¶
¶ Introduction à Microsoft Intune dans Microsoft 365
¶ 0. Vidéo
¶ 1. Qu'est-ce que Microsoft Intune ?
¶ Définition
Microsoft Intune est une solution de gestion des appareils mobiles (MDM – Mobile Device Management) et de gestion des applications mobiles (MAM – Mobile Application Management) hébergée dans le cloud. Elle permet aux organisations de gérer de manière centralisée les appareils utilisés par leurs employés, qu'il s'agisse de téléphones, tablettes ou ordinateurs.
¶ Objectifs principaux
| Objectif | Description |
|---|---|
| Sécuriser les appareils | S'assurer que chaque appareil respecte les politiques de sécurité de l'organisation |
| Gérer les applications | Déployer, mettre à jour et retirer des applications à distance |
| Protéger les données | Empêcher les fuites de données sensibles sur des appareils non conformes |
| Automatiser la configuration | Appliquer des paramètres uniformes sur l'ensemble du parc informatique |
¶ Pourquoi utiliser Intune ?
Dans un environnement de travail moderne, les employés utilisent une grande variété d'appareils (personnels ou professionnels) depuis différents endroits. Intune répond à ce défi en permettant à l'équipe IT de :
- Gérer des appareils sans VPN ni infrastructure sur site
- Supporter le modèle BYOD (Bring Your Own Device)
- Maintenir la conformité de l'ensemble du parc
- Réagir rapidement en cas de perte ou de vol (effacement à distance)
¶ 2. Intune dans l'écosystème Microsoft 365
¶ Positionnement dans Microsoft 365
Intune fait partie de Microsoft Endpoint Manager, qui regroupe également Configuration Manager (anciennement SCCM). Il s'intègre étroitement avec d'autres services Microsoft 365 :
Microsoft 365
├── Azure Active Directory (Azure AD / Entra ID) ← Identités et accès
├── Microsoft Intune ← Gestion des appareils
├── Microsoft Defender for Endpoint ← Sécurité des terminaux
├── Microsoft Purview (ex-Compliance Center) ← Protection des données
└── Applications Microsoft 365 (Teams, Outlook…) ← Productivité
¶ Licences requises
Pour utiliser Intune, une licence appropriée est nécessaire. Les plans suivants incluent Intune :
- Microsoft 365 Business Premium
- Microsoft 365 E3 / E5
- Enterprise Mobility + Security (EMS) E3 / E5
- Intune Plan 1 / Plan 2 (licences autonomes)
⚠️ Note : Vérifiez toujours les licences disponibles dans votre tenant avant de commencer le déploiement.
¶ 3. Concepts fondamentaux
¶ 3.1 MDM vs MAM
| Concept | MDM | MAM |
|---|---|---|
| Signification | Mobile Device Management | Mobile Application Management |
| Portée | L'appareil entier | Seulement les applications gérées |
| Cas d'usage | Appareils professionnels dédiés | Appareils personnels (BYOD) |
| Contrôle | Élevé (accès complet) | Limité (données d'application uniquement) |
| Effacement | Effacement total possible | Effacement sélectif des données d'entreprise |
¶ 3.2 Appareils gérés vs non gérés
- Appareils gérés (MDM) : L'appareil est inscrit dans Intune. L'organisation a une visibilité et un contrôle complets.
- Appareils gérés (MAM sans inscription) : Seules les applications professionnelles sont protégées. Idéal pour le BYOD.
- Appareils non gérés : Aucune politique appliquée. Accès aux ressources généralement restreint via l'accès conditionnel.
