Chapitre 613 minIntermédiaire
Windows Autopilot et Intune : le déploiement moderne
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- expliquer la différence entre réimager un poste et le provisionner ;
- décrire le parcours d'un PC neuf avec Autopilot et Intune ;
- choisir entre Autopilot classique et Autopilot device preparation ;
- situer Autopilot face à un domaine Active Directory local.
3 exercices corrigés1 schéma
Windows Autopilot est le service de Microsoft qui prépare un PC neuf pour l'entreprise sans le réinstaller : au premier démarrage, l'utilisateur se connecte avec son compte professionnel, le poste rejoint Microsoft Entra ID, s'inscrit dans Microsoft Intune, qui lui applique les réglages, les logiciels et les règles de sécurité. Intune est l'outil de gestion des terminaux dans le cloud de Microsoft. Ce chapitre donne les notions à connaître au BTS : la différence avec l'imagerie, le parcours d'un poste, les modes d'Autopilot et la place de cette approche face à un domaine Active Directory local.
Réimager ou provisionner
Jusqu'ici, le cours a suivi la logique de l'imagerie : on efface le disque et on y copie une image maison. Autopilot suit une autre logique, le provisioning : le Windows installé en usine par le fabricant est conservé, et on le transforme en poste de l'entreprise en lui appliquant une configuration.
| Imagerie (FOG, Configuration Manager) | Provisioning (Autopilot et Intune) | |
|---|---|---|
| Point de départ | Un disque effacé | Le Windows du fabricant |
| Ce qu'on prépare | Une image, un fichier de réponses, des scripts | Des profils et des stratégies dans une console en ligne |
| Où se fait le déploiement | Sur le réseau de l'entreprise, souvent à l'atelier | Partout où il y a Internet, y compris chez le salarié |
| Annuaire | Active Directory local | Microsoft Entra ID (l'annuaire cloud de Microsoft 365) |
| Après le déploiement | GPO, scripts, outil de gestion | Intune continue à gérer le poste toute sa vie |
| Maintenance | Mettre l'image à jour chaque mois | Mettre les stratégies et les applications à jour, pas d'image |
Microsoft pousse clairement le provisioning : c'est la solution que la page de retrait de MDT recommande, et l'évolution de ses outils (WDS déprécié, MDT retiré) va dans ce sens.
Les prérequis
Autopilot n'est pas un logiciel à installer : c'est un service de Microsoft 365. Il suppose :
- un locataire Microsoft Entra ID (le compte d'organisation de Microsoft 365), avec les comptes des utilisateurs ;
- des licences Microsoft Intune (Plan 1), incluses notamment dans Microsoft 365 Business Premium (jusqu'à 300 utilisateurs), Microsoft 365 E3 et E5, et des licences Entra ID P1 pour l'inscription automatique ;
- l'inscription automatique dans Intune activée, avec une portée utilisateur MDM qui couvre les salariés concernés (tous, ou un groupe) ;
- des postes en Windows 11 Professionnel, Entreprise ou Éducation (l'édition Famille n'est pas prise en charge) ;
- un accès à Internet pendant le premier démarrage, vers les services de Microsoft.
La console d'Intune est le centre d'administration Microsoft Intune (intune.microsoft.com).
Le parcours d'un poste avec Autopilot
Dans le mode le plus courant, piloté par l'utilisateur (user-driven) :
- Enregistrement. L'identifiant matériel du PC (le hardware hash) est enregistré dans le locataire de l'entreprise. Le fabricant ou le revendeur le fait au moment de la commande ; sinon, le service informatique le relève sur le poste et l'importe en CSV.
- Affectation. Le poste enregistré reçoit un profil de déploiement Autopilot : type de jonction, écrans de l'OOBE à masquer, modèle de nom, compte standard ou administrateur pour l'utilisateur.
- Livraison. Le PC part directement chez le salarié, dans son carton.
- Premier démarrage. L'utilisateur choisit sa langue et se connecte au réseau. Windows contacte les services de Microsoft, reconnaît le poste et télécharge son profil : l'OOBE affiche le nom et le logo de l'entreprise.
- Authentification. L'utilisateur saisit son adresse professionnelle, son mot de passe et son second facteur (MFA).
- Jonction et inscription. Le poste rejoint Microsoft Entra ID et s'inscrit dans Intune.
- Configuration. La page d'état de l'inscription (ESP, Enrollment Status Page) affiche la progression pendant qu'Intune applique les stratégies de sécurité et installe les applications marquées comme bloquantes.
- Bureau. L'utilisateur arrive sur son bureau, avec un poste conforme. Intune continue ensuite à le gérer : mises à jour, nouvelles applications, conformité.
