Comment gérer les clés de registre avec Microsoft Intune pour la migration GPO

Commencez par vous connecter au centre d'administration Microsoft Intune pour vérifier votre accès et vos autorisations. C'est votre hub central pour toutes les opérations de gestion du registre.

# Ouvrez votre navigateur web et accédez à :
https://intune.microsoft.com

Connectez-vous avec vos identifiants d'administrateur global ou d'administrateur Intune. Une fois connecté, accédez à Appareils > Scripts et remédiations pour confirmer que vous avez accès aux fonctionnalités de script.

Vérification : Vous devriez voir l'option "Scripts et remédiations" sous le menu Appareils. Si elle est absente, vérifiez que votre licence inclut l'add-on Intune Suite ou équivalent pour les fonctionnalités de script avancées.

Avant de créer ou de modifier des clés de registre, vous avez besoin d'un script de détection qui vérifie si la configuration de registre souhaitée existe. Ce script détermine si une correction est nécessaire.

Créez un nouveau fichier PowerShell nommé detect-registry.ps1 avec le contenu suivant :

# Script de détection pour les paramètres de registre d'Adobe Acrobat DC
# Cela vérifie si le chemin et les valeurs de registre requis existent

try {
    # Vérifiez si le chemin de registre existe
    $registryPath = "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\cIPM"
    
    if (Test-Path $registryPath) {
        # Vérifiez si des valeurs de registre spécifiques existent avec les bons paramètres
        $value1 = Get-ItemProperty -Path $registryPath -Name "bDontShowMsgWhenViewingDoc" -ErrorAction SilentlyContinue
        $value2 = Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown" -Name "bIsSCReducedModeEnforcedEx" -ErrorAction SilentlyContinue
        
        if ($value1.bDontShowMsgWhenViewingDoc -eq 0 -and $value2.bIsSCReducedModeEnforcedEx -eq 1) {
            Write-Output "La configuration du registre est conforme"
            exit 0  # Conforme - aucune correction nécessaire
        }
    }
    
    Write-Output "La configuration du registre nécessite une correction"
    exit 1  # Non conforme - correction requise
}
catch {
    Write-Output "Erreur lors de la vérification du registre : $($_.Exception.Message)"
    exit 1  # Erreur - déclencher la correction
}

Vérification : Testez le script localement en exécutant powershell.exe -ExecutionPolicy Bypass -File detect-registry.ps1 et en vérifiant le code de sortie avec echo $LASTEXITCODE.

Le script de remédiation crée ou modifie les clés de registre lorsque le script de détection trouve une non-conformité. Ce script s'exécute avec des privilèges élevés pour effectuer les modifications nécessaires.

Créez remediate-registry.ps1 avec le contenu suivant :

# Script de remédiation pour les paramètres de registre d'Adobe Acrobat DC
# Cela crée les clés et valeurs de registre requises

try {
    # Créez le chemin de registre s'il n'existe pas
    $registryPath = "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\cIPM"
    
    if (-not (Test-Path $registryPath)) {
        New-Item -Path $registryPath -Force | Out-Null
        Write-Output "Chemin de registre créé : $registryPath"
    }
    
    # Définissez les valeurs de registre
    New-ItemProperty -LiteralPath $registryPath -Name "bDontShowMsgWhenViewingDoc" -Value 0 -PropertyType DWord -Force | Out-Null
    Write-Output "Défini bDontShowMsgWhenViewingDoc = 0"
    
    New-ItemProperty -LiteralPath "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown" -Name "bIsSCReducedModeEnforcedEx" -Value 1 -PropertyType DWord -Force | Out-Null
    Write-Output "Défini bIsSCReducedModeEnforcedEx = 1"
    
    Write-Output "Remédiation du registre terminée avec succès"
    exit 0  # Succès
}
catch {
    Write-Output "Erreur lors de la remédiation : $($_.Exception.Message)"
    exit 1  # Échec
}

Pour les clés de registre HKCU, modifiez le script pour utiliser les chemins HKCU:\ à la place :

# Exemple pour la modification du registre HKCU
$registryPath = "HKCU:\SOFTWARE\MyCompany\Settings"
New-Item -Path $registryPath -Force | Out-Null
New-ItemProperty -LiteralPath $registryPath -Name "UserPreference" -Value "Enabled" -PropertyType String -Force | Out-Null

Vérification : Testez le script de remédiation localement et vérifiez que les clés de registre sont créées en utilisant les commandes regedit ou Get-ItemProperty.

