Gérer deux cents appareils et gérer vingt mille postes ne relève pas du même métier. Les nouveautés d'août pour Microsoft Intune s'attaquent directement à ce changement d'échelle : sécuriser l'identité d'un appareil avant même son inscription, permettre un dépannage à distance sans présence utilisateur, et préparer la gestion des paramètres Apple avant l'arrivée des prochaines versions de macOS.
Le fil conducteur : industrialiser le cycle de vie des appareils
Une tâche qui prend deux minutes sur un poste isolé peut représenter des mois de travail une fois multipliée par la taille du parc. Recruter à chaque croissance de l'estate n'est pas une option durable : il faut des processus reproductibles qui redonnent du temps aux équipes IT plutôt que d'en consommer davantage.
Cette logique traverse les trois annonces majeures du mois : établir la confiance dès le provisionnement, réduire les contraintes horaires du support technique, et remplacer des scripts artisanaux par des politiques natives dans la console d'administration.
Windows Autopilot device association passe en disponibilité générale
Windows Autopilot device association atteint désormais la disponibilité générale (GA). Cette capacité s'inscrit dans Autopilot device preparation et permet d'associer un appareil au tenant avant même son inscription dans Microsoft Intune.
Concrètement, l'identité de l'appareil est vérifiée par clés cryptographiques et attestation TPM (Trusted Platform Module) avant que l'inscription ne démarre. Cette étape supplémentaire garantit que seuls des appareils reconnus comme fiables accèdent aux ressources de l'organisation, sans attendre la fin du flux d'onboarding pour effectuer ce contrôle.
Cette association de l'appareil ouvre également la voie à plusieurs capacités :
- Des politiques de préparation d'appareil (device preparation policies) appliquées par appareil et non plus uniquement par utilisateur.
- La personnalisation de l'expérience de premier démarrage (Out-of-Box Experience, OOBE).
- Le renommage de l'appareil avant même l'inscription dans Intune.
Déploiement progressif
Pour un déploiement pas à pas, la documentation associée est détaillée dans le billet dédié à l'association d'appareils Autopilot.
Remote Help : dépanner un poste Windows sans utilisateur présent
Microsoft Intune Remote Help ajoute un mode d'accès non surveillé (unattended access) avec connexion à distance (remote sign-in). Un technicien peut désormais se connecter à un poste Windows physique avec ses propres identifiants, même si l'appareil est inactif et qu'aucun utilisateur n'est connecté.
Ce mode répond à des scénarios concrets : maintenance planifiée en dehors des heures de bureau, support d'appareils dans des agences distantes sans personnel IT sur place, ou résolution d'incidents sur des postes partagés sans utilisateur nommé.
L'accès est encadré par une permission RBAC (Role-Based Access Control) dédiée et distincte des permissions de support assisté classique. Seuls les administrateurs explicitement habilités sur leur périmètre d'appareils peuvent déclencher une session non surveillée, et Intune conserve l'application des contrôles d'accès et l'audit tout au long de la session.
Vérifiez le scope RBAC
Les recommandations détaillées portent sur la mise en place de l'accès non surveillé avec connexion à distance (Remote Help unattended access with remote sign-in), disponible dans la documentation Microsoft Intune.
macOS 27 : contrôle des apps et accélération des dossiers AppleCare
En prévision des prochaines versions macOS d'Apple, Intune ajoute deux capacités destinées aux appareils Mac gérés sous macOS 27 et versions ultérieures.
La première, App Settings configuration, offre un moyen natif de gérer les applications et binaires — y compris les applications d'IA — sur les Mac managés. Auparavant, bloquer une application précise supposait de maintenir un outillage open source complexe : gérable sur quelques centaines d'appareils, ingérable à mesure que le catalogue d'apps s'étoffe. Avec cette mise à jour, une politique unique dans la console d'administration Intune permet de définir les applications et binaires autorisés ou refusés.
La seconde capacité concerne la collecte de journaux pour les dossiers de support AppleCare. Une action d'appareil « enhanced logging » place un Mac dans un état de journalisation renforcée dont les fichiers remontent directement vers le dossier AppleCare. Le processus manuel précédent — demander à l'utilisateur de déclencher la collecte, puis transférer les fichiers à la main — disparaît au profit d'une simple action déclenchée par l'admin.
À anticiper
Defender for Endpoint et Intune : en finir avec le mythe de l'outil tiers obligatoire
Un point récurrent mérite d'être clarifié : gérer Microsoft Defender for Endpoint à l'échelle ne nécessite pas d'outil de gestion des postes tiers dédié. L'intégration native entre Intune et Defender for Endpoint permet de rentabiliser les investissements Microsoft existants et d'éviter la gestion de systèmes de sécurité et d'endpoint management séparés.
