Temps de lecture : 6 minutes
Un millier de postes sous Windows 10, une gestion historique par Active Directory et GPO, et une échéance qui approche : la fin du support de Windows 10. Le projet consiste à faire passer tout le parc sous Windows 11, et à confier sa gestion à Microsoft Intune.
Sur le papier, c'est un projet classique. Dans les faits, c'est une succession de surprises, dont la plupart ne sont documentées nulle part. Cette série raconte ce projet, mené pour un client, problème après problème, avec ce qui a marché, ce qui a coûté cher, et ce qu'on referait autrement.
Cet article pose le décor.
Le point de départ
L'état des lieux a commencé par un audit du tenant Microsoft 365 et de l'Active Directory. Il a révélé un parc géré sur le papier, beaucoup moins dans les faits :
- Une gestion encore très locale. Active Directory et GPO pour la configuration, WSUS pour les mises à jour, MBAM pour le chiffrement BitLocker.
- Une inscription Intune partielle. Le réglage d'inscription automatique était limité à une partie des utilisateurs, et une part importante du parc n'était pas inscrite du tout.
- Une conformité quasi nulle. Une stratégie de conformité existait, correctement configurée… mais attribuée à trois postes. Sur plus d'un millier d'appareils inscrits, pratiquement aucun n'était évalué comme conforme.
- Des centaines d'objets fantômes. Plus de 1 500 objets ordinateurs inactifs depuis des années encombraient Entra ID.
- Un gestionnaire disparu. Des postes apparaissaient encore « co-gérés » avec Configuration Manager, alors que l'infrastructure SCCM n'existait plus.
- Une vingtaine de GPO à reprendre, dont certaines ne s'appliquaient plus à personne depuis longtemps sans que personne le sache.
Aucune de ces situations n'est rare. C'est leur accumulation qui rend un tel projet délicat : chaque chantier en révèle un autre.
Les objectifs
Le projet poursuit cinq objectifs :
- Déployer plusieurs centaines de postes neufs sans préparation manuelle, par Windows Autopilot, directement depuis le carton.
- Remasteriser le parc existant à distance, par Intune, sans déplacement d'un technicien sur chaque poste.
- Piloter les mises à jour depuis le cloud, avec Windows Update for Business à la place de WSUS, et un déploiement progressif adapté à la criticité des postes.
- Moderniser la sécurité du poste : mot de passe administrateur local par Windows LAPS, chiffrement BitLocker et conformité gérés par Intune, clés sauvegardées dans Entra ID.
- Réduire la dépendance aux GPO, en reprenant dans Intune ce qui reste utile et en abandonnant le reste.
Les contraintes
Ce sont elles qui ont façonné l'essentiel des décisions :
- Une forte dépendance à l'Active Directory. Partages réseau, serveur d'impression, applications métier : tout repose sur l'authentification du domaine.
- Une authentification réseau 802.1X partout. Sans certificat valide, un poste n'a tout simplement pas de réseau au bureau.
- Un pare-feu qui identifie chaque poste. L'accès réseau dépend d'un agent installé sur le poste, qu'un poste neuf n'a évidemment pas encore.
- Des applications métier anciennes, dont certaines imposent des composants qu'on aimerait voir disparaître.
- Des postes à haute disponibilité, qu'on ne redémarre pas n'importe quand pour installer une mise à jour.
Retenez surtout les trois premières : elles reviendront dans presque chaque article de la série.
Les grands choix
Trois principes ont guidé le projet. Chacun aura son propre article.
- La jonction hybride plutôt qu'Entra ID seul. Microsoft recommande désormais la jonction Entra pour les nouveaux déploiements. Mais avec une telle dépendance à l'Active Directory, l'hybride restait le seul choix réaliste. Il a un prix, que la série détaille.
- L'Active Directory comme référence. Pour assainir Entra ID et Intune, une seule règle : ce qui n'existe pas, ou plus, dans l'AD n'a rien à faire dans le cloud.
- Tout construire, rien n'attribuer. Chaque stratégie, profil et application a été créé et configuré des semaines avant la bascule, sans être attribué au parc. L'activation se fait au moment choisi avec le client, par lots maîtrisés.
Ce que raconte cette série
Chaque article part d'un problème réel rencontré pendant le projet : le symptôme, les fausses pistes, la cause, la solution, et ce qu'elle a coûté.
- Les prochains retours d'expérience seront ajoutés ici au fil des publications.
À retenir
- Un projet Windows 11 et Intune commence par un état des lieux honnête : ce qui est réellement inscrit, réellement conforme, réellement à jour.
- Les contraintes d'infrastructure (Active Directory, 802.1X, pare-feu) pèsent davantage sur le projet que la migration Windows elle-même.
- La plupart des problèmes rencontrés existaient avant le projet : la migration n'a fait que les révéler.
Tout ce projet a commencé par un audit. Avant de vous lancer, faites le vôtre : AuditMS analyse gratuitement et en lecture seule votre tenant Microsoft 365, dont votre configuration Intune. Lancer un audit sur auditms.fr