{"id":888721,"date":"2026-10-01T15:47:32","date_gmt":"2026-10-01T15:47:32","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-taguer-automatiquement-les-appareils-azure-ad-selon-leur-etat-de-securite-ou-leur-propri\/"},"modified":"2026-10-01T15:47:33","modified_gmt":"2026-10-01T15:47:33","slug":"comment-taguer-automatiquement-les-appareils-azure-ad-selon-leur-etat-de-securite-ou-leur-propri","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-taguer-automatiquement-les-appareils-azure-ad-selon-leur-etat-de-securite-ou-leur-propri\/","title":{"rendered":"Comment taguer automatiquement les appareils Azure AD selon leur \u00e9tat de s\u00e9curit\u00e9 ou leur propri\u00e9t\u00e9"},"content":{"rendered":"<p>Microsoft Entra ID (anciennement Azure AD) est d\u00e9sormais largement utilis\u00e9 pour les appareils joints en mode hybride ou cloud-native. Il devient donc plus essentiel que jamais de classer les <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/qu-est-ce-qu-un-terminal-vue-d-ensemble-pour-les-pros-de-l-informatique\/\">terminaux<\/a> selon leur propri\u00e9t\u00e9 et leur conformit\u00e9 aux normes de s\u00e9curit\u00e9. Le tag automatis\u00e9 est au c\u0153ur de ce processus\u00a0: il alimente l&rsquo;acc\u00e8s conditionnel, le reporting, les alertes et les workflows de cycle de vie, en particulier dans les environnements MSP multi-tenant.<\/p>\n<p>Ce guide vous pr\u00e9sente diff\u00e9rentes m\u00e9thodes pour appliquer automatiquement des <strong>tags Azure AD<\/strong> aux appareils en fonction de leur \u00e9tat de s\u00e9curit\u00e9 et de leur propri\u00e9t\u00e9. Il explique \u00e9galement comment faire respecter ces tags et les utiliser pour appliquer des r\u00e8gles d&rsquo;acc\u00e8s.<\/p>\n<table>\n<tbody>\n<tr>\n<td style=\"text-align: center;vertical-align: middle\"><strong>Cliquez pour choisir une m\u00e9thode<\/strong><\/td>\n<td style=\"text-align: center;vertical-align: middle\"><strong>\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les utilisateurs individuels<\/strong><\/td>\n<td style=\"text-align: center;vertical-align: middle\"><strong>\ud83d\udcbb\ud83d\udcbb\ud83d\udcbb<\/strong><br \/>\n<strong>Id\u00e9al pour les grandes entreprises<\/strong><\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-1\"><strong>M\u00e9thode 1\u00a0: utiliser les groupes dynamiques Azure AD pour un tag de base<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-2\"><strong>M\u00e9thode 2\u00a0: taguer les appareils via l&rsquo;API Microsoft Graph selon leur \u00e9tat de s\u00e9curit\u00e9<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-3\"><strong>M\u00e9thode 3\u00a0: utiliser des tags dans le registre pour la propri\u00e9t\u00e9 ou la classification de s\u00e9curit\u00e9<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-4\"><strong>M\u00e9thode 4\u00a0: utiliser la strat\u00e9gie de groupe pour garantir un tag coh\u00e9rent sur les appareils de l&rsquo;entreprise<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\">\u2713<\/td>\n<\/tr>\n<tr>\n<td><a href=\"#method-5\"><strong>M\u00e9thode 5\u00a0: d\u00e9clencher l&rsquo;acc\u00e8s conditionnel ou des filtres de politique \u00e0 partir des tags<\/strong><\/a><\/td>\n<td style=\"text-align: center\"><\/td>\n<td style=\"text-align: center\">\u2713<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>M\u00e9thodes pour taguer automatiquement les appareils Azure AD selon leur \u00e9tat de s\u00e9curit\u00e9 et leur propri\u00e9t\u00e9<\/h2>\n<p>Avant de passer aux m\u00e9thodes, v\u00e9rifiez que vous remplissez les conditions suivantes pour que tout se d\u00e9roule sans accroc\u00a0:<\/p>\n<ul>\n<li>Microsoft Entra ID (anciennement Azure AD) Premium P1 ou P2 (pour les groupes dynamiques et l&rsquo;acc\u00e8s conditionnel)<\/li>\n<li>Des droits d&rsquo;administration permettant d&rsquo;interroger et de mettre \u00e0 jour Entra ID (anciennement Azure AD) ou