Testez vos compétences sur Microsoft 365 Certified : Administrateur Endpoint Associate avec nos 10 questions interactives issues de la banque complète (477+ questions MD-102, 1041+ sur la plateforme). Corrigés Q1–Q5 offerts ci-dessous.
Cliquez sur une réponse pour vérifier immédiatement. Les explications Q1 à Q5 sont 100% débloquées.
Q1 / 10
CASE STUDY
Moderate
Endpoint Security & Compliance
[OVERVIEW]Contoso Global Financial exploite 3 800 ordinateurs portables Windows 11 Entreprise gérés par Microsoft Intune et intégrés à Microsoft Defender for Endpoint Plan 2 à Paris, Londres et New York.[/OVERVIEW]
[ENVIRONMENT]• Identité & Accès : Microsoft Entra ID P2 avec Accès Conditionnel exigeant des appareils conformes.
• Télémétrie : Le connecteur Defender for Endpoint est activé dans Intune et les postes sont intégrés au portail MDE.
• Historique : Au dernier trimestre, une attaque PowerShell sans fichier (fileless) a contourné les signatures antivirus classiques pendant 14 minutes avant détection manuelle.[/ENVIRONMENT]
[REQUIREMENTS]Le RSSI exige une surveillance comportementale continue sur chaque poste afin que le SOC puisse détecter automatiquement les mouvements latéraux, analyser les arbres de processus en temps réel et déclencher une remédiation rapide.[/REQUIREMENTS]
[QUESTION]Quelle fonctionnalité clé de Microsoft Defender for Endpoint devez-vous activer pour surveiller les terminaux en continu et identifier/atténuer rapidement les menaces ?[/QUESTION]
Réponse attendue : C
💡 Explication Technique :
La détection et réponse des points de terminaison (EDR) est une fonctionnalité essentielle de Microsoft Defender pour Endpoint qui surveille en permanence les points de terminaison pour détecter, enquêter et répondre aux menaces avancées.
[OVERVIEW]Fabrikam Manufacturing migre 1 200 stations d'ingénierie vers Windows Autopilot en mode Hybrid Microsoft Entra ID Join afin de conserver l'accès immédiat aux partages ERP internes lors du déploiement.[/OVERVIEW]
[ENVIRONMENT]• Infrastructure Serveur : Le connecteur Intune pour Active Directory est installé sur SRV-ADCON01 (Windows Server 2022).
• OU Cible : Les nouveaux postes Autopilot doivent être pré-créés dans OU=Autopilot-Workstations,DC=fabrikam,DC=local.
• Réseau & Synchro : Microsoft Entra Connect synchronise OU=Autopilot-Workstations toutes les 30 minutes.
• Journal de diagnostic (ODJConnectorSvc sur SRV-ADCON01) : Event ID 30130 — 'Failed to create computer object in Active Directory for prefix FAB-... Access is denied (0x80070005).'[/ENVIRONMENT]
[REQUIREMENTS]Les nouveaux portables reçoivent le profil Autopilot durant l'OOBE mais échouent systématiquement à l'étape 'Configuration du compte / Jonction au domaine' avec le code 0x80070005. Vous devez rétablir le provisionnement sans intervention.[/REQUIREMENTS]
[QUESTION]D'après les journaux du connecteur Intune et la topologie fournie, quelle est la cause première la PLUS probable de cet échec ?[/QUESTION]
Réponse attendue : C
💡 Explication Technique :
Le connecteur Intune pour Active Directory est responsable de la création d'objets ordinateur dans l'Active Directory local pour les appareils Autopilot Hybrid Microsoft Entra ID Join. Lorsque les journaux du connecteur indiquent une erreur 'Échec de la création de l'objet ordinateur', cela indique presque toujours des autorisations insuffisantes pour le compte de service sous lequel le service du connecteur Intune s'exécute. Ce compte de service nécessite des autorisations 'Créer des objets ordinateur' (et souvent 'Contrôle total' pour les objets nouvellement créés) sur l'unité d'organisation (OU) cible où les nouveaux objets ordinateur sont censés être créés. Sans ces autorisations, le connecteur ne peut pas pré-provisionner l'objet ordinateur, ce qui est une condition préalable pour que l'appareil rejoigne le domaine avec succès pendant l'OOBE.
L'option A est incorrecte car le paramètre 'Convertir tous les appareils ciblés en Autopilot' est utilisé pour les appareils existants et n'a aucun impact sur la création initiale d'objets ordinateur pour les nouveaux déploiements Autopilot.
