maîtresse.

À travers mes expériences et de riches échanges en matière de sécurité, j’ai identifié un top 8 des règles d’accès conditionnel qui, à mes yeux, forment une couche sérieuse de protection. Découvrons ensemble comment ces règles, alliées à la puissance d’Intune, peuvent renforcer la sécurité IT de manière remarquable.

Authentification à deux facteurs (2FA) obligatoire

L’authentification à deux facteurs demeure la première ligne de défense incontournable. Cette règle impose la validation par deux moyens distincts, créant ainsi une barrière robuste contre les accès non autorisés.

Restriction géographique

La restriction géographique limite l’accès en fonction de la localisation de l’utilisateur. En définissant des règles basées sur les plages d’adresses IP, elle renforce la sécurité en restreignant l’accès depuis des zones non autorisées. La cartographie peut être assez complexe à définir mais ça en vaut la chandelle.

Contrôle basé sur la conformité

Les critères de conformité sont définis dans votre MDM Intune. Ce sont des règles de compliance. Selon le résultat de cette compliance, l’utilisateur peut accéder aux ressources ou non. Très pratique, attention toutefois, vous êtes en train de dire que l’appareil sera nécessairement enrôlé dans votre MDM Intune.

Intégration avec Microsoft Defender

L’intégration avec Microsoft Defender constitue un bouclier avancé contre les menaces. En exploitant les fonctionnalités avancées et ce Secure Score depuis la compliance Intune, elle renforce la capacité à identifier et à neutraliser les menaces potentielles en temps réel.

Attention toutefois aux actions d’admins que vous pouvez réaliser sur le poste, Defender peut avoir tendance à monter votre score si vous accédez à des fichiers sensibles ou exécutez des commandes à privilège. 

Acceptation des Conditions d’Utilisation (Terms of Use)

Intégrer la règle d’acceptation des Conditions d’Utilisation (TOU) est une pratique moderne et qui responsabilise. Avant d’accorder l’accès, les utilisateurs doivent explicitement accepter les conditions et les politiques de sécurité, renforçant la conformité et la transparence dans l’utilisation des ressources IT.

Restreindre l’accès aux OS identifiés

Vous n’avez pas d’appareils macOS en entreprise, pourquoi permettre l’accès à vos ressources depuis un mac ? Vous voulez implémenter une règle forçant les appareils mobiles à être conforme ? Ou tout simplement interdire aux mobiles l’accès à des ressources sensibles ? Pensez donc à restreindre l’accès sur les types d’OS que vous avez authentifié.

Bloquer l’Authentification de Base/Legacy

Le blocage de l’authentification de base ou legacy est une mesure cruciale. En éliminant les méthodes d’authentification obsolètes, cette règle renforce la sécurité en réduisant les vulnérabilités potentielles.

Exiger une Politique de Protection des Applications (App Protection Policy)

L’exigence d’une politique de protection des applications implémentée dans Intune ajoute une dimension de sécurité spécifique aux applications. Cette règle garantit que les applications respectent des normes strictes de sécurité, renforçant ainsi la protection des données.

Conclusion sur les règles d’accès conditionnel sous Intune

Ces règles constituent un arsenal solide, mais la véritable force de la sécurité IT réside dans son adaptabilité. Pensez à vous faire un compte qui s’affranchit de ces règles-là. Vous ne voulez pas vous coincer en sciant la branche sur laquelle vous êtes assis. Définissez et créez un compte break-glass en cas de pépin. 

La sécurité est une collaboration constante. Partagez vos réflexions et contribuez à faire évoluer cette liste ! Quelles sont vos règles favorites ?

Le MDM, ou le Mobile Device Management (Gestion des Appareils Mobiles), est une solution utilisée par les entreprises pour administrer, surveiller, et sécuriser les appareils mobiles de leurs employés.

Le MDM est particulièrement pertinent dans les contextes où les employés utilisent des appareils personnels pour accéder aux ressources de l’entreprise (BYOD) ou lorsqu’une entreprise déploie des appareils d’entreprise à son personnel.

Un MDM permet de gérer le cycle de vie complet des appareils mobiles au sein de l’entreprise, de l’enrôlement initial à la révocation des accès, en passant par le maintien en continu.

Une solution de MDM permet de :

• Configurer et déployer à distance des paramètres d’appareils nécessaires à l’environnement informatique de l’entreprise.
• Appliquer des normes et politiques de sécurité aux appareils comme les mots de passe, le cryptage des données, et les pare-feu.
• Installer, mettre à jour et supprimer à distance des applications.
• Gérer et contrôler les droits d’accès aux ressources de l’entreprise et restreindre l’utilisation de certaines applications ou fonctionnalités sur les appareils.
• Capacité à effacer les données de l’appareil à distance en cas de perte ou de vol, pour éviter les fuites d’informations sensibles.
• Collecter des données liées à l’utilisation de l’appareil et générer des rapports pour aider à surveiller la conformité et l’utilisation des appareils.

Une solution MDM est essentielle pour les entreprises qui souhaitent sécuriser et fluidifier le déploiement et l’utilisation des appareils mobiles.

Gestion des applications mobiles avec le MAM (Mobile Application Management)

Le MAM, ou Mobile Application Management (Gestion des Applications Mobiles), est une solution qui permet d’optimiser la gestion et la sécurisation des applications mobiles au sein d’une entreprise.

Contrairement au MDM (Mobile Device Management), qui gère l’ensemble de l’appareil, le MAM se focalise sur les applications elles-mêmes, permettant ainsi une gestion plus flexible et ciblée.

Le MAM permet donc de déployer des applications d’entreprise sur des appareils personnels ou d’entreprise, assurant une intégration transparente dans l’environnement de travail de l’utilisateur. La gestion des versions et des mises à jour grâce au MAM garantit l’intégrité et la sécurité des applications d’entreprise en veillant à ce que toutes disposent des dernières fonctionnalités et correctifs.

Grâce au MAM, il est possible également de paramétrer des règles d’accès conditionnels, souvent en fonction du rôle de l’utilisateur et des politiques de l’entreprise. On peut y appliquer des standards de sécurité spécifiques mais aussi distinguer les données professionnelles des données personnelles. Enfin, il est possible de supprimer à distance les données d’entreprise sur une application sans affecter les données personnelles de l’utilisateur.

Le MAM offre une gestion souple et ciblée des applications mobiles, facilitant l’adoption de stratégies mobiles sécurisées et conformes aux politiques d’entreprise, sans empiéter sur la vie privée des utilisateurs ou nécessiter la gestion complète de leurs appareils personnels.

MAM vs MDM : quelles différences ?

Le MDM est idéal pour gérer l’ensemble de l’appareil mobile : installation et mise à jour d’applications, configuration des paramètres de l’appareil, application des standards de sécurité, verrouillage à distance des appareils… Il s’agit d’une solution qui convient particulièrement aux entreprises qui disposent d’une flotte d’appareils à distribuer aux salariés et qui ont des besoins de contrôles rigoureux.

Le MAM, pour sa part, se concentre sur la gestion des applications elles-mêmes. Il est plus flexible que le MDM car il permet aux employés d’utiliser leurs propres appareils tout en donnant à l’entreprise la capacité de gérer uniquement les applications d’entreprise. Cette approche est moins intrusive et peut être privilégiée dans des environnements où la confidentialité des données personnelles des employés est une préoccupation majeure.

Intune est une partie de la suite de produits Microsoft Endpoint Manager qui permet la gestion à la fois des applications (MAM) et des appareils (MDM). Dans certains cas, une stratégie combinant MDM et MAM peut être la meilleure solution, permettant une gestion complète des appareils et des applications. Cela permet de tirer parti des avantages de chaque méthode pour obtenir un contrôle et une flexibilité optimaux.

Pour aller plus loin : MAM vs BYOD : quelles différences ?

C’est là l’enjeu d’une convention de nommage unique : réussir au premier coup d’œil à reconnaitre le créateur, le type et le but de l’objet Intune. 

La dimension internationale influence le nommage des objets Intune 

C’est un fait que l’on observe de plus en plus, les équipes parlent et documentent essentiellement en anglais. Les consoles d’administration sont rapidement passées en anglais pour éviter des traductions pas évidentes et des interprétations personnelles. 

Dans cette logique d’unifier les appellations, il en va de même pour les objets créés dans Intune. Leurs noms doivent être compréhensibles en anglais. 

Écrire les détails d’une configuration ou d’une compliance en toute lettre peut s’avérer fastidieux. C’est alors qu’on observe des trigrammes universels pour les objets Intune tels que : 

• CFG : Profile de configuration 
• CMP : Compliance 
• RING : Updates Ring 
• ESC : Endpoint Security Configuration 
• AND : Android 
• iOS : iOS 
• WIN : Windows 
• CORP : Corporate 
• PERSO : Personal 

Intégrer le scope de la solution dans la convention de nommage Intune

Au sein des groupes internationaux, les admins des pays créent des objets Intune. L’admin en question peut facilement s’y retrouver puisqu’il ou elle ne verra que les objets de son entité/pays/BU. En revanche, quelqu’un qui possède plusieurs scopes ou une personne possédant le rôle Entra Intune Administrator, s’y retrouvera difficilement. 

Exemple de scope dans Intune (source Microsoft) : 

Les admins avec le rôle Intune Administrator ou un scope multiple sont souvent amenés apporter un support aux admins pays. Pour cela, ils doivent comprendre en un coup d’œil les détails d’une configuration sans avoir à cliquer sur chacune d’entre elle. 

Dans cet objectif, il est utile de renseigner le scope dans le nom même de l’objet Intune. 

Quelques exemples de nommage d’objets Intune 

On constate des objets Intune dont le nom est explicite comme : 

• CFG-FR-PERSO-AND-WORKPROFILE : un profil de configuration qui cible la France et configure les appareils personnels Android pour set le workprofile. 
• CMP-BR-CORP-WIN-PASSWORDCOMPLEXITY : une politique de conformité (compliance) qui cible le Brésil, et configurer la complexité du mot de passe sur les appareils Windows Corporate. 
• RING-NL-CORP-WIN-ALPHA ou RING-NL-CORP-WIN-SHORT : qui applique une stratégie de mise à jour sur les appareils windows corporate avec un délai court de mise à jour. 
• Trigramme GLB (Global) : pour les objets qui ciblent tous les pays. 
• ESC-GLB-CORP-WIN-BITLOCKER : voici une configuration se trouvant dans le menu Endpoint Security qui cible tous les pays, et paramètre le chiffrement bitlocker sur les postes Windows. 

La convention de nommage Intune en fonction des appareils 

Une convention de nommage des appareils peut paraitre tentante parce que c’est souvent un historique de l’on-prem avec un fonctionnement hiérarchique dans l’AD. 

Les questions liées à la nécessité d’une convention de nommage des appareils sont : pourquoi utiliser une convention de nommage pour mes machines ? Est-ce vraiment nécessaire dès lors que je suis dans Entra ? 

Une convention de nommage des appareils n’est plus utile de par l’aspect à plat d’Entra ainsi que le provisionning Autopilot pour les postes qui garantissent la provenance de l’appareil. Les postes sont provisionnés avec un Grouptag. 

Si toutefois il y a des automatisations liées au nom de l’appareil, on peut imaginer une convention de nommage pour les cas d’usage. Par exemple : plutôt qu’un simple WIN-%SERIAL%, il y aura un KIOSK-%RAND5% pour un appareil kiosk. 

A noter qu’il est important de cibler les automatisations sur des objets Intune comme les groupes dynamiques ou des propriétés des appareils/users.  

Si toutefois le renommage des appareils s’impose, un profil de configuration est implémenté sur Intune pour renommer les appareils en masse avec cette CSP : ./Device/Vendor/MSFT/Accounts/Domain/ComputerName  

Conclusion 

Une convention de nommage bien conçue dans Microsoft Intune est la pierre angulaire d’une gestion efficace des appareils. Elle organise non seulement les processus, mais améliore considérablement l’efficacité opérationnelle, favorisant une communication claire et un contrôle précis. Il doit toutefois s’adapter à l’organisation à plat d’Entra et d’Intune, rendant la convention de nommage des appareils moins pertinente. 

Adopter une convention de nommage réfléchie ne se limite pas aux bonnes pratiques ; il s’agit d’optimiser les flux de travail et de transformer votre environnement Intune en un modèle d’efficacité et d’ordre.

Pour aller plus loin

Article – Gestion de la sécurité dans Intune / Microsoft EndPoint Manager

Article – Device Management : déployer une politique BYOD

La gestion du poste de travail est en constante évolution au sein des entreprises, et les nouvelles technologies jouent un rôle crucial dans cette transformation. Deux outils contribuent à réinventer la gestion des appareils informatiques : Windows Autopilot et Microsoft Intune. Explorons ensemble les fonctionnalités, les bénéfices et les défis de ces outils.

Windows Autopilot, disponible depuis Windows 10, version 1703, permet aux administrateurs d’enregistrer des appareils dans un service cloud pour personnaliser et automatiser l’expérience utilisateur.

Microsoft Intune joue un rôle complémentaire en offrant une gestion centralisée des appareils. Ensemble, ces outils visent à faciliter la livraison et la gestion des appareils informatiques, tant pour les équipes IT que pour les utilisateurs finaux.

Processus de configuration et de déploiement

Le processus commence par l’enregistrement de l’appareil dans le service cloud via un script PowerShell. Cette étape, réalisée par l’équipe informatique, permet d’attribuer une étiquette spécifique (par exemple, par pays) à chaque appareil. Une fois l’appareil enregistré, il est automatiquement ajouté à un groupe dynamique dans Azure AD, basé sur cette étiquette.

Pour l’utilisateur final, l’expérience commence par l’authentification sur un appareil neuf ou réinitialisé. L’appareil télécharge et applique automatiquement les configurations et les applications définies par l’IT via Intune. Cette étape, appelée « Enrôlement Status Page » (ESP), peut durer d’une à deux heures, en fonction des applications et configurations à installer.

Personnalisation et sécurité

Les administrateurs ont la possibilité de personnaliser l’expérience utilisateur (par exemple, en affichant le logo de l’entreprise) et de définir des politiques de sécurité, comme l’installation d’un antivirus avant que l’utilisateur ne puisse accéder au bureau.

