Le co-management Aussi appelé gestion conjointe : un même poste piloté à la fois par Configuration Manager (SCCM) et par Intune.
L’activation tient dans une case à cocher. Ce sont les quatre conditions d’avant qui font le projet.C’est la bonne nouvelle de ce sujet, et elle est rarement dite : allumer la gestion conjointe ne demande ni migration, ni réinstallation, ni interruption de service. Rien ne change pour vos utilisateurs le jour où on l’allume. Le travail réel est en amont — quatre conditions à réunir, dont une bloque la moitié des projets qui commencent sans l’avoir vérifiée.
Ce qu’il faut réunir
Quatre conditions, et la troisième surprend tout le monde.
Ce ne sont pas des recommandations : ce sont quatre prérequis publiés par Microsoft, et il suffit qu’un seul manque pour que la case à cocher reste sans effet. Les quatre se vérifient en une demi-journée, et c’est exactement ce que nous faisons avant de proposer quoi que ce soit.
Une version soutenue de Configuration Manager
La gestion conjointe demande une version de la branche actuelle qui soit encore soutenue. Chaque version l’est dix-huit mois, et beaucoup de sites tournent sur une version qui ne l’est plus.
C’est la condition la plus facile à corriger, et la plus souvent en cause.
Un niveau d’annuaire qui permette l’inscription automatique
Il faut un niveau d’Entra ID payant, plus une licence Intune attribuée au compte d’administration lui-même — sans quoi la console refuse la connexion avec un message qui n’explique rien.
La plupart des abonnements d’entreprise le contiennent déjà.
Des appareils joints à l’annuaire, pas seulement enregistrés
Un poste doit être joint à l’annuaire, ou joint en mode hybride. Un appareil seulement enregistré — l’état que l’on obtient quand un utilisateur ajoute son compte professionnel sur une machine personnelle — n’est pas pris en charge.
C’est la condition qui arrête un projet net, et elle ne se voit pas dans la console de gestion.
L’inscription automatique activée dans le tenant
Côté Intune, l’inscription automatique des appareils Windows doit être activée et sa portée définie : tous les utilisateurs, ou un groupe. Tant qu’elle ne l’est pas, les postes restent invisibles côté cloud.
Un réglage, deux minutes — mais il faut savoir qu’il existe.
Une précision qui rassure, et elle est vraie : la passerelle de gestion dans le cloud n’est pas un prérequis. On la confond souvent avec la gestion conjointe parce que les deux servent à « sortir des murs », mais elle ne devient nécessaire que si vos postes doivent joindre le serveur de site depuis Internet. Beaucoup de parcs s’en passent très bien la première année.
Par où l’on entre
Deux chemins, et ils ne se ressemblent pas.
Le chemin dépend de ce que vous avez déjà, pas de ce que vous voulez obtenir : les deux arrivent au même endroit. La plupart des parcs suisses prennent le premier, parce qu’ils ont un Configuration Manager qui tourne depuis dix ans et des postes qu’il serait absurde de réinstaller.
Vous partez d’un parc Configuration Manager
Vos postes portent déjà le client, ils sont dans le domaine, et vous voulez leur ajouter le cloud sans rien démonter.
- 01On met le site à une version soutenue, si ce n’est pas déjà le cas
- 02On raccorde le domaine à l’annuaire pour que les postes deviennent joints en mode hybride
- 03On active l’inscription automatique dans le tenant
- 04On active la gestion conjointe dans la console, sur une collection d’essai
- 05Les postes s’inscrivent dans Intune tout seuls, sans geste de l’utilisateur
Vous partez d’un poste préparé par Autopilot
La machine sort du carton, se prépare seule, se joint à l’annuaire et s’inscrit dans Intune. Il ne lui manque que le client local.
- 01Le poste arrive joint à l’annuaire et inscrit dans Intune
- 02On lui installe le client Configuration Manager, comme une application
- 03Il devient co-géré à la première remontée
- 04Si le poste ne rentre jamais au bureau, il lui faut une passerelle de gestion dans le cloud pour joindre le site
Les deux chemins peuvent coexister, et c’est même le cas normal d’un parc qui se renouvelle : les anciens postes arrivent par le premier, les neufs par le second, et ils finissent tous dans le même tableau de bord. Un même site Configuration Manager peut d’ailleurs être raccordé à un seul tenant, et plusieurs sites au même tenant — utile après un rachat.
Joindre n’est pas gérer.