Enregistrer un poste existant
Pour des postes que le revendeur n'a pas enregistrés, le service informatique relève l'identifiant matériel avec le script Get-WindowsAutopilotInfo, publié sur la PowerShell Gallery. Sur le poste, en PowerShell administrateur (pendant l'OOBE, Maj + F10 ouvre une invite de commandes, depuis laquelle on lance powershell) :
# Récupère le script depuis la PowerShell Gallery (session courante seulement)
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
# Écrit l'identifiant matériel dans un fichier CSV, à importer dans Intune
New-Item -Type Directory -Path C:\HWID -Force
Get-WindowsAutopilotInfo -OutputFile C:\HWID\AutopilotHWID.csv
Le fichier s'importe dans le centre d'administration Intune : Appareils > Windows > Inscription, rubrique Windows Autopilot, Appareils, puis Importer. L'import prend une quinzaine de minutes. On peut y attacher une étiquette de groupe (group tag) qui sert à ranger les postes dans des groupes dynamiques, par service ou par site.
Le modèle de nom du profil de déploiement donne leur nom aux postes : 15 caractères au plus, avec des variables comme %SERIAL% (le numéro de série) ou %RAND:4% (quatre chiffres aléatoires). Un modèle SOR-%RAND:6% donne des noms comme SOR-482913.
Les modes d'Autopilot
| Mode | Principe | Usage |
|---|---|---|
| Piloté par l'utilisateur (user-driven) | L'utilisateur se connecte au premier démarrage, le poste se configure | Le cas général : un poste, un utilisateur |
| Préprovisionné (pre-provisioned, anciennement White Glove) | Un technicien ou le revendeur lance la partie « appareil » du déploiement à l'avance (en appuyant cinq fois sur la touche Windows à l'OOBE), puis remet le poste ; l'utilisateur ne fait plus que la partie « utilisateur » | Gagner du temps quand il y a beaucoup d'applications |
| Auto-déployé (self-deploying) | Aucune connexion d'utilisateur : le poste se configure seul, s'il a une puce TPM 2.0 qui prouve son identité | Bornes, postes partagés, écrans d'affichage |
| Appareils existants | Un fichier de profil Autopilot est déposé sur un poste déjà en service (par une séquence de tâches de Configuration Manager), qui est réinstallé et passe par Autopilot | Migrer un parc existant vers Intune |
Windows Autopilot Reset remet un poste déjà géré dans son état de départ (applications et réglages réappliqués, données et comptes locaux effacés), sans réinstaller Windows : pratique quand un poste change d'utilisateur.
Autopilot device preparation
Microsoft propose depuis 2024 une seconde version, Windows Autopilot device preparation, plus simple à configurer. Les deux coexistent ; un même poste suit l'une ou l'autre.
| Windows Autopilot (classique) | Autopilot device preparation | |
|---|---|---|
| Enregistrement préalable du poste | Obligatoire | Inutile (on peut associer les postes à l'avance) |
| Modes | Piloté par l'utilisateur, préprovisionné, auto-déployé, appareils existants | Piloté par l'utilisateur, et un mode automatique pour Windows 365 |
| Jonction | Entra ID, ou jonction hybride à un AD local | Entra ID seulement |
| Ce qui est livré pendant l'OOBE | Les applications bloquantes choisies dans la page d'état de l'inscription (pas de plafond de 25), réglages de l'appareil et de l'utilisateur | Jusqu'à 25 applications et 10 scripts PowerShell, réglages de l'appareil |
| Versions de Windows | Windows 10 et 11 maintenus | Windows 11 (24H2 et suivantes, ou 22H2 et 23H2 avec une mise à jour de 2024) |
| Suivi | Rapport de déploiement, en différé | Rapport en quasi temps réel |
| Configuration | Profil de déploiement et page d'état de l'inscription | Une stratégie de préparation et un groupe d'appareils dont le propriétaire est l'application Intune Provisioning Client |
En résumé : device preparation pour un parc neuf, simple, entièrement dans le cloud ; la version classique dès qu'il faut un mode préprovisionné ou auto-déployé, une jonction hybride, ou beaucoup d'applications pendant l'OOBE.
Et avec un domaine Active Directory local ?
Autopilot sait faire une jonction hybride : le poste rejoint le domaine Active Directory local et Entra ID. Mais elle demande un connecteur Intune pour Active Directory sur un serveur du domaine, un accès au contrôleur de domaine pendant le déploiement (un VPN pour un poste à distance), et elle complique le dépannage. Microsoft recommande de déployer les nouveaux postes en jonction Entra ID pure, et de donner accès aux ressources locales (partages, imprimantes) par l'authentification unique que permet la synchronisation des comptes avec Entra Connect.
Pour Sorbier, la question ne se pose pas encore : l'entreprise n'a ni licences Intune ni Entra ID, et ses postes sont tous au siège, dans le domaine. FOG et les GPO répondent à son besoin. Si elle passe un jour à Microsoft 365 Business Premium, Autopilot deviendra la méthode logique pour les postes neufs, et FOG servira encore pour les salles de formation ou les postes de l'entrepôt.
