Windows Autopilot permet à un nouvel appareil Windows de récupérer vos applications, paramètres et politiques de sécurité dès que l'employé se connecte avec son compte Microsoft. Utilisez-le lorsque vous souhaitez que les ordinateurs portables Windows arrivent prêts à se configurer eux-mêmes, sans intervention de l'informatique.

Fonctionnalité/Caractéristiques

Aperçu

Avant de commencer, vérifiez que vous avez :

• Un compte Microsoft avec le rôle de Global Administrator sur votre locataire Entra.
• Une licence couvrant à la fois Microsoft Entra ID Plan 1 (ou Plan 2) et Windows Autopilot. La licence la moins chère qui inclut les deux est Enterprise Mobility + Security E3 (comparer les plans).
• Votre adresse MDM, {company}.mdm.getprimo.com, et en particulier son sous-domaine {company}. Si vous ne le connaissez pas, écrivez à support@factorial.it.

Choses à savoir sur le comportement des appareils Autopilot :

• Ils utilisent des comptes Entra, pas des comptes locaux. Microsoft élimine progressivement les comptes locaux au profit d'Entra.
• Votre administrateur Entra décide si les employés obtiennent des droits standard ou administratifs. Quiconque ayant le rôle de Global Administrator dans Entra devient administrateur sur chaque appareil Autopilot auquel il se connecte.
• L'appareil doit être en ligne au premier démarrage afin de pouvoir s'authentifier avec Entra.

Comment utiliser

Configurer le zéro-touch

La configuration comporte cinq étapes. Les trois premières correspondent aux trois étapes de la fenêtre Ajouter Windows Autopilot dans la console. Pour l'ouvrir, allez dans MDM > Paramètres, cliquez sur Windows sous Plateformes, puis cliquez sur Ajouter sous Windows Autopilot. Si vous avez déjà commencé, cliquez sur Terminer la configuration à la place. Travaillez-les dans l'ordre : chaque étape déverrouille la suivante. Les étapes 4 et 5 se déroulent ensuite, uniquement dans les consoles Microsoft.

L'étape 3 nécessite trois valeurs d'Entra : votre Tenant ID, l'ID d'application (client) de l'application Fleet, et le domaine principal que vos employés utilisent pour se connecter. Vous les collectez au fur et à mesure et les collez vous-même dans la console. La seule chose que vous envoyez au support est le code de vérification de domaine à l'étape 2.

Étape 1. Connecter Microsoft Entra.

Vous avez besoin d'un utilisateur Entra avec le rôle de Global Administrator, plus l'autorisation de gérer le SaaS dans Factorial IT. Vous ne devez pas enregistrer d'application vous-même : vous donnez votre consentement à une application qui existe déjà dans le répertoire de Microsoft.

Les appareils Autopilot se connectent avec des identifiants Entra plutôt qu'avec des noms d'utilisateur et mots de passe séparés, donc Entra vient en premier. Les étapes 2 et 3 restent verrouillées tant que cette connexion n'est pas active.

1. Ouvrez la fenêtre Ajouter Windows Autopilot depuis MDM > Paramètres > Windows.
2. À l'étape 1, cliquez sur Connecter Microsoft Entra.
3. Connectez-vous avec votre compte Global Administrator et acceptez les autorisations sur l'écran de consentement de Microsoft. Les comptes sans ce rôle ne peuvent pas les accorder.
4. Vous revenez à la configuration de Windows Autopilot. L'étape 1 affiche maintenant Connecté à suivi de votre instance Entra, et l'étape 2 s'ouvre.

Si Entra est déjà connecté sous SaaS, l'étape 1 l'affiche. Cliquez sur Utiliser celui-ci à côté de l'instance que vous souhaitez, ou Connecter un autre.

Se connecter ici ajoute Microsoft Entra à votre SaaS connecté sans coût supplémentaire. Factorial IT lit uniquement vos utilisateurs et groupes Entra. Il ne crée aucune règle et ne transforme pas Entra en votre fournisseur de messagerie. Définir Entra comme fournisseur de messagerie est un choix séparé : il crée l'adresse e-mail professionnelle de chaque nouvel employé lors de l'intégration. Lisez "Connectez votre fournisseur de messagerie" avant de le modifier.

Si la connexion échoue ou si vous l'annulez, une erreur apparaît au-dessus du bouton à l'étape 1. Assurez-vous que vous vous êtes connecté en tant que Global Administrator, puis réessayez.

Étape 2. Déclarer le domaine Fleet.