Le portail d’entreprise Intune permet également de distribuer des applications de manière centralisée, soit en les installant automatiquement, soit en les rendant disponibles pour téléchargement.

Vision à long terme et flexibilité

La vision à long terme de l’utilisation d’Autopilot et Intune est d’automatiser au maximum le déploiement des appareils, avec une possible implication des fabricants dans le processus de provisionnement. L’idée que les fabricants pourraient, à terme, jouer un rôle plus direct dans le provisionnement des appareils représente une évolution significative dans la gestion des appareils en entreprise.

Les entreprises peuvent choisir de personnaliser leur approche en fonction de leurs besoins spécifiques, que ce soit par pays, par département ou par fonction.

Conclusion et perspectives

Les technologies comme Windows Autopilot et Microsoft Intune sont des piliers dans la transformation numérique des entreprises. Leur capacité à simplifier et à sécuriser la gestion des appareils informatiques tout en offrant une expérience utilisateur personnalisée et engageante représente un changement significatif dans le paysage informatique des entreprises.

La réussite dans l’implémentation de ces outils nécessite une compréhension claire de leurs fonctionnalités, une planification stratégique et une collaboration efficace entre les différentes parties prenantes.

Pour aller plus loin

Article – Autopilot V2 : Windows Autopilot Device Preparation, qu’est-ce que c’est ? 

Article – MDM : pourquoi choisir Microsoft Intune ?

Article – SCCM vs Intune : quel avenir pour la gestion unifiée des appareils ?

L’hybridation des infrastructures IT représente aujourd’hui un enjeu majeur pour les entreprises. Ce processus complexe, qui consiste à combiner la puissance des infrastructures on-premise (sur site) avec la flexibilité des services cloud, soulève de nombreuses questions tant sur le plan technique qu’organisationnel.

L’hybridation a d’abord émergé comme une nécessité pour accueillir les nouveaux besoins. Cette transition vers une infrastructure hybride a été principalement motivée par le besoin de flexibilité, de disponibilité et de réactivité face à un environnement business en constante évolution.

En matière de poste de travail, un des premiers pas vers l’hybridation a provoqué par la migration des services de messagerie vers des solutions comme Exchange Online, accompagnée de l’introduction de services tels que Azure AD. Ces changements ont nécessité une communication fluide entre les systèmes existants on-premise et les nouvelles infrastructures cloud. Cette étape, bien que complexe, a été globalement bien gérée. La question se concentre aujourd’hui sur la pérennité de la solution hybride.

En ce qui concerne la gestion des applications et des appareils d’entreprise, une migration complète vers le cloud semble compliqué en raison des dépendances existantes. Par exemple, le fait de migrer l’outil on-premise SCCM vers de nouvelles solutions comme Microsoft Intune posent de nouvelles questions pour les entreprises. Doit-on aller directement vers du full cloud ? Comment mettre en place cette hybridation ? À quel niveau ? Et surtout, pour combien de temps ?

Lire aussi : Qu’est-ce que l’Unified EndPoint Management (UEM) ?

La transition des infrastructures IT hybrides vers le full cloud : un objectif à atteindre

De plus, l’hybridation nécessite souvent une phase de transition, pendant laquelle les entreprises doivent gérer à la fois les anciennes et les nouvelles technologies. Cette période de transition peut être prolongée, surtout si les entreprises se trouvent confortables dans cet état intermédiaire.

Cette transition nécessite une évaluation rigoureuse des infrastructures existantes, des compétences disponibles, et de la compatibilité des applications. L’idée est de ne pas voir l’hybridation comme une fin en soi, mais plutôt comme une étape vers une solution plus agile et moins coûteuse à long terme.

L’importance de l’audit et de la planification des étapes de déploiement

Avant de s’engager dans un projet de migration cloud, il est essentiel de réaliser un audit approfondi pour comprendre les besoins spécifiques de l’entreprise et déterminer la meilleure stratégie à adopter. Cet audit doit impliquer non seulement la direction des systèmes d’information (DSI) et la sécurité des systèmes d’information (RSSI) mais aussi d’autres départements clés de l’entreprise.

La sécurité est un aspect incontournable dans ce processus, car le passage au cloud implique des changements significatifs en termes de gestion de la sécurité des données et des infrastructures.

La formation et la conduite du changement dans la transition vers le cloud

Avec l’avènement des technologies cloud, une évolution des philosophies IT est nécessaire. Les méthodes et outils traditionnels, conçus pour des environnements on-premise, doivent être adaptés ou remplacés pour fonctionner efficacement dans un contexte hybride.

La transition vers une infrastructure hybride implique donc une conduite du changement au sein des équipes IT. Il est crucial de former et de rassurer les salariés sur les nouvelles technologies et les nouveaux processus. Des ateliers réguliers et une communication transparente sont essentiels pour faciliter cette transition. Les entreprises doivent investir dans la pédagogie et la formation continue pour accompagner leurs équipes vers de nouvelles compétences et pratiques, notamment en ce qui concerne des outils tels que Intune.

La définition de scénarios de migration et de cas d’usage

L’approche hybride doit être adaptée en fonction des besoins spécifiques de chaque entreprise. Par exemple, une entreprise opérant dans le secteur de l’énergie avec des plateformes pétrolières aura des besoins différents d’une entreprise du secteur des services.

Il est donc essentiel de développer des scénarios personnalisés, en tenant compte des particularités de chaque secteur et de chaque entreprise.

Sur le plan financier, l’hybridation peut s’avérer coûteuse. La gestion simultanée d’infrastructures on-premise et cloud entraîne des coûts opérationnels supplémentaires. Il est donc important de réaliser une analyse coût/bénéfice détaillée avant de s’engager dans cette voie.

Conclusion : vers une stratégie personnalisée et évolutive

Bien que l’hybridation soit une étape nécessaire pour de nombreuses entreprises, l’objectif final reste souvent une transition complète vers le cloud. Cependant, cette transition doit être planifiée et exécutée de manière à minimiser les perturbations et à maximiser les bénéfices.

En conclusion, l’hybridation IT est une étape clé dans l’évolution des infrastructures informatiques des entreprises. Bien qu’elle présente des défis, elle offre également des opportunités de flexibilité, d’innovation et d’amélioration de l’efficacité. Une planification soignée, une conduite du changement adaptée et une évolution constante des approches IT sont essentielles pour tirer le meilleur parti de cette transition.

Pour aller plus loin

Article – Lift and Shift, Replatform ou Cloud Native : quelle stratégie de migration cloud ?

Article – Cloud Assessment : structurez votre migration cloud

Au sein de Microsoft Intune et d’Entra ID (Azure AD), la gestion des rôles et des permissions s’implémente à plusieurs échelles.

Quels sont les rôles natifs dans Entra ID ?

Il faut tout d’abord visualiser Intune comme étant une brique d’Entra ID. Plusieurs années auparavant, Intune était même un menu d’Entra ID avant d’avoir son portail dédié. Il existe plusieurs rôles Entra ID qui donnent des permissions dans Intune. Il s’agit de rôles pré-créés sur lesquels il est bon de s’appuyer lors de la mise en œuvre d’un RBAC (Role-Based Access Control). 

Un rôle Entra ID se définit par un ensemble de permissions qui est assigné ensuite sur un groupe contenant des administrateurs. Il existe des rôles donnant des permissions de lecture et d’écriture sur des menus d’Entra ID, d’autres de lecture exclusif sur le portail Defender, d’autres sur Intune, d’autres de lecture sur des logs, etc. Il faut noter que ces rôles sont pilotés au sein d’Entra ID, nerf de l’écosystème Azure.

Les admins s’appuient sur des rôles natifs comme par exemple :  

• Cloud Device Administrator pour les droits sur les appareils,  
• Global Reader pour les droits de lecture sur l’écosystème Azure,  
• Security Administrator pour les droits de lecture et d’écriture sur les fonctionnalités de sécurité, 
• Intune Administrator. 

Le rôle Intune Administrator consiste à donner les pleins pouvoirs à celui ou celle qui le détient sur tout ce qui se trouve dans la console Intune, mais pas que. Cette personne possède également des droits dans Entra ID, notamment sur les groupes et les appareils en lecture mais aussi en écriture. Un droit donc à distribuer avec parcimonie d’autant que, par défaut, il n’est pas “scopable”.

Intune : quelle est l’étendue (scope) d’un rôle Entra ID ?

Un rôle Entra ID non “scopable” signifie que son périmètre s’étend à l’ensemble de l’annuaire. En effet, il faut envisager l’annuaire Azure AD comme étant à plat et non à travers un schéma hiérarchique. 

Dans les grandes organisations, il est difficile d’imaginer la totalité des admins pouvant effectuer des actions de masse sur plusieurs pays ou BU différents. C’est l’une des raisons pour laquelle les Administrative Units (AU) ont vu le jour. Il s’agit d’une fonctionnalité développée par Microsoft dans Entra ID pour limiter un périmètre (groupe d’appareils ou d’utilisateurs) aux admins possédant un rôle Entra ID. 

Administrative Unit : une fonctionnalité appréciée dans la gestion des rôles Intune

En tant qu’expert Intune, la lecture des clés Bitlocker stockées sur Azure AD est un cas d’usage fréquemment rencontré. Pour éviter que TOUTES les clés soient lues par TOUS les admins ayant le rôle dédié, on “scope” le rôle seulement sur les admins FR afin qu’ils puissent faire les actions du rôle (lecture des clés) seulement sur les machines FR.

Lorsqu’il s’agit d’un autre pays, on crée une autre Administrative Unit BE pour la Belgique, par exemple. Puis, on y lie les postes de travail BE pour que seuls les admins BE puissent lire les clés de chiffrement de ces appareils BE, et ainsi de suite.

A noter que les AU ne sont pas des OU. Dans Intune, une Organizational Unit (OU) se définit comme un conteneur dans l’Active Directory on-premise dans lequel on place des stratégies, des groupes, des imbrications, etc. Il faut voir une AU comme une étiquette que l’on place sur les appareils et sur lesquels on lie des permissions précises pour des admins précis.

La gestion des rôles Intune

En marge des rôles Entra ID, il existe aussi des rôles qui sont propres à Intune. Leur gestion ne peut d’ailleurs se faire que dans la console Intune.

Un rôle Intune permet de donner des droits aux administrateurs pour œuvrer seulement dans la console Intune que ce soit sur les appareils mobiles ou les postes. Ainsi, un admin peut très bien avoir les droits pour gérer les applications mobiles et postes de travail sans avoir les droits pour gérer les configurations des appareils.

À noter qu’il n’est pas utile de combiner un rôle Intune au rôle Entra ID « Intune Administrator » puisque ce dernier comprendra implicitement les permissions du rôle Intune.

Les permissions et les scopes dans Microsoft Intune

Un rôle Intune se décompose ainsi :

• Les permissions (role definition) représentent l’ensemble des actions possibles dans Intune comme la lecture sur les applications, l’écriture sur les configurations, la lecture sur les logs de déploiement des compliances, etc
• L’assignement représente les groupes et les scopes sur lesquels le rôle est assigné.

Prenons l’exemple d’un rôle donnant des accès d’écriture sur les types d’objets Intune que sont les applications, les appareils, les configurations, etc. Il s’agit de permissions. Ce rôle doit alors être assigné sur plusieurs groupes pays mais les admins ne doivent pouvoir lire uniquement les objets Intune de leurs pays. Alors, on peut créer au sein du même rôle écriture un assignement par pays (FR, BE, NL, BR, etc) afin que chaque scope soit étanche avec son voisin, sur cette même base de permissions d’écriture.

Les “Role Assignment” dans Microsoft Intune

Un assignement dans Intune est composé de :

• Les admins ciblés (membres).
• Les scopes groups qui représentent les groupes avec lesquels les admins peuvent interagir. Ils ne peuvent assigner ou modifier les configurations/apps uniquement si elles sont assignées sur ces scopes groups.
• Les scopes tags sont des étiquettes placées sur les objets Intune. Ces étiquettes sont assignées automatiquement à la création de l’objet. Un admin ne peut voir que les objets ayant l’étiquette qui lui est attribuée dans son assignement. À noter que les scope tags sont aussi appliqués sur les appareils par script ou à travers des groupes dynamiques.

C’est donc avec cette combinaison de permissions et de scopes que les admins peuvent interagir sur les mêmes outils Cloud.

Pour aller plus loin

Il est important de découper avec attention les périmètres et les équipes correspondantes au préalable. Cette tâche amont permet au mieux de retranscrire le modèle de l’entreprise dans les différents outils et de suivre son évolution.

D’autre part, les accès aux outils Cloud tels qu’Intune se couple à de l’accès conditionnel dans Entra ID. Ainsi, on peut limiter les accès au portail Intune aux machines enrôlées dans le MDM (Mobile Device Management) et respectant les normes de sécurité définies comme l’antivirus, l’EDR, le chiffrement, la complexité mot de passe, le Secure Boot, la double authentification, etc.

Enfin, il est possible de s’appuyer sur des rôles temporaires le temps d’une ou plusieurs actions (Priviliged Identity Management Role). Les permissions prennent fin dès que l’action se termine.

En 2022, 83% des entreprises mondiales ont adopté une stratégie BYOD (Bring Your Own Device) pour certains de leurs employés. Cependant, 17% des travailleurs utilisent leurs smartphones personnels à des fins professionnelles sans en informer leur département IT. Seulement 32% des sociétés appliquent des directives strictes en matière de sécurité sur ces appareils (source : zippia.com).

Il y a donc une tendance. Une tendance à cadrer avec les outils d’aujourd’hui. Intéressons-nous aux possibilités de gestion des appareils personnels avec Microsoft Intune.

MAM, BYOD, MDM et leur gestion dans Microsoft Intune

BYOD (Bring Your Own Device), MAM (Mobile Application Management) et MDM (Mobile Device Management) sont des concepts liés à la gestion des appareils et des applications mobiles en entreprise.

