Référentiels Intune, catalogue de paramètres et conflits GPO

Pour les appareils gérés dans le cloud et cogérés, les référentiels de sécurité Intune sont l'équivalent MDM des référentiels de stratégie de groupe décrits dans le guide pilier sur les référentiels de sécurité. Ils se déploient rapidement, et c'est aussi leur risque : un référentiel affecté à côté de stratégies de sécurité des points de terminaison, de profils du catalogue de paramètres et de GPO héritées peut produire des conflits qui empêchent purement et simplement l'application des paramètres les plus importants.

Ce guide explique comment déployer les référentiels comme une couche unique et propre, où placer vos propres paramètres, comment la stratégie de groupe et la MDM interagissent sur les appareils hybrides, et comment vérifier ce qui s'est réellement appliqué.

Ce que propose Intune

Sous Endpoint security > Security baselines, Intune fournit plusieurs référentiels, chacun versionné :

Les versions récentes des référentiels reposent sur le format du catalogue de paramètres (settings catalog) : chaque paramètre d'un référentiel est donc le même objet que celui que vous configureriez dans un profil du catalogue de paramètres. Cela facilite grandement le reporting et la comparaison paramètre par paramètre par rapport aux anciennes versions basées sur des modèles.

Étape 1 : cartographier l'existant

Avant d'affecter quoi que ce soit à des appareils qui reçoivent déjà des GPO, mesurez le recouvrement. Devices > Manage devices > Group Policy analytics importe des rapports XML de GPO et indique quels paramètres ont un équivalent MDM :

Get-GPOReport -Name "BL - Win11 24H2 - Computer" -ReportType Xml -Path C:\Temp\bl-computer.xml
Get-GPOReport -Name "Workstation Security" -ReportType Xml -Path C:\Temp\ws-security.xml

Téléversez les fichiers XML, examinez la colonne de prise en charge MDM et utilisez l'option de migration pour créer des profils du catalogue de paramètres à partir de vos paramètres GPO personnalisés. Pour le référentiel lui-même, ne migrez pas la GPO : utilisez le référentiel Intune, qui est maintenu pour vous.

Étape 2 : déployer un référentiel par produit, proche des valeurs par défaut

Créez un profil par type de référentiel et affectez-le à des groupes d'appareils anneau par anneau, comme pour les anneaux de mise à jour. Quelques règles pour que cela reste gérable :

• Modifiez le moins possible le profil de référentiel. Chaque valeur modifiée devra être revérifiée à chaque mise à niveau de version.
• Placez les exceptions dans des profils séparés et affectés de façon ciblée, uniquement lorsque le référentiel lui-même ne peut pas porter la bonne valeur pour tout le monde. Une valeur divergente dans un second profil ne remplace pas celle du référentiel ; elle crée un conflit. Pour une véritable exception, excluez le groupe d'appareils du profil de référentiel et affectez-lui une copie avec la valeur différente, ou modifiez la valeur dans le référentiel pour tout le monde.
• N'affectez pas deux versions du même référentiel au même appareil.
• Menez le pilote sur des appareils qui exécutent aussi vos logiciels habituels : le référentiel Windows active des paramètres comme la protection LSA et Credential Guard, qui cassent d'anciens pilotes, des plug-ins VPN et des intergiciels de carte à puce.

Étape 3 : éviter les recouvrements avec les stratégies de sécurité des points de terminaison

Intune peut configurer un même paramètre depuis de nombreux endroits : référentiels de sécurité, stratégies de sécurité des points de terminaison (Antivirus, Attack surface reduction, Firewall, Account protection, Disk encryption, EDR), profils du catalogue de paramètres et modèles. Lorsque deux profils définissent le même paramètre avec des valeurs différentes sur un appareil, Intune signale un Conflict pour ce paramètre et vous ne pouvez pas savoir quelle valeur s'applique, ni même si l'une s'applique. Lorsqu'ils définissent la même valeur, il n'y a pas de conflit, mais c'est tout de même un doublon à maintenir.

Une répartition pragmatique :

Si un référentiel définit un élément que vous gérez dans une stratégie de sécurité des points de terminaison (par exemple l'état des règles ASR), laissez la valeur identique dans les deux ou passez-la à « non configuré » dans le profil de référentiel, et documentez que c'est la stratégie de sécurité des points de terminaison qui en est propriétaire.

Étape 4 : gérer la stratégie de groupe sur les appareils hybrides

Les appareils joints en mode hybride reçoivent souvent encore des GPO de domaine pendant qu'Intune pousse les référentiels. Par défaut, si les deux configurent le même paramètre, la valeur finalement appliquée dépend de la zone du paramètre et de l'ordre de traitement ; considérez ce comportement comme indéfini.

La zone ControlPolicyConflict du Policy CSP fournit MDMWinsOverGP (catalogue de paramètres : Control Policy Conflict > MDM Wins Over GP ; OMA-URI ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP, entier 1). Lorsqu'il est défini, les paramètres Policy CSP fournis par la MDM priment sur leurs équivalents de stratégie de groupe. Ses limites sont importantes :

• Il couvre les paramètres du Policy CSP qui ont un équivalent en stratégie de groupe. Les paramètres fournis par d'autres CSP, comme une partie de la configuration de BitLocker, de Defender ou du pare-feu, ne sont pas couverts.
• Il ne supprime pas la GPO ; celle-ci est toujours traitée et définit toujours tout ce que la MDM ne définit pas.
• Seuls les paramètres que Microsoft associe à un équivalent de stratégie de groupe sont couverts. Vérifiez qu'un paramètre figure dans la liste Microsoft des Policies in Policy CSP supported by Group Policy avant de supposer que la MDM l'emporte ; pour tout ce qui n'y figure pas, Microsoft prévient qu'il existe une situation de concurrence et aucune garantie sur la source qui l'emporte.

