Aperçu et fondamentaux de Microsoft Intune

Introduction

Ce chapitre aborde les fondamentaux de Microsoft Intune. Nous commencerons par aborder l’histoire du produit depuis sa création et notamment l’introduction des fonctionnalités et son positionnement face à ses concurrents. Nous présenterons les principales fonctionnalités du service et nous introduirons les concepts et terminologies nécessaires pour aborder ce livre avec la notion de tenant, groupes, stratégies, filtres, etc. Nous vous présenterons les services Microsoft ayant un lien avec Microsoft Intune et la gestion des terminaux. Nous balayerons les différentes interfaces et portails d’administration, points d’entrées principaux des administrateurs pour les opérations quotidiennes. Nous expliquerons les abonnements et licences qui impliquent ce service et comment les utiliser de manière la plus adéquate. Nous aborderons les modes de gestion des terminaux que ce soit pour l’environnement Windows avec les modes de cogestion, attachement au cloud ou depuis le cloud, ou pour les environnements Apple (iOS, iPadOS, macOS), Android ou Linux. Vous retrouverez aussi les différentes  communications que l’on peut retrouver entre les différents composants qui participent à l’utilisation de Microsoft Intune. Cette partie doit vous aider à comprendre les différents flux et les contraintes réseau...

Histoire de Microsoft Intune

L’histoire de Microsoft Intune est longue et prend ses racines lorsque Microsoft s’est lancé dans la gestion des postes de travail en 1994 avec la sortie de Systems Management Server (SMS), ancêtre de Microsoft Configuration Manager appelé aussi SCCM, ConfigMgr, ou Configuration Manager. Ce produit fait suite à la montée en puissance de l’outil informatique dans les entreprises. Microsoft décida ainsi de créer un produit dédié à l’administration des postes du parc informatique. Le but est de gérer massivement, et de manière quasi automatique, des tâches administratives répétitives comme l’installation de logiciels, de mises à jour ou encore l’inventaire matériel et logiciel. SCCM fut rythmé par cinq versions majeures. Ces versions ont toutes intégré des concepts de plus en plus avancés en matière de gestion de parc incluant le déploiement de système d’exploitation, l’optimisation des échanges, la gestion des outils proposés par Microsoft (Microsoft 365 Apps, etc.). Cet outil a participé au déploiement massif de systèmes Windows dans les organisations.

En 2007, Microsoft tente l’introduction d’un service appelé Asset Inventory Service et proposé au travers du pack Microsoft Desktop Optimization Pack (MDOP) pour les entreprises ayant souscrit la Software Assurance. Il se focalise sur l’inventaire et la compatibilité. En 2008, avec l’orientation cloud de Microsoft, l’entreprise travaille sur une version 2.0 d’Asset Inventory Services complètement refondue sous la forme d’un service hébergé dans le cloud. En 2009, Microsoft sort Windows 7 et compte bien en faire le système le plus vendu de l’histoire pour rattraper l’échec de Windows Vista. Microsoft travaille alors sur un nouveau service connu sous le nom de code Florida. À l’occasion de la conférence MMS centrée sur la gestion des systèmes et des infrastructures, Microsoft annonce System Center Online Desktop Manager, présenté comme un outil de gestion et de sécurité du poste de travail sous la forme d’un service en ligne....

Fonctionnalités de Microsoft Intune

Cette partie détaille les principales fonctionnalités offertes par Microsoft Intune. 

Terminologie et les concepts

Cette partie revient sur les différentes terminologies et les concepts induits par l’utilisation de Microsoft Intune. Le but est de vous donner un aperçu de tout ce qui est nécessaire pour aborder ce livre.

Services et produits Microsoft gravitant autour d’Intune

Cette partie s’attache à présenter les services et produits Microsoft qui ont un lien direct ou indirect avec Microsoft Intune.

Portails d’administration

Cette section aborde et présente les différents portails d’administration que l’on retrouve dans l’univers de la gestion.

1. Centre d’administration Intune

Microsoft Intune fournit un portail d’administration afin d’offrir une console unique appelée centre d’administration regroupant des capacités offertes par Microsoft Intune mais aussi de nombreux services gravitant autour comme Windows Autopatch, Windows Autopilot, Windows 365 ou d’autres services et produits s’interconnectant avec (Microsoft Defender for Endpoint, Microsoft Configuration Manager, etc.). La fonctionnalité Tenant-Attach proposée par Configuration Manager permet donc de remonter des informations provenant de périphériques gérés uniquement par ConfigMgr (incluant les serveurs) dans Microsoft Intune.

