GPO vs Intune : qui gagne sur un poste hybride ?

Sur un poste hybride, une GPO et un profil Intune qui définissent le même paramètre ne jouent pas à armes égales : par défaut, la GPO l'emporte, sans message d'erreur. Un paramètre de la Policy CSP permet d'inverser la priorité, mais son périmètre est plus étroit que ce que l'on lit souvent. Vous saurez l'activer, délimiter ce qu'il couvre réellement et vérifier son effet avant de généraliser.

Par défaut, la GPO gagne et Intune reste silencieux

Sur un appareil joint au domaine et inscrit dans Microsoft Intune, la stratégie de groupe (GPO, Group Policy Object) reste prioritaire tant que rien n'est configuré. Migrer un appareil vers Intune ne change donc pas, à lui seul, le rapport de force : le profil Intune est livré, mais la valeur de la GPO s'applique.

La raison est historique. Le moteur de GPO est intégré à Windows depuis une vingtaine d'années, s'exécute au démarrage et se réactualise toutes les 90 minutes. Le canal MDM (Mobile Device Management) d'Intune est arrivé bien après et cède la place quand les deux visent le même paramètre.

Le piège est l'absence de signal. Une organisation qui traîne une trentaine de GPO et empile des profils Intune peut croire à une migration réussie alors que l'appareil suit toujours l'ancien annuaire. Le tableau de bord peut afficher un déploiement réussi pendant que la GPO décide du comportement réel.

MDMWinsOverGP : le réglage qui inverse la priorité

Le paramètre MDMWinsOverGP appartient à la stratégie ControlPolicyConflict de la Policy CSP (Configuration Service Provider). Quand il vaut 1, la stratégie MDM est utilisée et la GPO équivalente est bloquée dans la console de stratégie de groupe, d'après la référence ControlPolicyConflict sur Microsoft Learn.

La documentation Microsoft Defender précise que ce réglage se configure uniquement via la Policy CSP, par exemple avec un profil personnalisé OMA-URI (Open Mobile Alliance Uniform Resource Identifier). Il n'existe ni paramètre GPO ni cmdlet PowerShell pour le définir : inutile de chercher un Set- quelconque.

Créer le paramètre dans Intune : catalogue de paramètres ou OMA-URI

Deux voies mènent au même résultat. Le catalogue de paramètres est la plus lisible ; le profil personnalisé reste utile si vous gérez déjà vos exceptions en OMA-URI.

Pour un premier déploiement, procédez par cercles concentriques.

Le périmètre réel : Policy CSP uniquement

Le réglage ne fait pas de miracle. La documentation Microsoft indique que MDMWinsOverGP ne s'applique qu'aux politiques de la Policy CSP. Si un paramètre est défini en GPO et en MDM dans un autre CSP, il y a une condition de concurrence et aucun gagnant n'est garanti.

On résume souvent la règle à deux exceptions, Microsoft Defender et Windows Update, parce que ce sont les deux chantiers que la plupart des équipes veulent migrer. Le périmètre réel est plus large : tout paramètre qui relève d'un autre CSP est hors jeu.

Le cas du pare-feu est instructif. Sur un appareil avec MDMWinsOverGP à 1, un pare-feu désactivé par GPO et activé par un profil Intune est resté désactivé, et Intune affichait « Conflit », comme le rapporte ce fil Q&R sur Microsoft Learn. Le paramètre relevait de la Firewall CSP, donc hors du périmètre.

Pour Defender, la documentation Microsoft recommande de supprimer les paramètres Defender des GPO quand on gère par MDM. Elle décrit aussi la « configuration contrôlée », qui applique uniquement les paramètres Intune ou de la gestion des paramètres de sécurité Defender et ignore les GPO, Configuration Manager et les paramètres locaux en conflit.

Faut-il vraiment activer MDMWinsOverGP ?

Pas systématiquement. Jason Sandys, employé Microsoft et modérateur Q&R, indique dans ce fil sur Intune et les PC joints au domaine que le paramètre ne s'applique pas à tous les paramètres et que s'y fier est risqué. Un autre intervenant le déconseille fortement et préfère le ciblage : ne pas affecter le paramètre à l'appareil côté GPO, avec des filtres WMI, des permissions et des unités d'organisation.

Mise en œuvre : repérer les GPO hors périmètre sur un poste pilote

Avant d'activer le réglage, il faut savoir quelles GPO machine touchent Defender, Windows Update ou le pare-feu : ce sont elles qui continueront à gagner. Le script suivant, en lecture seule, produit un rapport HTML de gpresult et un CSV des lignes qui correspondent à ces trois domaines.

Prérequis : Windows PowerShell 5.1 ou supérieur, session exécutée en administrateur local sur le poste pilote, aucun module à installer. Permission minimale : administrateur local (requis pour gpresult /scope computer). Sortie : un fichier HTML, un fichier texte brut et un CSV dans C:\ProgramData\GpoIntuneAudit. La détection repose sur des mots-clés : elle sert de filtre de première intention, pas de preuve.

