Microsoft Intune
Vous l’avez déjà payé. La question est ce qu’il applique vraiment.Presque toutes les entreprises qui ont Microsoft 365 en E3 ou en E5 possèdent déjà Intune, licence comprise. Le sujet n’est donc plus de l’acheter : c’est de savoir ce que votre tenant fait réellement respecter. Un tableau de conformité vert ne prouve rien — une règle ne vérifie que ce qu’on lui a demandé de vérifier, et elle n’interdit rien tant qu’un accès conditionnel ne s’appuie pas dessus. C’est là que notre travail commence.
Comment tout cela s’emboîte
Une plateforme, deux portes.
Depuis 2023 il n’y a plus deux produits concurrents, mais une famille et un seul centre d’administration. Ce qui reste vrai, c’est que les deux portes ne mènent pas au même parc : l’une va chercher la machine par Internet, l’autre l’attend sur votre réseau.
Un seul centre d’administration, une seule identité, un seul jeu de règles de conformité. Si un document ou un devis vous parle encore de Microsoft Endpoint Manager, c’est de cet ensemble qu’il parle : Microsoft a retiré ce nom.
Microsoft Intune
Le service dans le cloud. Il rejoint l’appareil partout où il a du réseau, sans passer par votre infrastructure.
- +Portables hors du domaine, télétravail, prestataires
- +Téléphones et tablettes, Android comme Apple
- +Mac, et postes Linux pour les profils techniques
- +Appareils personnels, sans les inscrire
Configuration Manager
L’outil installé chez vous, ex-SCCM. Il travaille sur votre réseau, y compris quand celui-ci ne voit pas Internet.
- +Installation du système sur une machine nue
- +Réseaux fermés, ateliers, sites industriels
- +Serveurs Windows, et gros paquets en local
- +Inventaire matériel et logiciel très détaillé
Le co-management : le même poste, piloté par les deux
Un poste peut porter le client Configuration Manager et être inscrit dans Intune. Sept domaines de réglages basculent alors un par un, quand vous le décidez, et rien ne vous oblige à les basculer tous. C’est l’état normal d’un parc d’entreprise, pas une étape transitoire qu’il faudrait quitter au plus vite.
Le détail des sept domaines, l’ordre dans lequel les basculer et ce qu’il vaut mieux laisser en place sont écrits sur la page Configuration Manager .
Ce que ça fait, en clair
Six choses, et la sixième est la seule qui protège.
Les cinq premières se voient dans une démonstration et rassurent tout le monde. La sixième ne se voit pas, ne fait l’objet d’aucune diapositive, et c’est la seule qui empêche quelque chose. Un parc où les cinq premières sont en place et la sixième absente est un parc administré, pas un parc protégé.
Inscrire l’appareil, et le préparer seul
Un poste neuf sorti du carton se configure sans passer par le service informatique : il s’enregistre, reçoit son nom, ses applications et ses règles. Sur Windows, c’est le rôle d’Autopilot ; sur Apple, celui de l’inscription automatisée par le programme constructeur.
Installer, mettre à jour, retirer
Les applications arrivent sans l’utilisateur, se mettent à jour sans lui, et se retirent quand il change de poste. Le catalogue d’entreprise géré par Microsoft évite d’empaqueter à la main les logiciels les plus courants. C’est une capacité facturée en plus, et nous l’écrivons noir sur blanc plutôt que de la montrer en démonstration.
Poser la configuration, sans domaine
Chiffrement du disque, pare-feu, mots de passe, réseau, imprimantes, restrictions : ce que les stratégies de groupe faisaient sur un poste connecté au domaine, Intune le fait sur un poste qui ne l’est jamais. Ce n’est pas la même syntaxe, et la traduction n’est pas automatique.
Tenir Windows à jour, par vagues
Les mises à jour se déploient par anneaux, avec un délai et une fenêtre de redémarrage : d’abord un petit groupe, puis toute l’entreprise. C’est la fonction la plus rentable de l’outil, et la plus souvent laissée à son réglage d’usine.
Protéger les données sur un appareil qui n’est pas le vôtre
Sur le téléphone personnel d’un collaborateur ou la machine d’un prestataire, on peut encadrer les seules applications professionnelles : interdire le copier-coller vers le privé, exiger un code, effacer à distance les données de l’entreprise sans toucher aux photos de famille.
Refuser l’accès quand l’appareil n’est pas conforme
Une règle de conformité constate ; elle n’interdit pas. C’est l’accès conditionnel, dans Entra ID, qui transforme ce constat en porte fermée. Sans lui, un poste non conforme lit quand même la messagerie — et c’est le défaut que nous trouvons le plus souvent.