Le portail web d’administration Microsoft Intune est conçu pour offrir un contrôle granulaire intuitif et une vue d’ensemble des différents éléments de l’environnement informatique de l’entreprise. Le centre d’administration Microsoft Intune est accessible via n’importe quel navigateur web moderne, ce qui permet une gestion flexible et réactive des ressources à partir de presque n’importe où.

Pour accéder au portail Microsoft Intune, commencez par vous connecter au portail d’administration (https://intune.microsoft.com) avec un compte administrateur ayant les droits d’administration nécessaires.

Une fois connecté, le portail est subdivisé en quatre espaces :

1. L’en-tête du portail qui outre le nom de la solution comprend sur la droite :

• un bouton Copilot permettant d’ouvrir un panneau vous donnant accès aux fonctions de Copilot dans Intune.

• une cloche listant l’historique des notifications, des actions exécutées, etc. ;
• une roue donnant accès aux paramétrages du portail incluant les tenants et abonnements pour basculer vers différents environnements, les paramètres d’apparence (thème, comportement du menu de service, contraste, etc.), les options régionales et de langues, l’export des paramétrages ou la restauration des options par défaut, les options de déconnexion...

Abonnements et licences

Il n’est pas un euphémisme que de dire que la compréhension des licences et abonnements proposant les différents services peut s’apparenter à un véritable métier.

Microsoft Intune

Microsoft Intune étant un service cloud, il ne peut être acquis uniquement sous la forme d’un abonnement par utilisateur acquittable mensuellement ou annuellement.

Le service comprend en réalité trois niveaux d’abonnements donnant accès à différentes fonctionnalités :

Modes de gestion

Cette partie introduit les différents modes de gestion disponibles par plateforme et selon les scénarios d’administration que vous souhaitez proposer dans votre organisation.

Communications

Pour que les déploiements Intune fonctionnent efficacement, il est crucial de configurer correctement les éléments relatifs aux communications incluant les équipements réseau (firewall, proxy, etc.), les paramètres réseau et proxy sur les clients. Les communications entre les appareils gérés et les services Intune passent par des ports et des adresses IP bien définis, garantissant une connectivité sécurisée et fiable.

Les services associés sur les équipements utilisent presque systématiquement le compte machine pour réaliser la connexion. Ainsi, les services Intune ne peuvent utiliser le compte de l’utilisateur authentifié sur la machine pour accéder aux URL via les proxies de l’organisation. Bien que ce ne soit pas recommandé, il est tout de même possible de configurer le proxy au niveau du système selon deux méthodes :

Notez que l’utilisation d’un Proxy Auto-configuration (PAC) ne fonctionne pas puisque cette configuration n’est pas appliquée au compte système utilisé par les services Microsoft Intune.

D’une manière générale, il est recommandé d’ajouter les URL qui suivront aux listes blanches de vos équipements réseaux et proxies afin de ne pas demander d’authentification.

Voici la liste des URL utilisées par les services :

Microsoft Intune

Haute disponibilité et suivi du service

Comme nous l’avons expliqué précédemment, Microsoft Intune est construit comme un service cloud avec un mécanisme de microservices permettant d’assurer une montée en charge et une continuité de service en cas de problèmes.

Vous n’avez pas à vous soucier de la haute disponibilité, sauf pour les éléments qui ont un lien avec votre réseau interne. Cela peut être le cas pour des connecteurs : certificats (PKCS), Autopilot, etc.

Plus généralement, vous pouvez suivre le service de différentes manières. On retrouve en premier lieu une page de suivi du tenant affichant divers détails dans la partie Tenant Administration - Tenant Status :

Gestion du contenu

Le contenu correspond à tous les fichiers utilisés par les fonctions de déploiement d’applications, de mises à jour et de systèmes d’exploitation. Il doit être mis à disposition des clients pour les différentes opérations. Contrairement à des produits On-Premises, il n’est pas nécessaire de se soucier sur comment est stocké le contenu mis à disposition dès lors que vous avez autoriser les communications comme vu précédemment. La majorité du contenu est stocké dans des services de type Cloud Delivery Network (CDN) assurant la distribution, la montée en charge, la répartition de charge ou la récupération du contenu vers les points de terminaison géographiques les plus proches.

Bien qu’il ne soit pas nécessaire de gérer ces aspects, il n’en reste pas nécessaire de gérer les sources des binaires des applications que vous seriez amenés à déployer. Pour ce faire, il est recommandé de conserver ces éléments dans un espace sécurisé empêchant toutes modifications du contenu pouvant engendrer l’introduction de binaires malveillants. En outre, vous devez conserver à la fois les sources et les différentes versions du package issu des outils de packaging qui pourraient être...

