(Cours/TP) Microsoft Configuration Manager

Objectifs pédagogiques

À l'issue de ce cours, vous serez capable de :

• Expliquer le rôle de Configuration Manager (ConfigMgr, ex-SCCM, ex-MECM), son architecture et son vocabulaire.

• Installer un site primaire et ses prérequis : Active Directory, SQL Server, ADK.

• Découvrir les ressources de l'annuaire et déployer le client ConfigMgr sur les postes.

• Exploiter l'inventaire et les outils de contrôle à distance pour assister les utilisateurs.

• Distribuer des applications sur un parc de postes.

• Gérer les mises à jour et l'antivirus des postes.

• Déployer un système d'exploitation à travers le réseau.

Programme (3 jours)

💡 Le fil rouge : vous êtes technicien chez Ma boîte, et vous allez construire la plateforme qui gère tout le cycle de vie d'un poste de travail. Un poste est découvert dans l'annuaire, reçoit son agent, remonte son inventaire, reçoit ses applications, ses mises à jour et son antivirus... et un poste neuf peut même être installé de A à Z à travers le réseau.

Cours

Au programme : ce que permet Configuration Manager ; son histoire, de SMS à Intune ; la co-gestion ; l'architecture et le vocabulaire ; les journaux.

Que permet Configuration Manager ?

Configuration Manager est l'outil de Microsoft pour gérer un parc de postes et de serveurs Windows, depuis une console unique, dans l'infrastructure de l'entreprise (on-premises) :

• L'inventaire matériel et logiciel : savoir précisément ce que contient chaque poste, et en tirer des rapports.

• Le déploiement d'applications : installer, mettre à jour ou désinstaller des logiciels sur des centaines de postes, et suivre le résultat.

• Les mises à jour logicielles : piloter, avec WSUS, la diffusion des correctifs Microsoft (Windows, Office...).

• Le déploiement de systèmes d'exploitation : installer Windows sur un poste neuf, ou le réinstaller, de façon entièrement automatisée.

• La sécurité et la conformité : antivirus (Microsoft Defender), pare-feu, chiffrement BitLocker, règles de conformité...

• Les outils de support : prise en main à distance, diagnostic et actions à distance sur les postes.

Une histoire de noms : de SMS à Microsoft Intune

illustration générée par IA

• 1994, SMS (Systems Management Server) : le premier outil de Microsoft pour inventorier les ordinateurs Windows et y déployer des logiciels.

• 2007, System Center Configuration Manager 2007 (SCCM) : une évolution majeure, avec le déploiement d'OS, la gestion des correctifs et des rapports enrichis.

• 2011, Windows Intune : Microsoft lance un service cloud de gestion des postes, qui deviendra son outil de gestion des appareils mobiles (MDM).

• 2012, SCCM 2012 : le produit se tourne vers l'utilisateur plutôt que vers la machine. C'est la dernière version désignée par une année.

• 2015, la « Current Branch » : avec Windows 10, Microsoft abandonne les grandes versions au profit de mises à jour continues, installées directement depuis la console. La première est la 1511 (année 2015, mois 11) : le numéro de version indique la date de sortie.

• 2019, Microsoft Endpoint Configuration Manager (MECM) : le produit rejoint Microsoft Endpoint Manager, avec Intune, et introduit la co-gestion.

• Fin 2022, Microsoft Configuration Manager : Microsoft regroupe ses outils de gestion des appareils sous la marque Microsoft Intune, et Configuration Manager en fait partie.

💡 Vous rencontrerez tous ces noms en entreprise : SCCM, ConfigMgr, MECM ou MCM désignent le même produit. Quant au rythme des versions, il a ralenti : deux par an pendant longtemps, puis une seule par an à partir de la version 2609, avec un effort centré sur la sécurité et la qualité.

Intune et la co-gestion

• Microsoft Intune gère les appareils (PC et mobiles) depuis le cloud, avec peu ou pas d'infrastructure locale.

• La co-gestion (co-management) permet de gérer les mêmes postes à la fois avec Configuration Manager et avec Intune, en répartissant les tâches entre les deux. Par exemple : les applications par Configuration Manager, la conformité et les paramètres de sécurité par Intune. C'est souvent l'étape de transition des entreprises qui migrent progressivement vers le cloud.

L'architecture d'un site

illustration générée par IA

• Le site : le périmètre d'administration de Configuration Manager, identifié par un code de site de trois caractères (CM1 dans ce cours). Toute infrastructure comporte au moins un site primaire. Un poste n'est rattaché qu'à un seul site primaire.

  • Un site secondaire sert de relais pour un site distant, relié par une liaison lente.
  • Un site d'administration centrale (CAS) coiffe plusieurs sites primaires, dans les très grandes organisations.

• Les rôles de système de site : les fonctions confiées aux serveurs du site. Les principaux :

  • le point de gestion (MP, Management Point) : il transmet les consignes aux clients et reçoit leurs informations ;
  • le point de distribution (DP, Distribution Point) : il stocke le contenu (applications, mises à jour, images) que les clients téléchargent, et peut répondre au démarrage réseau (PXE) ;
  • le point de mise à jour logicielle (SUP, Software Update Point) : il s'appuie sur WSUS pour gérer les mises à jour.

• La base de données SQL Server : elle stocke toutes les informations du site (inventaire, configuration, déploiements). Sa santé, sa maintenance et ses sauvegardes conditionnent celles de tout le site.

• Les découvertes (Discovery Methods) : elles identifient automatiquement les ressources de l'annuaire Active Directory (ordinateurs, utilisateurs, groupes).

• Le client ConfigMgr : l'agent installé sur chaque poste géré. Il applique les consignes, installe les applications et les mises à jour, et remonte l'inventaire.

• Les collections (regroupements dans la console française) : des groupes de ressources (ordinateurs ou utilisateurs) que l'on cible ensemble, définis manuellement ou par des requêtes (système d'exploitation, attribut AD, nom...).