l&rsquo;API Microsoft Graph<\/li>\n<li>PowerShell 7+ avec les modules Microsoft Graph install\u00e9s<\/li>\n<li>Des politiques de conformit\u00e9 des appareils dans Intune<\/li>\n<li>Facultatif\u00a0: NinjaOne pour le tag via le registre ou les politiques et le reporting sur l&rsquo;ensemble des tenants<\/li>\n<\/ul>\n<h3 id=\"method-1\">M\u00e9thode 1\u00a0: utiliser les groupes dynamiques Azure AD (d\u00e9sormais Microsoft Entra ID) pour un tag de base<\/h3>\n<p>Cette m\u00e9thode fondamentale permet d&rsquo;ajouter ou de retirer automatiquement des appareils en fonction d&rsquo;attributs en temps r\u00e9el\u00a0: propri\u00e9t\u00e9, syst\u00e8me d&rsquo;exploitation ou type d&rsquo;approbation. L&rsquo;appartenance dynamique garantit que les appareils sont toujours inclus ou exclus correctement, sans intervention manuelle.<\/p>\n<p>\ud83d\udccc <strong>Cas d&rsquo;usage\u00a0:<\/strong> id\u00e9al si vous avez besoin d&rsquo;un regroupement automatique des appareils au niveau de l&rsquo;annuaire, \u00e0 partir d&rsquo;attributs int\u00e9gr\u00e9s comme la propri\u00e9t\u00e9, le syst\u00e8me d&rsquo;exploitation ou le type de jonction.<\/p>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Rendez-vous sur <a href=\"http:\/\/entra.microsoft.com\" target=\"_blank\" rel=\"noopener\">entra.microsoft.com<\/a> et connectez-vous avec votre compte administrateur.<\/li>\n<li>Dans le menu de gauche, cliquez sur <strong>Groupes<\/strong>.<\/li>\n<li>S\u00e9lectionnez <strong>Tous les groupes &gt; Nouveau groupe<\/strong>.<\/li>\n<li>Pour <strong>Type de groupe<\/strong>, cliquez sur <strong>S\u00e9curit\u00e9<\/strong>.<\/li>\n<li>Saisissez le <strong>nom du groupe <\/strong>et la <strong>description<\/strong>.<\/li>\n<li>Pour <strong>Type d&rsquo;appartenance<\/strong>, s\u00e9lectionnez <strong>Appareil dynamique &gt; <\/strong>puis cliquez sur <strong>Ajouter une requ\u00eate dynamique<\/strong>.<\/li>\n<li>Saisissez des r\u00e8gles d&rsquo;appareil telles que\u00a0: (lisez le point n\u00b0 1 dans \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)\n<ul>\n<li><strong><code>device.deviceOwnership -eq \"Company\"<\/code><\/strong><\/li>\n<li><strong><code>device.deviceOwnership -eq \"Personal\"<\/code><\/strong><\/li>\n<li><strong><code>device.trustType -eq \"AzureAD\"<\/code><\/strong><\/li>\n<li><strong><code>device.isCompliant -eq true<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\">Exemple de r\u00e8gle de groupe pour les appareils conformes appartenant \u00e0 l&rsquo;entreprise\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><strong><code>(device.deviceOwnership -eq \"Company\") and (device.isCompliant -eq true)<\/code><\/strong><\/p>\n<ol start=\"8\">\n<li>Cliquez sur <strong>Enregistrer<\/strong>.<\/li>\n<li>Utilisez ces groupes dynamiques pour affecter des politiques, surveiller la conformit\u00e9 ou segmenter le reporting.<\/li>\n<\/ol>\n<p><strong>\ud83d\udca1 Astuce<\/strong>\u00a0: pour en savoir plus, consultez <a href=\"https:\/\/learn.microsoft.com\/en-us\/entra\/identity\/users\/groups-dynamic-membership\" target=\"_blank\" rel=\"noopener\"><em>G\u00e9rer les r\u00e8gles d&rsquo;appartenance dynamique aux groupes dans Microsoft Entra ID<\/em><\/a>.<\/p>\n<h3 id=\"method-2\">M\u00e9thode 2\u00a0: taguer les appareils via l&rsquo;API Microsoft Graph selon leur \u00e9tat de s\u00e9curit\u00e9<\/h3>\n<p>Les groupes dynamiques ne peuvent pas filtrer directement sur la conformit\u00e9 ou le risque. Avec l&rsquo;API Microsoft Graph, vous pouvez interroger les appareils selon leur \u00e9tat de conformit\u00e9 ou de s\u00e9curit\u00e9, puis r\u00e9\u00e9crire des tags personnalis\u00e9s (attributs d&rsquo;extension) sur l&rsquo;objet appareil dans Entra ID (anciennement Azure AD). Ces tags peuvent ensuite servir au reporting, \u00e0 l&rsquo;automatisation ou aux politiques d&rsquo;acc\u00e8s conditionnel.