Comment ajouter un appareil BYOD à la gestion des appareils Intune

Avec une politique BYOD (Bring Your Own Device), les collaborateurs peuvent être autorisés à utiliser leurs appareils personnels à des fins professionnelles. Cela suppose un niveau minimal de contrôle sur l’appareil, qui doit donc être inscrit dans une plateforme telle que Microsoft Intune. Les équipes informatiques peuvent alors appliquer des politiques de conformité, protéger les données de l’entreprise via le MDM (gestion des appareils mobiles) ou le MAM (Mobile Application Management), et réduire les coûts de matériel.

Contrairement aux appareils appartenant à l’entreprise, l’inscription en BYOD exige davantage de précautions vis-à-vis de la vie privée des utilisateurs et un contrôle minimal de l’appareil. Cet article explique comment ajouter un appareil BYOD à la gestion des appareils Intune.

Vous préférez un résumé en images ? Regardez notre guide simplifié : Comment ajouter un appareil BYOD à la gestion des appareils Intune.

Méthodes d’inscription des appareils BYOD dans Intune

Vous pouvez inscrire des appareils BYOD à partir des paramètres Windows ou de l’application Portail d’entreprise d’Intune. PowerShell, l’Éditeur du registre, l’invite de commande et la stratégie de groupe permettent également de préparer, de configurer et de dépanner l’inscription.

💡 Remarque : si votre plan Microsoft 365 inclut Intune, la connexion à une application ou à un service Microsoft 365 depuis un appareil BYOD non géré avec un compte professionnel peut déclencher une invite d’inscription de l’appareil dans Intune, selon les politiques d’accès conditionnel et de conformité de votre entreprise.

📌 Prérequis :

• Un abonnement Microsoft Intune avec des licences disponibles
• Une identité Azure AD (Entra ID) pour chaque utilisateur
• Des identifiants d’administrateur pour configurer les politiques du locataire
• Des restrictions d’inscription Intune correctement délimitées
• Windows 10, 11, Pro, Education, Enterprise, Android 10+ ou iOS 13+

📌 Stratégies de déploiement recommandées :

Méthode d’inscription 1 : inscription manuelle via les paramètres Windows

Les utilisateurs de Windows 10 ou 11 peuvent inscrire eux-mêmes leur appareil depuis les paramètres Windows.

📌 Cas d’utilisation : utilisateurs individuels inscrivant manuellement un appareil personnel sous Windows 10 ou 11

1. Appuyez sur la touche Win, saisissez Paramètres et appuyez sur Entrée.
2. Allez dans Comptes > Accès Professionnel ou Scolaire.

3. Cliquez sur Connexion et saisissez votre adresse e-mail professionnelle.
4. Connectez-vous, suivez les prompts pour enregistrer l’appareil et acceptez les conditions du MDM.

Une fois l’opération terminée, l’appareil doit apparaître dans Intune en tant qu’appareil personnel.

💡 Remarque : les administrateurs peuvent vérifier l’état de l’appareil depuis le centre d’administration Endpoint Manager.

⚠️ Avertissement : veillez à saisir les bons identifiants pour qu’Intune inscrive correctement l’appareil. (Pour en savoir plus, consultez : points de vigilance)

Méthode d’inscription 2 : avec l’application Portail d’entreprise d’Intune

Microsoft Intune Portail d’entreprise est l’application privilégiée pour inscrire un appareil.

📌 Cas d’utilisation : utilisateurs individuels souhaitant inscrire leur appareil

1. Ouvrez le Microsoft Store, l’App Store ou Google Play sur votre appareil, puis recherchez et téléchargez « Intune Company Portal ».
2. Connectez-vous avec votre compte professionnel ou scolaire.
3. Suivez la procédure de configuration de l’appareil.
4. Acceptez les accords de gestion des appareils et de confidentialité.

Azure AD enregistrera l’appareil comme « Workplace Joined » sous Windows. De son côté, l’application configure un profil professionnel ou une inscription MDM sous Android ou iOS, selon la plateforme.

⚠️ Avertissement : l’application peut se figer pendant l’inscription, ce qui fait échouer l’opération. (Pour en savoir plus, consultez : points de vigilance)

Configuration de l’inscription avec PowerShell

PowerShell ne permet pas d’inscrire directement un appareil, mais les administrateurs informatiques peuvent s’en servir pour faciliter le processus d’enregistrement.

