Microsoft Intune & Windows Autopilot

L'objectif de ce projet : qu'un PC neuf sorte du carton, se connecte au réseau et se configure tout seul, sans qu'un technicien ait à y toucher physiquement. J'ai mis en place la chaîne complète — de la licence jusqu'au premier démarrage utilisateur — en environnement hybride (Active Directory local + Microsoft Entra ID).

01La licence nécessaire

Pour inscrire des appareils dans Autopilot et les gérer via Intune, il faut au minimum une licence Microsoft Entra ID P1 (l'ancien Azure AD Premium P1). C'est la formule la plus légère des trois proposées par Microsoft :

Microsoft Entra ID P1	5,20 € HT / utilisateur / mois — suffisant pour Autopilot + gestion des appareils
Microsoft Entra ID P2	7,80 € HT / utilisateur / mois — ajoute la protection des identités avancée
Microsoft Entra Suite	10,40 € HT / utilisateur / mois — accès réseau + gouvernance complète

02Groupe de sécurité dynamique

Direction le Centre d'administration Microsoft Entra, onglet Groupes, puis création d'un nouveau groupe :

• Type de groupe : Sécurité
• Nom : Windows Autopilot
• Type d'appartenance : Appareil dynamique
• Règle d'appartenance : (device.deviceOSType -eq "Windows") and (device.deviceOSVersion -startsWith "10.0.2")

Résultat : dès qu'un appareil Windows 11 est synchronisé depuis Autopilot, il rejoint automatiquement ce groupe — plus besoin de l'ajouter à la main.

03Enregistrement du PC dans Autopilot

Chaque appareil doit être connu d'Autopilot via sa clé de hachage matériel (hardware hash). Pour la récupérer, j'ai utilisé un script PowerShell lancé en mode administrateur :

• Set-ExecutionPolicy Bypass — pour autoriser l'exécution du script
• autopilotEnrollment.ps1 — récupère le hash et l'envoie vers le tenant

Une fois la synchronisation faite, l'appareil apparaît dans Appareils Windows Autopilot, avec son numéro de série, son fabricant et son état de profil.

04Profil de déploiement

Dans Intune, section Appareils → Windows → Inscription → Profils de déploiement, création d'un nouveau profil avec :

• Rejoindre Microsoft Entra ID en tant que : Jointure hybride Microsoft Entra (puisqu'on a un AD local à raccorder)
• Mode de déploiement : Géré par l'utilisateur
• Masquage des termes de licence et des paramètres de confidentialité, pour un OOBE (Out-Of-Box Experience) simplifié côté utilisateur final
• Type de compte utilisateur : Standard
• Attribution au groupe Gp_Autopilot_Devices

05Applications poussées automatiquement

Dans Applications → Windows applications, ajout d'une application Microsoft Store (nouvelle) — VLC pour l'exemple — puis assignation en obligatoire au même groupe, pour qu'elle s'installe sans intervention dès le premier démarrage.

06Connexion d'Intune à l'Active Directory

Pour que la jointure hybride fonctionne, Intune doit pouvoir créer les objets ordinateur dans l'AD local. Ça passe par le connecteur ODJConnectorBootstrapper.exe à installer sur un serveur ayant vue sur l'AD :

• Installation de l'application, puis inscription avec un compte de service dédié
• Le compte apparaît ensuite dans Utilisateurs et ordinateurs Active Directory, sous Managed Service Accounts
• Sur l'OU où les PC doivent redescendre, attribution d'un contrôle total à ce compte de service, pour lui permettre de créer les objets ordinateur

07Premier démarrage

Le technicien branche le PC, le laisse démarrer, et se connecte avec le compte Microsoft de l'utilisateur (ex. jchan.malfant@etu.gfs63.com). Tout le reste — jointure au domaine, stratégies, applications — se fait seul. Une fois terminé, le PC redescend automatiquement dans la bonne unité d'organisation de l'Active Directory local.