Les remédiations proactives sont la méthode recommandée pour la gestion continue des clés de registre. Cela crée un mécanisme de surveillance et d'application qui s'exécute selon un calendrier.

Dans le centre d'administration Intune, accédez à Appareils > Scripts et remédiations > Scripts de plateforme et cliquez sur Créer, puis sélectionnez Windows 10 et versions ultérieures.

Configurez les paramètres suivants :

• Nom : "Configuration du registre Adobe Acrobat DC"
• Description : "Gère les paramètres de sécurité d'Adobe Acrobat DC via des clés de registre"

Dans la section Paramètres du script :

• Fichier de script de détection : Téléchargez votre detect-registry.ps1
• Fichier de script de remédiation : Téléchargez votre remediate-registry.ps1
• Exécuter ce script en utilisant les identifiants connectés : Non (pour les clés HKLM)
• Appliquer la vérification de la signature du script : Non
• Exécuter le script dans l'hôte PowerShell 64 bits : Oui

Configurez le calendrier :

• Fréquence d'exécution : Quotidienne
• Heure de début : 02:00 AM (en dehors des heures de bureau)

Vérification : Après avoir créé la remédiation, vérifiez l'onglet "Vue d'ensemble" pour voir l'état du déploiement et tout résultat initial des appareils ciblés.

Ciblez la gestion de votre registre sur des groupes d'appareils spécifiques pour contrôler quelles machines reçoivent la configuration. Cela permet des déploiements progressifs et des tests.

Dans votre configuration de Remédiation Proactive, cliquez sur l'onglet Affectations. Configurez ce qui suit :

Inclure des groupes :

• Cliquez sur Ajouter un groupe
• Recherchez et sélectionnez votre groupe d'appareils cible (par exemple, "Stations de travail gérées par IT")
• Définissez le Type d'affectation sur "Requis"

Exclure des groupes : Ajoutez tous les groupes qui doivent être exclus de cette politique (par exemple, "Appareils de test" lors du déploiement en production).

# Commande PowerShell pour vérifier l'appartenance au groupe (à exécuter sur l'appareil cible)
Get-WmiObject -Class Win32_ComputerSystem | Select-Object Name, Domain

# Vérifiez si l'appareil est joint à Azure AD
dsregcmd /status | findstr "AzureAdJoined"

Cliquez sur Réviser + créer pour finaliser l'affectation.

Vérification : Surveillez le déploiement dans Appareils > Scripts et remédiations > Scripts de plateforme. Sélectionnez votre script et consultez l'onglet "Statut de l'appareil" pour voir quels appareils ont appliqué la configuration avec succès.

Pour les clés de registre qui doivent être définies lors de l'installation de l'application, utilisez la méthode d'application Win32. Cela est idéal pour les paramètres de registre spécifiques aux logiciels.

Tout d'abord, téléchargez l'outil Microsoft Win32 Content Prep Tool v1.11.4 depuis :

https://github.com/Microsoft/Microsoft-Win32-Content-Prep-Tool/releases

Créez une structure de dossiers pour votre application Win32 :

mkdir C:\IntuneApps\RegistryConfig
cd C:\IntuneApps\RegistryConfig

Créez un script install.ps1 :

# install.ps1 - Configuration du registre lors du déploiement de l'application
Start-Transcript -Path "C:\Windows\Temp\RegistryConfig-Install.log"

try {
    # Créer des clés de registre spécifiques à l'application
    $appRegPath = "HKLM:\SOFTWARE\MyCompany\ApplicationSettings"
    New-Item -Path $appRegPath -Force | Out-Null
    
