Méthodes d’authentification pour l’inscription automatisée des appareils dans Intune

S’applique à iOS/iPadOS

Cet article décrit les méthodes d’authentification disponibles pour les appareils iOS/iPadOS inscrits dans Intune via l’inscription automatisée des appareils. Les méthodes d’authentification disponibles sont les suivantes :

• Application Portail d’entreprise Intune
• Assistant Configuration avec authentification moderne
• Inscription juste-à-temps (JIT) à l’Assistant d’installation avec authentification moderne

Toutes les méthodes sont disponibles pour les appareils d’entreprise disposant d’une affinité utilisateur et achetées via Apple Business ou Apple School Manager.

Pour les ADE iOS/iPadOS avec affinité utilisateur, nous vous recommandons l’Assistant d’installation avec authentification moderne avec enregistrement juste-à-temps (JIT). Avec cette configuration, les utilisateurs effectuent l’inscription de Microsoft Entra et les vérifications de conformité dans une application configurée avec l’extension Apple SSO, sans avoir besoin de se connecter au Portail d’entreprise. L’enregistrement JIT est configuré avec l’Assistant d’installation avec authentification moderne ; Il ne s’agit pas d’une méthode d’authentification distincte à sélectionner dans la stratégie d’inscription.

Option 1 : application du Portail d’entreprise Intune

Utilisez l’application Portail d'entreprise Intune comme méthode d’authentification si vous souhaitez :

• Utilisez l’authentification multifacteur (MFA).
• Inviter les utilisateurs à changer leur mot de passe lors de leur première connexion.
• Inviter les utilisateurs à réinitialiser leurs mots de passe expirés lors de l’inscription.
• Inscrire des appareils dans Microsoft Entra ID et utiliser les fonctionnalités disponibles avec Microsoft Entra ID, telles que l’accès conditionnel.
• Installer automatiquement l’application Portail d'entreprise au cours de l’inscription. Si votre entreprise utilise le Programme d’achat en volume (VPP), vous pouvez installer automatiquement l’application Portail d’entreprise lors de l’inscription sans les ID Apple des utilisateurs.
• Vous voulez verrouiller l’appareil jusqu’à ce que l’application Portail d’entreprise soit installée.

Option 2 : Assistant de configuration avec authentification moderne

Cette option offre la même sécurité que l’authentification du Portail d’entreprise Intune, mais elle est différente, car elle permet à l’utilisateur de l’appareil d’accéder à certaines parties de l’appareil, même si le Portail d’entreprise n’a pas été installé. Utilisez cette option pour l’authentification lorsque vous souhaitez :

• Effacez l’appareil.
• Utilisez l’authentification multifacteur (MFA).
• Inviter les utilisateurs à changer leur mot de passe lors de leur première connexion.
• Inviter les utilisateurs à réinitialiser leurs mots de passe expirés lors de l’inscription.
• Inscrire des appareils dans Microsoft Entra ID et utiliser les fonctionnalités disponibles avec Microsoft Entra ID, telles que l’accès conditionnel.
• Installer automatiquement l’application Portail d'entreprise au cours de l’inscription. Si votre entreprise utilise le Programme d’achat en volume (VPP), vous pouvez installer automatiquement l’application Portail d’entreprise lors de l’inscription sans les ID Apple des utilisateurs.
• Autoriser les utilisateurs à utiliser l’appareil même lorsque l’application Portail d’entreprise n’est pas installée.

L’Assistant Configuration avec authentification moderne est pris en charge sur les appareils exécutant iOS/iPadOS 13.0 et versions ultérieures.

Installer automatiquement l’application du Portail d’entreprise

Si votre entreprise utilise le Programme d’achat en volume (VPP), vous pouvez installer automatiquement l’application Portail d’entreprise lors de l’inscription sans les ID Apple des utilisateurs. Pour activer l’installation automatique dans votre stratégie d’inscription, sélectionnez Oui pour Installer le Portail d’entreprise avec VPP. Nous vous recommandons d’utiliser cette option.

Si vous n’utilisez pas l’option VPP, l’utilisateur de l’appareil doit entrer son ID Apple pendant l’Assistant Configuration ou lorsque Intune tente d’installer le Portail d’entreprise.

