Outlook, Teams et Edge sur Android d'entreprise sans Intune

Vous utilisez Microsoft 365 et les appareils Android de votre entreprise sont gérés par un MDM Android Enterprise autre qu'Intune. Peut-être quittez-vous Intune, ou peut-être n'avez-vous jamais souscrit de licence pour ce dernier. Dans tous les cas, vous avez toujours besoin qu'Outlook trouve la bonne boîte aux lettres dès le premier lancement, que Teams n'accepte que les comptes professionnels et qu'Edge ouvre la bonne page intranet tout en bloquant le reste.

La majeure partie de cela est possible sans Intune. Microsoft documente un ensemble de clés de configuration gérée pour Outlook, Teams, Edge et Microsoft Launcher sur Android. Tout MDM Android Enterprise peut les distribuer via le système d'exploitation. Certaines protections dépendent toutefois d'Intune. Ce guide distingue les deux afin que vous puissiez expliquer ce compromis à votre direction.

Vous allez configurer la préconfiguration de compte dans Outlook, les clés de compte et de connexion dans Teams, les contrôles de navigation et les paramètres de mode plein écran (kiosque) dans Edge, ainsi que Microsoft Launcher comme écran d'accueil. Ensuite, vous découvrirez ce à quoi vous renoncez sans Intune App Protection et comment migrer les stratégies de configuration d'applications existantes d'Intune vers des configurations gérées.

Vous quittez Intune ? Lisez d'abord la section Transférer les paramètres lorsque vous quittez Intune et créez votre tableau de correspondance. Suivez ensuite les étapes 1 à 6 en utilisant les valeurs de ce tableau plutôt qu'en partant de zéro.

Avant de commencer : configurations gérées vs Intune App Protection

Ces deux mécanismes sont faciles à confondre, et une grande partie de la confusion provient du nom des clés.

• Les configurations gérées Android (également appelées restrictions d'application) font partie intégrante d'Android Enterprise. Votre MDM envoie un ensemble de clés et de valeurs à une application installée depuis le Google Play d'entreprise, et l'application les lit à partir du bundle de restrictions Android. Microsoft appelle cela le « canal du système d'exploitation » (OS channel) ou canal « appareils gérés » (managed devices). Tout MDM Android Enterprise peut l'utiliser.
• Intune App Protection (MAM) est la couche de stratégie applicative de Microsoft. Elle est intégrée aux applications Microsoft via le SDK Intune App et n'est appliquée que lorsqu'une stratégie de protection des applications Intune cible l'utilisateur. Le contrôle du copier/coller, les restrictions d'enregistrement sous et les vérifications de lancement conditionnel en font partie. Cela nécessite Intune.

C'est le nom des clés qui prête à confusion. Certaines clés commençant par com.microsoft.intune.mam fonctionnent pourtant via le canal du système d'exploitation. L'exemple le plus notable est com.microsoft.intune.mam.AllowedAccountUPNs, qui porte le nom du SDK de Microsoft mais qu'Outlook et Teams lisent dans le bundle de restrictions Android. Fiez-vous à cette règle plutôt qu'au préfixe : les clés contenant IntuneMAMOnly dans leur nom nécessitent une stratégie de protection d'applications Intune. Microsoft documente les autres clés couvertes par ce guide pour les appareils gérés via le canal du système d'exploitation.

Prérequis

• Des appareils enrôlés dans Android Enterprise sur un MDM prenant en charge les configurations gérées. Notez le mode utilisé par chaque appareil : entièrement géré, dédié ou profil professionnel. Le mode kiosque d'Edge à l'étape 4 est destiné aux appareils dédiés.
• Votre compte Google Play d'entreprise associé au MDM, afin de pouvoir approuver Outlook, Teams, Edge et Microsoft Launcher.
• Un compte Microsoft Entra disposant d'une licence Microsoft 365 appropriée pour chaque utilisateur qui se connectera à Outlook et Teams.
• La documentation de configuration de Microsoft ouverte sur learn.microsoft.com pour chaque application, afin de vérifier les formats des valeurs.
• Un appareil de test que vous pouvez réinitialiser et réenrôler.

