Intune ne peut toujours pas créer une image bare-metal d'un appareil, et d'autres choses que personne n'a dites à l'IT

Le mandat est venu de la direction, pas de l'informatique

Presque tous les administrateurs gérant un environnement hybride en ce moment ont entendu la même question : « Pourquoi n'avons-nous pas encore complètement migré vers Intune ? » Cela s'accompagne généralement d'une hypothèse tacite selon laquelle le blocage est dû à l'inertie, ou à une équipe informatique à l'aise avec un ancien outil et réticente à en apprendre un nouveau.

Ce n’est pas ce qui se passe. Les administrateurs qui ont passé des mois à tester Intune comme un remplacement complet pour la stratégie de groupe arrivent toujours à la même conclusion : Intune n’est pas encore au point. Il a de réels atouts, mais en tant que remplacement à l’identique de la stratégie de groupe, ce n’est pas encore ça.

Ce qu'Intune ne fait toujours pas

Pas d’imagerie bare metal.

La stratégie de groupe associée à la séquence de tâches permet aux administrateurs d'effacer un appareil et de recharger un système d'exploitation propre depuis zéro, y compris des installations complexes et multi-étapes nécessitant des redémarrages intermédiaires. Autopilot ne remplace pas cela. Il provisionne un appareil qui a déjà un système d'exploitation. Les administrateurs rapportent qu'ils envoient des machines "propres" aux utilisateurs finaux encore chargées de logiciels préinstallés par le fabricant, car il n'existe pas d'équivalent d'une séquence de tâches pour les supprimer d'abord.

Les serveurs n'ont jamais été concernés, et c'est très bien ainsi.

Intune gère les appareils clients. Il n'a jamais été conçu pour gérer Windows Server, donc les politiques d'accès conditionnel et l'application de la conformité s'arrêtent au poste de travail par conception, pas par accident. Ce n'est pas un trou dans la feuille de route ; c'est une limite qui a été tracée exprès.

La raison pour laquelle cela ne pose presque jamais de problème en pratique est que les environnements hybrides ont déjà la gestion des serveurs prise en charge ailleurs. SCCM gère toujours la mise à jour des serveurs Windows sur site et les installations à partir de zéro. Azure Arc étend l'application des politiques et de la conformité aux serveurs où qu'ils se trouvent, sur site ou dans un autre cloud. VMware vSphere gère le provisioning et l'imagerie via des modèles et du clonage. Ansible (ou AWX Tower) prend en charge l'application continue de la configuration que Group Policy gérait auparavant. Rien ne manque ici, c'est juste réparti entre plusieurs outils que la plupart des équipes d'infrastructure utilisent déjà.

Moins de hiérarchie, plus de solutions de contournement.

La structure des unités d'organisation (OU) d'Active Directory permet aux administrateurs de refléter l'organisation d'une entreprise, par département, emplacement ou niveau d'appareil, en imbriquant proprement les exceptions et en déléguant les droits d'administration à chaque niveau. Les groupes Entra ID peuvent également être imbriqués, mais les recommandations de Microsoft déconseillent cette pratique : imbriquer un grand groupe dans une cible Intune oblige Intune à resynchroniser chaque groupe et membre en dessous, transformant une petite exception en un problème de performance plutôt qu'en un modèle d'héritage propre.

Les filtres d'affectation et les balises de portée reprennent une partie de ce que faisait la délégation basée sur OU, en limitant la visibilité et le ciblage sans un emboîtement complet. Aucun ne recrée une véritable héritage, mais le contrôle de type délégation est plus proche qu'il n'y paraît au premier abord.

Le regroupement dynamique existe toujours dans Intune, mais de manière plus restreinte que ce à quoi les administrateurs des stratégies de groupe sont habitués. Les groupes dynamiques d'appareils Entra ID peuvent filtrer sur des attributs comme le fabricant et le modèle, et les filtres d'affectation Intune ajoutent des propriétés de l'appareil comme la version du système d'exploitation et l'architecture du processeur en plus de cela. Ce qui manque, c'est le regroupement ou le filtrage dynamique basé sur les logiciels installés, une requête courante dans les environnements de stratégies de groupe qui n'a pas d'équivalent natif dans Intune aujourd'hui.