¶ 3.3 Le tenant Azure AD
Intune s'appuie sur Azure Active Directory (Entra ID) pour :
- Authentifier les utilisateurs et les appareils
- Appliquer des groupes pour cibler les politiques
- Activer l'accès conditionnel
¶ 4. Architecture et composants
¶ Vue d'ensemble
┌─────────────────────────────────────────────────────┐
│ Centre d'administration │
│ intune.microsoft.com │
└───────────────────────┬─────────────────────────────┘
│ Portail Web (HTTPS)
┌─────────────▼──────────────┐
│ Microsoft Intune │
│ (Service Cloud Azure) │
└──┬──────────┬──────────┬───┘
│ │ │
┌────▼──┐ ┌───▼───┐ ┌───▼────┐
│Windows│ │ iOS / │ │Android│
│ PC │ │ macOS │ │ │
└───────┘ └───────┘ └────────┘
¶ Composants clés
| Composant | Rôle |
|---|---|
| Centre d'administration Intune | Interface web pour configurer et superviser |
| Agent Intune | Composant installé sur l'appareil pour recevoir les politiques |
| Apple Push Notification (APNs) | Nécessaire pour gérer les appareils iOS/macOS |
| Android Enterprise | Framework Google pour la gestion des appareils Android |
| Windows Autopilot | Déploiement automatisé des PC Windows |
| Company Portal | Application permettant aux utilisateurs d'inscrire leurs appareils |
¶ 5. Inscription des appareils (Enrollment)
L'inscription est l'étape par laquelle un appareil est enregistré dans Intune et commence à recevoir des politiques.
¶ 5.1 Méthodes d'inscription par plateforme
¶ Windows
| Méthode | Description |
|---|---|
| Windows Autopilot | Déploiement automatisé, idéal pour les nouveaux appareils |
| Azure AD Join + MDM auto-enrollment | L'appareil rejoint Azure AD et s'inscrit automatiquement |
| Inscription manuelle | Via Paramètres > Comptes > Accès professionnel ou scolaire |
| Group Policy (GPO) | Pour les appareils hybrides joint à un domaine AD |
¶ iOS / iPadOS
- Apple Business Manager (ABM) + Automated Device Enrollment (ADE) — pour les appareils achetés en volume
- Company Portal — pour les appareils personnels (BYOD)
- Profil d'inscription manuel
¶ Android
- Android Enterprise (Work Profile, Fully Managed, Dedicated)
- Samsung Knox Mobile Enrollment
- Company Portal (BYOD)
¶ macOS
- Apple Business Manager + profil d'inscription automatique
- Inscription manuelle via Company Portal
¶ 5.2 Workflow d'inscription typique
1. L'administrateur configure les restrictions d'inscription
↓
2. L'utilisateur télécharge Company Portal (ou utilise Autopilot)
↓
3. L'utilisateur s'authentifie avec son compte Microsoft 365
↓
4. L'appareil reçoit et applique les politiques Intune
↓
5. L'appareil est visible dans le centre d'administration
¶ 5.3 Restrictions d'inscription
Dans Intune, vous pouvez limiter :
- Les plateformes autorisées (ex. : bloquer Android personnel)
- Le nombre d'appareils par utilisateur
- Les versions minimales de système d'exploitation
¶ 6. Gestion des politiques de conformité
¶ 6.1 Qu'est-ce qu'une politique de conformité ?
Une politique de conformité définit les exigences minimales qu'un appareil doit respecter pour être considéré comme « conforme ». Si un appareil n'est pas conforme, des actions peuvent être déclenchées automatiquement.
¶ 6.2 Exemples de règles de conformité
| Catégorie | Exemples de règles |
|---|---|
| Sécurité | PIN/mot de passe requis, longueur minimale, chiffrement activé |
| Système | Version OS minimale, mise à jour requise |
| Santé de l'appareil | Jailbreak/Root interdit, attestation d'intégrité Windows |
| Configuration réseau | Pare-feu activé |
¶ 6.3 États de conformité
Un appareil peut avoir les états suivants :
- ✅ Conforme : Toutes les règles sont respectées
- ❌ Non conforme : Une ou plusieurs règles sont violées
- ⏳ En attente : L'évaluation est en cours
- ⚠️ Erreur : Problème lors de l'évaluation
¶ 6.4 Actions en cas de non-conformité
Lorsqu'un appareil devient non conforme, Intune peut :
- Envoyer un email à l'utilisateur (immédiatement ou après délai)
- Pousser une notification via Company Portal
- Marquer l'appareil comme non conforme (bloque l'accès conditionnel)
- Mettre l'appareil en retraite (retirer les données d'entreprise)
- Verrouiller l'appareil à distance
¶ 7. Profils de configuration
¶ 7.1 Définition
Les profils de configuration permettent de pousser des paramètres spécifiques sur les appareils gérés, sans intervention manuelle de l'utilisateur.
