Comment taguer automatiquement les appareils Azure AD selon leur état de sécurité ou leur propriété

Microsoft Entra ID (anciennement Azure AD) est désormais largement utilisé pour les appareils joints en mode hybride ou cloud-native. Il devient donc plus essentiel que jamais de classer les terminaux selon leur propriété et leur conformité aux normes de sécurité. Le tag automatisé est au cœur de ce processus : il alimente l’accès conditionnel, le reporting, les alertes et les workflows de cycle de vie, en particulier dans les environnements MSP multi-tenant.

Ce guide vous présente différentes méthodes pour appliquer automatiquement des tags Azure AD aux appareils en fonction de leur état de sécurité et de leur propriété. Il explique également comment faire respecter ces tags et les utiliser pour appliquer des règles d’accès.

Méthodes pour taguer automatiquement les appareils Azure AD selon leur état de sécurité et leur propriété

Avant de passer aux méthodes, vérifiez que vous remplissez les conditions suivantes pour que tout se déroule sans accroc :

• Microsoft Entra ID (anciennement Azure AD) Premium P1 ou P2 (pour les groupes dynamiques et l’accès conditionnel)
• Des droits d’administration permettant d’interroger et de mettre à jour Entra ID (anciennement Azure AD) ou l’API Microsoft Graph
• PowerShell 7+ avec les modules Microsoft Graph installés
• Des politiques de conformité des appareils dans Intune
• Facultatif : NinjaOne pour le tag via le registre ou les politiques et le reporting sur l’ensemble des tenants

Méthode 1 : utiliser les groupes dynamiques Azure AD (désormais Microsoft Entra ID) pour un tag de base

Cette méthode fondamentale permet d’ajouter ou de retirer automatiquement des appareils en fonction d’attributs en temps réel : propriété, système d’exploitation ou type d’approbation. L’appartenance dynamique garantit que les appareils sont toujours inclus ou exclus correctement, sans intervention manuelle.

📌 Cas d’usage : idéal si vous avez besoin d’un regroupement automatique des appareils au niveau de l’annuaire, à partir d’attributs intégrés comme la propriété, le système d’exploitation ou le type de jonction.

Étape par étape :

1. Rendez-vous sur entra.microsoft.com et connectez-vous avec votre compte administrateur.
2. Dans le menu de gauche, cliquez sur Groupes.
3. Sélectionnez Tous les groupes > Nouveau groupe.
4. Pour Type de groupe, cliquez sur Sécurité.
5. Saisissez le nom du groupe et la description.
6. Pour Type d’appartenance, sélectionnez Appareil dynamique > puis cliquez sur Ajouter une requête dynamique.
7. Saisissez des règles d’appareil telles que : (lisez le point n° 1 dans ⚠️ Points de vigilance.)
   • device.deviceOwnership -eq "Company"
   • device.deviceOwnership -eq "Personal"
   • device.trustType -eq "AzureAD"
   • device.isCompliant -eq true

Exemple de règle de groupe pour les appareils conformes appartenant à l’entreprise :

(device.deviceOwnership -eq "Company") and (device.isCompliant -eq true)

8. Cliquez sur Enregistrer.
9. Utilisez ces groupes dynamiques pour affecter des politiques, surveiller la conformité ou segmenter le reporting.

💡 Astuce : pour en savoir plus, consultez Gérer les règles d’appartenance dynamique aux groupes dans Microsoft Entra ID.

Méthode 2 : taguer les appareils via l’API Microsoft Graph selon leur état de sécurité

Les groupes dynamiques ne peuvent pas filtrer directement sur la conformité ou le risque. Avec l’API Microsoft Graph, vous pouvez interroger les appareils selon leur état de conformité ou de sécurité, puis réécrire des tags personnalisés (attributs d’extension) sur l’objet appareil dans Entra ID (anciennement Azure AD). Ces tags peuvent ensuite servir au reporting, à l’automatisation ou aux politiques d’accès conditionnel.

📌 Cas d’usage : idéal si vous souhaitez automatiser le tag à partir de signaux de conformité ou de risque qui ne sont pas disponibles nativement dans Entra.

Étape par étape :

1. Installez le module Graph : (lisez le point n° 2 dans ⚠️ Points de vigilance.)

Install-Module Microsoft.Graph -Scope CurrentUser

Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser

2. Connectez-vous à Graph :

Connect-MgGraph -Scopes "DeviceManagementManagedDevices.ReadWrite.All", "Device.ReadWrite.All"

3. Recherchez les appareils dont le statut est non conforme :

$devices = Get-MgDeviceManagementManagedDevice | Where-Object { $_.ComplianceState -ne "compliant" }

4. Appliquez un tag d’attribut d’extension :

foreach ($d in $devices) {

$entraDevice = Get-MgDevice -Filter "deviceId eq '$($d.AzureADDeviceId)'"

Update-MgDevice -DeviceId $entraDevice.Id -AdditionalProperties @{

extensionAttribute1 = "NonCompliant"

}

}

5. Utilisez ces attributs pour créer des rapports de conformité personnalisés ou définir des règles d’affectation.

Méthode 3 : utiliser des tags dans le registre pour la propriété ou la classification de sécurité

Lorsque les attributs intégrés ne suffisent pas, vous pouvez ajouter des tags personnalisés directement dans le registre Windows. Ces tags légers peuvent ensuite être remontés dans Intune grâce à la correction proactive ou à la conformité personnalisée.