Ce qu'Intune gère après le déploiement
Intune n'est pas qu'un outil de déploiement : il remplace, pour les postes qu'il gère, une bonne partie de ce que font les GPO et les outils locaux.
| Domaine | Ce qu'Intune fait | Équivalent sur un domaine local |
|---|---|---|
| Réglages | Profils de configuration, catalogue de paramètres | GPO |
| Sécurité | BitLocker, Defender, pare-feu, Windows LAPS, lignes de base de sécurité | GPO, console de l'antivirus |
| Conformité | Règles (chiffrement, version de Windows, antivirus actif) ; un poste non conforme perd l'accès aux données par l'accès conditionnel d'Entra ID | Pas d'équivalent direct |
| Applications | Déploiement obligatoire ou à la demande (chapitre 7) | GPO d'installation, outils tiers |
| Mises à jour | Anneaux de mises à jour, Windows Autopatch | WSUS (déprécié), GPO Windows Update |
| Actions à distance | Redémarrer, verrouiller, réinitialiser, effacer, retirer les données de l'entreprise | Bureau à distance, scripts |
| Inventaire | Matériel et applications de chaque poste inscrit | GLPI, Configuration Manager |
Exercices
Exercice 1 sur 3 Les prérequis d'Autopilot Réussi À revoir
Un cabinet de 40 salariés veut passer à Autopilot. Le directeur te donne ces informations : abonnement Microsoft 365 Business Standard pour tout le monde, postes neufs commandés en Windows 11 Famille « parce que c'est moins cher », aucun réglage fait dans Entra ID. Liste ce qui manque.
Voir la réponseMasquer la réponse de l'exercice 1
- Les licences Intune et Entra ID P1 : Business Standard ne les contient pas. Il faut passer à Microsoft 365 Business Premium (ou ajouter Intune et Entra ID P1).
- L'édition de Windows : Windows 11 Famille n'est pas pris en charge par Autopilot ni par la jonction à Entra ID. Il faut des postes en Windows 11 Professionnel (ou une mise à niveau vers Professionnel).
- L'inscription automatique dans Intune à activer pour les utilisateurs concernés.
- L'enregistrement des postes : demander au revendeur d'enregistrer les identifiants matériels dans le locataire du cabinet, ou les relever soi-même et les importer (sauf avec device preparation, qui s'en passe).
- Un profil de déploiement (ou une stratégie de device preparation) et les applications à installer pendant le déploiement.
Tu avais trouvé ?
Exercice 2 sur 3 Choisir un mode Réussi À revoir
Pour chaque cas, indique le mode d'Autopilot adapté (et la version, classique ou device preparation, si ça compte).
- Trois bornes d'accueil en libre-service, sans utilisateur nominatif.
- Des commerciaux qui reçoivent leur portable chez eux ; l'entreprise est entièrement dans Microsoft 365, sans serveur local.
- Des postes qui doivent installer 40 applications pendant le déploiement et arriver prêts chez l'utilisateur en moins de dix minutes.
- Des postes qui doivent rejoindre le domaine Active Directory local de l'entreprise.
Voir la réponseMasquer la réponse de l'exercice 2
- Auto-déployé (self-deploying), version classique : aucun utilisateur ne se connecte, le poste prouve son identité par sa puce TPM 2.0.
- Piloté par l'utilisateur, idéalement avec device preparation : jonction Entra ID pure, pas d'enregistrement préalable, suivi en quasi temps réel.
- Préprovisionné, version classique : le revendeur ou le service informatique fait à l'avance la longue partie « appareil » (les 40 applications dépassent d'ailleurs la limite de 25 de device preparation) ; l'utilisateur ne fait plus que la partie qui le concerne.
- Version classique avec jonction hybride, avec le connecteur Intune pour Active Directory et un accès au contrôleur de domaine pendant le déploiement. Device preparation ne sait pas faire de jonction hybride. On peut aussi rappeler que Microsoft recommande la jonction Entra ID pour les postes neufs.
Tu avais trouvé ?
Exercice 3 sur 3 Imagerie ou provisioning ? Réussi À revoir
Un responsable informatique dit : « Avec Autopilot, plus besoin de master ni de Sysprep : c'est toujours mieux. » Nuance cette affirmation en donnant deux situations où l'imagerie reste préférable.
Voir la réponseMasquer la réponse de l'exercice 3
Autopilot supprime en effet le master, mais il suppose des licences Intune, des comptes dans Entra ID, Internet pendant le déploiement et un poste qui a encore un Windows fonctionnel. L'imagerie reste préférable par exemple :
- pour une salle de formation ou un laboratoire à remettre à neuf chaque semaine, en multicast, sans compte utilisateur ;
- pour une organisation sans Microsoft 365 ou sur un réseau isolé d'Internet (industrie, santé, défense) ;
- pour réinstaller un poste dont le Windows est corrompu ou dont le disque a été remplacé (Autopilot repart du système installé ; il faut alors un média de réinstallation ou une image de toute façon).
Tu avais trouvé ?