¶ 7.2 Types de profils courants
| Type de profil | Utilisation |
|---|---|
| Wi-Fi | Configurer automatiquement les réseaux Wi-Fi d'entreprise |
| VPN | Déployer les paramètres VPN |
| Configurer les comptes Exchange/Outlook | |
| Certificats | Déployer des certificats SCEP/PKCS |
| Restrictions | Bloquer des fonctionnalités (appareil photo, App Store, etc.) |
| Endpoint Protection | Configurer Windows Defender, BitLocker |
| Scripts PowerShell | Exécuter des scripts sur les PC Windows |
| Modèles administratifs (ADMX) | Paramètres de stratégie de groupe pour Windows |
¶ 7.3 Ciblage des profils
Les profils sont assignés à des groupes Azure AD (utilisateurs ou appareils). Il est possible d'exclure certains groupes d'une assignation.
Profil Wi-Fi "Réseau-Corporate"
├── Assigné à : Groupe "Tous les employés"
└── Exclu de : Groupe "Appareils de test"
💡 Bonne pratique : Créez des groupes dynamiques Azure AD basés sur des attributs (ex. : département, type d'appareil) pour automatiser l'assignation.
¶ 8. Déploiement d'applications
¶ 8.1 Types d'applications supportées
| Type | Plateforme | Exemple |
|---|---|---|
| Application du Store | iOS, Android, Windows | Microsoft Teams depuis l'App Store |
| Application LOB (Line-of-Business) | Toutes | Fichier .apk, .ipa, .msi, .intunewin |
| Application web | Toutes | Lien vers une web app |
| Applications Microsoft 365 | Windows, macOS | Suite Office |
| Microsoft Store for Business | Windows | Applications d'entreprise |
¶ 8.2 Modes de déploiement
| Mode | Description | Visible pour l'utilisateur ? |
|---|---|---|
| Obligatoire | Installation forcée, sans interaction utilisateur | Non (silencieuse) |
| Disponible | L'utilisateur peut choisir d'installer depuis Company Portal | Oui |
| Désinstaller | Supprime l'application de l'appareil | Non |
¶ 8.3 Préparer un package Win32 (.intunewin)
Pour déployer un logiciel Windows classique :
# Utiliser l'outil Microsoft Win32 Content Prep Tool
IntuneWinAppUtil.exe
-c <dossier_source> # Dossier contenant l'installateur
-s <fichier_setup> # Fichier d'installation (ex: setup.exe)
-o <dossier_sortie> # Dossier de sortie pour le .intunewin
¶ 8.4 Règles de détection
Pour les applications Win32, il faut définir une règle de détection pour savoir si l'application est déjà installée :
- Présence d'un fichier ou dossier
- Valeur de clé de registre
- Script PowerShell personnalisé
¶ 9. Accès conditionnel avec Azure AD
¶ 9.1 Principe
L'accès conditionnel est une fonctionnalité d'Azure AD (Entra ID) qui travaille de pair avec Intune. Il permet de bloquer ou de restreindre l'accès aux ressources cloud (Exchange Online, SharePoint, Teams…) en fonction de conditions définies.
¶ 9.2 Logique de l'accès conditionnel
Utilisateur tente d'accéder à une ressource
↓
Évaluation des conditions :
- L'appareil est-il inscrit dans Intune ?
- L'appareil est-il conforme ?
- L'utilisateur est-il dans un groupe autorisé ?
