Jusqu’à présent, beaucoup d’entreprises regardaient Intune Suite avec beaucoup intérêt… avant de refermer rapidement la page à la vue des tarifs qui peuvent être parfois exorbitants si l’organisation a beaucoup d’utilisateurs. Pour bénéficier de fonctionnalités comme Remote Help, Endpoint Privilege Management ou Cloud PKI, il fallait souscrire une licence supplémentaire qui n’était pas toujours facile à justifier auprès d’un comité DSI.
Avec l’intégration en cours d’Intune Suite dans Microsoft 365 E3 et E5 (au 1er Juillet 2026), la donne change complètement. Certaines fonctionnalités autrefois réservées à une licence additionnelle deviennent accessibles sans achat supplémentaire.
La vraie question n’est donc plus « Faut-il acheter Intune Suite ? », mais « Qu’est-ce que ma licence me donne déjà aujourd’hui ? »
Cet article détaille donc les fonctionnalités incluses, leur valeur concrète, et vous aide à déterminer si elles peuvent simplifier votre environnement ou si des solutions tierces restent nécessaires.
Ce qui est inclus selon votre plan de licence
Microsoft 365 E3
→ Remote Help
→ Advanced Analytics
→ Microsoft Tunnel for MAM
→ Specialty Device Management
→ FOTA Updates
Microsoft 365 E5 (en supplément de l’E3)
→ Endpoint Privilege Management (EPM)
→ Enterprise Application Management (EAM)
→ Microsoft Cloud PKI
L’E5 apporte bien d’autres avantages en dehors de la Intune Suite (Defender for Endpoint P2, Entra ID P2, Purview, etc.). Vous bénéficierez aussi de SCU pour utiliser Copilot for Security dans Entra ID et Intune notamment. A aujourd’hui ces SCU sont toujours en cours de déploiement, soyez patient 😉
Fonctionnalités incluses dans M365 E3 et E5
Remote Help
Remote Help est la réponse de Microsoft aux organisations demandant un outil de prise en main à distance dans un contexte Intune natif. Il s’intègre directement dans le portail d’administration, nécessite l’installation d’une simple application, et résout quatre problèmes concrets : le support limité sur les travailleurs distants via une simple connexion Internet, les risques de sécurité des outils de prise en main classiques, le manque de visibilité pour les admins, et l’expérience de support hétérogène selon la plateforme.
Les plateformes supportées : Windows, macOS, Android, Web. iOS non supporté à aujourd’hui.
Les prérequis de déploiement :
- Activation simple depuis le portail Intune (Tenant Admin > Remote Help)
- Déploiement de l’application Remote Help via Intune sur Windows, macOS et Android. Mise à jour automatique de celle-ci possible.
- Configuration des rôles RBAC et, optionnellement, des politiques de Conditional Access (MFA, conformité de l’appareil), car oui, les actions de prise en main à distance via Remote Help peuvent être sécurisés via ces politiques. Le RBAC vous permettra de donner accès ou non à certaines fonctionnalités de l’outil. (Élévation UAC notamment)
Ce qu’il fait techniquement :
Sur Windows :
- Partage d’écran assisté (attended) avec prise de contrôle complète, ou mode visualisation seule.
- Support possible des appareils non enrôlés (l’utilisateur reçoit un code de session unique)
- Élévation de session UAC : le technicien support peut saisir des credentials administrateur pour passer les prompts UAC sans donner les droits admins à l’utilisateur
- Unattended access : disponible prochainement sur Windows et permet les interventions sans présence de l’utilisateur. Livraison prévue en Aout 2026.
- Avertissement de non-conformité affiché avant le début de session si le poste de travail cible ne respecte pas les politiques de conformité déployées par Microsoft Intune.
- Simplicité > Le technicien support initie la session depuis la fiche appareil Intune → une notification push est envoyée à l’utilisateur → l’utilisateur accepte ou refuse
- Gestion du multi écran, tchat intégré et annotations.
Sur Android :
Cible Android Enterprise Dedicated Mode
- Mode unattended sur Zebra MX 8.3+
- Appareils enrôlés uniquement (pas de support unenrolled sur Android)
Sur macOS :
- Disponible via application native avec contrôle complet et visualisation
- Ou via web app (remotehelp.microsoft.com) sans installation côté utilisateur mais en mode visualisation uniquement
- Supporte les appareils enrôlés et non-enrôlés
Sécurité et traçabilité :
- Authentification Entra ID obligatoire pour le technicien support ET l’utilisateur avant toute session
- RBAC granulaire : les rôles Intune définissent précisément qui peut faire quoi visualisation seule, contrôle complet, élévation UAC, unattended.
