Le chemin vers le Modern Management et la gestion des PCs dans Intune

La gestion du parc informatique est un pilier fondamental de toute stratégie IT d'entreprise. Pendant des années, les équipes infrastructure se sont appuyées sur des outils on-premises comme SCCM (System Center Configuration Manager), les stratégies de groupe (GPO) et un Active Directory centralisé pour déployer, configurer et sécuriser les postes de travail. Ce modèle, bien qu'éprouvé, fait face aujourd'hui à des défis majeurs que la transformation numérique impose à chaque organisation.

Avec la généralisation du travail hybride, la multiplication des appareils et l'essor des architectures cloud, une nouvelle approche s'impose : le Modern Management. Au cœur de cette stratégie, Microsoft Intune s'affirme comme la solution de référence pour gérer les endpoints de manière unifiée, sécurisée et agile.

1. Le constat : pourquoi le modèle traditionnel atteint ses limites

Le modèle classique de gestion des postes de travail repose sur une infrastructure lourde : serveurs SCCM, points de distribution, contrôleurs de domaine, images master, séquences de tâches complexes. Cette architecture a été conçue pour un monde où les collaborateurs travaillaient exclusivement depuis le bureau, connectés au réseau d'entreprise.

Aujourd'hui, ce modèle montre ses limites sur plusieurs aspects :

• Dépendance au réseau local : un poste doit être connecté au réseau d'entreprise (ou via VPN) pour recevoir ses mises à jour et configurations. Les collaborateurs en télétravail ou en déplacement échappent souvent à la conformité.
• Lourdeur du déploiement : le processus d'imagerie traditionnelle (capture, personnalisation, déploiement via PXE ou média USB) mobilise des ressources considérables et allonge les délais de mise à disposition.
• Coûts d'infrastructure : maintenir des serveurs SCCM, des points de distribution sur chaque site, et les compétences associées représente un investissement significatif.
• Rigidité des GPO : les stratégies de groupe, bien que puissantes, sont liées à Active Directory et difficiles à auditer à grande échelle. Leur application dépend de la connectivité au domaine.

2. Qu'est-ce que le Modern Management ?

Le Modern Management désigne une approche de gestion des postes de travail entièrement fondée sur le cloud. Plutôt que de s'appuyer sur une infrastructure on-premises, cette philosophie exploite les services Microsoft 365 et Azure pour administrer les appareils, où qu'ils se trouvent.

Les principes fondamentaux du Modern Management sont :

• Cloud-first : Intune remplace SCCM comme console de gestion principale. Les politiques de configuration, les mises à jour et les applications sont distribuées via le cloud.
• Identity-driven : Azure Active Directory (Entra ID) remplace l'AD on-premises comme source d'identité. L'inscription des appareils repose sur le compte professionnel de l'utilisateur, pas sur la jonction au domaine.
• Zero Trust : chaque accès est vérifié. L'identité, la conformité de l'appareil et le contexte de connexion déterminent les droits d'accès aux ressources.
• Self-service : l'utilisateur peut configurer lui-même son poste grâce à Windows Autopilot, sans intervention de l'équipe IT.

Cette approche s'intègre naturellement dans l'écosystème Modern Workplace que nous accompagnons chez EMAZIS, où l'objectif est de créer un environnement de travail fluide, sécurisé et centré sur l'utilisateur.

3. Le co-management : une transition en douceur

Rares sont les organisations qui peuvent basculer du jour au lendemain vers une gestion 100 % cloud. C'est précisément pour cela que Microsoft a conçu le co-management, une étape intermédiaire qui permet de piloter les postes de travail simultanément depuis SCCM et Intune.