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0:<\/strong> id\u00e9al si vous souhaitez automatiser le tag \u00e0 partir de signaux de conformit\u00e9 ou de risque qui ne sont pas disponibles nativement dans Entra.<\/p>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Installez le module Graph\u00a0: (lisez le point n\u00b0 2 dans \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>Install-Module Microsoft.Graph -Scope CurrentUser<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code>Install-Module Microsoft.Graph.DeviceManagement -Scope CurrentUser<\/code><\/strong><\/p>\n<ol start=\"2\">\n<li>Connectez-vous \u00e0 Graph\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>Connect-MgGraph -Scopes \"DeviceManagementManagedDevices.ReadWrite.All\", \"Device.ReadWrite.All\"<\/code><\/strong><\/p>\n<ol start=\"3\">\n<li>Recherchez les appareils dont le statut est non conforme\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>$devices = Get-MgDeviceManagementManagedDevice | Where-Object { $_.ComplianceState -ne \"compliant\" }<\/code><\/strong><\/p>\n<ol start=\"4\">\n<li>Appliquez un tag d&rsquo;attribut d&rsquo;extension\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>foreach ($d in $devices) {<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code> $entraDevice = Get-MgDevice -Filter \"deviceId eq '$($d.AzureADDeviceId)'\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code> Update-MgDevice -DeviceId $entraDevice.Id -AdditionalProperties @{<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code> extensionAttribute1 = \"NonCompliant\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code> }<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\"><strong><code>}<\/code><\/strong><\/p>\n<ol start=\"5\">\n<li>Utilisez ces attributs pour cr\u00e9er des rapports de conformit\u00e9 personnalis\u00e9s ou d\u00e9finir des r\u00e8gles d&rsquo;affectation.<\/li>\n<\/ol>\n<h3 id=\"method-3\">M\u00e9thode 3\u00a0: utiliser des tags dans le registre pour la propri\u00e9t\u00e9 ou la classification de s\u00e9curit\u00e9<\/h3>\n<p>Lorsque les attributs int\u00e9gr\u00e9s ne suffisent pas, vous pouvez ajouter des tags personnalis\u00e9s directement dans le <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/quest-ce-que-le-registre-windows-votre-guide-complet\/\">registre Windows<\/a>. Ces tags l\u00e9gers peuvent ensuite \u00eatre remont\u00e9s dans Intune gr\u00e2ce \u00e0 la <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/fundamentals\/remediations\" target=\"_blank\" rel=\"noopener\">correction proactive<\/a> ou \u00e0 la conformit\u00e9 personnalis\u00e9e.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>id\u00e9al si vous avez besoin d&rsquo;\u00e9tiquettes personnalis\u00e9es, propres \u00e0 votre entreprise, stock\u00e9es localement sur les appareils pour la conformit\u00e9 ou le reporting.<\/p>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Sur les terminaux (surtout ceux joints en mode hybride), utilisez PowerShell pour \u00e9crire des tags dans le registre\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>New-Item -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Force<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Ownership\" -Value \"Company\"<\/code><\/strong><br \/>\n<strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Compliance\" -Value \"Healthy\"<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\">Cette commande cr\u00e9e un chemin de registre personnalis\u00e9 avec deux tags\u00a0:<\/p>\n<ul>\n<li style=\"list-style-type: none\">\n<ul>\n<li>Ownership = Company<\/li>\n<li>Compliance = Healthy<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<ol start=\"2\">\n<li>V\u00e9rifiez via l&rsquo;invite de commandes\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong><code>reg query HKLM\\SOFTWARE\\Org\\DeviceTags<\/code><\/strong><\/p>\n<p style=\"padding-left: 40px\">Cela permet de confirmer que les valeurs sont correctement d\u00e9finies.