Article · Gestion des appareils
Microsoft Intune pour les petites entreprises, expliqué sans jargon
Intune permet à une petite équipe de gérer ordinateurs portables et cellulaires comme le font les grandes organisations : les appareils arrivent configurés, les paramètres de sécurité sont imposés et le matériel perdu peut être effacé à distance. Voici comment l’outil fonctionne, quel mode d’inscription convient à quel appareil et où les petites entreprises se trompent le plus souvent.
- Publié le
- Lecture de 8 min
Sur cette page
À retenir
- Intune est le service infonuagique de Microsoft pour gérer les appareils Windows, macOS, iOS/iPadOS et Android ainsi que les applications qu’ils contiennent.
- Choisissez un mode d’inscription selon le type d’appareil et son propriétaire : Autopilot pour les PC Windows de l’entreprise, l’inscription automatisée des appareils Apple pour les appareils Apple de l’entreprise, et la protection des applications sans inscription pour les cellulaires personnels.
- Les stratégies de conformité définissent ce qu’est un appareil sain ; l’accès conditionnel transforme cette définition en décision d’accès.
- Les stratégies de protection des applications permettent au personnel d’utiliser son cellulaire personnel pour le courriel et les fichiers de travail, tout en gardant les données de l’entreprise séparables et effaçables.
- Intune Plan 1 est inclus dans Microsoft 365 Business Premium et dans les forfaits entreprise E3 et E5 ; Business Basic et Business Standard ne l’incluent pas.
- Planifiez le déploiement : créez les stratégies, faites un projet pilote avec quelques utilisateurs, puis appliquez-les, sans oublier les renouvellements annuels du certificat et des jetons Apple.
Ce que fait réellement Intune
Microsoft Intune est un service infonuagique de gestion des terminaux. Il combine la gestion des appareils mobiles (MDM), où l’organisation gère l’appareil entier, et la gestion des applications mobiles (MAM), où elle ne gère que les applications de l’entreprise et les données qu’elles contiennent. Comme Intune est lié à Microsoft Entra ID, l’état de l’appareil peut servir à décider si une connexion à Microsoft 365 doit être autorisée.
Pour une petite entreprise, les avantages sont concrets. Un nouvel ordinateur portable peut être expédié directement à un employé et se configurer lui-même à la première connexion. Le chiffrement BitLocker ou FileVault est imposé et la clé de récupération est conservée de façon centralisée. Les mises à jour Windows suivent un calendrier que vous contrôlez. Les applications requises s’installent automatiquement. Quand quelqu’un quitte l’entreprise, ou qu’un cellulaire est oublié dans un taxi, les TI peuvent retirer les données de l’entreprise à distance. Et tout est documenté dans une seule console plutôt que dans la mémoire de la personne qui a configuré chaque machine.
Choisir le bon mode d’inscription
L’inscription est l’étape par laquelle un appareil passe sous la gestion d’Intune. Le bon mode dépend de la plateforme et du propriétaire de l’appareil.
Windows Autopilot (PC Windows de l’entreprise)
Les empreintes matérielles des appareils sont inscrites dans votre locataire, habituellement par le revendeur au moment de l’achat. Au premier démarrage, le PC se joint à Microsoft Entra ID, s’inscrit dans Intune et applique vos applications et paramètres. Autopilot peut aussi réinitialiser un appareil existant pour le remettre en état d’utilisation professionnelle sans réinstallation complète de l’image.
Jonction Entra avec inscription automatique
Pour les PC Windows existants, joindre l’appareil à Entra ID avec l’inscription MDM automatique configurée le fait passer sous gestion. C’est une voie courante pour faire migrer des machines qui avaient été configurées localement.
Inscription automatisée des appareils Apple
Les iPhone, iPad et Mac appartenant à l’entreprise et achetés par l’intermédiaire d’Apple Business Manager peuvent être attribués à Intune afin de s’inscrire automatiquement lors de la configuration, avec une gestion que les utilisateurs ne peuvent pas retirer.
Android Enterprise
Les cellulaires Android appartenant à l’entreprise utilisent l’inscription entièrement gérée. Les cellulaires Android personnels peuvent utiliser un profil professionnel, qui conserve les applications et les données de travail dans un conteneur distinct.
