PatchFactoryVeille
Menu
← Toutes les publications
Autopilot · Hybrid join7 min de lecture

Autopilot : tester le pré-provisionnement hybride quand une stratégie nécessite un contrôleur de domaine

Microsoft documente un échec possible du flux technicien Autopilot en pré-provisionnement Microsoft Entra hybrid join lorsque la résolution d'un conflit de stratégie exige de joindre un contrôleur de domaine. Le sujet date du 1er septembre 2026, mais il reste actionnable pour les organisations qui conservent du pré-provisionnement hybride, car la limitation est toujours publiée dans les problèmes connus Autopilot et peut casser des scénarios hors site avec VPN utilisateur.

Impact
appareils Windows Autopilot en pré-provisionnement avec Microsoft Entra hybrid join, surtout lorsque le flux technicien est exécuté hors réseau d'entreprise et que des stratégies Intune ciblées appareil nécessitent une résolution côté Active Directory.
Action
rejouer un flux technicien représentatif avec les stratégies réellement ciblées, identifier celles qui provoquent une résolution de conflit nécessitant un contrôleur de domaine, puis exclure ces stratégies du flux technicien ou pré-provisionner sur un réseau ayant une ligne de vue vers les contrôleurs de domaine.
Statut
À tester

Classement : À tester

Résumé : Microsoft documente un échec possible du flux technicien Autopilot en pré-provisionnement Microsoft Entra hybrid join lorsque la résolution d'un conflit de stratégie exige de joindre un contrôleur de domaine. Le sujet date du 1er septembre 2026, mais il reste actionnable pour les organisations qui conservent du pré-provisionnement hybride, car la limitation est toujours publiée dans les problèmes connus Autopilot et peut casser des scénarios hors site avec VPN utilisateur.

Impact : appareils Windows Autopilot en pré-provisionnement avec Microsoft Entra hybrid join, surtout lorsque le flux technicien est exécuté hors réseau d'entreprise et que des stratégies Intune ciblées appareil nécessitent une résolution côté Active Directory.

Action : rejouer un flux technicien représentatif avec les stratégies réellement ciblées, identifier celles qui provoquent une résolution de conflit nécessitant un contrôleur de domaine, puis exclure ces stratégies du flux technicien ou pré-provisionner sur un réseau ayant une ligne de vue vers les contrôleurs de domaine.

Statut : À tester.

Ce qui change

La page Microsoft Windows Autopilot known issues a été mise à jour le 8 septembre 2026 et contient un problème ajouté le 1er septembre 2026 : le pré-provisionnement Autopilot pour Microsoft Entra hybrid join peut échouer pendant le flux technicien lorsqu'une stratégie assignée oblige la pile de gestion du client à résoudre un conflit de stratégie en contactant un contrôleur de domaine Active Directory.

Microsoft donne comme exemple un événement MDM PolicyManager sur la zone UserRights et la stratégie DenyLocalLogOn, avec le résultat 0x800706FD indiquant l'échec de la relation d'approbation. Le point important n'est pas ce seul paramètre, mais le mécanisme : dans un scénario hors site avec VPN utilisateur, le VPN n'est pas disponible pendant le flux technicien. Le poste ne peut donc pas contacter le contrôleur de domaine au moment où la résolution de conflit en a besoin.

La documentation ne présente pas cela comme un bug corrigé par une version précise. Microsoft le décrit comme une limitation connue du pré-provisionnement avec Microsoft Entra hybrid join quand des stratégies assignées exigent cette connectivité pendant le flux technicien. C'est pour cette raison que le classement PatchFactory est À tester : il faut valider les profils et affectations existants avant de généraliser ou de maintenir ce scénario dans un processus de préparation hors site.

