Intune : tester les deployment plans pour industrialiser les anneaux applicatifs et politiques

Classement : À tester

Résumé : Microsoft annonce dans les nouveautés Intune de la semaine du 21 septembre 2026 la disponibilité en public preview des deployment plans, une nouvelle expérience pour déployer progressivement certains payloads Intune par anneaux. Le périmètre est Windows uniquement pendant la preview : applications Win32, Enterprise App Catalog, politiques Settings catalog et Endpoint security.

Impact : équipes Intune qui gèrent aujourd'hui les anneaux de déploiement par groupes, affectations manuelles et calendriers séparés pour les applications Windows et les politiques de configuration ou de sécurité endpoint.

Action : tester la preview sur un payload non critique, avec des groupes pilotes représentatifs, puis comparer le comportement réel des affectations avec le processus actuel avant toute généralisation.

Statut : À tester.

Ce qui change

Intune ajoute une expérience Deployments accessible dans le centre d'administration sous Devices > Manage devices > Deployments. Elle introduit deux objets distincts : le deployment plan, modèle réutilisable qui décrit anneaux, groupes Microsoft Entra, filtres, exclusions et délais ; puis le deployment, qui applique un payload précis en utilisant un plan existant ou une configuration ponctuelle.

Le point opérationnel à tester est le changement d'affectations. Lorsqu'un anneau s'active, Intune ajoute ses groupes aux affectations Required du payload. Les affectations sont cumulatives au fil des anneaux déjà activés. Si le dernier anneau utilise le groupe virtuel All users ou All devices, celui-ci devient automatiquement l'anneau final et remplace les groupes Required précédents sur le payload, tout en préservant les exclusions.

La fonctionnalité reste en public preview. La documentation Intune rappelle que les fonctions en preview peuvent avoir des restrictions, changer avant la disponibilité générale, et ne pas exister dans tous les clouds ou régions. Le classement PatchFactory est donc À tester, pas À déployer.

Qui est concerné

Pendant la preview, le périmètre documenté est limité à Windows 10 and later. Les payloads pris en charge sont les applications Windows app (Win32), les applications Enterprise App Catalog, les politiques Settings catalog et les politiques Endpoint security. Pour les applications Win32 et Enterprise App Catalog, seul l'intent Required est pris en charge ; Available et Uninstall ne le sont pas.

Les équipes qui ont déjà formalisé des anneaux Windows Update for Business ou Autopatch ne doivent pas transposer directement leur modèle. Ici, l'objet manipulé est l'affectation d'une application ou d'une politique Intune : groupes Entra, filtres, exclusions, RBAC et éventuelle validation Multi Admin Approval deviennent les points de contrôle.

Actions recommandées

Commencer par un payload à faible risque mais représentatif, par exemple une application Win32 interne non critique ou une politique Settings catalog réversible. Créer un plan avec deux ou trois anneaux, un délai conforme à la règle Microsoft d'au moins une heure entre les anneaux, et des groupes pilotes dont les membres sont connus. Le test doit vérifier le moment d'arrivée du payload, les exclusions et l'état final des affectations.

Vérifier séparément les collisions d'affectation. Intune contrôle les collisions entre les groupes déjà affectés au payload et les groupes d'un anneau lors de la création, puis à l'activation de chaque anneau. Si une collision apparaît pendant l'activation, le deployment passe en erreur et se met en pause ; il faut retirer le groupe en conflit des affectations du payload, puis reprendre le deployment.

Contrôler les permissions avant d'ouvrir la preview à plusieurs équipes. Les plans ont leurs propres permissions, intégrées à certains rôles Intune comme Application Manager, Endpoint Security Manager ou Policy and Profile Manager. Les deployments utilisent les permissions de la catégorie du payload : Mobile apps pour une application, Device configurations pour une politique. Un plan peut recevoir des scope tags ; la visibilité d'un deployment dépend du payload sélectionné.

Si l'organisation utilise Multi Admin Approval, vérifier le flux avant de compter sur les deployments pour accélérer la production. Les actions Create, Resume, Cancel et Delete peuvent déclencher l'approbation lorsque la catégorie de payload est protégée. Un approver doit aussi disposer du droit de lecture sur le payload pour ouvrir le lien de propriétés.

Points de vigilance

Ne pas interpréter la preview comme une gestion complète du cycle de vie applicatif. Un deployment ne verrouille pas le payload : une modification directe du payload peut continuer à s'appliquer aux appareils. Annuler un deployment n'enlève pas non plus les affectations déjà ajoutées par les anneaux activés ; il faut alors modifier les propriétés du payload.

Le bon critère de réussite n'est donc pas seulement que l'interface crée un anneau. Il faut vérifier les affectations finales du payload, l'état du deployment, les appareils réellement ciblés, les exclusions et le comportement en cas de groupe supprimé ou restauré. Tant que ces contrôles ne sont pas maîtrisés, la preview doit rester confinée à des charges réversibles.

Sources

What's new in Microsoft Intune, semaine du 21 septembre 2026 : https://learn.microsoft.com/en-us/intune/whats-new/#week-of-september-21-2026
Deployment plans and deployments overview in Microsoft Intune : https://learn.microsoft.com/en-us/intune/device-management/deployments/overview
Create and manage a deployment in Microsoft Intune : https://learn.microsoft.com/en-us/intune/device-management/deployments/create-deployment
Permissions, scope tags, and approvals for deployments in Microsoft Intune : https://learn.microsoft.com/en-us/intune/device-management/deployments/rbac-scope-tags
Public preview overview in Microsoft Intune : https://learn.microsoft.com/en-us/intune/fundamentals/public-preview