L'option C est incorrecte car les problèmes de synchronisation d'Microsoft Entra ID Connect empêcheraient l'appareil de devenir Hybrid Microsoft Entra ID Joined dans Microsoft Entra ID *après* la jonction au domaine local, mais ils n'entraîneraient pas l'échec du connecteur Intune lors de la création de l'objet ordinateur initial dans Active Directory. L'erreur se produit plus tôt dans le processus.
L'option D est incorrecte car, bien que la connectivité réseau aux contrôleurs de domaine soit essentielle pour que l'appareil *rejoigne* le domaine, le message d'erreur provenant spécifiquement des *journaux du connecteur Intune* concernant l'échec de la *création* de l'objet ordinateur pointe vers un problème d'autorisation du côté du connecteur, et non un problème réseau empêchant l'appareil de contacter directement un DC pour rejoindre un objet *préexistant* ou *nouvellement créé*. L'échec du connecteur à pré-provisionner l'objet est le problème principal ici.
[SCENARIO]Votre équipe d'ingénierie poste de travail doit déployer silencieusement un client ERP Win32 historique (`erp-client-setup.exe`, 420 Mo) sur 600 postes Windows 11 gérés uniquement dans le cloud via Microsoft Intune sans serveur SCCM local.[/SCENARIO]
[SOLUTION]Vous utilisez l'outil Microsoft Win32 Content Prep Tool (`IntuneWinAppUtil.exe`) pour encapsuler l'installeur `.exe` avec ses paramètres silencieux dans une archive `.intunewin`, puis vous l'importez en tant qu'application Windows (Win32) dans Intune.[/SOLUTION]
[QUESTION]Intune peut-il déployer des applications Win32 (.exe) avec cette méthode, et comment ?[/QUESTION]
Réponse attendue : C
💡 Explication Technique :
Intune peut déployer des applications Win32 (.exe, .msi) si elles sont encapsulées (wrapped) au format .intunewin via l'outil Microsoft Win32 Content Prep Tool.
[SCENARIO]Northwind Traders exploite Configuration Manager (MEMCM) en cogestion (Co-Management) avec Microsoft Intune sur 4 500 postes Windows 11. La direction exige désormais que l'Accès Conditionnel évalue la conformité BitLocker et OS directement via Microsoft Intune.[/SCENARIO]
[SOLUTION]Lors de l'activation initiale, les 7 curseurs de charges de travail ont été laissés sur 'Configuration Manager'. Vous ouvrez les propriétés de Co-Management pour réaffecter l'autorité d'évaluation de conformité.[/SOLUTION]
[QUESTION]Quelle charge de travail (workload) devez-vous basculer vers "Intune" ou "Pilot Intune" pour activer les stratégies de conformité et l'accès conditionnel Intune ?[/QUESTION]
Réponse attendue : C
💡 Explication Technique :
Basculer la charge de travail des stratégies de conformité vers Intune permet à Intune d'évaluer la conformité et d'informer directement l'accès conditionnel Entra ID.
Vous rédigez un package de scripts de correction proactive (Remediation) dans Intune pour détecter et corriger un paramètre de registre erroné sur des postes Windows 11. Quelles sont les DEUX exigences techniques obligatoires pour les scripts de détection et de correction ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : B, C
💡 Explication Technique :
CORRECT : Options C et D.
- Règle officielle Intune Remediations : Exit 0 = Conforme (aucun correctif requis), Exit 1 (ou >0) = Non conforme (déclenche le script de correction).
- La sortie standard STDOUT (Write-Output/echo) est capturée et affichée dans la console Intune pour le reporting (limite 2048 caractères).
DISTRACTEURS INCORRECTS :
- Option A : Les scripts sont de simples fichiers .ps1 PowerShell encodés en UTF-8.
- Option B : Le code Exit 0 indique que le poste est sain, il ne déclenche pas le script de correction.
- Option E : Forcer un redémarrage perturberait l'utilisateur et n'est absolument pas une exigence.
Vous configurez un profil de déploiement Windows Autopilot dans Microsoft Intune pour de nouveaux ordinateurs portables de terrain. Vous devez vous assurer que l'utilisateur principal ne reçoit PAS de privilèges d'administrateur local pendant l'OOBE, et que l'écran des paramètres de confidentialité est ignoré. Quels DEUX paramètres devez-vous configurer dans le profil Autopilot ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : A, D
CORRECT : Options B et E.