- Logs de session (30 jours) : identité du technicien et de l’utilisateur, nom et ID de l’appareil, horodatage, type de session (attended/unattended, view/full control)
- Microsoft ne stocke aucun contenu de session (écran, frappes clavier, transcription de chat, audio)
- Les logs sont exportables depuis le portail Intune
Documentation : learn.microsoft.com/intune/remote-help
Mon avis
Pour les organisations déjà clientes Microsoft 365 E3, Remote Help peut suffire à remplacer TeamViewer ou d’autres solutions de PMAD dans de nombreux scénarios de support utilisateur. Il ne couvre pas encore tous les cas d’usage avancés, notamment sur iOS, mais pour un support quotidien et sécurisée, il répond déjà aux besoins de nombreuses équipes.
Advanced Analytics
C’est l’une des fonctionnalités les plus utiles de la suite pour les équipes IT opérationnelles. Advanced Analytics s’articule autour de trois objectifs : obtenir une vision globale de la santé de votre parc, diagnostiquer rapidement un appareil pour qui un utilisateur a déclaré un incident et analyser à grande échelle les problèmes.
Visibilité sur la santé du parc :
Battery Health Report :
- Santé de la batterie par appareil : capacité résiduelle, runtime moyen, nombre de cycles de charge
- Identification des batteries sous seuil de remplacement avant expiration de garantie
- Identification des applications les plus consommatrices (par fenêtre de 14 jours)
Resource Performance Report :
- Scores CPU et RAM par appareil et par modèle
- Score de spike CPU et spike RAM : détection des appareils dont la sollicitation processeur ou mémoire dépasse les seuils normaux lors des pics d’activité
- Recommandations automatiques
- Tendances sur 30 jours pour identifier les dégradations progressives
Anomaly Detection :
- Identification des hausses de crashs, d’utilisation ressource ou de performances suite à un changement de configuration ou un déploiement applicatif
- Corrélation des anomalies avec les propriétés des appareils : version OS, version application/driver, modèle matériel
- Cas d’usage typique : après un déploiement applicatif, un pic de crashs sur un modèle de laptop spécifique est détecté et corrélé à la version du driver graphique avant que les tickets arrivent
Diagnostic rapide d’un appareil individuel
Enhanced Device Timeline :
- Historique chronologique des événements sur un appareil spécifique : crashes applicatifs, applications défaillantes…
- Latence inférieure à 24h entre l’événement et son apparition dans la timeline dans Intune
- Permet de corréler visuellement un incident utilisateur avec un événement précis
Device Query – appareil individuel :
- Requêtes KQL en temps réel sur un appareil Windows cloud only online
- Chiffrement de bout en bout de la requête et des résultats
- Device Actions depuis les résultats : après une query, l’admin peut déclencher des actions directement (redémarrage, sync, collecte de logs) sans quitter le contexte
Évaluation à grande échelle
Device Query – Multi-appareils (Windows) :
- Interface KQL sur données en cache de l’ensemble de la flotte Windows
- Résultats agrégés
- Exemple : identifier tous les appareils enrôlés depuis plus d’un an avec une version Windows non conforme
Device Query – Multi-appareils Cross-Platform :
- Même capacité étendue à Windows, iOS/macOS, Android dans une vue unifiée
Device Actions en masse :
- Actions de remédiation bulk déclenchées depuis les résultats d’une requête multi-appareils
- Particulièrement efficace pour les corrections de conformité à grande échelle
Cas d’usage concrets :
- Un utilisateur se plaint que son PC est lent au démarrage → la timeline révèle que le temps de boot est passé de 45 à 180 secondes il y a 3 semaines, corrélé à l’installation d’un driver, avec un pic RAM systématique au logon
- Vous identifiez proactivement 30 appareils dont la batterie est sous les 40% de capacité nominale → remplacement planifié avant la panne terrain, dans la fenêtre de garantie
- Une mise à jour applicative déclenche une vague de crashs sur un modèle précis → l’Anomaly Detection le remonte.
Documentation :
Endpoint Analytics
Advanced Analytics & Device Query
Mon avis
C’est probablement une des fonctionnalités la plus intéressante. Beaucoup d’équipes IT travaillent encore de manière réactive en attendant que les utilisateurs ouvrent des tickets. Advanced Analytics permet au contraire d’identifier les dégradations avant qu’elles ne deviennent un problème, tout en offrant des outils de diagnostic particulièrement efficaces. Pour moi, c’est l’une des fonctionnalités qui apporte le plus de valeur au quotidien.
