Administrer un poste depuis Microsoft Intune ne se limite pas à lui appliquer des stratégies de configuration. Une fois le poste enrôlé, Intune propose toute une série d’actions à distance : synchronisation, redémarrage, collecte des diagnostics, rotation d’une clé BitLocker, analyse Defender, réinitialisation ou encore suppression des données professionnelles.
Dans la pratique, certaines actions sont régulièrement mal interprétées. Mettre hors service (Retire), Supprimer (Delete), Réinitialisation (Wipe), Redémarrage à zéro (Fresh Start) ou Réinitialisation d’Autopilot (Autopilot Reset) n’ont ni le même objectif, ni les mêmes conséquences, et surtout, Intune reste une solution de gestion moderne basée sur le cloud : cliquer sur un bouton dans la console ne signifie pas nécessairement que l’action sera immédiatement exécutée sur la machine.
Voyons donc ce qu’il est réellement possible de faire sur un poste de travail.
Une action Intune reste une commande distante
Lorsque l’administrateur déclenche une action depuis Intune, il ne prend pas directement le contrôle de Windows. La commande doit être transmise au poste de travail, puis exécutée par celui-ci. L’état affiché dans la console doit donc lui aussi être interprété avec précaution.
Microsoft donne un exemple particulièrement parlant avec l’action Supprimer (Delete) : lorsqu’un poste de travail est supprimé, Intune le masque immédiatement dans le centre d’administration et initie son retrait. Lorsque l’action passe à l’état Completed, cela signifie que le traitement côté serveur est terminé. Cela ne garantit pas que le poste a lui-même terminé l’opération.
Cette distinction entre « commande acceptée par Intune » et « action effectivement exécutée sur le poste » est essentielle lorsqu’on dépanne un environnement Intune.
Synchronisation (Sync) : souvent le premier réflexe
Synchronisation demande au poste de travail de se synchroniser avec Intune afin de récupérer les dernières stratégies et configurations disponibles. Il s’agit d’une action couramment utilisée pour initier un diagnostic.
Une nouvelle configuration vient d’être affectée ? Une application n’est pas encore arrivée ? Une modification vient d’être effectuée sur un groupe ? Une synchronisation permet de provoquer une nouvelle communication avec Intune plutôt que d’attendre le prochain cycle normal.
Mais attention, une synchronisation ne signifie pas « tout appliquer immédiatement ». L’action provoque une synchronisation. Elle ne garantit pas qu’une application sera installée dans la seconde ou qu’une stratégie sera immédiatement opérationnelle. Les mécanismes du système d’exploitation, les dépendances applicatives ou encore les conditions d’application d’une stratégie restent évidemment valables.
Redémarrer (Restart) : redémarrer un poste à distance
L’action Redémarrer (Restart) demande simplement poste de travail de redémarrer. C’est très pratique après certaines opérations de maintenance ou lorsqu’un redémarrage est nécessaire pour finaliser une modification.
Mais encore ne fois, la capacité à transmettre et exécuter l’action reste dépendante de l’état du poste de travail et de sa communication avec Intune.
Collecter les diagnostics (Collect diagnostics)
Collecter les diagnostics permet de demander à Windows de collecter des journaux de diagnostic et de les transmettre à Intune.
Pour du diagnostic à distance, c’est particulièrement intéressant : l’administrateur peut récupérer des informations du poste de travail sans demander systématiquement à l’utilisateur d’aller chercher lui-même différents fichiers de logs.
Analyse rapide et Analyse complète : solliciter Microsoft Defender
Intune permet également de déclencher des opérations Microsoft Defender Antivirus :
- Analyse rapide (Quick Scan) lance une analyse rapide.
- Analyse complète (Full Scan) déclenche une analyse complète du poste de travail.
Une autre action, Mettre à jour la veille de sécurité Windows Defender, permet de demander la mise à jour des informations de sécurité utilisées par Microsoft Defender Antivirus.
Cela permet à une équipe IT ou de sécurité de provoquer certaines opérations directement depuis la fiche du poste sans attendre leur déclenchement normal.
Ces actions supposent évidemment que les composants Microsoft Defender Antivirus nécessaires soient présents et opérationnels sur le poste.
