Ce que vous saurez faire
- Expliquer le modèle MDM (pull au check-in) vs GPO (push au login / refresh).
- Décrire l'enrôlement et Windows Autopilot (provisioning zero-touch).
- Créer une politique de conformité et un profil de configuration (Settings Catalog).
- Traduire une GPO en équivalent Intune à l'aide du tableau de correspondance.
- Déployer une application (Win32 / Store) et cibler par groupe.
Compétences transférées depuis l'AD classique
| L'admin AD réutilise | L'admin AD doit désapprendre |
|---|---|
| Connaissance fine des paramètres (registre, ADMX) | « gpupdate /force » n'existe pas — MDM applique au check-in |
| Logique de ciblage (qui reçoit quoi) | Ciblage par OU → ciblage par groupe |
| Packaging applicatif | MSI / GPO software install → Win32 (.intunewin) / Store |
Du GPO au MDM cloud
1. MDM vs gestion GPO : le changement de modèle
| GPO (AD DS) | Intune (MDM) | |
|---|---|---|
| Modèle | Push : le poste va chercher les GPO au login / refresh | Pull : le poste check-in périodiquement (~8h, ou à la demande) |
| Transport | SMB / LDAP sur le réseau interne (ligne de vue DC) | HTTPS depuis Internet (poste où qu'il soit) |
| Ciblage | Lien GPO sur OU (+ filtres WMI / sécurité) | Assignation sur groupe (users ou devices) |
| Application immédiate | gpupdate /force | Sync manuelle depuis le poste / le portail (pas de « force » réseau) |
| Poste éligible | Joint au domaine AD | Enrôlé MDM (joint Entra / hybride) |
| Résultat | Réglages appliqués tant que dans l'OU | Réglages appliqués tant qu'assigné + conforme |
2. Enrôlement & Windows Autopilot
- Enrôlement : le processus par lequel un poste devient géré par Intune (joint Entra + inscrit MDM). Peut être automatique (via CA / onboarding) ou manuel.
- Windows Autopilot : provisioning zero-touch. Le poste, sorti de sa boîte, s'auto-configure (jointure Entra, enrôlement Intune, applications, politiques) au premier démarrage, sans image ni intervention IT sur place.
Vous prépariez une image (MDT / SCCM), puis jointure au domaine manuelle.
Plus d'image dorée : le poste part du Windows OEM et se configure via le cloud.
Vouloir recréer une image de référence. Autopilot casse ce paradigme : on part de Windows d'usine et on configure, on ne déploie plus une image.
Un utilisateur signale qu'un nouveau profil Intune n'est pas appliqué sur son poste. Quel est le premier réflexe ?
gpupdate /force.
MDM = modèle pull. Le poste doit demander ses réglages. Paramètres > Comptes > Accès professionnel > le compte Intune > Sync. Vous pouvez aussi déclencher depuis le portail Intune (action Sync sur l'appareil). Si après sync le profil ne s'applique toujours pas, vérifier l'assignation du groupe et l'état de conformité du poste.
3. Politiques de conformité
Une politique de conformité définit ce qu'est un « appareil sain » : chiffrement BitLocker activé, version d'OS minimale, antivirus actif, code PIN, pas de jailbreak, etc.
Le résultat (compliant / non-compliant) est consommé par le Conditional Access (module 04) via « require device to be marked as compliant ». C'est le pont poste ↔ identité.
Aucun. Rien en GPO ne calcule un état « conforme » exploité par un moteur d'accès. Le NAP (Network Access Protection) était une tentative de rapprochement, obsolète.
4. Profils de configuration — le remplacement des GPO
Trois familles principales :
- Settings Catalog : catalogue moderne, exhaustif, de milliers de paramètres. Recommandé pour les nouveaux réglages. C'est l'équivalent le plus direct des paramètres GPO.
- Templates (Administrative Templates / ADMX) : réglages type GPO ADMX, familiers. « Ingested ADMX » pour importer des ADMX tiers (navigateurs, apps métier).
- Profils dédiés : endpoint protection, chiffrement, réseau / Wi-Fi / VPN, certificats, etc.
5. Applications
| Type | Usage | Équivalent AD |
|---|---|---|
| Win32 (.intunewin) | Applications classiques empaquetées avec l'outil Content Prep | GPO Software Installation / SCCM |
| Microsoft Store apps | Apps du Store (nouveau modèle Store) | Pas d'équivalent GPO direct |
| MSIX / Line-of-business | Paquets modernes / apps internes | Déploiement MSI |
| Apps mobiles (iOS / Android) | Via les stores publics + MAM | Pas d'équivalent |
6. Tableau de correspondance GPO ↔ Intune
Le tableau de référence pour traduire vos GPO existantes. À garder sous la main pendant tout le projet de migration.