Protection des applications sans inscription
Pour les cellulaires personnels dont les propriétaires ne veulent pas que l’appareil entier soit géré, les stratégies de protection des applications sécurisent Outlook, Teams, OneDrive et d’autres applications prises en charge sans inscrire l’appareil.
Stratégies de conformité et accès conditionnel
Une stratégie de conformité est un ensemble de règles qu’un appareil doit respecter pour être considéré comme sain. Pour Windows, les règles types exigent BitLocker, le démarrage sécurisé (Secure Boot), une version minimale du système d’exploitation, un pare-feu actif, un antivirus en temps réel et, si vous utilisez Microsoft Defender pour entreprises ou Defender for Endpoint, un score de risque de la machine égal ou inférieur à un seuil donné. Pour les cellulaires, on exige couramment un code d’accès, une version minimale du système et le blocage des appareils débridés (jailbreak) ou rootés.
À elle seule, la conformité ne produit qu’un statut. Le contrôle vient de l’accès conditionnel, qui peut exiger un appareil conforme avant d’accorder l’accès à Microsoft 365. C’est cette combinaison qui empêche qu’un mot de passe volé soit utilisé sur l’ordinateur d’un attaquant. Déployez-la prudemment : définissez des mesures en cas de non-conformité, comme une notification et un délai de grâce, vérifiez que les appareils sont bien signalés comme conformes, faites l’essai avec un groupe pilote, et seulement ensuite appliquez la stratégie d’accès conditionnel à tout le monde. Gardez les comptes d’accès d’urgence exclus.
Apportez votre équipement personnel (AVEC) avec les stratégies de protection des applications
Bien des petites entreprises permettent au personnel de consulter ses courriels et Teams sur son propre cellulaire. Les stratégies de protection des applications rendent cette pratique plus sûre sans demander aux employés de céder le contrôle d’un appareil personnel. La stratégie s’applique à l’intérieur des applications prises en charge et peut exiger un NIP ou une donnée biométrique pour ouvrir les applications de travail, bloquer le copier-coller de données de l’entreprise vers des applications personnelles, empêcher l’enregistrement de fichiers dans un stockage personnel et chiffrer les données de travail dans l’application.
Si l’employé part ou que le cellulaire est perdu, un effacement sélectif retire les données de l’entreprise de ces applications sans toucher aux photos et messages personnels. Associez la protection des applications à une stratégie d’accès conditionnel qui exige une application cliente approuvée ou une stratégie de protection des applications sur les plateformes mobiles, pour que le personnel ne puisse pas simplement se connecter par l’application de courriel native ou un navigateur. Rédigez une courte politique AVEC qui explique ce que les TI peuvent voir et ne pas voir : des attentes claires préviennent la plupart des objections.
Quoi configurer en premier
Une fois les appareils inscrits, voici les stratégies qui apportent l’essentiel de la valeur au quotidien pour une petite organisation.
- Chiffrement du disque avec BitLocker sous Windows et FileVault sous macOS, avec clés de récupération conservées dans Intune ou Entra ID.
- Anneaux de mise à jour Windows et stratégies de mises à jour de fonctionnalités, avec un petit anneau pilote qui reçoit les mises à jour quelques jours avant tout le monde.
- Paramètres de l’Antivirus Microsoft Defender, protection contre les falsifications et règles de réduction de la surface d’attaque, ou intégration à Defender pour entreprises si vous avez la licence.
- Windows LAPS pour attribuer à chaque appareil un mot de passe d’administrateur local unique et renouvelé, conservé dans Entra ID.
- Retrait des droits d’administrateur local au quotidien, avec un processus documenté pour installer les logiciels approuvés.
- Applications requises, comme Microsoft 365 Apps, votre éditeur PDF et vos logiciels métier, déployées depuis Intune plutôt qu’installées à la main.
- Bases de référence de sécurité ou profils du catalogue de paramètres pour les mots de passe, le verrouillage de l’écran, les ports USB et le navigateur, révisés avant attribution pour qu’ils conviennent à votre environnement.
