Attribuer des stratégies dans Microsoft Intune

Lorsque vous créez une stratégie Intune, elle inclut tous les paramètres que vous avez ajoutés et configurés dans la stratégie. Lorsque la stratégie est prête à être déployée, l’étape suivante consiste à « attribuer » la stratégie à vos groupes d’utilisateurs ou d’appareils. Lorsque la stratégie est attribuée, les utilisateurs et appareils reçoivent votre stratégie et les paramètres que vous avez entrés sont appliqués.

Dans Intune, vous pouvez créer et attribuer les stratégies suivantes :

• Stratégies de protection des applications
• Stratégies de configuration des applications
• Stratégies de conformité
• Stratégies d’accès conditionnel
• Profils de configuration d’appareil
• Stratégies d’inscription

Cet article vous montre comment attribuer une stratégie, inclut des informations sur l’utilisation des balises d’étendue, décrit quand attribuer des stratégies à des groupes d’utilisateurs ou des groupes d’appareils, et bien plus encore.

Cette fonctionnalité s’applique à :

• Android
• iOS/iPadOS
• macOS
• Linux
• Windows

Avant de commencer

• Vérifiez que vous disposez du rôle approprié qui peut attribuer des stratégies et des profils. Pour plus d’informations, consultez Contrôle d'accès en fonction du rôle (RBAC) avec Microsoft Intune.

• Envisagez d’utiliser Microsoft Copilot dans Intune. Vous trouverez ci-dessous certains des avantages :

  • Lorsque vous créez une stratégie et configurez des paramètres, Copilot fournit plus d’informations sur chaque paramètre et recherche les conflits potentiels.
  • Lorsque vous attribuez une stratégie, Copilot peut vous indiquer les groupes auxquels la stratégie est attribuée et vous aider à comprendre l’effet de la stratégie.

  Pour plus d’informations, accédez à Copilot dans Intune.

Attribuer une stratégie à des utilisateurs ou des groupes

1. Connectez-vous au Centre d’administration Microsoft Intune.

2. Sélectionnez Appareils>Gérer la> configuration des appareils. Tous les profils sont répertoriés.

3. Sélectionnez le profil que vous souhaitez attribuer >Propriétés>Devoirs>Modifier:

   Par exemple, pour attribuer un profil de configuration d’appareil :

   1. Accédez à Appareils>Gérer la configuration> des appareils. Tous les profils sont répertoriés.

   2. Sélectionnez la stratégie que vous souhaitez attribuer >Propriétés>Devoirs>Modifier:

      

4. Sous Groupes inclus ou Groupes exclus, choisissez Ajouter des groupes pour sélectionner un ou plusieurs groupes Microsoft Entra. Si vous envisagez de déployer la stratégie à grande échelle sur tous les appareils applicables, sélectionnez Ajouter tous les utilisateurs ou Ajouter tous les appareils.

   Notes

   Si vous sélectionnez « Tous les appareils » et « Tous les utilisateurs », l’option permettant d’ajouter des groupes Microsoft Entra supplémentaires est désactivée.

5. Sélectionnez Vérifier + enregistrer. Cette étape n’attribue pas votre stratégie.

6. Sélectionnez Enregistrer. Lorsque vous enregistrez, votre stratégie est attribuée. Vos groupes recevront vos paramètres de stratégie lorsque les appareils seront enregistrés auprès du service Intune.

Fonctionnalités d’attribution que vous devez connaître et utiliser

• Utilisez des filtres d’attribution pour attribuer une stratégie en fonction des règles que vous créez. Vous pouvez créer des filtres d’affectation pour :

  • Stratégies de configuration des applications
  • Stratégies de protection des applications
  • Attributions d’applications
  • Stratégies de conformité
  • Profils de configuration d’appareil

  Pour plus d’informations, voir :

  • Utiliser des filtres d’attribution lors de l’attribution de vos applications, stratégies et profils dans Microsoft Intune
  • Plateformes, stratégies et types d’applications pris en charge par les filtres d’attribution dans Microsoft Intune

• Les jeux de stratégie créent un groupe ou une collection d’applications et de stratégies existantes. Lorsque le jeu de stratégie est créé, vous pouvez attribuer le jeu de stratégie à partir d’un emplacement unique dans le Centre d’administration Microsoft Intune.

  Pour plus d’informations, consultez Utiliser les jeux de stratégie pour regrouper des collections d’objets de gestion dans Microsoft Intune.

