salut à tous, c'est Florian Hiti cc Bienvenue dans cette vidéo au sein de laquelle je vais vous parler des stratégies de conformité au niveau
de Microsoft In tune. Donc tout d'abord, nous allons voir ce que c'est une stratégie de conformité
Quel va être l'intérêt? L'objectif de configurer ce type de stratégie pour nos appareils
qu'ils soient sous Windows ou un autre système d'exploitation. Et puis après
bien sûr, nous partirons dans une phase de démonstration où je vais vous montrer comment créer une stratégie de conformité très basique pour des appareils
sous Windows. Donc nous allons vraiment faire toute la procédure de configuration
pas à pas pour que vous puissiez vous aussi prendre en main cette fonctionnalité de votre côté
Alors, sans plus attendre, on va passer à la première partie théorique qui sera assez rapide avant de passer à la démo
Mais avant cela, pensez à vous abonner à la chaîne YouTube Connect. Si ce n'est pas encore fait à ce jour
alors qu'est ce qu'une stratégie de conformité? Bien! C'est une stratégie qui va nous permettre de nous assurer que nos appareils respectent les règles de
base en matière de sécurité c'est-à-dire qu'on va définir un ensemble de points de configuration avec la valeur associée en face c'est-à-dire on va pouvoir
dire bah tiens moi je voudrais que le chiffrement bitlocker soit activé sur le disque C je voudrais que le par Windows soit activé
Je voudrais que la version de Windows soit minimum un Windows onze vingt-trois H deux avec les mises à jour d'avril deux mille vingt-quatre Voil�
on va pouvoir définir un certain nombre de critères qui vont permettre et bien de dire si une machine est conforme ou non justement �
cette fameuse stratégie de conformité. Donc ça va vraiment être nous en tant qu'administrateur systèmes qui allons définir ces différents critères de conformit�
pour nos différents appareils. Si on prend un autre exemple lié plutôt à la partie mobile
eh bien on pourrait dire que un appareil mobile est conforme s'il n'a pas été routé ou breaké
donc soit en fonction si c'est de l'androïd ou de l'ios, alors tout ça derrière ça va nous permettre d'identifier d'une part les appareils conformes
et ceux non conformes et donc on pourra notamment s'appuyer sur ça au sein des stratégies d'accès conditionnel c'est-à-dire qu'on pourra dire que un appareil
peut être utilisé pour accéder à telle application que s'il est conforme
Ce qui veut dire que, en amont et bien il respecte un certain nombre de critères que l'on aura défini dans notre stratégie de conformit�
Voilà pour la présentation globale de cette fonction. Maintenant, nous allons voir ce que ça donne en pratique et effectuer la configuration pas à pas
rendez-vous sur le centre d'administration Microsoft. Nous allons commencer par nous intéresser aux paramètres généraux liés aux stratégies de conformité
donc ici dans la partie appareil conformité. Et on va avoir ici différents onglets
notamment l'onglet Paramètre de conformité qui est ici là, on a deux paramètres qui sont vraiment globaux à tous les appareils
Alors marquer les appareils sans stratégie de conformité comme étant conforme ou non conforme Bah nous
on va se dire qu'un appareil qui n'a pas de stratégie de conformité, on ne lui fait pas confiance par défaut
on ne sait pas quelle est sa configuration, donc il va être non conforme. Donc attention aussi éventuellement potentiellement à l'impact de faire ça
Et ensuite nous avons un autre paramètre. Période de validité de l'état de conformité en nombre de jours
ce nombre de jours doit être compris entre un et cent vingt
C'est à dire que quand un appareil a été ysé, qu'il est déterminé comme étant conforme
et bien il bénéficie de cet état pendant une durée de trente jours
Ce qui fait que voilà, si il n'est pas reconnecté ou qu'il ne refait pas de au bout de de plus de trente jours
il sera considéré comme non conforme. Donc voilà pour le petit le petit détail donc voilà
on va ensuite enregistrer ici et nous allons nous intéresser à la partie notification puisqu'en fait on va pouvoir faire en sorte que quand un