• Les groupes de limites (Boundary Groups) : ils associent des zones du réseau (sous-réseaux IP, sites AD) aux serveurs que les clients doivent utiliser. Un client à Nantes télécharge ainsi ses applications au point de distribution de Nantes, et non à travers le réseau étendu.

Les journaux : le premier réflexe de dépannage

Configuration Manager écrit énormément de journaux (logs) : c'est sa grande force pour le dépannage. Chaque composant a le sien, côté serveur comme côté client.

💡 Pour les lire, utilisez CMTrace : il met en couleur les erreurs (rouge) et les avertissements (jaune), filtre les lignes et suit le journal en temps réel. Il est installé sur le serveur de site (C:\Program Files\Microsoft Configuration Manager\tools\cmtrace.exe) et sur chaque client (C:\Windows\CCM\CMTrace.exe).

TP01 : Installer la maquette et le site primaire

Objectifs

• Installer et préparer la maquette nécessaire à tous les TP : Active Directory, DNS, DHCP.

• Installer les prérequis de Configuration Manager : rôles Windows, ADK, SQL Server.

• Installer un site primaire autonome.

Prérequis

• Un ordinateur avec 16 Go de mémoire vive recommandés et une connexion Internet.

• Une ISO de Windows Server 2025 (version d'évaluation de 180 jours), une ISO de Windows 11 Professionnel, et les sources d'installation fournies par le formateur (SQL Server, ADK, Configuration Manager).

• Un logiciel de virtualisation, de préférence VirtualBox.

La maquette

Pour économiser les ressources et nous concentrer sur Configuration Manager, la maquette s'écarte volontairement de plusieurs bonnes pratiques de production :

• un seul serveur porte tous les rôles (AD, DNS, DHCP, SQL Server, WSUS et ConfigMgr) : en production, on les répartit ;

• aucune redondance des services AD, DHCP et DNS ;

• aucun chiffrement des communications entre les clients et Configuration Manager (HTTP plutôt que HTTPS).

💡 Les captures d'écran ont été réalisées sur des versions précédentes (Windows 10, Windows Server 2019, autre nom de domaine) : les écrans sont très proches, seuls quelques libellés diffèrent.

Etape 1 : Le réseau, le serveur et le poste client

1) Choisissez un plan d'adressage privé, conforme à la RFC 1918, capable d'accueillir jusqu'à 300 machines ;

2) Installez Windows 11 Professionnel sur le poste client, appliquez les mises à jour et nommez-le cli-w11-01 ;

3) Installez Windows Server 2025 Standard en mode graphique, appliquez les mises à jour et nommez-le srv-mecm-01 ;

4) Donnez au serveur, sur sa carte du réseau interne, la première adresse de votre réseau.

Etape 2 : Le serveur DHCP

1) Installez le rôle DHCP sur le serveur, et vérifiez qu'il ne distribue des adresses que sur la carte du réseau interne ;

2) Créez votre console MMC personnalisée et ajoutez-y la console DHCP ;

3) Créez une étendue d'environ 200 adresses pour les postes clients ;

4) Vérifiez que le poste client reçoit bien une adresse, puis réservez ce bail.

Etape 3 : Active Directory

1) Ajoutez le rôle AD DS et créez une nouvelle forêt nommée maboite.internal ;

💡 Pourquoi .internal ? Ce suffixe a été réservé par l'ICANN en 2024 pour les réseaux privés : il n'existera jamais sur Internet. .local est pris par le mDNS (Bonjour, Avahi), et .home ou .lan ne sont pas réservés.

2) Ajoutez les consoles DNS et Utilisateurs et ordinateurs Active Directory à votre MMC, et vérifiez la zone DNS créée par la promotion ;

3) Ajoutez à votre étendue DHCP les options 006 Serveurs DNS et 015 Nom de domaine DNS ;

4) L'entreprise Ma boîte, installée à Nantes, compte trois services. Créez l'arborescence suivante, et rangez le poste client dans l'OU de l'Informatique :

maboite.internal
└── Ma_boite
    ├── Ordinateurs
    │   └── Nantes
    │       ├── 01_Informatique
    │       ├── 02_Technique
    │       └── 03_Administratif
    └── Utilisateurs
        └── Nantes
            ├── 01_Informatique
            ├── 02_Technique
            └── 03_Administratif

5) Créez votre compte nominatif (prenom.nom), membre du groupe Admins du domaine, et utilisez-le pour toutes les opérations suivantes ;

6) Joignez le poste client au domaine.

Etape 4 : Les rôles et fonctionnalités Windows

Configuration Manager s'appuie sur plusieurs composants de Windows Server : IIS (le serveur web, pour le point de gestion et le point de distribution), .NET Framework, BITS et RDC (le transfert et la compression du contenu).

Dans une console PowerShell administrateur, installez-les :

Install-WindowsFeature -Name BITS, RDC

Install-WindowsFeature -Name NET-Framework-Features, NET-Framework-45-Features

Install-WindowsFeature -Name Web-Server, Web-Common-Http, Web-Static-Content, Web-Http-Errors, `
    Web-Security, Web-Windows-Auth, Web-App-Dev, Web-Asp-Net, Web-Asp-Net45, Web-Net-Ext, `
    Web-Net-Ext45, Web-ISAPI-Ext, Web-Mgmt-Compat, Web-Metabase, Web-Wmi, Web-Scripting-Tools `
    -IncludeManagementTools

💡 Get-WindowsFeature affiche la liste exacte des rôles et fonctionnalités disponibles, avec leur nom technique.

Etape 5 : L'ADK et son module WinPE

Le Windows ADK (Assessment and Deployment Kit) fournit les outils de déploiement de Windows, et son module WinPE l'environnement de démarrage utilisé au TP06. Sans eux, la vérification des prérequis de Configuration Manager échoue.

1) Installez l'ADK (depuis les sources du formateur, ou depuis le site de Microsoft), avec les composants Outils de déploiement et Outil de migration utilisateur (USMT) ;

2) Installez le module complémentaire WinPE (Windows PE add-on), avec le composant Environnement de préinstallation de Windows.

✋ Choisissez une version de l'ADK prise en charge par votre version de Configuration Manager : la documentation de Microsoft publie la table de correspondance. Un ADK trop récent peut empêcher la création des images de démarrage.