C’est la confusion la plus fréquente de tout ce sujet, et Microsoft écrit lui-même que ses clients la font. Elle coûte des semaines : on croit avoir un problème de gestion conjointe alors qu’on a un problème d’identité, et l’on cherche la panne du mauvais côté.
La jonction dit qui est la machine
C’est une affaire d’annuaire. Une machine peut être jointe à l’annuaire seul, jointe en mode hybride — annuaire local plus annuaire en ligne — ou simplement enregistrée par un utilisateur qui a ajouté son compte professionnel.
La gestion dit qui lui donne des ordres
C’est une affaire d’outil. Configuration Manager, Intune, ou les deux. Une machine peut être parfaitement jointe et gérée par personne : c’est le cas de tous les postes qu’on trouve dans l’annuaire sans jamais les avoir vus dans une console.
Seul l’état enregistré ferme la porte
Les deux jonctions permettent la gestion conjointe. L’enregistrement simple, non — et c’est irrattrapable en place : il faut retirer l’appareil d’Intune et de l’annuaire, puis le reprendre. D’où l’intérêt de le savoir avant, pas pendant.
C’est pour cela que notre premier livrable n’est pas un plan de projet : c’est l’état de jonction de votre parc, machine par machine. Combien sont jointes, combien sont jointes en mode hybride, combien ne sont qu’enregistrées, et combien sont dans l’annuaire sans être gérées par personne. Sur les parcs que nous reprenons, cette dernière colonne est toujours la surprise.
Avant d’avoir rien basculé
Six choses arrivent le jour même.
C’est le point le plus mal connu du sujet, et le plus vendeur : ces six gains ne demandent aucune bascule de réglages. Ils arrivent au moment où la gestion conjointe s’allume, alors que Configuration Manager continue de tout piloter exactement comme la veille.
L’accès conditionnel s’appuie enfin sur l’état des postes
Un poste non conforme peut être refusé à la porte de la messagerie et des fichiers. C’est le premier gain que la direction voit, et le seul de cette liste qui empêche réellement quelque chose.
Les actions à distance, depuis la console en ligne
Redémarrer, synchroniser, renommer, réinitialiser un poste — y compris en gardant son inscription et le compte de son utilisateur. Depuis n’importe où, sans réseau privé.
L’état de santé du client local, vu depuis Intune
Le tableau de bord de gestion conjointe montre quels postes remontent vraiment. C’est souvent la première fois qu’une entreprise voit l’écart entre son nombre de licences et son nombre de postes réellement gérés.
La préparation par Autopilot devient possible
Un poste peut désormais être livré directement à son utilisateur, se préparer seul, et devenir co-géré sans passer par votre atelier. C’est ce qui change le plus la vie des équipes qui reçoivent le matériel.
Utilisateurs, appareils et applications dans le même annuaire
Savoir quel utilisateur travaille sur quelle machine, et avec quelles applications, sans croiser deux exports à la main. C’est la base de tout ce qui vient ensuite.
Rien n’est irréversible, et c’est mesurable
La gestion conjointe s’éteint comme elle s’allume. Chaque domaine de réglages basculé ensuite revient d’une seule action. C’est ce qui permet de commencer sans avoir tout décidé.
Chaque bascule se pilote d’abord sur une collection d’essai
Ensuite seulement viennent les bascules de réglages, un domaine à la fois. Et chacune peut être limitée à une collection restreinte, choisie avec vous, avant d’être étendue au parc entier. C’est la seule façon honnête de savoir ce qui casse : sur vos machines, avec vos logiciels, et pas dans une démonstration.
Sept domaines de réglages peuvent ainsi passer à Intune. L’ordre dans lequel les prendre n’est pas une préférence, c’est un ordre de risque — et il est écrit en détail sur la page Configuration Manager .
Vos postes neufs ? Ils peuvent arriver co-gérés sans passer par votre atelier.
La machine part du fournisseur, l’utilisateur l’ouvre chez lui, elle se prépare seule et reçoit le client local dans la foulée. C’est le travail d’Autopilot, et c’est le chemin normal pour tout ce que vous achetez à partir de maintenant.
Notre démarche
La demi-journée de vérification vient avant tout le reste.
Quatre étapes, et la première suffit parfois à répondre à votre question : il arrive qu’un parc soit déjà prêt et que l’allumage prenne une heure. Nous vous le dirons si c’est votre cas, plutôt que d’étirer un projet qui n’en est pas un.
L’état de jonction du parc, machine par machine
Combien de postes sont joints à l’annuaire, combien sont joints en mode hybride, combien ne sont qu’enregistrés, et combien apparaissent dans l’annuaire sans être gérés par personne.
