Déployer Microsoft Entra appareils joints hybrides à l’aide de Intune et de Windows Autopilot

• Les appareils joints hybrides Microsoft Entra ont été correctement configurés. Veillez à vérifier l’inscription de l’appareil à l’aide de l’applet de commande Get-MgDevice .
• Si le filtrage basé sur un domaine et une unité d’organisation est configuré dans le cadre de Microsoft Entra Connect, vérifiez que l’unité d’organisation (UO) ou le conteneur par défaut destiné aux appareils Windows Autopilot est inclus dans l’étendue de synchronisation.

L’appareil à inscrire doit respecter les exigences ci-après :

• Utilisez une version de Windows actuellement prise en charge.
• Accédez à internet en suivant les exigences de réseau Windows Autopilot.
• Avoir accès à un contrôleur de domaine Active Directory.
• Effectuez un test ping avec succès sur le contrôleur de domaine du domaine en cours de jointure.
• Si vous utilisez proxy, l’option des paramètres de proxy WPAD (Web Proxy Auto-Discovery Protocol) doit être activée et configurée.
• Fournir l’expérience utilisateur OOBE (Out-of-Box Experience).
• Utilisez un type d’autorisation que Microsoft Entra ID prend en charge dans OOBE.

Bien que cela ne soit pas obligatoire, la configuration de Microsoft Entra jointure hybride pour les services fédérés Active Directory (ADFS) permet d’accélérer le processus d’inscription de Windows Autopilot Microsoft Entra pendant les déploiements. Les clients fédérés qui ne prennent pas en charge l’utilisation de mots de passe et l’utilisation d’ADFS doivent suivre les étapes décrites dans l’article Services ADFS prise en charge des paramètres prompt=login pour configurer correctement l’expérience d’authentification.

• Le connecteur Intune pour Active Directory, également appelé connecteur ODJ (Offline Domain Join), doit être installé sur un ordinateur exécutant Windows Server 2016 ou une version ultérieure avec .NET Framework version 4.7.2 ou ultérieure.

• Le serveur hébergeant le connecteur Intune pour Active Directory doit avoir accès à Internet et à Active Directory.

  Remarque

  Le connecteur Intune pour le serveur Active Directory nécessite un accès client de domaine standard aux contrôleurs de domaine, ce qui inclut les exigences de port RPC dont il a besoin pour communiquer avec Active Directory. Si vous souhaitez en savoir plus, consultez les articles suivants :

  • Vue d’ensemble des services et exigences de ports réseau pour Windows
  • Comment configurer un pare-feu pour les domaines et approbations Active Directory
  • Ports et protocoles nécessaires à l’identité hybride

• Pour augmenter la mise à l’échelle et la disponibilité, plusieurs connecteurs peuvent être installés dans un domaine. Chaque connecteur doit être en mesure de créer des objets ordinateur dans le domaine qu’il prend en charge.

• L’administrateur qui installe le connecteur Intune pour Active Directory doit être un administrateur local sur le serveur sur lequel le connecteur Intune pour Active Directory est installé.

• Pour le connecteur Intune mis à jour pour Active Directory, l’installation doit être effectuée avec un compte disposant des droits de domaine suivants :

  • Obligatoire - Créer des objets msDs-ManagedServiceAccount dans le conteneur Comptes de service administrés

  • Facultatif - Modifier les autorisations dans les unités d’organisation dans Active Directory : si l’administrateur qui installe le connecteur Intune mis à jour pour Active Directory n’a pas ce droit, des étapes de configuration supplémentaires sont requises par un administrateur disposant de ces droits. Pour plus d’informations, consultez la section Augmenter la limite du compte d’ordinateur dans l’unité d’organisation (UO) de cet article.

    Ces droits permettent à l’installation du connecteur Intune pour Active Directory de créer correctement des comptes de service administrés (MSA) et de définir correctement les autorisations pour les unités d’organisation auxquelles le MSA ajoute des ordinateurs.

• Le connecteur Intune pour Active Directory nécessite les mêmes points de terminaison que Intune.

Avant de commencer

• Avant d’installer, assurez-vous que toutes les exigences du connecteur Intune pour le serveur Active Directory sont remplies.

• Microsoft recommande (non obligatoire) que l’administrateur qui installe et configure le connecteur Intune pour Active Directory dispose des droits de domaine répertoriés dans Intune Configuration requise pour Active Directory. Ces droits permettent au programme d’installation et au processus de configuration Intune Connector pour Active Directory de définir des autorisations pour le compte de service administré (MSA) sur le conteneur d’ordinateur ou les unités d’organisation où des objets ordinateur sont créés.

  Si l’administrateur n’a pas ces autorisations, un autre administrateur disposant des droits appropriés doit augmenter la limite de compte d’ordinateur dans l’unité d’organisation (UO).