• Les balises d’étendue sont un excellent moyen de filtrer des stratégies dans des groupes spécifiques, tels que US-NC IT Teamou JohnGlenn_ITDepartment. Pour plus d’informations, consultez Utiliser le contrôle d’accès en fonction du rôle (RBAC) et les balises d’étendue pour l’informatique distribuée.

• Sur les appareils Windows, vous pouvez ajouter des règles d’applicabilité afin que la stratégie ne s’applique qu’à une version spécifique du système d’exploitation ou à une édition spécifique de Windows. Pour plus d’informations, consultez Règles d’applicabilité.

Groupes d’utilisateurs et groupes d’appareils

De nombreux utilisateurs demandent quand utiliser des groupes d’utilisateurs et quand utiliser des groupes d’appareils. La réponse dépend de votre objectif. Voici quelques conseils pour vous aider à démarrer.

Groupes d'appareils

Si vous souhaitez appliquer des paramètres sur un appareil, quelle que soit la personne qui est connectée, attribuez vos stratégies à un groupe d’appareils. Les paramètres appliqués aux groupes d’appareils sont toujours associés à l’appareil, et non à l’utilisateur.

Par exemple :

• Les groupes d’appareils sont utiles pour gérer les appareils qui n’ont pas d’utilisateur dédié. Ces appareils peuvent imprimer des tickets, numériser des stocks, être partagés par des travailleurs postés & des travailleurs de la santé, etc. Placez ces appareils dans un groupe d’appareils et attribuez vos stratégies à ce groupe d’appareils.

  Par exemple, vous pouvez inscrire des appareils iOS/iPadOS sans utilisateur à l’aide de l’iPad partagé ou du mode d’appareil partagé de Microsoft Entra. Ensuite, ajoutez ces appareils à un groupe d’appareils. Lorsque vous êtes prêt à attribuer des stratégies, attribuez-les à ce groupe d’appareils.

• Vous créez un profil d’interface de configuration du microprogramme d’appareil (DFCI) Intune qui met à jour les paramètres dans le BIOS. Par exemple, vous configurez cette stratégie pour désactiver l’appareil photo ou verrouiller les options de démarrage pour empêcher les utilisateurs de démarrer un autre système d’exploitation. Cette stratégie est un bon scénario à attribuer à un groupe d’appareils.

• Sur certains appareils Windows spécifiques, vous devez toujours contrôler certains paramètres de Microsoft Edge, quel que soit l’utilisateur qui utilise l’appareil. Par exemple, vous souhaitez bloquer tous les téléchargements, limiter tous les cookies à la session de navigation active et supprimer l’historique de navigation. Pour ce scénario, placez ces appareils Windows spécifiques dans un groupe d’appareils. Ensuite, créez une stratégie de catalogue de paramètres dans Intune, ajoutez ces paramètres d’appareil, puis attribuez cette stratégie au groupe d’appareils.

Pour résumer, utilisez des groupes d’appareils lorsque vous ne vous souciez pas de la personne qui est connectée à l’appareil ou de si quelqu’un se connecte. Vous souhaitez que vos paramètres se trouvent toujours sur l’appareil.

Groupes d’utilisateurs

Les paramètres de stratégie appliqués aux groupes d’utilisateurs sont toujours associés à l’utilisateur et s’appliquent à l’utilisateur lorsqu’il se connecte à ses nombreux appareils. Il est normal que les utilisateurs disposent de nombreux appareils, par exemple un Surface Pro pour le travail et un appareil iOS/iPadOS personnel. Et il est normal qu’une personne accède à la messagerie et aux autres ressources de l’organisation à partir de ces appareils.

Si un utilisateur a plusieurs appareils sur la même plateforme, vous pouvez utiliser les filtres d’affectation sur l’affectation du groupe. Par exemple, un utilisateur dispose d’un appareil iOS/iPadOS personnel et d’un iOS/iPadOS appartenant à une organisation. Lorsque vous affectez une stratégie à cet utilisateur, vous pouvez utiliser les filtres d’attribution pour cibler uniquement l’appareil appartenant à l’organisation.

Respectez cette règle générale : si une fonctionnalité appartient à un utilisateur, par exemple des certificats de messagerie ou d’utilisateur, affectez-la à des groupes d’utilisateurs.

Par exemple :

• Vous souhaitez placer une icône de support technique pour tous les utilisateurs sur tous leurs appareils. Dans ce scénario, placez ces utilisateurs dans un groupe d’utilisateurs et attribuez votre stratégie d’icône de support technique à ce groupe d’utilisateurs.

• Un utilisateur reçoit un nouvel appareil appartenant à l’organisation. L’utilisateur se connecte à l’appareil avec son compte de domaine. L’appareil est automatiquement inscrit dans Microsoft Entra ID et géré automatiquement par Intune. Cette stratégie est un bon scénario à attribuer à un groupe d’utilisateurs.

