Intune Apple ADE : les profils Setup Assistant legacy passent à l’authentification moderne
Intune 2610 met fin à Setup Assistant (legacy) pour l’enrôlement automatisé Apple avec affinité utilisateur et migre automatiquement les profils concernés vers l’authentification moderne. Les équipes qui utilisent ces profils doivent valider le prochain enrôlement iPhone, iPad ou Mac ; les appareils déjà enrôlés restent inscrits.
- Impact
- profils Apple Automated Device Enrollment (ADE) avec affinité utilisateur utilisant l’ancienne authentification ; parcours des nouveaux enrôlements.
- Action
- contrôler le profil migré, puis vérifier sur un appareil de test l’authentification, l’enregistrement Entra, la conformité et l’accès à une ressource protégée.
- Statut
- À tester
Une migration de profils, pas un réenrôlement du parc
Le journal Intune rattache ce changement à la semaine du 26 octobre 2026, release 2610. Ce n’est pas une annonce du 1er novembre : elle mérite un contrôle maintenant parce que le prochain appareil préparé avec un ancien profil utilisera un parcours d’authentification différent.
Microsoft indique que les profils existants passent automatiquement à Setup Assistant with modern authentication et que l’option legacy disparaît à la création comme à la modification. Aucune mise à jour manuelle du profil n’est requise pour cette migration. Les appareils déjà enrôlés ne sont pas affectés : ne pas les effacer pour appliquer cette annonce.
Le périmètre est précis : ADE avec affinité utilisateur, sur iOS/iPadOS et macOS. Ne pas étendre ce retrait aux enrôlements personnels, aux appareils sans affinité utilisateur ou à l’ensemble des méthodes Apple. Le déploiement du service Intune étant progressif, contrôler l’état réel du tenant.
Vérifier le parcours jusqu’à l’accès métier
Repérer les profils concernés. Dans le centre d’administration Intune, examiner les profils ADE associés aux jetons Apple et relever la méthode d’authentification ainsi que les appareils affectés. Pour iOS/iPadOS, le guide actuel passe par Devices > Device onboarding > Enrollment > Apple mobile > Enrollment program tokens, puis le jeton et Enrollment policies ; l’ancienne interface utilise Profiles. Le résultat attendu pour un ancien profil legacy migré est Setup Assistant with modern authentication. Si legacy subsiste, vérifier le déploiement du service auprès du support avant de modifier les affectations.
Tester un enrôlement représentatif. Utiliser un appareil neuf ou de laboratoire destiné à la préparation, avec un compte soumis aux politiques d’accès conditionnel réellement prévues. Comparer les étapes obtenues à la procédure utilisateur existante, puis contrôler séparément l’inscription Intune, l’enregistrement Entra, l’état de conformité et l’ouverture d’une application protégée. L’arrivée sur l’écran d’accueil ne suffit pas.
Sur iOS/iPadOS sans inscription JIT, le guide demande de terminer l’enregistrement dans Company Portal en se connectant puis en sélectionnant Begin. Avec JIT déjà configuré, cette étape passe par une application associée à l’extension Apple SSO : le changement de profil n’active pas JIT à lui seul. Sur macOS, le parcours standard documenté demande une connexion à Company Portal ; ne pas lui transposer la procédure JIT iOS. Un parcours Platform SSO doit être validé selon sa propre configuration.
Le guide d’authentification signale que la MFA résistante au phishing n’est pas prise en charge dans Setup Assistant iOS/iPadOS. Vérifier la compatibilité des méthodes et des exigences appliquées à l’enrôlement avec l’équipe identité ; ne pas généraliser cette restriction à macOS ni désactiver globalement l’accès conditionnel.
Valider avant les prochains lots. Poursuivre si le compte termine le parcours, si les états attendus sont présents dans Intune et Entra et si l’accès métier fonctionne. En cas de blocage, suspendre les nouvelles préparations concernées, relever l’étape et l’erreur, puis faire analyser la configuration d’authentification. Mettre à jour la documentation utilisateur seulement après cette validation. Ces contrôles sont des recommandations PatchFactory, pas des essais réalisés pendant la veille.