Désactiver internet Explorer configuration de sécurité renforcée

À compter de la version 6.2504.2001.8, le connecteur Intune mis à jour pour Active Directory est passé à l’utilisation de WebView2, basé sur Microsoft Edge, au lieu de WebBrowser, basé sur Microsoft Internet Explorer. Cette modification signifie que le paramètre Configuration de la sécurité renforcée Explorer Internet dans Windows Server n’a plus besoin d’être désactivé. Veillez à installer la version 6.2504.2001.8 ou ultérieure du connecteur Intune pour Active Directory afin d’éviter les problèmes liés au paramètre Configuration de sécurité renforcée d’Internet Explorer.

Télécharger le connecteur Intune pour Active Directory

1. Sur le serveur sur lequel Intune Connector pour Active Directory est installé, connectez-vous au centre d’administration Microsoft Intune.

2. Dans l’écran d’accueil , sélectionnez Appareils dans le volet gauche.

3. Dans les appareils | Écran Vue d’ensemble , sous Par plateforme, sélectionnez Windows.

4. Dans windows | Écran Appareils Windows , sous Intégration de l’appareil, sélectionnez Inscription.

5. Dans windows | Écran d’inscription Windows, sous Windows Autopilot, sélectionnez connecteur Intune pour Active Directory.

6. Dans l’écran connecteur Intune pour Active Directory, sélectionnez Ajouter.

7. Dans la fenêtre Ajouter un connecteur qui s’ouvre, sous Configuration du connecteur Intune pour Active Directory, sélectionnez Télécharger le connecteur Intune local pour Active Directory. Le lien télécharge un fichier appelé ODJConnectorBootstrapper.exe.

Installer le connecteur Intune pour Active Directory sur le serveur

1. Connectez-vous au serveur sur lequel le connecteur Intune pour Active Directory est installé avec un compte disposant de droits d’administrateur local.

2. Si le connecteur Intune hérité précédent pour Active Directory est installé, désinstallez-le avant d’installer le connecteur Intune mis à jour pour Active Directory. Pour plus d’informations, consultez Désinstaller le connecteur Intune pour Active Directory.

   Importante

   Lors de la désinstallation du connecteur Intune hérité précédent pour Active Directory, veillez à exécuter le programme d’installation hérité Intune Connector pour Active Directory dans le cadre du processus de désinstallation. Si le programme d’installation hérité du connecteur Intune pour Active Directory vous invite à le désinstaller lorsqu’il est exécuté, choisissez de le désinstaller. Cette étape garantit que le connecteur Intune hérité précédent pour Active Directory est entièrement désinstallé. Le programme d’installation du connecteur Intune hérité pour Active Directory peut être téléchargé à partir de Intune Connector pour Active Directory.

   Conseil

   Dans les domaines avec un seul connecteur Intune pour Active Directory, Microsoft recommande d’installer d’abord le connecteur Intune mis à jour pour Active Directory sur un autre serveur. L’installation du connecteur Intune mis à jour pour Active Directory sur un autre serveur doit être effectuée avant de désinstaller le connecteur Intune hérité pour Active Directory sur le serveur actuel. L’installation du connecteur Intune pour Active Directory sur un autre permet d’éviter tout temps d’arrêt pendant la mise à jour du connecteur Intune pour Active Directory sur le serveur actuel.

3. Ouvrez le ODJConnectorBootstrapper.exe fichier téléchargé pour lancer l’installation du connecteur Intune pour le programme d’installation d’Active Directory.

4. Parcourez pas à pas l’installation du connecteur Intune pour le programme d’installation d’Active Directory.

5. À la fin de l’installation, cochez la case Lancer Intune Connector pour Active Directory.

   Remarque

   Si Intune installation du programme d’installation du connecteur pour Active Directory est fermée accidentellement sans avoir coché la case Lancer Intune Connecteur pour Active Directory, la configuration du connecteur Intune pour Active Directory peut être rouverte en sélectionnant Intune Connecteur pour Active Directory>Intune Connecteur pour Active Directory à partir du menu Démarrer.

Connectez-vous au connecteur Intune pour Active Directory

1. Dans la fenêtre connecteur Intune pour Active Directory, sous l’onglet Inscription, sélectionnez Se connecter.

2. Sous l’onglet Se connecter, connectez-vous avec les informations d’identification Microsoft Entra ID d’un rôle d’administrateur Intune. Le compte d’utilisateur doit avoir une licence Intune. Le processus de connexion peut prendre quelques minutes.

   Remarque

   Le compte utilisé pour inscrire le connecteur Intune pour Active Directory n’est qu’une exigence temporaire au moment de l’installation. Le compte n’est pas utilisé une fois le serveur inscrit.

3. Une fois le processus de connexion terminé :

   1. La fenêtre de confirmation du connecteur Intune pour Active Directory s’affiche. Sélectionnez OK pour fermer la fenêtre.
   2. Un compte de service managé avec le nom «<>MSA_name » a été correctement configuré, la fenêtre de confirmation s’affiche. Le nom du msa est au format msaODJ##### où ##### sont cinq caractères aléatoires. Notez le nom du MSA qui a été créé, puis sélectionnez OK pour fermer la fenêtre. Le nom du MSA peut être nécessaire ultérieurement pour configurer le MSA afin d’autoriser la création d’objets ordinateur dans des unités d’organisation.