Etape 6 : SQL Server

Les comptes de service. Plutôt que d'utiliser votre compte d'administrateur pour tout, chaque service tourne sous un compte dédié, avec les seuls droits dont il a besoin. Créez dans l'OU de l'Informatique le compte svc.sqlcm, simple utilisateur du domaine : il exécutera les services SQL Server.

Le SPN. Un SPN (Service Principal Name) est le nom sous lequel un service se fait connaître de Kerberos. Il dit en substance : « le service SQL, sur tel serveur et tel port, tourne sous tel compte ». Quand un service tourne sous un compte de service personnalisé, il faut le déclarer à la main :

setspn -A MSSQLSvc/srv-mecm-01:1433 MABOITE\svc.sqlcm
setspn -A MSSQLSvc/srv-mecm-01.maboite.internal:1433 MABOITE\svc.sqlcm

L'installation.

1) Ouvrez le pare-feu aux ports de SQL Server (1433, le moteur, et 4022, le Service Broker utilisé par Configuration Manager), pour le réseau local uniquement :

netsh advfirewall firewall add rule name="SQL Server" dir=in protocol=tcp action=allow localport=1433,4022 remoteip=localsubnet profile=domain

2) Montez l'ISO de SQL Server 2022 fournie par le formateur, lancez setup.exe, puis Installation > Nouvelle installation autonome ;

3) Choisissez l'édition Developer, gratuite et réservée aux tests, et ne sélectionnez pas l'extension Azure ;

4) Fonctionnalités : Services Moteur de base de données uniquement ;

5) Nommez l'instance SQLCM ;

6) Configuration du serveur, onglet Comptes de service : exécutez le moteur SQL Server et l'agent SQL Server sous le compte svc.sqlcm, et passez le service SQL Server Browser en démarrage automatique ;

7) Onglet Classement : choisissez SQL_Latin1_General_CP1_CI_AS, le seul classement accepté par Configuration Manager ;

8) Configuration du moteur : mode d'authentification Windows, et ajoutez comme administrateurs SQL votre compte nominatif (bouton Ajouter l'utilisateur actuel) et svc.sqlcm ;

9) Terminez l'installation, puis appliquez les dernières mises à jour cumulatives de SQL Server.

Le port fixe. Configuration Manager ne prend pas en charge les ports dynamiques. Dans le Gestionnaire de configuration SQL Server :

1) Configuration du réseau SQL Server > Protocoles pour SQLCM : vérifiez que TCP/IP est activé ;

2) Propriétés de TCP/IP : onglet Protocole, Écouter tout : Oui ; onglet Adresses IP, rubrique IPAll : Port TCP à 1433, et videz le champ Ports TCP dynamiques ;

3) Services SQL Server : vérifiez que le service SQL Server (SQLCM) tourne sous svc.sqlcm, puis redémarrez-le.

Etape 7 : Installer le site primaire

1) Récupérez les sources de la dernière version de base (baseline) de Configuration Manager, fournies par le formateur ou téléchargées sur l'Evaluation Center de Microsoft ;

2) Sur le serveur, installez le pilote ODBC 18 pour SQL Server : la vérification des prérequis l'exige (le formateur le fournit avec les sources) ;

3) Ouvrez une session avec votre compte nominatif : il est administrateur du serveur et administrateur de SQL Server, les deux droits nécessaires à l'installation. Lancez splash.hta depuis les sources, puis Installer ;

4) Choisissez Installer un site principal Configuration Manager, sans cocher les options d'installation par défaut ;

5) Choisissez la version d'évaluation, et acceptez les termes de licence ;

6) Téléchargements requis : indiquez un dossier où l'assistant téléchargera les composants nécessaires (d'où la carte NAT) ;

7) Choisissez les langues du serveur et des clients ;

8) Informations du site : - code de site : CM1 ; - nom du site : Ma boîte - site primaire ; - dossier d'installation par défaut ; - cochez l'installation de la console sur le serveur.

9) Installation du site principal : choisissez site autonome ;

10) Informations sur la base de données : le nom complet du serveur SQL (srv-mecm-01.maboite.internal), l'instance SQLCM, et le port du Service Broker (4022). Laissez les chemins par défaut ;

11) Fournisseur SMS : laissez votre serveur ;

12) Paramètres de communication : choisissez de configurer la méthode de communication pour chaque rôle. Le mode HTTPS exige une infrastructure de certificats (PKI) sur les serveurs et les clients : nous resterons en HTTP dans la maquette ;

13) Rôles de système de site : installez un point de gestion et un point de distribution sur votre serveur, en HTTP ;

14) Point de connexion de service : installez-le sur votre serveur. C'est par lui que le site télécharge les mises à jour de Configuration Manager lui-même ;

15) Relisez le résumé, puis lancez la vérification des prérequis. Un avertissement sur WSUS est normal : il sera installé au TP05. Seules les erreurs bloquent l'installation ;

16) Lancez l'installation, et attendez que tous les composants soient au vert : cela peut prendre plusieurs dizaines de minutes ;

17) Ouvrez la console Configuration Manager et vérifiez qu'elle se connecte à votre site.

💡 L'installation se suit en direct dans C:\ConfigMgrSetup.log, à la racine du disque du serveur : ouvrez-le avec CMTrace (dans les sources, SMSSETUP\TOOLS\CMTrace.exe).

Etape 8 (Bonus) : Préparer Active Directory

Cette étape permet à Configuration Manager de publier les informations du site dans l'annuaire, pour que les clients le trouvent plus facilement. Elle n'est pas indispensable dans la maquette, mais c'est la bonne pratique en production.