• Chaque fois qu’un utilisateur se connecte à un appareil, vous souhaitez contrôler les fonctionnalités dans des applications, comme OneDrive ou Office. Dans ce scénario, attribuez vos paramètres de stratégie OneDrive ou Office à un groupe d’utilisateurs.

  Par exemple, vous souhaitez désactiver tous les contrôles ActiveX dans vos applications Office. Vous pouvez créer une stratégie de catalogue de paramètres dans Intune, configurer ce paramètre, puis affecter cette stratégie à un groupe d’utilisateurs.

Pour résumer, utilisez des groupes d’utilisateurs lorsque vous souhaitez que vos paramètres et règles soient toujours utilisés par l’utilisateur, quel que soit l’appareil qu’il utilise.

Multi-session Azure Virtual Desktop

Vous pouvez utiliser Intune pour gérer les bureaux à distance Windows multi-session créés avec Azure Virtual Desktop, comme vous gérez n’importe quel autre appareil client Windows partagé. Lorsque vous attribuez des stratégies à des groupes d’utilisateurs ou à des appareils, Azure Virtual Desktop multi-session est un scénario spécial. Avec les machines virtuelles, les CSP d’appareil doivent cibler des groupes d’appareils. Les CSP d’utilisateurs doivent cibler des groupes d’utilisateurs.

Pour plus d’informations, consultez Utiliser Azure Virtual Desktop multi-session avec Microsoft Intune.

Les CSP Windows et leur comportement

Les paramètres de stratégie pour les appareils Windows sont basés sur les Fournisseurs de services de configuration (CSP). Ces paramètres sont mappés aux clés ou fichiers de Registre sur les appareils.

Voici ce que vous devez savoir sur les CSP Windows :

• Intune expose ces CSP pour configurer ces paramètres et les attribuer à vos appareils Windows. Ces paramètres sont configurables à l’aide de modèles intégrés et du catalogue de paramètres. Dans le catalogue de paramètres, vous verrez que certains paramètres s’appliquent à l’étendue utilisateur et que certains paramètres s’appliquent à l’étendue de l’appareil.

  Pour plus d’informations sur la façon dont les paramètres d’étendue utilisateur et d’étendue de l’appareil sont appliqués aux appareils Windows, accédez à Catalogue de paramètres : paramètres d’étendue de l’appareil et d’étendue utilisateur.

• Lorsqu'une stratégie est supprimée ou n'est plus attribuée à un appareil, différents événements peuvent se produire, en fonction des paramètres de la stratégie. Chaque CSP peut gérer la suppression de la stratégie différemment.

  Par exemple, un paramètre peut conserver la valeur existante, et ne pas revenir à une valeur par défaut. Chaque CSP contrôle le comportement. Pour obtenir une liste des fournisseurs de services de configuration (CSP) Windows, consultez la référence Fournisseur de services de configuration (CSP) .

  Pour attribuer à un paramètre une valeur différente, créez une nouvelle stratégie, configurez le paramètre sur Non configuré, puis attribuez la stratégie. Une fois cette stratégie appliquée à l'appareil, les utilisateurs pourront attribuer au paramètre la valeur de leur choix.

• Lors de la configuration de ces paramètres, nous suggérons de les déployer sur un groupe pilote. Pour plus de conseils sur le déploiement d'Intune, consultez Créer un plan de déploiement.

Exclure des groupes d’une attribution de stratégie

Les stratégies de configuration d’appareils Intune permettent d’inclure des groupes dans l’attribution de stratégies et d’en exclure.

En tant que meilleure pratique :

• Créer et attribuer de stratégies spécifiques à vos groupes d'utilisateurs. Utilisez les filtres d’attribution pour inclure ou exclure les appareils de ces utilisateurs.
• Créer et attribuer différentes stratégies spécifiques à vos groupes d’appareils.

Pour plus d’informations sur les groupes, consultez Ajouter des groupes pour organiser les utilisateurs et les appareils.

Principes d’inclusion et d’exclusion de groupes

Lorsque vous attribuez vos stratégies et profils, appliquez les principes généraux suivants :

• Considérez les Groupes inclus ou les Groupes exclus comme point de départ pour les utilisateurs et les appareils qui recevront vos stratégies. Le groupe Microsoft Entra est le groupe limiteur. Utilisez donc l’étendue de groupe la plus petite possible. Utilisez des filtres d’attribution pour limiter ou affiner votre affectation de stratégie.