4. L’onglet Inscription indique Intune Connecteur pour Active Directory est inscrit. Le bouton Se connecter est grisé et Configurer le compte de service géré est activé.

5. Fermez la fenêtre connecteur Intune pour Active Directory.

Vérifier que le connecteur Intune pour Active Directory est actif

Après l’authentification, l’installation du connecteur Intune pour Active Directory est terminée. Une fois l’installation terminée, vérifiez qu’elle est active dans Intune en procédant comme suit :

1. Accédez au Centre d’administration Microsoft Intune s’il est toujours ouvert. Si la fenêtre Ajouter un connecteur s’affiche toujours, fermez-la.

   Si le centre d’administration Microsoft Intune n’est toujours pas ouvert :

   1. Connectez-vous au Centre d’administration Microsoft Intune.

   2. Dans l’écran d’accueil , sélectionnez Appareils dans le volet gauche.

   3. Dans les appareils | Écran Vue d’ensemble , sous Par plateforme, sélectionnez Windows.

   4. Dans windows | Écran Appareils Windows , sous Intégration de l’appareil, sélectionnez Inscription.

   5. Dans windows | Écran d’inscription Windows, sous Windows Autopilot, sélectionnez connecteur Intune pour Active Directory.

2. Dans la page connecteur Intune pour Active Directory :

   • Vérifiez que le serveur s’affiche sous Nom du connecteur et qu’il est actif sous État
   • Pour le connecteur Intune mis à jour pour Active Directory, vérifiez que la version est supérieure ou égale à 6.2501.2000.5.

   Si le serveur n’est pas affiché, sélectionnez Actualiser ou quittez la page, puis revenez à la page Intune Connector pour Active Directory.

Une fois le connecteur Intune pour Active Directory installé, il démarre la journalisation dans le observateur d'événements sous le chemin d’accès Journaux >des applications et des servicesMicrosoft> Intune >ODJConnectorService. Sous ce chemin d’accès, vous trouverez les journaux d’activité Administration et opérationnels.

Configurer msa pour autoriser la création d’objets dans des unités d’organisation (facultatif)

Par défaut, les administrateurs de service ont uniquement accès à la création d’objets ordinateur dans le conteneur Ordinateurs . Les administrateurs de service administrés n’ont pas accès à la création d’objets ordinateur dans des unités d’organisation (UO). Pour permettre à MSA de créer des objets dans des unités d’organisation, les unités d’organisation doivent être ajoutées au ODJConnectorEnrollmentWizard.exe.config fichier XML qui se trouve dans ODJConnectorEnrollmentWizard le répertoire où le connecteur Intune pour Active Directory a été installé, normalement C:\Program Files\Microsoft Intune\ODJConnector\.

Pour configurer msa afin d’autoriser la création d’objets dans des unités d’organisation, procédez comme suit :

1. Sur le serveur sur lequel le connecteur Intune pour Active Directory est installé, accédez au ODJConnectorEnrollmentWizard répertoire où le connecteur Intune pour Active Directory a été installé, normalement C:\Program Files\Microsoft Intune\ODJConnector\.

2. Dans le ODJConnectorEnrollmentWizard répertoire, ouvrez le fichier XML existant ODJConnectorEnrollmentWizard.exe.config dans un éditeur de texte, par exemple, bloc-notes.

3. Dans l’élément add key du ODJConnectorEnrollmentWizard.exe.config fichier XML :

   • En regard de value=, ajoutez toutes les unités d’organisation souhaitées auxquelles le MSA doit avoir accès pour créer des objets ordinateur.
   • Le nom de l’unité d’organisation doit être au format de nom unique LDAP et, le cas échéant, doit être placé dans une séquence d’échappement.
   • Plusieurs unités d’organisation sont prises en charge en séparant chaque unité d’organisation par un point-virgule (;).
   • Veillez à conserver les guillemets (") en regard de value=. Toutes les valeurs d’unité d’organisation doivent se trouver dans une paire de guillemets.
   • Ne modifiez pas le nom de l’élément OrganizationalUnitsUsedForOfflineDomainJoinde clé .

   L’exemple suivant est un exemple d’entrée XML avec plusieurs unités d’organisation au format de nom unique LDAP :

     <appSettings>
   
       <!-- Semicolon separated list of OUs that will be used for Hybrid Autopilot, using LDAP distinguished name format.
           The ODJ Connector will only have permission to create computer objects in these OUs.
           The value here should be the same as the value in the Hybrid Autopilot configuration profile in the Azure portal - https://learn.microsoft.com/en-us/mem/intune/configuration/domain-join-configure
   
           Usage example (NOTE: PLEASE ENSURE THAT THE DISTINGUISHED NAME IS ESCAPED PROPERLY):
           Domain contains the following OUs:
             - OU=HybridDevices,DC=contoso,DC=com
             - OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com
   
           Value: "OU=HybridDevices,DC=contoso,DC=com;OU=HybridDevices2,OU=IntermediateOU,OU=TopLevelOU,DC=contoso,DC=com" -->
   
       <add key="OrganizationalUnitsUsedForOfflineDomainJoin" value="OU=SubOU,OU=TopLevelOU,DC=contoso,DC=com;OU=Mine,DC=contoso,DC=com" />
     </appSettings>
   

   Conseil

   Dans l’exemple, remplacez l’exemple de texte rouge en regard de par value= les unités d’organisation de l’organization au format de nom unique LDAP. Comme indiqué dans l’exemple, assurez-vous que toutes les entrées d’unité d’organisation se trouvent entre guillemets (") et que chaque unité d’organisation est séparée par un point-virgule (;) .

