Introduction
Dans un monde IT hybride, SCCM (désormais Microsoft Endpoint Configuration Manager - MECM) et Intune représentent les deux piliers de la gestion des endpoints. SCCM excelle dans les environnements on-premise avec un contrôle granulaire sur les déploiements complexes, tandis qu'Intune brille dans le cloud pour sa scalabilité et son intégration native à Microsoft 365.
La co-gestion (co-management) émerge comme la solution idéale en 2026 : elle permet de piloter les deux outils en parallèle, transférant progressivement les workloads (comme les déploiements d'applications ou la conformité) d'SCCM vers Intune. Pourquoi est-ce crucial ? Les entreprises font face à une explosion des appareils mobiles, du télétravail et des exigences ZTNA (Zero Trust). Selon Gartner, 80 % des firmes migreront vers une gestion cloud d'ici 2027.
Ce tutoriel intermédiaire explore la théorie, les phases d'implémentation et les bonnes pratiques, sans code, pour une approche conceptuelle actionable. Vous apprendrez à orchestrer cette symbiose, évitant les disruptions et maximisant la valeur business (réduction des coûts TCO de 30-50 %).
Prérequis
- Connaissances solides en administration Windows Server et Active Directory.
- Expérience avec SCCM (au moins version 2103+) et Intune via Microsoft Endpoint Manager.
- Accès à un tenant Azure AD Premium P1/P2 et un environnement SCCM hybride.
- Familiarité avec les concepts de MDM (Mobile Device Management) et MAM (Mobile Application Management).
Fondations de la co-gestion : Comprendre les rôles complémentaires
La co-gestion repose sur Azure AD Connect pour hybrider les identités. SCCM gère les workloads traditionnels (OS Imaging, pilotes hardware), tandis qu'Intune prend en charge les scénarios cloud-natifs (gestion conditionnelle d'accès, autopilot).
Analogie : Imaginez SCCM comme un orchestre symphonique on-premise (contrôle total) et Intune comme un DJ cloud (flexibilité instantanée). La co-gestion est le chef qui assigne les partitions.
| Workload | SCCM (On-Prem) | Intune (Cloud) | Priorité de transfert |
|---|---|---|---|
| ---------- | ---------------- | --------------- | ---------------------- |
| Déploiements OS | ✅ Pilote | ⏳ Progressif | Moyenne |
| Applications | ✅ Granulaire | ✅ Moderne | Haute |
| Conformité | ✅ Politiques complexes | ✅ Intégration Defender | Haute |
| Mises à jour | ✅ WSUS-like | ✅ Automatisée | Basse |
Phase 1 : Préparation et pilote
Commencez par évaluer la maturité : Utilisez le Cloud Management Readiness Tool de Microsoft pour scorer votre environnement (cible >75/100).
- Configurer l'intégration : Activez le Cloud Attach dans SCCM (Administration > Cloud Services > Co-management).
- Pilote sur 10-50 machines : Sélectionnez des pilotes Windows 10/11 jointe à Azure AD Hybrid.
- Activer automatiquement l'inscription Intune via GPO ou script SCCM.
- Vérifiez la connectivité Cloud Management Gateway (CMG).
- Testez l'accès conditionnel (CA) pour valider les politiques.
- Monitorez via Console SCCM > Monitoring > Co-management.
Phase 2 : Transfert progressif des workloads
Les 7 workloads clés se transfèrent un par un, du plus sûr au plus critique :
- Client Apps : Transférez en premier (Win32 apps via Intune).
- Compliance Policies : Migrez vers Intune pour l'intégration Defender for Endpoint.
- Office Clic-to-Run : Naturellement cloud.
- Windows Update : Gardez SCCM si WSUS custom.
- Device Config : Intune pour Zero Trust.
- OS Deploy : Hybride avec Autopilot.
- Office Apps : Dernier.
Exemple concret : Pour les apps, packagez en MSIX et déployez via Intune Company Portal, fallback SCCM si échec.
Phase 3 : Monitoring, gouvernance et optimisation
Post-transfert, implémentez la gouvernance :
- RBAC : Séparez rôles SCCM (admins on-prem) et Intune (cloud ops).
- Analytics : Utilisez Intune Reports + Log Analytics pour KQL queries sur les échecs.
- Rollback : Gardez SCCM comme pilote (cloud manager = 1, pilote = 0).
Framework de maturité :
| Niveau | % Workloads Intune | Métriques |
|---|---|---|
| -------- | ------------------- | ----------- |
| 1 - Pilote | 0-20 % | 95 % uptime |
| 2 - Scale | 20-60 % | <5 % tickets |
| 3 - Mature | >60 % | Automatisation 80 % |
Optimisez avec Advanced Analytics pour prédire les drifts.
Bonnes pratiques essentielles
- Phasage strict : Ne transférez jamais plus de 20 % des workloads par mois pour limiter les risques.
- Communication : Formez les équipes via Microsoft Learn paths et communiquez les changements aux end-users (email + Teams).
- Sécurité first : Activez toujours MAM sans inscription pour les BYOD avant MDM.
- Automatisation : Utilisez Graph API pour les rapports custom (sans code ici, focus PowerShell delegated).
- Coûts : Monitorez les licences Intune (1er appareil gratuit, puis /user) et désactivez CMG inutiles.
Erreurs courantes à éviter
- Transfert massif : Évite le 'big bang' ; 60 % des échecs viennent d'un rollout trop rapide.
- Oubli Hybrid Join : Sans Azure AD Hybrid, les machines restent 'non co-gérées' (check via dsregcmd /status).
- Ignore les legacies : Apps MSI anciennes cassent en Intune ; testez en lab.
- Monitoring laxiste : Sans alertes Log Analytics, les dérives conformité passent inaperçues (ex: patches manquants).
Pour aller plus loin
- Documentation officielle : Microsoft Docs Co-management.
- Outils : Téléchargez le Co-management Dashboard gratuit.
- Communauté : Forums TechNet et Reddit r/Intune.
- Formations Learni : Plongez dans nos formations certifiantes Microsoft Endpoint Manager pour MD-102 et SC-300. Prochaines sessions en 2026 !