Qui est concerné

Le périmètre est étroit. Les déploiements Autopilot cloud-native en Microsoft Entra join ne sont pas visés par ce problème. Les déploiements hybrides sans pré-provisionnement ne sont pas le coeur du signal non plus, même s'ils conservent leurs propres exigences de connectivité. Sont surtout concernés les ateliers, partenaires, équipes IT ou processus logistiques qui utilisent le Windows Autopilot for pre-provisioned deployment avec Microsoft Entra hybrid join.

La documentation de pré-provisionnement rappelle que le flux technicien applique les stratégies ciblées appareil depuis Intune, ainsi que les applications Win32 ou LOB en contexte appareil qui remplissent les conditions d'affectation. Elle indique aussi que, dans un scénario hybride, le pré-provisionnement classique ne demande pas normalement l'accès à l'infrastructure de domaine pendant le flux technicien, car la connectivité au domaine est attendue plus tard, lors du flux utilisateur. Le problème publié par Microsoft précise justement le cas qui casse cette hypothèse : une stratégie assignée qui force une résolution nécessitant Active Directory pendant le flux technicien.

Microsoft continue par ailleurs de recommander de déployer les nouveaux appareils en Microsoft Entra join plutôt qu'en Microsoft Entra hybrid join, y compris avec Windows Autopilot. Pour les environnements qui doivent conserver l'hybride, ce signal doit donc être traité comme une contrainte supplémentaire de conception, pas comme une raison d'étendre le modèle hybride à de nouveaux périmètres.

Actions recommandées

Commencer par isoler les profils Autopilot de pré-provisionnement hybrides réellement utilisés : groupes d'appareils, profil ESP, profil Autopilot, profil de jonction de domaine et stratégies de configuration ciblées appareil. L'objectif est d'obtenir la liste des paramètres appliqués pendant le flux technicien, pas seulement les paramètres visibles après la première connexion utilisateur.

Sur un petit lot représentatif, rejouer le flux technicien dans les deux conditions qui comptent pour l'exploitation : un réseau avec ligne de vue vers les contrôleurs de domaine, puis le réseau réellement utilisé par l'atelier ou le partenaire hors site. Le résultat attendu est simple : le même profil doit passer ou échouer de façon reproductible selon la connectivité. Si l'échec apparaît uniquement hors site, relever l'erreur ESP et les événements MDM PolicyManager associés pour identifier la zone de stratégie impliquée.

Si une stratégie déclenche la dépendance au contrôleur de domaine, Microsoft propose deux voies : ne pas affecter les stratégies concernées pendant le flux technicien, ou exécuter le pré-provisionnement sur un réseau ayant une ligne de vue vers un contrôleur de domaine. En pratique, la première option demande de revoir les groupes d'affectation et les filtres Intune pour repousser le paramètre au flux utilisateur ou après l'arrivée du poste sur le réseau attendu. La seconde option demande de traiter le pré-provisionnement comme une opération connectée au domaine, ce qui réduit fortement l'intérêt des scénarios hors site avec VPN utilisateur.

Points de vigilance

Ne pas transformer ce problème connu en règle générale contre toutes les stratégies de sécurité pendant le pré-provisionnement. Microsoft vise le cas où la résolution de conflit dans la pile DM nécessite un contrôleur de domaine. Les paramètres qui s'appliquent sans cette dépendance ne doivent pas être exclus sans preuve.

Ne pas annoncer non plus qu'un VPN utilisateur résout le sujet : la source Microsoft précise que, dans les scénarios off-premises avec bring-your-own VPN, la connexion VPN n'est pas disponible pendant le flux technicien. Si un environnement dispose d'une connectivité machine avant ouverture de session, il faut la valider explicitement dans son propre scénario plutôt que l'assimiler au cas décrit.

La vérification doit se faire sur le résultat du flux technicien et sur les journaux locaux, pas seulement sur la présence des profils dans Intune. Un profil correctement assigné peut rester incompatible avec l'absence de contrôleur de domaine au moment exact où la pile de gestion tente de résoudre le conflit.

Sources