Remarque : Les noms des clés sont sensibles à la casse. Si vous saisissez edgeenablekioskmode au lieu de EdgeEnableKioskMode, l'application l'ignorera sans afficher d'erreur. Sélectionnez plutôt les clés dans le formulaire de configuration gérée de votre MDM, généré à partir du schéma propre à l'application, au lieu de les saisir manuellement.

Étape 1 : Approuver les applications Microsoft et les ajouter à votre stratégie

1. Dans votre console MDM, ouvrez le Google Play d'entreprise et approuvez Microsoft Outlook (com.microsoft.office.outlook), Microsoft Teams (com.microsoft.teams), Microsoft Edge (com.microsoft.emmx) et, si vous prévoyez de l'utiliser, Microsoft Launcher (com.microsoft.launcher).
2. Ajoutez chaque application à une stratégie de test utilisée uniquement par votre appareil de test, et non à la stratégie de toute la flotte. Définissez le type d'installation sur obligatoire ou installation forcée afin que l'application s'installe sans intervention de l'utilisateur.
3. Ouvrez le formulaire de configuration gérée de chaque application. Vous devriez voir une liste de clés correspondant à la documentation de Microsoft.

Résultat attendu : Chaque application ajoutée apparaît dans la stratégie, et chacune affiche un formulaire de configuration gérée modifiable. Si un formulaire est vide, l'application n'a pas encore été approuvée dans Google Play d'entreprise ou la console n'a pas encore récupéré son schéma.

Avertissement : Les configurations gérées ne s'appliquent qu'aux copies de l'application installées via le Google Play d'entreprise au sein du profil géré ou sur un appareil entièrement géré. Si un utilisateur installe Outlook dans son profil personnel, cette copie ne recevra aucune configuration.

Étape 2 : Préconfigurer le compte Outlook et verrouiller les paramètres souhaités

1. Configuration du compte. Définissez com.microsoft.outlook.EmailProfile.EmailAddress sur l'adresse e-mail de l'utilisateur, avec les clés des éléments suivants.
2. com.microsoft.outlook.EmailProfile.EmailUPN : l'UPN de connexion de l'utilisateur. Il est souvent identique à l'adresse e-mail, mais pas toujours.
3. com.microsoft.outlook.EmailProfile.AccountType : le type de compte documenté par Microsoft pour votre boîte aux lettres. Pour Exchange Online avec authentification moderne, Microsoft documente ModernAuth.
4. Comptes autorisés. Définissez com.microsoft.intune.mam.AllowedAccountUPNs avec le ou les comptes professionnels qu'Outlook est autorisé à ajouter. Microsoft documente cette clé pour les appareils gérés via le canal du système d'exploitation. Consultez la documentation de Microsoft pour connaître le délimiteur exact si vous listez plusieurs UPN.
5. Comportement de la messagerie. Choisissez la boîte de réception prioritaire, le blocage des images externes et les suggestions de réponses dans le formulaire. Microsoft documente également des clés pour la synchronisation des contacts et du calendrier, ainsi que pour S/MIME si vous utilisez des e-mails signés ou chiffrés.
6. Verrouillez ce qui compte. De nombreuses clés Outlook possèdent une clé complémentaire se terminant par .UserChangeAllowed. Définissez-la sur false pour tout ce que les utilisateurs ne doivent pas modifier, comme le blocage des images externes. Laissez-la sur true pour les préférences telles que la boîte de réception prioritaire si vous souhaitez seulement définir une valeur par défaut.

Résultat attendu : Lors du premier lancement, Outlook affiche le compte professionnel détecté. L'utilisateur appuie dessus pour l'ajouter et se connecte à l'aide de ses identifiants Microsoft Entra. L'ajout d'un compte ne figurant pas dans la liste des comptes autorisés est refusé, et les utilisateurs ne peuvent pas modifier les paramètres que vous avez verrouillés.