1) Ouvrez la console Modification ADSI depuis le Gestionnaire de serveur, puis clic droit > Connexion... > OK ;

2) Déroulez l'arborescence jusqu'au conteneur CN=System, clic droit > Nouveau > Objet > container, et nommez-le System Management (respectez la casse) ;

3) Dans Utilisateurs et ordinateurs Active Directory, activez Affichage > Fonctionnalités avancées, puis clic droit sur System Management > Délégation de contrôle ;

4) Ajoutez le compte d'ordinateur de votre serveur (cochez le type d'objet Ordinateurs), puis Créer une tâche personnalisée > Ce dossier, les objets qu'il contient et la création de nouveaux objets > cochez toutes les autorisations ;

5) Étendez le schéma Active Directory : dans une invite de commandes administrateur, lancez extadsch.exe, depuis le dossier SMSSETUP\BIN\X64 des sources. Vérifiez le résultat dans le journal C:\ExtADSch.log.

✋ L'extension du schéma est irréversible et concerne toute la forêt. En production, elle se planifie, se valide avec les administrateurs de l'annuaire, et se teste d'abord en laboratoire.

Questions

TP02 : Découvrir les ressources et déployer le client

Objectifs

• Configurer les méthodes de découverte Active Directory.

• Déployer le client ConfigMgr sur le poste, et diagnostiquer son installation.

Prérequis

• Avoir réalisé le TP01.

Etape 1 : Les découvertes Active Directory

Avant de gérer un poste, Configuration Manager doit savoir qu'il existe. Les méthodes de découverte parcourent l'annuaire et créent dans la base une fiche pour chaque ressource trouvée. Elles se trouvent dans Administration > Vue d'ensemble > Configuration de la hiérarchie > Méthodes de découverte.

1) La découverte de forêts Active Directory ne découvre pas de postes : elle relève la structure de l'annuaire (domaines, sites et sous-réseaux AD). Activez-la, sans créer de limites automatiquement ;

2) La découverte de systèmes Active Directory trouve les ordinateurs. Activez-la sur l'OU Ma_boite de votre domaine ;

3) La découverte d'utilisateurs Active Directory trouve les utilisateurs, indispensables pour déployer des applications à des personnes. Activez-la sur la même OU ;

4) La découverte de groupes Active Directory trouve les groupes et leurs membres. Activez-la sur la même OU (Ajouter > Emplacement) ;

5) Dans Administration > Vue d'ensemble > Configuration de la hiérarchie > Groupes de limites, ouvrez le groupe de limites par défaut (Default-Site-Boundary-Group), et ajoutez votre serveur comme référence pour les clients.

💡 Nous n'avons créé aucune limite (boundary) : tous les clients tombent donc dans le groupe de limites par défaut, qui pointe vers votre unique serveur. En production, on crée une limite par sous-réseau ou par site AD, et un groupe de limites par site géographique.

Etape 2 : Préparer l'installation poussée du client

L'installation poussée (client push) installe le client à distance, depuis la console : le serveur se connecte au poste avec un compte administrateur, y copie l'installeur et le lance. Elle peut être automatique (sur chaque nouveau poste découvert) ou manuelle (à la demande). L'automatique est séduisante, mais elle peut saturer le réseau quand des centaines de postes sont découverts d'un coup : nous la gardons manuelle.

1) Créez le compte de service svc.cmpush, simple utilisateur du domaine ;

2) Rendez-le administrateur local du poste client. Dans la maquette, sur cli-w11-01, dans une invite de commandes administrateur :

net localgroup Administrateurs MABOITE\svc.cmpush /add

💡 En production, on ajoute ce compte au groupe local Administrateurs de tous les postes par une GPO (Groupes restreints, ou Préférences), et jamais au groupe Admins du domaine : en cas de vol de ses identifiants, l'attaquant obtient les postes, pas le domaine.

3) Dans Administration > Vue d'ensemble > Configuration du site > Sites, sélectionnez votre site, puis Paramètres d'installation du client > Installation poussée du client ;

4) Onglet Général : laissez décochée l'installation poussée automatique à l'échelle du site ;

5) Onglet Comptes : ajoutez le compte svc.cmpush (bouton étoile > Nouveau compte), et testez-le.

💡 Pour vérifier que le compte a bien les droits nécessaires, ouvrez depuis le serveur le partage administratif \\cli-w11-01\admin$ avec ce compte : c'est exactement ce que fera l'installation poussée.

Etape 3 : Installer le client

1) Sur le poste client, dans le pare-feu, activez les règles prédéfinies Partage de fichiers et d'imprimantes et Infrastructure de gestion Windows (WMI), pour le profil Domaine : l'installation poussée en a besoin ;

2) Dans Actifs et Conformité > Vue d'ensemble > Appareils, clic droit sur cli-w11-01 > Installer le client ;

3) Cochez Toujours installer le logiciel client et Installer le logiciel client depuis un site spécifié, puis terminez l'assistant.

Etape 4 : Vérifier et diagnostiquer

• Sur le serveur, suivez l'installation dans le journal ccm.log (dossier Logs du serveur de site), avec CMTrace ;

• Sur le client, suivez-la dans C:\Windows\ccmsetup\Logs\ccmsetup.log ;

• Dans la console, la colonne Client du poste doit afficher Oui (actualisez la vue) ;

• Sur le poste, le Panneau de configuration affiche désormais Configuration Manager.

ccmsetup.exe /mp:srv-mecm-01.maboite.internal SMSSITECODE=CM1

Questions

TP03 : Inventaire et contrôle à distance

Objectifs

• Configurer les paramètres client et exploiter l'inventaire.

• Prendre la main à distance sur un poste.

• Lancer des actions à distance sur les postes.

Prérequis

• Avoir réalisé les TP précédents.

Etape 1 : Les paramètres client et l'inventaire

L'inventaire collecte la description du matériel et des logiciels de chaque poste. Il permet de créer des requêtes et des collections (« tous les postes de moins de 8 Go de RAM »), de produire des rapports, et de dépanner les clients.

Son comportement, comme celui de tous les agents du client, se règle dans les paramètres client, que l'on déploie sur des collections.

💡 Ne modifiez jamais les paramètres client par défaut : ils servent de référence pour tout le site. Créez plutôt des paramètres personnalisés, adaptés à chaque population (postes de travail, serveurs, postes sensibles...).