Le co-management fonctionne grâce à un ensemble de workloads (charges de travail) que l'on bascule progressivement de SCCM vers Intune :

• Compliance policies : les politiques de conformité sont évaluées par Intune, permettant de tirer parti de l'accès conditionnel Azure AD.
• Device configuration : les profils de configuration Intune remplacent progressivement les GPO.
• Windows Update policies : les mises à jour Windows sont gérées via Windows Update for Business plutôt que par WSUS/SCCM.
• Resource access : les profils Wi-Fi, VPN et certificats sont distribués par Intune.
• Endpoint Protection : la gestion de Microsoft Defender est transférée vers Intune et Microsoft Defender for Endpoint.
• Client apps : les applications sont déployées via le Portail d'entreprise Intune.

L'avantage du co-management est qu'il respecte le rythme de chaque organisation. Vous pouvez migrer un workload à la fois, valider le fonctionnement en production, puis passer au suivant. C'est une stratégie de transition pragmatique, que nous recommandons systématiquement dans nos missions de conseil Modern Workplace.

4. Les piliers d'Intune pour la gestion des PCs

Microsoft Intune offre un ensemble complet de fonctionnalités pour administrer les postes Windows. Voici les piliers essentiels à maîtriser :

Profils de configuration

Les profils de configuration sont l'équivalent cloud des GPO. Ils permettent de contrôler des centaines de paramètres : restrictions de l'appareil, configuration du navigateur Edge, paramètres de sécurité, règles de pare-feu, BitLocker, etc. Intune propose deux approches : les templates (modèles prédéfinis) et le Settings Catalog, qui donne accès à l'intégralité des CSP (Configuration Service Providers) Windows.

Le Settings Catalog est aujourd'hui la méthode recommandée. Il offre une granularité supérieure et une recherche intuitive parmi des milliers de paramètres, avec une documentation contextuelle intégrée.

Politiques de conformité

Les politiques de conformité définissent les critères minimaux qu'un appareil doit respecter pour être considéré comme sûr : version minimale de Windows, chiffrement BitLocker activé, antivirus actif, absence de jailbreak, score de risque acceptable selon Microsoft Defender for Endpoint. Un appareil non conforme peut se voir bloquer l'accès aux ressources de l'entreprise via l'accès conditionnel Azure AD.

Déploiement d'applications

Intune prend en charge de nombreux formats d'application : MSI, MSIX, Win32 (via l'outil IntuneWinAppUtil), applications Microsoft Store, applications web et applications Microsoft 365. Pour les applications Win32, vous définissez des règles de détection, des dépendances et des séquences d'installation — une flexibilité comparable à ce que proposait SCCM, mais orchestrée depuis le cloud.

Gestion des mises à jour

Windows Update for Business, piloté depuis Intune, permet de configurer des anneaux de mise à jour (update rings) avec des délais de report personnalisés par groupe. Les Feature Updates et Quality Updates peuvent être ciblés séparément, et les Driver Updates offrent désormais un contrôle granulaire sur les pilotes déployés par Windows Update.

5. Windows Autopilot : le provisionnement réinventé

Windows Autopilot est sans doute la fonctionnalité la plus emblématique du Modern Management. Elle transforme radicalement l'expérience de déploiement d'un nouveau poste de travail.

Le principe est simple : l'utilisateur reçoit un PC neuf (directement du fabricant ou du stock), l'allume, se connecte avec son compte professionnel, et le poste se configure automatiquement — applications, politiques, paramètres de sécurité, tout est appliqué sans intervention de l'équipe IT.

En coulisses, Autopilot orchestre plusieurs étapes :

1. Identification : le hardware hash de l'appareil (enregistré par le fabricant OEM ou par l'IT) est reconnu par le service Autopilot.
2. Inscription Azure AD : l'appareil est automatiquement joint à Azure AD (ou Hybrid Azure AD Join selon le scénario).
3. Inscription Intune : l'appareil s'inscrit dans Intune et reçoit ses profils, politiques et applications.
4. ESP (Enrollment Status Page) : une page de suivi affiche la progression du déploiement à l'utilisateur, garantissant que le poste est prêt avant la première utilisation.