📌 Cas d’utilisation : administrateurs informatiques souhaitant gérer l’enregistrement des appareils

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win, saisissez PowerShell et appuyez sur Entrée.
2. Copiez-collez les scripts suivants dans l’invite, puis appuyez sur Entrée.

• • Configurer les URL MDM d’Intune pour la découverte automatique et l’inscription des appareils :

$enrollPath = 'HKLM:\SOFTWARE\Microsoft\Enrollments'if (-not (Test-Path $enrollPath)) {

New-Item -Path $enrollPath -Force

}

Set-ItemProperty -Path $enrollPath -Name DiscoveryServiceFullURL -Value "https://enrollment.manage.microsoft.com"

Start-Process "C:\Windows\System32\deviceenroller.exe" -ArgumentList "/c /AutoEnrollMDM"

• • Auditer l’enregistrement et l’état de l’appareil :

dsregcmd /status

Get-MsolDevice -RegisteredOwners

• • Lancer la synchronisation :

Start-DeviceEnrollment

💡 Remarque : une automatisation complète nécessite une intégration avec des outils de provisionnement.

Préparer l’inscription automatique via l’Éditeur du registre

Vous pouvez utiliser l’Éditeur du registre pour garantir le bon déroulement de l’inscription automatique.

📌 Cas d’utilisation : administrateurs informatiques souhaitant préparer l’inscription automatique

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win + R, saisissez regedit, puis appuyez sur Entrée.
2. Accédez à :

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\CurrentVersion\MDM

3. Créez ou mettez à jour les entrées suivantes :
   • AutoEnrollMDM (DWORD) : 1
   • UseAADCredentialType (DWORD) : 1
4. Accédez à :

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\CloudDomainJoin\TenantInfo\{YOUR-TENANT-ID-HERE}

5. Créez ou mettez à jour l’entrée suivante :
   • MDMEnrollmentURL (String): https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc
6. Redémarrez l’appareil pour appliquer les modifications.

💡 Astuce : pour créer les entrées, faites un clic droit dans le volet de droite, puis cliquez sur Nouveau > Valeur DWORD 32 bits ou Valeur chaîne.

💡 Remarque : ces valeurs conviennent particulièrement aux scénarios BYOD avec appareils enregistrés dans Azure AD.

⚠️ Avertissement : procédez avec prudence et sauvegardez le registre avant toute modification. (Voir points de vigilance pour plus de détails.)

Dépanner et diagnostiquer l’inscription avec l’invite de commande

L’invite de commande ne permet pas d’inscrire un appareil, mais les administrateurs informatiques peuvent s’en servir pour diagnostiquer l’enregistrement.

📌 Cas d’utilisation : administrateurs informatiques souhaitant surveiller l’état des inscriptions

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win, saisissez CMD (invite de commande) et cliquez sur Exécuter en tant qu’administrateur.
2. Copiez-collez les scripts suivants dans l’invite, puis appuyez sur Entrée.

• • Vérifier l’état d’enregistrement de l’appareil :

dsregcmd /status

• • Forcer la vérification de l’enregistrement Azure AD :

dsregcmd /join

• • Réparer un enregistrement défectueux :dsregcmd /leavedsregcmd /join

• • Vérifier la disponibilité du service d’inscription :

ping enrollment.manage.microsoft.com

Inscription des appareils joints à Azure AD en mode hybride avec la stratégie de groupe

Cette méthode est utile pour les utilisateurs qui ont besoin d’un minimum d’étapes d’inscription. L’objet de stratégie de groupe peut aussi servir dans les scénarios de jonction hybride à Azure AD ou comme solution de repli pour le BYOD.

📌 Cas d’utilisation : administrateurs informatiques à la recherche d’une inscription rapide

📌 Prérequis : privilèges d’administrateur

1. Appuyez sur Win, saisissez gpedit.msc, puis appuyez sur Entrée.
2. Accédez à :
   • Configuration ordinateur > Modèles d’administration > Composants Windows > MDM
3. Activez la politique :
   • Activer l’inscription MDM automatique à l’aide des identifiants Azure AD par défaut
   • Définissez la valeur sur Informations d’identification de l’utilisateur
4. Forcez la mise à jour du GPO (objet de stratégie de groupe) :

gpupdate /force

5. Redémarrez l’appareil pour que les modifications prennent effet.

⚠️ Points de vigilance

Bonnes pratiques pour gérer le BYOD dans Microsoft Intune

La frontière est mince entre l’application de règles de sécurité sur les appareils BYOD et l’intrusion dans la sphère privée. Voici donc quelques pratiques pour gérer efficacement le BYOD dans Intune et garder les données de l’entreprise protégées tout en respectant la vie privée des utilisateurs.