Le point de départ
Quatre situations, et une seule est la vôtre.
Un projet Intune n’est presque jamais « installer Intune ». C’est l’une de ces quatre trajectoires, elles ne coûtent pas la même chose, et se tromper de trajectoire coûte plus cher que de se tromper d’outil. Nous les avons toutes les quatre en cours chez des clients aujourd’hui.
Rien, ou presque
Les postes sont montés à la main, les stratégies de groupe font ce qu’elles peuvent, les téléphones ne sont pas gérés du tout. La licence Intune existe dans l’abonnement, elle n’a jamais été allumée.
C’est la trajectoire la plus rapide, et de loin : il n’y a rien à démonter. On pose le socle d’identité, la conformité, l’accès conditionnel, puis on inscrit par vagues.
Le signe qui ne trompe pasPersonne ne sait dire combien de postes sont chiffrés.Un tenant en friche
Intune est allumé depuis des années. Il contient quarante profils dont plus personne ne connaît l’auteur, trois règles de conformité qui se contredisent, et des groupes nommés « test2 » qui sont en production.
La difficulté n’est pas technique : c’est de savoir ce qui s’applique vraiment aujourd’hui avant de toucher quoi que ce soit. C’est la situation la plus fréquente, et celle où l’on casse le plus de choses en allant vite.
Le signe qui ne trompe pasPlus personne n’ose retirer un profil, de peur de ce qu’il tient.Configuration Manager en place
Un SCCM tourne depuis dix ans, il fait très bien son travail, et l’on vous répète qu’il faudrait « passer au cloud ». La bonne réponse n’est presque jamais de l’arrêter.
On le raccorde, on active le co-management, et l’on déplace les domaines de réglages un par un, en commençant par ceux qui ne cassent rien. Chaque bascule est réversible.
Le signe qui ne trompe pasLes portables rentrent au bureau une fois par mois pour « prendre leurs mises à jour ».Un autre outil de gestion mobile
Workspace ONE, Jamf, MobileIron, Ivanti : la gestion existe, elle fonctionne, mais elle se paie une deuxième fois alors qu’Intune est déjà compris dans l’abonnement Microsoft.
Le travail réel est un inventaire de correspondance réglage par réglage, puis une double gestion courte et surveillée. Ce qui coûte, ici, ce sont les certificats et le réseau, pas l’inscription des appareils.
Le signe qui ne trompe pasDeux consoles disent deux choses différentes sur le même téléphone.Vos postes ne voient jamais Internet ? Configuration Manager reste la bonne réponse.
Atelier fermé, réseau industriel séparé, machine à réinstaller depuis le réseau, serveurs Windows à tenir : sur ces terrains, l’outil installé dans vos murs fait ce que le cloud ne fait pas. Nous tenons les deux, avec les mêmes ingénieurs — et nous vous le dirons quand la bonne réponse est celle-là.
Une conformité verte ne prouve rien.
C’est le constat que nous faisons dans presque tous les tenants que nous reprenons. Le tableau est vert, la direction est rassurée, et pourtant rien n’est empêché. Trois raisons, et elles se vérifient en quelques minutes dans votre propre console.
Une règle ne contrôle que ce qu’on lui a demandé
Une politique de conformité qui ne coche que « version du système » déclarera conforme un poste sans chiffrement, sans pare-feu et sans antivirus à jour. Le vert ne dit pas « protégé » : il dit « conforme à ce qui a été écrit ».
Sans accès conditionnel, la conformité n’interdit rien
Intune constate l’état de l’appareil. Seul l’accès conditionnel, dans Entra ID, refuse la connexion. Beaucoup d’entreprises ont l’un sans l’autre : le constat est juste, la porte reste ouverte.
Un appareil qui ne remonte plus reste vert
Un poste dont l’agent est trop ancien, ou qui n’a pas communiqué depuis des semaines, garde son dernier état connu. Un parc sans surveillance de la remontée elle-même verdit en vieillissant.
La première chose que nous produisons n’est donc pas un plan : c’est l’état réel de ce que votre tenant applique aujourd’hui, appareil par appareil, règle par règle, avec ce qui est vérifié, ce qui ne l’est pas, et ce qui est simplement muet. Le reste du mandat se décide à partir de là — et rien avant.
Ce que ça coûte, avant la réunion
Ce qui est compris, et ce qui se paie en plus.