Le domaine Fleet est votre adresse MDM, {company}.mdm.getprimo.com. Ce n'est pas le domaine e-mail de votre entreprise ; celui-ci est utilisé à l'étape 3.

Cette étape nécessite un support. Microsoft vous donne un code de vérification, et seule l'équipe de support peut l'ajouter au DNS. Comptez jusqu'à 2 jours ouvrables une fois que vous l'avez envoyé.

1. Connectez-vous à Microsoft Azure en tant qu'administrateur.
2. Ouvrez Noms de domaine et cliquez sur + Ajouter un domaine personnalisé.
3. Tapez {company}.mdm.getprimo.com et cliquez sur Ajouter un domaine.
4. Copiez l'Adresse de destination ou de routage (cela ressemble à MS=ms12345678) et envoyez-le à support@factorial.it.
5. Lorsque le support confirme, cliquez sur Vérifier.

Étape 3. Connecter Azure et Fleet.

Deux des trois valeurs à l'étape 3 proviennent d'une application Fleet que vous créez maintenant dans Entra. La troisième est le domaine avec lequel vos employés se connectent.

Créer l'application Fleet

1. Allez sur Mobilité (MDM et WIP), cliquez sur + Ajouter une application > + Créer votre propre application, nommez-la Fleet (ce guide utilise ce nom tout au long) et cliquez sur Créer.
2. Entrez les deux URL MDM, en remplaçant {company} par votre sous-domaine, puis cliquez sur Enregistrer:

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/tos

   https://{company}.mdm.getprimo.com/api/mdm/microsoft/discovery

3. Cliquez sur Paramètres d'application MDM personnalisés, puis sur le lien sous ID URI de l'application, puis Modifier. Entrez https://{company}.mdm.getprimo.com et cliquez sur Enregistrer.
4. Dans le menu de gauche, ouvrez Autorisations API > + Ajouter une autorisation > Microsoft Graph. Ajoutez ceci sous Autorisations déléguées:

   Group.Read.All
   Group.ReadWrite.All

5. Ajoutez ceci sous Autorisations d'application:

   Device.Read.All
   Device.ReadWrite.All
   Directory.Read.All
   Group.Read.All
   User.Read.All

6. Cliquez sur Accorder le consentement administrateur pour {Votre entreprise}.

Faire de Fleet le MDM par défaut pour les nouveaux appareils

1. Retournez sur Mobilité (MDM et WIP).
2. Cliquez sur Microsoft Intune, définissez à la fois Portée utilisateur MDM et Portée utilisateur WIP sur Aucun, puis cliquez sur Enregistrer.
3. Cliquez sur Fleet, définissez Portée utilisateur MDM sur Tous, puis cliquez sur Enregistrer.

Tout appareil déjà inscrit via Intune avant ce changement doit être migré par vous (voir "Déploiement d'agent silencieux", section sur la migration depuis un autre MDM). Si vous l'ignorez, ces appareils resteront à moitié configurés et les employés le remarqueront.

Collez les valeurs de connexion dans la console

Factorial IT s'authentifie auprès de votre locataire avec trois valeurs Entra. Vous les tapez dans l'étape 3 de la fenêtre et elles sont appliquées automatiquement ; rien n'est envoyé au support. Tant que les trois ne sont pas enregistrées, la console affiche une bannière d'alerte de jeton et le zéro-touch de Windows ne fonctionne pas complètement. Cela s'applique également aux locataires configurés avant que l'étape 3 n'existe.

Dans MDM > Paramètres > Windows, cliquez sur Terminer la configuration sur votre configuration Windows Autopilot, remplissez les trois champs de l'étape 3 et cliquez sur Enregistrer.

Deux erreurs faciles :

• Domaine signifie le domaine de connexion de vos employés (company.com), pas le domaine MDM de l'étape 2.
• Les deux ID sont des GUID et se ressemblent. Lisez l'étiquette avant de coller : l'ID de locataire pointe vers votre locataire Entra, l'ID client vers l'application Fleet.

Étape 4. Créer des profils de déploiement Autopilot.

Un profil de déploiement définit les valeurs par défaut pour les appareils qui arrivent via Autopilot, par exemple le type de compte (Administrateur ou Standard), le pays par défaut et la langue du clavier, ainsi que le modèle de nommage ({company}-%RAND:5% donne {company}-23456). La documentation des profils de Microsoft contient la liste complète.

