La migration des solutions sur site Active Directory vers Microsoft Entra ID et Intune s'accélère, et la fin de vie de Windows 10 a rendu cette transition encore plus urgente pour les organisations gérant un grand parc d'appareils Windows.
Provisioning devices into the cloud is more than just installing Windows 11—it means joining devices to the right identity service, deploying the Tanium agent automatically, applying policies, and ensuring the device is fully managed before it ever reaches an end user. Tanium Provision est conçu précisément pour répondre à ce besoin, et l'intégration avec Entra ID et Intune offre un ensemble d'options de configuration que toute équipe prévoyant une migration vers Windows 11 doit bien comprendre.
Rob présente deux approches distinctes pour l'inscription à Entra ID dans Tanium Provision :
- Utilisation de Windows Configuration Designer pour générer un package de provisionnement
- Utilisation d'un fichier de configuration Autopilot
Chaque méthode donne lieu à un résultat différent quant au moment où l'appareil apparaît dans Intune, à la question de savoir si l'agent Tanium est installé lors de la configuration, et à celle de savoir si des scripts personnalisés s'exécutent à la fin du provisionnement. Il ne s'agit pas là de différences mineures ; elles ont une incidence sur le délai de rentabilisation, les frais généraux d'exploitation et la manière dont vous gérez les profils d'appareils au sein de votre organisation.
Rob aborde également les compromis spécifiques qui devraient guider vos choix de conception, notamment l'expiration des jetons, les exigences relatives à la structure des fichiers .zip et les éléments à vérifier en cas de problème.
Si votre équipe étudie les moyens de moderniser la mise en service des appareils via dans le cadre d'un déploiement de Windows 11 , ce guide pratique vous fournit les informations techniques dont vous avez besoin pour faire un choix éclairé. Regardez la démonstration complète dans la vidéo ci-dessous.
Points clés
- La solution « Provision » couvre l'ensemble du cycle de vie des appareils : Tanium Provision prend tout en charge, depuis l'installation d'un système d'exploitation et l'intégration d'un appareil à Active Directory ou à Entra ID, jusqu'au déploiement automatique de l'agent Tanium, en passant par l'application de politiques telles que BitLocker, et la gestion de la mise hors service des appareils, y compris l'effacement et la suppression des données.
- Deux méthodes prises en charge pour l'inscription à Entra ID : Tanium Provision prend en charge deux méthodes d'inscription des appareils Windows à Entra ID et Intune : Windows Configuration Designer (WCD), qui génère un package de provisionnement (PPKG), et l'approche par fichier de configuration Autopilot, chacune présentant un comportement et des avantages et inconvénients distincts.
«L’approche Autopilot n’installe pas le client Tanium et n’exécute pas les scripts personnalisés que vous pouvez utiliser dans le cadre de votre ensemble. »Rob Broughall, architecte de domaine chez Tanium
- L'approche WCD permet d'enregistrer l'appareil avant la première connexion : Le PPKG créé par Windows Configuration Designer contient un jeton d'enregistrement groupé valable jusqu'à six mois ; l'appareil est déjà enregistré dans Entra ID et Intune, et l'agent Tanium est déjà installé, avant même qu'un utilisateur ne se connecte pour la première fois.
- L'inscription à Autopilot s'effectue lors de la première connexion : . Avec l'approche Autopilot, l'appareil n'apparaît pas dans Entra ID ni dans Intune tant que l'utilisateur n'a pas saisi ses identifiants lors de sa première connexion ; . Le client Tanium doit ensuite être déployé via Intune, et les scripts personnalisés ne s'exécutent pas dans le cadre de la configuration.
- Gestion des jetons vs. absence d'expiration : Le pack de provisionnement WCD expire au bout de six mois et doit être régénéré puis réintégré dans le bundle ; le fichier JSON d'Autopilot ne contient ni jeton ni identifiant et n'expire pas, mais il convient néanmoins de le traiter avec prudence.
«Je dois admettre que, d’après les discussions que j’ai eues avec des clients et des prospects à ce sujet, ceux-ci ont tendance à apprécier l’approche du « Windows Configuration Designer », car elle est perçue comme une simplification : en effet, vous ne dépendez pas de l’inscription de l’appareil par l’utilisateur final. » Cela ajoute un niveau de complexité que le jeton WCD permet d’éliminer. »Rob Broughall, architecte de domaine chez Tanium
- Le choix de la solution dépend du cas d'utilisation : L'approche WCD est particulièrement adaptée aux appareils virtuels et aux scénarios tels que les terminaux de point de vente, où il est essentiel que l'appareil soit entièrement enregistré et géré avant la première connexion ; l'approche Autopilot peut s'avérer plus appropriée pour les déploiements sur Internet ou les appareils d'entreprise, où l'étape de saisie des identifiants par l'utilisateur est acceptable.
«Si vous considérez le délai de rentabilisation en termes de temps nécessaire entre le lancement du processus et le moment où l’utilisateur final dispose d’un appareil opérationnel, c’est sans doute un argument de poids en faveur de l’approche par jetons du Configuration Designer. »Rob Broughall, architecte de domaine chez Tanium
- Dépannage des erreurs de configuration courantes : Parmi les problèmes clés à surveiller, citons une structure de fichier .zip incorrecte lors de la création d'un package de scripts personnalisés (Provision s'attend à ce que les fichiers se trouvent à la racine du fichier .zip, et non dans un sous-dossier), le téléchargement direct du fichier JSON Autopilot dans le bundle au lieu de le compresser dans un fichier .zip, ainsi que la vérification du journal Provision PE dans le répertoire des journaux du client Tanium pour détecter d'éventuelles erreurs d'importation PPKG et les codes de sortie.
Ressources complémentaires
- Tanium Connector pour Microsoft Intune : intègre les appareils mobiles gérés par Intune dans Tanium afin d'offrir une visibilité et des actions unifiées.
- Tanium Connector pour Microsoft Entra ID : permet la mise en œuvre d'un accès conditionnel « Zero Trust » grâce aux informations en temps réel sur les terminaux fournies par Tanium.
- Création d'images et déploiement de terminaux Windows et Linux avec Tanium Provision : découvrez comment les entreprises peuvent utiliser Tanium Provision pour automatiser le déploiement des systèmes d'exploitation et la création d'images des terminaux dans l'ensemble de leur environnement.
- Comment intégrer Tanium à Microsoft Intune (Tanium Tech Talks n° 145) : découvrez comment Tim Mintner, chef de produit chez Tanium, vous montre comment le connecteur Tanium pour Microsoft Intune permet d'intégrer les appareils mobiles et autres terminaux non-clients dans la console Tanium en tant qu'entités natives.
