Windows 11 Pro pour postes professionnels

Vérifiez la licence de base avant d’acheter des clés pour un parc informatique

Commencez par vérifier les droits de licence, et non l’activation. Pour chaque poste, consignez l’édition installée, l’origine de la licence initiale et la nature de l’achat envisagé : licence complète ou mise à niveau. De nombreuses licences Windows fournies dans le cadre des programmes de licences commerciales de Microsoft sont des licences de mise à niveau et nécessitent un système d’exploitation de base éligible. Une activation réussie ne prouve pas que ces conditions sont remplies. Consultez les conditions de licence des logiciels Microsoft ou les conditions relatives aux produits applicables au produit et au canal d’achat concernés.

Les droits de transfert dépendent également du mode d’acquisition de Windows. Selon les conditions standard de Microsoft, Windows préinstallé reste normalement lié à l’appareil sous licence et ne peut être cédé à un autre propriétaire qu’avec cet appareil. Un logiciel autonome acheté au détail peut généralement être transféré vers un autre appareil, à condition d’être supprimé de l’ancien et de respecter les autres conditions applicables. Si vous êtes un prestataire de services managés (MSP), conservez séparément les justificatifs de droits de licence de chaque client ; disposer d’une image de déploiement réutilisable ou d’une clé d’activation n’accorde aucun droit de licence pour des postes clients supplémentaires.

• Conservez les factures, les descriptions des licences et les documents reliant chaque droit de licence à son appareil ou à son utilisateur.
• Vérifiez les critères d’éligibilité du système d’exploitation de base avant d’acheter une mise à niveau Windows via un programme de licences commerciales.
• Considérez MAK et KMS comme des méthodes d’activation, et non comme la preuve d’un droit d’installation illimité.
• Confirmez les droits de transfert avant de déplacer une licence depuis un PC retiré du parc.
• Comparez le coût des contrats de licences commerciales à vos besoins réels ; il n’existe aucun nombre universel de postes à partir duquel ils deviennent moins chers.

Choisissez un modèle d’identité et d’inscription avant le provisionnement

Avant de définir votre processus de déploiement, décidez si les appareils utiliseront un domaine Active Directory local, une jonction à Microsoft Entra ou une configuration hybride. L’enregistrement Microsoft Entra, couramment utilisé lors de l’ajout d’un compte professionnel sur un PC personnel, n’est pas équivalent à une jonction de l’appareil. Les PC joints à Microsoft Entra peuvent utiliser des comptes de l’organisation pour ouvrir une session Windows sans rejoindre un domaine local. La jonction hybride associe une jonction existante à un domaine Active Directory à une identité d’appareil dans Microsoft Entra ID.

Windows Pro prend en charge ces options de jonction pour les organisations, mais l’achat du système d’exploitation n’inclut pas d’abonnement Intune. L’inscription automatique à Intune via Microsoft Entra nécessite les licences Intune appropriées ainsi que Microsoft Entra ID P1 ou P2. Microsoft 365 Business Premium inclut Intune Plan 1 et Entra ID P1, sous réserve des limites et des conditions de l’abonnement. Pour un nouveau déploiement, configurez d’abord le périmètre et les restrictions d’inscription, puis testez un appareil représentatif, depuis la configuration initiale jusqu’à l’application des stratégies et à l’installation des applications.

• Privilégiez la jonction à Microsoft Entra pour les appareils gérés principalement dans le cloud, sauf si une dépendance vérifiée impose une jonction au domaine.
• Ne considérez pas l’ajout d’un compte professionnel comme la preuve qu’un appareil est joint ou géré.
• Vérifiez les licences des utilisateurs, les autorisations d’inscription et les limites d’appareils du tenant avant le déploiement.
• Lorsque cette option est prise en charge, utilisez Windows Autopilot pour simplifier le provisionnement ; il ne fournit pas les licences requises.
• Évitez de configurer des paramètres contradictoires via les stratégies de groupe et Intune.

