Ingénieur Poste de Travail N3 - Expert Modern Workplace - Wdp H/F - Raedy

Le besoin

Secteur client : Banque en ligne - environnement de production critique et réglementé (ANSSI, PCI-DSS), plusieurs millions de clients, forte croissance.

Contexte : Parc d'environ 2 000 utilisateurs et 1 300 à 1 400 terminaux (majoritairement Windows, ~10% macOS, résidu Linux), plusieurs centaines de mobiles iOS/Android, partenaires externes connectés en VDI/Citrix. L'équipe Poste de Travail conçoit, sécurise et industrialise l'ensemble de l'écosystème utilisateur (postes, mobiles, identité, messagerie, M365). Équipe resserrée, non silotée, dernier niveau d'escalade (N3) avant l'éditeur.

Environnement en pleine modernisation (programme WDP) :

• Décommissionnement SCCM Intune/Autopilot

• Entra ID hybride, trajectoire vers Entra Joined

• Migration GPO CSP

• Exchange hybride avec réduction de la dépendance à l'AD

• Defender et Purview

• Parc macOS repris sous JAMF Pro

Missions principales

Build / Projets (80-90% de l'activité) :

• Concevoir et faire évoluer les profils Autopilot (user-driven, pre-provisioning, hybrid join, Entra joined, ESP, groupes dynamiques)

• Piloter la plateforme Intune (configuration, conformité, Endpoint Security, déploiement applicatif)

• Piloter le co-management et la bascule SCCM Intune jusqu'au décommissionnement

• Migrer les GPO vers les CSP (audit, Settings Catalog, ADMX, OMA-URI)

• Déployer les certificats via Intune (SCEP, PKCS, connecteur de certificats, S/MIME)

• Déployer et faire évoluer la sécurité endpoint (Defender for Endpoint, WDAC, BitLocker, CIS, LAPS)

• Concevoir le Conditional Access et les méthodes d'authentification (MFA, Windows Hello for Business)

• Piloter le patch management (rings WUFB, Autopatch, Proactive Remediations)

• Industrialiser le packaging (Win32, MSIX, PSADT)

• Concevoir la gestion mobile (MDM/MAM, ABM, Android Zero Touch, BYOD)

• Gérer le parc macOS via JAMF Pro

• Automatiser via PowerShell et Graph API

• Construire le reporting de conformité (Power BI, Azure Monitor, Log Analytics)

• Produire l'ingénierie documentaire (DAT, procédures, runbooks)

MCO / Run :

• Traiter les incidents complexes escaladés par le support N1/N2, dernier niveau avant l'éditeur

• Diagnostiquer politiques (Intune Management Extension log, conflits GPO/CSP), authentification (sign-in logs, boucles fédérées), certificats (magasin, CAPI2, 802.1X)

• Exploiter Defender au quotidien (Advanced Hunting KQL)

• Assurer le run messagerie, VPN GlobalProtect (couche cliente), M365

• Gérer les changements en production (déploiement par vagues, rollback)

• Autonomiser les équipes N1/N2 (runbooks, transfert de compétences)

Profil recherché

Profil : Ingénieur Poste de Travail Microsoft Senior N3, 7 ans minimum sur environnements Modern Workplace. Parcours démontrant des solutions conçues puis réellement déployées - pas uniquement de l'exploitation.

Posture attendue (éliminatoire) : Concepteur hands-on qui déploie et assume le support de ce qu'il construit. Autonomie complète, opérationnalité immédiate. Maîtrise du mécanisme sous-jacent - sait expliquer le "pourquoi" derrière le "quoi". Transversal (poste fixe, mobile, macOS, identité, sécurité, messagerie) : les profils silotés ne correspondent pas.

Blocs de compétences éliminatoires (5 blocs simultanés) :

1. Intune, Autopilot et cycle de vie du poste - Autopilot (user-driven, pre-provisioning, hash matériel, ESP), Hybrid Azure AD Join, co-management, migration GPO CSP

2. Sécurité endpoint - Defender for Endpoint (ASR, Sense, Advanced Hunting KQL), WDAC, BitLocker (XTS-AES, TPM), CIS, LAPS

3. Identité et authentification - Entra ID hybride, fédération (SAML, OIDC, OAuth2), PRT, Windows Hello for Business, Conditional Access

4. PKI et certificats - chaîne SCEP/PKCS via Intune, connecteur de certificats, NDES, S/MIME, 802.1X (Cisco ISE, CAPI2)

5. Messagerie et Microsoft 365 - sécurité du domaine (SPF, DKIM, DMARC), cinématique mail, Exchange hybride (rétention, litigation hold)

Niveaux attendus par domaine :

• Expert : Intune, Autopilot, Windows 10/11 troubleshooting natif, patch management

• Confirmé à expert : Entra ID hybride, Conditional Access, Defender for Endpoint, WDAC, BitLocker

• Confirmé : PKI/SCEP/PKCS/S/MIME, co-management, packaging, PowerShell/Graph API/KQL, mobile MDM/MAM

• Solide : sécurité messagerie, Exchange hybride, Purview, reporting Power BI

• Apprécié non exigé : macOS/JAMF Pro, VPN GlobalProtect

• Notions suffisantes : VMware/Citrix (en consommateur)

Hors périmètre du poste : infrastructure PKI et conception ADFS, ferme Citrix (hors VDI spécifiques), gestion des alertes Defender, support N1/N2, montées de version des appliances VPN.

Atout apprécié : expérience en production critique et réglementée (ANSSI, PCI-DSS).