On vérifie les quatre conditions en même temps : version du site, niveau d’annuaire, inscription automatique, et licence du compte d’administration.
Les conditions manquantes, une par une
Mise à niveau du site si nécessaire, raccordement du domaine à l’annuaire, activation de l’inscription automatique, et reprise des postes qui n’étaient qu’enregistrés.
Rien de tout cela n’interrompt le service, et rien n’est visible pour vos utilisateurs : c’est le moment le plus tranquille du projet.
L’allumage, sur une collection d’essai
La gestion conjointe s’active sur un groupe choisi avec vous — un service entier plutôt que trois machines de laboratoire. Les postes s’inscrivent seuls, et l’on regarde ce qui remonte.
C’est l’étape qui décide de la suite : on mesure le taux d’inscription réel, et l’on traite les postes qui résistent avant d’élargir.
L’extension au parc, et la suite
On étend par vagues, chacune avec son critère d’arrêt. À partir de là, la question n’est plus « faut-il co-gérer » mais « quel domaine de réglages déplacer, et quand » — et celle-là se traite dans le temps, sans urgence.
Vos équipes doivent pouvoir tenir l’ensemble sans nous. Nous formons, nous documentons, et nous restons joignables au niveau où vous ne voulez pas aller vous-mêmes.
Ce qu’il vaut mieux savoir avant
Cinq points à regarder, et chacun a sa réponse.
Aucun n’est bloquant. Ce sont les cinq endroits où un projet de gestion conjointe prend du retard, et chacun se règle — à condition d’être vu avant de fixer une date plutôt que le soir de l’allumage.
Les postes qui ne sont qu’enregistrés se reprennent, mais un par un
Un appareil simplement enregistré dans l’annuaire ne peut pas être co-géré, et cela ne se corrige pas en place : il faut le retirer d’Intune et de l’annuaire, puis le reprendre proprement.
La réponse est simple, et nous l’appliquons couramment : on relève ces postes au premier jour, on les traite en lot avec un mode opératoire écrit, et l’utilisateur n’y voit qu’une reconnexion. Ce qui coûte, c’est de les découvrir en cours de bascule.
La jonction hybride reste soutenue, mais elle n’est plus la voie conseillée
Microsoft recommande désormais de déployer les appareils neufs joints à l’annuaire seul, plutôt qu’en mode hybride. La jonction hybride continue de fonctionner et reste soutenue : elle n’est simplement plus le choix par défaut pour du matériel neuf.
Concrètement, cela ne change rien à un parc existant, et c’est heureux : vos postes actuels restent joints en mode hybride sans problème. La question ne se pose que pour les machines que vous achetez, et nous la posons au bon moment — au renouvellement, pas au milieu du raccordement.
Le connecteur d’annuaire a une version minimale, et en dessous il se tait
Si vous joignez vos appareils en mode hybride par Autopilot, un connecteur est installé sur un serveur. Les versions antérieures à 6.2501.2000.5 ne traitent plus aucune demande d’inscription : les déploiements échouent sans message clair.
La correction est rapide et sans risque : on installe le connecteur à jour sur un autre serveur avant de retirer l’ancien, ce qui évite toute coupure. C’est le premier point que nous vérifions sur un parc qui joint en mode hybride.
La passerelle de gestion se facture au mois, quand elle est nécessaire
Elle rend vos postes joignables hors des murs sans réseau privé. Elle n’est pas un prérequis de la gestion conjointe, et elle n’est pas comprise : elle consomme des ressources facturées, calcul et trafic sortant.
Nous l’estimons avant de la poser, et nous le disons quand un réseau privé existant suffit — cela arrive plus souvent qu’on ne le croit. Sur un parc qui rentre au bureau de temps en temps, on peut aussi attendre la deuxième année.
Deux consoles pendant un temps, et c’est normal
Tant que tous les domaines de réglages ne sont pas passés — et rien n’oblige à ce qu’ils le soient — vos équipes travaillent dans deux consoles. C’est le reproche le plus fréquent fait à la gestion conjointe.
C’est aussi le prix de la réversibilité, et il se réduit : le tableau de bord de gestion conjointe rassemble l’essentiel, et la répartition des domaines s’écrit une fois pour toutes, de sorte que chacun sait où regarder. Nous documentons cette répartition : c’est ce qui fait la différence entre deux consoles et deux réflexes.
Questions fréquentes
Ce qu’on nous demande avant de commencer.
Six questions qui reviennent à chaque premier rendez-vous.
