Comment configurer la connexion automatique de l'utilisateur Entra en mode kiosque Intune

Commencez par créer un compte utilisateur Entra ID dédié spécifiquement aux opérations de kiosque. Ce compte nécessite une configuration spéciale pour éviter les invites d'authentification lors de la connexion automatique.

Connectez-vous à Microsoft Graph PowerShell avec les autorisations requises :

Connect-MgGraph -Scopes "User.ReadWrite.All"

Créez l'utilisateur kiosque avec les paramètres suivants :

$userParams = @{
    DisplayName = "Utilisateur Terminal Kiosque"
    UserPrincipalName = "kioskuser@yourdomain.com"
    MailNickname = "kioskuser"
    PasswordProfile = @{
        Password = "ComplexKioskPassword123!"
        ForceChangePasswordNextSignIn = $false
    }
    AccountEnabled = $true
    UsageLocation = "US"
}
New-MgUser @userParams

Configurez des paramètres de sécurité supplémentaires pour l'utilisateur kiosque :

# Exclure des exigences MFA
$userId = (Get-MgUser -Filter "UserPrincipalName eq 'kioskuser@yourdomain.com'").Id
Update-MgUser -UserId $userId -PasswordPolicies "DisablePasswordExpiration"

Vérification : Exécutez Get-MgUser -Filter "UserPrincipalName eq 'kioskuser@yourdomain.com'" pour confirmer que l'utilisateur a été créé avec succès.

L'outil Sysinternals Autologon64.exe est essentiel pour configurer la connexion automatique de Windows avec des identifiants Entra ID. Téléchargez la dernière version et préparez-la pour le déploiement Intune.

Téléchargez Autologon depuis la suite officielle Microsoft Sysinternals :

# Télécharger avec PowerShell
$downloadUrl = "https://download.sysinternals.com/files/Autologon.zip"
$destinationPath = "C:\Temp\Autologon.zip"
Invoke-WebRequest -Uri $downloadUrl -OutFile $destinationPath
Expand-Archive -Path $destinationPath -DestinationPath "C:\Temp\Autologon"

Créez la structure de répertoire d'installation pour le package d'application Win32 :

mkdir "C:\KioskPackage\Source"
copy "C:\Temp\Autologon\Autologon64.exe" "C:\KioskPackage\Source\"
copy "C:\Temp\Autologon\Eula.txt" "C:\KioskPackage\Source\"

Créez un script d'installation (install.cmd) dans le dossier Source :

@echo off
if not exist "%ProgramData%\Autologon" mkdir "%ProgramData%\Autologon"
copy /Y "Autologon64.exe" "%ProgramData%\Autologon\"
copy /Y "Eula.txt" "%ProgramData%\Autologon\"
echo Installation terminée > "%ProgramData%\Autologon\install.log"

Emballez l'application en utilisant l'outil Microsoft Win32 Content Prep :

# Télécharger et exécuter IntuneWinAppUtil.exe
.\IntuneWinAppUtil.exe -c "C:\KioskPackage\Source" -s "install.cmd" -o "C:\KioskPackage\Output"

Vérification : Confirmez que le fichier .intunewin a été créé dans le dossier Output et qu'il fait environ 200 Ko.

Déployez l'outil Autologon emballé sur vos appareils kiosques via le mécanisme de déploiement d'applications Win32 d'Intune.

Dans le centre d'administration Microsoft Intune, accédez à Applications > Toutes les applications > Ajouter et sélectionnez Application Windows (Win32).

Configurez les informations du package d'application :

• Nom : Sysinternals Autologon pour Kiosk
• Description : Outil Autologon pour la connexion automatique du kiosque Entra ID
• Éditeur : Microsoft Sysinternals
• Version de l'application : 3.10+

Définissez la configuration du programme :

# Commande d'installation
install.cmd

# Commande de désinstallation
rd /s /q "%ProgramData%\Autologon"

Configurez les règles de détection à l'aide d'un script personnalisé :

# Contenu du script de détection
$autologonPath = "$env:ProgramData\Autologon\Autologon64.exe"
if (Test-Path $autologonPath) {
    $version = (Get-ItemProperty $autologonPath).VersionInfo.FileVersion
    if ([version]$version -ge [version]"3.10.0.0") {
        Write-Output "Autologon détecté"
        exit 0
    }
}
exit 1

Définissez les exigences :

• Architecture du système d'exploitation : x64
• Système d'exploitation minimum : Windows 10 1903

Affectez l'application à votre groupe d'appareils kiosques avec l'intention Requis.