BYOD (Bring Your Own Device) : gestion des appareils personnels en entreprise

Le BYOD est une politique ou une approche permettant aux employés d’apporter et d’utiliser leurs propres appareils mobiles (smartphones, tablettes, etc.) pour le travail, plutôt que de s’appuyer sur des appareils fournis par l’employeur. Avec le BYOD, l’entreprise doit gérer la partie professionnelle d’un appareil qui appartient à l’employé. Avec des solutions comme Microsoft Intune, un espace professionnel est créé sur le dispositif, y intégrant des politiques de sécurité, des configurations de conformité, etc.

L’approche BYOD présente des avantages de flexibilité et de coût, mais soulève également des défis en matière de sécurité et de gestion, car les appareils peuvent accéder à des informations sensibles de l’entreprise tout en étant également utilisés à des fins personnelles.

MAM (Mobile Application Management) : gestion des applications mobiles

Contrairement au BYOD, le MAM cible spécifiquement la gestion des applications d’entreprise sur un appareil. Il s’agit d’un outil qui permet aux entreprises de sécuriser, déployer, et gérer les applications mobiles utilisées par les employés, qu’elles soient hébergées sur des appareils personnels ou professionnels. Avec Microsoft Intune, la gestion des applications se fait sans nécessité d’enrôlement complet de l’appareil. L’objectif est de sécuriser l’accès aux applications sans contrôler l’ensemble du matériel.

MDM (Mobile Device Management) : solution de gestion des appareils mobiles

MDM est l’outil qui permet à l’entreprise de gérer, surveiller et sécuriser les appareils mobiles des employés, qu’ils soient personnels (dans le cadre d’une politique BYOD) ou de propriété de l’entreprise.

Avec un MDM, l’entreprise peut imposer des politiques de sécurité, installer ou supprimer des applications, et même réinitialiser ou effacer un appareil à distance en cas de perte ou de vol.

Le choix entre une politique de gestion des appareils personnels (BYOD) ou de gestion des applications d’entreprise (MAM) dépend des enjeux de l’entreprise.

Gérer les appareils personnels (BYOD) ou gérer les applications d’entreprise (MAM) : que choisir ?

Les avantages du MAM pour la gestion et le monitoring des appareils mobiles :

• Gestion ciblée des applications mobiles : Avec Microsoft Intune, vous pouvez appliquer des politiques strictement sur des applications spécifiques. Cela sans nécessité d’enrôler l’appareil entier, assurant ainsi une gestion et une sécurisation granulaire des applications d’entreprise. L’expérience au sein de l’application est elle aussi personnalisable avec comme exemple : pas de capture d’écran, pas de copier/coller, permettre de sauvegarder en locale les fichiers et autres encore.

• Isolation des données d’entreprise : MAM avec Microsoft Intune permet une séparation nette entre les données d’entreprise et les données personnelles sur l’appareil. Cela garantit que les actions comme l’effacement à distance n’affectent que les données d’entreprise, préservant les informations personnelles de l’utilisateur.

• Intégration avec Azure AD (Entra) : Les capacités de MAM d’Intune sont renforcées par l’intégration avec Entra ID offrant des capacités d’authentification et d’accès conditionnel sur les applications.

Les avantages du BYOD pour la gestion et le monitoring des appareils mobiles :

Chaque organisation a ses propres enjeux. Après avoir implémenté ces deux méthodes, le MAM avec Intune se distingue comme étant particulièrement adapté aux entreprises modernes soucieuses de la sécurité et de la confidentialité de leurs collaborateurs.

En se concentrant sur la gestion des applications plutôt que sur l’ensemble de l’appareil, le MAM permet une séparation claire entre les données professionnelles et personnelles, offrant ainsi une sécurité renforcée tout en respectant la confidentialité de l’utilisateur. Dans un monde où la flexibilité et la sécurité sont primordiales, le MAM apparaît comme le choix le plus judicieux pour les organisations modernes.

À quoi sert Intune ? 

Intune est un outil de MDM (Mobile Device Management). À ce titre, il permet : 

• D’avoir une visibilité sur les appareils mobiles et postes de travail  
• De déployer des applications, appliquer des configurations, gérer les mises à jour d’OS 
• D’appliquer un statut de non-compliance sur les appareils ne respectant pas des règles établies 

En complément, Intune permet la gestion d’applications mobiles (Mobile Application Management, ou MAM) et ainsi sécuriser les données de l’entreprise.

Intune et Azure AD 

Intune s’appuie sur l’Azure Active Directory (AAD). Plus qu’un simple annuaire dans le cloud, il centralise la gestion des identités, des applications SaaS ou encore l’accès aux ressources internes/externes, potentiellement sécurisées par des politiques d’accès conditionnel. 

L’appareil, quant à lui, est joint dans un premier temps dans l’AAD (Azure AD Join ou Hybrid Azure AD Join). L’automatic enrollment se charge de l’enrôler dans Intune. 

Tous les appareils présents dans l’AAD ne sont pas nécessairement gérés par Intune. Ils doivent correspondre aux critères établis par le client (appartenance aux groupes, licences, version d’OS, …) ou même avoir été préinscrits par un constructeur partenaire (fonctionnement d’Autopilot). 

Le cloud pour quels avantages ?

Cette relation très étroite entre Intune et Azure AD offre de nombreuses possibilités.

Dans un monde de plus en plus en télétravail, administrer ses appareils depuis une plateforme web est un enjeu fort. Le MPLS et le VPN seront de moins en moins nécessaires à long terme #enfinlibres. Une connexion internet solide suffira aux appareils pour être gérés et utilisés convenablement.

On notera également que les postes en Workgroup (encore extrêmement nombreux) sont ceux qui bénéficieront le plus de ce lien entre Intune et AAD. Pour la plupart gérés localement par l’IT local à l’aide de clés USB ou de PPKG, ils sont souvent utilisés en tant qu’administrateurs locaux. Ces appareils seront maintenant remontés et administrés comme tout autre poste de travail. De quoi contrer le shadow IT, une lutte chère dans le cœur et le portefeuille de beaucoup de clients.

Enfin, ceux qui le désireront pourront également protéger la donnée (Mobile Application Management, ou MAM). Notamment pertinent dans des cas de BYOD mobile, en utilisant « l’App protection policy » l’IT a la possibilité de gérer les données et les applications déployées par l’entreprise.

Et ce, sans se préoccuper de l’appartenance de l’appareil qui ne sera qu’« inscrit » dans l’Azure AD (AAD Register vs. AAD Join). Un sujet à adresser main dans la main entre les équipes légales et techniques.

La cohérence d’Intune

Si Intune permet d’assurer la gestion des appareils, il existe également d’autres solutions MDM sur le marché.

Là où globalement les solutions partagent les mêmes objectifs premiers, Intune permet une cohérence avec l’écosystème Microsoft des clients.

Les postes de travail, puisque c’est autour d’eux que s’anime le débat, sont majoritairement sous Windows 10. Les gérer à travers Intune, c’est pouvoir onboarder les appareils sans avoir à déployer un agent dédié puisque l’agent Intune est de suite intégré à Windows 10.

Notons aussi la possibilité de mettre en place un co-management entre SCCM et Intune. Une stratégie séduisante sur le papier à la vue de l’importance de SCCM chez bon nombre de clients.

C’est également la certitude de pouvoir profiter pleinement du management moderne non seulement du poste, mais aussi du contexte des utilisateurs finaux.

Prenons l’exemple des postes partagés, un cas d’usage omniprésent chez certains clients. Ce scénario est chose impossible à l’heure actuelle avec certains MDM. Même si l’on tend vers une gestion universelle de Windows 10 avec l’OMA-URI, le chemin reste encore long. Intune, quant à lui, tire pleinement parti des possibilités et des cas d’usages qu’il s’agisse de PC partagés, de BYOD, de PC Corporate ou même de Kiosque (ex : borne, point de vente).

Autre point à prendre en compte, ce sont les infrastructures existantes. L’Active Directory pour commencer. C’est ici que sont les objets ordinateurs et utilisateurs. Grâce à l’Azure AD Connect, il est possible de basculer ses objets provenant de l’AD vers l’AAD et permettant ainsi une transition toute trouvée vers le Cloud tout en étant relié au domaine ADDS.

Le statut d’appareil « Hybrid Azure AD join » (HAAD) soulève des questions. Où gère-t-on l’identité ? Quid de la délégation sur cette organisation AAD à plat sans hiérarchie ni OU ?

Comment retranscrire les GPO si les appareils ne sont que dans l’AAD ? Et qu’en est-il du sens inverse AAD vers AD ? Et le MFA dans tout ça ?

Des questions qui ne sont pas tant techniques mais bien stratégiques auxquelles chaque client répondra selon son contexte et ses ambitions.

Licences, à quel prix ?

Le licensing peut s’apparenter à un vrai sac de nœuds.

En s’y intéressant de plus près, on s’aperçoit qu’en ayant mis un pied dans les solutions Microsoft comme O365 ou Windows 10 E3, on a déjà peut-être sans le savoir tout ou une partie des moyens pour aller pleinement vers cette transition Intune.

Oui, les licences ont un coût.

Un coût cependant à mettre en parallèle aux coûts et inconvénients des solutions plus legacy : maintien des infrastructures, MPLS, Software Assurance, Shadow IT, VPN, délais de déploiement et d’évolution, Suite Office, etc.

Intune, une logique modernité

Les utilisateurs finaux sont habitués aux terminaux. Que ce soit chez nous ou au travail, nous utilisons ces appareils en permanence.

Les utilisateurs évoluent et leurs besoins avec eux. Il est cohérent que la solution permettant de répondre à leurs demandes évolue elle aussi. Avec une force de développement incomparable, Microsoft s’inscrit avec Intune dans cette logique, car il est au cœur des enjeux modernes derrière ces attentes.

Viendront prochainement plusieurs articles, allant plus en profondeur techniquement, sur le management des postes de travail à travers Intune sous différents aspects.

“Une tradition, ce n’est jamais qu’un progrès qui a réussi.”  –  Druon

Pour aller plus loin

Article – MDM Intune : top 8 des règles d’accès conditionnel

Article – SCCM vs Intune : quel avenir pour la gestion unifiée des appareils ?

En ce début d’année 2022, HP a lancé silencieusement la version Cloud de HP Sure Admin en la rebaptisant HP Connect. Cette solution vous permet de mettre en place du MFA pour l’accès au BIOS (Basic Input Output System) de vos machines.

La sécurité dans le domaine des systèmes d’informations est un enjeu majeur depuis déjà plusieurs décennies. L’objectif est de protéger les données de nos entreprises contre les individus mal intentionnés. Aujourd’hui, tous les acteurs de l’IT ne sont pas sans savoir que le risque le plus important provient de l’utilisateur. C’est pourquoi tous les organismes du secteur poussent les entreprises à impliquer leurs collaborateurs dans ce processus de sécurisation de l’information.

Chaque jour, de nouvelles failles sont découvertes et les équipes IT doivent régulièrement déployer des mises à jour afin d’y remédier rapidement. Le poste de travail reste le premier front que les ingénieurs doivent défendre au quotidien. Toutefois, il reste certaines failles auxquelles nous restons impuissants lorsqu’il s’agit de poste de travail, en particulier des laptops.

L’une d’entre elle est la sécurisation du BIOS. Cela peut s’avérer très problématique pour une entreprise lorsqu’un poste est perdu ou volé. En 2022, toutes les entreprises se doivent d’avoir des solutions en place pour sécuriser leurs postes de travail.

10 outils essentiels à connaître

• Chiffrement des disques du poste de travail : Microsoft BitLocker
• Blocage des périphériques de stockage USB : DLP, FRP
• Sécurisation de l’accès au compte Administrateur local : LAPS
• Présence d’une suite antivirale et antispam sur tout le parc : Defender, McAfee, Symantec
• Déploiement des mises à jour de sécurité sur le parc : WSUS, WUfB
• Gestion du versionning des applications, des drivers : Intune, MECM, WSO
• Backup des données et personnalisations des users : OneDrive, ESR
• Stratégies de contrôle d’accès : profil de configuration, accès conditionnel, GPO
• Vérification de l’identité de l’user : MFA, WHfB, SSPR
• Solution de sécurisation du trafic réseau : Firewall, Proxy, VPN

Chez Synapsys, la mise en place et le maintien en condition de ces outils sont pleinement maitrisés par nos experts Modern Workplace. Il s’agit également des points sur lesquels nous formons nos consultants juniors au sein de la Squad Modern Workplace. La présence de ce type de solutions est indispensable pour assurer la sécurité de votre SI en toute sérénité.

Pourquoi faut-il dissuader ce genre d’attaques ?

Aujourd’hui, lorsqu’un poste disparait, nous pouvons effacer tout le contenu du disque à distance si la machine dispose d’une connexion réseau. Cependant, si la machine reste hors connexion, elle reste utilisable pour l’individu qui l’a récupérée et les données présentes potentiellement exploitables.

On peut se dire que la perte d’un poste de travail n’est pas un grand dommage causé pour une grande entreprise. Pourtant, la disparition d’une machine provoque les situations suivantes :

• L’arrêt de l’avancement des tâches d’un collaborateur et par conséquence d’un service.
• Une tâche supplémentaire pour l’équipe de proximité.
• Un incident supplémentaire à devoir être étudier par l’équipe cybersécurité.
• Des recherches en vains faites par les différentes équipes du support et d’ingénierie système.
• Déclencher des actions pour lutter contre le vol de données (Wipe, déclarations de vol, …).

Accumulées, ces actions engendrent un temps de travail conséquent. Il faut savoir que chacune de ces actions se répète à chaque nouveau cas signalé. Des heures de travail qui auraient pu être consacrées à assurer le run ou l’avancement d’un ou plusieurs projets.

Que peut-on faire pour éviter cela ? Donner un antivol avec chaque machine ?

Les données présentes sur la machine sont censées être sécurisées. Le seul moyen de dissuader ces actes serait d’imiter Apple, c’est-à-dire rendre l’appareil inutilisable pour tout individu, hormis le client. Le système d’exploitation ne permet pas d’implémenter un tel niveau de sécurité. Nous devons descendre jusqu’à la couche firmware pour répondre à ce besoin, plus communément appeler BIOS. Une seule option est possible : sécuriser l’accès au BIOS.

En 2022, tous les postes de travail d’entreprise doivent à minima posséder :

• Un mot de passe pour l’accès au BIOS,
• Être en UEFI (Unified Extensible Firmware Interface),
• Désactiver le mode Legacy,
• Activer le Secure Boot,
• Activé la puce TPM (Trusted Platform Module).