<\/p>\n<ol start=\"3\">\n<li>Utilisez des outils RMM ou des scripts de correction proactive Intune pour collecter et g\u00e9rer ces valeurs de fa\u00e7on centralis\u00e9e.<\/li>\n<\/ol>\n<h3 id=\"method-4\">M\u00e9thode 4\u00a0: utiliser la strat\u00e9gie de groupe pour garantir un tag coh\u00e9rent sur les appareils de l&rsquo;entreprise<\/h3>\n<p>Dans les environnements hybrides ou joints \u00e0 AD, la strat\u00e9gie de groupe peut imposer des tags de registre de r\u00e9f\u00e9rence ou ex\u00e9cuter des scripts sur l&rsquo;ensemble des appareils de l&rsquo;entreprise. Cela garantit la coh\u00e9rence des tags, avant m\u00eame l&rsquo;inscription des appareils dans Intune.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>id\u00e9al si vous g\u00e9rez des appareils hybrides ou joints \u00e0 AD et souhaitez appliquer des tags d&rsquo;entreprise coh\u00e9rents \u00e0 grande \u00e9chelle.<\/p>\n<p>\u00c9tape par \u00e9tape\u00a0:<\/p>\n<ol>\n<li>Appuyez sur <strong>Win + R<\/strong>, saisissez <strong>gpmc<\/strong>.msc, puis appuyez sur <strong>Entr\u00e9e <\/strong>pour ouvrir la <strong>console de gestion des strat\u00e9gies de groupe<\/strong>.<\/li>\n<li>Acc\u00e9dez \u00e0 l&rsquo;OU (unit\u00e9 organisationnelle) qui contient les appareils cibl\u00e9s. (Lisez le point n\u00b0 3 dans \u26a0\ufe0f <a href=\"#things-to-look-out-for\"><em>Points de vigilance<\/em><\/a>.)<\/li>\n<li>Faites un clic droit sur l&rsquo;OU (unit\u00e9 organisationnelle) <strong>&gt; Cr\u00e9er un objet GPO dans ce domaine<\/strong>.<\/li>\n<li>Faites un clic droit sur le nouveau GPO <strong>&gt; Modifier<\/strong>.<\/li>\n<li>Acc\u00e9dez \u00e0\u00a0:<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\"><strong>Configuration ordinateur &gt; Strat\u00e9gies<\/strong> <strong>&gt; Param\u00e8tres Windows &gt; Scripts &gt; D\u00e9marrage<\/strong><\/p>\n<ol start=\"6\">\n<li>Cliquez sur <strong>Ajouter &gt; Parcourir<\/strong>, puis localisez votre script PowerShell.<\/li>\n<\/ol>\n<p style=\"padding-left: 40px\">Collez cette commande dans un \u00e9diteur de texte et enregistrez le fichier au format .ps1\u00a0:<\/p>\n<p style=\"padding-left: 40px\"><strong><code>Set-ItemProperty -Path \"HKLM:\\SOFTWARE\\Org\\DeviceTags\" -Name \"Ownership\" -Value \"Company\"<\/code><\/strong><\/p>\n<ol start=\"7\">\n<li>Une fois la strat\u00e9gie appliqu\u00e9e, tous les appareils cibl\u00e9s porteront des tags coh\u00e9rents.<\/li>\n<\/ol>\n<p>Cette approche permet de taguer les appareils Windows 10\/11 Pro non inscrits dans Intune mais joints \u00e0 Entra ou \u00e0 un AD hybride.<\/p>\n<h3 id=\"method-5\">M\u00e9thode 5\u00a0: d\u00e9clencher l&rsquo;acc\u00e8s conditionnel ou des filtres de politique \u00e0 partir des tags<\/h3>\n<p>Une fois les appareils regroup\u00e9s ou tagu\u00e9s (m\u00e9thodes 1 \u00e0 4), l&rsquo;acc\u00e8s conditionnel et les filtres Intune s&rsquo;appuient sur ces tags pour appliquer des r\u00e8gles d&rsquo;acc\u00e8s et les bonnes r\u00e9f\u00e9rences de configuration. C&rsquo;est l\u00e0 que le tag devient r\u00e9ellement exploitable pour la s\u00e9curit\u00e9 au quotidien.<\/p>\n<p><strong>\ud83d\udccc Cas d&rsquo;usage\u00a0: <\/strong>id\u00e9al si vous souhaitez appliquer des d\u00e9cisions d&rsquo;acc\u00e8s et de politique en exploitant les tags d&rsquo;appareils existants.<\/p>\n<h4>Affecter des politiques de conformit\u00e9 ou des r\u00e9f\u00e9rences de s\u00e9curit\u00e9 diff\u00e9rentes (par exemple, des contr\u00f4les plus strictes pour les appareils personnels)<\/h4>\n<ul>\n<li>Utilisez les filtres d&rsquo;affectation Intune pour appliquer des politiques de conformit\u00e9 et des r\u00e9f\u00e9rences de configuration plus strictes aux appareils de l&rsquo;entreprise (par exemple, exiger BitLocker, Defender AV), tout en appliquant des r\u00e8gles plus souples aux appareils personnels.