Vérification : Vérifiez que le dossier %ProgramData%\Autologon de l'appareil contient Autologon64.exe après la fin du déploiement.

Les scripts de remédiation Intune détecteront et configureront les paramètres de connexion automatique à l'aide de l'outil Autologon déployé. Créez à la fois des scripts de détection et de remédiation.

Créez le script de détection (Detect-EntraAutologon_v1.ps1) :

# Script de détection pour la configuration de connexion automatique Entra ID
$registryPath = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
$expectedUser = "kioskuser@yourdomain.com"
$expectedDomain = "AzureAD"

try {
    $autoAdminLogon = Get-ItemProperty -Path $registryPath -Name "AutoAdminLogon" -ErrorAction SilentlyContinue
    $defaultUserName = Get-ItemProperty -Path $registryPath -Name "DefaultUserName" -ErrorAction SilentlyContinue
    $defaultDomainName = Get-ItemProperty -Path $registryPath -Name "DefaultDomainName" -ErrorAction SilentlyContinue
    
    if ($autoAdminLogon.AutoAdminLogon -eq "1" -and 
        $defaultUserName.DefaultUserName -eq $expectedUser -and 
        $defaultDomainName.DefaultDomainName -eq $expectedDomain) {
        Write-Output "La connexion automatique Entra ID est correctement configurée"
        exit 0
    } else {
        Write-Output "Configuration de la connexion automatique Entra ID manquante ou incorrecte"
        exit 1
    }
} catch {
    Write-Output "Erreur lors de la vérification de la configuration de la connexion automatique : $($_.Exception.Message)"
    exit 1
}

Créez le script de remédiation (Remediate_Entra_Autologon_v1.ps1) :

# Script de remédiation pour la configuration de connexion automatique Entra ID
$KioskUserUPN = "kioskuser@yourdomain.com"
$KioskUserPassword = "ComplexKioskPassword123!"
$KioskDomain = "AzureAD"
$AutologonPath = "$env:ProgramData\Autologon\Autologon64.exe"

try {
    if (-not (Test-Path $AutologonPath)) {
        Write-Error "Autologon64.exe introuvable à $AutologonPath"
        exit 1
    }
    
    # Configurez la connexion automatique à l'aide de Autologon64.exe
    $arguments = @(
        "/accepteula",
        $KioskUserUPN,
        $KioskDomain,
        $KioskUserPassword
    )
    
    $process = Start-Process -FilePath $AutologonPath -ArgumentList $arguments -Wait -PassThru -WindowStyle Hidden
    
    if ($process.ExitCode -eq 0) {
        Write-Output "Connexion automatique Entra ID configurée avec succès"
        
        # Vérifiez les paramètres du registre
        $registryPath = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
        $autoLogon = Get-ItemProperty -Path $registryPath -Name "AutoAdminLogon" -ErrorAction SilentlyContinue
        $userName = Get-ItemProperty -Path $registryPath -Name "DefaultUserName" -ErrorAction SilentlyContinue
        
        Write-Output "AutoAdminLogon : $($autoLogon.AutoAdminLogon)"
        Write-Output "DefaultUserName : $($userName.DefaultUserName)"
        exit 0
    } else {
        Write-Error "La configuration de la connexion automatique a échoué avec le code de sortie : $($process.ExitCode)"
        exit 1
    }
} catch {
    Write-Error "Erreur lors de la configuration de la connexion automatique : $($_.Exception.Message)"
    exit 1
}

Vérification : Enregistrez les deux scripts et préparez-les pour le téléchargement dans les politiques de remédiation Intune.

Déployez les scripts de détection et de remédiation via la fonctionnalité Scripts et remédiations d'Intune pour configurer automatiquement la connexion automatique sur les appareils kiosques.

Dans le centre d'administration Microsoft Intune, accédez à Appareils > Scripts et remédiations > Remédiations et cliquez sur Créer.

Configurez la politique de remédiation :

• Nom : Configuration de la connexion automatique Kiosque Entra ID
• Description : Configure la connexion automatique pour les utilisateurs de kiosque Entra ID
• Éditeur : Département IT

Téléchargez le script de détection :

• Sélectionnez Detect-EntraAutologon_v1.ps1
• Exécuter ce script avec les identifiants de l'utilisateur connecté : Non
• Imposer la vérification de la signature du script : Non
• Exécuter le script dans PowerShell 64 bits : Oui

Téléchargez le script de remédiation :

• Sélectionnez Remediate_Entra_Autologon_v1.ps1
• Exécuter ce script avec les identifiants de l'utilisateur connecté : Non
• Imposer la vérification de la signature du script : Non
• Exécuter le script dans PowerShell 64 bits : Oui

Configurez les paramètres de planification :

{
  "Schedule": "Quotidien",
  "Start time": "09:00 AM",
  "Frequency": "Une fois par jour",
  "Retry settings": {
    "Number of retries": 3,
    "Retry interval": "4 heures"
  }
}

Définissez les balises de portée si nécessaire et assignez-les à votre groupe d'appareils kiosques.