Il s’agit là du minimum syndical. Malheureusement, le mot de passe BIOS est le même pour tout un lot de machines, voire un parc entier. Il suffit donc que le mot de passe fuite une fois pour que cette sécurité devienne inexistante.

Les 3 principaux constructeurs (Lenovo, DELL & HP) proposent des solutions afin d’être en mesure de changer ce mot de passe à distance. Le problème final reste le même, l’accès n’est sécurisé que temporairement.

Voici une liste non-exhaustive des attaques qui peuvent être utilisées par un hacker ayant un accès physique à votre machine et cela même si vous avez entièrement sécurisé votre OS :

• Désactivation du Secure Boot afin d’installer un root kit,
• Désactivation du Direct Memory Access (DMA) pour ensuite lire vos informations,
• Formater le disque de votre machine.

Ce qu’il faut bien comprendre, c’est qu’une fois que l’accès à votre BIOS a été compromis, il n’y a plus de point de retour. Vous aurez beau essayer de réinstaller l’OS de votre machine, mettre à jour et réinitialiser votre BIOS, l’accès du hacker à votre machine persistera. Votre seul recours est de faire appel au constructeur ou bien de flasher vous-même votre BIOS, ce qui entrainera la perte de la garantie.

Le deuxième point qu’il faut savoir est que ce type d’attaque est indétectable par l’utilisateur et aucune solution d’antivirus n’est capable de détecter et d’arrêter ce genre d’attaque avant que les dégâts ne soient commis.

Comment sécuriser son BIOS de façon pérenne ?

Voici ce que HP propose depuis déjà 3 ans :

Un QR code ? Entrez un code ? Et oui ! Il s’agit bien d’une authentification à double facteur.

Du MFA sur le BIOS, il fallait y penser et HP le propose avec HP Sure Admin, disponible sur tous les laptops entreprise sortis depuis 2018. Cette solution est d’ailleurs peu connue du public.

HP Sure Admin offre une sécurité moderne pour la configuration et la gestion du BIOS de vos PC. Moderne puisque les administrateurs seront en mesure de gérer le BIOS des machines à distance sans intervention physique.

Cette solution permet de remplacer l’accès traditionnel basé sur les mots de passe par l’utilisation de certificats. HP Sure Admin est une fonctionnalité que les détenteurs de machines HP récente peuvent installer et personnaliser.

Quels sont les prérequis ?

• Un parc de Laptop HP disposant d’une puce SPM,
• Avoir un BIOS à jour est conseillé,
• Windows 10\11 avec Microsoft .Net version 4.8 ou supérieur,
• Déployer les applications suivantes sur les postes de travail (via MECM) :
  • HP CMSL (HP Client Management Script Library),
  • HP MIK client (Manageability Integration Kit),
  • HP BCU (BIOS Configuration Utility).

Comment HP Sure Admin fonctionne ?

Concrètement, vous devez provisionner la clé publique de 2 certificats différents sur la puce SPM (Secure Plateform Module) de votre machine. Les clés 2 privées de vos certificats doivent rester dans votre coffre-fort virtuel et ne jamais être transmis sous aucun prétexte. Sans ces 2 clés privées, le hacker sera incapable d’accéder à votre BIOS et de le modifier.

1. Utilisation de HP MIK et de HP BCU pour la configuration et la gestion à distance du BIOS.
2. Utilisation d’un smartphone disposant de l’application HP Sure Admin pour un accéder à l’interface. utilisateur du BIOS en cas de besoin seulement, puisque vous êtes en mesure de gérer à distance.
3. Déployer vos fichiers de configuration vos PC cibles à gérer qui disposent d’une puce SPM en charge le mode d’authentification améliorée du BIOS.

Définitions :

EK : Endorsement Key                                  SK : Signing Key

LAK : Local Access Key                                EBAM : Enhanced BIOS Authentication Mode

On considère 2 méthodes de fonctionnement :

Une première que l’on pourrait la considérer comme un mode standalone. Voici les étapes nécessaires :

1. Il faut d’abord compléter les prérequis.
2. Après, vous devez provisionner manuellement les clés publiques de la EK et la SK sur la puce SPM de la machine et activer HP Sure Admin.
3. Ensuite, vous devrez créer un nouveau couple de clé via OpenSSL pour la LAK.
4. Puis, vous devez générer un QR code permettant de provisionner la clé privée de la LAK de la machine en question et activer l’EBAM.
5. Vous devez installer l’application HP Sure Admin (Android \ iOS) sur votre smartphone utilisé pour scanner le QR code précédemment téléchargé.
6. Enfin, vous pouvez redémarrer la machine et essayer d’accéder au BIOS en scannant le QR code et en tapant le code PIN.

Cette méthode peut s’avérer utile pour effectuer un PoC sur les différents modèles de votre parc.

Il s’agit du mode conseiller pour une réelle sécurité dans un environnement de poste de travail en production. HP a pour cela créeé un add-on MECM.

1. Installer le add-on HP MIK MECM serveur sur l’un de vos points de distribution MECM.
2. Packager les applications HP CMSL, BCU, HP client MIK + Maj .NET 4.8 et des BIOS si besoin.
3. Générer un QR code à l’aide la clé publique.
4. Créer 2 autres applications :
   1. La 1^ère pour provisionner les clés publiques de la EK et la SK sur les puces SPM des PC et activer HP sure Admin, la machine doit redémarrer après cette étape.
   2. La 2^nde pour installer OpenSSL, créer un couple de clés, provisionner la clé privée LAK et activer l’EBAM. Et enfin, envoyer la clé publique de la LAK sur votre serveur HP KMS (hébergé) sur Azure. Il s’agit d’un service auquel il faut souscrire au préalable. La machine doit redémarrer pour prendre en compte les changements.
5. Créer une séquence de tâches, rajouter vos applications, les 2 reboot et la déployer sur votre collection ne contenant que des laptops compatibles.
6. Vous devez installer l’application HP Sure Admin (Android \ iOS) sur votre smartphone utilisé pour scanner le QR code précédemment téléchargé.
7. Enfin, vous pouvez redémarrer la machine et essayer d’accéder au BIOS en scannant le QR code et en tapant le code PIN.

Effectivement, la mise en place de HP Sure Admin n’est pas aisée et nécessite des compétences d’ingénieur poste de travail :

• Packager des applications,
• Créer des scripts PowerShell,
• Utilisation de MECM : Création d’applications, de scripts, de séquences de taches…
• Déployer et suivre le déroulement d’une séquence de tâches depuis la console MECM,
• Une connaissance des composants hardware des modèles de votre parc,
• Des connaissances en cryptographie afin de générer des certificats et des clés RSA.

Heureusement, j’ai pu m’appuyer sur notre Squad Cloud chez Synapsys, afin de proposer des solutions à ces problématiques. Une fois que vous aurez déployé HP Sure Admin sur votre parc, vous serez capable de gérer les BIOS vos machines depuis la console SCCM grâce au add-on HP MIK.

Quelles sont les problématiques rencontrées ?

• La gestion des différend modèles,
• Installer OpenSSL sur des postes (Validation équipe cyber sécurité),
• Utilisation de HP KMS via Azure (validation équipe Cloud),
• Code pin de vérification user à retirer,
• Gérer les accès des comptes guest Azure pour le prestataire chargé de la masterisation.

Cette gestion a malheureusement ces limites, puisque vous ne serez pas en mesure de gérer vos devices uniquement s’ils sont connectés à votre SI. Il faudrait disposer d’un CMG (Cloud Management Gateway) sur Azure et par conséquent des coûts supplémentaires qui fluctuent selon votre usage. La solution avait des limites assez problématiques pour les Hybrid Workplaces.

En janvier 2022, HP a sorti HP Connect, il s’agit d’un service SaaS permettant d’utiliser HP Sure Admin et d’autres fonctionnalités connexes à la sécurité via Microsoft Intune. HP a très bien compris la tendance des entreprises qui consiste à passer du on-premise au Cloud. Voici à quoi ressemble le Dashboard sur : admin.hp.com

A quoi sert HP Connect for MEM ?

HP Connect for Microsoft Endpoint Manager vous donne accès aux fonctionnalités suivantes :

• Mise à jour BIOS :
  • Avoir un parc à jour sans installer les drivers dès lors sortie,
  • Choisir d’installer les mises à jour critique seulement,
  • Choisir une version spécifique.
• Configurations du BIOS :
  • Possibilité de configurer votre BIOS.
• Méthode d’authentification du BIOS :
  • HP Sure Admin,
  • Mot de passe classique.

Quels sont les prérequis pour HP Connect ?

Voici la liste des outils dont vous aurez besoin pour la mise en place de HP Connect for MEM :

• Un tenant Azure AD (Active Directory),
• Un tenant Intune Microsoft Endpoint Manager (MEM),
• MEM configure en tant que MDM (Mobile Device Management) pour vos appareils,
• Enrôler vos machines dans l’Azure AD et dans Intune,
• Un abonnement Microsoft 365 E3/A3 ou E5/A5 permettant d’enrôler vos machines Azure,
• Autoriser le service SaaS HP Connect à interagir avec votre Tenant AAD.

Comment fonctionne HP Connect ?

Il vous suffit d’accepter la demande de permissions de HP MEM Connector App lorsque vous créez votre tenant Azure et Intune :

Ensuite, vous aurez accès au Dashboard HP Connect via lequel vous pourrez :

• Créer des policies,
• Editer des policies,
• Mettre à jour le BIOS des devices,
• Appliquer des policies à des groupes de devices Azure AD,
• Avoir un suivie du déploiement des policies.

Quels sont les autres solutions de sécurité pouvant être gérées via HP Connect à l’avenir ?

• HP Sure Start,
• HP Sure Run,
• HP Sure Recover,
• HP Sure Sense,
• HP Sure View,
• HP Sure Click,
• HP Privacy Camera,
• HP Endpoint Security Controller,
• Fonctionnalités liées à la conversion via TPM,
• Amélioration de Microsoft Device Guard.

Conclusion

HP a révolutionné le domaine de la sécurisation des postes de travail avec HP Sure Admin. Aujourd’hui, grâce au couple HP Connect et HP Sure Admin si vous disposez d’un parc de laptops HP vous serez en mesure de pleinement sécuriser leur accès au BIOS.

Si vous êtes intéressé par la mise en place de HP Connect et HP Sure Admin, n’hésitez pas à contacter Synapsys. La mise en place est de HP Connect peut être éligible au programme FastTrack. Pour en savoir plus sur le programme FastTrack, vous pouvez également consulter l’article de Laurent Bigayon, notre Leader Technique Modern Workplace.

Liens vers la documentation HP :

http://hp.com/wolfsecurityforbusiness

http://h10032.www1.hp.com/ctg/Manual/c06529817

https://h20195.www2.hp.com/v2/getpdf.aspx/4AA7-7307ENW.pdf

Parce que ce sujet est géré principalement à travers des GPO, comment les retranscrire au mieux dans Intune ? Comment faire bénéficier d’administrateurs locaux les postes joints à Azure AD et détachés de l’Active Directory ?

Scénario classique d’un poste en version Windows 10 20H2 :

Depuis la mise à jour 20H2 de Windows 10, il est possible de gérer efficacement les administrateurs locaux grâce à une configuration créée dans Intune.

En créant une configuration customisée, voilà à quoi cela ressemble :
OMA-URI : ./Device/Vendor/MSFT/Policy/Config/LocalUsersAndGroups/Configure

Datatype : String

Value :

<GroupConfiguration>
    <accessgroup desc = « Administrators »>
        <group action = « U » />
        <add member = « S-1-12-1-2467210666-1203319661-2805276081-2339455698″/>
        <add member = « AzureAD\user3@synapsystest.onmicrosoft.com »/>
        <remove member= « Tom »/>
    </accessgroup>
</GroupConfiguration>

Ici l’action “U” signifie que l’on va « Update » le groupe local Administrators en ajoutant et/ou supprimant des membres.

Il est aussi possible d’utiliser l’action R qui va « Remplacer » (Restrict) tous les utilisateurs locaux d’un groupe par ceux que vous allez lister dans la configuration.

On notera que dans cet exemple de configuration, on gère plusieurs types de cibles :

• Un utilisateur Azure AD, user3@synapsystest.onmicrosoft.com. Il est désormais administrateur du poste.
• Un groupe Azure AD dont on récupère le sid à l’aide du script d’Oliver Kieselbach. Tous les membres de ce groupe choisi sont donc désormais administrateurs du poste.

• Et un utilisateur local « Tom » que l’on enlève du groupe administrateur par la même occasion. Ici on l’enlève mais on peut en ajouter de nouveaux également. À noter qu’ils doivent déjà exister sur le poste pour être ajoutés en tant qu’admins.

• On ne peut pas supprimer l’Administrateur Built-In du groupe local. Si l’on essaye, la configuration remontera en erreur dans Intune.

Cette configuration pourra être ciblée sur un groupe d’appareils plus ou moins large.

En effet, dans des contextes internationaux avec une équipe d’admins qui gère un pays, on peut imaginer une configuration par pays qui sera déployée sur le groupe AAD d’appareils du pays.

Une alternative Built-In. Simple mais parfois inadaptée.

Lorsqu’un poste est joint à Azure AD, deux SID sont ajoutés systématiquement dans la base SAM. Il s’agit des SID des deux rôles Azure AD Global Administrator et Device Administrator.

Cela signifie que toute personne ayant ces deux rôles est par défaut administrateur.trice des postes. Une solution peut être d’assigner ces deux rôles aux admins souhaités.

Cette solution, bien que native d’Azure AD, signifie toutefois que les administrateurs assignés au rôle Device Administrator sont administrateurs de TOUTES les machines de l’annuaire. Un modèle qui conviendra aux plus petits contextes mais qui, dès lors que l’on parle d’une réelle délégation détaillée, rencontrera des limites de sécurité notamment.

Si on opte pour la première méthode, supprimer ces deux SID peut s’avérer pertinent.

