Expérience utilisateur Jonction hybride de Microsoft Entra : Augmentation de la limite du compte d’ordinateur dans l’unité d’organisation

L’objectif d’Intune Connector pour Active Directory est de joindre des ordinateurs à un domaine et de les ajouter à une unité d’organisation. Pour cette raison, le compte de service géré utilisé pour le connecteur Intune pour Active Directory doit disposer des autorisations nécessaires pour créer des comptes d’ordinateur dans l’unité d’organisation où les ordinateurs sont joints au domaine local.

Avec les autorisations par défaut dans Active Directory, les jonctions de domaine par le connecteur Intune pour Active Directory peuvent fonctionner initialement sans modification d’autorisation de l’unité d’organisation dans Active Directory. Toutefois, lorsque MSA tente de joindre plus de 10 ordinateurs au domaine local, il cesse de fonctionner, car par défaut, Active Directory n’autorise qu’un seul compte à joindre jusqu’à 10 ordinateurs au domaine local.

Les utilisateurs suivants ne sont pas limités par la limitation de jonction de domaine de 10 ordinateurs :

• Utilisateurs des groupes Administrateurs ou Administrateurs de domaine : Afin de respecter le modèle des principes du moindre privilège, Microsoft ne recommande pas de faire du MSA un administrateur ou un administrateur de domaine.
• Utilisateurs disposant d’autorisations déléguées sur des unités d’organisation (OU) et des conteneurs dans Active Directory pour créer des comptes d’ordinateur : Cette méthode est recommandée, car elle suit le modèle des principes du moindre privilège.

Pour résoudre ce problème, le compte MSA a besoin de l’autorisation Créer des comptes d’ordinateur dans l’unité d’organisation où les ordinateurs sont joints dans le domaine local. Le connecteur Intune pour Active Directory définit les autorisations des comptes MSA sur les unités d’organisation tant que l’une des conditions suivantes est remplie :

• L’administrateur qui installe le connecteur Intune pour Active Directory dispose des autorisations nécessaires pour définir des autorisations sur les unités d’organisation.
• L’administrateur qui configure le connecteur Intune pour Active Directory dispose des autorisations nécessaires pour définir des autorisations sur les unités d’organisation.

Si l’administrateur qui installe ou configure le connecteur Intune pour Active Directory ne dispose pas des autorisations nécessaires pour définir des autorisations sur les unités d’organisation, les étapes suivantes doivent être suivies :

1. Connectez-vous à un ordinateur ayant accès à la console Utilisateurs et ordinateurs Active Directory avec un compte disposant des autorisations nécessaires pour définir des autorisations sur les unités d’organisation.

2. Ouvrez la console Utilisateurs et ordinateurs Active Directory en exécutant DSA.msc.

3. Développez le domaine souhaité et accédez à l’unité d’organisation (UO) à laquelle les ordinateurs se rejoignent pendant Windows Autopilot.

   Remarque

   L’unité d’organisation que les ordinateurs rejoignent pendant le déploiement de Windows Autopilot est spécifiée plus tard au cours de l’étape Configurer et attribuer un profil de jonction de domaine .

4. Faites un clic droit sur l’unité d’organisation et sélectionnez Propriétés.

   Remarque

   Si les ordinateurs rejoignent le conteneur Ordinateurs par défaut au lieu d’une unité d’organisation, cliquez avec le bouton droit sur le conteneur Ordinateurs et sélectionnez Déléguer le contrôle.

5. Dans la fenêtre Propriétés de l’unité d’organisation qui s’ouvre, sélectionnez l’onglet Sécurité .

6. Dans l’onglet Sécurité, sélectionnez Avancé.

7. Dans la fenêtre Paramètres de sécurité avancés , sélectionnez Ajouter.

8. Dans la fenêtre Entrée d’autorisation , en regard de Principal, sélectionnez le lien Sélectionner un principal .

9. Dans la fenêtre Sélectionner un utilisateur, un ordinateur, un compte de service ou un groupe, sélectionnez le bouton Types d’objets... .

10. Dans la fenêtre Types d’objets, activez la case case activée Comptes de service, puis cliquez sur OK.

11. Dans la fenêtre Sélectionner un utilisateur, un ordinateur, un compte de service ou un groupe, sous Entrer le nom de l’objet à sélectionner, entrez le nom du compte MSA utilisé pour le connecteur Intune pour Active Directory.

    Conseil

    Le compte MSA a été créé au cours de l’étape/section d’installation du connecteur Intune pour Active Directory et a le format de nom où msaODJ########## se trouvent cinq caractères aléatoires. Si le nom du MSA n’est pas connu, procédez comme suit pour rechercher le nom du MSA :

    1. Sur le serveur qui exécute le connecteur Intune pour Active Directory, cliquez avec le bouton droit sur le menu Démarrer, puis sélectionnez Gestion de l’ordinateur.
    2. Dans la fenêtre Gestion de l’ordinateur , développez Services et applications , puis sélectionnez Services.
    3. Dans le volet des résultats, recherchez le service nommé Intune ODJConnector for Active Service. Le nom du compte MSA est répertorié dans la colonne Connexion en tant que .

12. Sélectionnez Vérifier les noms pour valider l’entrée de nom MSA. Une fois l’entrée validée, sélectionnez OK.

13. Dans les fenêtres Entrée d’autorisation , sélectionnez le menu déroulant S’applique à :, puis sélectionnez Cet objet uniquement.

