PatchFactoryVeille
Menu
← Toutes les publications
Intune · Conformité6 min de lecture

Intune : la conformité Windows 11 migre vers Microsoft Azure Attestation en 2027

Microsoft annonce que l'évaluation de conformité Windows Health Attestation des appareils Windows 11 gérés par Intune migrera automatiquement de Device Health Attestation vers Microsoft Azure Attestation au premier semestre 2027. Les parcs concernés doivent surtout vérifier leurs règles proxy, pare-feu et inspection TLS pour éviter des bascules en non-conformité sur les politiques qui contrôlent BitLocker, Secure Boot ou Code Integrity.

Impact
appareils Windows 11 gérés par Microsoft Intune avec au moins un paramètre de conformité Device health activé : Require BitLocker, Require Secure Boot ou Require code integrity.
Action
inventorier ces politiques de conformité, identifier la région du tenant Intune, autoriser les endpoints Microsoft Azure Attestation correspondants en HTTPS/443 sans inspection SSL, puis tester la remontée de conformité depuis des réseaux représentatifs.
Statut
À planifier

Classement : À planifier

Résumé : Microsoft annonce que l'évaluation de conformité Windows Health Attestation des appareils Windows 11 gérés par Intune migrera automatiquement de Device Health Attestation vers Microsoft Azure Attestation au premier semestre 2027. Les parcs concernés doivent surtout vérifier leurs règles proxy, pare-feu et inspection TLS pour éviter des bascules en non-conformité sur les politiques qui contrôlent BitLocker, Secure Boot ou Code Integrity.

Impact : appareils Windows 11 gérés par Microsoft Intune avec au moins un paramètre de conformité Device health activé : Require BitLocker, Require Secure Boot ou Require code integrity.

Action : inventorier ces politiques de conformité, identifier la région du tenant Intune, autoriser les endpoints Microsoft Azure Attestation correspondants en HTTPS/443 sans inspection SSL, puis tester la remontée de conformité depuis des réseaux représentatifs.

Statut : À planifier.

Ce qui change

Microsoft a publié le 17 septembre 2026 dans le Windows message center une annonce intitulée Intune: Windows Health Attestation Migration to Microsoft Azure Attestation. Le changement est prévu pour le premier semestre 2027 : les appareils Windows 11 gérés par Intune qui utilisent l'évaluation de conformité Windows Health Attestation basculeront automatiquement du service Device Health Attestation actuel vers Microsoft Azure Attestation.

Ce n'est pas une nouvelle option à activer dans une politique de conformité. Le point opérationnel est réseau : Microsoft demande aux administrateurs de revoir les configurations d'accès endpoint, pare-feu et proxy afin d'éviter une interruption de l'évaluation de conformité. La documentation Intune précise que si les endpoints MAA requis sont bloqués, les appareils Windows 11 auxquels s'appliquent des règles de conformité Device health peuvent passer en non-conformité parce qu'ils ne peuvent pas joindre le service d'attestation correspondant à la localisation du tenant.

Le périmètre n'est pas tout Intune. La page des endpoints indique que Windows 10 et les environnements GCC High / DoD continuent d'utiliser l'endpoint DHA existant has.spserv.microsoft.com pour le reporting d'attestation santé et ne sont pas impactés par ce changement. Il ne faut donc pas appliquer la même conclusion aux politiques Windows 10 ou aux tenants gouvernementaux sans confirmation séparée.

Qui est concerné

Le sujet concerne les organisations qui utilisent des politiques de conformité Intune Windows 10 and later avec au moins un contrôle de la section Device health. La documentation Windows compliance settings liste trois contrôles dépendants de l'attestation santé : Require BitLocker, Require Secure Boot to be enabled on the device et Require code integrity.

Le risque est plus élevé dans les environnements où les postes sortent vers Internet via proxy authentifié, inspection TLS, filtrage FQDN strict ou règles différenciées par site. Microsoft indique explicitement que les endpoints MAA doivent être accessibles en HTTPS/443 et que l'inspection SSL ne doit pas être en place pour les endpoints listés. La page des endpoints rappelle aussi que les anciens scripts qui interrogeaient le service Office 365 endpoints ne retournent plus des données Intune suffisamment exactes ; la liste consolidée de la documentation Intune doit rester la référence.

Actions recommandées

Classer le sujet À planifier plutôt qu'en urgence de déploiement. La migration est annoncée pour 2027, mais elle touche un contrôle qui peut conditionner l'accès aux ressources si la conformité Intune alimente l'accès conditionnel. L'objectif est de supprimer le risque réseau avant la bascule automatique, pas de modifier les exigences de sécurité BitLocker, Secure Boot ou Code Integrity sans raison.

Commencer par l'inventaire des politiques. Dans le centre d'administration Intune, identifier les politiques de conformité Windows qui configurent Device health avec BitLocker, Secure Boot ou Code Integrity en Require, puis noter les groupes ciblés et les règles d'accès conditionnel qui consomment l'état de conformité. Le résultat attendu est une liste courte des populations qui pourraient être bloquées si l'attestation ne remonte plus.

Ensuite, identifier la localisation du tenant dans Tenant administration > Tenant status > Tenant details > Tenant location. La documentation Intune sépare les endpoints MAA par région : Amérique du Nord (intunemaape1 à intunemaape6 sur attest.azure.net), Europe (intunemaape7 à intunemaape12) et Asie-Pacifique (intunemaape13, intunemaape17, intunemaape18, intunemaape19). Les FQDN exacts doivent être repris depuis la page Microsoft au moment du changement réseau, car ce type de liste peut évoluer.

Pour le test, utiliser quelques appareils Windows 11 soumis à ces politiques depuis les réseaux réellement utilisés : siège, agences, VPN, Wi-Fi de préparation, réseau invité autorisé ou sortie proxy dédiée. Après ouverture des flux, déclencher une synchronisation Intune et vérifier que les appareils restent conformes pour les paramètres Device health. Un écart doit d'abord être traité comme un problème de connectivité vers MAA ou d'inspection TLS avant de modifier la politique de conformité elle-même.

Points de vigilance

Ne pas confondre Require BitLocker dans Device health avec le contrôle plus générique Encryption of data storage on a device. La documentation Intune précise que Require BitLocker s'appuie sur l'attestation santé et que son état est mesuré au démarrage ; après un chiffrement, un redémarrage peut être nécessaire pour que l'appareil reflète la conformité.

Ne pas présenter la date comme une échéance de fin de support DHA pour tous les usages. L'annonce visible dans le Windows message center donne un calendrier large, premier semestre 2027, et la documentation endpoints consultée conserve des exceptions Windows 10 et GCC High / DoD. Si Microsoft publie ensuite une date de bascule plus précise, l'article pourra être mis à jour avec un plan de validation plus serré.

Sources