Conclusion

Que ce soit avec une approche permettant la délégation ou bien une approche native d’Azure AD, la gestion des admins locaux est une question à laquelle le Modern Management peut répondre. Le faire à travers Intune ou Azure AD permet d’enfin adresser cette problématique aux postes en workgroup par exemple qui jusque-là étaient épargnés des GPO. On a désormais un management des admins locaux centralisé pour tous !

Cela signifie que lorsqu’une entreprise souscrit à un abonnement M365, elle est alors éligible aux bénéfices FastTrack.

Mais alors, qui est éligible au programme Microsoft FastTrack ?

Par défaut sont éligibles toutes les entreprises qui disposent de licences Office 365. Mais sont également concernés les clients disposant d’un minimum de 150 licences. Cela leur permet d’avoir accès aux spécialistes FastTrack. Pour les clients disposant de 500 licences et plus, FastTrack se charge de procéder à la migration de leurs données et de leur courrier électronique.

En effet, l’accompagnement par des spécialistes FastTrack débute à partir de 150 licences acquises. Plus vous mettez en œuvre de solutions M365, plus vous disposez d’accompagnement FastTrack.

FastTrack représente également une véritable aide lorsqu’il s’agit de la migration des données et des courriers dans le cadre de la mise en place d’Exchange online. Toutefois, pour en bénéficier, il faut disposer d’un minimum de 500 licences.

Les sujets sont très nombreux puisque FastTrack couvre l’ensemble du périmètre M365.

De plus, FastTrack for Azure propose de l’accompagnement pour la mise en place de votre stratégie Cloud. Sachez que FastTrack for Azure est également éligible sans coûts supplémentaires pour tout client disposant d’une souscription active et payée.

Nous aborderons plus longuement cette partie dans un autre article à venir !

Microsoft FastTrack, pour faire quoi ?

Comme dit précédemment, FastTrack vous apporte de l’aide et des ressources pour vous accompagner dans l’éloaboration, la planification et le déploiement des solutions contenues dans les plans M365.

FastTrack vous permet également d’initier des sujets en toute sérénité, tel que le démarrage de votre stratégie Windows avec un programme dédié : FastTrack pour Windows 11 (microsoft.com). Ce programme a pour objectif de vous accompagner sur la conception de vos devices Windows 11 :

• Vérifier les prérequis,
• définir la stratégie de mise à jour,
• renforcer la stratégie de sécurité des postes Windows 11 avec FastTrack Sécurité,
• et garantir la compatibilité de vos applications entre Windows 10 et Windows 11 avec le service APP Assure.

Notre retour d’expérience

Depuis le début de l’année, nous avons renforcé notre communication autour du FastTrack afin d’informer nos clients que nous pouvons les assister dans la planification et le déploiement vers Microsoft 365.

Certains de nos clients connaissaient déjà les bénéfices FastTrack. Certains les utilisaient déjà, d’autres pas. D’autres clients encore n’en avaient même pas la connaissance. La découverte de FastTrack leur a permis d’entamer des projets et d’aborder des sujets sereinement tels que :

• Intune,
• l’adoption utilisateurs Windows 11,
• et la compatibilité applicative de Windows 10 vers Windows 11.

L’intérêt majeur du contenu FastTrack réside sur la mise à disposition des ressources utilisables par Microsoft. Pour chaque delivery FastTrack, le planning, le séquencement, les présentations, les documents à utiliser durant les workshop sont prédéfinis et rédigés par Microsoft. Cela permet de déclencher très rapidement le démarrage du delivery des bénéfices en question.

Le second intérêt réside dans l’accompagnement des clients au travers du delivery de ces bénéfices. En effet, nous avons à cœur d’aller au delà que de simplement dérouler la présentation et cocher les cases des workshops. Ainsi, les ateliers constituent un vrai moment d’échange avec le client. Ce dernier bénéficie alors de notre retour d’expérience, qu’il s’agisse de précédents delivery FastTrack ou encore de projets que nous avons déjà délivrés.

Enfin, chez Synapsys nous avons à cœur de partager nos connaissances au sein de ce que nous appelons nos « squads ». Ce sont, en d’autres termes, nos centres de compétences. Il y a donc également un véritable vecteur de formation et de mise en valeur au travers du bénéfice FastTrack. Il nous permet de former nos consultants sur le delivery des contenus FastTrack. Cela permet, dans le cas d’une mission longue, de sortir ponctuellement un consultant de sa mission. C’est l’occasion pour lui de se projeter chez un autre client ayant un contexte différent, peut-être des attentes différentes, et de lui apporter l’expérience et la maturité sur un sujet.

En conclusion

Les bénéfices FastTrack proposés par Microsoft peuvent sembler anodins d’un premier abord, car ils ne permettront pas forcément à une entreprise d’implémenter complétement une solution M365 et être en autonomie complète sur le sujet. Mais c’est en fait une mine d’informations et de conseils qui sont fournis au travers des sujets abordés et une stratégie intéressante pour initier un sujet sans coûts supplémentaires.

Les bénéfices FastTrack délivrés par nos équipes vous permettent de tirer parti d’une réelle expérience sur les sujets abordés et d’initier une réflexion sur l’orientation stratégique de votre Digital Workplace.

En résumé, FastTrack est bénéfique pour tout le monde :

• pour Microsoft, qui s’assure du déploiement des solutions contenues dans les plans de licences M365,
• pour les clients, qui peuvent déployer ces solutions sans coûts supplémentaires,
• enfin, cela nous permet d’adresser des clients existants ou nouveaux et ainsi de diversifier davantage les activités de nos consultants.

Future of work : de quoi s’agit-il ?

Comme toutes les entreprises françaises et internationales, vous êtes investis dans un processus de transformation numérique. Réfléchir au future of work, c’est repenser les conventions actuelles pour inventer les processus de demain. Les nouvelles technologies et nouveaux outils, ou encore le télétravail jouent un rôle encore plus important à l’avenir. Découvrez notre vision du future of work et la direction que pourrait prendre le monde de l’entreprise.

Définition du future of work

Le future of work est un concept qui a pour but de prédire les changements probables dans le monde du travail de la prochaine décennie. Il s’agit également de reconnaître que les entreprises, agences et organisations traversent actuellement une période charnière.

Nous pensons en effet que les nouvelles technologies, mais aussi les préoccupations sociales et générationnelles participent à créer le future of work. L’observation des tendances actuelles, ainsi que notre expertise digitale et data nous permettent d’identifier un certain nombre de changements probables dans le monde du travail.

Une adaptation des entreprises au développement rapide des nouvelles technologies

Quel que soit votre secteur d’activité, il y a fort à parier que certains de vos métiers et processus se transforment progressivement sous l’impulsion des nouvelles technologies. Il est certain, par exemple, que le développement de la blockchain a un rôle majeur dans l’organisation du travail et des échanges entre les entreprises de demain. Pour vous aider à anticiper les usages de demain, voici quelques pistes de réflexion liées aux nouvelles technologies.

Prévoir l’obsolescence des compétences de ses collaborateurs

L’obsolescence des compétences est une problématique majeure soulevée par la notion de future of work. L’essor des nouvelles technologies et des nouveaux outils suggèrent un besoin important de veille professionnelle. Vos salariés actuels comme les travailleurs de demain devront donc continuer à se former, à mesure que leurs métiers évoluent.

Si le besoin de monter en compétences et de s’inscrire dans une démarche de formation continue semble évident pour les talents digitaux, ils concernent presque tous les secteurs d’activité. Chaque année, nous encadrons la formation de nos collaborateurs consultants et en structure, afin d’adapter leurs compétences à leurs envies et aux nouvelles réalités de leurs métiers.

Créer une politique claire de collecte et d’utilisation de la data

À l’époque du big data, nous pensons que la question de la collecte et de l’utilisation des données est inhérente au future of work. Cela est d’autant plus vrai si votre entreprise poursuit une stratégie digitale « data-driven ». Les dirigeants ou directeurs data (head of data) devront réinventer de nouvelles politiques de gouvernance de la data et de gestion des données de référence (GDR).

Nous vous conseillons d’appliquer une stratégie de transparence. Le durcissement des législations ou encore les préoccupations des utilisateurs pour leur vie privée ouvrent la porte à de nouveaux standards en matière de data.

Comprendre l’essor de l’intelligence artificielle au sein des entreprises

L’intelligence artificielle s’invite de plus en plus dans les entreprises du monde entier depuis plusieurs années. Nous croyons fermement que l’IA saura se tailler une place de choix dans l’environnement professionnel de demain. Cela concerne l’automatisation d’activités physiques, grâce à l’utilisation de robots. La multiplication des agents conversationnels, ou chatbots, sur les sites et applications des entreprises en est un autre exemple.

Notre expérience dans le digital nous permet d’apprécier particulièrement les avancées majeures apportées par le machine learning, et notamment le deep learning. L’intelligence artificielle permet ainsi de valoriser la data de votre entreprise et d’épauler vos employés dans leurs tâches chronophages.

Tirer parti des nouveaux outils de travail du monde de l’entreprise

Le future of work, ce sont aussi de nouveaux outils qui participent à la transformation de l’organisation dans votre entreprise. À l’avenir, la collaboration entre vos salariés passera encore plus par le numérique. La crise du covid a participé à habituer les entreprises et leurs équipes à s’approprier ces outils digitaux. Trello, Notion, Slack ou encore Zoom se sont invités dans le quotidien des sociétés. Les outils de marketing automation constituent également de bons exemples.

Notre agence utilise au quotidien des outils digitaux de pointe dans sa conception de campagnes de nurturing, de remarketing ou encore de cold mailing. L’évolution des outils open source ou facilitant le travail collectif au sein des entreprises sont également à surveiller.

Le future of work : les tendances du travail de demain se dessinent progressivement

Le future of work peut aussi prendre la forme d’une nouvelle organisation du travail ou d’une expérience personnalisée pour vos salariés et collaborateurs. Pour rester concurrentielle à l’avenir, votre entreprise devra avoir résolu plusieurs questions, comme celle du télétravail.

Quelle est la place du télétravail dans le future of work ?

Vous avez peut-être, vous aussi, redécouvert le télétravail pendant la crise du covid. Cette nouvelle expérience de travail a rebattu les cartes de l’organisation de la vie de bureau. Certaines sociétés font déjà le choix de fermer leurs bureaux au profit du travail à distance pour une grande partie de leurs équipes. D’autres cherchent un juste milieu, en essayant différents types d’organisation hybrides.

Quelle que soit votre position sur cette question, le télétravail fait partie des facteurs de transformation du monde de l’entreprise. Une approche favorable au travail à distance facilite, par exemple, la délocalisation de métiers qualifiés, ou encore l’externalisation d’un certain nombre d’activités.

Des solutions d’internalisation et d’externalisation de plus en plus agiles

Le travail du futur, c’est aussi l’opportunité de redéfinir la stratégie RH de votre entreprise. La crise des talents digitaux et le manque de collaborateurs formés aux nouvelles technologies peuvent trouver des réponses intéressantes. Le nombre de nouvelles compétences, voire de nouveaux métiers dans le numérique augmente sans cesse. Nous pensons que le future of work sera aussi placé sous le signe de la collaboration entre les entreprises.

Nos équipes de consultants digitaux et experts en structure le prouvent tous les jours en accompagnant nos clients dans leurs projets numériques. L’avenir du monde du travail pourrait offrir encore plus d’agilité dans l’organisation des tâches et la constitution des équipes. L’évolution du freelancing constitue une autre preuve de cette tendance de fond.

Des choix éclairés sur la transformation de votre entreprise

Vous l’aurez compris, chaque entreprise ou travailleur a sa propre définition du future of work. Le développement des nouvelles technologies ou certaines tendances comme le télétravail y joueront certainement un rôle central. Mais nous pensons également que le concept du future of work dépeint un besoin de repenser le travail du futur.

Saisissez donc cette opportunité pour réfléchir à vos techniques de management ou encore à l’organisation du temps de travail dans votre entreprise. Les changements de société se reflètent aussi dans notre conception du future of work.

La responsabilité sociétale des entreprises (RSE), l’égalité femmes-hommes ou encore le bonheur au travail sont des sujets qui perdureront dans le futur. Gardez à l’esprit que la direction que prendra votre société à l’avenir traduira votre vision du monde et participera à votre culture d’entreprise.

Pour de nombreuses sociétés, le future of work comprend la nécessité d’opérer une transformation digitale. Vous souhaitez être accompagné dans la gestion de vos projets numériques ? Contactez-nous pour discuter de vos besoins !

Remote Help est une application qui permet de prendre la main sur un poste utilisateur au sein d’une même organisation, qu’il soit enrôlé dans Intune ou non.

Sachez que l’application est actuellement en preview gratuite.

Pour disposer de Remote Help, quelques prérequis sont nécessaires :

• avoir le système d’exploitation Windows 10 ou Windows 11,
• Remote Help doit être installé au préalable sur les deux postes (celui qui requiert l’assistance et celui qui offre son assistance),
• la personne qui prend la main doit être School Administrator, Help Desk Operator, Intune Administrator ou faire partie d’un Custom Intune Role.

Les fonctionnalités de Remote Help sont les suivantes :

• affichage et contrôle à distance,
• accès administrateur avec élévation de privilèges,
• support par Internet,
• création de rapports d’audit.

Mise en place de la fonctionnalité sur un tenant Intune

Se connecter sur Endpoint Manager : Tenant Administration > Connectors and Tokens > Remote Help et sélectionner Enable et Allowed (si vous voulez prendre la main sur des devices non enrôlés dans Intune).

Vérification des rôles :

Allez sur Tenant Administration > Roles

Le rôle Help Desk Operator Built-in octroie par défaut les droits de prise en main à distance aux rôles School Administrator, Help Desk Operator et Intune Administrator.

Pour des raisons de sécurité (d’autres droits que le Remote Help étant octroyés par défaut), il est conseillé de créer un Custom Intune Role spécialement pour la Remote Help App.

Pour cela, il faut créer un groupe Azure AD qui contiendra les users autorisés à utiliser la Remote Help App.

Pour créer le Custom Intune Rôle, allez dans Tenant Administration > Roles et sélectionnez Create :

Dans Permissions :

Dans le nouveau Custom Intune Role, il va falloir assigner le rôle à un groupe AD Azure en sélectionnant Assign :

Ensuite donner un nom à l’assignment :

Puis sélectionner le groupe d’utilisateur assigné à ce rôle :

Et enfin, le scope concerné par la future assistance via Remote help App :

Déploiement de l’application Remote Help App via Intune

Après avoir paramétré les rôles et les assignements dans Intune, il faut déployer l’application Remote Help App sur les postes users.