La gêne habituelle des projets Intune arrive au moment du devis : une fonction montrée en démonstration se révèle être une option facturée par utilisateur. Autant le dire maintenant. Le plan de base fait le travail ; les huit capacités avancées sont réelles, utiles, et se paient.
Le plan de base suffit à tenir un parc
Il est inclus dans Microsoft 365 E3, E5, et dans les formules pour petites structures qui incluent Intune. C’est avec cela que se font la très grande majorité de nos mandats.
- +Inscription et préparation des appareils, Autopilot compris
- +Distribution des applications et des scripts
- +Profils de configuration, sur les cinq systèmes
- +Règles de conformité, et pilotage des mises à jour
- +Protection des données dans les applications, sans inscrire l’appareil
- +Le client Configuration Manager, dont la licence est comprise
Huit capacités avancées, à décider une par une
Elles s’achètent groupées ou séparément selon les cas. Chacune répond à un besoin précis : la question n’est jamais « faut-il les prendre » mais « laquelle règle un problème que vous avez vraiment ».
- —Assistance à distance — prendre la main sur le poste, avec traçabilité
- —Élévation de privilèges — retirer les droits d’administrateur sans bloquer le métier
- —Catalogue d’applications d’entreprise — les logiciels courants, empaquetés par Microsoft
- —Autorité de certification gérée — les certificats sans monter d’infrastructure
- —Analyse avancée des postes — la mesure de l’expérience utilisateur
- —Tunnel pour les applications gérées — l’accès interne sans inscrire l’appareil
- —Mise à jour du micrologiciel Android, à distance et sans geste de l’utilisateur
- —Appareils particuliers — casques, grands écrans, salles de réunion
Une précision qui évite un malentendu récurrent : Intune n’est pas un antivirus. Il configure celui qui est intégré à Windows, et il en lit l’état ; la détection et la réponse sur incident sont un autre produit, avec sa propre licence. De même, l’accès conditionnel est une fonction de l’annuaire, pas d’Intune : il exige un niveau d’Entra ID que la plupart des abonnements d’entreprise contiennent déjà, mais pas tous.
Notre démarche
Rien ne bouge avant l’état réel du tenant.
Cinq étapes, toujours dans cet ordre, et la troisième est le point de non-retour : c’est le pilote qui décide de la suite, pas la réunion de lancement. Chaque étape produit quelque chose que vous gardez, y compris si vous décidez de vous arrêter là.
L’état réel de ce qui s’applique
Nous relevons ce que le tenant fait respecter aujourd’hui : chaque profil, chaque règle de conformité, chaque groupe d’affectation, et surtout ce qui n’est pas vérifié du tout.
Nous relevons aussi ce qui ne remonte plus : agents trop anciens, appareils muets depuis des semaines, doublons d’inscription.
Le socle : identité d’abord, conformité ensuite
L’ordre n’est pas négociable. On assainit l’annuaire et les groupes, on écrit les règles de conformité qui vérifient ce qui compte, puis on branche l’accès conditionnel qui leur donne enfin un pouvoir de refus.
Les certificats et le réseau se traitent ici, pas plus tard : ce sont eux qui font échouer les projets au moment de la bascule.
Le pilote, sur de vrais utilisateurs
Un groupe réel, choisi avec vous, qui travaille vraiment : un service entier plutôt que trois machines de laboratoire. C’est la seule façon de voir ce qui casse.
C’est l’étape qui décide. Si le pilote révèle qu’une partie du parc doit rester sur Configuration Manager, nous le disons et nous adaptons le plan — cela arrive, et c’est une bonne nouvelle, pas un échec.
La bascule par vagues, avec un retour arrière
Par site, par service ou par métier, jamais tout un lundi matin. Chaque vague a son critère d’arrêt, et chaque bascule de domaine de réglages est réversible en une action.
Les postes qui posent problème ne bloquent pas la vague : ils sortent du lot et se traitent à part.
La passation, et ce qui reste après nous
Vos équipes doivent pouvoir tenir la plateforme sans nous. Nous formons, nous documentons, et nous restons joignables au niveau où vous ne voulez pas aller vous-mêmes.
Nous portons aussi les échanges avec le support de l’éditeur quand un défaut est de son côté : c’est un travail à part entière, et il n’a rien d’agréable.
Ce qu’il vaut mieux savoir avant
Six choses qu’on ne vous dira pas en démonstration.
Aucune n’est un défaut rédhibitoire. Mais chacune a déjà fait dérailler un calendrier chez quelqu’un, et toutes se vérifient avant de signer plutôt qu’au milieu de la bascule.