Remarque : La préconfiguration ne contourne pas l'authentification. L'utilisateur doit toujours s'authentifier, et le MFA ainsi que les stratégies de connexion configurées dans Entra ID s'appliquent toujours.

Étape 3 : Configurer Teams pour les appareils partagés et de terrain

Microsoft documente trois clés Teams qui fonctionnent sans Intune :

1. com.microsoft.intune.mam.AllowedAccountUPNs restreint Teams aux comptes professionnels listés. Microsoft indique que cette restriction de compte fonctionne avec n'importe quel UEM sur les appareils enrôlés. Appareils mono-utilisateur : définissez-la sur l'UPN de cet utilisateur, en utilisant une variable par utilisateur si votre MDM le permet.
2. Appareils partagés : la valeur doit inclure chaque collaborateur qui se connecte sur cet appareil. Consultez la documentation de Microsoft pour connaître le délimiteur de liste. Si vous ne pouvez pas maintenir cette liste à jour, ne définissez pas la clé sur les appareils partagés et consignez cet arbitrage dans votre journal de décisions.
3. domain_name définit votre domaine de connexion, afin que les collaborateurs n'aient pas à saisir l'UPN complet.
4. enable_numeric_emp_id_keypad affiche un pavé numérique lors de la connexion. Sur les appareils partagés où les employés se connectent avec un identifiant numérique, cela accélère la connexion.

Teams dispose également de trois clés relatives au contenu des notifications, qui contrôlent ce qui s'affiche dans celles-ci. Toutes les trois se terminent par IntuneMAMOnly. Sans stratégie de protection des applications Intune, elles n'ont aucun effet ; ne comptez donc pas sur elles pour masquer l'aperçu des messages sur un appareil partagé.

Résultat attendu : Sur un appareil partagé, l'écran de connexion de Teams affiche un pavé numérique et le collaborateur saisit son identifiant employé. Si vous avez configuré AllowedAccountUPNs, Teams accepte uniquement les comptes figurant sur cette liste.

Étape 4 : Configurer Edge pour le contrôle de la navigation, les bornes (kiosques) et les appareils partagés

1. Autorisation et blocage. Utilisez URLAllowlist et URLBlocklist pour contrôler les sites pouvant être ouverts. Sur un appareil dédié à une tâche spécifique, une courte liste d'autorisation est généralement plus facile à maintenir qu'une longue liste de blocage.
2. Points de départ. Utilisez ManagedFavorites pour distribuer des favoris vers l'intranet, le portail RH et l'outil de gestion des tickets. Utilisez EdgeNewTabPageCustomURL pour définir la page d'un nouvel onglet.
3. Paramètres de sécurité par défaut. Activez SmartScreenEnabled et EdgeDefaultHTTPS.
4. Mode kiosque et affichage verrouillé. Sur les appareils dédiés, EdgeEnableKioskMode exécute Edge en tant que navigateur kiosque. EdgeShowAddressBarInKioskMode contrôle la visibilité de la barre d'adresses pour les utilisateurs, et EdgeLockedViewModeEnabled limite la navigation au sein du navigateur. Associez ces paramètres à IdleTimeout pour qu'une session inactive se réinitialise. Consultez la documentation de Microsoft pour connaître l'unité de temps utilisée.
5. Hygiène des appareils partagés. Définissez EdgeBlockSignInEnabled et EdgeSyncDisabled pour que personne ne puisse connecter de profil dans un navigateur partagé. Désactivez PasswordManagerEnabled, limitez InPrivateModeAvailability et activez SavingBrowserHistoryDisabled. Utilisez les valeurs documentées par Microsoft pour chacune d'elles.

Résultat attendu : Edge s'ouvre sur la page de votre choix, affiche vos favoris gérés, refuse les sites bloqués et, sur les appareils en mode kiosque, masque les commandes désactivées. La connexion à Edge est bloquée pour tous les comptes, professionnels comme personnels. C'est le comportement attendu sur un appareil partagé. Ne définissez pas EdgeBlockSignInEnabled sur les appareils mono-utilisateur où les personnes ont besoin de leur profil professionnel dans Edge.