Télécharger l’application  https://aka.ms/downloadremotehelp

Création du package Windows app (Win32) en utilisant IntuneWinAppUtil.exe

Prise en main à distance via Remote Help App

Lancer l’application Remote Help sur son computer, s’authentifier en faisant Sign In :

Après s’être authentifié, on peut choisir de recevoir de l’aide ou d’en fournir.

Pour fournir de l’aide, il suffit de cliquer sur Get a security code pour ensuite fournir le code à l’utilisateur.

Dès que l’utilisateur rentrera le code, l’administrateur aura le choix de demander à prendre la main ou à voir l’écran de l’utilisateur.

L’utilisateur devra ensuite donner ou non son autorisation.

Le message ci-dessous peut alors apparaitre si le device ne respecte pas les règles de compliance. Cela n’empêche en aucun cas de continuer la prise en main à distance.

Lorsque que la session est établie, plusieurs options sont disponibles pour interagir avec l’utilisateur.

Reporting et audit de Remote Help App

Il est tout à fait de monitorer l’utilisation de Remote Help dans la console Intune.

Vous pouvez également faire des exportations d’audits de session Remote Help.

Comparaison des solutions alternatives à Remote Help d’Intune

Remote Help est actuellement l’outil de prise en main à distance comptant le moins de fonctionnalités, comparé aux outils déjà présents sur le marché. Remote Help étant encore en phase de développement, nous pouvons compter sur Microsoft pour que l’outil puisse s’aligner sur ses concurrents.

Du coté pricing, Remote Help est actuellement accessible pour les détenteurs de licences M365 E3 et E5. Toutefois, Microsoft annonce un coût supplémentaire pour la sortie officielle du produit.

Pour conclure, Remote Help est un outil de prise en main à distance parmi un large panel de solutions équivalentes. Microsoft a su répondre aux besoins de ses clients en proposant une solution simple et efficace. Si vous gérez vos postes de travail via Intune et que vous souhaitez implémenter une solution de téléassistance sur votre parc informatique, Remote Help est une solution à envisager.

Cela vous permettra, une fois de plus, de centraliser la gestion de vos terminaux sur un seul et même portail sécurisé.

Généralement les changements en entreprise sont réfléchis et anticipés. Il s’opèrent au fil du temps mais jamais ou rarement brutalement. La crise sanitaire est une de ces exceptions qui ne pouvait pas être anticipée et qui a radicalement changé nos façons de travailler.

Bien sûr le télétravail, le cloud, les accès distants, l’intelligence artificielle… étaient déjà des sujets traités au sein des entreprise mail la généralisation du travail à distance a accéléré les changements et les adoptions des technologies.

L’exemple le plus flagrant est le cas de Teams : une croissance x12 du nombre d’utilisateurs  de Teams depuis 2019, une croissance exponentielle comme le montrent les éléments ci-dessous :

Alors, quelles tendances pour le Modern Workplace en 2022 ?

Les axes suivants ne sont pas des axes purement technologiques mais plutôt des tendances et réflexions relatives à l’évolution du milieu de travail. Pour chaque axe on retrouvera forcement son lot de technologies et de solutions techniques qui viendront naturellement s’y greffer.

L’intelligence artificielle et le Modern Workplace

Des technologies telles que l’intelligence artificielle (IA) et l’apprentissage automatique (ML) sont devenues des tendances de premier plan dans l’environnement de travail. Ces technologies permettent aux recruteurs d’optimiser plus facilement le processus d’embauche, y compris la présélection et l’adaptation. En outre, lors de l’évaluation des candidats, l’IA et le ML peuvent aider les employeurs à remédier à diverses lacunes courantes en matière de recrutement, telles que les préjugés subconscients chez les recruteurs. 

Ces technologies peuvent également être utilisées pour augmenter la productivité des employés en automatisant les tâches répétitives, ce qui permettra aux travailleurs de se concentrer sur un travail plus créatif et plus précieux.

Cela donne également aux employés plus d’occasions d’améliorer leurs compétences. Dans un récent sondage 72% des chefs d’entreprise ont déclaré que l’IA pourrait permettre aux employés de se concentrer sur un travail significatif, tandis que 34% ont déclaré que l’IA pourrait aider à libérer du temps pour un travail plus significatif et plus précieux.

Au-delà de ce constat autour de l’émergence significative de l’IA en entreprise, on peut se demander quel champs d’application l’IA pourrait impacter dans le modern workplace. Il faut garder en tête que l’IA est un moyen de traiter de gros volume de données de façon automatique et intelligente après une phase d’apprentissage. Aussi ce pourrait être une réponse pour la recherche et la consolidation au travers des différentes sources de données disponibles en entreprise (annuaires, gestion des asset, bases de données) des différentes informations des utilisateurs de leurs matériels et des outils qu’ils utilisent pour rapidement obtenir une information fiable sur les ressources mises à disposition. C’est un élément qui devient de plus en plus important surtout dans un contexte de travail hybride ou il devient primordial d’avoir ces informations afin de gérer de façon fiable les données et apporter les niveaux de sécurité requis pour tout utilisateur où qu’il soit.

Pour ce qui concerne le poste de travail, une application importante de l’IA arrive à maturité. Il s’agit de la compréhension du fonctionnement du poste de travail au travers du relevé de l’ensemble de ses logs, en les mettant à disposition dans un datalake pour en analyser les signaux forts et les signaux faibles. Ainsi, par anticipation, il est possible de prédire un futur incident un ensemble d’utilisateurs en corrélant l’ensemble de ces éléments. Là aussi il reste des choses à faire et à étendre.

Vers une communication encore plus centralisée

Les intranets sont de retour ! Mais attention, pas les intranets que nous avons tous connus qui rassemblent des ensembles de liens, qui sont lourds à maintenir et qui restent souvent statiques.

Les intégrations VIVA dans Teams permettent entre autre de mettre à disposition rapidement du contenu dans Teams de manière centralisée qui en font un intranet plus pertinent que jamais. De plus Teams étant devenu un des outils les plus utilisés par les collaborateurs de l’entreprise les listes des liens intranet vont faire place à a un canal de communication bidirectionnel personnalisé et fiable basée sur le cloud au sein de Teams.

Les nouveautés annoncées par Microsoft au cours du dernier Ignite incitent à penser que Teams et les produits connexes vont avoir la part belle cette année à nouveau en améliorant les expériences de communication et d’échange notamment avec les récentes expérimentations Mesh et Metaverse façon Microsoft. Donc, il y aura des sujets autour de Teams. D’ailleurs Microsoft vient de créer et lancer une nouvelle chaine YouTube dédié à Teams : Microsoft Teams – YouTube

Les employés veulent se connecter à un seul endroit pour accéder à tous leurs outils de productivité. Les espaces de travail numériques de 2022 incluront des applications propriétaires ainsi que des outils tiers tels que ServiceNow et bien d’autres, tous au sein de Microsoft Teams.

Il y a donc fort à parier que le modern Workplace et les outils collaboratifs seront sur le devant de la scène cette année avec notamment une large part des activités sur l’extension du périmètre de Teams par l’intégration des fonctions complémentaires existantes ou à venir.

Le travail hybride

Le travail hybride est un terme apparu récemment qui marque le mixte entre télétravail ponctuel, travail sur site, passage au bureau et télétravail à temps plein. Rien à voir avec les hybridation cloud que nous utilisons pour la connexion entre environnements onPrem et cloud.

Il s’agit donc des nouveaux modes de travail qui sont apparu après le confinement et le télétravail généralisé. Ce mode de travail hybride représente le fait que le lieu de travail d’un collaborateur n’est plus uniquement le bureau ou l’emplacement qu’il utilise mais regroupe son domicile, les locaux de l’entreprise ou encore un lieu temporaire (déplacement, hôtel, cybercafé).

Le PDG de Microsoft, Satya Nadella, a inventé le terme « paradoxe hybride » en raison de la déconnexion apparente entre les employés souhaitant que les options de travail flexibles se poursuivent (70%) mais expriment également le désir d’un plus grand contact en presentiel avec leurs équipes (65%).

De toute évidence, il n’existe pas de solution unique pour un travail hybride réussi. Cela ressort clairement des conclusions de Microsoft où les employés ont cité les mêmes raisons de vouloir travailler de différentes manières, par exemple 58% des employés qui prévoient de passer le plus et le moins de temps au bureau prévoient de le faire pour la même raison: un travail plus ciblé.

La clé du succès, selon Microsoft, est donc de créer une culture de confiance et de flexibilité et de s’appuyer sur des solutions techniques tout aussi flexibles et répondant aux attentes des utilisateurs.

Le terme Hybrid work est aussi un élément « marketing » introduit avec l’arrivée de Windows 11, puisque cet OS dans sa nouvelle mouture a été conçu pour le travail hybride qui réduit la différence entre usage professionnel et privé du même device.

Si il est encore trop tôt pour parler de la généralisation de Windows 11 en entreprise cette étape sera inévitable au bout d’un certain temps et il faudra également adapter les processus de déploiement des postes Windows 11 et bien entendu ici Autopilot et Microsoft Endpoint Manager sont les outils les plus appropriés et simplifient la mise à disposition des postes aux utilisateurs, qu’il soient sur site ou ailleurs.

La nécessité de travailler à distance a conduit Microsoft à se concentrer sur la création de réunions hybrides plus inclusives en 2021.

« L’inclusion est définie par la capacité de se sentir à l’aise d’apporter ses idées et ses points de vue », explique Sara Bush, responsable de programme senior au sein de l’équipe Seamless Teamwork de Microsoft Digital. « Dans une réunion inclusive et efficace, je peux participer pleinement parce que j’ai accès à tous les documents, contenus et personnes pertinents avant, pendant et après. Cela me permet de m’engager et de contribuer de n’importe où. »

Tous ces éléments ont donc contribué a faire évoluer Teams avec notamment le mode ensemble, mais surtout Teams est un très bon outil pour de la conduite de réunion virtuelle « chacun dans son coin », il s’est avéré que la conduite de réunion hybride était plus complexe entre des participants individuels et des participants réunis dans une salle, là encore on retrouve les prémices des l’avenir de Team et du Metaverse.

Bien entendu tout cela nécessite la mise en place de politiques de sécurité de plus en plus renforcées. Si les aspects sécurité sont déjà traités au sein des entreprises de toute taille la sécurité a aussi le vent en poupe en ce début d’année et 2022 sera forcement une année qui verra l’accroissement de l’adoption et de l’évolution des politiques zéro Trust.

Les entreprises et les espaces de coworking

Ce n’est pas forcément un point technologique mais plutôt une tendance. Pour de plus en plus d’entreprises depuis le début de la crise sanitaire, les espaces de coworking sont en plein essor. Cela faisait déjà quelques années que ce modèle de bureaux se démocratisait  mais le phénomène s’accentue. Nombre de petites structures n’ont plus d’intérêt à avoir en permanence des locaux dédiés et n’ont potentiellement besoin de locaux qu’occasionnellement ou sur des cours laps de temps. Durant la crise sanitaire, ces espace de coworking sont aussi un moyen pour des travailleurs indépendants d’avoir un bureau ‘individualisé » en espace de coworking permettant d’éviter le travail depuis le domicile. On peut donc imaginer de plus en plus les besoins packagés que pourraient mettre à disposition ces espaces de coworking notamment pour proposer des bureaux avec solution de visio conférence «  room systems » à la demande avec les niveaux de services attendus dont le reset matériel et autre opérations entre les différents occupants. De plus en plus d’espaces de coworking proposent également de l’assistance informatique et technique.

L’idée même du coworking est la flexibilité, le travail en mode hybride repose lui aussi sur la flexibilité, il devient donc concrètement envisageable de passer une ou plusieurs journées en espace de coworking, en télétravail ou dans les locaux de l’entreprise en fonction des déplacements.

Toutes les grandes villes disposent désormais d’espace de co-working, quoi de plus simple que de prendre un train pour aller travailler une journée ou deux en équipe réduite dans une ville ou se trouve un client ou une personne ou plus avec qui il est requis d’échanger en présentiel.

Dans les éléments les plus marquants on va retrouver la partie Microsoft Mesh pour Teams :

Mesh pour Teams, c’est quoi ? 

Mesh, c’est la plateforme Metaverse de VR/AR de Microsoft. Elle se voit donc agrémentée d’une application dédiée pour Teams. La présentation a été accompagnée d’un retour d’expérience de la part d’Accenture qui utilise des casques de VR Oculus Quest 2 pour l’onboarding des nouveaux talents.

Il est encore un peu difficile de le tester à grande échelle, mais l’intérêt est important notamment pour des entreprises industrielles implémentées dans plusieurs pays et des équipes de maintenance qui doivent réduire les déplacements (et oui le covid est passé par là) ce qui permet une immersion dans l’environnement cible assez bluffant.

A noter, l’apps est disponible dans le store en preview pour les hololens 2

Teams est en perpétuel évolution, ça nous le savons tous et il est très difficile de synthétiser toutes les évolutions de la plateforme. Avant l’Ignite de novembre, Microsoft avait annoncé pas mal de nouveautés, dont :

• La gestion des salles de réunions aux présentateurs
• L’intégration de Microsoft Whiteboard avec des nouveaux modèles personnalisables
• L’insertion d’images, de formes et des nouvelles réactions
• La possibilité d’activer la transcription en temps réel.

L’ignite a été l’occasion pour Microsoft d’annoncer toute une nouvelle série de nouveautés telles que la possibilité d’affecter des rôles aux participants au sein d’une réunion, lorsque plusieurs personnes ont levé la main en réunion, la possibilité de voir l’ordre, la possibilité pour les organisateurs et présentateurs d’avoir une salle virtuelle réservée et privée afin d’échanger entre eux avant la réunion.

