Contexte

Technicien sur un campus universitaire, j’ai été missionné sur un projet de PC de prêt destinés aux étudiants. Ces derniers ne disposent pas de compte Active Directory on-premise : leur seule identité est une licence Microsoft 365 rattachée au tenant de l’école.

Le SI étant hébergé et administré par la Chambre de commerce et d’industrie (CCI), notre marge de manœuvre sur l’infrastructure locale (AD, GPO, master des postes) était très limitée. Intune s’est donc imposé : il permet de gérer les postes directement depuis le tenant, sans dépendre de l’infrastructure hébergée.

L’intérêt est double : appliquer des stratégies pour restreindre l’installation de logiciels, et verrouiller la navigation internet pendant les examens. Avec Autopilot, un poste rendu peut en plus être réinitialisé et redéployé sans intervention manuelle.

Prérequis

• Une licence incluant Intune et Entra ID P1 pour les utilisateurs
• Des postes sous Windows 10/11 Pro, Éducation ou Entreprise
• L’inscription MDM automatique activée dans Intune (étendue utilisateur MDM)
• Un compte disposant du rôle Administrateur Intune

Démarche

La procédure se déroule en trois temps : réinitialiser le poste pour le sortir du master de l’hébergeur, le joindre à Entra ID avec un compte du tenant (ce qui l’inscrit automatiquement dans Intune), puis enregistrer son hash matériel dans Autopilot pour que toute réinitialisation future le rattache directement au tenant.

Réinitialisation du poste

Les postes de l’école sont masterisés par l’hébergeur et héritent donc de ses stratégies de sécurité. Pour les enrôler proprement dans Intune, je commence par les réinitialiser.

Pour cela, je me rends dans C:\Windows\System32\Sysprep et je lance sysprep.exe en tant qu’administrateur (Shift + clic droit > Exécuter en tant qu’autre utilisateur). Je sélectionne « Entrer en mode OOBE » avec l’option « Redémarrer », sans cocher « Généraliser » : le poste n’a pas vocation à servir d’image de référence, je veux seulement repasser par l’écran d’accueil de Windows. La fonction « Réinitialiser ce PC » des Paramètres permet d’obtenir un résultat équivalent.

Au redémarrage, Windows affiche l’écran d’accueil (OOBE). Je choisis « Configurer pour le travail ou l’école », puis je me connecte avec un compte du tenant de l’école. Le poste est alors joint à Entra ID et inscrit automatiquement dans Intune.

Export du hash matériel

Pour pouvoir redéployer le poste via Autopilot, je dois récupérer son identifiant matériel (hash). En m’appuyant sur la documentation de Microsoft, j’exécute le script PowerShell suivant dans une console administrateur :

[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

La ligne Set-ExecutionPolicy -Scope Process autorise l’exécution du script pour la session en cours uniquement, sans modifier la stratégie du poste. Si le fournisseur NuGet n’est pas installé, PowerShell propose de l’installer puis demande de faire confiance au dépôt PSGallery : il suffit de répondre « Y » aux deux invites.

Le fichier AutopilotHWID.csv est généré dans C:\HWID ; je le copie sur une clé USB.

Astuce : avec Get-WindowsAutopilotInfo -Online, le hash est envoyé directement dans Intune après authentification, sans passer par un fichier CSV.

Enregistrement du poste dans Autopilot

Dans le centre d’administration Intune, je me rends dans Appareils > Inscription, puis dans la section Windows Autopilot, je clique sur Appareils.

Je clique sur « Importer », sélectionne le fichier AutopilotHWID.csv puis valide. Après quelques minutes et une synchronisation, le poste apparaît dans la liste.

Attribution d’un profil de déploiement

Sur la capture, l’état du profil est encore « Non affecté » : le poste est connu d’Autopilot, mais aucun profil ne lui est attribué. Je crée donc un groupe Entra ID dédié aux PC de prêt, j’y ajoute les appareils, puis j’affecte ce groupe à un profil de déploiement (Appareils > Inscription > Windows Autopilot > Profils de déploiement). Après synchronisation, l’état passe à « Affecté ».

Vérification et suite

Le poste apparaît dans Appareils > Windows avec son état de conformité. Il peut désormais recevoir les stratégies prévues pour les PC de prêt : restriction de l’installation de logiciels et verrouillage de la navigation internet pendant les examens. Lorsqu’un étudiant rend son poste, une réinitialisation depuis Intune suffit : au redémarrage, Autopilot le rattache automatiquement au tenant.

Ce que j’en retiens

Quand le SI est hébergé par un tiers et que l’on a peu de prise sur l’infrastructure locale, Intune et Autopilot permettent de reprendre la main sur un parc de postes uniquement à partir du tenant Microsoft 365. Seule contrainte : une étape manuelle (réinitialisation et export du hash) pour chaque poste déjà en service.