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Astuce<\/strong>\u00a0: pour en savoir plus, consultez <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/fundamentals\/filters\" target=\"_blank\" rel=\"noopener\"><em>Utiliser des filtres lors de l&rsquo;affectation de vos applications, politiques et profils dans Microsoft Intune<\/em><\/a>.<\/p>\n<h4>Cr\u00e9er des politiques d&rsquo;acc\u00e8s conditionnel (CA) li\u00e9es \u00e0 la propri\u00e9t\u00e9 ou \u00e0 la conformit\u00e9<\/h4>\n<p>Utilisez les filtres d&rsquo;appareils dans <a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-configurer-des-politiques-dacces-conditionnel-dans-azure-ad\/\">l&rsquo;acc\u00e8s conditionnel<\/a> pour appliquer des r\u00e8gles d&rsquo;acc\u00e8s selon la propri\u00e9t\u00e9 et l&rsquo;\u00e9tat de conformit\u00e9.<\/p>\n<p>Exemples\u00a0:<\/p>\n<ul>\n<li>Exiger que les appareils de l&rsquo;entreprise soient conformes avant d&rsquo;acc\u00e9der aux applications Microsoft 365.<\/li>\n<li>Autoriser les appareils personnels, mais uniquement avec MFA (authentification forte) ou un acc\u00e8s navigateur limit\u00e9.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Astuce<\/strong>\u00a0: pour en savoir plus, consultez <a href=\"https:\/\/docs.azure.cn\/en-us\/entra\/identity\/conditional-access\/policy-all-users-device-compliance\" target=\"_blank\" rel=\"noopener\"><em>Exiger la conformit\u00e9 des appareils avec l&rsquo;acc\u00e8s conditionnel<\/em><\/a> et <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/protect\/create-conditional-access-intune\" target=\"_blank\" rel=\"noopener\"><em>Cr\u00e9er une politique d&rsquo;acc\u00e8s conditionnel bas\u00e9e sur l&rsquo;appareil<\/em><\/a>.<\/p>\n<h4>Utiliser Microsoft Defender for Endpoint pour escalader les appareils \u00e0 risque ou non tagu\u00e9s en vue d&rsquo;une correction<\/h4>\n<ul>\n<li>Int\u00e9grez les signaux de risque Defender dans les politiques de conformit\u00e9 Intune.<\/li>\n<li>Les appareils identifi\u00e9s comme High Risk ou Noncompliant dans Defender peuvent \u00eatre automatiquement bloqu\u00e9s ou forc\u00e9s \u00e0 une correction via l&rsquo;acc\u00e8s conditionnel.<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Astuce<\/strong>\u00a0: pour en savoir plus, consultez <a href=\"https:\/\/learn.microsoft.com\/en-us\/intune\/intune-service\/protect\/advanced-threat-protection\" target=\"_blank\" rel=\"noopener\"><em>Utiliser Microsoft Defender for Endpoint pour imposer la conformit\u00e9 des appareils avec Microsoft Intune<\/em><\/a>.<\/p>\n<h2 id=\"things-to-look-out-for\">\u26a0\ufe0f Points de vigilance<\/h2>\n<table>\n<tbody>\n<tr>\n<td><strong>Risques<\/strong><\/td>\n<td><strong>Cons\u00e9quences possibles<\/strong><\/td>\n<td><strong>Comment revenir en arri\u00e8re<\/strong><\/td>\n<\/tr>\n<tr>\n<td>1. Valeurs d&rsquo;attributs incorrectes dans les r\u00e8gles de groupe dynamique<\/td>\n<td>Le groupe ne se remplit pas\u00a0; les appareils sont exclus du ciblage<\/td>\n<td>Modifiez la r\u00e8gle du groupe avec la bonne syntaxe (par exemple, <strong><code>device.deviceOwnership -eq \"Company\"<\/code><\/strong>) puis enregistrez<\/td>\n<\/tr>\n<tr>\n<td>2. Port\u00e9es d&rsquo;autorisation de l&rsquo;API Graph manquantes ou incorrectes<\/td>\n<td>Le script \u00e9choue sans message d&rsquo;erreur ou ne peut pas mettre \u00e0 jour les objets appareil<\/td>\n<td>Reconnectez-vous avec la bonne port\u00e9e\u00a0: <strong><code>Device.ReadWrite.All, DeviceManagementManagedDevices.Read.All<\/code><\/strong><\/td>\n<\/tr>\n<tr>\n<td>3. Liaison d&rsquo;un objet de strat\u00e9gie de groupe (GPO) au niveau du domaine plut\u00f4t qu&rsquo;\u00e0 une OU (unit\u00e9 organisationnelle) pr\u00e9cise.