📌 Cas d’usage : idéal si vous avez besoin d’étiquettes personnalisées, propres à votre entreprise, stockées localement sur les appareils pour la conformité ou le reporting.

Étape par étape :

1. Sur les terminaux (surtout ceux joints en mode hybride), utilisez PowerShell pour écrire des tags dans le registre :

New-Item -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Force
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"
Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Compliance" -Value "Healthy"

Cette commande crée un chemin de registre personnalisé avec deux tags :

• • Ownership = Company
  • Compliance = Healthy

2. Vérifiez via l’invite de commandes :

reg query HKLM\SOFTWARE\Org\DeviceTags

Cela permet de confirmer que les valeurs sont correctement définies.

3. Utilisez des outils RMM ou des scripts de correction proactive Intune pour collecter et gérer ces valeurs de façon centralisée.

Méthode 4 : utiliser la stratégie de groupe pour garantir un tag cohérent sur les appareils de l’entreprise

Dans les environnements hybrides ou joints à AD, la stratégie de groupe peut imposer des tags de registre de référence ou exécuter des scripts sur l’ensemble des appareils de l’entreprise. Cela garantit la cohérence des tags, avant même l’inscription des appareils dans Intune.

📌 Cas d’usage : idéal si vous gérez des appareils hybrides ou joints à AD et souhaitez appliquer des tags d’entreprise cohérents à grande échelle.

Étape par étape :

1. Appuyez sur Win + R, saisissez gpmc.msc, puis appuyez sur Entrée pour ouvrir la console de gestion des stratégies de groupe.
2. Accédez à l’OU (unité organisationnelle) qui contient les appareils ciblés. (Lisez le point n° 3 dans ⚠️ Points de vigilance.)
3. Faites un clic droit sur l’OU (unité organisationnelle) > Créer un objet GPO dans ce domaine.
4. Faites un clic droit sur le nouveau GPO > Modifier.
5. Accédez à :

Configuration ordinateur > Stratégies > Paramètres Windows > Scripts > Démarrage

6. Cliquez sur Ajouter > Parcourir, puis localisez votre script PowerShell.

Collez cette commande dans un éditeur de texte et enregistrez le fichier au format .ps1 :

Set-ItemProperty -Path "HKLM:\SOFTWARE\Org\DeviceTags" -Name "Ownership" -Value "Company"

7. Une fois la stratégie appliquée, tous les appareils ciblés porteront des tags cohérents.

Cette approche permet de taguer les appareils Windows 10/11 Pro non inscrits dans Intune mais joints à Entra ou à un AD hybride.

Méthode 5 : déclencher l’accès conditionnel ou des filtres de politique à partir des tags

Une fois les appareils regroupés ou tagués (méthodes 1 à 4), l’accès conditionnel et les filtres Intune s’appuient sur ces tags pour appliquer des règles d’accès et les bonnes références de configuration. C’est là que le tag devient réellement exploitable pour la sécurité au quotidien.

📌 Cas d’usage : idéal si vous souhaitez appliquer des décisions d’accès et de politique en exploitant les tags d’appareils existants.

Affecter des politiques de conformité ou des références de sécurité différentes (par exemple, des contrôles plus strictes pour les appareils personnels)

• Utilisez les filtres d’affectation Intune pour appliquer des politiques de conformité et des références de configuration plus strictes aux appareils de l’entreprise (par exemple, exiger BitLocker, Defender AV), tout en appliquant des règles plus souples aux appareils personnels.

💡 Astuce : pour en savoir plus, consultez Utiliser des filtres lors de l’affectation de vos applications, politiques et profils dans Microsoft Intune.

Créer des politiques d’accès conditionnel (CA) liées à la propriété ou à la conformité

Utilisez les filtres d’appareils dans l’accès conditionnel pour appliquer des règles d’accès selon la propriété et l’état de conformité.

Exemples :

• Exiger que les appareils de l’entreprise soient conformes avant d’accéder aux applications Microsoft 365.
• Autoriser les appareils personnels, mais uniquement avec MFA (authentification forte) ou un accès navigateur limité.

💡 Astuce : pour en savoir plus, consultez Exiger la conformité des appareils avec l’accès conditionnel et Créer une politique d’accès conditionnel basée sur l’appareil.

Utiliser Microsoft Defender for Endpoint pour escalader les appareils à risque ou non tagués en vue d’une correction

• Intégrez les signaux de risque Defender dans les politiques de conformité Intune.
• Les appareils identifiés comme High Risk ou Noncompliant dans Defender peuvent être automatiquement bloqués ou forcés à une correction via l’accès conditionnel.

💡 Astuce : pour en savoir plus, consultez Utiliser Microsoft Defender for Endpoint pour imposer la conformité des appareils avec Microsoft Intune.

