Intune macOS : relier les contrôles mSCP à la conformité personnalisée
Le 28 octobre 2026, Microsoft a publié un guide et présenté un convertisseur pour exploiter les contrôles du macOS Security Compliance Project (mSCP) dans Intune. Pour les parcs Mac ayant besoin d’évaluer un référentiel personnalisé, valider d’abord la correspondance entre contrôles locaux, règles JSON et résultats de conformité.
- Impact
- Mac gérés par Intune dont l’organisation veut évaluer des exigences issues de mSCP ; la documentation indique encore que la conformité personnalisée macOS n’est pas disponible dans les clouds spéciaux.
- Action
- tester un référentiel restreint sur quelques Mac, en déployant le profil d’arguments avant la stratégie de conformité.
- Statut
- À tester
Un raccordement documenté, pas une nouvelle baseline native
Le billet Microsoft précise que la conformité personnalisée macOS existait déjà plus tôt dans l’année. L’apport du 28 octobre est le parcours d’intégration et le script mscp_to_intune_json_conversion.sh, qui transforme le manifeste fournisseur généré par mSCP en règles JSON pour Intune.
mSCP fournit le référentiel adapté aux versions de macOS ciblées et le script de contrôle. Intune compare les valeurs découvertes aux règles importées. Cette chaîne produit une évaluation ; elle ne doit pas être présentée comme un déploiement automatique de tous les réglages du référentiel.
Vérifier les trois éléments avant affectation
Choisir les règles réellement requises par l’organisation et conserver la version du contenu mSCP utilisée. Générer ensemble le script de découverte et le manifeste, puis convertir ce dernier. Comparer les identifiants, types de données et valeurs attendues entre le JSON de règles et la sortie du script.
Le convertisseur Microsoft filtre notamment les règles marquées manual, inherent, n_a, permanent ou supplemental. Un résultat conforme ne prouve donc pas que tous les contrôles du référentiel ont été évalués automatiquement : consigner les contrôles exclus et leur traitement séparé.
Le troisième élément est le profil .mobileconfig qui fournit les arguments du script. Son PayloadType doit correspondre au nom d’audit réellement généré ; ne pas recopier littéralement les noms de démonstration. Sur un Mac de test, suivre la validation locale du guide avec les droits administrateur requis, puis vérifier que le script lancé sans arguments explicites renvoie bien le JSON attendu.
Retirer le profil installé manuellement pour l’essai, puis distribuer le profil par Intune. Confirmer sa présence effective avant d’affecter la stratégie de conformité : Microsoft signale qu’un ordre inverse peut empêcher son bon fonctionnement. Le script macOS et sa sortie sont chacun limités à 1 Mo ; son exécution doit rester dans les dix minutes.
Comparer le résultat local au rapport Intune
Dans Reports > Device compliance > Reports > Noncompliant devices and settings, sélectionner macOS et générer le rapport. Comparer quelques règles dont l’état local est connu, y compris un écart déjà présent sur une machine de test, sans dégrader volontairement sa sécurité.
PatchFactory recommande de poursuivre seulement si les identifiants et résultats concordent, si les profils sont reçus dans le bon ordre et si les erreurs de collecte sont distinguées des véritables écarts. Sinon, corriger le mapping, les arguments ou le contexte d’exécution avant d’élargir.
Les contrôles personnalisés participent à l’état de conformité utilisé par l’accès conditionnel. Examiner les règles d’accès déjà applicables au groupe de test avant l’affectation : il ne s’agit pas d’un simple rapport sans conséquence possible sur les accès. Aucun script ni scénario Intune n’a été exécuté pour cette veille.