1[CmdletBinding()]
2param(
3    # Dossier de sortie des rapports
4    [string]$OutputFolder = (Join-Path $env:ProgramData 'GpoIntuneAudit')
5)
6 
7$ErrorActionPreference = 'Stop'
8 
9# gpresult en portée ordinateur exige une session élevée
10$principal = [Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()
11if (-not $principal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) {
12    throw 'Relancez PowerShell en tant qu''administrateur.'
13}
14 
15New-Item -ItemType Directory -Path $OutputFolder -Force | Out-Null
16$stamp    = Get-Date -Format 'yyyyMMdd-HHmmss'
17$htmlPath = Join-Path $OutputFolder "gpresult-$stamp.html"
18$txtPath  = Join-Path $OutputFolder "gpresult-$stamp.txt"
19$csvPath  = Join-Path $OutputFolder "gpo-hors-perimetre-$stamp.csv"
20 
21# Rapport HTML complet (à ouvrir dans un navigateur) et version texte détaillée
22gpresult /scope computer /h $htmlPath /f | Out-Null
23gpresult /scope computer /v | Out-File -FilePath $txtPath -Encoding utf8
24 
25# Domaines que MDMWinsOverGP ne couvre pas (Defender CSP, Firewall CSP, Windows Update)
26$domaines = [ordered]@{
27    'Microsoft Defender' = 'Defender|Antivirus|Antimalware'
28    'Windows Update'     = 'Windows Update|WindowsUpdate|WSUS'
29    'Pare-feu'           = 'Firewall|Pare-feu'
30}
31 
32$lignes = Get-Content -Path $txtPath
33$resultats = foreach ($nom in $domaines.Keys) {
34    $lignes | Select-String -Pattern $domaines[$nom] | ForEach-Object {
35        [pscustomobject]@{
36            Domaine = $nom
37            Ligne   = $_.LineNumber
38            Texte   = $_.Line.Trim()
39        }
40    }
41}
42 
43$resultats | Export-Csv -Path $csvPath -NoTypeInformation -Encoding UTF8
44$resultats | Group-Object -Property Domaine | Select-Object Name, Count | Format-Table -AutoSize
45 
46Write-Host "Rapport HTML : $htmlPath"
47Write-Host "CSV d'audit  : $csvPath"

Pour confirmer le statut de jonction du poste avant l'audit, cette commande affiche les lignes utiles :

1dsregcmd /status | Select-String -Pattern 'AzureAdJoined|DomainJoined|MdmUrl'

Une ligne du CSV dans le domaine Defender ou Windows Update signale une GPO à retirer ou à cibler autrement, que MDMWinsOverGP soit activé ou non.

Vérifier l'effet et dépanner

La documentation Microsoft désigne le rapport de diagnostic MDM comme le bon moyen de vérifier : Paramètres > Comptes > Accès Professionnel ou scolaire > Rapport de diagnostic avancé. Il liste les GPO bloquées. Le tableau de bord Intune ne suffit pas à conclure. Ce chemin s'ouvre directement avec la commande suivante :

1Start-Process 'ms-settings:workplace'

Questions fréquentes

Qui l'emporte par défaut entre une GPO et un profil Intune ?

Par défaut, la GPO l'emporte : la valeur de MDMWinsOverGP est 0. Le profil Intune peut sembler appliqué alors que le poste suit la GPO.

Existe-t-il une GPO ou une cmdlet PowerShell pour activer MDMWinsOverGP ?

Non. La documentation Microsoft indique que le réglage se configure uniquement via la Policy CSP, par exemple avec un profil personnalisé OMA-URI sur ./Device/Vendor/MSFT/Policy/Config/ControlPolicyConflict/MDMWinsOverGP, de type entier et de valeur 1.

MDMWinsOverGP couvre-t-il Defender et Windows Update ?

Non pour Defender : la documentation indique que le réglage ne s'applique pas à la Defender CSP. Pour Windows Update, la GPO garde la main, et les GPO correspondantes doivent être supprimées des appareils pilotes en cogestion.

Que se passe-t-il si l'appareil est désinscrit d'Intune ?

Les GPO applicables sont de nouveau appliquées. Le réglage vit dans la gestion MDM : sans inscription, il n'y a plus d'arbitrage en faveur d'Intune.

Par où commencer

Commencez par l'inventaire, pas par le réglage. Auditez un poste pilote avec le script ci-dessus, classez les GPO en trois lots (migrables, hors périmètre, obsolètes), puis décidez de la méthode.

Si votre parc compte peu de GPO bien identifiées, ciblez-les plutôt que d'activer le réglage à l'échelle de l'appareil : c'est l'option que privilégient certains contributeurs Q&R de Microsoft. Si vous avez des dizaines de GPO et une migration étalée, MDMWinsOverGP offre une transition acceptable, à condition de nettoyer en parallèle les paramètres hors Policy CSP.

Pour aller plus loin

• ControlPolicyConflict Policy CSP : référence officielle sur les valeurs, les OS pris en charge et le rapport de diagnostic MDM.
• Defender CSP : confirme que MDMWinsOverGP ne s'applique pas à Defender.
• Configure ASR rules and exclusions : ordre de priorité entre paramètres locaux, GPO et MDM, avec la configuration OMA-URI.
• Notre guide Group Policy vs Intune pour migrer la configuration des postes : la démarche complète de migration.
• Microsoft Defender et Intune : la migration sans risque : le chantier Defender, qui reste hors du périmètre de MDMWinsOverGP.