Windows Backup for Organizations avec Intune : guide complet 2026

Windows Backup for Organizations permet de sauvegarder dans le cloud les paramètres Windows et la liste des applications Microsoft Store d’un utilisateur Microsoft Entra ID, puis de les restaurer automatiquement pendant l’OOBE de son nouveau PC. Dans Intune, on l’active avec deux réglages : une stratégie Settings catalog pour la sauvegarde, et l’option tenant « Show restore page » pour la restauration.

J’ai présenté la fonctionnalité en vidéo sur ma chaîne YouTube. Cet article reprend la démarche à l’écrit, avec les prérequis exacts, les pièges que je rencontre chez mes clients et les points de vigilance côté Autopilot.

Qu’est-ce que Windows Backup for Organizations ?

Windows Backup for Organizations est la déclinaison entreprise de Windows Backup. Au moment où j’écris ces lignes, Microsoft est en train de la renommer Windows settings backup and restore : dans la documentation et les consoles, vous croiserez donc les deux noms pendant un moment.

L’objectif est simple : quand un utilisateur change de PC (renouvellement de parc, migration de Windows 10 vers Windows 11, réinitialisation après un incident), il retrouve son fond d’écran, son mode sombre, ses paramètres d’accessibilité, sa disposition du menu Démarrer ou ses réglages de l’Explorateur, sans que le support ait à intervenir.

Côté fonctionnement :

1. L’administrateur active la stratégie de sauvegarde.
2. Une tâche planifiée sauvegarde automatiquement les paramètres tous les huit jours. L’utilisateur peut aussi lancer une sauvegarde manuelle depuis l’application Windows Backup (bouton Back up).
3. Sur le nouveau PC, après l’authentification Entra ID en OOBE, une page propose de restaurer une sauvegarde d’un ancien appareil ou de configurer le PC comme nouveau.

À noter : Microsoft annonce qu’à partir de Windows 11, version 26H2, la sauvegarde sera activée par défaut sur les appareils éligibles. Les stratégies déjà configurées par l’administrateur (activées ou désactivées) restent respectées, et la restauration devra toujours être activée explicitement.

Ce qui est sauvegardé… et ce qui ne l’est pas

Microsoft publie un catalogue détaillé des paramètres pris en charge. En résumé, sur Windows 11 :

Catégorie	Exemples sauvegardés et restaurés	Exemples non pris en charge
Système	Éclairage nocturne, notifications, Ne pas déranger, ancrage des fenêtres (Snap), extensions de fichiers visibles	Renommer ce PC, sons des notifications
Personnalisation	Arrière-plan, couleurs et mode, thèmes, écran de verrouillage, disposition du menu Démarrer, comportements de la barre des tâches	Épingles de la barre des tâches (Taskbar Pinned layout), « applications les plus utilisées »
Périphériques	Vitesse du pointeur, pavé tactile, stylet, Exécution automatique, imprimante par défaut gérée par Windows	Bouton du stylet en clic droit
Heure et langue	Fuseau horaire, options du clavier tactile	Préférences de langue et dictionnaire
Accessibilité	Taille du texte, Loupe, Narrateur, filtres de couleur, touches rémanentes	Activation de la Loupe ou du Narrateur avant connexion
Explorateur de fichiers	Fichiers cachés, extensions, vue compacte, cases à cocher	—
Comptes	—	Comptes, réseaux Wi-Fi et mots de passe
Windows Update	—	Aucun paramètre

Deux points méritent d’être soulignés auprès de vos utilisateurs et de votre direction :

• Les fichiers ne font pas partie du périmètre. La documentation parle uniquement de paramètres et de la liste des applications Microsoft Store. Les documents restent du ressort de OneDrive.
• Les applications Win32 et LOB ne sont pas restaurées. Seules les applications Microsoft Store présentes dans la sauvegarde sont réinstallées. Vos applications métier continuent d’arriver par Intune.

Sur Windows 10, le périmètre est plus restreint (par exemple, pas de Snap ni de thèmes) : c’est logique, puisque Windows 10 ne sert qu’à sauvegarder avant la migration, la restauration ne se faisant que sur Windows 11.

Prérequis

Sauvegarde

L’utilisateur doit être connecté avec un compte Microsoft Entra ID, sur un appareil joint à Microsoft Entra ou joint hybride, avec au minimum :

• Windows 10, version 22H2, build 19045.6216 ou ultérieure ;
• Windows 11, version 22H2, build 22621.5768 ou ultérieure ;
• Windows 11, version 23H2, build 22631.5768 ou ultérieure ;
• Windows 11, version 24H2, build 26100.4946 ou ultérieure.

