Tablette Android en mode kiosque avec Intune

Le probleme qu’on resout

Un besoin recurrent : fournir des tablettes en libre-service, en atelier, en salle de reunion ou sur le terrain, verrouillees sur une ou quelques applications. L’utilisateur ne doit ni acceder aux parametres systeme, ni installer d’autres applications, ni quitter l’application metier. On veut aussi une gestion centralisee (mise a jour, remise a zero a distance, rapports de conformite).

Les methodes « evidentes » echouent pour plusieurs raisons. Le mode epinglage d’ecran natif d’Android est trop fragile et se desactive facilement. L’inscription Intune classique avec un compte utilisateur (profil professionnel ou appareil appartenant a l’entreprise avec affinite utilisateur) laisse une session utilisateur complete : ce n’est pas un kiosque. Enfin, bricoler un launcher tiers sans Device Owner ne permet pas de desactiver reellement la barre de statut, les boutons materiels ou le menu systeme. La seule approche robuste et supportee est l’inscription en appareil dedie Android Enterprise, qui place Intune en position de Device Owner avec les droits necessaires pour verrouiller l’experience.

Comment ca marche

Android Enterprise distingue plusieurs scenarios de gestion. Pour le kiosque, on utilise le scenario dedicated devices (historiquement COSU – Corporate-Owned Single-Use). L’appareil est reinitialise puis provisionne tres tot dans l’assistant de configuration, ce qui donne a l’agent de gestion (Microsoft Intune / Android Device Policy) le role de Device Owner. Ce role est bien plus puissant que le profil professionnel : il controle l’appareil entier, sans compte Google personnel.

Le flux logique est le suivant :

• Un compte Managed Google Play est lie au tenant (une seule fois) pour approuver les applications.
• Un profil d’inscription « appareils dedies » genere un jeton (QR code + chaine). Ce jeton cible un groupe d’appareils dynamique ou assigne.
• Un profil de configuration – restrictions d’appareil definit le mode kiosque (single ou multi-app) et verrouille l’UI.
• Les applications sont assignees en requis au meme groupe pour etre poussees automatiquement.

Techniquement, on parle de verrouillage de tache (lock task mode) applique par le Device Owner, d’ou l’impossibilite pour l’utilisateur de sortir sans droits. Du cote MITRE ATT&CK mobile, bien verrouiller un kiosque reduit la surface liee a Abuse Elevation Control Mechanism et limite l’execution d’applications non approuvees.

Prerequis

• Licence Microsoft Intune (incluse dans la plupart des plans EMS/Microsoft 365 E3/E5).
• Role Intune Administrateur Intune ou role personnalise avec droits sur Enrollment, Device configuration, Apps.
• Connexion Managed Google Play configuree dans Intune (Administration des locataires > Connecteurs et jetons > Managed Google Play). Un compte Gmail generique (type mdm-exemple@gmail.com) sert a creer la liaison – pas un compte personnel.
• Tablettes Android 7.0+ (recommande 10+), reinitialisees aux parametres d’usine et disposant d’un lecteur de QR code dans l’assistant de configuration (standard sur Android recent).
• Un groupe Entra ID (ex. GRP-Kiosk-Android) pour cibler profils et applications.
• Pour l’automatisation optionnelle : PowerShell 7+, module Microsoft.Graph.Intune ou appels Microsoft Graph (permissions DeviceManagementConfiguration.ReadWrite.All, DeviceManagementServiceConfig.ReadWrite.All).