Microsoft Tunnel for MAM
Microsoft Tunnel for MAM permet à des applications mobiles d’accéder à des ressources on-premises depuis des appareils non-managés (BYOD), sans nécessiter d’enrôlement MDM complet de l’appareil.
Ce qu’il fait techniquement :
- Tunnel VPN applicatif (per-app VPN) qui ne couvre que les applications MAM-enrôlées, pas l’ensemble du trafic de l’appareil.
- Le flux de données transite par le Microsoft Tunnel Gateway, déployé on-prem ou dans Azure, qui fait le pont vers les ressources internes
- Compatible avec les politiques Intune App Protection (APP) pour imposer des contraintes de données (no-copy, PIN, effacement sélectif) sans toucher aux données personnelles de l’appareil
- Supporte Microsoft Edge, Outlook, Teams et les applications tierces intégrant le SDK Intune.
Pour qui : les organisations qui ont des utilisateurs BYOD devant accéder à des ressources internes depuis des apps mobiles, sans vouloir (ou pouvoir) enrôler les appareils en MDM. Cas typique : applications métier exposées uniquement en interne.
Documentation : learn.microsoft.com/intune/microsoft-tunnel
Mon avis
Cette fonctionnalité s’adresse à un besoin bien précis : sécuriser les accès aux ressources internes depuis des appareils personnels sans imposer un enrôlement MDM complet. Toutes les organisations n’en auront pas l’utilité, mais dans un contexte BYOD, elle permet de trouver un bon équilibre entre sécurité et respect de la vie privée des utilisateurs.
Specialty Device Management
Ce composant étend la gestion Intune à des catégories d’appareils spécialisés qui ne rentrent pas dans le MDM Windows classique.
Exemple d’appareils couverts :
- Microsoft HoloLens 2 : gestion des politiques, applications, mises à jour et configurations de l’environnement Mixed Reality via Intune (utilise le canal MDM standard mais nécessite cette licence)
- Microsoft Surface Hub (Surface Hub 2S et 3) : gestion centralisée des paramètres Teams Rooms, politiques de sécurité, déploiement d’applications et mises à jour firmware depuis le portail Intune
- Appareils RealWear : casques industriels Android pour les scénarios de travail mains-libres en atelier ou sur le terrain
Documentation : learn.microsoft.com/intune/specialty-devices
Mon avis
Cette brique cible des équipements spécifiques comme les Surface Hub, HoloLens ou certains appareils industriels. Pour les entreprises concernées, elle permet enfin de gérer ces terminaux depuis Microsoft Intune, sans multiplier les outils d’administration.
FOTA Updates (Firmware Over-The-Air)
FOTA permet de pousser des mises à jour firmware sur des appareils Android dédiés de manière centralisée depuis Intune.
Ce qu’il fait techniquement :
- Gestion des mises à jour firmware pour les appareils Samsung (via Knox Mobile Enrollment et l’API Samsung E-FOTA) et Zebra (via Zebra LifeGuard Over-the-Air)
- Permet de définir des plages de maintenance pour les mises à jour, de bloquer certaines versions firmware, et d’avoir un inventaire de la version firmware de chaque appareil
- Conçu pour les scénarios kiosque / terrain : caisse, scanners d’entrepôt, tablettes médicales…
Documentation : learn.microsoft.com/intune/manage-fota
Mon avis
Si votre parc Android comprend des terminaux durcis comme des Zebra, FOTA simplifie considérablement la gestion des mises à jour firmwares. En revanche, pour un parc composé principalement de smartphones Android classiques, cette fonctionnalité aura un intérêt beaucoup plus limité.
E5 uniquement
Endpoint Privilege Management (EPM)
EPM résout l’un des problèmes les plus classiques en entreprise : des applications qui nécessitent des droits administrateurs locaux pour fonctionner (mises à jour intégrées, installeurs d’outils métier). Sans EPM, la tentation est de donner les droits admins à l’utilisateur ce qui élargit drastiquement la surface d’attaque. En 2026, ce modèle ne peut plus être d’actualité et EPM permet donc d’offrir une solution pour y répondre.