1. Créer le profil. Dans Microsoft Intune, ouvrez Appareils > Inscription > Profils de déploiement, cliquez sur + Créer un profil et parcourez les trois écrans : nom, mode de déploiement, attribution.
2. Créer un groupe d'appareils dynamique. Dans portal.azure.com, cliquez sur + Créer un groupe, donnez-lui un nom tel que "Appareils Windows Autopilot", choisissez Appareils dynamiques et utilisez cette règle :

   (device.devicePhysicalIds -any (_ -startsWith "[ZTDid]"))

3. Créer une page d'état d'inscription. Dans Microsoft Intune, ouvrez Appareils > Inscription > Page d'état d'inscription, cliquez sur + Créer, nommez-la, activez l'affichage de progression et attribuez-la à votre groupe dynamique.

Étape 5. Ajouter votre image de marque d'entreprise.

Le logo que vous téléchargez s'affiche sur l'écran de connexion Autopilot à côté du titre Bienvenue chez {Votre entreprise}!. Le voir est également la preuve la plus rapide qu'un appareil a vraiment passé par Autopilot au premier démarrage.

1. Connectez-vous à Microsoft Azure, recherchez Image de marque d'entreprise et cliquez sur Configurer (ou Modifier si une expérience de connexion par défaut existe).
2. Dans l'onglet Formulaire de connexion, téléchargez votre logo à la fois pour Logo carré (thème clair) et Logo carré (thème sombre).
3. Cliquez sur Réviser + enregistrer, puis sur Enregistrer.

Enregistrer vos appareils dans Autopilot

Un profil de déploiement n'atteint que les appareils qui sont enregistrés dans Autopilot. L'enregistrement n'est pas l'inscription : il lie l'identité matérielle de l'appareil à votre locataire Entra, afin que Windows le reconnaisse au premier démarrage et démarre le flux Autopilot.

Les appareils achetés via Factorial IT sont enregistrés pour vous par les revendeurs accrédités (voir "Configurer le déploiement zéro-touch dans votre catalogue"). Les étapes ci-dessous ne concernent que les appareils que vous avez achetés ailleurs.

1. Exporter le hachage matériel. Sur l'appareil, ouvrez PowerShell en tant qu'administrateur et exécutez :

New-Item -Type Directory -Path "C:\HWID"
Set-Location -Path "C:\HWID"
$env:Path += ";C:\Program Files\WindowsPowerShell\Scripts"
Set-ExecutionPolicy -Scope Process -ExecutionPolicy RemoteSigned
Install-Script -Name Get-WindowsAutopilotInfo -Force
Get-WindowsAutopilotInfo -OutputFile AutopilotHWID.csv

Vous obtenez un fichier CSV avec le hachage matériel. Microsoft documente d'autres moyens de l'exporter.

2. Importer le CSV dans Intune.

1. Dans Microsoft Intune, ouvrez Appareils > Inscription > Windows Autopilot > Appareils.
2. Cliquez sur Importer et téléchargez le CSV. Cela prend quelques minutes ; actualisez jusqu'à ce que l'appareil apparaisse.
3. Vérifiez que État du profil indique Attribué. S'il reste sur Non attribué, vérifiez comment votre profil de déploiement est attribué (étape 4).

Ce que voit l'employé

Lorsqu'un nouvel employé reçoit un appareil enregistré dans Autopilot, il :

1. Le met sous tension.
2. Choisit son pays, sa langue et sa disposition de clavier.
3. Se connecte à Internet.
4. Se connecte avec ses identifiants Microsoft, plus l'authentification multi-facteurs si vous l'avez activée.
5. Définit un code PIN, et une empreinte digitale si le matériel dispose d'un lecteur.
6. Commence à travailler. Les applications et contrôles que vous avez définis dans la console s'appliquent d'eux-mêmes.

Tester l'inscription

Essayez tout le processus sur un appareil enregistré avant de le déployer à tout le monde.

1. Réinitialisez l'appareil de test (Paramètres > Système > Récupération > Réinitialiser ce PC) ou réimaginez-le.
2. Allumez-le, choisissez le pays et le clavier, et connectez-vous à Internet.
3. Vérifiez que l'écran de connexion indique Bienvenue chez {Votre entreprise}! avec votre logo. Cela prouve que l'appareil est passé par Autopilot.
4. Connectez-vous avec le compte Entra d'un employé test. Windows demande ensuite un code PIN (Windows Hello), et une empreinte digitale si prise en charge.
5. Lorsque le bureau apparaît, vérifiez que l'appareil s'affiche dans Appareils dans la console et reçoit vos applications et politiques.

