PatchFactoryVeille
Menu
← Toutes les publications
Windows 365 · Intune6 min de lecture

Windows 365 for Agents : cadrer la baseline de sécurité Intune avant les premiers pools

Microsoft rend disponible une baseline de sécurité Intune dédiée aux Cloud PCs Windows 365 for Agents. Avant les premiers pools, elle mérite un pilote cadré avec sécurité, exploitation et support.

Impact
Cloud PCs d’agents, Intune et Zero Trust
Action
Cadrer un pilote sécurité
Statut
À planifier

Le signal est encore spécialisé, mais il doit entrer tôt dans la gouvernance endpoint des organisations qui ouvrent des capacités d’automatisation IA. Un Cloud PC d’agent reste un Windows managé qui peut accéder à des applications, des données et des services métier. La baseline Microsoft donne donc un point de départ utile, à condition de la traiter comme une vraie politique de production.

Ce qui change

Fait sourcé : Microsoft indique dans What’s new in Windows 365 for Agents qu’une baseline de sécurité dédiée à Windows 365 for Agents est généralement disponible dans Microsoft Intune depuis la semaine du 24 août 2026. La même page précise que les mises à jour mensuelles du service peuvent prendre jusqu’à une semaine pour atteindre tous les clients.

La page Windows 365 for Agents Security Baseline, mise à jour le 29 août 2026, décrit une baseline destinée aux Cloud PCs for Agents. Elle regroupe des configurations recommandées par Microsoft autour de Microsoft Defender Antivirus, Microsoft Defender Firewall, Attack Surface Reduction, protection des identifiants, sécurité navigateur et durcissement du système d’exploitation.

Point important : Microsoft la présente comme une configuration centrée appareil. Les paramètres sont device-based, pas user-based, afin que les contrôles puissent s’appliquer dès le provisionnement et l’enrôlement Intune, sans attendre la connexion de l’agent.

Qui est concerné

Sont concernés les tenants qui testent ou préparent Windows 365 for Agents, Agent 365, Copilot Studio computer use, Project Opal, Researcher Computer Use ou d’autres scénarios où un agent exploite un Cloud PC managé pour exécuter des tâches.

Fait sourcé : Microsoft documente que les Cloud PCs for Agents sont Microsoft Entra joined et enrôlés dans Intune. Pour Agent 365, une provisioning policy agents représente un pool de Cloud PCs : l’administrateur choisit notamment le plan de facturation, le nombre de Cloud PCs toujours disponibles, la géographie, les agents assignés, l’image, puis les paramètres Windows et, optionnellement, un groupe Entra ou un profil Autopilot device preparation.

Les Cloud PCs créés depuis ces policies apparaissent dans Intune avec un préfixe de nom CPCA-, un modèle Cloud PC for Agents, et un nom de profil d’enrôlement qui correspond au nom de la provisioning policy. Microsoft indique aussi que les pools créés depuis d’autres portails de solutions agentiques apparaissent comme policies en lecture seule côté Intune.

Impact opérationnel

Analyse PatchFactory : la baseline ne remplace pas une conception de sécurité. Elle doit être pilotée comme une politique Intune de production : périmètre d’affectation explicite, exceptions justifiées, conflits surveillés et validation applicative avant généralisation.

Le risque principal est d’aller trop vite parce que le poste paraît virtuel ou temporaire. Microsoft décrit pourtant des agents qui peuvent interagir avec des applications d’entreprise, des données métier, des ressources organisationnelles et des services externes. Même si le Cloud PC est remis à disposition après session, la surface d’exécution reste un environnement Windows managé avec navigateur, réseau, Defender, politiques Intune, accès conditionnel et audit.

La référence de paramètres montre que la version 24H1 contient des réglages de durcissement concrets : désactivation du serveur SMBv1, durcissement UNC pour SYSVOL et NETLOGON, restrictions UAC pour les comptes locaux sur connexions réseau, Remote Assistance sollicitée désactivée, tailles de journaux, règles Defender et ASR, pare-feu activé, protections SmartScreen et paramètres Microsoft Edge. Ces valeurs sont saines comme socle, mais certaines peuvent casser un connecteur interne, une extension navigateur, un outil hérité ou un scénario d’automatisation mal inventorié.

Actions recommandées

  • Créer un groupe ou un filtre Intune dédié aux Cloud PCs for Agents avant tout déploiement de baseline, en s’appuyant sur le préfixe CPCA-, le modèle Cloud PC for Agents ou le nom du profil d’enrôlement/provisioning policy.
  • Déployer Windows 365 for Agents Security Baseline Version 24H1 sur un petit pool de test, puis contrôler l’état d’application Intune, les conflits de paramètres et le fonctionnement réel des scénarios agentiques.
  • Inclure dans le pilote l’ouverture des applications cibles, la navigation Edge attendue, les flux réseau nécessaires, les extensions ou connecteurs, les contrôles Defender et les règles ASR potentiellement bloquantes.
  • Associer l’équipe sécurité dès le pilote : Defender, ASR, navigateur, accès conditionnel, journalisation, Purview et exceptions doivent être arbitrés avec elle, pas seulement par l’équipe qui crée les pools.
  • Documenter tout écart à la baseline Microsoft avec workload, justification, propriétaire, date de revue et critère de retour à la valeur recommandée.

Échéances et points de vigilance

Fait sourcé : les pages Microsoft consultées indiquent des mises à jour récentes : 27 août 2026 pour la référence des paramètres, 28 août 2026 pour le journal des nouveautés et la vue sécurité, 29 août 2026 pour la page de baseline, et 18 août 2026 pour les pages de gestion Intune des Cloud PCs for Agents.

À surveiller : les profils de baseline Intune sont versionnés. La documentation Intune précise qu’une nouvelle version peut rendre les profils existants en lecture seule côté paramètres et nécessiter une mise à jour vers la version courante. Pour un service encore jeune, prévoir une revue régulière de la baseline est plus prudent qu’une création unique oubliée après le pilote.

Sources