1) Dans Administration > Vue d'ensemble > Paramètres client, créez des paramètres de périphérique client personnalisés nommés Clients, et cochez toutes les catégories ;

2) Vérifiez que l'inventaire matériel est activé. Il inclut déjà la liste des programmes installés : c'est par lui que l'on connaît aussi les logiciels des postes. Une fréquence d'une fois par semaine suffit en général ;

3) Activez dès maintenant les outils de contrôle à distance, avec les paramètres par défaut ;

4) Validez, puis déployez ces paramètres (ruban Accueil > Déployer) sur la collection Tous les clients poste de travail et serveur. L'onglet Déploiements du volet de détails confirme la collection ciblée ;

5) Après quelques minutes (ou après l'étape 3 qui force les choses), ouvrez l'Explorateur de ressources du poste : dans Actifs et Conformité > Appareils, clic droit sur le poste > Démarrer > Explorateur de ressources. Il détaille toute la configuration du poste, avec l'historique des changements de matériel.

Etape 2 : La prise en main à distance

La prise en main à distance permet à un technicien d'assister un utilisateur en voyant et en contrôlant son écran, sur tout poste équipé du client.

1) Éditez vos paramètres client Clients, section Outils de contrôle à distance : vérifiez que le contrôle à distance est activé, et que l'autorisation de l'utilisateur est demandée ;

2) Les clients récupèrent leurs stratégies toutes les 60 minutes par défaut. Pour ne pas attendre, clic droit sur la collection > Notification du client > Télécharger la stratégie d'ordinateur ;

3) Clic droit sur le poste > Démarrer > Contrôle à distance, et prenez la main sur le poste client.

✋ Voir l'écran d'un salarié, c'est potentiellement voir ses messages, ses documents personnels, ses données de santé... Gardez toujours la demande d'autorisation de l'utilisateur, et n'utilisez la prise en main que pour l'assistance : observer un poste à l'insu de son utilisateur est encadré par le droit du travail et le RGPD.

Etape 3 : Les actions à distance

Configuration Manager peut déclencher plusieurs familles d'actions sur les postes, depuis Actifs et Conformité > Appareils ou depuis une collection.

Bloquer un poste. Le blocage coupe la communication entre le poste et Configuration Manager : il ne reçoit plus de stratégies, ni d'applications. Utile pour un poste perdu, ou suspect.

1) Sélectionnez le poste client, et choisissez Bloquer ;

2) Observez son état, puis Débloquez-le.

Diagnostiquer un client. Clic droit sur le poste > Diagnostics du client :

• Activer la journalisation détaillée, pour obtenir des journaux plus bavards pendant un dépannage ;

• Collecter les journaux du client : les journaux du poste sont rapatriés sur le serveur, sans se déplacer.

Suivez ces actions dans Surveillance > Opérations du client. Les journaux collectés se consultent ensuite dans l'Explorateur de ressources du poste, nœud Fichiers de diagnostic.

Les notifications du client. Clic droit sur le poste ou une collection > Notification du client, pour demander au client d'agir immédiatement, sans attendre son cycle habituel :

💡 Ces notifications deviendront vos meilleures alliées dans les TP suivants : elles évitent d'attendre le prochain cycle du client pour voir le résultat d'un déploiement.

Questions

TP04 : Distribuer des applications

Objectifs

• Comprendre les modèles de déploiement : packages et applications.

• Déployer Firefox ESR sur les postes à partir de son installeur MSI.

Prérequis

• Avoir réalisé les TP précédents.

Cours : packages, applications et déploiements

Configuration Manager propose deux modèles pour distribuer des logiciels.

Un type de déploiement porte trois règles, évaluées sur le poste :

• les spécifications (requirements) : le poste remplit-il les conditions (système, mémoire, langue...) ?
• la méthode de détection : le logiciel est-il déjà installé ?
• les dépendances : faut-il d'abord installer une autre application ?

Une fois l'application créée, il reste deux étapes :

1) distribuer le contenu sur les points de distribution, d'où les clients le téléchargeront ;

2) déployer l'application sur une collection, de façon : - obligatoire (Required) : elle s'installe automatiquement ; - ou disponible (Available) : l'utilisateur l'installe lui-même depuis le Centre logiciel.

💡 Cibler des machines ou des utilisateurs ? Un logiciel indispensable à tous (navigateur, antivirus, suite bureautique) se déploie sur les machines. Un logiciel métier, utile à une population précise (comptabilité, CAO...), se déploie plutôt sur les utilisateurs, et le suit d'un poste à l'autre. L'affinité utilisateur-appareil permet alors de ne l'installer que sur le poste principal de chacun, et non sur toutes les machines où il ouvre une session.

✋ Ne confondez pas le package de Configuration Manager avec le packaging d'une application : le packaging consiste à reconditionner un logiciel pour qu'il s'installe silencieusement, avec la bonne configuration. C'est un métier à part entière.

Etape 1 : Préparer les sources

1) Sur le serveur, créez un dossier Sources et partagez-le. Accordez la lecture au compte d'ordinateur du serveur de site (SRV-MECM-01$) et aux administrateurs ;

💡 Pourquoi le serveur et pas les postes ? Les postes ne lisent jamais ce partage : c'est le serveur de site qui y prend les fichiers pour les copier sur les points de distribution. Les postes, eux, téléchargent le contenu depuis le point de distribution.

2) Téléchargez l'installeur MSI de Firefox ESR (Extended Support Release, la version de Firefox pour les entreprises) sur le site de Mozilla, et rangez-le dans un sous-dossier Sources\Applis\Firefox. Renommez le fichier pour qu'il ne contienne aucune espace.

Etape 2 : Créer l'application

1) Dans Bibliothèque de logiciels > Vue d'ensemble > Gestion des applications > Applications, cliquez sur Créer une application ;

2) L'assistant peut lire automatiquement les informations d'un MSI. Pour découvrir toutes les étapes, choisissez plutôt Spécifier manuellement les informations de l'application ;

3) Renseignez les informations générales de l'application (nom, éditeur, version) ;

4) Écran Types de déploiement > Ajouter : choisissez Windows Installer (fichier *.msi) et indiquez le chemin UNC du MSI (\\srv-mecm-01\Sources\Applis\Firefox\...). L'assistant y lit les informations du logiciel ;

5) Laissez les informations générales par défaut, mais observez la ligne de commande d'installation : msiexec /i ... /q. Le /q (quiet) rend l'installation silencieuse, invisible pour l'utilisateur ;

6) Écran Spécifications : ajoutez la condition Windows 11 (64 bits) ;

7) Pas de dépendance ici : validez le résumé et fermez l'assistant.