En synthèse sur cette partie, Teams est devenu un incontournable de la solution Microsoft, les modifications de nos modes de travail depuis quelques temps avec le boom du télétravail lié à la crise sanitaire en ont fait un outil incontournable offrant régulièrement de réelles innovations. On retiendra que Microsoft Mesh va rapidement apporter de nouveaux usages et que ça ne va pas s’arrêter là puisque après une année 2021 pleine de changement pour Teams  ainsi qu’un « nouveau » Teams avec Windows 11. C’est à présent au tour de l’application de nous proposer une nouvelle façon de travailler et de collaborer avec Microsoft Loop. On ne s’éloigne pas beaucoup de Teams, puisque Loop va s’interfacer avec d’autres applications telles que Outlook, Excel, OneNote… et bien sûr Teams 

Alors Microsoft Loop qu’est ce que c’est ?

Microsoft Loop est en fait une nouvelle application qui combine des composants dynamiques que l’on déplace comme on veut entre les applications tout en les gardant synchronisés. Vous l’aurez compris, ça sert à travailler à plusieurs en coworking sur les différents composants et documents relatif à un sujet commun.

Son principal intérêt est de pouvoir atténuer la distinction entre document partagé et espace de travail partagé. Nous avons pour beaucoup l’habitude de partager ou co-éditer des documents Word, Power Point, dans des équipes Teams en se calant une réunion Teams en passant par Outlook et bien Microsoft Loop c’est tout ça à la fois dans des espaces de travail.

Là aussi l’apparition de Microsoft Loop (connu initialement sous le nom de Fluid Framework), on comprend bien que l’on adresse une solution visant à simplier le travail en équipe avec des personnes présentes au bureau ou pas bref on traite à nouveau un sujet relatif au nouveau mode de travail : le fameux « hybrid work » à ne pas confondre avec le « mode hybride » qui fait lui référence au merge entre plateforme on prem et Cloud.

Et côté Windows quoi de neuf ?

Bon début novembre, au lendemain de la mise à disposition de Windows 11 depuis que les preview sont disponibles nous avons déjà vu pas mal de choses et nous savons à quoi ressemble ce nouveau Windows 11. Nous avons d’ailleurs eu l’occasion de l’aborder lors d’un webinar dédié à comment se préparer à l’arrivée en entreprise de Windows 11 ?

Et bien lors de l’Ignite ces sujets ont été abordés autour de plusieurs sessions visant à définir les scénarii d’implémentations, les nouveautés relatives au cycle de mise à jour de Windows 11 mais on a aussi beaucoup entendu parler de Windows 365, la solution de virtualisation rapide d’un poste de travail. Nous avions parlé de Windows 365 dans un précédent article. Et bien il faut retenir que ce fameux Windows 365 qui était disponible en Windows 10 et maintenant disponible en Windows 11 et offre de nouvelles capacités, tout en étant pas aussi finement configurable que du Cloud PC dans Azure.

Coté Endpoint Management ?

Alors SCCM, Intune, Endpoint Mangement, Endpoint Manager et bien là aussi beaucoup de choses évoluent, pas forcément de grandes nouveautés majeures. Des évolutions sur la gestion des iOS/iPad, des choses très intéressantes relatives à l’organisation et l’usage des groupes. Les prémices de la Gestion des devices Linux via Microsoft Endpoint Manager.

A noter également l’apparition d’une « console » dédiée à la gestion des devices de la famille surface : Surface Management Portal et qui permet un accès rapide aux informations de garantie et de supports de ces devices

Vous l’aurez compris, ce n’est pas forcément lors de l’Ignite que l’on voit le plus de nouveauté autour de ces solutions car là aussi on retrouve des évolutions chaque mois sur ces solutions comme pour Teams mais avec moins d’effet waouh.

Coté Sécurité des Endpoint on retrouve une refonte des noms (oui une de plus ), qui a tout de même l’intérêt de simplifier et siloter les scenarii que l’on souhaite adresser.

Nous retrouvons aussi des nouveaux Plans associés à Defender : Defender Plan 1 et Plan 2. Des solutions adaptées aux entreprises de plus petite taille avec Defender for Business qui vont « gommer » les limites que pouvaient rencontrer ces entreprises.

Conclusion

En conclusion, je ne traite pas ici des autres nouveautés autour de Azure OpenAI etc. Bien entendu nous avons adressé ici une courte synthèse de toutes les nouveautés énoncées et surtout celles qui sont les plus parlantes et visibles.

Microsoft met à disposition pour aller plus loin et trouver les sujets qui vous intéressent le plus, le Book of news de cet Event full cloud est disponible sur le lien suivant : Microsoft Ignite Book of News.

Début août, Microsoft a mis à disposition un nouveau service : Windows365. Ce dernier dont on avait entendu parler durant les mois précédents cette annonce sous le nom de Windows in cloud propose une solution de PC dans le cloud toujours disponible et accessible depuis l’appareil que vous voulez (un smartphone, une tablette, un mac ou même un autre PC) le tout soumis à facturation au travers d’un abonnement.

Il s’agit donc d’un PC virtuel toujours allumé (c’est important), hébergé dans le cloud Microsoft sur lequel on se connecte comme sur n’importe quel autre PC afin d’y retrouver ses applications, ses fichiers et autres données, le tout en toute sécurité.

A quoi sert Windows 365 ?

Les scenarii d’usage de Windows 365 sont multiples, un exemple au hasard (je suis sûr que ça va vous parler.), un utilisateur ou tous les utilisateurs de l’entreprise obligés de faire du télétravail du jour au lendemain : pas de problème, on leur met à disposition un coud PC Windows 365 et ils peuvent se connecter et travailler depuis le PC, le mac ou la tablette de la maison.

Au niveau connexion, pour faire simple, si la connexion permet de regarder une vidéo en streaming, c’est parfait et suffisant pour travailler sur Windows 365.

Un autre exemple ? Une population d’utilisateurs qui travaille sur le terrain n’a pas besoin d’accéder que ponctuellement à une ou plusieurs applications. D’autres solutions sont possibles également, mais plus lourdes à mettre en place, avec ce service, ils se connectent à travers un browser web sur leur Cloud PC et ils peuvent travailler.

Ce ne sont que deux exemples, on peut bien entendu imaginer beaucoup d’autre cas d’usage, qu’il faudra confronter au coût d’usage afin de vérifier la pertinence de cette solution par rapport à d’autres bien évidemment.

Intéressant, comment démarrer ? Quels prérequis ?

Pour démarrer, vous l’aurez compris, ce service, hébergé dans le cloud Microsoft, implique que l’entreprise ait déjà franchi un premier pas vers le cloud Microsoft par le biais d’Office 365, Azure et autres joyeusetés qui rythment notre quotidien depuis maintenant quelques années puisque l’accès au service est conditionné par les licences M365 dont vous disposez et de celles que vous assignez aux utilisateurs.

Pour utiliser Windows 365, vous devez respecter les prérequis suivants :

• Licenses requises pour utiliser Cloud PC/Windows 365:
  • Pour les utilisateurs disposant d’un PC Windows Pro: Windows 10 Enterprise E3 + EMS E3 or Microsoft 365 F3/E3/E5/BP
  • Pour les utilisateurs non Windows, ou les utilisateurs Windows sans Windows Pro: Windows VDA E3 + EMS E3 or Microsoft 365 F3/E3/F5/BP
• Une souscription Azure
• Virtual Network (vNET) disponible dans votre souscription Azure pour le routage vers un serveur DNS pour la résolution Active Directory on-prem ou dans Azure
• Un AD on-prem synchronisé avec Azure AD pour l’identité hybride dans Azure AD
• Des licences permettant l’accès à Microsoft Intune (par exemple Microsoft M365)
• Pour tous les utilisateurs du service, le paramètre « User Location » doit être renseigné
• Des abonnements Windows 365 pour les utilisateurs du service
  • avec 4 types de machines disponibles
  • Une option Business (moins de 300 users) ou Enterprise (toutes deux au même tarif de Base, diminuant en fonction des volumes et des licences Windows Pro des utilisateurs.).

Ces abonnements peuvent être souscrits directement depuis le Microsoft 365 admin Center

Une fois les abonnements acquis, il faut attribuer les licences Windows 365 aux utilisateurs et choisir une configuration matérielle virtuelle composée de CPU Virtuels (jusqu’8) de RAM (jusqu’à 32 Go) et d’un stockage (jusqu’à 512 GO). Bien entendu la configuration de base est la moins chère et plus les ressources de la machine augmentent, la tarification associée augmente également. Comme le montre le tableau suivant :

Les plus petites configurations composées de 1 vCPU permettent d’utiliser un Browser pour accéder aux services Office 365 par exemple mais ne sont pas adaptées à un vrai usage prolongé.

Les configurations basées sur 2vCPU et 8Go de RAM sont les plus intéressantes et les plus ressemblantes aux PC professionnels milieu de gamme que l’on rencontre en entreprise, permettant l’utilisation des applications, office, Teams et autres applications bureautiques. Le stockage faisant grimper un peu plus les tarifs il est judicieux de prendre le stockage minimum (OneDrive permettant de s’affranchir du stockage de données).

A noter qu’il est possible de modifier la configuration à tout moment. Il est donc possible de mettre à disposition pour le même utilisateur une machine standard, la faire évoluer vers une plus performante pendant un laps de temps (par exemple, utilisation ponctuelle d’une application gourmande en ressources) ou réduire ses performances.

La suite des opérations, la mise en place des machines

Deux options :

1. Pas de configuration spécifique, pas ou peu de paramétrage de la machine -> scénario à envisager si vous ne disposez pas de Intune ou pour faire quelques premiers tests (ce n’est pas l’approche que je préfère mais elle est possible et peut rendre service).
2. Configuration spécifique, distribution des applications etc. bref en faire un vrai PC d’entreprise 

Les étapes à réaliser pour la configuration avancée de vos PCs Cloud Windows 365 :

• La configuration de la connexion au réseau on Prem pour faire la création des Cloud PCs, les joindre au domaine AD et les gérer avec Microsoft Endpoint Manager (donc un Cloud PC dans l’AD gérer depuis SCCM -> distribution d’applications, conformité etc. et même mettre les Cloud Pcs dans une OU Spécifique
• La création des connections Azure vNET pour les Cloud PCs
• La création d’une « provisionning policy » spécifique pour les Cloud PCs (Intune requis)
• Choisir pour chaque configuration policy une image Windows qui sera appliquée sur les Cloud PCs (soit une proposée par défaut soit une image entièrement customisée, c’est-à-dire votre propre master) Les images par défaut sont illustrées dans la capture d’écran suivante :

• Ensuite l’affectation de cette configuration Policy sur un groupe Azure AD (tous les membres du groupe recevront un Cloud PC disposant des critères retenus).
• Et pour aller plus loin, toute la configuration et le tuning spécifique que l’on peut apporter en ciblant ce groupe pour la gestion du cloud PC via Intune ou SCCM au travers du co-management. Il donc très important de réfléchir au préalable à la gestion de ces devices spécifiques pour apporter les bons schémas de configuration et de paramétrage et créer les structures de groupes et configurations policies pour les différents types de Cloud PCs à gérer les populations à ciblés et donc la gestion des différents profils (pour résumer comment je gère et administre mes PCs dans le Cloud).
• Voilà tout est prêt (bon il y a un peu de travail tout de même, et il est important de traiter ces points de mise en place comme un vrai projet ou à minima un POC et de se faire accompagner pour appliquer les bonnes pratique). Il n’y a plus qu’à indiquer aux utilisateurs comment se connecter à leur nouveau PC dans le cloud.

Comment mes utilisateurs accèdent à leur PC Cloud Windows 365 ?

Deux façons de se connecter :

• La première depuis un navigateur Web en se connectant à l’url: windows365.microsoft.com avec son compte d’entreprise. L’utilisateur arrive sur une page web listant les Clouds PC dont il dispose

Le fait de cliquer sur le bouton open in browser affiche dans une page web le bureau du Cloud PC et on retrouve un Windows 10 classique avec un menu Office permettant d’accéder aux application Office déjà installées (dans cet exemple il s’agit d’un template de machine disponible de base).

• La deuxième façon de se connecter est d’installer un client de connexion à distance disponible depuis la page de connexion Windows365 ce qui améliore considérablement le confort d’utilisation avec la possibilité d’utiliser plusieurs écrans mais aussi d’autres ressources telles que le micro local du device, les imprimantes qui y sont connectées etc.

Il existe également un client remote desktop disponible pour accéder aux machines Cloud PC et l’ensemble des ressources locales utilisables sont disponibles également en fonction des différents types de matériels depuis lesquels lancer son Cloud PC. A noter que pour le moment la meilleure interaction se fait à partir d’un PC Windows avec le support du multi écran (jusqu’à 16), l’utilisation des ports USB, etc. mais l’usage classique notamment pour les réunions Teams permet l’utilisation des micros/haut-parleurs pour l’ensemble des devices.

Finalement, intéressant ou pas ?

De mon point de vue, c’est une solution très intéressante et une excellente alternative au PC classique, simple à mettre en œuvre, avec de grandes possibilités de gestion au travers d’Intune et que toute entreprise devrait considérer au moins en alternative et à tester dans le cadre d’un POC (Proof Of Concept).

Comme évoqué au tout début de cet article, tout va dépendre des cas d’usage à adresser en entreprise. Avec la récente crise sanitaire, beaucoup d’entreprise ont dû s’adapter du jour au lendemain au télétravail et il semblerait que la fréquence du télétravail va perdurer, c’est donc une très bonne solution pour donner accès aux utilisateurs à un PC virtuel disposant de toute la configuration et l’accès aux ressources de l’entreprise sans avoir à fournir le matériel donc en moindre coût (attention, il faut bien entendu analyser tous les facteurs à prendre en compte). Sur un déploiement à grande échelle, par rapport au coût d’installation et de mise à disposition par rapport à un PC classique, on peut même parler d’économie.

En termes d’expérience utilisateur, rien à redire, le fait de ne pas utiliser ou peu les ressources de l’appareil hôte est synonyme de tranquillité. Bien sûr il faut une connexion internet tout de même digne de ce nom.

Pas besoin de formation spécifique pour les utilisateurs finaux, un accompagnement et où une bonne communication sont suffisants.

En ce qui concerne les aspects sécurité, il n’y a pas grand-chose à dire et ne devrait pas apporter de points de blocage.