Remarque : Edge possède également des clés de protection d'applications Intune, documentées séparément. Tout comme les clés IntuneMAMOnly d'Outlook et de Teams, elles n'ont aucun effet sans Intune.

Étape 5 : Utiliser Microsoft Launcher comme écran d'accueil (facultatif)

Utilisez cette option si vous souhaitez un écran d'accueil aux couleurs de Microsoft plutôt que le lanceur de kiosque de votre MDM.

1. Supprimez le lanceur concurrent. Désactivez le lanceur de kiosque de votre MDM dans la stratégie destinée à ces appareils. Choisissez un seul écran d'accueil par appareil, car exécuter simultanément Microsoft Launcher et le lanceur kiosque d'un MDM provoque des conflits.
2. Définissez-le comme application d'accueil par défaut. Si la stratégie de votre MDM permet de définir une application d'accueil par défaut, choisissez Microsoft Launcher. Si ce n'est pas possible, appuyez sur le bouton Accueil de l'appareil, choisissez Microsoft Launcher et sélectionnez Toujours.
3. Configurez la disposition avec ces clés. HomeScreen.Applications : les applications qui s'affichent.
4. AppOrder : leur disposition.
5. WebLinks : des raccourcis vers des pages Web.
6. Wallpaper.URL : un fond d'écran d'entreprise. L'URL de l'image doit être accessible depuis le réseau de l'appareil.
7. Dock.Mode : le comportement du dock.
8. Feed.Enabled : disponibilité ou non du volet de flux.

Résultat attendu : Appuyer sur Accueil ou redémarrer l'appareil affiche Microsoft Launcher avec votre disposition d'applications, votre fond d'écran et vos liens Web. Pour les appareils à usage unique, le mode kiosque du MDM est généralement plus simple à mettre en place.

Étape 6 : Tester sur un appareil avant le déploiement

1. Réinitialisez et réenrôlez un appareil de test dans la stratégie de test créée plus tôt, qu'aucun autre appareil n'utilise.
2. Attendez l'installation des applications, puis lancez Outlook, Teams et Edge dans cet ordre. Vérifiez chacun des résultats attendus ci-dessus.
3. Essayez de contourner chaque paramètre : ajoutez un compte personnel dans Outlook et dans Teams, ouvrez une URL bloquée, modifiez un paramètre Outlook verrouillé et essayez de vous connecter à Edge sur un appareil partagé.
4. Notez ce qui fonctionne et ce qui échoue avant d'élargir le groupe. Reportez-vous à la FAQ de dépannage ci-dessous pour tout problème rencontré.

Résultat attendu : Chaque paramètre se comporte comme configuré. Tout comportement anormal est généralement dû à une faute de frappe, un mauvais type de valeur ou une clé qui s'avère réservée à Intune.

Ce que vous perdez sans Intune, sans détour

Les configurations gérées définissent la manière dont les applications sont configurées. Elles ne régissent pas ce que les utilisateurs peuvent faire avec les données qu'elles contiennent. Sans Intune App Protection, vous ne bénéficiez pas de :

• Contrôles du transfert de données : restriction du copier/coller hors d'Outlook ou Teams, et blocage de « Enregistrer sous » vers des emplacements non gérés.
• Contrôles du contenu des notifications : les clés IntuneMAMOnly qui masquent le contenu des messages dans les notifications.
• Exigences de lancement conditionnel et d'accès : vérifications au niveau de l'application telles qu'un code PIN d'application, une version minimale du système d'exploitation ou de l'application, ou le blocage des appareils rootés avant l'ouverture de l'application.
• Effacement sélectif au niveau de l'application des données d'entreprise dans ces applications.

L'accès conditionnel dans Microsoft Entra ID est distinct de tout cela. Les stratégies nécessitant un appareil conforme à Intune ou une stratégie de protection d'applications s'appuient sur les signaux d'Intune. Ni les configurations gérées ni un autre MDM ne remplacent Intune App Protection ou ce type d'accès conditionnel. Revoyez ces stratégies avant la migration : elles bloqueront la connexion des appareils qui ne sont plus gérés par Intune.