    # Définir les valeurs de configuration
    New-ItemProperty -Path $appRegPath -Name "ConfigVersion" -Value "2.1" -PropertyType String -Force
    New-ItemProperty -Path $appRegPath -Name "AutoUpdate" -Value 1 -PropertyType DWord -Force
    New-ItemProperty -Path $appRegPath -Name "TelemetryEnabled" -Value 0 -PropertyType DWord -Force
    
    Write-Output "Configuration du registre terminée avec succès"
    exit 0
}
catch {
    Write-Error "Échec de la configuration du registre : $($_.Exception.Message)"
    exit 1
}
finally {
    Stop-Transcript
}

Créez le package .intunewin :

IntuneWinAppUtil.exe -c "C:\IntuneApps\RegistryConfig" -s "install.ps1" -o "C:\IntuneApps\Output"

Vérification : Vérifiez que le fichier .intunewin a été créé avec succès dans le répertoire de sortie avant de procéder à son téléchargement sur Intune.

Téléchargez et configurez votre application Win32 dans Intune pour déployer les paramètres du registre en même temps que les installations d'applications.

Dans le centre d'administration Intune, accédez à Applications > Windows > Ajouter et sélectionnez Application Windows (Win32).

Configurez les informations du package d'application :

• Sélectionner le fichier du package d'application : Téléchargez votre fichier .intunewin
• Nom : "Package de configuration du registre"
• Description : "Configure les paramètres du registre spécifiques à l'application"
• Éditeur : Le nom de votre organisation

Définissez la configuration du programme :

• Commande d'installation : powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -File install.ps1
• Commande de désinstallation : powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Remove-Item 'HKLM:\SOFTWARE\MyCompany\ApplicationSettings' -Recurse -Force"
• Comportement d'installation : Système
• Comportement de redémarrage de l'appareil : Aucune action spécifique

Configurez les règles de détection :

• Format des règles : Configurer manuellement les règles de détection
• Type de règle : Registre
• Chemin de la clé : HKLM\SOFTWARE\MyCompany\ApplicationSettings
• Nom de la valeur : ConfigVersion
• Méthode de détection : Comparaison de chaînes
• Opérateur : Égal à
• Valeur : 2.1

Vérification : Après le déploiement, vérifiez le "Statut d'installation de l'appareil" pour confirmer l'installation réussie et la configuration du registre sur les appareils cibles.

Établissez des procédures de surveillance et de dépannage pour vous assurer que vos configurations de registre fonctionnent correctement sur l'ensemble de votre parc d'appareils.

Surveiller les remédiations proactives :

1. Accédez à Appareils > Scripts et remédiations > Scripts de plateforme
2. Sélectionnez votre script de configuration de registre
3. Consultez l'onglet Statut de l'appareil pour obtenir des informations de conformité

Créez une politique de conformité personnalisée pour une surveillance supplémentaire :

# Script de détection de conformité personnalisé
$registryPath = "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\cIPM"
$complianceData = @{
    "RegistryPathExists" = (Test-Path $registryPath)
    "ConfigurationApplied" = $false
}

if ($complianceData.RegistryPathExists) {
    $value = Get-ItemProperty -Path $registryPath -Name "bDontShowMsgWhenViewingDoc" -ErrorAction SilentlyContinue
    $complianceData.ConfigurationApplied = ($value.bDontShowMsgWhenViewingDoc -eq 0)
}

# Sortie des données de conformité au format JSON
$complianceData | ConvertTo-Json

Étapes courantes de dépannage :

• Erreurs d'exécution de script : Vérifiez les journaux de l'appareil dans C:\Windows\Temp pour les transcriptions PowerShell
• Problèmes de permission : Vérifiez que le contexte d'exécution du script (Système vs Utilisateur) correspond aux exigences de la ruche de registre
• Échecs de détection : Testez les scripts de détection localement avec powershell.exe -ExecutionPolicy Bypass -File detect-registry.ps1

Vérification : Exécutez la commande suivante sur un appareil géré pour vérifier les paramètres du registre :

Get-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Adobe\Adobe Acrobat\DC\FeatureLockDown\cIPM" | Format-List