Intune et Entra : gouverner les appareils obsolètes et les règles de nettoyage

Position recommandée

Les règles de nettoyage Intune masquent dans la console et les rapports les appareils sans check-in pendant le délai choisi. Elles ne déclenchent ni Wipe ni Retire et ne suppriment pas les objets Microsoft Entra.

Un appareil masqué peut réapparaître s’il se reconnecte avant l’expiration de son certificat de gestion. Cette mécanique est différente d’une suppression manuelle et d’une politique de cycle de vie Entra.

Dans Entra, ApproximateLastSignInDateTime est un indicateur d’activité à granularité retardée, pas un journal d’audit. Je désactive d’abord les candidats pendant une période de grâce, après exclusion des objets système et sauvegarde des clés nécessaires.

Les règles de nettoyage Intune masquent dans la console et les rapports les appareils sans check-in pendant le délai choisi. Elles ne déclenchent ni Wipe ni Retire et ne suppriment pas les objets Microsoft Entra.

Besoin, cas d’usage et périmètre de la recommandation

Une cleanup rule Intune peut être définie par plateforme avec un délai actuellement compris entre 30 et 270 jours. Elle porte sur tous les appareils de cette plateforme et propose une prévisualisation des éléments affectés.

L’action planifiée cache le record de la console et de certains rapports. Le journal d’audit Intune contient une activité Device set to be hidden from admin by Device Cleanup Rule qui permet d’expliquer la disparition.

Le masquage n’envoie aucune commande au terminal. Si le certificat MDM reste valide, un nouveau check-in peut faire réapparaître le record; après expiration, un nouvel enrôlement peut être nécessaire.

Critères de décision et options possibles

Pour Nettoyage des appareils Intune et Entra, je commence par trois résultats concrets: Mesurer les populations par last check-in, Prévisualiser la cleanup rule et Comparer activité Entra et sources métier. Ils doivent être observables avant de comparer les méthodes disponibles.

L’architecture cible suit Intune → Entra → Services → Lifecycle. Chaque composant a un propriétaire clair, un état vérifiable et une méthode de retour arrière; cette répartition évite qu’une seconde politique masque le résultat de la première.

Le pilote contrôle notamment Mesurer les populations par last check-in, Prévisualiser la cleanup rule et Comparer activité Entra et sources métier. La généralisation ne commence qu’après une période stable et après vérification des exceptions propres aux populations visées.

La recommandation devient mesurable lorsqu’elle relie le besoin à une cible vérifiable. Les résultats attendus sont Mesurer les populations par last check-in, Prévisualiser la cleanup rule et Comparer activité Entra et sources métier. Les responsabilités se répartissent ainsi: Intune: Last check-in et règle de masquage. Entra: Identité, activité et accès conditionnel. Services: Autopilot, BitLocker et autres dépendances. Lifecycle: Retire, disable, grâce puis delete. Cette répartition permet d’attribuer chaque écart au bon propriétaire et d’éviter qu’un second profil, une ancienne autorité ou une exception silencieuse ne produise un résultat apparemment correct mais impossible à exploiter dans la durée.

Les écarts « Poste actif masqué », « Objet revient Pending », « Clé BitLocker perdue » et « Autopilot ne reprovisionne plus » servent de tests de décision. Pour chacun, la preuve indiquée dans la matrice doit permettre de choisir entre correction, exception temporaire et retour arrière. Le pilote surveille également les points suivants: cleanup Intune masque sans effacer, suppression Entra peut perdre les clés, hybrid join se traite à la source et exclure les objets système. La valeur cible, le mode de distribution, les contrôles et la sortie de secours sont ainsi évalués ensemble.

Architecture cible et répartition des responsabilités

Une cleanup rule Intune peut être définie par plateforme avec un délai actuellement compris entre 30 et 270 jours. Elle porte sur tous les appareils de cette plateforme et propose une prévisualisation des éléments affectés.

L’action planifiée cache le record de la console et de certains rapports. Le journal d’audit Intune contient une activité Device set to be hidden from admin by Device Cleanup Rule qui permet d’expliquer la disparition.

Le masquage n’envoie aucune commande au terminal. Si le certificat MDM reste valide, un nouveau check-in peut faire réapparaître le record; après expiration, un nouvel enrôlement peut être nécessaire.