Procedure

1. Lier Managed Google Play (si pas deja fait) : Intune > Administration des locataires > Connecteurs et jetons > Managed Google Play > Ouvrir, se connecter avec le compte Google gere, accepter.
2. Creer le groupe de ciblage : dans Entra ID, creer GRP-Kiosk-Android (assigne ou dynamique sur un attribut d’appareil).
3. Creer le profil d’inscription dedie : Intune > Appareils > Inscription > Android > Profils d’inscription des appareils d’entreprise > Creer. Type de jeton : Appareil dedie appartenant a l’entreprise. Noter le QR code genere.
4. Approuver et synchroniser les applications : Intune > Applications > Android > Ajouter > Managed Google Play, approuver l’application metier (ex. un navigateur gere ou l’app interne). Assigner en Requis a GRP-Kiosk-Android.
5. Creer le profil de restriction kiosque : Intune > Appareils > Configuration > Creer > plateforme Android Enterprise > Appareils entierement geres, dedies… > Restrictions d’appareil. Section Experience sur appareil dedie : choisir Application unique (single-app) ou Multi-applications. Selectionner l’application / les applications autorisees.
6. Durcir l’UI dans le meme profil : desactiver la barre d’etat, les boutons materiels non necessaires, le mode veille gere, autoriser/bloquer le Wi-Fi, le volume, etc.
7. Assigner le profil au groupe GRP-Kiosk-Android.
8. Provisionner la tablette pilote : reinitialiser l’appareil, au premier ecran taper 6 fois pour declencher le lecteur de QR, scanner le QR du profil d’inscription, laisser l’appareil s’enroler.
9. Attendre la synchronisation (quelques minutes) puis valider le comportement kiosque.

Le script

L’interface portail reste la voie principale. Pour industrialiser le ciblage (groupe + assignation) ou auditer la config, Microsoft Graph est utile. Exemple PowerShell qui cree le groupe de ciblage et liste les profils d’inscription dedies. Remplacez uniquement les valeurs generiques.

# Prerequis : Connect-MgGraph avec les scopes adequats
# Install-Module Microsoft.Graph -Scope CurrentUser

Connect-MgGraph -Scopes @(
  "Group.ReadWrite.All",
  "DeviceManagementServiceConfig.Read.All",
  "DeviceManagementConfiguration.Read.All"
)

# 1) Creer (ou recuperer) le groupe de ciblage des tablettes kiosque
$groupName = "GRP-Kiosk-Android"
$existing  = Get-MgGroup -Filter "displayName eq '$groupName'" -ErrorAction SilentlyContinue

if (-not $existing) {
    $group = New-MgGroup -DisplayName $groupName `
        -MailEnabled:$false `
        -MailNickname "grpkioskandroid" `
        -SecurityEnabled:$true
    Write-Host "Groupe cree : $($group.Id)"
} else {
    $group = $existing
    Write-Host "Groupe existant : $($group.Id)"
}

# 2) Lister les profils d'inscription Android dedies (lecture seule / audit)
$uri = "https://graph.microsoft.com/beta/deviceManagement/androidDeviceOwnerEnrollmentProfiles"
$profiles = (Invoke-MgGraphRequest -Method GET -Uri $uri).value

$profiles | Select-Object displayName, enrollmentMode, tokenExpirationDateTime |
    Format-Table -AutoSize

# 3) Afficher le jeton/QR d'un profil precis (pour reinjection sur poste de provisioning)
$profileName = "PROFIL-Kiosk-Android"
$target = $profiles | Where-Object { $_.displayName -eq $profileName }

if ($target) {
    $detail = Invoke-MgGraphRequest -Method GET -Uri "$uri/$($target.id)"
    Write-Host "Jeton d'inscription : $($detail.tokenValue)"
    # Le QR code (qrCodeImage) est renvoye en base64 dans $detail.qrCodeImage.value
} else {
    Write-Warning "Profil introuvable : $profileName"
}

Variante : ajouter/retirer un appareil du groupe de kiosque depuis l’inventaire (par exemple apres validation pilote).