Vérification : Surveillez le statut de la politique de remédiation dans Intune et vérifiez les rapports de conformité des appareils après le prochain cycle de synchronisation.

Créez un profil de configuration d'appareil Intune pour activer le mode kiosque multi-applications avec le compte utilisateur de connexion automatique.

Dans le centre d'administration Microsoft Intune, accédez à Appareils > Profils de configuration et cliquez sur Créer un profil.

Sélectionnez les paramètres du profil :

• Plateforme : Windows 10 et versions ultérieures
• Type de profil : Modèles
• Nom du modèle : Kiosque

Configurez les paramètres du kiosque :

• Mode kiosque : Kiosque multi-applications
• Type de connexion utilisateur : Connexion automatique (Windows 10 version 1803 ou ultérieure)
• Type d'application : Ajouter une application du Store, application de bureau ou AUMID

Ajoutez Microsoft Edge comme application de kiosque :

<Application Id="Microsoft.MicrosoftEdge_8wekyb3d8bbwe!MicrosoftEdge">
  <AutoLaunch>true</AutoLaunch>
</Application>

Configurez la section du compte utilisateur :

• Type de compte utilisateur : Utilisateur Azure AD ou groupe Azure AD
• Nom d'utilisateur : kioskuser@yourdomain.com

Pour une configuration avancée, utilisez un profil OMA-URI personnalisé avec AssignedAccess CSP :

<?xml version="1.0" encoding="utf-8" ?>
<AssignedAccessConfiguration xmlns="http://schemas.microsoft.com/AssignedAccess/2017/config">
  <Profiles>
    <Profile Id="{12345678-1234-1234-1234-123456789012}">
      <AllAppsList>
        <AllowedApps>
          <App AppUserModelId="Microsoft.MicrosoftEdge_8wekyb3d8bbwe!MicrosoftEdge" />
          <App DesktopAppPath="C:\Windows\System32\cmd.exe" />
        </AllowedApps>
      </AllAppsList>
      <StartLayout>
        <![CDATA[
          <LayoutModificationTemplate xmlns:defaultlayout="http://schemas.microsoft.com/Start/2014/FullDefaultLayout" xmlns:start="http://schemas.microsoft.com/Start/2014/StartLayout" Version="1" xmlns="http://schemas.microsoft.com/Start/2014/LayoutModification">
            <LayoutOptions StartTileGroupCellWidth="6" />
            <DefaultLayoutOverride>
              <StartLayoutCollection>
                <defaultlayout:StartLayout GroupCellWidth="6">
                  <start:Group Name="Kiosk Apps">
                    <start:DesktopApplicationTile Size="2x2" Column="0" Row="0" DesktopApplicationID="Microsoft.MicrosoftEdge_8wekyb3d8bbwe!MicrosoftEdge" />
                  </start:Group>
                </defaultlayout:StartLayout>
              </StartLayoutCollection>
            </DefaultLayoutOverride>
          </LayoutModificationTemplate>
        ]]>
      </StartLayout>
      <Taskbar ShowTaskbar="true" />
    </Profile>
  </Profiles>
  <Configs>
    <Config>
      <Account>kioskuser@yourdomain.com</Account>
      <DefaultProfile Id="{12345678-1234-1234-1234-123456789012}" />
    </Config>
  </Configs>
</AssignedAccessConfiguration>

Vérification : Assignez le profil à votre groupe d'appareils kiosque et surveillez le statut de déploiement dans le centre d'administration Intune.

Effectuez des tests complets pour vous assurer que la configuration de l'auto-logon et du kiosque fonctionne correctement sur les appareils cibles.