Gestion de la bande passante

Les opérations d’administration peuvent être très consommatrice en bande passante notamment quand il s’agit de déployer des applications, des mises à jour ou des systèmes d’exploitation. Afin de limiter l’impact, Microsoft a créé Delivery Optimization, le service remplaçant de BITS dans Windows 10. Ce service, dialoguant avec un service cloud, permet d’intégrer les mécanismes de gestion des téléchargements, de partage et de mise en cache via du P2P et d’optimisation de la bande passante. Le client dialogue avec un service cloud pour lui permettre de savoir quels sont les clients qui ont le contenu. Delivery Optimization est utilisé par nombre de services dont l’agent Windows Update, les mises à jour de définition Microsoft Defender, les fichiers téléchargés à partir du Microsoft Store, le client Microsoft 365 Apps, l’agent Intune Management Extensions, Microsoft Edge, etc.

Le service fonctionne de la manière suivante :

Migration depuis un autre outil de gestion ou tenant

La migration des périphériques gérés par un autre outil ou tenant est un scénario que vous pouvez rencontrer. La première étape consiste à préparer le tenant Microsoft Intune et les différents aspects incluant les profils de configuration, les applications, les stratégies de conformité, etc.

Ensuite, les situations et méthodologies à appliquer dépendent de la plateforme de périphériques à migrer et du scénario de gestion associé. Dans tous les cas, il sera nécessaire de désinscrire les périphériques de la solution MDM existante. Afin d’éviter que des périphériques se retrouvent non gérés, il est recommandé de coupler cette opération avec la mise en œuvre de stratégie d’accès conditionnel à des services essentiels tels que Microsoft 365 afin de requérir un périphérique géré et conforme. Ceci forcera les utilisateurs à réaliser les éventuelles étapes manuelles nécessaires.

Windows

La migration de périphériques Windows gérés par une autre solution de gestion des périphériques mobiles (MDM) est assez peu fréquente. Dans ce scénario, vous devez désenrôler les périphériques en faisant un retrait de la solution MDM existante. Dans nombre de cas, cela peut engendrer le retrait des configurations et des applications. L’étape suivante consiste à utiliser une des méthodes d’enregistrement automatique comme : Windows Autopilot ou l’enregistrement automatique via la stratégie de groupe.

Gestion des droits et des permissions

La planification de la sécurité est une étape obligatoire à la mise en œuvre d’un service tel que Microsoft Intune. Il fournit un accès complet aux ressources administrées, donnant ainsi la possibilité d’exécuter des tâches dévastatrices pour l’entreprise. En juillet 2012, une banque australienne en a fait les frais, démontrant ainsi la puissance d’un outil de gestion (Microsoft Configuration Manager) et sa capacité à pouvoir causer des destructions si celui-ci est mal utilisé. L’origine du problème a été l’application sur les postes de travail d’une mise à jour pas totalement testée, par un technicien qui n’aurait pas dû pouvoir cibler ces ressources.

Ce cas n’est pas isolé et nombre de sociétés ont subi des problèmes similaires ou des brèches dans le système d’information. La mise en œuvre d’une sécurité efficace permettra d’assurer la confidentialité et l’intégrité des données de l’entreprise, ainsi que la disponibilité du service proposé.

Conclusion

Microsoft Intune est un service éprouvé et mature qui propose de nouvelles fonctionnalités répondant aux besoins d’aujourd’hui et de demain. Il s’impose comme leader dans la gestion moderne des périphériques. Ce chapitre vous a permis d’aborder les concepts et terminologies qui vous serviront tout au long de ce livre. Nous avons détaillé les notions de tenant, d’appareils, d’utilisateurs, de groupes, d’assignations et les différents objets proposés dans la solution. Vous avez pu aborder les différents services et produits Microsoft gravitant autour de la solution (Microsoft Entra ID, Windows 365, etc.). Vous avez pu observer le centre d’administration Microsoft Intune et tous les autres portails dans lesquels vous pourriez être amenés à intervenir. Nous avons évoqué les abonnements et licences nécessaires pour l’obtention du service. Nous avons détaillé les modes de gestion pour chaque plateforme.

La compréhension des différentes communications est essentielle pour planifier le déploiement en fonction de votre réseau. Nous avons décrit comment gérer le contenu (applications, etc.) à intégrer au service. Vous avez pu comprendre qu’il n’y avait que très peu de limites concernant les capacités...