Intune : préparer la fin de l’auto-découverte CNAME pour Windows MDM-only
À partir du 15 janvier 2027, Intune ne prendra plus en charge l’auto-découverte par CNAME pour l’enrôlement Windows MDM-only. Les organisations qui dépendent de l’enregistrement DNS EnterpriseEnrollment doivent préparer la fourniture explicite de l’URL d’enrôlement ; les appareils déjà enrôlés restent inchangés.
- Impact
- parcours Windows MDM-only dépendant d’un CNAME EnterpriseEnrollment, et non l’ensemble des enrôlements Intune.
- Action
- identifier ces parcours, tester la fourniture de l’URL du service Microsoft et actualiser les instructions utilisateurs et support avant l’échéance.
- Statut
- À planifier
Ce qui s’arrête, et ce qui continue
L’annonce Intune, publiée le 15 octobre 2026, est rappelée dans la synthèse Windows du 3 novembre. Ce rappel remet en lumière une échéance encore à préparer ; il ne s’agit pas d’une annonce nouvelle du jour.
Microsoft ne retire pas Windows MDM-only. Seule la découverte automatique du service à partir du CNAME cesse d’être prise en charge dans ce scénario. Si le parcours ne fournit pas déjà l’adresse du serveur, l’utilisateur devra la saisir lorsqu’elle lui sera demandée :
https://
Il s’agit d’une adresse de service à renseigner, pas d’une commande. Sa saisie ne sera pas systématique : certaines expériences transmettent déjà les informations nécessaires.
Microsoft indique que les organisations utilisant exclusivement l’enrôlement par jointure Microsoft Entra, par jointure hybride ou d’autres méthodes sans cette dépendance DNS ne devraient pas être concernées. Les appareils existants restent enrôlés : aucun réenrôlement massif n’est demandé.
Trois contrôles avant le 15 janvier
Repérer la dépendance réelle. Avec les équipes DNS et support, relever les enregistrements EnterpriseEnrollment utilisés et les procédures Windows MDM-only correspondantes. La présence d’un CNAME, à elle seule, ne démontre pas qu’un parcours encore utilisé en dépend.
Valider le parcours utilisateur. Sur un appareil de test autorisé pour ce type d’enrôlement, suivre la procédure interne et noter comment l’adresse du service est fournie. Si une invite apparaît, vérifier que l’URL officielle permet de poursuivre et que l’appareil est ensuite visible comme enrôlé dans Intune. Si elle n’apparaît pas avant l’échéance, cela ne prouve pas que le parcours restera autonome après le changement : déterminer s’il fournit lui-même l’adresse ou dépend encore de DNS.
Mettre à jour la procédure et le support. Ajouter l’adresse exacte et le cas où la saisir aux guides concernés. En cas d’échec de validation, conserver l’erreur et les étapes réalisées pour diagnostiquer le parcours avant de diffuser la nouvelle procédure. PatchFactory recommande de terminer cette préparation avant l’échéance officielle.
Ne pas supprimer globalement EnterpriseEnrollment pour simuler le changement : le communiqué demande d’examiner les besoins DNS de l’environnement, pas de retirer systématiquement l’enregistrement.