La solution durable, c'est la propriété : pour chaque UO d'appareils hybrides, décidez si c'est la GPO ou Intune qui possède la configuration de sécurité. Sur les appareils cogérés avec Configuration Manager, basculez les charges de travail Device configuration et Endpoint Protection vers Intune lorsqu'Intune en devient propriétaire, puis supprimez le lien des anciennes GPO avec ces UO.

Étape 5 : gérer les versions

Microsoft publie de nouvelles versions des référentiels au fil de l'évolution de Windows et des produits. Lorsqu'une nouvelle version paraît :

1. Lisez la liste des paramètres et les notes de modification publiées par Microsoft pour la nouvelle version, et examinez chaque paramètre ajouté, supprimé ou modifié, comme vous le feriez avec Policy Analyzer pour les GPO (voir Policy Analyzer et LGPO).
2. Dans Endpoint security > Security baselines, sélectionnez le profil et choisissez Update Version, avec l'option de conserver vos personnalisations de paramètres existantes. Intune crée un nouveau profil, côte à côte, sur la dernière version ; l'original reste inchangé, et ses paramètres passent en lecture seule dès qu'une version plus récente existe.
3. Le nouveau profil n'a ni affectations ni balises d'étendue. Affectez-le au groupe pilote et surveillez les rapports de conflits et d'erreurs pendant une semaine.
4. Faites migrer les groupes restants anneau par anneau, en retirant chaque groupe de l'ancien profil au moment où vous l'ajoutez au nouveau, afin que les deux versions ne ciblent jamais le même appareil. Supprimez l'ancien profil lorsque plus rien ne lui est affecté.

Les profils créés avant mai 2023 utilisent l'ancien format basé sur des modèles et ne peuvent pas être mis à jour sur place : exportez leurs paramètres en CSV avec Change Version, puis recréez-les sur la version actuelle.

Vérifier

Dans Intune, ouvrez le profil de référentiel et examinez Device status et Per-setting status. Tout paramètre en Conflict ou en Error ne remplit pas son rôle, même si le profil paraît globalement sain. Sur un appareil :

# Générer le rapport de diagnostic MDM (HTML et fichiers associés)
MdmDiagnosticsTool.exe -out C:\Temp\MDMDiag

# Valeurs actuellement appliquées via le Policy CSP, par zone
Get-ChildItem 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device' |
  Select-Object -ExpandProperty PSChildName

Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\ControlPolicyConflict' -ErrorAction SilentlyContinue

Le même rapport est disponible depuis Settings > Accounts > Access work or school > (votre compte) > Info > Create report. Les erreurs d'application des stratégies sont journalisées dans Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin ; l'événement 404 signale l'échec d'une commande, avec le chemin du paramètre et le code d'erreur dans le message.

Enfin, comparez l'état effectif à l'intention du référentiel. La comparaison avec l'état effectif de Policy Analyzer ou gpresult /h indiquent si une GPO définit encore les mêmes valeurs sur les appareils hybrides.

Ce qui casse

• Les conflits silencieux. Un paramètre en conflit ne s'applique tout simplement pas. Examinez l'état par paramètre après chaque nouveau profil.
• Les paramètres tatoués après désaffectation. Retirer un référentiel ne rétablit pas toujours les valeurs par défaut. Définissez des valeurs explicites lorsque vous devez revenir en arrière.
• Les problèmes de pilotes et de VPN causés par la protection LSA, Credential Guard ou l'intégrité de la mémoire. Menez le pilote sur du matériel réel.
• La double gestion sur les appareils hybrides. Une GPO et un profil Intune qui se disputent les paramètres du pare-feu ou de Defender produisent un comportement intermittent difficile à diagnostiquer.
• Les hypothèses sur Windows Server. Les référentiels Intune ciblent Windows client ; pour Windows Server 2025, utilisez OSConfig comme décrit dans le guide sur la dérive de configuration.

Liste de contrôle

• Recouvrement avec les GPO mesuré avec Group Policy analytics
• Un profil par type de référentiel, proche des valeurs par défaut, affecté par anneau
• Exceptions gérées par des groupes d'exclusion, pas par des profils en conflit
• Propriété clairement répartie entre référentiels, stratégies de sécurité des points de terminaison et catalogue de paramètres
• UO hybrides attribuées à un seul propriétaire ; MDMWinsOverGP utilisé uniquement pendant la migration
• Rapports de conflits et d'erreurs par paramètre examinés après chaque modification
• Mises à niveau de version comparées, pilotées et déployées anneau par anneau
• Contrôles côté appareil documentés (rapport de diagnostic MDM, journal d'événements)

Les référentiels Intune sont le moyen le plus rapide d'obtenir une configuration sécurisée sur des Windows gérés dans le cloud, à condition de garder propres les sources de configuration. Le reste du domaine référentiels de sécurité couvre les tests, la comparaison et la dérive.