4. Une fois que toutes les unités d’organisation souhaitées sont ajoutées, enregistrez le ODJConnectorEnrollmentWizard.exe.config fichier XML.

5. En tant qu’administrateur disposant des autorisations appropriées pour modifier les autorisations d’unité d’organisation, ouvrez le connecteur Intune pour Active Directory en accédant à Intune Connecteur pour Active Directory>Intune Connecteur pour Active Directory à partir du menu Démarrer.

   Importante

   Si l’administrateur qui installe et configure le connecteur Intune pour Active Directory ne dispose pas des autorisations nécessaires pour modifier les autorisations de l’unité d’organisation, la section/étapes Augmenter la limite de compte d’ordinateur dans l’unité d’organisation doit être suivie à la place par un administrateur qui dispose des autorisations nécessaires pour modifier les autorisations de l’unité d’organisation.

6. Sous l’onglet Inscription dans la fenêtre connecteur Intune pour Active Directory, sélectionnez Configurer le compte de service géré.

7. Un compte de service géré nommé «< MSA_name> » a été correctement configuré s’affiche. Sélectionnez OK pour fermer la fenêtre.

Utiliser un compte de service managé personnalisé (facultatif)

Si vous le souhaitez, vous pouvez configurer le connecteur pour qu’il utilise votre propre compte de service managé, par opposition au MSA configuré automatiquement par le connecteur.

Conditions requises pour MSA

Cette section décrit les exigences MSA.

• Le compte fourni doit être un compte de service avec l’une des catégories d’objets suivantes dans Active Directory :

  • CN=ms-DS-Group-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

  • CN=ms-DS-Managed-Service-Account,CN=Schema,CN=Configuration,DC=contoso,DC=com

• La valeur de configuration du compte de service doit être au format suivant : <msaAccountName@domain>

• Le compte de service doit exister dans le même domaine que le serveur du connecteur ODJ.

• Le compte de service doit être installé sur le serveur hébergeant le connecteur ODJ. Pour plus d’informations, consultez Install-ADServiceAccount.

  • Si vous utilisez sMSA, le compte ne peut être lié qu’à un seul ordinateur.
  • Si vous utilisez un compte gMSA, le serveur sur lequel vous installez le gMSA doit avoir accès au mot de passe.

• Le compte de service doit disposer d’une autorisation d’ouverture de session locale en tant que service qui peut être définie directement ou via l’appartenance au groupe. Pour plus d’informations, consultez Activer l’ouverture de session de service.

• L’autorisation doit être accordée manuellement pour que les comptes de service créent des objets ordinateur pour les flux Autopilot hybrides. Pour plus d’informations, consultez Augmenter la limite de compte d’ordinateur dans l’unité d’organisation (UO).

Comment configurer

Mettez à jour ODJConnectorEnrollmentWizard.exe.config. Son emplacement par défaut est C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Dans la section appSettings du fichier, ajoutez la ligne suivante : <add key="TenantConfiguredManagedServiceAccount" value="{accountname}" />
2. Connectez-vous au connecteur.

Désactiver les mises à jour de l’unité d'

L’utilisation de votre propre MSA empêche le connecteur d’effectuer des mises à jour d’unité d’organisation, quelle que soit la configuration configurée dans OrganizationalUnitsUsedForOfflineDomainJoin. Pour éviter les erreurs, désactivez les mises à jour de l’unité d’organisation en mettant à jour ODJConnectorEnrollmentWizard.exe.config. Son emplacement par défaut est C:\Program Files\Microsoft Intune\ODJConnector\ODJConnectorEnrollmentWizard.

1. Dans la section appSettings du fichier, ajoutez la ligne suivante : <add key="DisableOUUpdates" value="true" />
2. Connectez-vous au connecteur.

Avant de commencer l’installation, assurez-vous que toutes les exigences du connecteur Intune pour le serveur Active Directory sont remplies.

Désactiver les paramètres de configuration de sécurité renforcée d’Internet Explorer

Par défaut, sous Windows Server la configuration de sécurité renforcée d’Internet Explorer est activée. La configuration de sécurité renforcée d’Internet Explorer peut entraîner des problèmes de connexion au connecteur Intune pour Active Directory. Étant donné que Explorer Internet est déconseillé et, dans la plupart des cas, même pas installé sur Windows Server, Microsoft recommande de désactiver Internet Explorer Configuration de sécurité renforcée. Pour désactiver internet Explorer configuration de sécurité renforcée :

1. Connectez-vous au serveur sur lequel le connecteur Intune pour Active Directory est installé avec un compte disposant de droits d’administrateur local et de droits d’administrateur de domaine. Des droits d’administrateur de domaine sont requis pour que le programme d’installation du connecteur Intune pour Active Directory puisse créer correctement un MSA.