Enfin, il reste l’adhésion des utilisateurs, certains peuvent être hermétiques au fait d’utiliser un device personnel pour accéder aux ressources de l’entreprise et préférer que l’entreprise leur fournisse un vrai matériel.

En utilisant les attributs customisés (ou custom attributes), les équipes IT vont pouvoir réaliser un inventaire plus approfondi. Les possibilités sont énormes pour ne pas dire infinies.

Qu’est-ce qu’un custom attributes ?

Grossièrement, un custom attribute est le résultat final, l’output, d’un script bash exécuté sur un appareil MacOS. Powershell est reconnu pour être notre meilleur ami, bash a lui aussi de nombreuses forces.

En exécutant une commande bash sur un appareil MacOS, il est possible d’obtenir tout ce dont vous désirez savoir sur le poste. Et c’est cet output qu’est le custom attributes.

Comment ?

La première chose à avoir en tête est: qu’est-ce que vous souhaitez collecter ?

Souhaitez-vous connaître quels sont les admins locaux de vos appareils ? L’état de la batterie ? Qui est actuellement connecté sur la session ? Ou bien lire des fichiers de logs, l’état des pare-feux ? À vous d’en décider.

Les possibilités sont nombreuses. Une fois que l’objectif est dessiné, il suffit maintenant de trouver la ou les commandes bash pour arriver à vos fins.

Dernière étape en fin de script bash, stocker l’output de la commande dans une variable. Il suffira d’« echo » la variable et le tour est joué.

Voilà un exemple simple pour lister les administrateurs locaux avec un peu de formatage d’affichage.

Où dans la console Intune ?

Ici.

Upload et déploiement du script

Cliquez sur le bouton « Add » et donnez un nom à votre custom attribute.

Choisissez le type de variable que vous avez « echo ». C’est un peu plus délicat pour ce qui est des dates, je conseille d’aller voir sur le site de Microsoft leurs recommandations sur le sujet ici.
Libre à vous ensuite de l’assigner à vos users ou à vos appareils.

Résultat

Voici donc l’inventaire des admins locaux d’un des appareils sur lequel le script a été déployé.

Il est évidemment possible de coupler cela avec MS Graph et tout autre process d’automatisation ou dans des reporting custom tiers (validé avec Azure Devops).

Note : j’ai parfois rencontré une erreur « unknown » lors du déploiement, souci répertorié par Microsoft. Une synchronisation manuelle depuis le portail et localement ont résolu l’erreur.

Note Bis : selon la documentation de Microsoft (et ça semble être le cas d’après ce que j’ai observé), les custom attributes s’exécutent automatiquement toutes les 8 heures.

Échantillons de scripts « clés en mains »

Il y a quelques temps, je suis tombé sur un projet Github dans lequel plusieurs scripts bash sont partagés. Il y en a pour divers objectifs et prêts à être déployés.

Il s’agit là d’une bonne base pour commencer, libre à chacun de les améliorer ou de concevoir les siens.

J’ai trouvé d’ailleurs très intéressant d’utiliser la fonctionnalité « Information Système » avec la commande « system_profiler » tel que : system_profiler SPCameraDataType

Que ce soit dans un objectif de maîtrise du parc ou dans un souhait de déployer une application basée sur un critère hardware, l’inventaire est un souhait cher aux entreprises. 
À travers les custom attributes, ces entreprises peuvent désormais avoir un inventaire approfondis de leurs appareils MacOS qui ne sont pas en reste de leurs compagnons Windows.

De plus trouver rapidement la tâche qui s’est exécuté en erreur n’est pas toujours chose aisée.

Toutefois il existe une fonctionnalité, native de la console, qui est souvent sous-exploitée et pourtant bien utile : Les « Status Message queries »

Vous les trouvez dans la zone « Monitoring » de votre console dans la section « System Status »

La console embarque nativement toute une série de requêtes prédéfinies, mais il est aussi tout à fait possible de créer ses propres requêtes pour nous permettre de suivre le statut des tâches sur un poste client, connaitre les postes qui ont commencé une TS, connaitre les postes qui ont terminé une TS.

Connaitre les postes qui ont commencé une séquence de tâche

Pourquoi cette requête, me direz-vous ?

Tout simplement parce que lorsque vous exécutez une TS  d’installation de système et que celle-ci est déployée pour s’exécuter sur les postes inconnus, vous ne connaissez justement pas le nom du poste pour lequel vous souhaitez avoir le détail de l’exécution de la TS. Le système génère un nom de machine aléatoire de la forme : MININT-XXXXXXX

Cette requête vous permet donc de connaitre ces noms de machine.

Pour cela vous allez créer une nouvelle « Status message Query » que vous nommerez selon vos règles de nommage en vigueur.

Puis vous afficherez l’éditeur de requêtes : « Edit Query Statement…»

En préférant l’interface WQL : « Show Query Language »

Et c’est là que vous allez renseigner votre formule magique, sous la forme :

select
stat.*,
ins.*,
att1.*,
att1.AttributeTime
from  SMS_StatusMessage as stat
left join SMS_StatMsgInsStrings as ins on ins.RecordID = stat.RecordID
left join SMS_StatMsgAttributes as att1 on att1.RecordID = stat.RecordID
inner join SMS_StatMsgAttributes as att2 on att2.RecordID = stat.RecordID where att2.AttributeID = 400 and stat.MessageID = 11140
and att2.AttributeValue in ("<taskSequenceID1>","<tasksequenceID2>",…,"<tasksequenceIDn>")
and stat.SiteCode = "ABC"
and att2.AttributeTime >= ##PRM:SMS_StatMsgAttributes.AttributeTime##
order by att1.AttributeTime DESC

Bien évidemment vous remplacerez le siteCode par le vôtre et compléterez la liste des séquences de tâches que vous souhaitez cibler par les PackageID de vos TS (sous forme ABC00000)

Lorsque vous exécuterez votre Status message query (SMQ) il vous suffira de renseigner la période sur laquelle vous souhaitez collecter les informations.

Cette requête vous est utile pour récupérer le nom de la machine que vous souhaitez monitorer.

Suivre le statut des tâches d’une TS pour une machine

De la même façon que pour la requête précédente, vous allez pouvoir créer une nouvelle SMQ afin de lister le statut de chacune des étapes d’une TS d’installation système pour une machine donnée.

Cette fois-ci la requête aura la forme :

select
stat.*,
ins.*,
att1.*,
att1.AttributeTime
from  SMS_StatusMessage as stat
left join SMS_StatMsgInsStrings as ins on ins.RecordID = stat.RecordID
left join SMS_StatMsgAttributes as att1 on att1.RecordID = stat.RecordID
inner join SMS_StatMsgAttributes as att2 on att2.RecordID = stat.RecordID
where att2.AttributeID = 400
and stat.MachineName = ##PRM:SMS_StatusMessage.MachineName##
and att2.AttributeValue in ("<taskSequenceID1>","<tasksequenceID2>",…,"<tasksequenceIDn>")
and stat.SiteCode = " ABC "
and att2.AttributeTime >= ##PRM:SMS_StatMsgAttributes.AttributeTime##
order by att1.AttributeTime DESC

Bien évidemment vous remplacerez le siteCode par le vôtre et compléterez la liste des séquences de tâches que vous souhaitez cibler par les PackageID de vos TS (sous forme ABC00000)

Lorsque vous exécuterez votre Status message query (SMQ) il vous suffira de renseigner la période sur laquelle vous souhaitez collecter les informations et le nom de la machine que vous souhaitez monitorer.

Vous constaterez que les étapes en erreur sont rapidement identifiables grâce à l’icone  

Il ne vous reste plus qu’à regarder le détail de ce statut pour commencer à résoudre l’erreur.

Connaitre les postes qui ont terminé une TS

Cette requête vous permettra d’avoir la liste des machines qui ont terminé les TS que vous souhaitez monitorer sur une période de temps.

Assez utile pour avoir un aperçu de l’activité.

select
stat.*,
ins.*,
att1.*,
att1.AttributeTime
from  SMS_StatusMessage as stat
left join SMS_StatMsgInsStrings as ins on ins.RecordID = stat.RecordID
left join SMS_StatMsgAttributes as att1 on att1.RecordID = stat.RecordID
inner join SMS_StatMsgAttributes as att2 on att2.RecordID = stat.RecordID
where att2.AttributeID = 400
and stat.MessageID = 11171
and att2.AttributeValue in ("<taskSequenceID1>","<tasksequenceID2>",…,"<tasksequenceIDn>")
and stat.SiteCode = " ABC "
and att2.AttributeTime >= ##PRM:SMS_StatMsgAttributes.AttributeTime##
order by att1.AttributeTime DESC

Je suis certain que ces nouvelles SMQ vous seront très utiles pour rapidement résoudre les incidents de TS.

L’idée est de vous : donner des conseils sur le passage de cette certification, de vous aider à vous y préparer en vous partageant des questions types et pièges, mais aussi des outils qui m’ont aidé dans la révision et l’acquisition des connaissances nécessaires.

Quel est le périmètre concerné par cette certification?

Avant de se lancer la certification il convient de bien comprendre le périmètre qui est concerné : si on regarde la documentation officielle de Microsoft

https://query.prod.cms.rt.microsoft.com/cms/api/am/binary/RE3VEHZ

Nous retrouvons le périmètre suivant:

Modern Device Services (30-35%)

• La stratégie d’implémentation du MDIM, son intégration avec Azure AD, les méthodes d’enrôlement et surtout les limites.
• La gestion de la conformité, tout ce qui touche à l’accès conditionnel, MFA et aux politiques de conformité
• La gestion du business store
• Le déploiement des applications co-management, profiles, sécurité
• Le déploiement des Windows 10 et des fonctions associées

Microsoft 365 Security and Threat Management (30-35%)

• L’installation et la gestion d’un CAS
• La configuration du service ATP et des règles de remédiation
• La gestion des tableaux de bords, l’identité avec Azure AD Information Protection, et le suivi des alertes

Microsoft 365 Governance and Compliance (35-40%)

• La gestion de toute la partie DLP
• Tout ce qui se rapport à AIP, WIP et les labels
• Les sujets relatifs à la rétention de données (y compris après suppression) et les notions de politiques de retention
• La stratégie de sauvegarde/restauration Office 365
• Les audits sur les données et les droits associés (pensez au rôle de Super User)
• Toute la partie e-Discovery notamment dans une approche légale ou dans la recherche de données d’entreprise.

Quelles sont les compétences visées?

• La gestion et le déploiement d’Intune
• Le déploiement et la gestion de la partie sécurité orienté identité et device (ATP, accès conditionnel, Azure AD Information protection)

Il s’agit donc d’une certification relativement difficile qui nécessite de l’expérience et de l’entraînement.

Comment se lancer, dans la préparation de la certification?

Le prérequis numéro un pour se lancer sur cette certification est d’avoir un niveau technique suffisant autour de l’ensemble de concepts liés au modern management et aux différentes briques.

Dans un deuxième temps, on commencera par se frotter à l’implémentation d’Intune, le déploiement d’applications, le business store et autopilot.

Puis, on travaillera sur le MFA, les accès conditionnels et la gestion des politiques de conformités. De là, nous pouvons poursuivre sur la partie ATP / CAS.

Avant de terminer par la partie sécurité des données, les sauvegardes, restauration et la gestion des droits.

Les outils sont très nombreux :

• Active Directory
• SCCM
• Windows 10
• Intune
• Business Store
• Azure
• Microsoft Defender ATP
• Azure ATP, ATA
• Microsoft Information Protection/ WIP
• Exchange Online

Il faut donc des licences M365 E5, quelques machines, des devices iOS, Android et beaucoup de temps pour implémenter tous les scénarios dans un LAB.

Les questions que vous allez rencontrer

J’ai listé ici quelques questions par rubrique qui vous seront utiles à mémoriser :

Modern Device Services

• Comment configurer l’accès conditionnel ?
• Comment on active l’app control d’Office 365 ?

• Les différences entre une « device compliance policy » et une « conditional access policy ». Plus spécifiquement comprendre quelles actions peut-on déclencher à partir d’une règle de conformité vs une règle d’accès conditionnel ?
• Les différentes modalités d’enrôlement et les filtrages par les groupes.

TIPS: Dans Azure, seule la politique appliquée au groupe le plus prioritaire est appliquée si un device appartient à plusieurs groupes.

• Les différents biais d’enrôlement (DEM, User, Device) et les restrictions possibles
• Le co-management et ses limites (seuls les postes W10 peuvent être co-managés)
• Le déploiement Windows 10 et en particulier les limites autopilot versus déploiement traditionnel
• Les droits relatifs au business Store

TIPS: Seul le gobal admin à les droits pour créer le business store

https://docs.microsoft.com/en-us/azure/active-directory/roles/permissions-reference

https://docs.microsoft.com/en-us/microsoft-store/sign-up-microsoft-store-for-business

• Les politiques de MFA liés une risk policy
• La configuration du Windows Update For Business
• Le déploiement des applications via Intune en particulier l’assignation d’une application
• Configuration de desktop analytics
• Stratégie Password less avec Hello For business.  
• Exemple : Une entreprise massivement dotée de SSO veut mettre en place une stratégie Password less que proposez-vous ?

Microsoft 365 Security and Threat Management

• Des questions sur ATA (même si le produit est en fin de vie). Notamment des questions sur la lightweight gateway vs event forwarding et standalone sensor
• La gestion via powershell des rôles et notamment du rôle SuperUser
• La gestion des labels dans AIP en fonction des types de clients : client classique et le unified labelling client

Tips: Le client classique ne supporte que Windows 10. Les politiques de l’unified labelling client sont récupérées dans le Security and compliance center vs le client classique qui peut télécharger ses politiques depuis le portail Azure

• Les différentes politiques CAS possible.  Par exemple, quelle politique CAS choisir pour faire de la supervision temps réel et contrôler les connexions sur des applications cloud pour des devices non joints au domaine et non managés par Intune ? Réponse: Access Policy
• La configuration d’Azure ATP notamment les prérequis en terme d’event forwarding des différents DC de l’infra, les durées nécessaires à la mise à jour des ATP sensors.

Tips : Depuis la version 2.62 d’azure ATP il faut 72h contre 24h avant.