Faites de la récupération des appareils chiffrés un processus opérationnel testé

Le chiffrement n’est maîtrisable que si le personnel autorisé peut récupérer l’accès à un appareil verrouillé. Avant d’activer BitLocker sur l’ensemble du parc, choisissez où stocker les informations de récupération et qui pourra y accéder. Les appareils gérés via un domaine peuvent sauvegarder ces informations dans Active Directory Domain Services ; les appareils gérés dans le cloud et correctement configurés peuvent les sauvegarder dans Microsoft Entra ID. Configurez la stratégie appropriée avant le début du chiffrement, plutôt que de supposer que la jonction à un domaine ou l’inscription à un service de gestion protège automatiquement toutes les clés de récupération existantes.

Utilisez un appareil pilote pour vérifier l’ensemble du processus : confirmez l’état du chiffrement, retrouvez son mot de passe de récupération dans l’annuaire prévu et vérifiez que l’identifiant de clé de récupération affiché correspond aux informations de récupération de l’appareil. Les PC déjà chiffrés nécessitent un audit distinct, car l’application d’une nouvelle stratégie ne prouve pas que leurs mots de passe de récupération ont été préalablement sauvegardés dans l’annuaire. Limitez les accès du support informatique, documentez la procédure de vérification de l’identité des demandeurs et renouvelez tout mot de passe de récupération après sa communication, lorsque vos outils de gestion le permettent.

• Pour les déploiements gérés via AD, configurez la stratégie qui empêche l’activation de BitLocker tant que les informations de récupération ne sont pas stockées dans AD DS.
• Inventoriez l’état du chiffrement ainsi que celui de la sauvegarde des clés de récupération.
• Testez la récupération uniquement sur un appareil pilote, avec des sauvegardes vérifiées et une procédure approuvée.
• Vérifiez les exigences de suspension de BitLocker avant toute modification du microprogramme ou du TPM ; n’effacez pas un TPM sans précautions.
• Conservez des sauvegardes de données distinctes : un mot de passe de récupération ne permet pas de restaurer un disque défaillant ou effacé.

Organisez les anneaux de mise à jour selon les échéances de support et l’éligibilité matérielle

Considérez la fin du support d’une version fonctionnelle comme une échéance pour le parc, et non comme une simple préférence de mise à jour. Les versions fonctionnelles de Windows 11 Home et Pro bénéficient d’un cycle de maintenance de 24 mois : une famille de systèmes d’exploitation encore prise en charge peut donc inclure des appareils exécutant une version qui ne l’est plus. Inventoriez l’édition, la version et l’éligibilité matérielle, puis répartissez les appareils entre un groupe pilote, un groupe de déploiement généralisé et un groupe d’exceptions. Les stratégies de report permettent d’échelonner les mises à jour, mais ne prolongent pas la période de support d’une version et ne dispensent pas de tester les applications critiques pour l’entreprise.

Pour les PC qui ne peuvent pas passer à Windows 11, évaluez le remplacement, la migration des charges de travail ou le recours temporaire au programme Extended Security Updates. Les appareils professionnels éligibles sous Windows 10 22H2 peuvent bénéficier d’une couverture ESU commerciale pendant trois ans au maximum après la fin du support standard, avec des licences annuelles et l’obligation d’acheter également les années précédentes en cas d’adhésion tardive. ESU est une solution de sécurité transitoire, pas un programme de mise à niveau fonctionnelle ni un substitut au support général. Ne considérez pas les installations de Windows 11 qui contournent les exigences matérielles comme une stratégie de parc prise en charge.

• Consultez les pages Microsoft sur l’état des versions et le cycle de vie pour suivre la date de fin de support de chaque version déployée.
• Testez les mises à jour sur un échantillon représentatif de matériels, de clients VPN, d’agents de sécurité et d’applications métier.
• Analysez les blocages de protection plutôt que de les contourner systématiquement.
• Attribuez un responsable et une date de remplacement à chaque appareil conservé par exception malgré un matériel non pris en charge.
• Vérifiez les prérequis de l’offre ESU commerciale et les conditions Microsoft en vigueur avant de budgéter la couverture.

Modèles d’identité Windows Pro et conséquences pour la gestion