Restauration pendant l’OOBE

• Appareil joint à Microsoft Entra (pas de jointure hybride à ce stade).
• Windows 11 22H2 (22621.3958+), 23H2 (22631.3958+) ou 24H2 (26100.4770+ selon la documentation Windows).
• L’utilisateur doit disposer d’au moins une sauvegarde.
• Si Autopilot est utilisé, le profil doit être en mode piloté par l’utilisateur.

Si vos PC arrivent avec une image antérieure à juillet 2025, activez le réglage Install Windows quality updates dans votre profil de page d’état d’inscription (ESP) : le PC récupère ainsi les mises à jour nécessaires pendant l’OOBE.

Restauration à la première connexion

Microsoft documente aussi une restauration lors de la première connexion après l’inscription, sur Windows 11 24H2 (26100.7922+) ou 25H2 (26200.7922+). Elle accepte les appareils joints à Microsoft Entra ou joints hybrides, ce qui ouvre la porte aux parcs qui ne sont pas encore « cloud native ».

Rôles, licences et clouds

• Le réglage de restauration au niveau du tenant demande le rôle Administrateur du service Intune (ou Administrateur général).
• La fonctionnalité n’est pas disponible dans les clouds Government (GCC High, souverains) ni en Chine (21Vianet).
• Pour l’itinérance des paramètres (ex-Enterprise State Roaming), Microsoft précise qu’une licence adaptée est requise, par exemple Microsoft 365, EMS, Microsoft Entra ID ou Windows E3/E5.
• Les éditions Windows 11 SE, Holographic, IoT Core et Team (Surface Hub) ne sont pas prises en charge.

Configurer la sauvegarde et la restauration dans Intune

Étape 1 : activer la sauvegarde avec le Settings catalog

1. Connectez-vous au Centre d’administration Microsoft Intune (intune.microsoft.com).
2. Allez dans Appareils > Gérer les appareils > Configuration et créez une stratégie.
3. Choisissez la plateforme Windows 10 et ultérieur et le type de profil Catalogue des paramètres.
4. Dans la catégorie Administrative Templates\Windows Components\Sync your settings, ajoutez Enable Windows Backup et passez-le à Enabled.
5. Affectez la stratégie à un groupe d’utilisateurs ou d’appareils, puis enregistrez.

Pour ceux qui préfèrent l’OMA-URI, le CSP correspondant est :

./Device/Vendor/MSFT/Policy/Config/SettingsSync/EnableWindowsbackup
Type : string – Valeur : `<enabled/>`

Ne mélangez pas GPO et CSP pour cette fonctionnalité : Microsoft prévient que la combinaison des deux donne des résultats imprévisibles.

Étape 2 : afficher la page de restauration

1. Dans le centre d’administration Intune, allez dans Appareils > Inscription, onglet Windows.
2. Sous Options d’inscription, sélectionnez Windows Backup and Restore.
3. Pour Show restore page, sélectionnez On.
4. Cliquez sur Enregistrer.

Ce réglage est global au tenant : il s’applique à tous les appareils Windows qui s’inscrivent, et il n’est livré qu’au moment de l’inscription. Le modifier ensuite n’a aucun effet sur les appareils déjà inscrits.

Il existe une seconde option, appliquée après l’inscription : le paramètre Enable Windows Restore de la catégorie Windows Backup And Restore du Settings catalog (CSP ./Device/Vendor/MSFT/WindowsBackupAndRestore/EnableWindowsRestore). Celle-ci suit le cycle de rafraîchissement normal des stratégies et peut être ciblée par groupe.

Étape 3 : contrôler ce que l’utilisateur peut modifier

Côté poste, l’utilisateur gère ses options dans Paramètres > Comptes > Windows backup : Remember my preferences et Remember my apps. Si vous voulez figer ces choix, les stratégies « Do not sync » de Sync your settings permettent de désactiver des groupes précis (accessibilité, personnalisation, langue, applications…).

Windows Autopilot : ce qui marche et ce qui ne marche pas

C’est le point qui génère le plus de questions en projet. La restauration n’est pas prise en charge avec :

• le mode self-deploying ;
• la phase technicien du pre-provisioning (Autopilot for pre-provisioned deployment) ;
• Autopilot Reset ;
• la jointure hybride Microsoft Entra en OOBE ;
• l’inscription manuelle via l’application Paramètres, via GPO ou via la co-gestion Configuration Manager ;
• les appareils partagés ou sans utilisateur.

En pratique, le scénario cible est donc Autopilot en mode piloté par l’utilisateur avec jointure Microsoft Entra : l’utilisateur s’authentifie, voit la page de restauration, choisit son ancien PC, puis l’ESP continue. Pour le pre-provisioning, la documentation n’exclut que la phase technicien ; je recommande de valider la phase utilisateur sur un pilote avant de généraliser.

