Pendant des années et par exemple dans des scénarios de BYOD sous Windows, un simple ajout de compte professionnel ou scolaire dans Windows (Edge / Teams / Outlook) pouvait déclencher une série d’événements inattendus : enrôlement MDM Intune non désiré, appareils BYOD transformés en appareils “corporate”… Le tout à cause d’une petite case que les utilisateurs validaient machinalement, sans trop réfléchir : « Allow my organization to manage my device ».
Bonne nouvelle : Microsoft introduit enfin un moyen clair et administrable de reprendre la main sur ce comportement grâce à un petit toggle (voir plus bas) 🙂
Le problème : un prompt anodin mais pas sans conséquences
À chaque ajout de compte professionnel/scolaire, Windows affichait une boîte de dialogue demandant à l’utilisateur si l’organisation pouvait gérer l’appareil. En apparence inoffensif, ce mécanisme entraînait pourtant :
- Des enrôlements Intune involontaires
- Des appareils BYOD enrôlés sans consentement.
- Une absence totale de contrôle pour nous, administrateur.
Derrière ce simple ajout de compte, Windows déclenchait automatiquement :
- Un Workplace Join, l’appareil était en mode Entra ID registred
- Tentative d’enrôlement MDM Microsoft Intune, si l’utilisateur appartenait au scope MDM.
Le tout sans avertissement, sans séparation des étapes, et sans possibilité de désactiver ce comportement côté sMicrosoft Intune.
La nouveauté : un paramètre Intune qui change tout
Microsoft introduit en Public Preview un nouveau paramètre dans la configuration d’enrôlement automatique de Microsoft Intune :
‘Disable MDM enrollment when adding a work or school account on Windows‘
Concrètement :
- Paramètre Désactivé → comportement historique : enrôlement possible.
- Paramètre Activé → Windows enregistre le compte, l’appareil est Entra ID registred mais n’est plus enrôlé dans Intune.
- Le fameux prompt ne s’affiche plus 😉
Ce changement s’intègre dans la nouvelle expérience Windows, qui sépare désormais clairement :
- Enregistrement dans Entra ID
- Enrollment dans Microsoft Intune
Le toggle contrôle directement si l’étape d’enrôlement doit être exécutée ou non.
Conclusion
Ce nouveau paramètre met fin à un problème vieux de plusieurs années. Les administrateurs peuvent enfin décider si l’ajout d’un compte professionnel doit déclencher ou non un enrôlement MDM. Une avancée majeure pour les environnements BYOD qui réduit drastiquement les risques d’enrôlements accidentels et les opérations de nettoyage Entra ID / Intune associées.