Microsoft continue de faire évoluer Windows 365 pour répondre aux besoins des organisations qui travaillent avec des partenaires externes, freelances ou prestataires. La dernière nouveauté, actuellement en préversion publique, permet de provisionner un Cloud PC pour une identité externe (invité B2B dans votre tenant Microsoft Entra ID).
Fini la création systématique de comptes internes temporaires : les utilisateurs peuvent se connecter avec leur propre identité tout en profitant d’un poste Windows 365 sécurisé.
Qui peut bénéficier de cette nouveauté ?
Nous venons de sortir il y a peu de la préversion privée, et nous sommes donc maintenant en préversion publique, avant une mise à disposition générale (GA) dans plusieurs mois je suppose. Tout utilisateur externe invité dans votre tenant Microsoft Entra ID peut donc en profiter.
Comme rappelé plus haut, les scénarios typiques sont : prestataires, auditeurs, partenaires de développement…
Le flux d’approvisionnement change-t-il pour ces utilisateurs invités ?
Non. Vous utilisez les mêmes polices de provisionnement Windows 365 et le même processus de licence que pour les Cloud PC internes.
Depuis quelles plate-formes le compte invité fonctionne ?
A ce jour où ces lignes sont écrites, la documentation Microsoft mentionne deux moyens possibles :
- Navigateur internet
- Windows App
Quelles sont les conditions techniques ?
Plusieurs conditions sont actuellement en vigueur et sont rappelées sur cette page de la documentation Microsoft :
- Cloud PC sous Windows 11 Enterprise avec mise à jour 24H2 (KB5065789) ou plus récente
- Cloud PC joint à Entra ID
- Police de provisionnement Windows 365 avec Single Sign-On activé
Quelles sont les principales limitations actuellement dans cette préversion ?
- Les polices Intune assignées à l’utilisateur externe ne s’appliquent pas (cibler le Cloud PC).
- Pas de support pour Windows 365 Government ni pour les invités cross-cloud (Azure Gov, 21Vianet).
- Pas d’authentification Kerberos/NTLM vers les ressources on-premises.
- Quelques limites sur la Token Protection pour identités externes.
Quelle licence Windows 365 faut-il pour ces utilisateurs invités ?
Comme dit plus haut, il faut bien provisionner une licence dans votre tenant sur le compte invité.
Les licences détenues par un collaborateur externe dans son propre tenant ne confèrent aucun droit pour utiliser un Cloud PC dans votre tenant :
Si vous utilisez Windows 365 avec des identités externes (actuellement en préversion), il peut y avoir des considérations spéciales à prendre en compte pour la façon dont vous accordez des licences à d’autres produits et services de Microsoft pour ces identités externes.
Les licences attribuées à un collaborateur externe dans son propre locataire d’origine ne confèrent généralement pas de droits à Windows 365 ou à d’autres produits au sein de votre locataire. Par conséquent, nous vous recommandons généralement d’acheter le même type de licence que vous achetez pour les utilisateurs internes et de l’attribuer à l’identité du collaborateur externe dans votre locataire.
Par exemple, si vous attribuez des licences Microsoft 365 Apps en même temps que vos PC Windows 365 cloud et que vos collaborateurs externes ont besoin des mêmes droits, achetez une licence Microsoft 365 Apps et attribuez-la au collaborateur externe de votre locataire.
Vous devez donc acheter et attribuer les mêmes licences que pour vos utilisateurs internes (ex. Windows 365 Enterprise/Frontline, Microsoft 365 Apps si nécessaire).
Maintenant, il ne nous reste plus qu’à tester tout cela 😎
- Etape 0 – Rappel des prérequis
- Etape I – Création de l’utilisateur invité
- Etape II – Provisionnement du Cloud PC invité
- Etape III – Test de connexion invité depuis le navigateur internet
- Etape IV – Test de connexion invité depuis Windows App
Pour vous aider et durant mes tests, j’ai rencontrés les soucis suivants :
- Souci I – Impossible de se connecter malgré une version 24H2
- Souci II – Impossible de choisir une entreprise via Windows App
- Souci III – Impossible de se connecter via Windows App – Erreur 7q6ch
Etape 0 – Rappel des prérequis :
Pour réaliser cet exercice, il vous faudra disposer de :
- Un abonnement Azure valide
- Un tenant Microsoft
- Une licence Windows 365 Entreprise
Avant d’aller plus loin, commençons par vérifier que notre environnement répondent bien aux prérequis de la fonctionnalité pour Windows 365.