Vérifiez le registre Windows pour la configuration de l'auto-logon :

# Vérifier les paramètres du registre
$registryPath = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
Get-ItemProperty -Path $registryPath | Select-Object AutoAdminLogon, DefaultUserName, DefaultDomainName, DefaultPassword

La sortie attendue devrait montrer :

AutoAdminLogon    : 1
DefaultUserName   : kioskuser@yourdomain.com
DefaultDomainName : AzureAD
DefaultPassword   : [encrypted]

Testez la fonctionnalité d'auto-logon :

1. Redémarrez l'appareil kiosque
2. Observez la connexion automatique sans interaction de l'utilisateur
3. Vérifiez que l'environnement kiosque se charge correctement
4. Vérifiez que seules les applications autorisées sont accessibles

Surveillez les événements AssignedAccess dans le Visualiseur d'événements :

# Vérifier les journaux AssignedAccess
Get-WinEvent -LogName "Microsoft-Windows-AssignedAccessManager/Admin" -MaxEvents 50 | 
  Where-Object {$_.TimeCreated -gt (Get-Date).AddHours(-24)} | 
  Select-Object TimeCreated, Id, LevelDisplayName, Message

Vérifiez les journaux de connexion Entra ID :

1. Accédez à Centre d'administration Entra > Journaux de connexion
2. Filtrez par le compte utilisateur du kiosque
3. Confirmez les connexions automatiques réussies
4. Vérifiez les erreurs ou avertissements d'authentification

Testez la prévention de l'évasion du kiosque :

# Vérifier le remplacement du shell
$shellValue = Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "Shell" -ErrorAction SilentlyContinue
Write-Output "Current shell: $($shellValue.Shell)"

Vérification : Documentez l'auto-logon réussi, le lancement de l'application kiosque et l'établissement de la session utilisateur. Testez les cycles de redémarrage de l'appareil pour assurer la cohérence.

Mettre en œuvre des procédures de surveillance et de dépannage pour maintenir des opérations de kiosque fiables et résoudre rapidement les problèmes courants.

Créer un script de surveillance pour des vérifications de santé continues :

# Script de surveillance de la santé du kiosque
$healthCheck = @{
    AutologonConfigured = $false
    KioskUserSignedIn = $false
    AssignedAccessActive = $false
    LastSignInTime = $null
}

# Vérifier la configuration de l'auto-logon
$winlogonPath = "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon"
$autoLogon = Get-ItemProperty -Path $winlogonPath -Name "AutoAdminLogon" -ErrorAction SilentlyContinue
if ($autoLogon.AutoAdminLogon -eq "1") {
    $healthCheck.AutologonConfigured = $true
}

# Vérifier la session utilisateur actuelle
$currentUser = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
if ($currentUser -like "*kioskuser*") {
    $healthCheck.KioskUserSignedIn = $true
}

# Vérifier le statut de l'accès assigné
$assignedAccessConfig = Get-AssignedAccess -ErrorAction SilentlyContinue
if ($assignedAccessConfig) {
    $healthCheck.AssignedAccessActive = $true
}

# Sortir le statut de santé
$healthCheck | ConvertTo-Json -Depth 2

Scénarios de dépannage courants et solutions :

Mettre en place une remédiation automatisée pour les problèmes courants :

# Script de remédiation d'urgence
param(
    [string]$Action = "Check"
)

switch ($Action) {
    "Check" {
        # Effectuer des vérifications de santé
        $autologonStatus = Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "AutoAdminLogon"
        Write-Output "AutoAdminLogon: $($autologonStatus.AutoAdminLogon)"
    }
    "Reset" {
        # Réinitialiser la configuration de l'auto-logon
        $autologonPath = "$env:ProgramData\Autologon\Autologon64.exe"
        if (Test-Path $autologonPath) {
            & $autologonPath /accepteula "kioskuser@yourdomain.com" "AzureAD" "ComplexKioskPassword123!"
            Write-Output "Configuration de l'auto-logon réinitialisée"
        }
    }
    "Disable" {
        # Désactiver l'auto-logon pour le dépannage
        Set-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" -Name "AutoAdminLogon" -Value "0"
        Write-Output "Auto-logon désactivé"
    }
}

Surveiller les modèles de connexion Entra ID :

# Se connecter à Microsoft Graph pour la surveillance
Connect-MgGraph -Scopes "AuditLog.Read.All"

# Obtenir les connexions récentes pour l'utilisateur du kiosque
$kioskSignIns = Get-MgAuditLogSignIn -Filter "userPrincipalName eq 'kioskuser@yourdomain.com'" -Top 50
$kioskSignIns | Select-Object CreatedDateTime, Status, ClientAppUsed, DeviceDetail | Format-Table

Vérification : Testez toutes les procédures de dépannage sur un appareil non destiné à la production et documentez les étapes de résolution pour votre équipe de support.