Le modèle est clairement orienté « least privilege »
Ce qu’il fait techniquement :
- Permet d’élever des processus spécifiques en contexte administrateur sans donner les droits admins permanents à l’utilisateur
- Les règles d’élévation sont définies par politique Intune : hash du fichier, éditeur (certificat), chemin d’accès, combinaisons de ces critères
- Modes d’opération :
- Auto-approved : l’élévation est accordée automatiquement si la règle correspond
- User-confirmed : l’utilisateur doit confirmer avant l’élévation (avec affichage de la justification métier)
- Support-approved : l’utilisateur soumet une demande, le technicien support l’approuve depuis le portail Intune (Pas de notification mail native sur ce point)
- Intégration dans le menu contextuel Windows (clic droit → « Exécuter avec accès élevé « )
- Les événements d’élévation sont loggés et remontés dans le portail Intune pour de l’audit
Limite principale : Windows uniquement. Pas de support macOS natif.
Documentation : learn.microsoft.com/intune/epm
Mon avis
C’est certainement l’une des fonctionnalités les plus stratégiques d’Intune Suite. De nombreuses entreprises continuent encore aujourd’hui à accorder des droits administrateurs locaux alors que cela représente un risque important. EPM permet de conserver un modèle de moindre privilège sans pénaliser les utilisateurs. À mon sens, c’est une fonctionnalité qui devrait rapidement devenir un standard dans les environnements Windows modernes.
Enterprise Application Management (EAM)
EAM a pour ambition de résoudre la gestion des mises à jour d’applications tierces sur Windows, un sujet chronophage dans les équipes IT.
Ce qu’il fait techniquement :
- Fournit un catalogue d’applications préconfigurées depuis le portail Intune (Win32 Apps packagées par Microsoft, avec métadonnées, icones)
- Détection automatique des nouvelles versions et possibilité de pousser les mises à jour via Intune
- Intégration native dans le workflow de déploiement Win32 App d’Intune : pas besoin de re-packager manuellement
- Utilisation possible dans Autopilot.
Documentation : learn.microsoft.com/intune/enterprise-app-management
Catalogue des apps disponibles
Mon avis
EAM simplifie clairement la gestion des applications tierces, mais son catalogue reste encore limité. Les entreprises qui recherchent une couverture logicielle très large continueront souvent à utiliser Patch My PC ou une solution équivalente.
Microsoft Cloud PKI
Cloud PKI déplace l’autorité de certification (CA) on-prem directement dans Intune, sous forme de service managé. C’est une réponse directe à la dette technique accumulée par des mises en place de PKI onprem ou pour éviter de mettre en place une infrastructure SCEP/NDES pour ce type de besoin.
Ce qu’il fait techniquement :
- Root CA et Issuing CA entièrement managés dans le cloud Microsoft, sans serveur on-prem à maintenir
- Délivre des certificats via le protocole SCEP (Simple Certificate Enrollment Protocol), natif dans Intune
- Compatible avec les profils certificats Intune pour Windows, iOS, Android et macOS
- Intégration native avec les profils Wi-Fi, VPN Intune pour l’authentification basée sur certificat
- Révocation des certificats gérée via CRL hébergée par Microsoft
- Dashboard de suivi des certificats émis, expirés, révoqués
Documentation : learn.microsoft.com/intune/cloud-pki
Mon avis
C’est probablement l’une des fonctionnalités les plus sous-estimées. Beaucoup d’entreprises conservent aujourd’hui une PKI on-prem uniquement pour délivrer des certificats Wi-Fi ou VPN. Cloud PKI permet de simplifier fortement cette architecture. Une PKI opérationnelle en 3 clics !
CONCLUSION
Après plusieurs années où Intune Suite était proposée comme une licence additionnelle et ou l’adaptation était compliqué à la vue des tarifs pratiqués, Microsoft change progressivement son approche en intégrant plusieurs de ses composants directement dans Microsoft 365 E3 et E5.
Pour les organisations déjà clientes Microsoft 365, cette évolution représente une opportunité d’exploiter des fonctionnalités souvent méconnues, sans coût supplémentaire. Assistance à distance sécurisée, analyses avancées du parc, gestion des privilèges, PKI cloud ou encore gestion simplifiée des applications : ces briques permettent de renforcer la sécurité tout en réduisant la complexité opérationnelle.
Il est probable que certaines organisations découvrent qu’elles disposeront donc, via leurs licences Microsoft 365, de capacités suffisantes pour remplacer une partie de leur existant.
Avant de renouveler une solution ou d’investir dans un nouvel outil, prenez le temps de comparer vos besoins réels avec ce qui est désormais inclus dans vos licences.
Pour finir, l’intégration de ces features vont engendrés une légère hausse des tarifs (de l’ordre de 3$) des bundles E3 et E5 (voir tableau plus bas) mais minime par rapport aux bénéfices apportés J