Le pays de vos données se fixe à la création du tenant
Intune est exploité depuis trois grandes régions, et il existe aussi en géographie locale suisse. Bonne nouvelle pour qui doit garder ses données en Suisse — avec une condition sévère.
La géographie découle du pays inscrit dans l’annuaire au moment où il a été créé, et cette valeur ne se modifie plus ensuite. Un déplacement de données existante se demande au support de l’éditeur ; la migration peut prendre jusqu’à vingt-quatre mois après la demande. C’est donc une question à régler au premier jour, pas au dernier.
Intune ne réinstalle pas une machine nue
Autopilot part d’un Windows qui démarre déjà. Il personnalise une machine, il ne l’installe pas depuis le réseau : il n’y a ni démarrage réseau, ni séquence de tâches, ni image système à déployer.
Pour reprendre un poste dont le disque est vide, il faut soit une clé préparée, soit Configuration Manager. C’est la première raison, et la plus honnête, de garder l’outil installé chez vous.
Un parc ancien est toléré, pas supporté
Depuis le 14 octobre 2025, Windows 10 n’est plus qu’une version autorisée : ces postes s’inscrivent encore, mais leur comportement n’est plus garanti. Côté Apple, seules les trois dernières versions majeures sont pleinement soutenues.
Côté Android, la gestion par utilisateur demande la version 10 ou plus récente, et l’ancienne méthode d’administration d’appareil s’est arrêtée en décembre 2024 sur tous les téléphones dotés des services Google. Un parc de terminaux durcis un peu âgés mérite d’être inventorié avant de promettre une date.
Un poste cloné n’est pas gérable
Intune refuse l’image d’une machine déjà inscrite : le jeton d’inscription se retrouve en double, et l’appareil échoue à s’enregistrer ou à se synchroniser, souvent sans message clair.
Le piège se referme surtout sur les machines virtuelles et les postes de bureau à distance, là où l’on a l’habitude de dupliquer une image de référence. La règle est simple : on clone avant l’inscription, jamais après.
Sous une certaine version, l’agent se tait
Depuis avril 2026, un poste Windows dont l’extension de gestion est antérieure à la version 1.58.103.0 ne reçoit plus ni applications Win32, ni scripts, ni remédiations. Il reste visible dans la console, il paraît en bonne santé, et il n’exécute plus rien.
Depuis juin 2026, le contenu de ces applications exige par ailleurs une distribution chiffrée : un cache local resté en clair est contourné, et la bande passante repart vers Internet sans que personne ne s’en aperçoive.
L’empaquetage des logiciels reste un travail
Intune distribue ce qu’on lui donne. Un logiciel métier qui s’installait par un script de connexion, une base locale, une clé de licence par poste : tout cela se réécrit, et c’est souvent la moitié de la charge réelle d’un projet.
Le catalogue d’applications d’entreprise règle le cas des logiciels courants, mais c’est une option payante et il ne couvre pas votre logiciel maison. Nous chiffrons ce poste à part, application par application, plutôt qu’au forfait.
Questions fréquentes
Ce qu’on nous demande avant de commencer.
Huit questions qui reviennent à chaque premier rendez-vous. Les réponses sont courtes, et elles n’essaient pas de vous vendre l’option la plus chère.
Faut-il arrêter notre SCCM pour passer à Intune ?
Non, et c’est même rarement la bonne idée. Les deux outils appartiennent à la même famille et savent piloter le même poste ensemble : c’est le co-management. Sept domaines de réglages basculent alors un par un, quand vous le décidez.
Nous voyons régulièrement des entreprises qui gardent Configuration Manager pour l’installation des systèmes et les serveurs, et confient tout le reste à Intune. Cette répartition n’est pas un compromis bancal : c’est la configuration la plus courante des parcs d’entreprise. Le détail est sur la page Configuration Manager.
Notre documentation parle de Microsoft Endpoint Manager, et notre annuaire d’Azure AD. C’est encore valable ?
Le fond, oui ; les noms, non. Microsoft Endpoint Manager est devenu Microsoft Intune et Azure Active Directory est devenu Microsoft Entra ID. L’outil historique installé dans vos murs, appelé SCCM puis MECM, s’appelle aujourd’hui simplement Configuration Manager.
Ce n’est pas qu’une affaire de vocabulaire : c’est le signe que votre dossier a été écrit avant le regroupement de ces outils en une seule plateforme. Nous reprenons ce genre de dossier régulièrement, et l’essentiel du travail technique reste valable — c’est l’organisation du projet qui change.
