Baselines

L’onglet Baselines publie un même socle de conformité Windows dans MECM et Microsoft Intune. Il sépare volontairement l’audit de la correction automatique.

Fonctionnement

1. Choisissez un profil existant ou utilisez Nouveau profil.
2. Nommez le profil, décrivez son usage et ajustez ses contrôles.
3. Enregistrez le profil pour conserver sa composition sur le poste d’administration.
4. Conservez Autoriser les remédiations décoché pour une première mesure sans correction.
5. Choisissez une collection d’appareils MECM ou un groupe d’appareils Entra.
6. Publiez sur une plateforme, puis contrôlez les badges Publié.

Les profils, leur sélection et les dernières publications sont mémorisés sur le poste d’administration. Changer de profil actualise son état ; Actualiser l’état force une nouvelle lecture des objets PatchFactory réellement présents dans MECM et Intune.

Profils fournis

Profil	Usage
Poste entreprise	Socle prudent recommandé pour un déploiement progressif.
Audit sécurité complet	Active les 28 contrôles sans imposer la remédiation.
Santé opérationnelle	Cible les services essentiels, l’espace disque, le format du volume et les redémarrages en attente.

Changer de profil remplace la sélection courante. Vous pouvez ensuite ajouter ou retirer chaque contrôle individuellement, renommer le profil et enregistrer cette composition comme source de vérité.

Contrôles disponibles

Le catalogue comprend 28 contrôles répartis en sept familles :

• Plateforme et chiffrement : Secure Boot, TPM 2.0 et BitLocker ;
• Microsoft Defender : protection temps réel, signatures, PUA et protection cloud ;
• Réseau : pare-feu Windows, RDP avec NLA, SMBv1 et LLMNR ;
• Identité : compte Invité, Credential Guard, UAC et restrictions d’accès anonyme ;
• Durcissement : intégrité de la mémoire, Remote Registry, WDigest, AutoRun, journalisation PowerShell, TLS 1.0/1.1 et NTLMv2 ;
• Exploitation : services Windows Update et Windows Time, espace libre minimal, redémarrage en attente et volume système NTFS.

La colonne Correction distingue les contrôles remédiables des contrôles d’audit uniquement. La colonne Risque aide à préparer un anneau pilote ; elle ne remplace pas la qualification interne de votre organisation.

Publication MECM

PatchFactory crée ou actualise :

• un Configuration Item par contrôle, identifié par un marqueur PatchFactory stable ;
• une Configuration Baseline correspondant au profil sélectionné ;
• un déploiement vers la collection choisie lorsque Déployer après publication est coché.

Les Configuration Items sont rangés dans Configuration Items\PatchFactory et les baselines dans Configuration Baselines\PatchFactory. Une nouvelle publication actualise les objets existants au lieu de créer des doublons et remplace la composition MECM par la sélection exacte du profil. Un contrôle décoché est retiré de la baseline puis son Configuration Item est supprimé s’il n’est utilisé par aucun autre profil PatchFactory. En mode audit, aucun script de remédiation n’est associé au contrôle. En mode remédiation, seules les corrections disponibles sont attachées et l’enforcement du déploiement est activé.

Le module PowerShell Configuration Manager doit être installé sur le poste et le compte lancé doit posséder les droits MECM nécessaires sur les Configuration Items, les baselines et leurs déploiements.

Publication Intune

PatchFactory crée ou actualise une Remediation par contrôle et par profil via Microsoft Graph. Les profils restent indépendants, même lorsqu’ils partagent un contrôle. Les scripts s’exécutent sous SYSTEM en 64 bits. Si Affecter après publication est coché, le groupe d’appareils choisi reçoit une planification quotidienne.

La permission Microsoft Graph d’application DeviceManagementScripts.ReadWrite.All est obligatoire, en plus des permissions utilisées par le catalogue applicatif. Consultez Configuration Microsoft Intune.

Une nouvelle publication réconcilie la composition Intune avec le profil enregistré : une Remediation décochée est supprimée uniquement pour ce profil. Sur un groupe, la publication remplace l’affectation PatchFactory de la Remediation concernée. Décochez l’affectation pour publier ou actualiser les scripts sans créer de nouvelle cible ; cette option ne supprime pas un déploiement existant.

Audit et remédiation

Commencez en audit

Publiez d’abord sans remédiation sur une collection ou un groupe pilote. Analysez les écarts, vérifiez les exceptions métier, puis activez les corrections contrôle par contrôle dans un second temps.

L’activation de la remédiation déclenche une confirmation explicite avant chaque publication. Les contrôles qui redémarrent un poste, formatent un disque ou suppriment récursivement des données sont interdits dans le catalogue intégré.

Dépannage

• MECM désactivé : activez et testez MECM dans Configuration.
• Collection absente : actualisez l’état et vérifiez que la collection cible contient des appareils.
• Erreur de module MECM : installez la console Configuration Manager sur le poste d’administration.
• Erreur Graph 403 : ajoutez DeviceManagementScripts.ReadWrite.All, accordez le consentement administrateur, puis redémarrez PatchFactory.
• Contrôle non publié : ouvrez Activité pour consulter le message détaillé de la plateforme.

PatchFactory ne masque pas une erreur partielle : une publication est considérée réussie uniquement lorsque tous les contrôles sélectionnés ont retourné leur identifiant de plateforme.