14. Sous Autorisations, désélectionnez tous les éléments, puis activez uniquement la case à case activée Créer des objets d’ordinateur.

15. Sélectionnez OK pour fermer la fenêtre Entrée d’autorisation .

16. Dans la fenêtre Paramètres de sécurité avancés , sélectionnez Appliquer ou OK pour appliquer les modifications.

L’objectif d’Intune Connector pour Active Directory est de joindre des ordinateurs à un domaine et de les ajouter à une unité d’organisation. Pour cette raison, le serveur exécutant le connecteur Intune pour Active Directory doit être autorisé à créer des comptes d’ordinateur dans l’unité d’organisation où les ordinateurs sont joints au domaine local.

Avec les autorisations par défaut dans Active Directory, les jonctions de domaine par le connecteur Intune pour Active Directory peuvent fonctionner initialement sans modification d’autorisation de l’unité d’organisation dans Active Directory. Toutefois, une fois que le serveur exécutant le connecteur Intune pour Active Directory essaie de joindre plus de 10 ordinateurs au domaine local, il cesse de fonctionner, car par défaut, Active Directory n’autorise qu’un seul compte à joindre jusqu’à 10 ordinateurs au domaine local.

Les utilisateurs suivants ne sont pas limités par la limitation de jonction de domaine de 10 ordinateurs :

• Utilisateurs des groupes Administrateurs ou Administrateurs de domaine : afin de respecter le modèle des principes du moindre privilège, Microsoft ne recommande pas de définir le compte d’ordinateur exécutant le connecteur Intune pour Active Directory comme administrateur ou administrateur de domaine.
• Utilisateurs disposant d’autorisations déléguées sur des unités d’organisation (OU) et des conteneurs dans Active Directory pour créer des comptes d’ordinateur : cette méthode est recommandée car elle suit le modèle des principes de moindre privilège.

Pour résoudre cette limitation, le serveur exécutant le connecteur Intune pour Active Directory doit disposer de l’autorisation Créer des comptes d’ordinateur dans l’unité d’organisation (OU) à laquelle les ordinateurs sont joints dans le domaine local :

Pour augmenter la limite de comptes d’ordinateur dans l’unité d’organisation (OU) à laquelle les ordinateurs se joignent pendant Windows Autopilot, suivez ces étapes sur un ordinateur qui a accès à la console Utilisateurs et ordinateurs Active Directory :

1. Ouvrez la console Utilisateurs et ordinateurs Active Directory en exécutant DSA.msc.

2. Développez le domaine souhaité et accédez à l’unité d’organisation (UO) à laquelle les ordinateurs se rejoignent pendant Windows Autopilot.

   Remarque

   L’unité d’organisation que les ordinateurs rejoignent pendant le déploiement de Windows Autopilot est spécifiée plus tard au cours de l’étape Configurer et attribuer un profil de jonction de domaine .

3. Cliquez avec le bouton droit sur l’unité d’organisation et sélectionnez Déléguer le contrôle.

   Remarque

   Si les ordinateurs rejoignent le conteneur Ordinateurs par défaut au lieu d’une unité d’organisation, cliquez avec le bouton droit sur le conteneur Ordinateurs et sélectionnez Déléguer le contrôle.

4. Dans la fenêtre Bienvenue dans l’Assistant Délégation de contrôle de l’Assistant Délégation de contrôle, sélectionnez Suivant.

5. Dans la fenêtre Utilisateurs ou groupes , sous Utilisateurs et groupes sélectionnés, sélectionnez Ajouter.

6. En regard de Sélectionner ce type d’objet : dans la fenêtre Sélectionner des utilisateurs, des ordinateurs ou des groupes , sélectionnez Types d’objets.

7. Dans la fenêtre Types d’objets, activez la case case activée des ordinateurs, puis cliquez sur OK. Les autres éléments de cette fenêtre peuvent être laissés à leur valeur par défaut.

8. Dans la fenêtre Sélectionner des utilisateurs, des ordinateurs ou des groupes, sous la zone Entrez les noms des objets à sélectionner, entrez le nom de l’ordinateur sur lequel le connecteur Intune pour Active Directory a été installé lors de l’étape Installer le connecteur Intune pour Active Directory.

9. Sélectionnez Vérifier les noms pour valider l’entrée. Une fois l’entrée validée, sélectionnez OK.

10. Dans la fenêtre Utilisateurs ou groupes , vérifiez que l’ordinateur approprié s’affiche sous Utilisateurs et groupes sélectionnés :, puis sélectionnez Suivant.

11. Dans la fenêtre Tâches à déléguer , sélectionnez Créer une tâche personnalisée à déléguer, puis cliquez sur Suivant.

12. Dans la fenêtre Type d’objet Active Directory :

    1. Sélectionnez uniquement les objets suivants dans le dossier.

    2. Sous Uniquement les objets suivants dans le dossier, sélectionnez Objets Ordinateur.

    3. Cochez la case Créer les objets sélectionnés dans ce dossier .

    4. Sélectionnez Suivant.

13. Dans la fenêtre Autorisations, sous Autorisations :, activez la case case activée contrôle total, puis cliquez sur Suivant.

    Remarque

    Après avoir sélectionné la case case activée Contrôle total, toutes les autres options sous Autorisations : sont automatiquement sélectionnées. La sélection automatique des cases à cocher est normale et attendue. Ne désélectionnez aucune des cases case activée une fois qu’elles sont automatiquement sélectionnées.

14. Dans la fenêtre Fin de l’Assistant Délégation de contrôle , sélectionnez Terminer.