Synchroniser la GAL Microsoft 365 dans les contacts iPhone avec Intune

Vos utilisateurs retrouvent leurs collègues dans la liste d'adresses globale (GAL) d'Outlook et de Teams, mais quand l'un d'eux appelle, l'iPhone affiche un numéro sans nom. Administrateur Intune, vous voulez régler le problème une fois, pour tous les iPhone gérés, sans demander d'import à personne. Ce guide montre comment mettre la GAL Microsoft 365 dans les contacts de l'iPhone avec Microsoft Intune, étape par étape, et comment éviter au passage que les contacts de l'entreprise finissent dans des comptes iCloud personnels.

Pourquoi l'iPhone n'affiche pas la GAL

Quand un iPhone se connecte à Microsoft 365, par le compte Exchange des réglages iOS ou par Outlook pour iOS, il synchronise la boîte aux lettres de l'utilisateur : messages, calendrier et contacts créés par l'utilisateur lui-même. La GAL reste côté Exchange. Les options intégrées à Microsoft 365 et à Intune s'arrêtent toutes avant elle :

• La synchronisation des contacts d'Outlook. Outlook pour iOS peut enregistrer des contacts dans l'application Contacts native, et une stratégie de configuration d'application Intune permet de l'activer. Mais seuls les contacts de la boîte aux lettres sont concernés, pas l'annuaire de l'entreprise.

• La recherche dans l'annuaire du compte Exchange. L'application Contacts peut chercher un nom dans l'annuaire. Rien n'est enregistré sur le téléphone : l'appel entrant n'est toujours pas reconnu.

• Les scripts qui copient la GAL dans chaque boîte aux lettres. Ils fonctionnent, au prix d'une tâche planifiée à maintenir, de droits élevés sur toutes les boîtes et d'une copie de l'annuaire de plus par utilisateur.

• Les imports CSV ou vCard. Justes le premier jour, puis dépassés à chaque arrivée, départ ou changement de numéro.

Pour afficher le nom d'un collègue quand le téléphone sonne, iOS doit avoir ce collègue sur l'appareil, et à jour. Il faut pour cela une application qui lit Microsoft Entra ID et identifie les appels, déployée par Intune comme n'importe quelle application gérée.

Prérequis

• Des iPhone inscrits dans Intune : appareils de l'entreprise par Apple Business Manager (supervisés de préférence), ou appareils personnels par l'inscription utilisateur.

• Pour les appareils de l'entreprise, Apple Business Manager relié à Intune avec un jeton Apps et livres (VPP), pour installer l'application sans compte Apple.

• Le rôle Administrateur Intune, et un administrateur Microsoft Entra ID pour le consentement initial.

• Des numéros de téléphone renseignés dans Entra ID : seuls les utilisateurs qui en ont un sont synchronisés.

Étape 1 : accorder le consentement administrateur dans Microsoft Entra ID

Calliente lit l'annuaire avec des autorisations Microsoft Graph déléguées : User.Read.All pour lire les noms et numéros des utilisateurs, GroupMember.Read.All pour le filtrage par groupe, et les autorisations de connexion standard. Un administrateur Entra ID les approuve une fois pour tout le tenant. Rien n'est écrit dans l'annuaire, et le consentement se révoque à tout moment depuis les applications d'entreprise. Le détail est dans Autorisations Microsoft Entra ID utilisées par Calliente.

Étape 2 : ajouter l'application dans Intune

Calliente peut arriver dans Intune de deux façons :

• Par Apple Business Manager (conseillé pour les appareils de l'entreprise). Dans Apple Business Manager, ouvrez Apps et livres, recherchez Calliente et prenez le nombre de licences nécessaire, affectées à l'emplacement relié à votre jeton Intune. Après la synchronisation suivante du jeton, l'application apparaît dans Intune sous Applications > iOS/iPadOS. Les licences sont attribuées aux appareils : les utilisateurs n'ont pas besoin de compte Apple.

• Comme application de l'App Store (pilote ou appareils personnels). Dans le centre d'administration Microsoft Intune, allez dans Applications > iOS/iPadOS > Ajouter, choisissez Application de l'App Store iOS, recherchez Calliente et enregistrez. Les utilisateurs l'installent alors avec leur propre compte Apple.

Étape 3 : l'affecter à vos utilisateurs

Ouvrez l'application, puis Propriétés > Affectations > Modifier. Ajoutez les groupes d'utilisateurs ou d'appareils qui doivent recevoir l'annuaire : Obligatoire pour l'installer automatiquement, ou Disponible pour les appareils inscrits pour la proposer dans le Portail d'entreprise lors d'un pilote. Pour une application VPP, choisissez la licence par appareil. Sur un appareil supervisé, l'installation est silencieuse ; sur les autres, iOS demande à l'utilisateur de la confirmer.

Étape 4 : choisir où sont stockés les contacts professionnels

C'est l'étape que la plupart des déploiements oublient. Sur iPhone, un contact écrit par une application va dans le compte par défaut des réglages de Contacts, et sur beaucoup de téléphones ce compte est l'iCloud personnel de l'utilisateur. L'annuaire le suit alors sur son Mac, son iPad et dans ses sauvegardes, et y reste après son départ. Deux options :

• Le carnet d'adresses natif. Les collègues apparaissent dans l'application Contacts comme n'importe quel contact. Avant de le déployer sur des appareils personnels, vérifiez quel compte les reçoit, et testez vos restrictions Intune sur les données gérées et non gérées sur un appareil pilote.

• Secure Call ID. Les appels sont identifiés avec le nom du collègue, mais rien n'est écrit dans l'application Contacts : rien n'arrive donc dans iCloud. L'annuaire reste dans l'application Calliente. C'est le choix le plus sûr en BYOD. Voir Secure Call ID sur iOS ; il s'active à votre demande.

Le contexte est expliqué dans Contacts professionnels sur iPhone : le risque iCloud que l’on oublie.

Étape 5 : chaque utilisateur se connecte une fois

Chaque utilisateur ouvre Calliente, se connecte avec son compte Microsoft 365 et accepte l'accès demandé par iOS : Apple ne permet pas à un MDM de l'accorder à sa place, prévoyez donc une ligne à ce sujet dans votre message de déploiement. Les appels des collègues s'affichent ensuite avec leur nom, et l'annuaire se met à jour automatiquement chaque jour : arrivées, départs et changements de numéro suivent Entra ID, sans action de l'équipe IT.

Pour aller plus loin

• Ne synchroniser que certains groupes. Avec l'offre Business, le filtrage par groupe limite chaque équipe aux contacts dont elle a besoin.

• Bloquer l'export des contacts. Également dans l'offre Business, sur iOS.

• Aucune copie de votre annuaire ailleurs. L'application lit Entra ID depuis le téléphone ; Calliente ne stocke pas vos contacts sur ses serveurs.

• Android aussi. La même démarche, avec des contacts gardés dans le profil professionnel : synchroniser la GAL Microsoft 365 dans les contacts Android avec Intune.

Pour le point de vue de l'utilisateur, lisez pourquoi l'annuaire Microsoft 365 n'apparaît pas dans les contacts de l'iPhone.

Essayez sur votre tenant

L'essai gratuit de 30 jours fonctionne sur votre propre tenant Microsoft 365, pour 2 utilisateurs et sans carte bancaire : affectez-le à deux iPhone de test avec Intune et regardez de vrais collègues s'afficher sur un vrai appel. Ensuite, Calliente coûte 6 € par utilisateur et par an (8 € pour l'offre Business).