Une couverture plus proche, mais pas complète.

La stratégie de groupe prend en charge environ 4 000 paramètres ADMX. Le catalogue des paramètres d’Intune couvre désormais plus de 18 000 paramètres sur toutes les plateformes, et les modèles d’administration seuls, la reprise directe des GPO, représentent environ 2 500 de ces paramètres. Les chiffres bruts ne sont plus la vraie histoire. Ce qui reste, c’est un ensemble de comportements spécifiques aux GPO qui n’ont pas encore d’équivalent propre dans Intune : les préférences de stratégie de groupe, certaines configurations héritées basées sur des scripts, et des paramètres qui dépendent de capacités que le modèle CSP d’Intune n’expose pas encore. Cette lacune est comblée par des scripts et des profils de configuration manuels, reconstruisant à la main ce qui était auparavant une case à cocher.

Les préférences de stratégie de groupe n'ont pas de domicile.

Les lecteurs mappés, les connexions d'imprimante et les dizaines de petits paramètres de préférences que GPP gérait automatiquement nécessitent désormais un script ou des outils tiers pour être reproduits.

Application lente et imprévisible des politiques.

Alors que la stratégie de groupe applique les modifications en quelques secondes, Intune s’appuie sur le service de notification Windows pour transmettre la stratégie aux appareils, et ce pipeline est en fait une boîte noire. Les administrateurs ont documenté des temps de synchronisation allant de l’instantané à 72 heures pour la même stratégie, sans moyen fiable de la forcer lorsque la date limite est réelle.

Le dépannage rattrape son retard, ce n’est pas encore fait.

La stratégie de groupe dispose de RSoP et gpupdate, des outils conçus spécifiquement pour répondre à "pourquoi cela ne s'applique pas" en quelques minutes. Intune dispose désormais d'équivalents approximatifs : Synchroniser force une vérification de la stratégie à la demande, et le statut de la stratégie par paramètre montre quelles stratégies ont été appliquées à un appareil et pourquoi. Copilot dans Intune ajoute un analyseur de codes d'erreur et une comparaison côte à côte des appareils en plus de cela, et à partir de mi-2026, cela est inclus dans Microsoft 365 E5, sans licence séparée requise.

Ce qui manque encore, c'est la maturité, pas le concept. Ces outils sont plus récents, et les administrateurs rapportent des résultats incohérents au-delà des bases. L'avance de 20 ans que la stratégie de groupe a sur « pourquoi cela ne s'applique pas » n'est pas complètement comblée, mais l'écart est plus étroit qu'il n'y paraît.

Pas de contrôle natif de la bande passante.

Les environnements de stratégie de groupe exécutant SCCM peuvent planifier des déploiements avec BranchCache ou PeerCache afin qu’un seul site ne surcharge pas un lien WAN lent en téléchargeant sans cesse le même contenu. Intune télécharge depuis Internet par appareil, sans mise en cache peer-to-peer pour répartir cette charge sur un site. Pour les sites à bande passante limitée, cela signifie des déploiements plus lents et, dans certains cas, des échecs complets sans solution native.

Contrôles d'application nécessitant des SID bruts et des outils tiers.

La liste blanche d’applications granulaires, du type que les environnements de stratégie de groupe gèrent avec AppLocker, est plus complexe dans Intune. Faire référence aux principaux de sécurité signifie souvent spécifier des SID bruts au lieu de noms conviviaux, et le patching tiers pour tout ce qui est en dehors des mises à jour Windows nécessite un outil séparé.

Intune convient si vous êtes cloud-first

Rien de tout cela ne signifie qu'Intune soit un mauvais produit. C'est un choix vraiment solide pour des environnements simples et cloud-first. L'infrastructure de Microsoft pour fournir des mises à jour mensuelles du système d'exploitation est excellente. Le problème est plus restreint et spécifique : en tant que remplacement complet et direct de tout ce que faisait la stratégie de groupe, Intune n'en est pas encore là, et prétendre le contraire ne fait que déplacer la douleur d'une diapositive de la feuille de route à une file d'attente du support.