Dans les deux cas, l’option d’installation du Portail d’entreprise n’apparaît pas à l’utilisateur de l’appareil, et le Portail d’entreprise devient une application obligatoire sur son appareil. Lorsque l’utilisateur atteint l’écran d’accueil, Intune applique automatiquement la stratégie de configuration d’application correcte à l’appareil.

Authentification multifacteur

L’authentification multifacteur (MFA) est nécessaire si une stratégie d’accès conditionnel qui la requiert est appliquée lors de l’inscription ou lors de la connexion au Portail d’entreprise. Toutefois, la MFA est facultative, en fonction des paramètres de Microsoft Entra dans la stratégie d’accès conditionnel ciblée.

Les méthodes d’authentification externe sont prises en charge dans Microsoft Entra ID, ce qui signifie que vous pouvez utiliser votre solution MFA préférée pour faciliter l’authentification multifacteur lors de l’inscription de l’appareil. Si vous choisissez d’utiliser un fournisseur MFA tiers, avant de déployer les stratégies d’inscription sur tous les appareils, effectuez un test pour vous assurer que l’écran MFA de Microsoft Entra et l’authentification multifacteur fonctionnent pendant l’inscription. Pour plus d’informations et de détails de support sur les méthodes d’authentification externes, consultez Préversion publique : méthodes d’authentification externes dans Microsoft Entra ID.

Action requise sur le Portail d’entreprise

Une fois qu’il a parcouru les écrans de l’Assistant de configuration, l’utilisateur de l’appareil accède à la page d’accueil. À ce stade, leur affinité utilisateur est établie. Toutefois, tant que l’utilisateur ne se connecte pas au Portail d’entreprise à l’aide de ses informations d’identification Microsoft Entra et sélectionne Commencer, l’appareil :

• Ne sera pas entièrement inscrit avec Microsoft Entra ID.
• Ne s’affiche pas dans la liste des appareils de l’utilisateur dans Microsoft Entra ID.
• N’aura pas accès aux ressources protégées par l’accès conditionnel.
• L’appareil ne fait pas l’objet d’une évaluation de conformité.
• Est redirigé vers le Portail d’entreprise à partir d’autres applications si l’utilisateur tente d’ouvrir des applications gérées protégées par l’accès conditionnel.

Option 3 : Enregistrement juste-à-temps pour l’Assistant d’installation avec authentification moderne

Cette option est identique à l’Assistant d’installation avec l’authentification moderne, sauf que le Portail d’entreprise n’est pas requis pour l’inscription ou la conformité de Microsoft Entra. Au lieu de cela, l’inscription et les vérifications de conformité de Microsoft Entra sont entièrement intégrées dans une application Microsoft ou non-Microsoft désignée qui est configurée avec l’extension d’application d’authentification unique Apple (SSO). L’extension réduit les invites d’authentification et établit l’authentification unique sur l’ensemble de l’appareil. L’enregistrement JIT invite les utilisateurs à s’authentifier deux fois :

• Une authentification gère l’inscription et l’affinité utilisateur-appareil, et se produit lorsque l’utilisateur de l’appareil allume son appareil et se connecte à l’Assistant Réglages.
• Une autre authentification gère l’inscription de Microsoft Entra et se produit lorsque l’utilisateur se connecte à l’application désignée. Les contrôles de conformité sont également effectués dans cette application.

Une fois que l’utilisateur de l’appareil atteint l’écran d’accueil, il peut se connecter à n’importe quelle application professionnelle ou scolaire configurée avec l’extension SSO pour effectuer les vérifications d’inscription et de conformité de Microsoft Entra. L’authentification unique connecte l’utilisateur à toutes les applications qui font partie de votre stratégie d’extension d’authentification unique. À ce stade, ils peuvent également se connecter manuellement à n’importe quelle application qui n’est pas configurée pour utiliser l’extension SSO.

Pour configurer l’inscription JIT avec l’inscription automatisée des appareils :

1. Créez une stratégie de configuration d’appareil et configurez les paramètres sous la catégorie d’extension d’application d’authentification unique . Pour connaître les étapes à suivre, consultez Configurer l’enregistrement juste-à-temps.

2. Créez une stratégie d’inscription Apple et sélectionnez Assistant Installation avec l’authentification moderne comme méthode d’authentification. Un jeton d’inscription automatisé d’appareil actif d’Apple Business ou d’Apple School Manager doit être présent dans Intune pour effectuer cette étape.