Rotation de clés BitLocker
L’action Rotation de clés BitLocker (BitLocker key rotation) permet à Intune de déclencher la rotation de la clé de récupération BitLocker. C’est particulièrement intéressant lorsqu’une clé de récupération a été utilisée ou communiquée : l’objectif est alors d’éviter qu’une clé potentiellement exposée reste utilisable.
Cette action ne chiffre donc pas le PC : elle intervient sur la gestion de la clé de récupération BitLocker.
Faire pivoter le mot de passe de l’administrateur local
Pour les environnements utilisant Windows LAPS, Intune permet également de déclencher l’action Faire pivoter le mot de passe de l’administrateur local (Rotate local admin password).
L’action demande le changement du mot de passe administrateur local géré et son stockage selon la configuration LAPS mise en place. Il ne s’agit donc pas d’un mécanisme permettant arbitrairement de modifier le mot de passe de n’importe quel compte administrateur local.
Renommer un appareil (Rename device)
Renommer un appareil permet de modifier le nom d’un poste de travail depuis Intune.
Attention toutefois à ne pas confondre le nom d’un appareil avec son identité : Dans un environnement Microsoft moderne, différents objets existent entre Windows, Intune, Microsoft Entra ID et éventuellement Windows Autopilot.
Le nom visible dans une console ne doit donc jamais être considéré comme l’identifiant unique et immuable du poste.
Exécuter la correction (Run remediation)
Pour les environnements utilisant les Remediations Intune, l’action Exécuter la correction (Run remediation) permet de déclencher une remediation à la demande sur un poste de travail au lieu d’attendre sa prochaine exécution planifiée.
On peut détecter un état avec un script, puis appliquer automatiquement le correctif correspondant.
Suspendre l’actualisation de la configuration
Sur les postes utilisant Config Refresh, Intune propose également Suspendre l’actualisation de la configuration (Pause Config Refresh).
Cette fonctionnalité peut-être très utile pour le support : suspendre temporairement Config Refresh afin d’effectuer une maintenance, un diagnostic ou une remediation sans que la configuration attendue soit immédiatement réappliquée.
Réinitialisation Autopilot, Redémarrage à zéro, Réinitialisation, Mettre hors service et Supprimer : à ne surtout pas confondre
C’est ici que les options liées au poste de travail deviennent les plus intéressantes, parce que plusieurs boutons semblent, au premier abord, simplement « réinitialiser » ou « supprimer » le poste, mais leurs objectifs sont très différents
Réinitialisation Autopilot (Autopilot Reset) : préparer le PC pour son prochain utilisateur
Réinitialisation Autopilot est pensée pour remettre rapidement un poste de travail en état pour un nouvel utilisateur.
L’opération supprime les fichiers personnels, les applications et paramètres utilisateur et réapplique la configuration d’origine du poste et élément important, elle conserve des éléments essentiels à sa gestion.
Le poste de travail conserve notamment son appartenance à Microsoft Entra ID ainsi que son inscription. Microsoft indique également que certaines informations comme la connexion Wi-Fi, les packages de provisionnement précédemment appliqués et les certificats SCEP sont conservés.
Réinitialisation d’Autopilot permet de revenir à un état initial maîtrisé sans casser son intégration dans l’environnement de l’entreprise.
Attention cependant : La réinitialisation Autopilot n’est pas prise en charge sur les postes Microsoft Entra hybrid joined. Microsoft indique qu’une Réinitialisation (Wipe) complète doit être utilisée dans ce scénario.
Redémarrage à zéro (Fresh Start) : repartir sur un Windows propre
Redémarrage à zéro (Fresh Start) supprime les applications présentes sur le poste de travail et permet notamment de se débarrasser des logiciels préinstallés par le constructeur. Une option permet toutefois de conserver les données utilisateur.
Dans ce cas, le poste reste joint à Microsoft Entra ID, se réinscrit automatiquement lors de la connexion d’un utilisateur Entra ID et conserve le contenu du dossier personnel de l’utilisateur, tout en supprimant applications et paramètres.
Réinitialisation (Wipe) : la solution radicale
Avec Réinitialisation (Wipe), l’objectif est de restaurer le poste de travail à ses paramètres d’usine et de supprimer les données, applications et configurations personnelles et professionnelles.
C’est l’action typiquement utilisée lorsqu’un poste de travail doit être totalement réinitialisé, réaffecté ou effacé à distance.