Est-ce que nos utilisateurs vont s’apercevoir de quelque chose ?
Le jour de l’allumage, non. La gestion conjointe ajoute une inscription en arrière-plan et ne modifie aucun réglage : Configuration Manager continue de tout piloter comme la veille. C’est ce qui rend cette étape confortable à planifier.
Ce qui se voit vient plus tard, quand un domaine de réglages passe à Intune — par exemple les mises à jour de Windows, qui changent alors de fenêtre de redémarrage. Chaque bascule se prépare avec vous, et se fait d’abord sur un groupe d’essai.
Faut-il des licences en plus ?
Non, dans le sens qui inquiète le plus : un abonnement qui inclut Intune inclut aussi le droit d’utiliser le client Configuration Manager. Garder les deux outils ne se paie donc pas deux fois.
Il faut en revanche un niveau d’annuaire payant qui permette l’inscription automatique et l’accès conditionnel, plus une licence Intune attribuée au compte d’administration. La plupart des abonnements d’entreprise le contiennent déjà ; nous le vérifions au relevé, parce que ce n’est pas le cas de tous.
Combien de temps faut-il ?
La vérification des quatre conditions tient dans une demi-journée. L’allumage lui-même se fait en une heure sur une collection d’essai.
Ce qui prend du temps est ailleurs, et c’est mesurable dès le relevé : la mise à niveau du site si elle est due, le raccordement du domaine à l’annuaire s’il n’existe pas, et la reprise des postes qui n’étaient qu’enregistrés. Nous donnons une date après le relevé, parce qu’une date donnée avant ne veut rien dire.
Peut-on revenir en arrière ?
Oui, et à deux niveaux. La gestion conjointe elle-même s’éteint comme elle s’allume. Et chaque domaine de réglages basculé vers Intune revient à Configuration Manager en une seule action, sans réinstaller quoi que ce soit.
Nous essayons cette procédure pendant l’étape d’essai, avant d’en avoir besoin. C’est ce qui permet d’avancer domaine par domaine sans avoir à tout décider au départ.
Nos postes ne rentrent presque jamais au bureau. Est-ce que ça marche quand même ?
Côté Intune, oui : un poste inscrit est joignable partout où il a du réseau. Côté Configuration Manager, le client doit pouvoir parler à son site : sans réseau privé, cela demande une passerelle de gestion dans le cloud.
Deux réponses honnêtes selon le cas. Pour un parc mixte, la passerelle est le bon investissement. Pour un parc entièrement nomade, la question à se poser est plutôt de savoir ce que Configuration Manager apporte encore — et là, la réponse peut être « la préparation des machines neuves, et rien d’autre ».
Combien de domaines faut-il basculer pour que ça vaille le coup ?
Zéro. C’est le point le plus contre-intuitif de ce sujet : les six gains immédiats arrivent avant toute bascule, l’accès conditionnel compris. Beaucoup de parcs restent des années avec la gestion conjointe allumée et un ou deux domaines déplacés.
Ensuite, on déplace un domaine quand il est mieux servi ailleurs — pas parce qu’un calendrier de migration le prévoit. L’ordre de risque et le détail des sept domaines sont sur la page Configuration Manager.
Autour de la gestion conjointe
Les quatre pages qui se répondent.
Ce sujet touche les deux outils et l’identité qui les relie. Chacune de ces pages traite une part, sans répéter les autres.
Un sigle vous échappe ? Ils sont tous expliqués sans jargon dans notre glossaire .
Commençons par l’état de jonction de votre parc
Une heure avec les ingénieurs qui feront le travail, et vos deux consoles ouvertes. Nous vous dirons si les quatre conditions sont réunies, ce qui manque, et combien de postes sont à reprendre — y compris quand la réponse est que tout est déjà prêt.
L’établissement de l’offre est gratuit ; le relevé de l’existant est la première étape du mandat. Ce que nous offrons volontiers, c’est la rencontre des ingénieurs qui feront le travail. Nous sommes autorisés à la location de services depuis 2018 : un ingénieur peut aussi rejoindre votre équipe pour une durée déterminée.
Combien de vos postes sont dans l’annuaire sans être gérés par personne ?
Si vous pouvez donner le chiffre, votre parc est tenu : la gestion conjointe sera un réglage, pas un projet.
Si la réponse est « il faudrait regarder », alors c’est exactement par là qu’il faut commencer — et ce n’est pas une mauvaise nouvelle : cette colonne-là se remplit vite, et elle explique souvent l’écart entre le nombre de licences payées et le nombre de postes réellement pilotés.