Prérequis, gouvernance et préparation

La préparation de Nettoyage des appareils Intune et Entra couvre politique de rétention approuvée, inventaire Intune/Entra/Autopilot, sauvegarde BitLocker, source RH ou asset management, exclusions système. Le propriétaire de chaque composant et la population pilote sont définis avant la création de la configuration.

L’état initial est mesuré avec Mesurer les populations par last check-in. Prévisualiser la cleanup rule. Comparer activité Entra et sources métier. Exclure Autopilot, VDI et cas spéciaux. Il servira de point de comparaison pendant le pilote et lors d’un éventuel retour arrière.

• politique de rétention approuvée
• inventaire Intune/Entra/Autopilot
• sauvegarde BitLocker
• source RH ou asset management
• exclusions système
• RBAC et audit logs
• période de grâce documentée

Fonctionnement détaillé de Nettoyage des appareils Intune et Entra

Une cleanup rule Intune peut être définie par plateforme avec un délai actuellement compris entre 30 et 270 jours. Elle porte sur tous les appareils de cette plateforme et propose une prévisualisation des éléments affectés.

L’action planifiée cache le record de la console et de certains rapports. Le journal d’audit Intune contient une activité Device set to be hidden from admin by Device Cleanup Rule qui permet d’expliquer la disparition.

Le masquage n’envoie aucune commande au terminal. Si le certificat MDM reste valide, un nouveau check-in peut faire réapparaître le record; après expiration, un nouvel enrôlement peut être nécessaire.

• politique de rétention approuvée
• inventaire Intune/Entra/Autopilot
• sauvegarde BitLocker
• source RH ou asset management

Traitement, exploitation et cas limites de Nettoyage des appareils Intune et Entra

L’objet Entra possède une finalité différente: il porte l’identité utilisée pour l’authentification et Conditional Access. Le supprimer peut invalider l’accès et supprimer les clés BitLocker associées.

ApproximateLastSignInDateTime n’est mis à jour que lorsque certaines activités surviennent et avec une variance documentée. Une valeur vide ou ancienne ne suffit pas; je compare dernier check-in Intune, inventaire RH, Configuration Manager, Autopilot et propriété matérielle.

Microsoft recommande de désactiver l’objet pendant une période de grâce avant suppression. Cette étape réversible révèle les faux positifs tout en bloquant l’usage de l’identité dans les accès dépendants de l’appareil.

• Masquer ou désactiver en pilote
• Observer la période de grâce
• Supprimer seulement après approbation

Lire les états propres à Nettoyage des appareils Intune et Entra

Les appareils hybrid joined sont nettoyés d’abord dans Active Directory local puis synchronisés. Une suppression uniquement dans Entra peut recréer un objet Pending lors de la synchronisation suivante.

Les appareils Autopilot, Universal Print ou gérés par un autre système ont leur propre cycle de vie. Je les exclue du traitement générique et j’utilise le portail correspondant.

Le pilote produit trois listes: candidats, exclusions justifiées et appareils désactivés en grâce. La suppression définitive exige approbation, preuve d’absence, sauvegarde des clés et capacité de reprovisionner.

• Poste actif masqué — Audit rule et certificat
• Objet revient Pending — AD local et Connect
• Clé BitLocker perdue — Backup et audit
• Autopilot ne reprovisionne plus — Autopilot registration

Pilote et suivi opérationnel de Nettoyage des appareils Intune et Entra

Le pilote couvre le périmètre Intune, Device cleanup, Microsoft Entra ID, Stale devices et contrôle Mesurer les populations par last check-in. Prévisualiser la cleanup rule. Comparer activité Entra et sources métier. Les résultats sont segmentés selon les populations réellement concernées par Nettoyage des appareils Intune et Entra.

Les cas d’échec « Poste actif masqué », « Objet revient Pending », « Clé BitLocker perdue » sont reproduits lorsque c’est possible. Ils vérifient que l’écart reste visible et que la procédure indique une preuve exploitable.

Le suivi après déploiement conserve cleanup Intune masque sans effacer, suppression Entra peut perdre les clés, hybrid join se traite à la source, exclure les objets système. Une évolution de version, de licence ou de dépendance déclenche une nouvelle lecture de ces points.