Pour cela, rendez-vous dans le portail Intune, puis ouvrez la politique que vous utilisez pour vos Cloud PC.
Vérifiez que la jointure est bien définie sur Microsoft Entra join :
Contrôlez également que le Single Sign-On (SSO) est activé :
Vérifiez ensuite que l’image Windows 11 utilisée pour le provisionnement est au minimum en version 24H2, avec le correctif KB5065789, ou plus récent :
Si tous ces points sont OK, commençons par inviter un nouvel utilisateur externe à notre tenant.
Etape I – Création de l’utilisateur invité :
Pour cela, rendez-vous dans le portail Microsoft Entra ID pour créer un nouvel utilisateur invité.
Cliquez sur Nouvel utilisateur, puis choisissez Inviter un utilisateur externe :
Renseignez l’adresse e-mail du compte Microsoft Entra de l’invité puis cliquez ici :
Attendez quelques secondes, puis constatez la réception de l’e-mail d’invitation dans la boîte du compte invité, et enfin cliquez sur lien présent dans ce dernier :
Cliquez sur Accepter pour rejoindre le tenant qui vous a invité :
Sur votre tenant, ouvrez le portail d’administration de Microsoft 365 :
Ouvrez la fiche de l’utilisateur invité et attribuez-lui la ou les licences Windows 365 nécessaires, puis enregistrez :
Notre utilisateur invité est maintenant présent. Nous allons pouvoir nous intéresser au provisionnement de son Cloud PC.
Etape II – Provisionnement du Cloud PC invité :
Pour cela, rendez-vous dans le portail Intune :
Constatez l’absence du début du provisionnement du Cloud PC :
Vérifiez le groupe d’utilisateurs associé à votre politique de provisionnement Windows 365, puis et ajoutez-lui le nouvel utilisateur invité :
Constatez le début du provisionnement du Cloud PC :
Quelques temps plus tard, constatez le succès du provisionnement pour cet utilisateur invité :
Le provisionnement du Cloud PC est maintenant terminé. Nous allons maintenant pouvoir tester la connexion à ce poste avec notre utilisateur invité.
Etape III – Test de connexion invité depuis le navigateur internet :
Commençons nos tests par le navigateur internet. Pour cela, rendez-vous sur l’URL ci-dessous, puis authentifiez avec le compte invité de votre utilisateur :
https://windows.cloud.microsoft/Une fois authentifié, constatez l’absence du nouveau Cloud PC provisionné sur votre tenant pour votre compte invité :
Ouvrez une nouvelle page internet en vous connectant, toujours avec le compte invité, sur une autre URL, contenant le domaine de votre tenant :
https://windows.cloud.microsoft?tenant=<domainName>
Vérifiez que l’URL reste bien sur le domaine de votre tenant, et que le Cloud PC invité apparaît :
Cliquez sur Connecter :
Cliquez à nouveau sur Se connecter :
Cliquez sur Oui :
Constatez la bonne ouverture de session de votre compte invité :
Ouvrez Windows Terminal :
Lancez la commande suivante afin d’afficher l’état de l’enregistrement du Cloud PC dans Entra ID :
dsregcmd /status- AzureAdJoined : YES : La machine est bien jointe à Microsoft Entra ID (prérequis principal pour les Cloud PC invités).
- EnterpriseJoined : NO
- DomainJoined : NO : Normal pour un Cloud PC moderne en mode Entra join (non hybride).
- TenantName : JLOUDEV : L’appareil s’est bien inscrit dans le bon tenant.
- SSO / Primary Refresh Token :
- AzureAdPrt : YES
- DeviceAuthStatus : SUCCESS : Le Single Sign-On (SSO) est actif et le Primary Refresh Token (PRT) est bien présent :
Ouvrez Microsoft Edge, puis constatez l’absence de récupération automatique du jeton (token) de connexion pour le SSO :
Ouvrez Microsoft OneDrive, puis constatez, là aussi, l’absence de récupération automatique du token de session pour le SSO :
Malgré l’absence de SSO, la connexion depuis le navigateur internet se passe bien. Continuons les tests avec l’application Windows App.