appareil est détecté comme non conforme, bien on reçoive une notification comme ça
on est au courant qu'il y a quelque chose qui va pas sur cet appareil. On peut imaginer que si on définit certains critères
comme par exemple le pare-feu Windows doit être activé, si un utilisateur parvient à le désactiver sur sa machine
et bien l'appareil ne sera plus conforme et on pourra être averti de ce problème de configuration
Donc avant d'aller créer une notification, ce que l'on va quand même aller faire
c'est se rendre ici dans administration de locataire, aller jeter un petit coup d'oeil à tout ce qui va être ici personnalisation puisqu'en fait on
va tout ça va être lié, la partie notification etc. À la personnalisation au de votre environnement c'est-à-dire qu'on va pouvoir ajouter le nom de
l'entreprise, le logo etc. Donc avant d'aller dans la partie notification, il vaut mieux aller là dedans pour faire le de son entreprise
Donc on va pouvoir modifier les différents paramètres, notamment mettre le nom de l'organisation
On pourra aussi mettre un logo, choisir des couleurs, etc. Cette configuration qui de toute façon importante puisqu'elle est aussi utilisée notamment par l'application
portail entreprise, voire même le portail d'entreprise en mode web en tant que tel
Donc c'est vraiment quelque chose à faire au niveau d'une et en plus c'est très simple à effectuer
donc autant en profiter. Voilà pour vous montrer hein, j'ai configuré. Voilà quelques paramètres
J'ai mis le logo des choses comme ça, donc libre à vous de tout renseigner
les informations de support, etc. Et ensuite de faire réviser et enregistrer et voilà
et de modifier tout ce qui va être ici la partie personnalisation
Une fois que ça s'est fait, vous allez pouvoir retourner dans appareil conformité et cette fois-ci dans l'onglet Notification
On va pouvoir créer une nouvelle notification et là, on va avoir un assistant de création d'une notification de non-conformité
Voilà, on peut mettre un nom comme celui-ci, on fait suivant. Et là, on va pouvoir donc paramétrer ces informations là de base de niveau
de l'en-tête et du pied de page de l'email. Donc là, on voit en fait que ça reprend ce qu'on a configuré dans les paramètres
de personnalisation il y a quelques instants. D'où l'importance de le faire en amont avant d'aller config- y aurait tout ce qu'il y a ici
donc on peut activer ou désactiver le nom de la société, le logo, etc. Voilà donc après
en fonction des besoins, on adapte et on va faire suivant. Et là
on arrive sur la partie modèle de message de notification. Donc on va ajouter un modèle
Et ici, sur la droite, on va prendre les paramètres régionaux. En fait, on peut avoir des modèles différents en fonction des langues
Donc si vous travaillez dans une entreprise qui est présente dans plusieurs pays, ce sera intéressant puisque vous pouvez avoir des modèles d'emails qui vont
s'adapter en fonction des paramètres régionaux de l'appareil en question alors là du coup on va prendre tout d'abord français
En France on va définir un objet par exemple appareil non conforme et nous devons définir le texte de cet email
Donc on peut faire une mise en forme HTML On voit comme c'est marqué ici qu'on a un certain nombre de balises qui sont pris
en charge. Là je vais simplement mettre un petit texte comme celui-ci. Attention, un appareil inscrit dans une T n'est plus en conformité simplement pour
la démo je vais enregistrer et je vais quand même le remodifier celui-là
Je vais le définir par défaut. Voilà. Sinon on a une erreur. Il faut vraiment d'avoir un modèle par défaut
Donc moi ce sera celui-ci pour cette notification et ensuite on va jusqu'à la fin
on fait suivant et on fait créer. Voilà. Donc la notification est bien là
Maintenant, on va pouvoir s'intéresser à la création d'une stratégie de conformité en tant que telle
Alors au niveau des stratégies de conformité, on a la partie ici où là, on va vraiment créer des stratégies
On va dire telle telle fonction doit être activée ou désactivée, avoir telle valeur