- Choisir 'Standard' pour le type de compte utilisateur garantit que l'utilisateur final n'a aucun droit administrateur local.
- Définir 'Paramètres de confidentialité' sur Masquer élimine l'écran de télémétrie et de confidentialité durant l'OOBE.
DISTRACTEURS INCORRECTS :
- Option A : Accorde les privilèges administrateur (contraire à l'objectif).
- Option C : Le mode Self-Deploying est réservé aux bornes partagées sans utilisateur principal assigné.
- Option D : Laisser l'utilisateur choisir la langue ralentit le provisionnement.
🔒 Explication Pro & Lien MS Learn (Question 6 / 10)
Votre direction vous demande une analyse des métriques de santé des postes de travail depuis Microsoft Intune Endpoint Analytics. Quels sont les DEUX piliers de performance distincts mesurés et restitués par Endpoint Analytics ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : A, D
CORRECT : Options A et C.
- Endpoint Analytics évalue l'expérience utilisateur finale, notamment les Performances de démarrage (Startup performance), la Fiabilité des applications (Application reliability) et le Travail en tout lieu.
DISTRACTEURS INCORRECTS :
- Options B, D et E : Ce sont des indicateurs matériels ou de datacenter sans aucun rapport avec Endpoint Analytics.
🔒 Explication Pro & Lien MS Learn (Question 7 / 10)
Vous créez une stratégie de chiffrement de disque Endpoint Security dans Intune pour des ordinateurs portables professionnels Windows 11. Vous devez activer BitLocker silencieusement sans interaction utilisateur et sauvegarder les clés de récupération en toute sécurité. Quels DEUX paramètres doivent être configurés ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : B, D
CORRECT : Options C et E.
- Le chiffrement silencieux nécessite de masquer les invites tierces et d'utiliser la puce TPM sans intervention utilisateur.
- La sauvegarde de la clé de récupération dans Microsoft Entra ID avant chiffrement garantit qu'aucun disque n'est chiffré sans clé récupérable par les administrateurs.
DISTRACTEURS INCORRECTS :
- Option A : Exiger un code PIN oblige l'utilisateur à intervenir, empêchant le déploiement silencieux.
- Option B : La désactivation du TPM empêche BitLocker de sécuriser le démarrage.
- Option D : Stocker une clé sur une clé USB non sécurisée est une violation de sécurité critique.
🔒 Explication Pro & Lien MS Learn (Question 8 / 10)
Vous migrez un environnement co-managé Configuration Manager (SCCM) vers une gestion exclusive par Microsoft Intune. Pendant la transition, vous devez permettre aux postes distants connectés à Internet de télécharger leurs mises à jour sans saturer le tunnel VPN d'entreprise. Quels DEUX composants d'architecture permettent de réaliser cela ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : C, E
CORRECT : Options B et D.
- Déplacer le curseur de charge de travail (workload) Windows Update vers Intune transfère le contrôle des mises à jour au cloud.
- Windows Update for Business (WUfB) permet aux clients de télécharger les paquets de mise à jour directement depuis les CDN Microsoft publics, épargnant ainsi la bande passante du VPN d'entreprise.
DISTRACTEURS INCORRECTS :
- Option A : Sature complètement les liaisons VPN d'entreprise.
- Option C : Couper le CMG bloque la communication des clients hors site avec SCCM.
- Option E : Bloquer 80/443 isole totalement les postes d'Internet.
🔒 Explication Pro & Lien MS Learn (Question 9 / 10)
Vous concevez le modèle RBAC d'Intune pour une équipe informatique régionale à Paris. L'équipe de Paris doit pouvoir afficher et gérer les configurations des seuls postes de la filiale parisienne, sans pouvoir voir ni modifier les stratégies des autres régions. Quels DEUX composants RBAC Intune devez-vous configurer ? (Choisissez deux réponses.)
☑️ Sélection multiple — choisissez les bonnes options puis validez :
Réponse attendue : A, C
CORRECT : Options A et D.
- Les balises d'étendue (Scope Tags) permettent de restreindre la visibilité des profils et des appareils aux administrateurs autorisés.
- L'attribution de rôle lie le groupe d'administration, les autorisations et les Scope Tags concernés.
DISTRACTEURS INCORRECTS :
- Option B : Le rôle Global Admin confère un pouvoir absolu sur l'ensemble du tenant (violation du principe de moindre privilège).
- Options C et E : N'ont aucun lien avec le contrôle d'accès dans la console Intune.
🔒 Explication Pro & Lien MS Learn (Question 10 / 10)