Installer la Protection des Postes de Travail avec Microsoft Intune¶

Microsoft Intune peut déployer la Protection des postes de travail sur des appareils Windows en tant qu'application Windows (Win32). Intune exécute le script d'installation depuis la page Installation de la Protection des postes de travail sur chaque appareil. Le script installe le Boost endpoint updater, qui installe la Protection des postes de travail et la maintient à jour.

Cette page couvre les étapes spécifiques à Intune. Pour les jetons de déploiement, les options de script et ce que le script installe, consultez Installer la Protection des postes de travail avec un Script.

Prérequis¶

Avant de déployer la Protection des postes de travail avec Intune, assurez-vous d'avoir :

Des appareils Windows inscrits dans Intune qui sont joints à Microsoft Entra, joints en mode hybride à Microsoft Entra, ou enregistrés dans Microsoft Entra.
Un groupe d'appareils Microsoft Entra pour les appareils à protéger, et un groupe plus petit pour un pilote.
Windows 64 bits (x64) en édition Pro, Enterprise ou Education. Windows sur Arm n'est pas pris en charge.
Les scripts d'installation et de désinstallation Windows, boost-endpoint-install.ps1 et boost-endpoint-uninstall.ps1, téléchargés depuis la page Installation de la Protection des postes de travail.
Un jeton de déploiement qui reste valide pendant tout le déploiement. Consultez Jeton de Déploiement.
L'outil de préparation de contenu Microsoft Win32 (IntuneWinAppUtil.exe) sur un ordinateur Windows, pour empaqueter les scripts.
Un rôle Intune permettant d'ajouter et d'attribuer des applications, tel que Administrateur Intune ou Gestionnaire d'applications.

Jeton de Déploiement¶

Le script d'installation téléchargé depuis la page Installation contient votre jeton de déploiement. Intune exécute l'installation sur chaque appareil de l'affectation, y compris les appareils qui rejoignent l'affectation ultérieurement. Un appareil qui exécute l'installation après l'expiration ou la suppression du jeton ne peut pas s'enregistrer.

Créez le jeton avec une durée qui couvre le déploiement, y compris les appareils que vous prévoyez d'inscrire ultérieurement.
Pour remplacer le jeton, téléchargez à nouveau le script d'installation avec le nouveau jeton, réempaquetez les scripts, et remplacez le fichier de package de l'application dans Intune.
Supprimez l'ancien jeton une fois que chaque appareil s'est enregistré.

Empaqueter les Scripts¶

Intune déploie une application Windows (Win32) à partir d'un package .intunewin.

Créez un dossier qui contient uniquement boost-endpoint-install.ps1 et boost-endpoint-uninstall.ps1.

Exécutez l'outil de préparation de contenu sur ce dossier :

IntuneWinAppUtil.exe -c <scripts-folder> -s boost-endpoint-install.ps1 -o <output-folder>

L'outil écrit boost-endpoint-install.intunewin dans le dossier de sortie. Le package contient votre jeton de déploiement, stockez-le donc comme un secret.

Ajouter l'Application dans Intune¶

Dans le centre d'administration Microsoft Intune, accédez à Apps > All Apps > Create. Définissez Platform sur Windows et App type sur Windows app (Win32), puis sélectionnez Select.

Informations sur l'Application¶

Sous Select file, choisissez boost-endpoint-install.intunewin. Saisissez un nom, une description et un éditeur, par exemple Boost Security Endpoint Protection et Boost Security.

Programme¶

Paramètre	Valeur
Type d'installateur	Command line
Commande d'installation	`powershell.exe -ExecutionPolicy Bypass -File .\boost-endpoint-install.ps1`
Type de désinstallateur	Command line
Commande de désinstallation	`powershell.exe -ExecutionPolicy Bypass -File .\boost-endpoint-uninstall.ps1`
Comportement d'installation	System
Comportement de redémarrage de l'appareil	No specific action

Conservez les valeurs par défaut pour les autres paramètres. Le comportement d'installation doit être System : le script nécessite des privilèges administrateur.