<\/td>\n<td>Les tags s&rsquo;appliquent \u00e0 tous les appareils du domaine, y compris ceux qui n&rsquo;\u00e9taient pas vis\u00e9s<\/td>\n<td>Dissociez le GPO ou r\u00e9affectez-le \u00e0 la bonne OU (unit\u00e9 organisationnelle), puis ex\u00e9cutez <strong><code>gpupdate \/force<\/code><\/strong><\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<h2>Points compl\u00e9mentaires \u00e0 consid\u00e9rer<\/h2>\n<p>Voici les \u00e9l\u00e9ments importants \u00e0 garder en t\u00eate lors de la configuration des tags\u00a0:<\/p>\n<h3>Sensibilit\u00e9 des tags<\/h3>\n<p>Les tags conditionnent directement les acc\u00e8s et l&rsquo;application des politiques. Un appareil mal tagu\u00e9 peut contourner des protections ou \u00eatre g\u00e9r\u00e9 de fa\u00e7on trop restrictive. Le tag manuel est source d&rsquo;erreurs et vuln\u00e9rable aux manipulations des administrateurs locaux. Privil\u00e9giez le tag automatis\u00e9 via les filtres Intune, l&rsquo;API Graph ou les r\u00e8gles Defender pour pr\u00e9server l&rsquo;int\u00e9grit\u00e9 des donn\u00e9es.<\/p>\n<h3>Restrictions li\u00e9es au BYOD<\/h3>\n<p>Les terminaux <a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-management\/qu-est-ce-que-le-byod-bring-your-own-device\/\">BYOD (Bring Your Own Device)<\/a> ne peuvent souvent pas r\u00e9pondre \u00e0 l&rsquo;ensemble des r\u00e9f\u00e9rences de s\u00e9curit\u00e9 de l&rsquo;entreprise. Le tag vous permet d&rsquo;appliquer des contr\u00f4les d&rsquo;acc\u00e8s fond\u00e9s sur le risque sans freiner la productivit\u00e9. Servez-vous des tags de propri\u00e9t\u00e9 pour restreindre l&rsquo;acc\u00e8s des appareils personnels ou non approuv\u00e9s.<\/p>\n<h3>Environnements MSP multi-tenant<\/h3>\n<p>Les <a href=\"https:\/\/www.ninjaone.com\/fr\/msp\/quest-ce-quun-msp\/\">fournisseurs de services g\u00e9r\u00e9s (MSP)<\/a> qui g\u00e8rent plusieurs tenants doivent standardiser leur logique de tag d&rsquo;un environnement \u00e0 l&rsquo;autre. Utilisez des chemins de registre, des cat\u00e9gories d&rsquo;appareils ou des attributs d&rsquo;extension identiques. Alignez les r\u00e8gles des groupes dynamiques pour que les politiques et les rapports se comportent de la m\u00eame mani\u00e8re chez tous les tenants.<\/p>\n<h3>Pistes d&rsquo;audit<\/h3>\n<p>Comme les tags sont li\u00e9s aux acc\u00e8s, toute modification doit \u00eatre tra\u00e7able. Utilisez les journaux d&rsquo;audit Microsoft Entra, les rapports de conformit\u00e9 des appareils Intune et les journaux d&rsquo;ex\u00e9cution de l&rsquo;API Graph pour savoir qui modifie quoi, quand et pourquoi.<\/p>\n<h2>R\u00e9solution des probl\u00e8mes<\/h2>\n<p>Voici les probl\u00e8mes fr\u00e9quents que vous pouvez rencontrer pendant la configuration, et comment les r\u00e9soudre\u00a0:<\/p>\n<h3>Tags invisibles<\/h3>\n<p>Si un appareil ou un utilisateur n&rsquo;affiche pas le tag attendu, la cause est souvent l&rsquo;absence d&rsquo;autorisations sur l&rsquo;API Graph, ou le fait que l&rsquo;objet appareil n&rsquo;a pas \u00e9t\u00e9 correctement synchronis\u00e9 dans Entra ID (anciennement Azure AD).<\/p>\n<ul>\n<li>V\u00e9rifiez les port\u00e9es d&rsquo;autorisation de l&rsquo;API Graph\u00a0:\n<ul>\n<li><strong>Device.ReadWrite.All<\/strong> pour \u00e9crire les tags<\/li>\n<li><strong>Device.Read.All <\/strong>pour les lire<\/li>\n<\/ul>\n<\/li>\n<li>Confirmez que l&rsquo;utilisateur ou l&rsquo;appareil existe bien dans Azure AD (d\u00e9sormais Entra ID) et qu&rsquo;il s&rsquo;est synchronis\u00e9 ou enregistr\u00e9 correctement.<\/li>\n<\/ul>\n<h3>Groupe dynamique qui ne se remplit pas<\/h3>\n<p>Si un groupe dynamique nouvellement cr\u00e9\u00e9 reste vide, il s&rsquo;agit g\u00e9n\u00e9ralement d&rsquo;une erreur de syntaxe dans la r\u00e8gle ou d&rsquo;un d\u00e9lai d&rsquo;\u00e9valuation.<\/p>\n<ul>\n<li>V\u00e9rifiez \u00e0 nouveau la syntaxe de la r\u00e8gle\u00a0:\n<ul>\n<li><strong><code>(device.deviceOwnership -eq \"Company\")<\/code><\/strong><\/li>\n<\/ul>\n<\/li>\n<li>Sachez que les groupes dynamiques peuvent n\u00e9cessiter jusqu&rsquo;\u00e0 15 minutes pour \u00eatre \u00e9valu\u00e9s apr\u00e8s leur cr\u00e9ation ou apr\u00e8s un changement d&rsquo;attribut. Dans bien des cas, il suffit d&rsquo;attendre.