Déployer un agent en masse : GPO, Intune et Jamf

Déployer un agent sur dix machines, c’est une matinée. Sur mille, c’est une question de méthode. Trois canaux couvrent l’essentiel des parcs : GPO pour Windows en domaine, Intune pour les parcs cloud, Jamf pour macOS.

Avant de commencer

Trois règles évitent l’essentiel des ratés.

• Testez sur un groupe pilote avant tout déploiement large.
• Faites correspondre chaque machine à son canal : domaine, Intune ou Jamf.
• Gardez un filet de secours : une session assistée par code à 6 chiffres fonctionne même sur une machine qui a échappé au déploiement.

Ces trois règles tiennent en une phrase : savoir où chaque machine doit atterrir avant de lancer le premier installeur.

Déployer par GPO

Pour les machines Windows jointes à un domaine Active Directory, la stratégie de groupe reste le canal le plus direct.

• Créez une unité d’organisation ou un groupe de sécurité pour les machines cibles.
• Pointez un script de démarrage ou une stratégie d’installation de logiciels vers l’installeur fourni dans votre console.
• Privilégiez une installation par machine : l’agent doit être présent avant qu’un utilisateur n’ouvre sa session.
• Forcez la mise à jour des stratégies avec gpupdate, ou redémarrez les postes.

L’installation par machine évite le cas classique du poste qui n’a jamais vu l’agent parce qu’aucun utilisateur n’a ouvert de session avec les droits requis.

Déployer par Intune

Pour les parcs gérés dans le cloud, Intune distribue l’agent comme n’importe quelle application Win32.

• Empaquetez l’installeur en application Win32.
• Définissez une règle de détection, chemin de fichier, version ou clé de registre, pour qu’Intune sache que l’installation a réussi.
• Assignez l’application à des groupes d’appareils, pas à des utilisateurs : l’agent s’installe par machine.
• Tenez compte de la page d’état d’inscription : l’agent s’installe avant que l’utilisateur n’atteigne le bureau.

Vérifiez aussi les exclusions de stratégie : une application bloquée par une autre règle échoue sans message clair.

Déployer par Jamf

Sur macOS, Jamf Pro fait le travail via une politique.

• Importez le paquet d’installation dans Jamf.
• Créez une politique avec un déclencheur d’installation, à l’enregistrement ou au check-in.
• Ciblez la politique vers un groupe intelligent plutôt que vers des machines listées une à une.
• Validez sur un seul Mac, puis élargissez progressivement.

Vérifier après déploiement

Le déploiement ne se termine pas quand l’installeur se termine. Il se termine quand la console le confirme.

• Chaque machine apparaît dans la gestion de parc.
• Testez la reconnexion automatique : redémarrage simple, puis redémarrage en mode sans échec.
• Testez le Wake-on-LAN sur un poste éteint.
• Vérifiez la traversée des pare-feu : Ubidesk ne passe que par le port 443.

Les cas particuliers

• Les serveurs et les kiosques : planifiez l’installation pendant une fenêtre de maintenance, jamais en pleine activité.
• Les machines en 24/7 : privilégiez un déclencheur au check-in ou au démarrage plutôt qu’une installation forcée.
• Les parcs mixtes Windows et macOS : gardez un pilote par système, les échecs ne se diagnostiquent pas de la même façon.

Le filet de sécurité

Les machines qui échappent au déploiement, postes hors domaine, machines personnelles, appareils reçus en urgence, restent couvertes par l’accès non surveillé une fois l’agent installé, ou par une session assistée : code à 6 chiffres, client temporaire, aucune installation, aucun droit administrateur. Le support à distance garde ainsi une réponse pour chaque cas limite.

Un déploiement réussi se mesure au nombre de machines qui remontent dans la console, pas au nombre d’installeurs lancés. Si une machine manque, le filet de sécurité prend le relais : session assistée, code à 6 chiffres, et l’écart est comblé le jour même. La même méthode vaut pour les équipes IT internes comme pour les prestataires.