Intune RBAC : évaluer les permissions par périmètre avant l’activation irréversible
Le journal Intune 2610 annonce la disponibilité générale des Scoped permissions, qui séparent les autorisations de rôles associés à des scope tags différents. Les organisations utilisant plusieurs délégations doivent d’abord examiner le Permissions Assessment Report : l’activation est une opération à l’échelle du tenant, sans retour arrière documenté.
- Impact
- administrateurs Intune cumulant des affectations de rôles avec des permissions différentes dans une même catégorie, sur plusieurs scope tags.
- Action
- générer le rapport d’impact, corriger les délégations nécessaires et faire valider les droits attendus avant toute activation.
- Statut
- À planifier
Ce qui change dans le calcul des droits
Dans le comportement historique décrit par Microsoft, les permissions d’une même catégorie peuvent être fusionnées entre plusieurs affectations. Un groupe disposant de la lecture des applications au siège et de droits complets en agence peut ainsi obtenir des droits complets dans les deux périmètres.
Avec Scoped permissions, chaque affectation conserve ses permissions dans le contexte de son scope tag. Le changement peut donc retirer des droits dont certains administrateurs disposaient effectivement, même s’ils n’étaient pas souhaités initialement.
L’annonce figure dans les nouveautés de la semaine du 26 octobre 2026. Le guide détaillé conserve toutefois le libellé « opt-in public preview », introduit en mars. La GA est explicitement annoncée par le journal ; elle ne prouve ni l’activation automatique dans votre tenant ni un changement des modalités de bascule. La procédure consultée exige toujours une activation volontaire et irréversible.
Préparer la bascule sans l’utiliser comme test
Dans Tenant administration > Roles > Settings, sélectionner Generate Report. Le rapport compare Old Permissions et New Permissions, par groupe, rôles, scope tag et ressource. Il peut être régénéré et exporté vers Excel.
Pour chaque réduction, faire préciser au responsable du périmètre si elle rétablit la délégation voulue ou empêche une tâche légitime. Corriger les affectations avant la bascule, puis régénérer le rapport. Les groupes vides et ceux non affectés par la fusion ne sont pas inclus : l’absence d’une ligne n’est pas un inventaire complet des droits.
PatchFactory recommande de préparer une matrice courte de contrôles : avec des comptes délégués représentatifs, vérifier la lecture et la modification d’objets de test dans les périmètres autorisés, ainsi que le refus d’une modification dans un périmètre limité à la lecture. Après activation approuvée en interne, comparer ces résultats aux droits attendus avant d’étendre les usages opérationnels.
Ne pas activer le bouton pour « voir ce que cela donne ». La documentation avertit que l’action ne peut pas être annulée. Si une tâche manque ensuite, réexaminer l’affectation concernée plutôt que supposer qu’un retour au comportement fusionné est possible.
Enfin, Intune RBAC ne limite pas les rôles Microsoft Entra : un compte disposant du rôle Entra Intune Administrator ne constitue pas un bon témoin pour vérifier une délégation restreinte.
Les mises à jour de service Intune sont déployées progressivement. Vérifier la disponibilité dans votre tenant ; cette veille ne constate pas un déploiement universel.