• Les groupes Microsoft Entra affectés, également appelés groupes statiques, peuvent être ajoutés à des groupes inclus ou à des groupes exclus.

  En règle générale, vous attribuez statiquement des appareils dans un groupe Microsoft Entra s’ils sont pré-inscrits dans l’ID Microsoft Entra, comme avec Windows Autopilot. Ou, si vous souhaitez combiner des appareils pour un déploiement ponctuel et ad hoc. Dans le cas contraire, il peut être difficile d’attribuer de manière statique des appareils dans un groupe Microsoft Entra.

• Des groupes d’utilisateurs Microsoft Entra dynamiques peuvent être ajoutés à des groupes inclus ou à des groupes exclus.

• Les groupes exclus peuvent être des groupes avec des utilisateurs ou des groupes avec des appareils.

• Les groupes d’appareils Microsoft Entra dynamiques peuvent être ajoutés aux groupes inclus. Toutefois, l’appartenance à un groupe dynamique nécessite un temps de traitement avant que les appareils n’apparaissent dans le groupe. Dans les scénarios où le temps est compté, utilisez des filtres d’attribution pour cibler des appareils spécifiques directement au case activée-in, puis attribuez vos stratégies à des groupes d’utilisateurs ou au groupe virtuel Tous les appareils.

  Conseil

  Si votre règle de groupe d’appareils dynamiques cible des propriétés telles que le type de système d’exploitation, le fabricant, le modèle, le propriétaire ou la catégorie d’appareil, envisagez d’utiliser un filtre d’affectation à la place. Les filtres évaluent les propriétés de l’appareil directement au case activée-in, sans dépendre du traitement de l’appartenance au groupe. Pour obtenir des conseils, consultez les recommandations en matière de performances pour le regroupement, le ciblage et le filtrage.

  Si vous continuez à utiliser des groupes dynamiques, optimisez vos règles pour plus d’efficacité. Pour plus d’informations, voir :

  • Créer des règles plus simples et plus rapides pour les groupes d’appartenance dynamiques
  • Comprendre et gérer le traitement de groupe dynamique

  Par exemple, vous souhaitez que les stratégies soient affectées aux appareils dès qu’elles s’inscrivent. Dans cette situation sensible à la latence, créez un filtre d’attribution pour cibler les appareils de votre choix, puis affectez la stratégie avec ce filtre d’attribution aux groupes d’utilisateurs. N’affectez pas aux groupes d’appareils.

  Dans un scénario sans utilisateur, créez un filtre d’attribution pour cibler les appareils de votre choix, puis attribuez la stratégie avec le filtre d’attribution au groupe « Tous les appareils ».

• Évitez d’ajouter des groupes d’appareils Microsoft Entra dynamiques à des groupes exclus. La latence dans le calcul de groupe d’appareils dynamiques au moment de l’inscription peut entraîner des résultats indésirables. Par exemple, les stratégies et les applications indésirables peuvent être déployées avant que l’appartenance au groupe exclu ne soit remplie.

Matrice de prise en charge

Utilisez la matrice suivante pour comprendre la prise en charge de l’exclusion de groupes :