voilà, on va le voir tout de suite et on a aussi partie script où en fait, vous pouvez créer des scripts powershell de vérification
de la conformité où là, c'est vraiment votre script qui va aller vérifier quelque chose sur la machine
par exemple, l'espace disque restant, Donc vu que c'est du on va pouvoir vraiment aller très loin et faire de la vérification sur mesure et
ensuite intégrer ça dans une stratégie conformité. Donc ça permet vraiment d'aller plus loin et c'est assez assez intéressant
Nous, aujourd'hui, on va simplement créer une stratégie. On va utiliser les paramètres par défaut posé par une tune
Ici, on va sélectionner la plateforme Windows dix. Voilà, on va faire créer
donc on arrive sur un assistant assez classique. Voilà. Donc on commence par donner un nom à cette stratégie dans la description
Ce qui peut être intéressant, c'est de lister les points checkés par cette stratégie et on va aller ensuite en paramètre de conformité
Donc là, en fait, il faut définir ce que vous exigez ou non en termes de paramètres de conformité
Alors là, si vous faites conformité personnalisée, c'est notamment pour sélectionner un script de détection
donc on va pas faire ça pour aujourd'hui on va s'intéresser plutôt à tous les paramètres qui sont en dessous
Donc là on est sur l'intégrité de l'appareil est-ce qu'on veut exiger que bitlocker soit activé ou non
Donc là je vais le mettre sur exigé puisque dans une précédente vidéo je vous ai montré comment activer et configurer bitlocker de façon automatique
Donc on pourrait partir du principe que on va le déployer sur tous nos appareils et donc on va exiger que bitlocker soit activé sur
une machine pour qu'elle soit considérée comme conforme. Après on a le donc de démarrage sécuri sécurisé l'intégrité du code Voilà on pour activer différentes
choses. Attention, si vous faites des tests sur VM et certaines fonctionnalités qui remontent pas forcément très bien
ensuite on a la version du système d'exploitation. Alors là on va pouvoir définir la version minimale
voire même la version maximale. Alors ce qui peut être intéressant, c'est pour vérifier si votre votre appareil Windows a un niveau de mise �
jour relativement récent puisqu'au delà de préciser le numéro de version majeure par exemple du Windows onze vingt-trois H deux Bon
on va pouvoir aller voir si c'est du onze vingt-trois H deux mais avec les mises à jour d'avril deux mille vingt-quatre par exemple
Alors comment on va pouvoir aller vérifier ça sur une machine? Onze on va faire un ici on va faire entrée et on va avoir
ici des informations on a la B du système d'exploitation, on a vingt-deux six cent trente et un point trente-quatre quarante-sept Donc ça c'est pour
une machine qui est à jour avec les mises à jour d'avril deux mille vingt-quatre alors quand on va pouvoir exploiter cette information là du
coup on va rebasculer sur le portail une tune et là on va venir mettre version minimale du système d'exploitation
On va toujours mettre dix point zéro point donc le vingt-deux six cent trente et un point le trente-quatre quarante-sept
Donc c'est bien ce que j'ai remonté comme information avec le à l'instant sur la machine Windows onze
Donc ça, ça sera la version minimale que doivent utiliser mes appareils. Alors bien sûr
en production, on fera sûrement différemment. Là, c'est pour la démo. Je sais que toutes mes machines ont cette version là
Je veux vraiment que ce soit le minimum de base pour que la machine soit conforme avec ma stratégie de conformité en précisant cette information
là, je m'assure que mes appareils seront déclarés conformes à partir du moment où ils ont les dernières mise à jour Windows
Ce qui m'assure que ces appareils sont protégés contre les dernières failles de sécurité connues et corrigées par Microsoft
Donc on peut aller un petit peu plus loin sur cette partie là. On a ensuite la partie C conformité de configuration manager
ça,c'estsivousavezsivousêtesenmodecogestionetvousavezunconfigurationmanagersursite.Ensuite,nousavonstoutcequiestsécurité,systèmeoùlàencore,onvaretrouverunensemble
