Intune EPM : déléguer les réglages IP et DNS aux utilisateurs standard
Dans son bilan du 29 octobre 2026, Microsoft met en avant la modification des paramètres IPv4, IPv6 et DNS via Endpoint Privilege Management, sans donner de droits administrateur généraux. Cette capacité se déploie progressivement : les organisations déjà équipées d’EPM peuvent vérifier sa présence puis tester le parcours dans Company Portal.
- Impact
- utilisateurs standard sur appareils Windows éligibles à EPM, notamment ceux qui doivent adapter leur réseau entre plusieurs sites.
- Action
- sur un petit groupe déjà équipé d’EPM, affecter une règle réseau avec confirmation utilisateur et contrôler le changement effectif, sa justification et le retour à la configuration initiale.
- Statut
- À tester
Une autorisation dédiée aux réglages réseau
La stratégie Elevation system settings policy autorise une catégorie précise : les valeurs IPv4, IPv6 et DNS des adaptateurs réseau. Le parcours passe par Company Portal, sans déploiement d’une application distincte. Microsoft documente aussi son utilisation hors connexion, une fois la stratégie reçue.
Le billet du 29 octobre est le point d’actualité ; il ne permet pas de dater le premier jour de disponibilité. Le guide de configuration avertit explicitement que le déploiement est progressif et que la capacité peut manquer dans certains tenants.
Le guide décrit User confirmed, avec justification métier, authentification Windows ou les deux en option. Le billet cite également un mode automatique, absent de la procédure détaillée consultée : le parcours proposé ici se limite au mode documenté avec confirmation.
Prérequis à contrôler
Le tenant doit disposer des droits de licence EPM, en complément d’Intune Plan 1 ou Plan 2. EPM nécessite une architecture Windows 64 bits ; Arm64 est prise en charge.
Les appareils doivent être joints à Microsoft Entra ou joints de manière hybride, enrôlés dans Intune ou cogérés avec Configuration Manager, et respecter la matrice Windows/architecture et la connectivité EPM documentées. Pour EPM, la documentation n’impose pas de bascule de charge de travail aux appareils cogérés.
Une Elevation settings policy doit déjà activer EPM sur les cibles. La seule création d’une règle réseau ne suffit pas. Ne pas considérer la présence du profil dans la console comme une preuve de fonctionnement sur tous les clients.
Tester le parcours complet
Dans Endpoint security > Endpoint Privilege Management > Policies > Create Policy, choisir Windows, puis Elevation system settings policy. Ajouter une règle Network settings, sélectionner User confirmed et les validations nécessaires, puis affecter le groupe de test.
Après la synchronisation des stratégies, ouvrir sur le poste Company Portal > Help & support > System settings > Edit settings. Sur un réseau de laboratoire dont les valeurs sont connues, vérifier :
- qu’un utilisateur standard voit le parcours et l’adaptateur attendu ;
- qu’une modification autorisée demande la confirmation et les validations choisies ;
- que l’adresse et les DNS appliqués correspondent aux valeurs saisies et que les ressources de test restent accessibles ;
- que la justification, si demandée, est disponible dans les rapports EPM.
Revenir ensuite à la configuration initiale, par exemple DHCP lorsqu’il était utilisé. Tester le cas hors connexion uniquement s’il correspond au besoin métier et après réception des stratégies.
PatchFactory recommande de poursuivre si ces observations concordent sans attribution de droits administrateur généraux. Si l’entrée manque, contrôler d’abord le déploiement dans le tenant, l’activation EPM et la réception des stratégies ; ne pas contourner l’absence en promouvant l’utilisateur administrateur. Aucun tenant ni poste n’a été testé pendant cette veille.