Bien que les GPO soient au fondement de l’administration Windows, ils ont été conçus pour une infrastructure sur site, reliée à un domaine. En revanche, les profils de configuration Intune permettent un contrôle plus précis et une prise en charge multiplateforme, ce qui est essentiel pour l’évolutivité et la gestion efficace des terminaux.
Si vous souhaitez intégrer Intune dans votre structure de gestion informatique, ce guide décrit le processus de migration des GPO sur site vers les profils de configuration Intune.
Étapes du passage des GPO à Intune
Commencez par passer en revue les éléments suivants qui seront nécessaires pour mener à bien le processus de migration.
📌 Conditions préalables :
- Terminaux Windows 10/11 liés à Azure AD ou hybrides
- Licences Microsoft Intune attribuées
- Accès administrateur au centre d’administration du Gestionnaire de terminaux de Microsoft
- PowerShell 5.1+ ou module Microsoft Graph (vérifiez votre version de PowerShell)
- Facultatif : Activez l’analyse des GPO via l’outil de migration des stratégies de groupe
💡 Remarque : Certaines étapes peuvent varier en fonction des valeurs par défaut ou des paramètres existants du système.
Étape 1 : auditez les GPOs existants et donnez la priorité à la migration
Pour préparer ou minimiser les incompatibilités, vérifiez si les stratégies actives sont prises en charge par Intune à l’aide de l’analyse des stratégies de groupe.
- Dans le centre d’administration de Microsoft Endpoint Manager, allez sur Appareils → analytique stratégie de groupe (Aperçu).
- Importez votre sauvegarde de GPO (fichier .xml).
- Examinez le statut de compatibilité (compatible, non compatible, obsolète).
- Appuyez sur Win + R, saisissez gpmc.msc, puis appuyez sur OK pour ouvrir Console de gestion des stratégies de groupe (GPMC) → Sauvegarder des GPO.
💡 Remarque : Identifiez les GPO qui s’appliquent aux paramètres de sécurité, aux stratégies BitLocker, aux paramètres de Windows Update, au contrôle des applications et à la protection des terminaux. Ces GPO ont généralement des équivalents directs dans Intune qui peuvent faciliter la migration.
Étape 2 : créez les profils de configuration Intune équivalents
Ensuite, il est temps de créer le profil de configuration Intune correspondant à vos stratégies existantes.
- Ouvrez Appareils → Profils de configuration → Créer un profil.
- Sélectionnez la plateforme Windows 10 et versions ultérieures. Sélectionnez ensuite les types de profil :
- Catalogue des paramètres (recommandé)
- Modèles (pour des scénarios spécialisés tels que BitLocker, Wi-Fi, VPN)
- OMA-URI personnalisé (pour les paramètres non compatibles)
- Mappez vos paramètres GPO hérités avec des équivalents de catalogue ou des entrées OMA-URI, le cas échéant.
Étape 3 : validez et contrôlez l’application de la stratégie
À ce stade, il est important de vérifier votre progression et de valider l’application de la stratégie Intune.
1. Vérifiez l’application de la stratégie Intune via PowerShell
- Utilisez Rechercher 🔎 pour ouvrir Terminal → PowerShell → Exécuter en tant qu’administrateur.
- Confirmez les paramètres de la stratégie active à l’aide de la commande Get-MDMPolicyResultantSetOfPolicy | Format-List .
Entre-temps, vous pouvez également utiliser :
Get-ItemProperty -Path « HKLM:\SOFTWARE
\Microsoft\PolicyManager\current\device\Defender »
Il s’agit d’extraire la valeur spécifique du CSP (Configuration Service Provider).
2. Surveillez l’application de la stratégie Intune via l’observateur d’événements
- Appuyez sur Win + R, saisissez eventvwr, et appuyez sur OK pour ouvrir Observateur d’événements.
- Allez dans Journaux (Applications and Services Logs) → Microsoft → Windows → Fournisseur de diagnostics d’entreprise de la gestion des appareils → Admin.
Dans ce journal, appliquez le filtre correspondant pour identifier rapidement le statut d’application de la stratégie et les événements spécifiques. Vous pouvez également effectuer une recherche par ID d’événement, comme 813 ou 814, qui sont généralement des journaux associés aux stratégies Intune.
3. Forcez l’application de la stratégie Intune via l’Invite de commande
Pour cette étape, vous pouvez également utiliser l’Invite de commande pour forcer la synchronisation des stratégies si nécessaire.
- Appuyez sur Win + R, saisissez cmd, et appuyez sur OK pour ouvrir l’invite de commande.
- Exécutez ensuite la commande suivante :
dsregcmd /status start ms-device-enrollment:?mode=mdm
Il est souvent inutile de forcer l’application de la stratégie puisque les appareils Intune se synchronisent automatiquement à des intervalles déterminés. De plus, des privilèges administratifs sont généralement nécessaires pour exécuter ces commandes.
Étape 4 : Utilisez OMA-URI pour les paramètres non compatibles ou avancés
Pour les paramètres qui ne sont pas couverts par le catalogue des paramètres (par exemple, les stratégies héritées, les stratégies avancées), vous pouvez utiliser des profils personnalisés :
- Créez un profil personnalisé dans Intune.