💡 Et la méthode de détection ? Pour un MSI, l'assistant l'a créée tout seul : il vérifie la présence du code produit du MSI sur le poste. Allez la voir dans les propriétés du type de déploiement.

Etape 3 : Distribuer et déployer

1) Clic droit sur l'application > Déployer ;

2) Collection : Regroupements de périphériques > Tous les clients poste de travail et serveur ;

3) Contenu : ajoutez votre point de distribution, pour y copier le contenu ;

4) Paramètres de déploiement : choisissez Obligatoire ou Disponible, comme vous le souhaitez ;

5) Laissez les autres options par défaut et validez ;

6) Suivez le déploiement dans Surveillance > Vue d'ensemble > Déploiements. Pour accélérer, lancez sur le poste la notification Évaluer les déploiements d'applications (TP03) ;

7) Sur le poste client, ouvrez le Centre logiciel (menu Démarrer) : Firefox y apparaît, disponible ou installé.

Dépanner la distribution d'applications

💡 Lisez-les dans l'ordre du voyage de l'application : détection, évaluation, téléchargement, installation. Le premier journal en erreur vous dit où chercher.

Questions

TP05 : Sécuriser les postes

Objectifs

• Gérer et déployer les mises à jour Windows avec WSUS.

• Administrer l'antivirus des postes avec Endpoint Protection.

Prérequis

• Avoir réalisé les TP précédents.

Cours : les mises à jour avec WSUS

WSUS (Windows Server Update Services) distribue les mises à jour Microsoft sur le réseau de l'entreprise, sans que chaque poste ne les télécharge sur Internet. Il permet de :

• centraliser l'administration des mises à jour ;
• économiser la bande passante ;
• choisir et tester les mises à jour avant de les déployer ;
• suivre l'état de chaque poste.

Configuration Manager pilote WSUS à travers le point de mise à jour logicielle (SUP) : WSUS synchronise le catalogue des mises à jour, et Configuration Manager se charge de tout le reste (choix, téléchargement, déploiement, suivi).

💡 Microsoft a annoncé en 2024 que WSUS n'évoluerait plus. Il reste pris en charge, et c'est toujours sur lui que s'appuie Configuration Manager : la gestion des mises à jour bascule progressivement vers le cloud (Windows Autopatch, Intune).

Etape 1 : Installer WSUS

1) Dans le Gestionnaire de serveur, ajoutez le rôle Windows Server Update Services, avec les fonctionnalités proposées ;

2) Services de rôle : cochez WSUS Services et SQL Server Connectivity, et décochez WID Connectivity. La base de WSUS sera hébergée dans votre instance SQL, plus performante et plus simple à maintenir que la base interne de Windows ;

3) Contenu : indiquez un dossier local (par exemple C:\WSUS). Il restera presque vide : c'est Configuration Manager, et non WSUS, qui téléchargera les mises à jour ;

4) Instance de base de données : srv-mecm-01\SQLCM ;

5) Installez, puis lancez les tâches post-installation ;

✋ Ne configurez pas WSUS et fermez son assistant de configuration s'il s'ouvre : les produits, les classifications et la synchronisation se règlent depuis Configuration Manager. Configurer les deux, c'est risquer des réglages contradictoires.

Etape 2 : Installer le point de mise à jour logicielle

1) Dans Administration > Vue d'ensemble > Configuration du site > Serveurs et rôles de système de site, clic droit sur votre serveur > Ajouter des rôles de système de site ;

2) Sélectionnez le rôle Point de mise à jour logicielle ;

3) Configurez-le comme sur les captures : WSUS en 8530/8531, synchronisation depuis Microsoft Update, synchronisation quotidienne (indispensable pour les mises à jour de définitions de l'antivirus), alerte en cas d'échec de synchronisation ;

4) Classifications : ne cochez que Mises à jour critiques, Mises à jour de la sécurité et Mises à jour de définitions ;

5) Produits : cochez Windows 11 et Microsoft Defender Antivirus ;

6) Choisissez les langues, puis terminez l'assistant.

💡 Pourquoi si peu de cases ? Chaque produit et chaque classification ajoutent des milliers de mises à jour au catalogue, à synchroniser et à stocker. La règle est celle de la minimisation : ne synchronisez que ce que vous déploierez.

7) Suivez l'installation du rôle dans SUPSetup.log, puis la synchronisation dans wsyncmgr.log. Pour ne pas attendre, lancez-la vous-même : Bibliothèque de logiciels > Mises à jour logicielles > Toutes les mises à jour logicielles > Synchroniser les mises à jour logicielles. La première synchronisation est longue.

💡 Les réglages du point de mise à jour se modifient ensuite dans Administration > Configuration du site > Sites > Configurer les composants de site > Point de mise à jour logicielle.

Etape 3 : Déployer des mises à jour

1) Éditez vos paramètres client Clients, section Mises à jour logicielles, et réglez-les comme sur la capture ;

2) Dans Bibliothèque de logiciels > Mises à jour logicielles > Toutes les mises à jour logicielles, sélectionnez quelques mises à jour, clic droit > Créer un groupe de mises à jour logicielles, nommé TEST ;

3) Sélectionnez ce groupe et cliquez sur Déployer : - collection : Tous les clients poste de travail et serveur ; - type : Obligatoire, planifié dès que possible ; - expérience utilisateur : à votre convenance (vous pouvez désactiver le redémarrage automatique) ; - téléchargement : depuis un point de distribution ; - package de déploiement : créez le package TEST, dans un dossier partagé Sources\WSUS, distribué sur votre point de distribution ; - emplacement de téléchargement : Internet ;

4) Patientez pendant le téléchargement : les fichiers apparaissent dans Sources\WSUS. Les mises à jour s'installent ensuite sur le poste client.