- Localisation (pays, IP) ?
↓
┌───────────────────────────────────┐
│ Conforme → Accès accordé ✅ │
│ Non conforme → Accès bloqué ❌ │
│ ou MFA requis 🔐 │
└───────────────────────────────────┘
¶ 9.3 Conditions et contrôles courants
Conditions :
- Appartenance à un groupe d'utilisateurs
- Plateforme de l'appareil (Windows, iOS, Android)
- Application cloud accédée
- Emplacement réseau (réseau d'entreprise ou externe)
- Risque utilisateur/connexion (Azure AD Identity Protection)
Contrôles d'accès :
- Exiger la conformité Intune
- Exiger Azure AD Join ou Hybrid Azure AD Join
- Exiger l'authentification multifacteur (MFA)
- Restreindre aux sessions de navigateur uniquement
¶ 10. Sécurité et protection des données
¶ 10.1 Stratégies de protection des applications (APP/MAM)
Les App Protection Policies permettent de protéger les données d'entreprise dans les applications gérées (Outlook, Teams, OneDrive…), même sur des appareils non inscrits.
Exemples de restrictions applicables :
- Interdire le copier-coller entre applications gérées et non gérées
- Interdire la sauvegarde dans des services cloud non autorisés (ex. : Google Drive)
- Exiger un PIN pour ouvrir l'application
- Chiffrer les données de l'application
- Effacement sélectif des données d'entreprise uniquement
¶ 10.2 BitLocker (Windows)
Intune peut gérer le chiffrement BitLocker sur les PC Windows :
- Activer BitLocker automatiquement
- Stocker les clés de récupération dans Azure AD
- Forcer le chiffrement pour les lecteurs amovibles
¶ 10.3 Microsoft Defender for Endpoint
L'intégration entre Intune et Defender for Endpoint permet :
- D'utiliser le niveau de risque de l'appareil dans les politiques de conformité
- De déclencher des actions automatiques si une menace est détectée
- D'avoir une vue unifiée de la sécurité des terminaux
¶ 10.4 Effacement à distance
En cas de perte ou de vol, Intune offre plusieurs options :
| Action | Effet |
|---|---|
| Retirer (Retire) | Supprime les données d'entreprise, laisse les données personnelles |
| Réinitialiser (Wipe) | Remet l'appareil aux paramètres d'usine (tout supprimé) |
| Supprimer (Delete) | Retire l'appareil du portail Intune sans l'effacer |
| Verrouiller | Verrouille l'écran de l'appareil à distance |
| Réinitialiser le code PIN | Réinitialise le PIN ou le mot de passe |
¶ 11. Surveillance et rapports
¶ 11.1 Tableau de bord Intune
Le centre d'administration Intune (intune.microsoft.com) offre un tableau de bord avec :
- Vue d'ensemble de la conformité des appareils
- État des déploiements d'applications
- Alertes et problèmes actifs
- Activité récente
¶ 11.2 Rapports disponibles
| Rapport | Contenu |
|---|---|
| Conformité des appareils | Liste des appareils conformes/non conformes |
| Inventaire des appareils | Détails matériels et logiciels de chaque appareil |
| Déploiement d'applications | Succès, échecs, en attente par application |
| Mises à jour Windows | État des mises à jour Windows Update for Business |
| Audit logs | Historique des actions administratives |
¶ 11.3 Intégration avec Microsoft Endpoint Analytics
Endpoint Analytics (inclus dans Intune) fournit des métriques sur :
- Le score de santé des appareils
- Les temps de démarrage
- Les applications causant des plantages
- Les recommandations d'amélioration
¶ 11.4 Exportation et automatisation
Les données Intune peuvent être exportées et exploitées via :
- Microsoft Graph API — intégration programmatique
- Azure Monitor / Log Analytics — journalisation avancée
- Power BI — tableaux de bord personnalisés
¶ 12. Bonnes pratiques et cas d'usage
¶ 12.1 Bonnes pratiques générales
- Commencer avec un pilote : Déployez Intune sur un groupe restreint avant un déploiement global.
