Un cabinet de quinze personnes à Annemasse a acheté des abonnements Microsoft 365 incluant Intune, et un intégrateur a ouvert la console il y a deux ans. Depuis, personne ne sait ce qui est réellement appliqué. Les téléphones professionnels n'ont pas tous de code de verrouillage, un ancien collaborateur consulte peut-être encore sa messagerie sur son mobile personnel, et le portail affiche une dizaine de profils de configuration dont plus aucun n'est documenté. La console est ouverte, mais elle ne gère rien.
Microsoft Intune est un outil de gestion de flotte, ce que le vocabulaire du secteur appelle un MDM pour la gestion des appareils et un MAM pour la gestion des applications. Il permet de décrire l'état dans lequel un ordinateur ou un téléphone doit se trouver, puis d'imposer cet état à distance. Ce n'est ni un antivirus, ni un outil de prise en main à distance, ni une sauvegarde. Nous l'intégrons à la gestion de parc informatique dans un contrat à partir de 120 HT / mois, et uniquement lorsqu'il apporte quelque chose que les autres briques ne couvrent pas. Les abonnements qui incluent Intune s'achètent auprès de Microsoft, et nous ne fixons pas leur prix.
Ce qu'Intune impose réellement à un poste ou à un téléphone
L'outil fonctionne par politiques : vous décrivez une exigence, elle s'applique automatiquement à un groupe d'appareils, et la console vous indique lesquels sont conformes. Sur un parc de PME, quatre usages justifient à eux seuls le déploiement.
- Vous imposez le chiffrement du disque des portables et la remontée automatique de la clé de récupération dans l'annuaire de l'entreprise, ce qui évite qu'elle finisse sur un post-it dans le tiroir du poste concerné.
- Vous exigez un code de verrouillage sur les téléphones qui relèvent la messagerie professionnelle, avec un délai de verrouillage automatique et un nombre limité de tentatives.
- Vous distribuez la configuration du Wi-Fi d'entreprise et du VPN sans jamais communiquer le mot de passe aux utilisateurs, ce qui rend le changement de clé indolore. Ce sujet rejoint notre article sur le Wi-Fi professionnel.
- Vous retirez à distance l'accès professionnel d'un appareil lorsqu'un collaborateur quitte l'entreprise, sans attendre qu'il rapporte le matériel, procédure que nous décrivons dans notre article sur la révocation des accès au départ d'un salarié.
Le mécanisme qui donne à Intune sa véritable valeur s'appelle l'accès conditionnel, et il repose sur l'annuaire d'identités Microsoft. Intune évalue la conformité de l'appareil, puis l'annuaire décide d'autoriser ou non la connexion à la messagerie et aux fichiers en fonction de ce verdict. Un téléphone sans code de verrouillage se voit alors refuser l'accès aux données de l'entreprise, sans qu'aucun administrateur ait à intervenir. Cette brique suppose un annuaire correctement tenu, sujet que nous traitons dans notre article sur Entra ID.
Ce qu'Intune ne remplace pas dans votre organisation
L'outil est régulièrement présenté comme la solution à tous les problèmes de parc. Il en résout une partie et il en laisse plusieurs entières.
Intune n'est pas une protection contre les logiciels malveillants. Il peut vérifier qu'un antivirus est actif et remonter l'information, mais la détection et le blocage restent le travail d'un EDR administré, que nous posons séparément et dont nous parlons dans notre article sur l'EDR sur un parc de PME.
Intune n'est pas non plus un canal de support. Lorsqu'un utilisateur appelle parce qu'un document ne s'imprime pas, il faut voir son écran et agir avec lui, ce qui relève de la prise en main à distance avec son accord. Les deux outils sont complémentaires et ne se substituent jamais l'un à l'autre.
Enfin, Intune ne dispense pas de tenir un inventaire. La console ne connaît que les appareils qui y ont été inscrits. Si trois ordinateurs de l'entreprise n'y figurent pas, ils échappent à toutes les politiques et le tableau de bord affichera pourtant un parc entièrement conforme. C'est le piège le plus fréquent que nous rencontrons lors d'une reprise.
Téléphone personnel ou téléphone d'entreprise : une décision à prendre avant la technique
Intune sait gérer un mobile personnel en n'agissant que sur la partie professionnelle. Sur Android, cela passe par un profil professionnel qui cloisonne les applications de l'entreprise, et sur iPhone par la distinction entre applications gérées et applications personnelles. En cas de départ ou de perte, l'effacement ne porte que sur le périmètre professionnel : les photos et les messages privés de la personne ne sont pas touchés.
Cette approche fonctionne à condition d'être annoncée clairement aux équipes et écrite dans une note interne. Un collaborateur qui découvre après coup qu'un profil administré a été posé sur son téléphone personnel le vit mal, et la question se règle plus facilement avant l'installation qu'après. Lorsque l'entreprise n'a pas envie d'ouvrir cette discussion, la solution la plus simple reste de fournir un téléphone professionnel : le périmètre est net et la restitution du matériel ne pose aucune question.
Sur un parc mixte, le comportement diffère selon les systèmes. Intune gère macOS avec un jeu de politiques moins étendu que sous Windows, et l'inscription des Mac suppose de passer par les programmes d'inscription d'Apple pour être vraiment automatique. Nous en tenons compte lors du cadrage, comme nous l'expliquons dans notre article sur les parcs Windows et Mac.
Quand nous déconseillons Intune, et par quoi nous le remplaçons
Sur une structure de cinq postes, tous fixes, tous au même endroit, avec deux téléphones professionnels, la console apporte peu et coûte du temps de configuration et de maintien. Des comptes correctement tenus dans l'annuaire, un EDR administré et un canal d'assistance à distance couvrent l'essentiel du besoin. Nous vous le disons plutôt que de vous vendre une brique supplémentaire.
Le seuil se déplace dès que le parc comporte des portables qui sortent du bureau, des collaborateurs en télétravail, du personnel itinérant, plusieurs sites, ou une exigence contractuelle de conformité venant d'un client ou d'un assureur. À ce moment, l'automatisation des réglages fait gagner un temps réel à chaque arrivée et à chaque départ.
Notre méthode de déploiement, avec peu de politiques et beaucoup de tests
Nous commençons par vérifier ce que vos abonnements incluent déjà, car beaucoup d'entreprises paient Intune sans le savoir. Nous définissons ensuite le périmètre : ordinateurs seuls, ou ordinateurs et mobiles, appareils de l'entreprise seuls, ou appareils personnels également. Nous écrivons un jeu court de politiques qui correspond à des exigences réelles, en général moins d'une dizaine, plutôt qu'un empilement de profils que personne ne saura relire dans deux ans.
Nous testons sur deux appareils pendant plusieurs jours, en vérifiant que l'accès conditionnel ne bloque personne à tort, puis nous inscrivons le parc par petits groupes. Nous documentons chaque politique dans le dossier client, avec la raison de son existence. La configuration se fait à distance, et nous nous déplaçons dans le Bassin Genevois lorsque les téléphones doivent être remis en main propre. Le montant hors taxes est identique en euros et en francs.
Si une console Intune a été ouverte chez vous et que plus personne ne sait ce qu'elle applique, montrez-nous le portail. Nous vous dirons ce qui est réellement en vigueur sur vos appareils, ce qui n'est qu'une case cochée sans effet, et ce qu'il faut conserver.