2. Ouvrez Gestionnaire de serveur.

3. Dans le volet gauche de Gestionnaire de serveur, sélectionnez Serveur local.

4. Dans le volet PROPRIÉTÉS droit de Gestionnaire de serveur, sélectionnez le lien Activé ou Désactivé en regard de Configuration de la sécurité renforcée d’Internet Explorer.

5. Dans la fenêtre Configuration de la sécurité renforcée d’Internet Explorer, sélectionnez Désactivé sous Administrateurs, puis ok.

Installer le connecteur Intune hérité pour Active Directory sur le serveur

1. Ouvrez le fichier précédemment téléchargé ODJConnectorBootstrapper.exe pour lancer l’installation du connecteur Intune pour le programme d’installation d’Active Directory.

   Remarque

   Si le connecteur Intune hérité pour Active Directory est déjà installé, accédez au menu >DémarrerIntune Connecteur pour Active Directory>Intune Connecteur pour Active Directory, puis passez à Se connecter au connecteur Intune hérité pour Active Directory.

2. Dans la fenêtre programme d’installation Intune Connector pour le programme d’installation d’Active Directory, sélectionnez J’accepte les termes et conditions du contrat de licence, puis sélectionnez Installer.

   Remarque

   Si un emplacement d’installation autre que celui par défaut de C :\Program Files\Microsoft Intune\ODJConnector est souhaité, sélectionnez Options et spécifiez l’emplacement d’installation souhaité.

3. Une fois l’installation terminée, sélectionnez Configurer maintenant dans la fenêtre du programme d’installation de Intune Connector pour Active Directory.

   Remarque

   Si fermer est sélectionné accidentellement ou si la fenêtre du programme d’installation du connecteur Intune pour Active Directory est fermée accidentellement, la configuration du connecteur Intune pour Active Directory est accessible en sélectionnant Intune Connecteur pour Active Directory>Intune Connecteur pour Active Directory dans le menu Démarrer.

Connectez-vous au connecteur Intune hérité

1. Dans la fenêtre connecteur Intune pour Active Directory, sous l’onglet Inscription, sélectionnez Se connecter.

2. Sous l’onglet Se connecter, connectez-vous avec les informations d’identification d’un rôle d’administrateur Intune. Le compte d’utilisateur doit avoir une licence Intune. Le processus de connexion peut prendre quelques minutes.

   Remarque

   Le compte utilisé pour inscrire le connecteur Intune pour Active Directory n’est qu’une exigence temporaire au moment de l’installation. Le compte n’est pas utilisé une fois le serveur inscrit.

3. Une fois le processus de connexion terminé, une fenêtre de confirmation de l’inscription réussie du connecteur Intune pour Active Directory s’affiche. Sélectionnez OK pour fermer la fenêtre.

4. L’onglet Inscription indique Intune Connecteur pour Active Directory est inscrit et le bouton Se connecter est grisé.

5. Fermez la fenêtre connecteur Intune pour Active Directory.

Vérifier que le connecteur Intune hérité pour Active Directory est actif

Après l’authentification, l’installation du connecteur Intune pour Active Directory est terminée. Une fois l’installation terminée, vérifiez qu’elle est active dans Intune en procédant comme suit :

1. Accédez au Centre d’administration Microsoft Intune s’il est toujours ouvert. Si la fenêtre Ajouter un connecteur s’affiche toujours, fermez-la.

   Si le centre d’administration Microsoft Intune n’est toujours pas ouvert :

   1. Connectez-vous au Centre d’administration Microsoft Intune.

   2. Dans l’écran d’accueil , sélectionnez Appareils dans le volet gauche.

   3. Dans les appareils | Écran Vue d’ensemble , sous Par plateforme, sélectionnez Windows.

   4. Dans windows | Écran Appareils Windows , sous Intégration de l’appareil, sélectionnez Inscription.

   5. Dans windows | Écran d’inscription Windows, sous Windows Autopilot, sélectionnez connecteur Intune pour Active Directory.

2. Dans la page connecteur Intune pour Active Directory, vérifiez que le serveur s’affiche sous Nom du connecteur et qu’il est actif sous État. Si le serveur n’est pas affiché, sélectionnez Actualiser ou quittez la page, puis revenez à la page Intune Connector pour Active Directory.

Une fois le connecteur Intune pour Active Directory installé, il démarre la journalisation dans le observateur d'événements sous le chemin d’accès Journaux >des applications et des servicesMicrosoft> Intune >ODJConnectorService. Sous ce chemin d’accès, vous trouverez les journaux d’activité Administration et opérationnels.

L’objectif de Intune Connector pour Active Directory est de joindre des ordinateurs à un domaine et de les ajouter à une unité d’organisation. Pour cette raison, le compte de service géré utilisé pour le connecteur Intune pour Active Directory doit disposer des autorisations nécessaires pour créer des comptes d’ordinateur dans l’unité d’organisation où les ordinateurs sont joints au domaine local.