C'est exactement pourquoi tant d'organisations décrivent leur déploiement d'Intune comme "hybride pour quelques années de plus" plutôt que "terminé." Ce n'est pas un problème de personnes. C'est un manque d'outils que Netwrix PolicyPak a été conçu pour combler.

Comment PolicyPak étend ce que Group Policy fait déjà bien

PolicyPak ne demande pas aux équipes de supprimer la stratégie de groupe et de recommencer. Il s'appuie sur l'infrastructure déjà en place et étend la même logique de politique à chaque point de terminaison, qu'il soit joint au domaine, distant ou déjà inscrit dans Intune.

• Profondeur complète ADMX, pas un sous-ensemble : Le Gestionnaire de Modèles d’Administration est basé sur ADMX, donc les milliers de paramètres granulaires pris en charge par la stratégie de groupe restent disponibles au lieu d’être recréés manuellement sous forme de scripts.
• Préférences de stratégie de groupe, toujours automatisées : Le gestionnaire GPP continue de gérer les lecteurs mappés, les imprimantes et les autres paramètres de préférence qui maintenaient silencieusement la cohérence des bureaux, sans nécessiter de scripts.
• Hiérarchie réelle et consolidation : Les GPO étendues sont consolidées pour réduire l'encombrement et améliorer les performances, tout en conservant le modèle de ciblage basé sur l'OU que les administrateurs comprennent déjà.
• Rapport de conformité qui prouve l'application : Le rapport de conformité des stratégies de groupe offre aux équipes un moyen de montrer ce qui est appliqué dans l'environnement, pas seulement ce qui est configuré, ce qui est aussi important pour un audit que pour une séance de dépannage un mardi après-midi.
• Couverture qui suit le point de terminaison, pas le domaine : Pour les appareils qui ne touchent jamais un contrôleur de domaine, PolicyPak Cloud et son GPO Export Manager appliquent les mêmes politiques aux points de terminaison gérés via Intune ou d'autres plateformes MDM et UEM. Un ordinateur portable distant inscrit à Intune reçoit les mêmes règles de moindre privilège et la même configuration de bureau qu'une machine située dans un bureau joint au domaine.
• Contrôles de sécurité conçus pour le point de terminaison : Les droits d'administrateur local sont supprimés, tandis que les utilisateurs standard bénéficient toujours de chemins d'élévation sûrs et spécifiques. La liste blanche basée sur le propriétaire du fichier bloque les applications et scripts non fiables avec une seule politique, et la protection contre le détournement de DLL traite une classe de vulnérabilités courantes dans les logiciels de bureau plus anciens. Les contrôles d'application, de navigateur, de Java et de périphériques amovibles complètent la couverture, le tout géré depuis une console unique.
• Déploiement et patch simplifiés : Le déploiement de logiciels, le patching automatique et la suppression s'exécutent sur Windows, WinGet et les sources web, comblant le vide de patching tiers qu'Intune laisse uniquement pour les mises à jour Windows.
• Privilège minimal qui n'est pas uniquement pour Windows : Le gestionnaire de privilèges minimaux étend le contrôle d'approbation admin et les permissions de dossier à Mac, pas seulement à Windows, de sorte que les environnements hybrides bénéficient de la gestion des privilèges minimaux depuis une seule console au lieu d'un outil Windows plus un processus Mac séparé.

Ce que PolicyPak ne cherche pas à être

Pour être direct sur la limite : PolicyPak ne fait pas d'imagerie bare metal ni de séquençage de tâches, et ce n'est pas un remplacement pour l'outil qui gère actuellement l'OSD. Ce qu'il fait, c'est s'assurer qu'une fois qu'un appareil existe, qu'il ait été imagé, Autopiloté ou inscrit via Intune, il est configuré, verrouillé et reportable en utilisant le même moteur de politique et le même niveau de profondeur auquel les équipes font déjà confiance.

Les équipes n'ont pas à choisir entre la maturité de la stratégie de groupe et la portée d'Intune. PolicyPak conserve la hiérarchie, la granularité et la profondeur des rapports qui ont pris 20 ans à se construire, et l'étend à chaque point de terminaison que gère désormais Intune. Découvrez comment cela s'intègre dans votre environnement actuel.