Les licences en termes simples
Intune Plan 1 est inclus dans Microsoft 365 Business Premium, conçu pour les organisations comptant jusqu’à 300 utilisateurs, qui comprend aussi Entra ID P1 pour l’accès conditionnel et Microsoft Defender pour entreprises. Il est également inclus dans les forfaits entreprise Microsoft 365 E3 et E5 et peut être acheté séparément. Microsoft 365 Business Basic et Business Standard n’incluent pas Intune ; ils offrent une fonction intégrée de mobilité et de sécurité plus limitée, qui ne convient qu’aux scénarios simples.
Microsoft vend aussi des modules complémentaires Intune, comme l’assistance à distance (Remote Help) et l’analyse avancée des terminaux, que certaines organisations trouvent utiles en grandissant. Les noms et les regroupements de licences changent de temps à autre : confirmez les inclusions actuelles auprès de votre fournisseur de licences avant de planifier un déploiement autour d’une fonction précise.
Un plan de déploiement sans mauvaises surprises
Inventorier et décider
Dressez la liste des appareils par plateforme et par propriétaire, décidez lesquels seront entièrement gérés et lesquels n’utiliseront que la protection des applications, et confirmez les licences.
Préparer le locataire
Configurez l’inscription automatique, le certificat push MDM d’Apple, le jeton Apple Business Manager si vous en avez un, la liaison Android Enterprise et les restrictions d’inscription des appareils.
Créer et piloter
Créez les stratégies de conformité, de configuration et d’applications, puis attribuez-les à un groupe pilote de quelques utilisateurs volontaires occupant différents rôles. Corrigez ce qui ne fonctionne pas.
Inscrire tout le monde
Faites passer les autres appareils sous gestion par lots, en expliquant clairement au personnel ce qui va changer et comment obtenir de l’aide.
Appliquer et entretenir
Activez l’accès conditionnel exigeant des appareils conformes, examinez chaque semaine les appareils non conformes et inscrivez au calendrier les renouvellements annuels du certificat push d’Apple et des jetons d’inscription, car un certificat expiré interrompt la gestion de tous les appareils Apple.
Les erreurs que nous voyons souvent
Imposer la conformité des appareils avant qu’ils ne transmettent correctement leur état, appliquer une base de référence de sécurité complète sans l’avoir testée, créer le certificat push d’Apple avec l’identifiant Apple personnel d’un employé qui finit par partir, et laisser au personnel les droits d’administrateur local, ce qui permet de défaire discrètement les stratégies. Chacune de ces erreurs s’évite avec un projet pilote et de la documentation.
Questions fréquentes
Intune peut-il gérer les Mac aussi bien que les PC Windows ?
Oui. Intune gère les appareils macOS, y compris les profils de configuration, le chiffrement FileVault, le déploiement d’applications et la conformité. Les Mac appartenant à l’entreprise et achetés par l’intermédiaire d’Apple Business Manager peuvent s’inscrire automatiquement lors de la configuration.
Les TI peuvent-elles voir mes photos ou mes messages personnels si j’utilise la protection des applications sur mon cellulaire ?
Non. Les stratégies de protection des applications s’appliquent aux données de l’entreprise dans les applications de travail prises en charge. Les TI peuvent voir des renseignements sur l’application et l’appareil, comme la version du système d’exploitation, et retirer les données de l’entreprise, mais elles ne peuvent pas lire votre contenu personnel.
Faut-il Windows Autopilot pour utiliser Intune ?
Non. Autopilot accélère beaucoup la préparation des nouveaux PC Windows, mais les appareils existants peuvent être inscrits par jonction Entra avec inscription automatique. Bien des petites entreprises adoptent Autopilot au fil du remplacement de leur matériel.
Combien de temps prend un déploiement d’Intune dans une petite entreprise ?
Cela dépend du nombre d’appareils, des plateformes et de la quantité de configuration existante à démêler. Un déploiement prudent comprend une période pilote avant l’application des stratégies : prévoyez des semaines plutôt que des jours.
Services connexes
Produits et forfaits
Pour aller plus loin
Planifiez votre déploiement d’Intune avec nous
Nous pouvons examiner vos appareils et vos licences, concevoir vos stratégies d’inscription et de conformité, puis les mettre à l’essai avec votre équipe avant que quoi que ce soit ne soit imposé.