<\/li>\n<\/ul>\n<h3>Cl\u00e9s de registre absentes<\/h3>\n<p>Si les tags de registre attendus n&rsquo;apparaissent pas sur un appareil\u00a0:<\/p>\n<ul>\n<li>V\u00e9rifiez que votre script PowerShell ou GPO est bien d\u00e9ploy\u00e9 et ex\u00e9cut\u00e9.<\/li>\n<li>Assurez-vous qu&rsquo;il s&rsquo;ex\u00e9cute avec les droits syst\u00e8me ou administrateur.<\/li>\n<li>Si vous utilisez des scripts Intune, activez l&rsquo;option d&rsquo;ex\u00e9cution dans PowerShell 64 bits pour \u00e9viter que les valeurs soient redirig\u00e9es sous WOW6432Node.<\/li>\n<\/ul>\n<h3>Filtres Intune non appliqu\u00e9s<\/h3>\n<p>Si la politique de conformit\u00e9, la r\u00e9f\u00e9rence de configuration ou l&rsquo;application ne s&rsquo;applique pas comme pr\u00e9vu, alors que les filtres sont bien configur\u00e9s\u00a0:<\/p>\n<ul>\n<li>V\u00e9rifiez que la syntaxe de la r\u00e8gle de filtrage correspond aux attributs r\u00e9els des appareils.<\/li>\n<li>Contr\u00f4lez que le mode du filtre est correctement d\u00e9fini (Inclure ou Exclure).<\/li>\n<li>Assurez-vous que la politique de conformit\u00e9 elle-m\u00eame est valide et affect\u00e9e. Un filtre n&rsquo;a aucun effet s&rsquo;il n&rsquo;y a aucune politique \u00e0 appliquer.<\/li>\n<\/ul>\n<h2>Les services NinjaOne<\/h2>\n<p>NinjaOne renforce vos strat\u00e9gies de tag Microsoft Entra ID (anciennement Azure AD) de plusieurs fa\u00e7ons\u00a0:<\/p>\n<table>\n<tbody>\n<tr>\n<td><strong>Fonctionnalit\u00e9<\/strong><\/td>\n<td><strong>Ce que permet NinjaOne<\/strong><\/td>\n<\/tr>\n<tr>\n<td>Tag par script<\/td>\n<td>D\u00e9ployer des scripts de tag dans le registre selon le r\u00f4le de l&rsquo;appareil, l&rsquo;utilisateur ou l&rsquo;\u00e9tat de conformit\u00e9<\/td>\n<\/tr>\n<tr>\n<td>Reporting sur le registre<\/td>\n<td>Surveiller et g\u00e9n\u00e9rer des rapports sur des valeurs de registre personnalis\u00e9es comme Ownership, Department ou RiskLevel<\/td>\n<\/tr>\n<tr>\n<td>Correspondance des terminaux<\/td>\n<td>Taguer les <a href=\"https:\/\/www.ninjaone.com\/fr\/docs\/enrolement-des-appareils-et-outils-de-gestion\/\">terminaux<\/a> dans NinjaOne pour refl\u00e9ter les filtres Azure AD (par exemple, \u00ab\u00a0Non-Compliant\u00a0\u00bb, \u00ab\u00a0BYOD\u00a0\u00bb, \u00ab\u00a0Tier1\u00a0\u00bb)<\/td>\n<\/tr>\n<tr>\n<td>Alertes bas\u00e9es sur les tags<\/td>\n<td>D\u00e9clencher des alertes ou des t\u00e2ches lorsque la valeur d&rsquo;un tag d&rsquo;appareil change ou sort des valeurs attendues<\/td>\n<\/tr>\n<tr>\n<td>Automatisation des politiques<\/td>\n<td>Int\u00e9grer des politiques de <a href=\"https:\/\/www.ninjaone.com\/fr\/sauvegarde-et-recuperation-des-donnees\/systeme-de-sauvegarde\/\">sauvegarde<\/a> ou de mise \u00e0 jour selon l&rsquo;appartenance \u00e0 un groupe d\u00e9termin\u00e9e par les tags<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Avec NinjaOne, les MSP peuvent enrichir l&rsquo;\u00e9cosyst\u00e8me de tag des appareils Azure AD avec une logique fond\u00e9e sur le registre, la visibilit\u00e9 du RMM et l&rsquo;automatisation.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p>NinjaOne peut taguer automatiquement les appareils Azure AD selon leur \u00e9tat de s\u00e9curit\u00e9 ou leur propri\u00e9t\u00e9. Voici comment cela fonctionne\u00a0:<\/p>\n<p><b>Principales fonctionnalit\u00e9s\u00a0:<\/b><\/p>\n<p>1. <b>Int\u00e9gration Azure AD<\/b>\u00a0:<\/p>\n<ul>\n<li>NinjaOne s&rsquo;int\u00e8gre directement \u00e0 Azure AD pour r\u00e9cup\u00e9rer les informations sur les appareils<\/li>\n<li>La solution acc\u00e8de aux attributs cl\u00e9s comme la propri\u00e9t\u00e9 de l&rsquo;appareil (entreprise ou personnel), le statut de conformit\u00e9 et le type de jonction<\/li>\n<\/ul>\n<p>2. <b>Tag automatique<\/b>\u00a0:<\/p>\n<p>Vous