| Besoin (GPO classique) | Où c'était en GPO | Équivalent Intune |
|---|---|---|
| Verrouillage d'écran, complexité de mot de passe | Security Settings / Password Policy | Politique de conformité + Settings Catalog (Device Lock) |
| Chiffrement du disque | GPO BitLocker | Profil Endpoint protection / Disk encryption (BitLocker) |
| Paramètres navigateur (Edge / Chrome) | ADMX Edge / Chrome | Settings Catalog ou ADMX ingérés |
| Mappage de lecteurs réseau | GPP Drive Maps | Script PowerShell (Platform scripts) / migration vers SharePoint |
| Déploiement d'application | Software Installation (MSI) | App Win32 (.intunewin) |
| Fond d'écran, restrictions UI | Administrative Templates | Settings Catalog |
| Pare-feu Windows | GPO Windows Firewall | Profil Endpoint protection / Firewall |
| Paramètres Wi-Fi / VPN | GPO / GPP | Profils Wi-Fi / VPN Intune |
| Restrictions USB / périphériques | GPO Device Installation | Settings Catalog (Device restrictions) |
| Mises à jour Windows | WSUS / GPO Windows Update | Windows Update rings (Update policies) |
Sources Microsoft Learn
- Intune — vue d'ensemble
- Windows Autopilot
- Politiques de conformité
- Settings Catalog
- Administrative Templates / ADMX
- Applications Win32
- Group Policy Analytics (analogie GPO → Intune)
Rappel : en cas d'écart entre ce support et le portail, le portail fait foi.
Créer une politique de conformité + Settings Catalog
Partie A — Enrôler un poste Windows (45 min)
Portail : intune.microsoft.com > Devices > Enrollment.
1. Enrôlement manuel
Depuis le poste : Paramètres > Comptes > Accès professionnel ou scolaire > Connecter. Se connecter avec un compte du tenant. Le poste devient joint Entra + enrôlé Intune.
2. Vérifier l'enrôlement
Intune > Devices > All devices. Le poste apparaît avec son OS, statut de conformité, dernière sync.
3. Créer un groupe dynamique
Groups > New group > Dynamic Device. Règle : device.deviceOSType -eq "Windows". Ce groupe recevra les politiques Windows.
Partie B — Politique de conformité + profil de configuration (60 min)
Politique de conformité — « Postes Windows sains »
Portail : Intune > Devices > Compliance policies > Create policy > Windows 10 et ultérieur.
- System Security : Require BitLocker = Require, Require Secure Boot = Require, Antivirus = Require.
- Device Health : Require Windows Defender ATP = Not configured (E3), OS version min = 10.0.19045 (à adapter).
- Actions for noncompliance : Notify user after 3 days, Retire after 30 days.
- Assignations : le groupe dynamique Windows.
Profil de configuration Settings Catalog — « Verrouillage d'écran »
Portail : Intune > Devices > Configuration profiles > Create profile > Windows 10 et ultérieur > Settings catalog.
- Rechercher Device Lock.
- Activer : Max Inactivity Time Device Lock = 900 (15 min).
- Password Required = True, Password Complexity = Alphanumeric.
- Assignation : groupe Windows dynamique.
Déclencher une sync
Depuis le poste (Paramètres > Accès professionnel > Sync) ou depuis le portail (action Sync). Attendre 5-10 min. Vérifier dans Devices > [poste] > Device configuration que le profil est appliqué.
Partie C — Déployer une app Win32 (45 min)
Portail : Intune > Apps > Windows > Add > Windows app (Win32).
- Empaqueter l'installeur avec Microsoft Win32 Content Prep Tool (
.exe / .msi→.intunewin). - Upload du
.intunewindans le portail. - Renseigner la commande d'installation, la commande de désinstallation, les règles de détection (registre, fichier, ou script).
- Assigner au groupe : Required (installation forcée) ou Available (Company Portal).
5 réflexes GPO à corriger
Testez vos acquis
Une évaluation interactive qui vous donne le badge Acquis (≥60%) ou Maîtrisé (≥80%).
Cas pratique — Migrer 40 GPO vers Intune
Contexte : votre parc de 30 postes est encore géré par ~40 GPO. Vous préparez le passage à Intune.
Questions :
- Par quoi commencez-vous (démarche, pas paramètre par paramètre) ?
- Comment gérez-vous une GPO « BitLocker » et une GPO « page de démarrage Edge » ?
- Comment garantissez-vous que seuls les postes sains accèdent à la messagerie ?
- Quel réflexe AD devez-vous abandonner pendant le déploiement ?
Démarche attendue
- Inventaire et tri des GPO (Group Policy Analytics peut aider à mesurer la couverture Intune). Éliminer l'obsolète / redondant, prioriser les GPO de sécurité et de conformité. Ne pas migrer 1:1.
- BitLocker → profil Endpoint protection / Disk encryption (Intune) + exigence BitLocker dans la politique de conformité. Page Edge → Settings Catalog (ou ADMX Edge ingérés), assigné au groupe concerné.
- Conformité + Conditional Access : politique de conformité (BitLocker, OS min, Secure Boot) qui étiquette les postes, plus une politique CA « require compliant device » sur Exchange Online. Seuls les postes conformes accèdent à la messagerie.
- Abandonner le réflexe
gpupdate /forceet OU / ciblage par OU : en MDM, on synchronise au check-in et on cible par groupe. L'application n'est ni instantanée ni poussée depuis un serveur.