L’expérience utilisateur en OOBE

Voici ce que voit l’utilisateur sur son nouveau PC :

1. Il démarre le PC, choisit sa langue et son réseau, puis se connecte avec le même compte professionnel que sur l’ancien poste.
2. Une page de restauration s’affiche avec la liste de ses sauvegardes (un PC par ligne).
3. Il sélectionne l’ancien appareil et clique sur Continuer, ou choisit de configurer le PC comme nouveau.
4. L’installation se termine et les paramètres ainsi que les applications Store sont restaurés automatiquement.

Mon conseil terrain : prévenez les utilisateurs avant la livraison. Un simple message « sur l’écran de restauration, choisissez votre ancien PC » évite beaucoup de clics sur « configurer comme nouveau ».

Suivi et dépannage

Le rapport par appareil

1. Allez dans Appareils, onglet Windows, et ouvrez l’appareil.
2. Sélectionnez Inscription.
3. Repérez la ligne Windows Backup and Restore profile.

Les statuts possibles sont : Not Applicable, No policy assigned, Succeeded, Failed, No Backup Profiles et Setup as New PC Selected. « No Backup Profiles » signifie le plus souvent que l’ancien PC n’a jamais sauvegardé.

Les causes que je rencontre le plus souvent

• Accès conditionnel : une stratégie qui exige un appareil conforme peut bloquer le jeton pendant l’OOBE (« You can’t get there from here »). Microsoft recommande d’autoriser le service d’AppId d32c68ad-72d2-4acb-a0c7-46bb2cf93873.
• MFA résistant au phishing : si vous exigez une force d’authentification forte, l’application de restauration (74d197dc-b84d-4d43-a1b2-b5bf3bb91c11) peut déclencher une demande de clé de sécurité. Sur une VM Hyper-V, c’est bloquant : utilisez un Temporary Access Pass.
• Stratégies de durcissement : si EnableActivityFeed, PublishUserActivities, UploadUserActivities, EnableCDP ou AllowConnectedDevices sont définies sur Disabled, la sauvegarde ne se fait pas. C’est un classique sur les tenants issus de baselines anciennes.
• Build trop ancienne : vérifiez le numéro de build exact, pas seulement la version.

Consulter ou supprimer les données sauvegardées

Les sauvegardes sont accessibles via les API Microsoft Graph bêta, ou plus simplement avec le module PowerShell publié par Microsoft :

Install-Module WindowsBackupAdmin -Scope CurrentUser
Get-WindowsBackup -UserId user@contoso.com
Remove-WindowsBackup -UserId user@contoso.com

Pratique pour répondre à une demande RGPD ou pour nettoyer les données d’un collaborateur parti.

Comparaison avec Enterprise State Roaming et OneDrive

	Windows Backup for Organizations	Enterprise State Roaming	OneDrive (redirection des dossiers connus)
Objet	Paramètres Windows + liste des applis Store	Itinérance de certains paramètres entre appareils	Fichiers utilisateur (Bureau, Documents, Images…)
Moment	Sauvegarde tous les 8 jours, restauration à l’OOBE ou à la première connexion	Synchronisation continue	Synchronisation continue
Gestion	Intune / CSP / GPO	Désormais via les stratégies Windows settings backup and restore	Stratégies OneDrive

Point important : Microsoft a fait basculer la gestion d’Enterprise State Roaming dans Windows settings backup and restore. La gestion depuis le portail Microsoft Entra n’était prévue que jusqu’à fin juin 2026 ; ensuite, seule la gestion par stratégie reste prise en charge. Si vous utilisiez ESR, vérifiez que vos stratégies Intune prennent le relais.

Les trois briques sont donc complémentaires : OneDrive pour les fichiers, Windows Backup pour l’environnement Windows, Intune pour les applications et la configuration.

Mon avis de consultant

Windows Backup for Organizations ne remplace pas une stratégie de migration, mais il supprime une grosse partie de la friction ressentie par l’utilisateur lors d’un renouvellement de poste. Ma méthode :

1. Activer la sauvegarde plusieurs semaines avant le déploiement, pour que chaque utilisateur ait au moins une sauvegarde récente.
2. Activer « Show restore page » une fois les profils Autopilot en mode piloté par l’utilisateur validés.
3. Tester l’accès conditionnel et la MFA sur un pilote avant d’ouvrir à tous.
4. Communiquer clairement : « vos paramètres reviennent, vos fichiers sont dans OneDrive, vos applications arrivent via le portail d’entreprise ».

Bien préparé, c’est l’une des fonctionnalités qui apportent le plus de valeur perçue pour un effort de configuration minime.