3. Lorsque vous accédez à la page Devoirs de la stratégie d’inscription, affectez la stratégie aux appareils synchronisés à partir d’Apple Business et d’Apple School Manager. Une fois la stratégie attribuée, les employés et les étudiants peuvent terminer la configuration et l’authentification sur leurs appareils.

   Remarque

   Le Portail d’entreprise est toujours envoyé aux appareils en tant qu’application requise, même s’il n’est pas requis pour l’inscription ou la conformité de Microsoft Entra. Les utilisateurs de l’appareil peuvent utiliser l’application Portail d'entreprise pour collecter et charger des journaux s’ils rencontrent des problèmes dans l’application.

Exemple d’authentification réussie

La séquence d’événements suivante décrit un exemple d’authentification réussie avec l’enregistrement JIT pour l’Assistant d’installation avec l’authentification moderne. L’expérience de votre organisation peut être différente en fonction de vos configurations d’inscription automatisée des appareils.

1. L’utilisateur de l’appareil allume l’appareil.

2. L’Assistant de configuration commence. L’utilisateur de l’appareil s’authentifie avec ses informations d’identification Microsoft Entra dans l’Assistant Réglages.

3. L’utilisateur de l’appareil effectue l’authentification multifacteur si cela est requis dans la stratégie d’accès conditionnel.

4. L’inscription de l’appareil se termine dans Intune et l’affinité appareil-utilisateur est établie.

5. L’utilisateur de l’appareil accède à l’écran d’accueil, ouvre Microsoft Teams ou une autre application Office et se connecte avec son compte professionnel. Si l’appareil répond à toutes les exigences de conformité, l’utilisateur de l’appareil a immédiatement accès à ses messages et à son calendrier.

   Remarque

   Lors de l’inscription de Microsoft Entra, l’utilisateur de l’appareil peut voir une courte toupie pendant qu’Intune termine les vérifications de conformité. Ce comportement est normal.

6. L’extension SSO établit une authentification unique dans toutes les autres applications ciblées et toutes les applications Microsoft.

7. L’appareil est enregistré avec Microsoft Entra ID et conforme. Vous pouvez afficher le status de l’appareil dans le centre d’administration et Microsoft Entra ID. L’utilisateur de l’appareil peut afficher le status dans le Portail d’entreprise Intune et utiliser le Portail d’entreprise pour la conformité, l’inventaire des applications, les synchronisations d’appareils et le partage de journaux.

8. L’utilisateur de l’appareil ouvre Teams et est automatiquement connecté.

Retrait de l’Assistant d’installation (hérité)

Pour améliorer la sécurité et s’aligner sur les normes d’authentification modernes, Intune a mis fin à la prise en charge de l’authentification de l’Assistant d’installation (héritée) pour l’inscription automatisée des appareils iOS/iPadOS et macOS avec l’affinité utilisateur avec la version du service d’octobre 2026 (2610).

Dans le cadre de cette modification :

• Les profils d’inscription ADE existants avec affinité utilisateur qui utilisent l’Assistant de configuration (hérité) sont automatiquement mis à jour vers l’Assistant de configuration avec une authentification moderne.
• L’option Assistant Installation (hérité) n’est plus disponible lors de la création ou de la modification de profils d’inscription ADE.
• Les appareils déjà inscrits ne sont pas affectés et restent inscrits.

Passez en revue vos profils d’inscription ADE iOS/iPadOS et macOS dans le Centre d’administration de Microsoft Intune et testez l’Assistant de configuration avec l’expérience d’inscription d’authentification moderne dans votre environnement. Aucune mise à jour manuelle du profil n’est requise pour la migration automatique.

Pour obtenir des instructions de configuration spécifiques à la plateforme, consultez Configurer l’inscription automatisée des appareils pour iOS/iPadOS et Configurer l’inscription automatisée des appareils pour macOS.

Étapes suivantes

Maintenant que vous savez quelle méthode d’authentification vous utilisez, créez une stratégie d’inscription Apple et sélectionnez la méthode d’authentification lorsque vous y êtes invité. Un jeton d’inscription automatisé d’appareil actif d’Apple Business ou d’Apple School Manager doit être présent dans Intune pour effectuer cette étape.