Sur Windows, Intune propose cependant plusieurs variantes :
- Il est possible de demander une réinitialisation tout en conservant l’état d’inscription et le compte utilisateur associé.
- Une autre option permet de poursuivre l’effacement même en cas de perte d’alimentation (elle doit être utilisée avec beaucoup de précautions)
Mettre hors service (Retire) : retirer l’entreprise sans effacer les données personnelles
Mettre hors service (Retire) permet de supprimer les données professionnelles d’un poste de travail sans effectuer une réinitialisation complète.
Intune désinscrit le terminal et supprime les applications, paramètres et profils concernés, tout en conservant les données personnelles. Le scénario est donc particulièrement pertinent pour les postes personnels ou lorsqu’il doit simplement sortir de la gestion de l’entreprise.
Autre point important : Microsoft précise que l’action est déclenchée lors de la prochaine communication du poste avec Intune. Un poste de travail qui ne communique plus avec Intune ne va donc pas instantanément exécuter sa mise hors service.
Supprimer (Delete) : ce n’est pas simplement supprimer une ligne dans Intune
On pourrait penser que Supprimer (Delete) ne fait que supprimer l’objet de la console Intune. Ce n’est pas le cas : Pour un poste de travail géré, Microsoft indique que Supprimer retire le poste de la gestion Intune, supprime les données d’entreprise et déclenche sa mise hors service.
Le poste de travail disparaît immédiatement du centre d’administration, mais, comme évoqué précédemment, le statut Completed de l’action signifie uniquement que l’opération est terminée côté serveur.
Supprimer n’est donc pas un simple bouton de nettoyage de la console.
Les limites quotidiennes
C’est une limitation peu connue, mais importante dans les grands environnements : Microsoft limite le nombre de certaines actions destructives pouvant être soumises quotidiennement au niveau du tenant Intune.
| Action | Limite quotidienne par tenant |
|---|---|
| Réinitialisation (Wipe) | 500 / jour |
| Mettre hors service (Retire) | 1 000 / jour |
| Supprimer (Delete) | 1 000 / jour |
Ces limites sont cumulatives, quelle que soit la méthode utilisée pour déclencher l’action.
Cela comprend :
- Les actions lancées individuellement depuis la console Intune
- Les actions en masse
- Les requêtes effectuées via Microsoft Graph API.
Un administrateur qui effectue 300 Réinitialisations individuellement puis en envoie 200 supplémentaires via Graph a atteint les 500 Réinitialisations autorisées pour le tenant sur la journée. Et c’est le même principe pour Mettre hors service et Supprimer.
Les actions en masse comptent également postes par postes dans ce calcul. Microsoft indique qu’il est possible de contacter son support pour demander une modification de ces limites.
Une action en attente peut aussi en bloquer une autre
Autre comportement intéressant à connaître : les actions ne constituent pas nécessairement une file d’attente que le poste de travail exécutera tranquillement les unes après les autres.
Cela signifie qu’en multipliant les commandes sur un terminal qui ne répond pas, on ne garantit pas qu’elles seront toutes exécutées dans l’ordre imaginé.
La console Intune n’est pas une télécommande temps réel.
Pour conclure
Intune offre aujourd’hui beaucoup d’actions permettant d’administrer un poste de travail sans intervention physique : synchronisation, diagnostics, sécurité, remediation, redémarrage, rotation de clés ou encore différentes formes de réinitialisation.
Mais ces actions restent dépendantes du poste de travail, de son état, de son enrôlement, de sa capacité à communiquer avec Intune.
Et comme indiqué plus haut, il faut distinguer trois éléments : l’action demandée par l’administrateur, son traitement par Intune et son exécution effective sur le poste de travail. Ces trois étapes ne sont pas nécessairement simultanées.
Quand on clique sur une action dans Intune, cela signifie donc essentiellement qu’Intune sait envoyer une action sur le poste de travail ciblé, pas que l’Administrateur dispose d’un accès instantané à celui-ci.
Cela peut paraître évident, mais cela explique une bonne partie du fameux « Pourtant, j’ai cliqué sur Synchronisation il y a deux minutes…«
Sources
Microsoft Learn – Actions sur l’appareil : https://learn.microsoft.com/fr-fr/intune/device-management/actions/
Microsoft Learn – Réinitialisation Windows Autopilot : https://learn.microsoft.com/fr-fr/autopilot/windows-autopilot-reset