Il vous reste toutefois Android Enterprise lui-même. Un profil professionnel sépare les applications professionnelles et personnelles au niveau de l'OS, un appareil entièrement géré ou dédié vous permet de contrôler l'ensemble de l'appareil, et les restrictions au niveau de l'appareil sont définies par stratégie. Reste à savoir si cela est suffisant selon la classification de vos données. Consignez cette décision par écrit : énumérez les contrôles ci-dessus auxquels vous renoncez, le risque couvert par chacun d'eux et la mesure compensatoire utilisée à la place. C'est ce document que votre direction vous demandera.

Transférer les paramètres lorsque vous quittez Intune

1. Exportez vos paramètres existants. Dans le centre d'administration Intune, listez chaque stratégie de configuration d'application pour Outlook, Teams, Edge et Microsoft Launcher. Notez le type de chaque stratégie. Les stratégies Appareils gérés utilisent déjà le canal de l'OS. Les stratégies Applications gérées passent par le SDK Intune App. Terminez cette liste avant de retirer Intune, car ces stratégies sont la source de votre mappage.
2. Mappez chaque clé. Créez une feuille de calcul à quatre colonnes : clé, valeur, type de stratégie source et destination. Les clés issues des stratégies pour appareils gérés correspondent directement aux configurations gérées dans votre nouveau MDM.
3. Pour les clés issues des stratégies pour applications gérées, consultez la documentation de Microsoft pour vérifier si la même clé est documentée pour le canal de l'OS. Si c'est le cas, transférez-la. Si elle contient IntuneMAMOnly ou n'est documentée que pour la protection des applications, marquez-la comme perdue et consignez-la dans votre journal de décisions.
4. Les variables de jeton Intune (par exemple, l'UPN de l'utilisateur) doivent être remplacées par les variables de votre MDM ou par des valeurs explicites. Planifiez aussi la migration elle-même : Android Enterprise ne permet pas à l'ancien et au nouveau MDM de gérer le même appareil en même temps, donc sur chaque appareil il faut supprimer le profil professionnel, ou rétablir la configuration d'usine, avant de l'enrôler dans le nouveau MDM.
5. Testez sur un appareil exactement comme à l'étape 6, puis migrez un groupe pilote avant l'ensemble de la flotte.

Résultat attendu : Un tableau de correspondance où chaque ancien paramètre Intune est soit migré, soit remplacé, soit abandonné en toute connaissance de cause, ainsi qu'un appareil qui se comporte comme l'ancienne configuration Intune pour tout ce qui a été migré.

FAQ de dépannage

Outlook n'affiche pas le compte préconfiguré lors du premier lancement.

Vérifiez qu'Outlook a bien été installé depuis Google Play d'entreprise dans le profil géré, et que com.microsoft.outlook.EmailProfile.EmailAddress, EmailUPN et AccountType sont tous définis avec la casse appropriée. Si l'utilisateur a ouvert Outlook avant la réception de la configuration, effacez les données de l'application ou réinstallez-la, puis relancez-la.

Les utilisateurs peuvent toujours ajouter un compte personnel.

Vérifiez que com.microsoft.intune.mam.AllowedAccountUPNs est configuré sur cette application spécifique (Outlook et Teams nécessitent chacun leur propre clé) et que la valeur correspond exactement à l'UPN de l'utilisateur. Une faute de frappe dans le domaine empêchera la correspondance de tout compte.

Un collaborateur sur un appareil partagé ne peut pas se connecter à Teams.

Si AllowedAccountUPNs est configuré sur cet appareil, l'UPN de l'employé doit figurer sur la liste. Ajoutez-le, ou supprimez la clé sur les appareils partagés comme décrit à l'étape 3.

Les clés de notification de Teams n'ont aucun effet.

C'est normal. Les clés relatives au contenu des notifications se terminent par IntuneMAMOnly et nécessitent une stratégie de protection des applications Intune.