Avec les autorisations par défaut dans Active Directory, les jointures de domaine par le connecteur Intune pour Active Directory peuvent initialement fonctionner sans aucune modification d’autorisation de l’unité d’organisation dans Active Directory. Toutefois, après que MSA tente de joindre plus de 10 ordinateurs au domaine local, il cesse de fonctionner, car par défaut, Active Directory n’autorise qu’un seul compte à joindre jusqu’à 10 ordinateurs au domaine local.

Les utilisateurs suivants ne sont pas limités par la limitation de jointure de domaine d’ordinateur 10 :

• Utilisateurs dans les groupes Administrateurs ou Administrateurs de domaine : Pour se conformer au modèle des principes de privilège minimum, Microsoft ne recommande pas de faire de MSA un administrateur ou un administrateur de domaine.
• Utilisateurs disposant d’autorisations déléguées sur les unités d’organisation (UO) et les conteneurs dans Active Directory pour créer des comptes d’ordinateur : cette méthode est recommandée, car elle suit le modèle des principes de privilège minimum.

Pour résoudre cette limitation, msa a besoin de l’autorisation Créer des comptes d’ordinateur dans l’unité d’organisation (UO) à laquelle les ordinateurs sont joints dans le domaine local. Le connecteur Intune pour Active Directory définit les autorisations pour les contrats MSA sur les unités d’organisation tant que l’une des conditions suivantes est remplie :

• L’administrateur qui installe le connecteur Intune pour Active Directory dispose des autorisations nécessaires pour définir des autorisations sur les unités d’organisation.
• L’administrateur qui configure le connecteur Intune pour Active Directory dispose des autorisations nécessaires pour définir des autorisations sur les unités d’organisation.

Si l’administrateur qui installe ou configure le connecteur Intune pour Active Directory ne dispose pas des autorisations nécessaires pour définir les autorisations sur les unités d’organisation, les étapes suivantes doivent être suivies :

1. Connectez-vous à un ordinateur qui a accès à la console Utilisateurs et ordinateurs Active Directory avec un compte qui est les autorisations nécessaires pour définir les autorisations sur les unités d’organisation.

2. Ouvrez la console Utilisateurs et ordinateurs Active Directory en exécutant DSA.msc.

3. Développez le domaine souhaité et accédez à l’unité d’organisation (UO) à laquelle les ordinateurs sont joints pendant Windows Autopilot.

   Remarque

   L’unité d’organisation que les ordinateurs rejoignent pendant le déploiement De Windows Autopilot est spécifiée ultérieurement lors de l’étape Configurer et attribuer un profil de jointure de domaine .

4. Cliquez avec le bouton droit sur l’unité d’organisation, puis sélectionnez Propriétés.

   Remarque

   Si les ordinateurs rejoignent le conteneur Ordinateurs par défaut au lieu d’une unité d’organisation, cliquez avec le bouton droit sur le conteneur Ordinateurs et sélectionnez Déléguer le contrôle.

5. Dans les fenêtres Propriétés de l’unité d’organisation qui s’ouvrent, sélectionnez l’onglet Sécurité .

6. Sous l’onglet Sécurité , sélectionnez Avancé.

7. Dans la fenêtre Paramètres de sécurité avancés , sélectionnez Ajouter.

8. Dans les fenêtres Entrée d’autorisation , en regard de Principal, sélectionnez le lien Sélectionner un principal .

9. Dans la fenêtre Sélectionner un utilisateur, un ordinateur, un compte de service ou un groupe, sélectionnez le bouton Types d’objets...

10. Dans la fenêtre Types d’objets, sélectionnez la zone Comptes de service case activée, puis sélectionnez OK.

11. Dans la fenêtre Sélectionner un utilisateur, un ordinateur, un compte de service ou un groupe, sous Entrez le nom de l’objet à sélectionner, entrez le nom du MSA utilisé pour le connecteur Intune pour Active Directory.

    Conseil

    La msa a été créée lors de l’étape/section Installer le connecteur Intune pour Active Directory et a le format de msaODJ##### nom où ##### sont cinq caractères aléatoires. Si le nom MSA n’est pas connu, procédez comme suit pour rechercher le nom MSA :

    1. Sur le serveur exécutant le connecteur Intune pour Active Directory, cliquez avec le bouton droit sur le menu Démarrer, puis sélectionnez Gestion de l’ordinateur.
    2. Dans la fenêtre Gestion de l’ordinateur , développez Services et applications , puis sélectionnez Services.
    3. Dans le volet de résultats, recherchez le service nommé Intune ODJConnector pour Active Service. Le nom de msa est répertorié dans la colonne Ouvrir une session en tant que .

12. Sélectionnez Vérifier les noms pour valider l’entrée de nom MSA. Une fois l’entrée validée, sélectionnez OK.

13. Dans les fenêtres Entrée d’autorisation , sélectionnez le menu déroulant S’applique à : , puis sélectionnez Cet objet uniquement.