Dépanner les mises à jour

Cours : l'antivirus avec Endpoint Protection

Endpoint Protection permet de piloter Microsoft Defender Antivirus, intégré à Windows, et le pare-feu Windows depuis la console : des stratégies anti-programme malveillant fixent les réglages (analyses, exclusions, protection en temps réel...), et des tableaux de bord affichent l'état de protection de tout le parc.

Etape 4 : Mettre en place Endpoint Protection

1) Ajoutez le rôle Point Endpoint Protection à votre serveur (comme pour le point de mise à jour), avec le niveau d'adhésion de base au service de protection cloud. Vérifiez son installation dans EPSetup.log ;

2) Éditez vos paramètres client Clients, section Endpoint Protection, et réglez-les comme sur la capture. Sur Windows 11, Defender est déjà présent : Configuration Manager ne l'installe pas, il le pilote ;

3) Dans Actifs et Conformité > Endpoint Protection > Stratégies anti-programme malveillant, cliquez sur Créer une stratégie anti-programme malveillant, nommez-la, et explorez ses réglages (vous pouvez garder les valeurs par défaut) ;

4) Déployez la stratégie sur la collection qui contient votre poste.

✋ On peut aussi créer des stratégies de pare-feu Windows... avec prudence : une règle trop stricte peut couper le dialogue entre le poste et Configuration Manager, et le poste ne recevra plus jamais la correction !

Etape 5 : Tester avec EICAR

1) Sur le poste client, dans le Bloc-notes, saisissez la chaîne de test EICAR, inoffensive mais détectée par tous les antivirus :

X5O!P%@AP[4\PZX54(P^)7CC)7}$EICAR-STANDARD-ANTIVIRUS-TEST-FILE!$H+H*

2) Enregistrez-la sur le Bureau sous le nom eicar.com, avec le type Tous les fichiers (sinon le Bloc-notes ajoute .txt) ;

3) Defender doit détecter et neutraliser le fichier. Observez la détection dans le tableau de bord Surveillance > Sécurité > État Endpoint Protection : - l'état de sécurité : postes protégés, postes à risque, clients inactifs ou non installés ; - les programmes malveillants détectés, avec l'état de leur traitement.

4) Depuis la console, lancez à distance une analyse rapide et une mise à jour des définitions du poste : clic droit sur le poste > Endpoint Protection. Suivez-les dans Surveillance > Opérations du client.

Dépanner Endpoint Protection

Questions

TP06 : Déployer un système d'exploitation

Objectifs

• Préparer le démarrage réseau (PXE) des postes.

• Importer une image de Windows 11 et créer une séquence de tâches.

• Installer un poste neuf de A à Z, à travers le réseau.

Prérequis

• Avoir réalisé les TP précédents, et notamment le TP04 (l'application Firefox).

Cours : le déploiement de systèmes d'exploitation

Renouveler ou réinstaller des postes est l'une des opérations les plus longues et les plus coûteuses du métier. Configuration Manager l'automatise :

1) le poste neuf démarre sur le réseau (PXE) et charge un environnement minimal, WinPE ;

2) une séquence de tâches prend le relais : elle partitionne le disque, applique l'image de Windows, joint le poste au domaine, installe le client ConfigMgr puis les applications.

Le technicien appuie sur une touche... et retrouve, une heure plus tard, un poste prêt à l'emploi.

Le démarrage PXE (Preboot eXecution Environment) permet à un poste sans système de démarrer sur sa carte réseau. Il lui faut :

• un serveur DHCP, pour obtenir une adresse ;
• un point de distribution compatible PXE, qui répond à la demande et envoie l'image de démarrage ;
• des ports ouverts : DHCP (UDP 67 et 68), TFTP (UDP 69) et UDP 4011.

💡 Si le serveur DHCP n'est pas sur le même réseau que les postes, les demandes PXE, diffusées en broadcast, ne traversent pas les routeurs : on configure alors un relais DHCP (IP Helper) sur le routeur.

Etape 1 : Le compte d'accès réseau

Pendant le déploiement, le poste tourne sous WinPE : il n'est pas encore membre du domaine, et ne peut donc pas s'authentifier auprès du point de distribution. On lui fournit un compte d'accès réseau (Network Access Account), qui ne sert qu'à lire le contenu des points de distribution.

1) Créez le compte svc.naa, simple utilisateur du domaine, sans aucun autre droit ;

2) Dans Administration > Configuration du site > Sites, sélectionnez votre site > Configurer les composants de site > Distribution de logiciels ;

3) Onglet Compte d'accès réseau : choisissez Spécifier le compte qui accède aux emplacements réseau, et ajoutez svc.naa.

✋ Le mot de passe du compte d'accès réseau est transmis à tous les clients, et un attaquant administrateur d'un seul poste peut le récupérer. Ce compte ne doit donc jamais avoir d'autres droits que la lecture du contenu : ni administrateur, ni droit d'ouverture de session interactive. Utiliser un compte d'administrateur du domaine ici, c'est offrir les clés du domaine à quiconque compromet un poste.

Etape 2 : Activer le PXE sur le point de distribution

1) Dans Administration > Vue d'ensemble > Points de distribution, ouvrez les propriétés de votre serveur, onglet PXE ;

2) Cochez : - Activer la prise en charge PXE pour les clients ; - Autoriser ce point de distribution à répondre aux requêtes PXE entrantes ; - Activer la prise en charge des ordinateurs inconnus (un poste neuf n'est pas encore dans la base) ;

3) Réglez le délai de réponse du serveur PXE à quelques secondes : vous aurez le temps d'appuyer sur la touche de démarrage réseau du poste.

💡 Cochez aussi Exiger un mot de passe quand les ordinateurs utilisent PXE : sans lui, n'importe quel poste branché sur le réseau peut lancer un déploiement... et repartir avec une image de l'entreprise.