Les utilisateurs ne peuvent pas du tout se connecter à Edge.

EdgeBlockSignInEnabled bloque toute connexion dans Edge, y compris avec les comptes professionnels. Supprimez cette clé des stratégies destinées aux appareils mono-utilisateur.

Les paramètres du mode kiosque d'Edge sont ignorés.

Vérifiez que l'appareil est bien enrôlé en tant qu'appareil dédié, vérifiez la casse exacte de EdgeEnableKioskMode et assurez-vous qu'aucun autre lanceur ne dispute l'avant-plan à Edge.

Un paramètre que j'ai verrouillé peut toujours être modifié.

Le verrouillage exige que la clé complémentaire .UserChangeAllowed correspondante soit définie sur false. Définir uniquement la clé principale ne fait que fixer une valeur par défaut.

Le formulaire de configuration gérée de l'application est vide.

L'application n'est peut-être pas encore approuvée dans Google Play d'entreprise ou la console n'a pas encore récupéré son schéma. Approuvez l'application, actualisez et rouvrez le formulaire.

Puis-je restreindre le copier/coller sans Intune ?

Pas au sein d'Outlook ou de Teams via les configurations gérées. Au niveau du système d'exploitation, les stratégies Android Enterprise peuvent restreindre le partage de données entre le profil professionnel et le profil personnel, ce qui peut constituer une mesure de compensation. Consignez-le comme tel dans votre journal de décisions.

Comment les configurer dans Nomid

Dans Nomid MDM, vous ajoutez l'application depuis le Google Play d'entreprise à une stratégie et ouvrez sa configuration gérée. Nomid affiche le formulaire de configuration gérée de l'application, ce qui vous permet de sélectionner les clés au lieu de les saisir manuellement. Commencez avec un appareil de test dans cette stratégie, puis ajoutez-y d'autres appareils une fois le test concluant. Pour vérifier les clés exposées par chaque application avant de commencer, consultez les pages de l'annuaire pour Outlook, Teams, Edge et Microsoft Launcher.

Si un appareil pilote ne reçoit pas une application, le collaborateur peut exécuter l'écran Diagnostic dans l'application Nomid Settings, si votre stratégie affiche son bouton. Son statut d'installation par application ne couvre que les applications du Nomid Store : pour Outlook, Teams et Edge issus de Google Play d'entreprise, les lignes utiles concernent donc les versions du Play Store et des services Google Play, ainsi que l'accessibilité des serveurs Nomid depuis l'appareil. Les lignes en échec proposent une solution, et le diagnostic peut être relancé. La console indique la date du dernier diagnostic, et chacun d'eux est consigné dans l'historique des commandes de l'appareil. Le forfait gratuit prend en charge jusqu'à 10 appareils sans limite de durée, ce qui est suffisant pour exécuter ce pilote.

Points clés à retenir et étapes suivantes

• Les configurations gérées proviennent de tout MDM Android Enterprise. Intune App Protection provient uniquement d'Intune. Vérifiez chaque clé dans la documentation de Microsoft : IntuneMAMOnly dans le nom signifie qu'elle exige Intune App Protection, alors que le préfixe com.microsoft.intune.mam seul ne le signifie pas.
• La configuration du compte Outlook, les comptes autorisés et les paramètres verrouillés, les clés de connexion Teams, les contrôles de navigation et de kiosque Edge, ainsi que la disposition de Microsoft Launcher fonctionnent tous sans Intune.
• Les contrôles de copier/coller et d'enregistrement sous, les clés relatives au contenu des notifications, le lancement conditionnel et l'accès conditionnel dépendant d'Intune ne sont pas disponibles. Documentez cet arbitrage avant de déployer.

Étapes suivantes : élaborez votre tableau de correspondance, configurez un appareil de test et présentez votre journal de décisions avec les résultats obtenus. Pour essayer cela dans Nomid, commencez avec le forfait gratuit sur nomidmdm.com et consultez les pages de l'annuaire d'applications mentionnées plus haut.