Que faire face à l’échec de l’attestation TPM dans Windows Autopilot ?

Lors du déploiement d’appareils Windows avec Windows Autopilot, un outil conçu pour simplifier l’installation et la configuration des ordinateurs dans les entreprises, un problème fréquent peut survenir : l’échec de l’attestation TPM (Trusted Platform Module). Cette erreur bloque l’inscription automatique des appareils dans des systèmes comme Microsoft Intune, rendant le processus plus compliqué pour les administrateurs système. Mais d’où vient ce souci et comment le résoudre ? Voici un guide clair et accessible pour comprendre et surmonter ce problème.

Qu’est-ce que l’attestation TPM et pourquoi elle échoue ?

Le TPM est une puce de sécurité intégrée à la plupart des ordinateurs modernes. Dans le cadre d’Autopilot, elle sert à vérifier qu’un appareil est authentique et sécurisé avant son déploiement automatique. Cette étape est importante dans des modes comme Self-Deploying (autonome) ou Pre-Provisioned (préconfiguré), où aucune intervention manuelle n’est prévue. Quand l’attestation échoue, des messages d’erreur comme 0x8028009, 0x800705b4 ou 0x81039001 peuvent apparaître.

Les causes principales incluent :

Un TPM incompatible ou mal configuré : Autopilot exige un TPM 2.0 activé. Une version 1.2 ou un TPM désactivé dans le BIOS/UEFI provoque un échec. Voir la photo ci-dessous pour Activer/désactiver
Firmware obsolète : Certains TPM, notamment des marques comme Infineon ou STMicroelectronics, ont des bugs connus nécessitant une mise à jour.
Problèmes réseau : L’attestation dépend de connexions aux serveurs Microsoft (ex. login.microsoftonline.com). Un pare-feu ou un proxy mal configuré peut bloquer l’accès.
Paramètres BIOS incorrects : Le Secure Boot (démarrage sécurisé) doit être activé, et des options comme Intel PTT ou AMD fTPM peuvent parfois poser problème si mal ajustées.

Comment diagnostiquer le problème ?

Pour identifier la source et la cause de l’erreur, quelques vérifications simples s’imposent :

Vérifiez l’état du TPM :
- Ouvrez une invite de commande en mode administrateur (clic droit sur le menu Démarrer > Terminal Windows (Admin)).
- Tapez get-tpm. Si le TPM est absent, désactivé ou en version 1.2, le problème vient de là.
Consultez les journaux :
- Dans l’Observateur d’événements (tapez “eventvwr” dans la barre de recherche), allez à Microsoft-Windows-DeviceManagement-Enterprise-Diagnostics-Provider/Admin pour repérer des codes comme HResult 0x80070490.
Testez la connexion réseau :
- Exécutez Test-NetConnection login.microsoftonline.com -Port 443. Si le résultat affiche “TcpTestSucceeded : False”, un blocage réseau est en cause.

Solutions pour corriger l’échec

Voici des étapes pratiques pour résoudre le problème :

Mettez à jour le BIOS et le firmware TPM : Rendez-vous sur le site du fabricant de votre machine (Dell, HP, Lenovo, etc.) pour télécharger les dernières versions. Par exemple, HP a corrigé des bugs TPM dans ses mises à jour BIOS de 2023 pour certains modèles.
Activez TPM et Secure Boot : Redémarrez votre PC, entrez dans le BIOS/UEFI (souvent via F2 ou Suppr au démarrage), et assurez-vous que ces options sont activées. Si vous utilisez Intel PTT ou AMD fTPM, vérifiez leur compatibilité avec Autopilot sur le site de Microsoft.
Vérifiez le réseau : Ouvrez les ports nécessaires (443) dans votre pare-feu et assurez-vous que les URL Microsoft ne sont pas bloquées. Un test avec un réseau personnel peut avoir un souci lié à l’entreprise.
Utilisez un script PowerShell : Le script gratuit Test-AutopilotAttestation (disponible sur call4cloud.nl) analyse le TPM, la connexion et les certificats. Pour l’installer :
1. Ouvrez Terminal Windows en mode admin.
2. Tapez Set-ExecutionPolicy UnRestricted, puis Install-Module -Name Autopilottestattestation, et enfin test-autopilotattestation.
3. Suivez les recommandations affichées (ex. mise à jour de certificats manquants).

Une alternative : contourner l’attestation TPM

Si le problème persiste, vous pouvez désactiver l’attestation TPM en ajustant le profil Autopilot dans Microsoft Intune :

Connectez-vous au centre d’administration Microsoft Endpoint Manager.
Allez dans Appareils > Inscription Windows > Profils de déploiement.
Modifiez le profil concerné, passez au mode User-Driven (piloté par l’utilisateur) au lieu de Self-Deploying, et désactivez l’option Convertir tous les appareils ciblés en Autopilot.
Sauvegardez, puis réinitialisez l’appareil via Réinitialiser ce PC dans les options de récupération Windows.

Pourquoi ça vaut le coup de persévérer ?

Windows Autopilot reste une solution puissante pour déployer des appareils rapidement et en toute sécurité, surtout dans les entreprises. Selon Microsoft, plus de 60 % des organisations utilisant Intune ont adopté Autopilot en 2024, un chiffre en hausse grâce à sa simplicité. Résoudre l’échec TPM, bien que technique, garantit un gain de temps à long terme.

En résumé

L’échec de l’attestation TPM peut freiner un déploiement Autopilot, mais avec les bons outils et ajustements – mise à jour du firmware, correction des paramètres BIOS ou contournement via Intune – il est tout à fait surmontable. Si vous restez bloqué, le site officiel de Microsoft (learn.microsoft.com/autopilot) regorge de ressources, si non demandez de l’aide et de l’assistance directement sur notre forum TechAuQuotidien.