Exigences¶

Paramètre	Valeur
Vérifier l'architecture du système d'exploitation	Yes, avec uniquement Install on x64 system sélectionné
Système d'exploitation minimum	La version Windows la plus ancienne utilisée par vos appareils

Règles de Détection¶

Définissez Rules format sur Manually configure detection rules, sélectionnez Add, et remplissez la règle :

Paramètre	Valeur
Type de règle	File
Chemin	`C:\ProgramData\BoostSecurity\state`
Fichier ou dossier	`device.json`
Méthode de détection	File or folder exists
Associée à une application 32 bits sur des clients 64 bits	No

Sélectionnez OK. La règle apparaît dans la liste :

La Protection des postes de travail écrit ce fichier lorsque l'appareil s'enregistre auprès de Boost Security, au début de l'installation. Intune signale l'application comme installée une fois que l'appareil s'est enregistré.

Affectations¶

Ignorez Dependencies et Supersedence. Sous Required, sélectionnez Add group et choisissez les groupes d'appareils à protéger, tel qu'un groupe Microsoft Entra de postes de travail de développeurs. Puis sélectionnez Next, Review + create, et Create.

Utilisez des groupes d'appareils. L'application s'installe sur l'appareil et protège chaque utilisateur qui s'y connecte.
Déployez par étapes. Commencez avec un petit groupe pilote, vérifiez les résultats comme décrit dans Vérifier le Déploiement, puis ajoutez d'autres groupes à la même affectation.
Excluez des appareils. Pour exclure certains appareils d'un groupe affecté, tel que des serveurs de build, placez-les dans un autre groupe, ajoutez ce groupe à l'affectation, et définissez son Group mode sur Excluded.

Vérifier le Déploiement¶

Dans le centre d'administration Intune, ouvrez l'application et sélectionnez Device install status. Chaque appareil affiche Installed une fois qu'il s'est enregistré auprès de Boost Security. Le statut peut prendre un certain temps à se mettre à jour.
Dans Boost Security, ouvrez la page postes de travail. Chaque appareil y apparaît après son enregistrement.

La Protection des postes de travail analyse l'appareil dès qu'elle est installée. La Protection de la gestion des packages démarre en quelques minutes pour chaque utilisateur connecté, et pour les autres utilisateurs lorsqu'ils se connectent à Windows.

Si un appareil affiche Failed, le journal Intune sur l'appareil en explique la raison :

C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\AppWorkload.log

Une installation peut échouer après l'enregistrement de l'appareil, par exemple lorsque l'appareil ne peut pas télécharger la Protection des postes de travail. L'appareil possède alors le fichier que la règle de détection vérifie, donc Intune n'exécute pas l'installation à nouveau. Pour réessayer, exécutez la commande de désinstallation sur l'appareil en tant qu'administrateur. Intune ne détecte plus l'application et l'installe à nouveau.

Mises à Jour¶

La Protection des postes de travail se maintient à jour automatiquement, vous ne publiez donc pas de nouvelles versions de l'application dans Intune. Remplacez le fichier de package uniquement pour modifier le jeton de déploiement ou la configuration du script.

Intune exécute un nouveau package uniquement sur les appareils où il ne détecte pas l'application. Les appareils qui possèdent déjà la Protection des postes de travail conservent leurs paramètres, et seuls les appareils qui l'installent ultérieurement utilisent le nouveau package.

Désinstallation¶

Pour supprimer la Protection des postes de travail, ouvrez les Assignments de l'application, ajoutez un groupe d'appareils sous Uninstall, et supprimez ou excluez ces appareils des groupes sous Required. Lorsqu'un appareil se trouve dans les deux, Required l'emporte. Intune exécute ensuite la commande de désinstallation sur les appareils du groupe Uninstall.

Remarque : La désinstallation restaure les paramètres du gestionnaire de packages uniquement pour les utilisateurs connectés à l'appareil au moment de l'exécution.

Remarque : Intune ne supprime pas une application Windows (Win32) lorsqu'un appareil est retiré. Avant de retirer un appareil, désinstallez la Protection des postes de travail comme décrit ci-dessus, et attendez qu'Intune signale l'application comme désinstallée.

Notes de Sécurité¶

Le script d'installation et le package .intunewin contiennent votre jeton de déploiement. Limitez qui peut les télécharger et qui peut gérer l'application dans Intune.
Les Notes de Sécurité de l'installation par script s'appliquent également.