Respect de la vie privée

Dans la gestion des terminaux BYOD, il est essentiel de protéger les données de l’entreprise sans empiéter sur l’espace personnel de l’utilisateur. Utilisez les stratégies de protection des applications d’Intune pour appliquer la sécurité au niveau de l’application plutôt que de gérer l’appareil dans son ensemble. Les administrateurs informatiques évitent ainsi les fuites de données sans effacer ni consulter les contenus personnels.

Étiquetage des appareils

Les administrateurs informatiques doivent distinguer les terminaux BYOD de ceux appartenant à l’entreprise afin d’appliquer les bonnes politiques aux bons appareils. L’équipe informatique peut configurer des catégories ou des étiquettes d’appareils lors de l’inscription, ou utiliser des groupes d’appareils dynamiques Azure AD ou des filtres basés sur les attributs des appareils pour cibler les politiques comme il se doit.

Paramètres de conformité

Évitez d’imposer des paramètres susceptibles de gêner l’usage personnel. Les équipes informatiques peuvent plutôt configurer des politiques de conformité efficaces mais non intrusives. Par exemple :

• exiger une version minimale du système d’exploitation afin de bloquer les appareils obsolètes ;
• vérifier la présence des applications requises.

Ces politiques renforcent la sécurité tout en limitant l’impact sur les configurations, les applications et les habitudes d’utilisation personnelles.

Résolution des problèmes courants

Voici les problèmes d’inscription Intune les plus fréquents et la façon de les résoudre.

Échec de l’inscription

Certains appareils ne peuvent pas être inscrits dans Intune parce qu’ils sont déjà inscrits dans une autre solution MDM.

1. Appuyez sur Win, saisissez Paramètres, appuyez sur Entrée, puis allez dans Comptes > Accès Professionnel ou Scolaire pour vérifier l’état de l’inscription.
2. Supprimez les profils MDM existants.
3. Redémarrez ensuite l’appareil et relancez l’inscription.

La page d’inscription MDM n’apparaît pas

Si la page d’inscription MDM n’apparaît pas, vérifiez les clés de registre suivantes pour vous assurer que l’inscription est activée :

• HKLM\SOFTWARE\Microsoft\Enrollments
• HKLM\SOFTWARE\Microsoft\PolicyManager\current\device\Update

Vérifiez également que l’URL de découverte MDM du locataire Azure AD est correcte. Vous pouvez aussi utiliser l’observateur d’événements pour rechercher les erreurs liées à Intune ou au MDM.

1. Appuyez sur Win, saisissez observateur d’événements, puis appuyez sur Entrée.
2. Accédez à :
   • Journaux (Applications and Services Logs) > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Enrollment

L’application Portail d’entreprise ne se lance pas

Si le Portail d’entreprise se bloque ou refuse de démarrer, désinstallez-le puis réinstallez-le. Vous pouvez aussi vider les données en cache de l’application en allant dans Paramètres > Applications > Portail d’entreprise > Stockage sur votre téléphone.

dsregcmd affiche « Not Joined »

Exécutez dsregcmd /status dans l’invite de commande pour confirmer que AzureAdJoined = NO. Si l’appareil n’est pas joint, connectez-vous avec des identifiants Azure AD valides.

Les services NinjaOne pour une inscription BYOD sécurisée

NinjaOne fournit aux équipes informatiques et aux MSP (fournisseurs de services gérés) des outils pour simplifier l’onboarding des appareils BYOD et rendre la gestion des terminaux plus efficace et plus sûre dans les environnements hybrides.

Ajouter des appareils BYOD à Intune

Le BYOD permet aux collaborateurs d’utiliser leurs appareils personnels pour travailler, tout en laissant la possibilité d’appliquer des politiques de conformité, de sécuriser les données via le MDM ou le MAM et même de réduire les coûts de matériel. Ce guide a présenté l’inscription des appareils via les paramètres Windows et l’application Portail d’entreprise, ainsi que les opérations associées avec PowerShell, l’Éditeur du registre, la stratégie de groupe ou les outils de diagnostic.

Sujets connexes :

• Choisir le bon outil de déploiement de logiciels : Intune ou NinjaOne, le point de vue d’un utilisateur
• Intune ou RMM : Microsoft Intune peut-il remplacer un RMM ?
• Comment déployer des applications avec le centre d’administration Microsoft Intune
• Intune ou SCCM : comparatif des solutions Microsoft