de paramètres, notamment des paramètres ici où on va pouvoir vérifier des points liés à la sécurité de l'appareil notamment
Bon, on va exiger que le pare-feu soit activé, que l'antivirus soit activé
voilà qu'il y ait aussi une puce T P M et un logiciel anti espion
Voilà, on voit que tout ça, il faut que ce soit activé pour que la machine soit déterminée comme étant conforme et on a voil�
d'autres paramètres, notamment la protection en temps réel. Et si vous avez Microsoft de
vous pouvez aussi et bien aller un petit peu plus loin et faire des vérifications à ce niveau là
on va faire suivant et je reviens juste en arrière rapidement. Mais à chaque fois ici
n'hésitez pas à regarder les petites inf bulles pour avoir de l'aide sur le fonctionnement des différents paramètres
Alors ensuite et bien, qu'est ce qu'on doit faire en cas de non-conformité? Bah déjà on va marquer l'appareil comme non conforme immédiatement donc l�
on met zéro. On va pouvoir ensuite envoyer un email à l'utilisateur final là encore immédiatement et on va pouvoir sélectionner notre
modèle de notification créé précédemment. Donc d'où l'intérêt de l'avoir créé avant de créer la stratégie de conformité et ensuite destinataire supplémentaire
Ben c'est là où on va pouvoir mettre pour le coup et bien quelqu'un
Voilà de l'équipe pour que recevoir l'information au niveau du service informatique Et on peut même aller encore plus loin puisque si on peut ajouter
un appareil à la liste des mises hors service au bout de voilà par exemple au bout de vingt jours comme non conforme
alors ça c'est très important mais il faut faire très attention avec ça c'est-à-dire que quand vous faites ça et bien potentiellement
on va supprimer les données de l'appareil pour le mettre hors service au bout de vingt jours en étant non conforme et on va le
supprimer d'une Donc là, c'est vraiment pour considérer peut-être que cet appareil
finalement vous ne l'utilisez plus. Donc cette cette règle la n'est pas obligatoire
mais elle offre des possibilités supplémentaires comme on le voit et on peut à tout moment
Vous pouvez rééditer cette stratégie pour éventuellement supprimer cette règle. Si vous souhaitez
vous n'êtes pas obligé d'activer toutes les règles. De toute façon, vous faites suivant et là
on va affecter la stratégie de conformité. Alors soit ça peut être sur certains appareils plus sensibles que d'autres
Vous pouvez aussi faire une stratégie de conformité de base pour tous vos appareils et une stratégie de conformité un peu plus durcie pour certains
appareils spécifiques. Là, je vais cibler tous les appareils comme ceux-ci. On arrive sur la dernière étape où on va vérifier plus créer et on
va cliquer sur créer. Voilà. La stratégie de conformité a été créée
Du côté des appareils, il va rien se passer c'est-à-dire que si une machine n'a pas bitlocker activer ben c'est pas la stratégie de conformit�
qui va activer Bitlocker. Là, on est vraiment juste pour vérifier si la machine est conforme ou non par rapport à ce qu'on a défini
C'est plutôt au niveau d'une qu'il va falloir rester pour voir et bien si les les machines sont conformes ou non
combien il y a de conforme, combien il y a de non conforme? Voilà. Et là, il va falloir suivre tout ça au niveau du
rapport. Donc il va falloir attendre que les machines se synchronisent. Pour l'instant, aucune de mes machines n'est remontée ici
Je voudrais vous montrer aussi au niveau du tableau de bord global. Vous avez ici la conformité de l'appareil et vous avez un petit widget
qui est là par défaut pour vous dire si c'est ok ou non. Ce qui vous permettra de voir s'il y a des appareils qui
sont conformes ou en période de grâce, non évalués non conforme, comme on peut le voir ici
Ensuite, si vous souhaitez exploiter cette histoire de stratégie de conformité avec les stratégies d'accès conditionnelles
vous pouvez y accéder à ça via la sécurité du point de terminaison. Ici
vous avez l'accès conditionnel et vous créez une nouvelle stratégie ici et là