Le gain est considérable : là où un processus d'imagerie SCCM pouvait prendre plusieurs heures (capture, déploiement, personnalisation), Autopilot réduit le temps de mise à disposition à 30–45 minutes dans la plupart des scénarios, avec zéro manipulation de l'équipe IT.

6. Sécurité Zero Trust et conformité

Le Modern Management n'est pas uniquement une question d'efficacité opérationnelle — c'est aussi un changement de paradigme en matière de cybersécurité. L'approche Zero Trust, que Microsoft intègre nativement dans sa plateforme, repose sur un principe fondamental : ne jamais faire confiance, toujours vérifier.

Dans le contexte de la gestion des postes, cela se traduit par :

• Accès conditionnel : chaque connexion à une ressource Microsoft 365 est évaluée en temps réel. L'identité de l'utilisateur, la conformité de l'appareil, la localisation, et le niveau de risque déterminent si l'accès est accordé, soumis à MFA, ou bloqué.
• Microsoft Defender for Endpoint : intégré à Intune, il fournit un score de risque par appareil qui alimente les politiques de conformité et d'accès conditionnel.
• BitLocker : le chiffrement des disques est imposé et les clés de récupération sont automatiquement sauvegardées dans Azure AD.
• Windows LAPS : la gestion automatisée du mot de passe administrateur local, avec rotation régulière et stockage sécurisé dans Azure AD.
• Endpoint Privilege Management : un module Intune qui permet aux utilisateurs d'exécuter des tâches nécessitant des droits élevés sans être administrateurs de leur poste.

Cette combinaison de contrôles crée un périmètre de sécurité dynamique, adapté au travail hybride, bien plus robuste que la protection périmétrique traditionnelle basée sur le VPN et le pare-feu réseau.

7. Feuille de route recommandée

Fort de notre expérience en conseil Modern Workplace, voici la feuille de route que nous préconisons pour une transition réussie vers le Modern Management :

Phase 1 — Fondations (1 à 2 mois)

• Audit de l'environnement existant : inventaire SCCM, GPO critiques, applications déployées
• Activation d'Azure AD Connect (si pas déjà en place) pour la synchronisation d'identités
• Configuration d'Intune : inscription automatique MDM, profils de base, politiques de conformité
• Mise en place du co-management SCCM ↔ Intune

Phase 2 — Migration progressive (2 à 4 mois)

• Bascule des workloads co-management un par un (compliance, Windows Update, configuration)
• Migration des GPO critiques vers des profils Intune (Settings Catalog)
• Packaging des applications en format Win32 pour Intune
• Activation de l'accès conditionnel avec les politiques de conformité
• Pilote Autopilot sur un groupe d'utilisateurs

Phase 3 — Cloud-native (2 à 3 mois)

• Déploiement d'Autopilot en production pour tous les nouveaux postes
• Inscription des postes existants en Azure AD Join (ou Hybrid selon les contraintes)
• Décommissionnement progressif des composants SCCM
• Mise en place de Endpoint Privilege Management et Windows LAPS
• Monitoring et reporting via Intune et Endpoint Analytics

8. Conclusion

La transition vers le Modern Management avec Microsoft Intune n'est plus une option futuriste — c'est une nécessité stratégique pour les organisations qui souhaitent rester agiles, sécurisées et compétitives. Les bénéfices sont tangibles : réduction des coûts d'infrastructure, amélioration de l'expérience utilisateur, renforcement de la posture de sécurité et capacité à accompagner le travail hybride à grande échelle.

Le chemin est progressif et peut commencer dès aujourd'hui avec le co-management, sans rupture avec l'existant. Chaque workload migré vers Intune est un pas vers une gestion plus moderne, plus résiliente et plus efficiente.

Chez EMAZIS, nous accompagnons les entreprises à chaque étape de cette transformation — de l'audit initial au déploiement Autopilot en production, en passant par la définition des politiques de sécurité Zero Trust. Notre approche combine expertise technique, pragmatisme et accompagnement au changement pour garantir une transition fluide.

Mohamed Ait Salah

CTO & Fondateur — EMAZIS