⚠️ Points de vigilance

Points complémentaires à considérer

Voici les éléments importants à garder en tête lors de la configuration des tags :

Sensibilité des tags

Les tags conditionnent directement les accès et l’application des politiques. Un appareil mal tagué peut contourner des protections ou être géré de façon trop restrictive. Le tag manuel est source d’erreurs et vulnérable aux manipulations des administrateurs locaux. Privilégiez le tag automatisé via les filtres Intune, l’API Graph ou les règles Defender pour préserver l’intégrité des données.

Restrictions liées au BYOD

Les terminaux BYOD (Bring Your Own Device) ne peuvent souvent pas répondre à l’ensemble des références de sécurité de l’entreprise. Le tag vous permet d’appliquer des contrôles d’accès fondés sur le risque sans freiner la productivité. Servez-vous des tags de propriété pour restreindre l’accès des appareils personnels ou non approuvés.

Environnements MSP multi-tenant

Les fournisseurs de services gérés (MSP) qui gèrent plusieurs tenants doivent standardiser leur logique de tag d’un environnement à l’autre. Utilisez des chemins de registre, des catégories d’appareils ou des attributs d’extension identiques. Alignez les règles des groupes dynamiques pour que les politiques et les rapports se comportent de la même manière chez tous les tenants.

Pistes d’audit

Comme les tags sont liés aux accès, toute modification doit être traçable. Utilisez les journaux d’audit Microsoft Entra, les rapports de conformité des appareils Intune et les journaux d’exécution de l’API Graph pour savoir qui modifie quoi, quand et pourquoi.

Résolution des problèmes

Voici les problèmes fréquents que vous pouvez rencontrer pendant la configuration, et comment les résoudre :

Tags invisibles

Si un appareil ou un utilisateur n’affiche pas le tag attendu, la cause est souvent l’absence d’autorisations sur l’API Graph, ou le fait que l’objet appareil n’a pas été correctement synchronisé dans Entra ID (anciennement Azure AD).

• Vérifiez les portées d’autorisation de l’API Graph :
  • Device.ReadWrite.All pour écrire les tags
  • Device.Read.All pour les lire
• Confirmez que l’utilisateur ou l’appareil existe bien dans Azure AD (désormais Entra ID) et qu’il s’est synchronisé ou enregistré correctement.

Groupe dynamique qui ne se remplit pas

Si un groupe dynamique nouvellement créé reste vide, il s’agit généralement d’une erreur de syntaxe dans la règle ou d’un délai d’évaluation.

• Vérifiez à nouveau la syntaxe de la règle :
  • (device.deviceOwnership -eq "Company")
• Sachez que les groupes dynamiques peuvent nécessiter jusqu’à 15 minutes pour être évalués après leur création ou après un changement d’attribut. Dans bien des cas, il suffit d’attendre.

Clés de registre absentes

Si les tags de registre attendus n’apparaissent pas sur un appareil :

• Vérifiez que votre script PowerShell ou GPO est bien déployé et exécuté.
• Assurez-vous qu’il s’exécute avec les droits système ou administrateur.
• Si vous utilisez des scripts Intune, activez l’option d’exécution dans PowerShell 64 bits pour éviter que les valeurs soient redirigées sous WOW6432Node.

Filtres Intune non appliqués

Si la politique de conformité, la référence de configuration ou l’application ne s’applique pas comme prévu, alors que les filtres sont bien configurés :

• Vérifiez que la syntaxe de la règle de filtrage correspond aux attributs réels des appareils.
• Contrôlez que le mode du filtre est correctement défini (Inclure ou Exclure).
• Assurez-vous que la politique de conformité elle-même est valide et affectée. Un filtre n’a aucun effet s’il n’y a aucune politique à appliquer.

Les services NinjaOne

NinjaOne renforce vos stratégies de tag Microsoft Entra ID (anciennement Azure AD) de plusieurs façons :

Avec NinjaOne, les MSP peuvent enrichir l’écosystème de tag des appareils Azure AD avec une logique fondée sur le registre, la visibilité du RMM et l’automatisation.

Appliquez automatiquement des tags Azure AD pour renforcer la sécurité et la conformité

Taguer automatiquement les appareils Microsoft Entra ID (anciennement Azure AD) selon leur propriété et leur état de sécurité permet un contrôle d’accès plus intelligent, un meilleur reporting et une application plus ciblée des politiques.

Ce guide vous a donné une vue d’ensemble complète : utilisation des groupes dynamiques Azure AD, tag via l’API Graph, mais aussi tag par le registre et par GPO sur les terminaux. Il a également présenté des méthodes pour valider les tags sur l’ensemble des systèmes à l’aide de l’invite de commandes et de PowerShell.

Enfin, il a expliqué comment NinjaOne peut étendre et surveiller le tag des appareils chez tous vos clients, offrant aux MSP et aux équipes informatiques davantage de visibilité et d’automatisation.

Sujets connexes :

• Le guide complet de l’automatisation pour les MSP
• Comment inscrire des appareils Azure dans Intune
• Qu’est-ce que la jonction hybride Azure AD et comment la configurer