14. Sous Autorisations, désélectionnez tous les éléments, puis sélectionnez uniquement la zone Créer des objets ordinateur case activée.

15. Sélectionnez OK pour fermer la fenêtre Entrée d’autorisation .

16. Dans la fenêtre Paramètres de sécurité avancés , sélectionnez Appliquer ou OK pour appliquer les modifications.

L’objectif de Intune Connector pour Active Directory est de joindre des ordinateurs à un domaine et de les ajouter à une unité d’organisation. Pour cette raison, le serveur exécutant le connecteur Intune pour Active Directory doit disposer des autorisations nécessaires pour créer des comptes d’ordinateur dans l’unité d’organisation où les ordinateurs sont joints au domaine local.

Avec les autorisations par défaut dans Active Directory, les jointures de domaine par le connecteur Intune pour Active Directory peuvent initialement fonctionner sans aucune modification d’autorisation de l’unité d’organisation dans Active Directory. Toutefois, une fois que le serveur exécutant le connecteur Intune pour Active Directory tente de joindre plus de 10 ordinateurs au domaine local, il cesse de fonctionner, car par défaut, Active Directory n’autorise qu’un seul compte à joindre jusqu’à 10 ordinateurs au domaine local.

Les utilisateurs suivants ne sont pas limités par la limitation de jointure de domaine d’ordinateur 10 :

• Utilisateurs des groupes Administrateurs ou Administrateurs de domaine : pour se conformer au modèle des principes de privilège minimum, Microsoft ne recommande pas de faire du compte d’ordinateur exécutant le connecteur Intune pour Active Directory en administrateur ou administrateur de domaine.
• Utilisateurs disposant d’autorisations déléguées sur les unités d’organisation (UO) et les conteneurs dans Active Directory pour créer des comptes d’ordinateur : cette méthode est recommandée, car elle suit le modèle des principes de privilège minimum.

Pour résoudre cette limitation, le serveur exécutant le connecteur Intune pour Active Directory a besoin de l’autorisation Créer des comptes d’ordinateur dans l’unité d’organisation (UO) à laquelle les ordinateurs sont joints dans le domaine local :

Pour augmenter la limite de compte d’ordinateur dans l’unité d’organisation (UO) à laquelle les ordinateurs sont joints pendant Windows Autopilot, procédez comme suit sur un ordinateur qui a accès à la console Utilisateurs et ordinateurs Active Directory :

1. Ouvrez la console Utilisateurs et ordinateurs Active Directory en exécutant DSA.msc.

2. Développez le domaine souhaité et accédez à l’unité d’organisation (UO) à laquelle les ordinateurs sont joints pendant Windows Autopilot.

   Remarque

   L’unité d’organisation que les ordinateurs rejoignent pendant le déploiement De Windows Autopilot est spécifiée ultérieurement lors de l’étape Configurer et attribuer un profil de jointure de domaine .

3. Cliquez avec le bouton droit sur l’unité d’organisation et sélectionnez Déléguer le contrôle.

   Remarque

   Si les ordinateurs rejoignent le conteneur Ordinateurs par défaut au lieu d’une unité d’organisation, cliquez avec le bouton droit sur le conteneur Ordinateurs et sélectionnez Déléguer le contrôle.

4. Dans la fenêtre Bienvenue dans l’Assistant Délégation de contrôle de l’Assistant Délégation de contrôle, sélectionnez Suivant.

5. Dans la fenêtre Utilisateurs ou Groupes , sous Utilisateurs et groupes sélectionnés, sélectionnez Ajouter.

6. En regard de Sélectionner ce type d’objet : dans la fenêtre Sélectionner des utilisateurs, des ordinateurs ou des groupes , sélectionnez Types d’objets.

7. Dans la fenêtre Types d’objets, sélectionnez la zone Ordinateurs case activée, puis sélectionnez OK. Les autres éléments de cette fenêtre peuvent être conservés à leur valeur par défaut.

8. Dans la fenêtre Sélectionner des utilisateurs, des ordinateurs ou des groupes, sous la zone Entrer les noms d’objets à sélectionner, entrez le nom de l’ordinateur sur lequel le connecteur Intune pour Active Directory a été installé lors de l’étape Installer le connecteur Intune pour Active Directory.

9. Sélectionnez Vérifier les noms pour valider l’entrée. Une fois l’entrée validée, sélectionnez OK.

10. Dans la fenêtre Utilisateurs ou Groupes , vérifiez que l’ordinateur approprié s’affiche sous Utilisateurs et groupes sélectionnés, puis sélectionnez Suivant.

11. Dans la fenêtre Tâches à déléguer , sélectionnez Créer une tâche personnalisée à déléguer, puis sélectionnez Suivant.

12. Dans la fenêtre Type d’objet Active Directory :

    1. Sélectionnez Uniquement les objets suivants dans le dossier.

    2. Sous Uniquement les objets suivants dans le dossier, sélectionnez Objets ordinateur.

    3. Cochez la case Créer des objets sélectionnés dans ce dossier .

    4. Sélectionnez Suivant.

13. Dans la fenêtre Autorisations, sous Autorisations : , sélectionnez la zone Contrôle total case activée, puis sélectionnez Suivant.