• : prise en charge
•  : Non pris en charge
• : Partiellement pris en charge

Scénario	Support
1	Partiellement pris en charge L’attribution de stratégies à un groupe d’appareils dynamiques tout en excluant un autre groupe d’appareils dynamiques est prise en charge. Toutefois, cela n’est pas recommandé dans les scénarios qui sont sensibles à la latence. Tout délai dans exclure le calcul d’appartenance au groupe peut entraîner l’offre de stratégies aux appareils. Dans ce scénario, nous recommandons d’utiliser des filtres d’affectation au lieu de groupes d’appareils dynamiques pour exclure des appareils. Par exemple, vous disposez d’une stratégie d’appareil attribuée à Tous les appareils. Vous avez ensuite une exigence que les nouveaux appareils marketing ne reçoivent pas cette stratégie. Vous créez donc un groupe d’appareils dynamique appelé Appareils marketing basé sur la propriété enrollmentProfilename (device.enrollmentProfileName -eq "Marketing_devices"). Dans la stratégie, vous ajoutez le groupe dynamique Appareils marketing en tant que groupe exclu. Un nouvel appareil marketing est inscrit dans Intune pour la première fois et un nouvel objet d’appareil Microsoft Entra est créé. Le processus de regroupement dynamique place l’appareil dans le groupe Appareils marketing avec un calcul éventuellement retardé. En même temps, l’appareil est inscrit dans Intune et commence à recevoir toutes les stratégies applicables. La stratégie Intune peut être déployée avant que l’appareil ne soit placé dans le groupe d’exclusion. Ce comportement entraîne le déploiement d’une stratégie (ou d’une application) indésirable sur le groupe Appareils marketing. Par conséquent, il n’est pas recommandé d’utiliser des groupes d’appareils dynamiques pour les exclusions dans les scénarios sensibles à la latence. Utilisez plutôt des filtres d’affectation.
2	icône Prise en charge L’attribution d’une stratégie à un groupe d’appareils dynamiques tout en excluant un groupe d’appareils statiques est prise en charge.
3	Non pris en charge L’attribution d’une stratégie à un groupe d’appareils dynamiques tout en excluant les groupes d’utilisateurs (dynamiques et statiques) n’est pas prise en charge. Intune n’évalue pas les relations entre un groupe d’utilisateurs et d’appareils et les appareils des utilisateurs inclus ne seront pas exclus.
4	Non pris en charge L’attribution d’une stratégie à un groupe d’appareils dynamiques et l’exclusion des groupes d’utilisateurs (dynamiques et statiques) ne sont pas prises en charge. Intune n’évalue pas les relations entre un groupe d’utilisateurs et d’appareils et les appareils des utilisateurs inclus ne seront pas exclus.
5	Partiellement pris en charge L’attribution d’une stratégie à un groupe d’appareils statiques tout en excluant un groupe d’appareils dynamiques est prise en charge. Toutefois, cela n’est pas recommandé dans les scénarios qui sont sensibles à la latence. Tout délai dans exclure le calcul d’appartenance au groupe peut entraîner l’offre de stratégies aux appareils. Dans ce scénario, nous recommandons d’utiliser des filtres d’affectation au lieu de groupes d’appareils dynamiques pour exclure des appareils.
6	icône Prise en charge L’attribution d’une stratégie à un groupe d’appareils statiques et l’exclusion d’un autre groupe d’appareils statiques sont prises en charge.
7	Non pris en charge L’attribution d’une stratégie à un groupe d’appareils statique et l’exclusion des groupes d’utilisateurs (dynamiques et statiques) ne sont pas prises en charge. Intune n’évalue pas les relations entre un groupe d’utilisateurs et d’appareils et les appareils des utilisateurs inclus ne seront pas exclus.
8	Non pris en charge L’attribution d’une stratégie à un groupe d’appareils statique et l’exclusion des groupes d’utilisateurs (dynamiques et statiques) ne sont pas prises en charge. Intune n’évalue pas les relations entre un groupe d’utilisateurs et d’appareils et les appareils des utilisateurs inclus ne seront pas exclus.
9	Non pris en charge L’attribution d’une stratégie à un groupe d’utilisateurs dynamiques et l’exclusion des groupes d’appareils (dynamiques et statiques) ne sont pas prises en charge.
10	Non pris en charge L’attribution d’une stratégie à un groupe d’utilisateurs dynamiques et l’exclusion des groupes d’appareils (dynamiques et statiques) ne sont pas prises en charge.
11	icône Prise en charge L’attribution d’une stratégie à un groupe d’utilisateurs dynamiques tout en excluant les autres groupes d’utilisateurs (dynamiques et statiques) est prise en charge.
12	icône Prise en charge L’attribution d’une stratégie à un groupe d’utilisateurs dynamiques tout en excluant les autres groupes d’utilisateurs (dynamiques et statiques) est prise en charge.
13	Non pris en charge L’attribution d’une stratégie à un groupe d’utilisateurs statiques tout en excluant les groupes d’appareils (dynamiques et statiques) n’est pas prise en charge.
14	Non pris en charge L’attribution d’une stratégie à un groupe d’utilisateurs statiques tout en excluant les groupes d’appareils (dynamiques et statiques) n’est pas prise en charge.
15	icône Prise en charge L’attribution d’une stratégie à un groupe d’utilisateurs statiques tout en excluant les autres groupes d’utilisateurs (dynamiques et statiques) est prise en charge.
16	icône Prise en charge L’attribution d’une stratégie à un groupe d’utilisateurs statiques tout en excluant les autres groupes d’utilisateurs (dynamiques et statiques) est prise en charge.

Articles connexes

• Choisir la bonne méthode de ciblage dans Microsoft Intune
• Surveillez les profils d’appareils pour obtenir des instructions sur la surveillance de vos stratégies et sur les appareils qui exécutent vos stratégies. Consultez Surveiller les profils d’appareil pour obtenir des conseils sur la surveillance de vos stratégies et sur les appareils exécutant vos stratégies.