Etape IV – Test de connexion invité depuis Windows App :
Avant de continuer, ouvrez les Paramètres de l’application Windows App, puis vérifiez la version installée :
Ouvrez PowerShell en tant qu’administrateur, puis lancez la commande ci-dessous pour forcer l’activation de la nouvelle interface de connexion dans l’application Windows App :
reg add "HKLM\SOFTWARE\Microsoft\WindowsApp\Flights" /v EnableIdSignInUx /t REG_DWORD /d 1 /f
Fermez, rouvrez l’application Windows App, puis cliquez sur S’authentifier :
Avant de saisir votre e-mail, cliquez sur le bouton d’options avancées :
Cliquez sur le menu Organisation :
Indiquez le domaine de votre organisation, puis cliquez sur Suivant :
Renseignez l’adresse e-mail et le mot de passe du compte invité :
Constatez la bonne ouverture de l’application Windows App connectée à votre tenant avec le compte invité :
Cliquez sur Connecter pour lancer la session Cloud PC :
Constatez la bonne ouverture de session de votre compte invité, puis ouvrez Windows Terminal :
Lancez la commande suivante afin d’afficher l’état de l’enregistrement du Cloud PC dans Entra ID :
dsregcmd /status
Vous voilà bien connecté avec votre compte invité sur un Cloud PC dans votre tenant Microsoft.
Pour vous aider et durant mes tests, j’ai rencontrés les soucis suivants :
- Souci I – Impossible de se connecter malgré une version 24H2
- Souci II – Impossible de choisir une entreprise via Windows App
- Souci III – Impossible de se connecter via Windows App – Erreur 7q6ch
Souci I – Impossible de se connecter malgré une version 24H2 :
Si, malgré le respect des prérequis, il est possible que vous rencontriez le blocage suivant au moment de vous connecter :
Ou ce message d’erreur là :
Cela vient peut-être de l’absence du correctif KB5065789 sur votre Cloud PC, pourtant en version 24H2.
Pour remédier à cette mise à jour manquante, retournez sur le portail Entra ID pour ajouter un utilisateur de votre tenant aux administrateurs locaux des machines jointes à Entra ID :
Ensuite, retournez sur le portail Azure pour récupérer l’adresse IP locale du Cloud PC invité :
Depuis un autre Cloud PC auquel vous avez déjà accès, connectez-vous à cette IP locale avec un des comptes administrateurs :
Attendez que l’ouverture de session se fasse :
Lancez la commande PowerShell suivante pour vérifier les correctifs installés :
Get-HotFix | Where-Object {$_.HotFixID -like "KB506*"}
Si besoin, allez dans Windows Update puis lancez la recherche de mises à jour :
Redémarrez si nécessaire :
Rouvrez la session avec l’administrateur local, puis relancez Windows Update si besoin :
Redémarrez à nouveau, si nécessaire :
Vérifiez avec la commande PowerShell que le correctif KB5065789 (24H2) est maintenant bien présent :
Retournez sur la page web de Windows 365 ouverte avec le compte invité :
Constatez cette fois la bonne ouverture de session sur votre compte invité :
Souci II – Impossible de choisir une entreprise via Windows App :
Si, dans Windows App, le choix d’une authentification alternative n’apparaît pas, et que l’application ne vous propose qu’une adresse e-mail à renseigner :
C’est qu’il vous manque une clef de registre Windows pour faire apparaître ce choix alternatif.
Pour cela, sur votre PC local, ouvrez PowerShell en tant qu’administrateur puis lancez la commande indiquée pour forcer l’activation de la nouvelle interface de connexion dans l’application Windows App :
reg add "HKLM\SOFTWARE\Microsoft\WindowsApp\Flights" /v EnableIdSignInUx /t REG_DWORD /d 1 /fFermez, rouvrez l’application Windows App, puis cliquez sur S’authentifier, afin de voir le choix apparaître maintenant :
Souci III – Impossible de se connecter via Windows App – Erreur 7q6ch :
J’ai rencontré ce souci lors de l’authentification dans l’application Windows App, sur 2 postes uniquement. Les autres n’ont posé aucune difficulté.
Malgré une authentification réussie pour mon compte invité, le message d’erreur suivant apparaissait :
Suivi de ce seconde message :
Malgré plusieurs réinstallations de l’application Windows App, je n’ai pas encore trouvé la cause de ce souci. Je suis toujours en contact avec les équipes de Microsoft pour en comprendre la cause.
Conclusion
L’arrivée des Cloud PC Windows 365 pour identités externes simplifie enfin l’accès des prestataires et partenaires, sans créer de comptes temporaires.
La fonctionnalité reste en préversion publique avec plusieurs limites (SSO partiel, stratégies Intune incomplètes, pas de support Government/cross-cloud), mais Microsoft annonce déjà des évolutions à venir.
C’est donc le bon moment pour tester, identifier les impacts et se préparer à son adoption lorsque ces restrictions seront levées.
Attendez-vous au prochain article sur Azure Virtual Desktop 😎🤘😉