    Remarque

    Après avoir sélectionné la zone Contrôle total case activée, toutes les autres options sous Autorisations : sont automatiquement sélectionnées. La sélection automatique des cases à cocher est normale et attendue. Ne désélectionnez pas les zones case activée une fois qu’elles sont automatiquement sélectionnées.

14. Dans la fenêtre Fin de l’Assistant Délégation de contrôle , sélectionnez Terminer.

1. Connectez-vous à l’ordinateur hébergeant le connecteur Intune pour Active Directory.

2. Cliquez avec le bouton droit sur le menu Démarrer , puis sélectionnez Paramètres>Applications>Installées.

   Ou

   Sélectionnez le raccourci Applications > installées ci-dessous :

   Ouvrir applications > Applications installées

3. Dans la fenêtre Applications > installées,recherchez Intune Connecteur pour Active Directory.

4. En regard de Intune Connector pour Active Directory, sélectionnez ...>Désinstallez, puis sélectionnez le bouton Désinstaller.

5. Le connecteur Intune pour Active Directory procède à la désinstallation.

6. Dans certains cas, le connecteur Intune pour Active Directory peut ne pas être entièrement désinstallé tant que le programme d’installation ODJConnectorBootstrapper.exe Intune Connector pour Active Directory d’origine n’est pas réexécuté. Pour vérifier que le connecteur Intune pour Active Directory est entièrement désinstallé, réexécutez le programme d’installationODJConnectorBootstrapper.exe. S’il vous invite à Désinstaller, sélectionnez pour le désinstaller. Sinon, fermez le programme d’installation ODJConnectorBootstrapper.exe .

   Remarque

   Le programme d’installation du connecteur Intune hérité pour Active Directory peut être téléchargé à partir du connecteur Intune pour Active Directory et ne doit être utilisé que pour les désinstallations. Pour les nouvelles installations, utilisez le connecteur Intune mis à jour pour Active Directory.

1. Connectez-vous à l’ordinateur hébergeant le connecteur Intune pour Active Directory.

2. Cliquez avec le bouton droit sur le menu Démarrer , puis sélectionnez Paramètres>Applications.

   Ou

   Sélectionnez le raccourci Applications suivant :

   Ouvrir des applications

3. Sous Applications & fonctionnalités, recherchez et sélectionnez connecteur Intune pour Active Directory.

4. Sous Intune Connecteur pour Active Directory, sélectionnez le bouton Désinstaller, puis sélectionnez à nouveau le bouton Désinstaller.

5. Le connecteur Intune pour Active Directory procède à la désinstallation.

6. Dans certains cas, le connecteur Intune pour Active Directory peut ne pas être entièrement désinstallé tant que le programme d’installation ODJConnectorBootstrapper.exe Intune Connector pour Active Directory d’origine n’est pas réexécuté. Pour vérifier que le connecteur Intune pour Active Directory est entièrement désinstallé, réexécutez le programme d’installationODJConnectorBootstrapper.exe. S’il vous invite à Désinstaller, sélectionnez pour le désinstaller. Sinon, fermez le programme d’installation ODJConnectorBootstrapper.exe .

   Remarque

   Le programme d’installation du connecteur Intune hérité pour Active Directory peut être téléchargé à partir du connecteur Intune pour Active Directory et ne doit être utilisé que pour les désinstallations. Pour les nouvelles installations, utilisez le connecteur Intune mis à jour pour Active Directory.

1. Connectez-vous à l’ordinateur hébergeant le connecteur Intune pour Active Directory.

2. Cliquez avec le bouton droit sur le menu Démarrer, puis sélectionnez Paramètres> Applicationssystème>& fonctionnalités.

   Ou

   Sélectionnez le raccourci Applications suivant :

   Ouvrir des applications

3. Sous Applications & fonctionnalités, recherchez et sélectionnez connecteur Intune pour Active Directory.

4. Sous Intune Connecteur pour Active Directory, sélectionnez le bouton Désinstaller, puis sélectionnez à nouveau le bouton Désinstaller.

5. Le connecteur Intune pour Active Directory procède à la désinstallation.

6. Dans certains cas, le connecteur Intune pour Active Directory peut ne pas être entièrement désinstallé tant que le programme d’installation ODJConnectorBootstrapper.exe Intune Connector pour Active Directory d’origine n’est pas réexécuté. Pour vérifier que le connecteur Intune pour Active Directory est entièrement désinstallé, réexécutez le programme d’installationODJConnectorBootstrapper.exe. S’il vous invite à Désinstaller, sélectionnez pour le désinstaller. Sinon, fermez le programme d’installation ODJConnectorBootstrapper.exe .

   Remarque

   Le programme d’installation du connecteur Intune hérité pour Active Directory peut être téléchargé à partir du connecteur Intune pour Active Directory et ne doit être utilisé que pour les désinstallations. Pour les nouvelles installations, utilisez le connecteur Intune mis à jour pour Active Directory.