Depuis la console d'administration Intune, un administrateur peut déployer des politiques d'onboarding Defender, appliquer des baselines de sécurité recommandées par Microsoft ou des politiques de sécurité des points de terminaison ciblées, et administrer les paramètres de sécurité à l'échelle du parc.
Cette intégration relie aussi la détection de menaces à la conformité des appareils : correctement configurés, les signaux de risque de Defender for Endpoint peuvent alimenter la conformité dans Intune, et l'Accès conditionnel peut bloquer automatiquement un appareil à risque sans intervention manuelle.
Pour approfondir le sujet, le MVP Microsoft Jonathan Edwards détaille les objections courantes dans sa vidéo 99% of IT Teams still get Microsoft Defender & Microsoft Intune Wrong. Côté mise en œuvre, le parcours recommandé est décrit dans le Technical User Manual Defender et Intune, qui propose une séquence claire depuis la configuration initiale jusqu'à l'intégration complète.
Vue d'ensemble des nouveautés du mois
| Fonctionnalité | Statut | Périmètre | Bénéfice principal |
|---|---|---|---|
| Windows Autopilot device association | Disponibilité générale (GA) | Windows, Autopilot device preparation | Confiance établie avant l'inscription, via TPM et clés cryptographiques |
| Remote Help — accès non surveillé | Disponible | Windows, RBAC dédié | Dépannage sans utilisateur présent, hors horaires ou sites distants |
| App Settings / Enhanced logging | Lié à macOS 27 et versions ultérieures | Mac managés | Contrôle des apps et binaires, dossiers AppleCare accélérés |
| Intégration Defender for Endpoint | Disponible en natif | Windows géré par Intune | Conformité et Accès conditionnel pilotés par les signaux de risque |
Mise en œuvre : identifier les rôles RBAC habilités à l'accès non surveillé
Avant d'activer massivement le Remote Help non surveillé, il est utile de vérifier quels rôles Intune RBAC portent déjà une permission liée à l'assistance à distance, et à qui ces rôles sont attribués. Le script ci-dessous interroge Microsoft Graph pour produire cette liste.
- Module requis : Microsoft.Graph.Authentication (
Install-Module Microsoft.Graph.Authentication -Scope CurrentUser) - Permission minimale :
DeviceManagementRBAC.Read.All(lecture seule, aucune modification de configuration) - Sortie produite : la liste des rôles Intune RBAC dont les actions autorisées mentionnent l'assistance à distance, ainsi que leurs attributions (portée et libellé), pour vérifier que l'accès non surveillé reste restreint aux administrateurs autorisés.
1# Connexion à Microsoft Graph avec le scope minimal nécessaire (lecture seule)2Connect-MgGraph -Scopes "DeviceManagementRBAC.Read.All"3 4# Récupère toutes les définitions de rôles RBAC Intune via l'API Microsoft Graph5$roleDefinitions = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/deviceManagement/roleDefinitions"6 7# Filtre les rôles dont les actions autorisées mentionnent l'assistance à distance8$remoteHelpRoles = $roleDefinitions.value | Where-Object {9 ($_.rolePermissions.resourceActions.allowedResourceActions -join ";") -match "remoteAssistance"10}11 12foreach ($role in $remoteHelpRoles) {13 Write-Host "`nRôle candidat pour l'accès non surveillé : $($role.displayName)" -ForegroundColor Cyan14 15 # Liste les attributions de ce rôle (portée, libellé) pour vérifier qui peut lancer une session sans utilisateur présent16 $assignments = Invoke-MgGraphRequest -Method GET -Uri "https://graph.microsoft.com/v1.0/deviceManagement/roleDefinitions/$($role.id)/roleAssignments"17 $assignments.value | Select-Object displayName, scopeType | Format-Table -AutoSize18}Si le résultat fait apparaître un rôle intégré trop permissif (par exemple un rôle Helpdesk générique portant cette action sur l'ensemble du tenant), créez un rôle personnalisé restreint à un groupe d'appareils précis plutôt que d'élargir un rôle existant.
Ce qu'il faut retenir
Les quatre nouveautés du mois partagent un objectif commun : réduire le travail manuel répétitif sans ajouter d'outil supplémentaire à la pile de gestion des postes.
- Activez Autopilot device association progressivement, en tenant compte de sa dépendance à la mise à jour Windows associée.
- Revoyez les attributions RBAC avant d'ouvrir le Remote Help non surveillé à vos équipes de support, en particulier pour les sites distants.
- Planifiez un pilote macOS 27 pour valider la politique App Settings avant un déploiement général sur le parc Mac.
- Si votre organisation gère encore Defender for Endpoint via un outil tiers séparé d'Intune, évaluez la bascule vers l'intégration native à l'aide du Technical User Manual : la consolidation réduit le nombre d'interfaces à surveiller et fiabilise le lien entre conformité et Accès conditionnel.