Les appareils non enregistrés dans Autopilot peuvent encore s'inscrire d'eux-mêmes. Pendant la configuration de Windows, choisissez Configurer pour le travail ou l'école et connectez-vous avec Entra. L'appareil s'inscrit dans Factorial IT mais ignore les écrans Autopilot de marque et la Page d'état d'inscription.

Réinitialiser ou réaffecter un appareil

Lorsqu'un appareil passe à une autre personne (départ, remplacement, réutilisation), effacez ses anciens enregistrements afin qu'Autopilot le traite comme un nouvel appareil.

1. Effacez-le. Envoyez une suppression à distance depuis la console, ou réinitialisez-le localement depuis Paramètres > Système > Récupération > Réinitialiser ce PC.
2. Supprimez l'ancien enregistrement de l'appareil. Vous ne pouvez pas supprimer un appareil inscrit, alors désinscrivez-le d'abord avec Actions > Désinscrire (ou Marquer comme désinscrit s'il est hors ligne). Ensuite, sur la page de l'appareil, cliquez sur Actions > Supprimer et confirmez. La prochaine inscription commence avec un enregistrement propre.
3. Nettoyez Entra. Dans Microsoft Azure, allez sur Appareils > Tous les appareils et supprimez l'objet obsolète pour l'appareil effacé.
4. Synchronisez Autopilot. Dans Microsoft Intune, ouvrez Appareils > Inscription > Windows Autopilot > Appareils. Vérifiez que l'appareil est toujours là avec État du profil Attribué, cliquez sur Synchroniser et attendez que cela se termine. Ne supprimez jamais l'appareil de cette liste : l'enregistrement doit survivre à l'effacement.
5. Démarrez l'appareil. L'écran d'accueil de marque confirme qu'Autopilot l'a pris en charge. S'il ignore Autopilot, attendez quelques minutes et redémarrez : Microsoft peut encore être en train de traiter le nettoyage.

Dépannage et FAQ

Dépannage

• Les étapes 2 et 3 restent verrouillées. La connexion Entra à l'étape 1 n'est pas encore active. Terminez-la d'abord.
• L'étape 1 affiche une erreur au-dessus du bouton. La connexion a échoué ou a été annulée. Assurez-vous que vous vous êtes connecté avec un compte Global Administrator et réessayez.
• La console affiche une bannière d'alerte de jeton. One ou plusieurs des trois valeurs de l'étape 3 sont manquantes. Ouvrez Terminer la configuration, remplissez les trois et cliquez sur Enregistrer.
• L'état du profil reste sur Non attribué. Le profil de déploiement n'est pas attribué à l'appareil. Vérifiez son attribution et votre groupe d'appareils dynamique.
• L'appareil ne montre pas l'écran d'accueil de marque. Il n'est probablement pas enregistré dans Autopilot, ou l'enregistrement n'a pas encore été synchronisé. Vérifiez Windows Autopilot > Appareils dans Intune, synchronisez, attendez quelques minutes et redémarrez.
• Les appareils précédemment dans Intune se comportent de manière incohérente. Ils n'ont pas été migrés avant que Fleet ne devienne le MDM par défaut. Migrez-les.

FAQ

1. Dois-je enregistrer une application de ma propre création pour l'étape 1 ?
   Non. Vous donnez votre consentement à une application qui existe déjà dans le répertoire de Microsoft. Vous ne créez que l'application Fleet, à l'étape 3.
   
2. Le fait de connecter Entra en fait-il mon fournisseur de messagerie ?
   Non. Factorial IT lit uniquement les utilisateurs et groupes. Définir Entra comme fournisseur de messagerie est un paramètre séparé.
   
3. Quelle est la différence entre le domaine Fleet et le champ Domaine ?
   Le domaine Fleet est votre adresse MDM, déclarée à l'étape 2. Le champ Domaine à l'étape 3 est le domaine avec lequel vos employés se connectent, tel que company.com.
   
4. Un appareil peut-il s'inscrire automatiquement s'il n'est pas enregistré dans Autopilot ?
   Oui. L'employé choisit Configurer pour le travail ou l'école et se connecte avec Entra. Il ignore les écrans de marque et la Page d'état d'inscription.
   
5. Les employés seront-ils administrateurs sur leurs appareils ?
   Cela dépend de la manière dont votre administrateur Entra le configure. Les Global Administrators dans Entra sont toujours administrateurs sur les appareils Autopilot auxquels ils se connectent.
   
6. Dois-je enregistrer les appareils achetés via Factorial IT ?
   Non. Les revendeurs accrédités les enregistrent. Seuls les appareils achetés ailleurs nécessitent l'importation du hachage matériel.