Nos données de gestion restent-elles en Suisse ?
Elles peuvent, à une condition : que le tenant ait été créé avec la Suisse comme pays de l’annuaire. Il existe bien une géographie suisse pour Intune, mais elle se choisit au premier jour et ne se change pas d’un clic ensuite.
Si votre tenant est né avec un autre pays, un déplacement des données peut se demander au support de l’éditeur ; comptez jusqu’à vingt-quatre mois. Nous vérifions ce point dès le relevé initial, parce qu’il conditionne parfois toute l’architecture.
Peut-on gérer les Mac et les iPhone aussi bien que les PC ?
Oui, et depuis longtemps. Les mobiles Apple sont même le terrain où Intune est le plus mûr : inscription automatisée à la commande, applications, restrictions, effacement à distance.
Sur les Mac, la couverture est bonne mais pas identique à celle de Windows : certains réglages fins passent par des fichiers de configuration, et certaines entreprises très « Apple » gagnent à garder un outil spécialisé à côté. Nous vous le dirons si c’est votre cas plutôt que de forcer une console unique.
Et les postes qui ne voient jamais Internet ?
Ils ne sont pas pour Intune. Un appareil géré dans le cloud doit pouvoir joindre le service régulièrement ; un poste d’atelier sur un réseau séparé ne le fera jamais.
C’est exactement le terrain de Configuration Manager, qui travaille sur votre réseau local. Un même parc peut parfaitement avoir ses portables dans Intune et ses machines de production sur l’outil installé chez vous.
Nos utilisateurs vont-ils perdre leurs droits d’administrateur ?
C’est une décision, pas une conséquence. Intune permet de retirer ces droits, mais rien ne vous y oblige au moment de la bascule — et mélanger les deux chantiers est la meilleure façon de faire échouer les deux.
Quand vous voudrez le faire, la fonction d’élévation de privilèges permet d’autoriser au cas par cas les tâches qui ont vraiment besoin de droits. C’est une option payante, et elle se décide après la bascule, jamais pendant.
Que devient notre jeu de stratégies de groupe ?
Il ne se transporte pas tel quel. Une bonne partie des réglages a un équivalent dans Intune, une partie n’en a pas, et une partie n’a plus de raison d’être une fois le poste sorti du domaine.
Le travail utile consiste à trier avant de traduire : dans les parcs que nous reprenons, une part notable des stratégies en place ne s’applique plus à rien depuis des années. Les recopier serait payer pour transporter du poids mort.
Combien de temps faut-il ?
Cela dépend de trois choses, et d’aucune autre : le nombre de logiciels métier à réempaqueter, l’état de l’annuaire au départ, et le nombre de sites où quelqu’un doit être physiquement présent.
Ce que nous pouvons annoncer : le relevé de l’existant se rend dans les premières semaines, un pilote tourne sur de vrais utilisateurs peu après, et la bascule d’un parc d’entreprise se compte en mois — pas en trimestres, et pas en semaines. Nous ne donnons une date qu’après le relevé, parce qu’une date donnée avant ne veut rien dire.
Autour du poste de travail
Ce qu’un projet Intune touche toujours.
Aucun mandat de gestion de parc ne s’arrête à la console. Ces sujets arrivent tous, tôt ou tard, et il vaut mieux savoir lesquels sont déjà tenus chez vous.
Un sigle vous échappe ? Ils sont tous expliqués sans jargon dans notre glossaire .
Commençons par ce que votre tenant applique vraiment
Une heure avec les ingénieurs qui feront le travail, et votre console ouverte. Nous vous dirons ce qui est tenu, ce qui est muet, et dans quel ordre le reprendre — y compris quand la réponse est de ne rien changer pour l’instant.
L’établissement de l’offre est gratuit ; le relevé de l’existant est la première étape du mandat. Ce que nous offrons volontiers, c’est la rencontre des ingénieurs qui feront le travail. Nous sommes autorisés à la location de services depuis 2018 : un ingénieur peut aussi rejoindre votre équipe pour une durée déterminée.
Si un poste non conforme se connecte demain matin, qu’est-ce qui l’arrête ?
Si vous pouvez nommer la stratégie d’accès conditionnel qui le refuse, votre parc est tenu : le reste n’est que de l’entretien.
Si la réponse est « la conformité est au vert », alors rien ne l’arrête. Le vert est un constat, pas une porte — et c’est par là que nous commencerons.