- Utilisez la documentation connue du CSP pour appliquer les stratégies. Par exemple, désactiver le Gestionnaire des tâches :
- OMA-URI : ./Device/Vendor/MSFT/Policy/Config/TaskManager/AllowTaskManager
- Type de données : Entier
- Valeur : 0
Ceci peut être validé en vérifiant le chemin d’accès au registre correspondant :
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\current\device\TaskManager.
Étape 5 : appliquez des bases de référence en matière de sécurité dans la mesure du possible
Les bases de référence de sécurité permettent de remplacer les configurations GPO courantes, et Intune en a intégré quelques-unes pour Microsoft Defender, Windows 10/11 et Microsoft Edge. Pour les appliquer :
- Ouvrez Sécurité des terminaux → Bases de référence de sécurité.
- Choisissez une base de référence et assignez-la au groupe approprié.
Ces étapes sont recommandées pour compléter les profils de configuration et remplacer certains GPO couramment utilisés.
Étape 6 : gérez les conflits de stratégies et les priorités
En ce qui concerne la priorité des stratégies, les stratégies Intune l’emportent sur les GPO des appareils liés à Azure AD.
- Sur les appareils liés à Azure AD, les stratégies Intune sont prioritaires.
- Sur les appareils liés de façon hybride, des conflits peuvent survenir si GPO et Intune gèrent le même paramètre. Dans ce cas, c’est le le plus récent qui l’emporte.
Pour éviter ces problèmes, il est recommandé de ne pas dupliquer les paramètres dans GPO et Intune. Vous pouvez utiliser Rapports Intune → Sécurité des terminaux → Statut par paramètre pour identifier les conflits de manière proactive.
Étape 7 : décommissionnez les GPOs après une migration réussie
Après la migration et la validation des stratégies, c’est-à-dire après vous être assuré que les flux de travail et les actifs fonctionnent comme prévu dans le nouvel environnement, vous pouvez maintenant commencer à supprimer les GPO.
- Dissociez progressivement les GPO dans la GPMC.
- Surveillez les terminaux pour détecter les écarts de configuration.
- Assurez-vous que tous les paramètres sont appliqués via Intune ou des scripts PowerShell
- Assurez la maintenance des protocoles de sauvegarde et de restauration des GPO .
NinjaOne facilite la migration vers Intune
Pour les environnements informatiques, les services et capacités de NinjaOne peuvent faciliter la transition :
- Détection des paramètres non conformes encore appliqués par des GPOs hérités.
- Surveillance des clés de registre et confirmation de l’application de la stratégie Intune.
- Déploiement de scripts basés sur PowerShell pour l’application de configurations personnalisées.
- Marquage des terminaux en fonction du profil de stratégie (géré par GPO ou par Intune).
- Des alertes en temps réel sont émises lorsque les paramètres s’écartent de leurs normes ou ne s’appliquent pas correctement.
Pour les équipes informatiques et les MSP, NinjaOne peut servir de centre de contrôle pour valider et renforcer les migrations de stratégies basées sur le cloud. Ainsi, à grande échelle, NinjaOne peut être une alternative directe à Intune tout en fournissant une large gamme de services de gestion des terminaux de niveau professionnel à partir du même tableau de bord central.
⚠️ Les points à surveiller lors de la migration d’Intune
Quelque chose cloche ? Consultez les scénarios et les conseils suivants pour gérer les erreurs, prévenir les problèmes de système et renforcer les stratégies.
| Risques | Conséquences potentielles | Retours en arrière |
| L’appareil ne se synchronise pas | Le profil Intune ne s’applique pas | Exécutez dsregcmd /status et vérifiez l’inscription au MDM |
| Liaison hybride avec des GPO conflictuels | GPO toujours actif | Utilisez les résultats de la stratégie de groupe(gpresult) pour confirmer le statut de la stratégie |
| Chemin d’accès au CSP non valide | Échec de l’OMA-URI | Consultez la documentation Microsoft CSP |
| Retard dans le calendrier de synchronisation | Retard dans l’application | Déclenchez une synchronisation manuelle à partir du panneau du compte « Accès professionnel ou scolaire » |
Des outils intégrés tels que PowerShell, gpresult, Observateur d’événements et le registre peuvent aider à identifier les erreurs de déploiement de la stratégie Intune. Assurez-vous simplement que vous disposez des privilèges d’accès et que vous maîtrisez les outils nécessaires pour diagnostiquer et résoudre les problèmes de manière efficace.
Bonnes pratiques pour la migration Intune
La migration des GPO vers les profils de configuration Intune est un grand pas en avant pour la gestion des terminaux. Elle offre des capacités d’application de stratégies et des options de personnalisation plus robustes, parfaites pour organiser les flux de travail modernes.
Dans cette optique, les équipes informatiques et les MSP qui gèrent des environnements cloud et hybrides pourraient éventuellement souhaiter une couverture plus large que la solution propriétaire de Microsoft. Si c’est le cas, un RMM tel que NinjaOne peut fournir une gestion évolutive et flexible des terminaux qui peut compléter ou même remplacer Intune.
En fin de compte, le remplacement d’un outil par un autre n’est pas la solution ultime en matière de gestion des terminaux. Le plus souvent, il s’agit de créer une stack qui soutient efficacement l’environnement actuel et pose les bases de la croissance et de l’adaptabilité.