- Utiliser des groupes Azure AD dynamiques : Automatisez l'assignation des politiques.
- Documenter toutes les politiques : Gardez une trace des règles appliquées et de leur justification.
- Tester avant de déployer : Créez un environnement de test séparé.
- Activer l'accès conditionnel progressivement : Commencez en mode "Rapport uniquement" avant de bloquer des accès.
- Former les utilisateurs : Expliquez le processus d'inscription et l'utilisation de Company Portal.
- Réviser régulièrement les politiques : Adaptez les règles à l'évolution des menaces et des besoins métier.
¶ 12.2 Cas d'usage courants
¶ Entreprise avec des PC Windows corporate
- Utiliser Windows Autopilot pour le déploiement automatisé
- Appliquer BitLocker et Windows Defender via des profils de configuration
- Déployer les applications Microsoft 365 automatiquement
¶ Organisation avec politique BYOD
- Utiliser MAM sans inscription pour les appareils personnels
- Déployer des App Protection Policies sur Outlook et Teams
- Appliquer l'accès conditionnel pour protéger les données sensibles
¶ Environnement multi-plateforme (Windows, iOS, Android)
- Créer des politiques de conformité par plateforme
- Utiliser Apple Business Manager pour les appareils iOS
- Configurer Android Enterprise Work Profile pour séparer vie pro/perso
¶ 13. Exercices pratiques
¶ Exercice 1 — Explorer le centre d'administration
- Connectez-vous à https://intune.microsoft.com
- Naviguez dans les sections : Appareils, Applications, Utilisateurs
- Identifiez les politiques de conformité existantes (ou l'absence de politiques)
¶ Exercice 2 — Créer une politique de conformité Windows
- Aller dans Appareils > Stratégies de conformité > Créer une stratégie
- Sélectionner la plateforme Windows 10 et ultérieur
- Configurer les règles suivantes :
- Exiger un mot de passe
- Longueur minimale : 8 caractères
- Chiffrement requis
- Version OS minimale : Windows 10 22H2
- Assigner au groupe Appareils de test
- Configurer une action : envoyer un email après 1 jour de non-conformité
¶ Exercice 3 — Déployer une application
- Aller dans Applications > Toutes les applications > Ajouter
- Choisir Application Microsoft Store
- Rechercher et sélectionner Microsoft To Do
- Assigner en mode Disponible au groupe Tous les utilisateurs
- Vérifier le statut de déploiement après 24h
¶ Exercice 4 — Créer un profil de configuration Wi-Fi
- Aller dans Appareils > Profils de configuration > Créer un profil
- Plateforme : Windows 10 et ultérieur
- Type de profil : Wi-Fi
- Configurer le SSID, le type de sécurité (WPA2-Enterprise)
- Assigner au groupe Appareils Windows Corporate
¶ 14. Ressources complémentaires
¶ Documentation officielle Microsoft
- 📖 Documentation Microsoft Intune
- 📖 Centre d'administration Microsoft Endpoint Manager
- 📖 Microsoft Learn — Parcours Intune
¶ Certifications pertinentes
| Certification | Description |
|---|---|
| MD-102 | Microsoft 365 Endpoint Administrator |
| MS-101 | Microsoft 365 Mobility and Security |
| SC-300 | Microsoft Identity and Access Administrator |
¶ Outils utiles
- Microsoft Win32 Content Prep Tool — Préparer les packages .intunewin
- Microsoft Intune PowerShell SDK — Automatiser via PowerShell
- Graph Explorer — Tester les appels Microsoft Graph API
📝 Note finale : Microsoft Intune évolue rapidement. Il est recommandé de consulter régulièrement la documentation officielle et les notes de version mensuelles publiées par Microsoft pour rester à jour sur les nouvelles fonctionnalités.
*Cours rédigé pour le Cégep Ahuntsic par son excellence Pablo The God