# Ajouter un appareil (objet Entra ID) au groupe kiosque
$deviceDisplayName = "TAB-KIOSK-EXEMPLE-01"
$device = Get-MgDevice -Filter "displayName eq '$deviceDisplayName'"

if ($device) {
    New-MgGroupMember -GroupId $group.Id -DirectoryObjectId $device.Id
    Write-Host "Ajoute au groupe : $deviceDisplayName"
}

# Retrait (rollback de ciblage)
# Remove-MgGroupMemberByRef -GroupId $group.Id -DirectoryObjectId $device.Id

Validation

• Sur la tablette : apres inscription, l’appareil doit demarrer directement sur l’application (single-app) ou le launcher gere Microsoft (multi-app), sans acces a l’ecran d’accueil Android standard.
• Impossible de deployer le volet de notifications, d’ouvrir les Parametres ou de revenir a l’ecran d’accueil : le verrouillage de tache est actif.
• Dans Intune > Appareils : l’appareil apparait avec Propriete : Entreprise, Mode de gestion : Android (Device Owner), profil d’inscription dedie.
• Intune > Appareils > [appareil] > Configuration de l’appareil : le profil de restriction kiosque est en etat Reussite.
• Les applications requises affichent Installe dans l’etat des applications.
• Test fonctionnel : demandez a un testeur d’essayer de sortir de l’app ; il ne doit pas y parvenir sans la combinaison/mot de passe de sortie si configure.

Plan de retour (rollback)

• Ciblage : retirer l’appareil du groupe GRP-Kiosk-Android (ou desassigner le profil de restriction). A la prochaine synchro, le kiosque est leve mais l’appareil reste Device Owner.
• Retour complet : effacer l’appareil depuis Intune (Wipe / Retirer). Un appareil provisionne en Device Owner doit etre reinitialise aux parametres d’usine pour changer de mode d’inscription – on ne peut pas « basculer » un COSU vers BYOD a chaud.
• Profil d’inscription : conserver l’ancien profil tant que la vague n’est pas validee ; un jeton peut etre revoque (Revoke) sans impacter les appareils deja enroles.
• Documenter dans l’enregistrement de changement l’etat avant/apres et la fenetre de retour.

Depannage

Securite, changement et bonnes pratiques

• Moindre privilege : utilisez un role Intune delegue plutot que Administrateur global. Le compte Managed Google Play est un compte de service generique, jamais nominatif.
• Secrets : le jeton d’inscription (QR/chaine) permet d’enroler des appareils – traitez-le comme un secret, stockez-le dans un coffre (ex. gestionnaire de secrets), revoquez-le apres une campagne de provisioning.
• Lecture seule par defaut : pour l’audit et les rapports, limitez-vous aux scopes *.Read.All. Reservez les scopes ReadWrite aux operations de deploiement.
• Durcissement reseau : limitez le Wi-Fi aux SSID geres, bloquez les parametres reseau, desactivez le mode debogage USB dans le profil.
• Conformite et mises a jour : associez une politique de conformite et une fenetre de mises a jour systeme adaptee a un kiosque (par ex. mises a jour differees nocturnes).

Cadrage ITIL. Le premier deploiement (nouveau scenario d’inscription) releve d’un changement normal : evaluez l’impact, passez en CAB si le parc est etendu ou critique, documentez le plan de retour. Une fois la procedure eprouvee et documentee, les ajouts d’appareils au meme profil deviennent un changement standard (preapprouve, a faible risque). Executez le pilote en dehors des heures de service et planifiez une fenetre de maintenance pour les vagues de masse. Rattachez toute remise en etat d’un kiosque defaillant a la gestion des incidents, et les erreurs recurrentes (ex. conflits de profil) a la gestion des problemes.

A retenir

Le mode kiosque Android fiable passe obligatoirement par l’inscription appareil dedie Android Enterprise, qui fait d’Intune le Device Owner et autorise le verrouillage de tache. La recette tient en quatre briques : liaison Managed Google Play, profil d’inscription dedie (QR), profil de restriction kiosque (single ou multi-app) et applications requises, le tout cible sur un seul groupe. Validez systematiquement sur une tablette pilote avant tout deploiement de masse, gardez le jeton d’inscription comme un secret et prevoyez le factory reset comme vrai plan de retour.

Prochaine etape conseillee : montez un appareil pilote cette semaine, documentez la procedure exacte propre a votre parc, puis convertissez l’ajout d’appareils en changement standard pour fluidifier les prochaines vagues.