pouvez cr\u00e9er des r\u00e8gles qui appliquent automatiquement des tags \u00e0 partir des attributs Azure AD<\/p>\n<p><strong>Par exemple\u00a0:<\/strong> taguer tous les appareils \u00ab\u00a0Corporate-owned\u00a0\u00bb avec un tag \u00ab\u00a0Corporate\u00a0\u00bb<\/p>\n<p>3. <b>Tag selon l&rsquo;\u00e9tat de s\u00e9curit\u00e9<\/b>\u00a0:<\/p>\n<ul>\n<li>Taguez les appareils selon leur statut de conformit\u00e9 (conforme ou non conforme)<\/li>\n<li>Cr\u00e9ez des tags pour les appareils auxquels il manque des mises \u00e0 jour de s\u00e9curit\u00e9 ou le <a href=\"https:\/\/www.ninjaone.com\/fr\/it-hub\/endpoint-security\/mfa-authentification-forte\/\">MFA (authentification forte)<\/a><\/li>\n<\/ul>\n<p>4. <b>Tag selon la propri\u00e9t\u00e9<\/b>\u00a0:<\/p>\n<ul>\n<li>Taguez automatiquement les appareils comme \u00ab\u00a0Corporate\u00a0\u00bb ou \u00ab\u00a0Personal\u00a0\u00bb \u00e0 partir de l&rsquo;attribut de propri\u00e9t\u00e9 Azure AD<\/li>\n<li>C&rsquo;est utile pour la gestion des licences, l&rsquo;affectation des politiques et le reporting<\/li>\n<\/ul>\n<\/div>\n<h2>Appliquez automatiquement des tags Azure AD pour renforcer la s\u00e9curit\u00e9 et la conformit\u00e9<\/h2>\n<p>Taguer automatiquement les appareils Microsoft Entra ID (anciennement Azure AD) selon leur propri\u00e9t\u00e9 et leur \u00e9tat de s\u00e9curit\u00e9 permet un contr\u00f4le d&rsquo;acc\u00e8s plus intelligent, un meilleur reporting et une application plus cibl\u00e9e des politiques.<\/p>\n<p>Ce guide vous a donn\u00e9 une vue d&rsquo;ensemble compl\u00e8te\u00a0: utilisation des groupes dynamiques Azure AD, tag via l&rsquo;API Graph, mais aussi tag par le registre et par GPO sur les terminaux. Il a \u00e9galement pr\u00e9sent\u00e9 des m\u00e9thodes pour valider les tags sur l&rsquo;ensemble des syst\u00e8mes \u00e0 l&rsquo;aide de l&rsquo;invite de commandes et de PowerShell.<\/p>\n<p>Enfin, il a expliqu\u00e9 comment NinjaOne peut \u00e9tendre et surveiller le tag des appareils chez tous vos clients, offrant aux MSP et aux \u00e9quipes informatiques davantage de visibilit\u00e9 et d&rsquo;automatisation.<\/p>\n<p><strong>Sujets connexes\u00a0:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/automatisation-pour-les-msp-processus-apercu-general\/\">Le guide complet de l&rsquo;automatisation pour les MSP<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/comment-enregistrer-des-appareils-azure-dans-intune\/\">Comment inscrire des appareils Azure dans Intune<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/hybrid-azure-ad-join\/\">Qu&rsquo;est-ce que la jonction hybride Azure AD et comment la configurer<\/a><\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Microsoft Entra ID (anciennement Azure AD) est d\u00e9sormais largement utilis\u00e9 pour les appareils joints en mode hybride ou cloud-native. Il devient donc plus essentiel que jamais de classer les terminaux selon leur propri\u00e9t\u00e9 et leur conformit\u00e9 aux normes de s\u00e9curit\u00e9. Le tag automatis\u00e9 est au c\u0153ur de ce processus\u00a0: il alimente l&rsquo;acc\u00e8s conditionnel, le reporting, [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":539751,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355],"tags":[],"class_list":["post-888721","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/888721","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=888721"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/888721\/revisions"}],"predecessor-version":[{"id":888722,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/888721\/revisions\/888722"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/539751"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=888721"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=888721"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=888721"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}