Configuration recommandée et déploiement par étapes

La méthode retenue pour Nettoyage des appareils Intune et Entra se déploie par les étapes « Mesurer l’état de départ », « Configurer la population pilote », « Observer les indicateurs », « Décider la généralisation ». Chaque passage produit un résultat vérifiable avant l’ouverture du suivant.

Paramètres, commandes et automatisation

Les commandes et valeurs de cette section servent à vérifier Mesurer les populations par last check-in. Prévisualiser la cleanup rule. Comparer activité Entra et sources métier. Exclure Autopilot, VDI et cas spéciaux. Chaque exemple précise l’état attendu et les éléments à comparer dans le service.

Le contexte d’exécution, les permissions et les effets sur Intune, Entra, Services, Lifecycle doivent rester explicites lorsque la configuration est automatisée.

# Collecte de diagnostic
$ErrorActionPreference = 'Stop'
try {
  $cutoff = (Get-Date).AddDays(-90)
  Get-MgDevice -All -Property Id,DeviceId,DisplayName,AccountEnabled,TrustType,OperatingSystem,ApproximateLastSignInDateTime |
    Where-Object { $_.ApproximateLastSignInDateTime -and $_.ApproximateLastSignInDateTime -lt $cutoff } |
    Select-Object Id,DeviceId,DisplayName,AccountEnabled,TrustType,OperatingSystem,ApproximateLastSignInDateTime
} catch { Write-Error "Inventaire des appareils obsolètes impossible : $($_.Exception.Message)"; exit 1 }

Validation, indicateurs et critères GO / NO-GO

La décision repose sur Mesurer les populations par last check-in, Prévisualiser la cleanup rule, Comparer activité Entra et sources métier et Exclure Autopilot, VDI et cas spéciaux. Ces indicateurs couvrent le résultat technique, l’état du service et l’effet réel sur la population pilote.

• Mesurer les populations par last check-in.
• Prévisualiser la cleanup rule.
• Comparer activité Entra et sources métier.
• Exclure Autopilot, VDI et cas spéciaux.
• Masquer ou désactiver en pilote
• Observer la période de grâce
• Supprimer seulement après approbation

Exploitation, journaux et contrôle continu

La chronologie de Nettoyage des appareils Intune et Entra relie Intune, Entra, Services, Lifecycle. Les heures et identifiants communs permettent de savoir si les états appartiennent à la même tentative.

La collecte commence par Mesurer les populations par last check-in. Prévisualiser la cleanup rule. Comparer activité Entra et sources métier. Exclure Autopilot, VDI et cas spéciaux. Ces contrôles conservent l’état qui explique le symptôme avant une nouvelle évaluation.

Les résultats sont lus avec les causes « Check-in interrompu », « Hybrid join resynchronisé », « Objet Entra supprimé trop tôt » en tête, sans déduire une correction d’un code ou d’un statut isolé.

• Mesurer les populations par last check-in.
• Prévisualiser la cleanup rule.
• Comparer activité Entra et sources métier.
• Exclure Autopilot, VDI et cas spéciaux.
• Masquer ou désactiver en pilote
• Observer la période de grâce
• Supprimer seulement après approbation

Exceptions, erreurs connues et traitement

Les exceptions à prévoir pour Nettoyage des appareils Intune et Entra apparaissent notamment sous la forme Poste actif masqué, Objet revient Pending, Clé BitLocker perdue, Autopilot ne reprovisionne plus. La preuve associée indique s’il faut corriger la configuration ou conserver une exception documentée.

Coût de maintien des exceptions

Une exception à Nettoyage des appareils Intune et Entra crée une charge récurrente: elle doit être identifiée, surveillée et réévaluée jusqu’à sa suppression. Sans propriétaire ni date de revue, cette charge finit par devenir une configuration parallèle difficile à tester.

Rollback, gestion du changement et points de vigilance

Le rollback de Nettoyage des appareils Intune et Entra restaure explicitement l’affectation, la valeur ou l’autorité précédente. Les actions et points de vigilance ci-dessous précisent ce qui doit être contrôlé après ce retour.