Etape 3 : Importer l'image de Windows 11

1) Copiez le contenu de l'ISO de Windows 11 dans le partage Sources\OS\W11_version ;

2) Dans Bibliothèque de logiciels > Systèmes d'exploitation > Images du système d'exploitation, cliquez sur Ajouter une image du système d'exploitation ;

3) Indiquez le chemin UNC du fichier sources\install.wim, qui contient toutes les éditions de Windows ;

4) Cochez Extraire un index d'image spécifique et choisissez Windows 11 Professionnel : seule cette édition sera importée ;

5) Choisissez la langue et l'architecture x64 ;

6) Renseignez précisément les informations de l'image (nom, version), puis terminez l'assistant.

7) Distribuez le contenu de l'image sur votre point de distribution (clic droit > Distribuer le contenu). Faites de même pour l'image de démarrage x64, dans Images de démarrage, et cochez dans ses propriétés, onglet Source de données, Déployer cette image de démarrage à partir du point de distribution compatible PXE.

Etape 4 : Créer la séquence de tâches

1) Dans Bibliothèque de logiciels > Systèmes d'exploitation > Séquences de tâches, cliquez sur Créer une séquence de tâches, puis Installer un package d'image existant ;

2) Nommez-la, et sélectionnez l'image de démarrage x64 ;

3) Installer Windows : sélectionnez l'image importée, n'activez pas BitLocker, saisissez la clé générique de Windows 11 Professionnel W269N-WFGWX-YVC9B-4J6C9-T83GX, et activez le compte administrateur local avec un mot de passe robuste ;

💡 Cette clé est une clé générique publiée par Microsoft pour les déploiements en entreprise : elle permet l'installation, mais l'activation se fait ensuite avec les licences de l'entreprise (serveur KMS ou activation par Active Directory).

4) Configurer le réseau : joignez le domaine maboite.internal, dans l'OU des ordinateurs de l'Informatique, avec un compte autorisé à joindre des postes au domaine ;

5) Laissez le client ConfigMgr par défaut ;

6) Migration de l'état : décochez tout. Sur un poste neuf, il n'y a pas de données d'utilisateur à migrer avec USMT ;

7) N'installez pas de mises à jour ;

8) Installer les applications : ajoutez Firefox ESR, l'application créée au TP04 ;

9) Terminez l'assistant.

Etape 5 : Déployer la séquence et installer un poste neuf

1) Sélectionnez la séquence de tâches > Déployer ;

2) Collection : Tous les ordinateurs inconnus, la collection des postes absents de la base, comme un poste neuf ;

3) But : Disponible, rendu accessible aux médias et au PXE ;

4) Ne planifiez rien, réglez l'expérience utilisateur comme sur la capture, et laissez les autres paramètres par défaut ;

✋ Ne déployez jamais une séquence de tâches de déploiement d'OS en obligatoire sur une collection de postes en service : elle efface le disque ! Une erreur de collection, et ce sont des dizaines de postes réinstallés, avec les données de leurs utilisateurs. Les déploiements disponibles, sur la collection des ordinateurs inconnus, sont la règle.

5) Créez une nouvelle VM Windows 11 vide (UEFI, TPM et démarrage sécurisé activés, carte réseau en réseau interne), placez la carte réseau en premier dans l'ordre de démarrage, et démarrez-la. Appuyez sur la touche demandée pour le démarrage réseau... la magie opère ?

Dépanner le déploiement

La ligne de commande de WinPE. Dans les propriétés de l'image de démarrage, onglet Personnalisation, cochez Activer la prise en charge des commandes (test uniquement). Pendant le déploiement, la touche [F8] ouvre alors une invite de commandes sur le poste, pour lire les journaux ou tester le réseau (ipconfig).

✋ Cette invite de commandes s'exécute avec les droits du système : une personne présente devant le poste pendant le déploiement peut tout y faire. On ne l'active jamais en production.

Les erreurs les plus courantes, dans l'ordre du déploiement :

• Abort PXE au démarrage : le poste est déjà connu de la base, aucun déploiement ne le cible, ou l'image de démarrage n'est pas sur le point de distribution ;

• WinPE démarre, puis le poste redémarre aussitôt : WinPE ne reconnaît pas la carte réseau (vérifiez avec ipconfig via [F8], et ajoutez le pilote à l'image de démarrage), un contenu nécessaire n'est pas distribué, ou le compte d'accès réseau ne fonctionne pas ;

• Erreur 0x80070490 : la séquence tente de partitionner un disque qui n'existe pas ;

• Erreur 0x8004242C : la partition est trop petite pour l'image ;

• Le poste ne joint pas le domaine : contrôleur de domaine injoignable, ou compte de jonction sans les droits nécessaires sur l'OU.

Questions

Pour aller plus loin

Auto-évaluation

Avant de considérer ce cours comme acquis, vérifiez que vous savez faire et expliquer chacun des points suivants :

• [ ] Je sais expliquer le rôle de Configuration Manager, son architecture (site, rôles, base SQL, client) et sa place dans la famille Intune
• [ ] Je sais installer un site primaire et ses prérequis, et expliquer le rôle d'un compte de service et d'un SPN
• [ ] Je sais configurer les découvertes Active Directory et les groupes de limites
• [ ] Je sais déployer le client ConfigMgr et diagnostiquer son installation avec les journaux
• [ ] Je sais créer et déployer des paramètres client, et exploiter l'inventaire
• [ ] Je sais assister un utilisateur avec la prise en main à distance, dans le respect de sa vie privée
• [ ] Je sais expliquer la différence entre un package et une application, et déployer une application
• [ ] Je sais gérer les mises à jour avec WSUS et le point de mise à jour logicielle
• [ ] Je sais piloter l'antivirus des postes avec Endpoint Protection
• [ ] Je sais déployer un système d'exploitation par PXE avec une séquence de tâches, et en connaître les risques
• [ ] Je sais trouver et lire le bon journal avec CMTrace pour diagnostiquer un problème

Références

• Documentation de Configuration Manager (Microsoft Learn)
• Microsoft Endpoint Configuration Manager : exploitation et administration (Éditions ENI)