Intune se refait une beauté. L’outil de Microsoft utilisé par les entreprises pour gérer leurs ordinateurs à distance se voit doté d’une lecture automatique du registre Windows. Les équipes informatiques peuvent à présent vérifier la configuration réelle d’un poste sans écrire de script.
Voilà une nouveauté qui va, selon la communauté Reddit, « changer la donne pour beaucoup ». Intune va désormais lire le registre de Windows automatiquement.
Le registre Windows est une base de données interne à l’ordinateur. Il stocke des milliers de réglages techniques, invisibles pour l’utilisateur, mais essentiels au bon fonctionnement du système et des logiciels de sécurité. Une consigne peut apparaître appliquée dans l’outil de gestion utilisé par l’entreprise, sans que la clé correspondante existe vraiment dans ce registre. Les équipes informatiques n’avaient jusqu’ici aucun moyen simple de vérifier ce décalage. Elles écrivaient des scripts de collecte, les testaient, puis les maintenaient sur la durée. Microsoft a ajouté une lecture native de ce registre à Intune, son service de gestion de parc informatique, avec la mise à jour de service 2607, publiée fin juillet. Un administrateur peut désormais interroger un poste directement depuis la console, sans passer par un script personnalisé. Très utile quand un salarié change de PC.
L’administrateur choisit une valeur, un chemin ou une famille de sous-clés
Le catalogue de propriétés sert de point d’entrée pour cette collecte, au même titre que pour d’autres inventaires matériels déjà présents dans Intune. Cet écran donne à l’administrateur la liste des informations à récupérer sur les postes du parc. Pour définir une clé, l'administrateur renseigne un chemin de registre, une sorte d’adresse interne au système, et, si besoin, un nom de valeur. L’agent, le programme qu’Intune installe sur chaque poste pour dialoguer avec lui, tente la collecte, puis transmet le chemin, le nom, le type et la donnée de cette clé au service Intune.
Il suffit d’un chemin pour récupérer une valeur isolée. Le champ UEFICA2023Status en est un exemple, dans la branche HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot, réservée aux réglages de la machine plutôt qu’à un compte utilisateur en particulier. Ce champ signale le renouvellement du certificat Secure Boot, une protection qui vérifie l’intégrité du démarrage de Windows. Microsoft avait doté les équipes informatiques d'un outil de suivi pour ce même renouvellement de certificats, quelques mois avant l’échéance de 2026.
L'administrateur peut aussi récupérer toutes les valeurs présentes sous un même chemin, sans descendre dans les sous-clés, l’équivalent de sous-dossiers à l’intérieur du registre. Ce réglage convient à un ensemble de paramètres liés à Windows Update, par exemple. Le statut DHCP, le protocole qui attribue automatiquement une adresse réseau à un ordinateur, relevé sur chaque interface, en est un autre exemple. L’agent interroge alors une même valeur dans plusieurs sous-clés à la fois, ici sous HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces.
L’agent limite chaque valeur collectée à 6 Ko pour écarter les secrets
Chaque valeur collectée est plafonnée à 6 Ko. Ce seuil est idéal pour un simple réglage, mais pas pour un fichier entier. L’agent ne récupère pas non plus plus de 100 clés par appareil. Au-delà de ces seuils, il ignore l’excédent et affiche un résultat correspondant pour l’appareil concerné. Intune repère par ailleurs les valeurs susceptibles de contenir des mots de passe, des identifiants, des jetons d’authentification, des certificats, des clés privées ou des chaînes de connexion à une base de données, puis les écarte de la collecte. La collecte ne sort jamais des chemins HKEY_LOCAL_MACHINE. Le registre propre à chaque utilisateur, avec ses réglages personnels de session, est hors de ce périmètre.
Quand une clé existe sans contenir de donnée, l'agent renvoie une valeur vide et signale une collecte réussie. Quand le chemin ou le nom de valeur n’existe pas sur un appareil, ce dernier affiche « Non trouvé », sans bloquer la collecte sur le reste du parc. Microsoft Intune Plan 1, l’abonnement de base pour gérer un parc de postes Windows, inclut cette collecte de données de registre.
Selon Microsoft, Intune est le centre de pilotage capable de remettre en état les postes en panne à distance, avec restauration ponctuelle ou reconstruction depuis le cloud. Microsoft ajoute maintenant cette lecture fine du registre à ces outils de diagnostic. Les équipes informatiques disposent d’une même interface pour observer l’état d’un poste et déclencher sa réparation. Selon Madison Cooks, cheffe de produit chez Microsoft Intune, cette fonction donne aux équipes informatiques une vision plus complète de la configuration des appareils, sans script à écrire ni à maintenir.
Microsoft prévoit d’élargir l’accès aux données de registre à d’autres outils de rapport et d’analyse dans les mois à venir.