Vous Mettez donc par exemple un nom, Voilà, et ce qui va être intéressant si c'est la partie octroyée ici dans les dans la contrôle
d'accès. Donc là on va cliquer sur la partie, octroyer sur les contrôles sélectionnés et dans accorder l'accès bien on va cocher l'option exiger que
l'appareil soit marqué comme conforme. C'est à dire qu'il y a qu'à partir d'un appareil conforme que on pourra accéder à telle ou telle application
en fonction de la conf qui est effectuée dans la stratégie d'accès conditionnel
Donc on s'assure que cet appareil est correctement configuré, sécurisé avant de de permettre l'accès à partir de cet
appareil en question. Donc voilà ce que l'on peut faire en termes de stratégie d'accès conditionnel fois je vous prévoit un peu plus de plus
de contenu de vidéo sur la partie stratégie d'accès conditionnelle alors on va rebasculer ici sur la partie
je vais rafraîchir ici. Bon, j'ai toujours rien, ça peut mettre du temps à remonter
Donc là j'ai des statuts qui commencent à remonter. On voit que il y a un appareil conforme
un appareil non conforme donc PC itc zéro trois serait non conforme ce que l'on peut faire en fait
c'est aller directement ici dans la partie appareil. Si je vais dans window
je vais retrouver la liste de tous mes appareils avec l'état de la conformité comme on peut le voir Et là donc je bien un
étatnonconformesurcettemachinelà?Alorscommentsavoircequinevapas?Oncliquesurlamachineetonvadoncconformitédel'appareil.Là,j'yretrouvebienmastratégie
Je vois que je suis en non conforme, je peux double cliquer là-dessus et j'ai un état global par rapport à ce que j'ai activ�
dans ma stratégie, on peut voir que Bitlocker n'est pas est non conforme sur cette machine
Alors effectivement, je l'ai volontairement exclu de ma stratégie bitlocker ce qui que sur cette machine le disque n'est pas chiffré
Donc ça remonte bien en non conforme. Et la version minimale du système d'exploitation
c'est en non conforme également puisqu'en fait cette machine est en attente d'installation des dernières mises à jour
Donc du coup, elle n'a pas le numéro de build qui va bien suite à l'installation des mises à jour d'avril deux mille vingt-quatre
ce qui explique également un non conforme ici d'ailleurs, on pourrait se connecter rapidement sur cette machine pour voir que euh
ici, quand je vais dans ce PC donc Bitlocker n'est pas activé hein sinon on aura le petit le petit icône bitlocker à cet endroit
Je suis bien sur la machine du coup qui s'appelle PC tiret I t c tiret zéro trois Et si je vais dans ici
on voit bien que j'ai un redémarrage en attente sur l'installation des dernières mises à jour
Donc ce qui explique que je sois non conforme également de ce point de vue là
en complément dans le portail Microsoft in dans la partie rapport ici
vous avez des rapports disponibles pour la conformité de l'appareil, donc là vous avez vraiment un état global et vous pouvez générer différents rapports ici
Donc ça peut être intéressant aussi d'aller dans cette partie là pour suivre le déploiement
l'état de la conformité de vos appareils, voilà cette vidéo d'introduction aux stratégies de conformité avec
Microsoft In Tune touche à sa fin Nous avons vu comment créer une notification
comment gérer les paramètres globaux des stratégies de conformité dans Tune nous ai montré rapidement aussi pour la partie accès conditionnel
Et puis bien sûr, nous avons créé une stratégie de conformité à destination des appareils Windows
Nous avons surveillé dans le portail une tune pour voir et bien est-ce que les appareils était conforme au nom
Et surtout, nous avons pu voir que quand un appareil est non conforme
on est capable d'identifier ce qui ne va pas au niveau de la configuration de cet appareil là
En complément de cette vidéo, n'hésitez pas à regarder mes précédentes vidéos, notamment celles sur la configuration de Becker ou celle sur l'activation et la
configuration du pare-feu Windows. Alors j'espère que ça vous a plu. N'hésitez pas à liker à partager et je vous retrouve très vite Ciao