Si tu gères le parc de postes de ton organisation avec Microsoft Intune, l’été 2026 a changé la donne sans que tu aies eu grand-chose à faire : une bonne partie des fonctionnalités jusque-là vendues en add-on payant a migré directement dans tes licences Microsoft 365 E3 et E5. À côté de ça, Windows Autopatch a basculé le hotpatching en activé par défaut, et Intune continue d’élargir son périmètre sur Linux et Android. Voici ce qui a changé concrètement, et ce que ça implique pour ta feuille de route.
L’Intune Suite arrive dans tes licences M365, sans coût supplémentaire
Jusqu’ici, les fonctionnalités avancées de gestion des terminaux (Remote Help, Advanced Analytics, Endpoint Privilege Management…) nécessitaient l’add-on payant Intune Suite. Depuis l’été 2026, Microsoft les intègre progressivement dans les abonnements Microsoft 365 E3 et E5 existants.
Le partage entre les deux niveaux n’est pas identique :
- Microsoft 365 E3 reçoit Intune Plan 2 (Microsoft Tunnel, mises à jour firmware over-the-air, gestion des terminaux spécialisés), Remote Help et Advanced Analytics.
- Microsoft 365 E5 reçoit l’intégralité de l’Intune Suite, avec en plus les trois capacités premium qui restent exclusives à E5 : Endpoint Privilege Management (élévation de privilèges à la demande, sans compte admin permanent), Enterprise App Management, et Cloud PKI.
Le déploiement s’est fait progressivement entre juin et début août 2026, avec un préavis de 30 jours dans le centre d’administration avant le provisionnement automatique de chaque tenant — aucune action manuelle n’était nécessaire pour recevoir les entitlements. Deux points de vigilance si ce n’est pas encore fait de ton côté :
- Nettoyage des licences : si ton organisation payait déjà l’add-on Intune Suite en standalone, vérifie que tu ne payes pas en double à ton prochain renouvellement.
- Mise en service réelle : recevoir l’entitlement ne veut pas dire que la fonctionnalité est configurée. Endpoint Privilege Management en particulier change la façon dont tu gères les droits admin sur les postes — ça mérite une vraie phase de conception avant activation en masse, pas juste un clic dans le centre d’administration.
Windows Autopatch : le hotpatching passe en activé par défaut
Depuis la mise à jour de sécurité de mai 2026, les mises à jour hotpatch sont activées par défaut pour tous les appareils éligibles gérés via Windows Autopatch. Le principe : les correctifs de sécurité s’installent plus vite et avec beaucoup moins de redémarrages qu’une mise à jour cumulative classique, ce qui réduit la fenêtre d’exposition entre la sortie du correctif et son application effective sur le parc.
Si ton organisation n’est pas prête pour ce changement, deux options de désactivation existent, disponibles depuis le 1er avril 2026 dans le centre d’administration Intune :
- un réglage au niveau du tenant, qui désactive le hotpatching pour l’ensemble des appareils éligibles ;
- une stratégie de mise à jour qualité, qui permet de contrôler le comportement pour un groupe d’appareils spécifique — cette stratégie a priorité sur le réglage tenant pour les appareils qu’elle cible.
Autopatch update readiness : un tableau de bord unifié
Toujours côté Autopatch, la fonctionnalité update readiness centralise le suivi des mises à jour Windows sur l’ensemble des appareils, qu’ils soient gérés directement par Intune ou inscrits dans un groupe Windows Autopatch. Tu retrouves en un seul tableau de bord le parcours de mise à jour de chaque appareil, des alertes centralisées sur les échecs et conflits de stratégie, un vérificateur de préparation qui signale les appareils à risque (espace disque, compatibilité), et la possibilité de déclencher une réinstallation de l’OS à distance pour réparer les appareils bloqués. De quoi limiter les allers-retours de diagnostic manuel quand une campagne de mise à jour cale sur une partie du parc.
Linux et Android : le périmètre de gestion continue de s’élargir
Deux évolutions à noter si ton parc dépasse le seul Windows :
Côté Linux, Intune supporte désormais RHEL 9 LTS et RHEL 10 LTS. Le support de RHEL 8 LTS prend fin en juillet 2026 — les appareils déjà inscrits en RHEL 8 restent gérés, mais il vaut mieux planifier la bascule des postes restants plutôt que d’attendre une rupture de support.
Côté Android, Intune finalise sa migration vers l’Android Management API de Google pour les appareils personnels en mode profil professionnel (BYOD). Concrètement, ça apporte un enrôlement web sans installation d’application dédiée, et une nouvelle implémentation de la distribution des stratégies alignée avec ce qui existe déjà pour les appareils corporate. La migration se pilote par groupes ciblés plutôt qu’en bascule globale, ce qui te laisse la main sur le rythme.
Comment préparer ta feuille de route
- Vérifie dans le centre d’administration Microsoft Intune quelles licences Intune Suite ton tenant a effectivement reçues, et compare avec ce que tu payais déjà en add-on.
- Si tu es sur Windows Autopatch et que le hotpatching par défaut ne convient pas à ton contexte (applications sensibles au redémarrage, contraintes de test), configure le réglage tenant ou une stratégie de mise à jour qualité avant la prochaine campagne.
- Si Endpoint Privilege Management t’intéresse, commence par un pilote sur un groupe restreint : le changement de modèle (fin des comptes admin permanents) demande un accompagnement utilisateur, pas juste un déploiement technique.
- Recense tes postes RHEL 8 restants si applicable, et planifie leur migration avant que le manque de support ne devienne un problème de sécurité.
Ces changements de gestion des terminaux s’articulent naturellement avec tes politiques d’accès conditionnel : plus la conformité des appareils remonte finement dans Intune, plus tes règles dans Entra ID peuvent s’appuyer dessus. Si tu n’as pas encore revu tes règles suite au changement d’enforcement de l’accès conditionnel de juin 2026, c’est le bon moment de faire les deux en même temps.
FAQ
Dois-je faire une demande pour recevoir les nouvelles licences Intune Suite ?
Non. Le provisionnement s’est fait automatiquement pour les tenants disposant de licences Microsoft 365 E3 ou E5, avec un préavis de 30 jours affiché dans le centre d’administration avant l’activation. Si ton déploiement n’a pas encore eu lieu, vérifie l’état dans le centre d’administration Microsoft 365 plutôt que d’ouvrir un ticket support.
Le hotpatching remplace-t-il complètement les mises à jour cumulatives classiques ?
Non, il s’y ajoute en alternance : les hotpatchs couvrent les mois intermédiaires sans redémarrage lourd, tandis que les mises à jour cumulatives de référence (baseline) restent appliquées périodiquement selon le cycle Windows Autopatch.
Que se passe-t-il pour mes appareils RHEL 8 après juillet 2026 ?
Ils restent inscrits et gérés, mais ne bénéficient plus des correctifs et évolutions associés au support LTS. Migrer vers RHEL 9 ou 10 reste recommandé dès que possible plutôt que de laisser ces postes sur une version non supportée.
En résumé
2026 aura été une année de simplification côté licences Intune (Suite intégrée dans E3/E5) et de durcissement côté exploitation (hotpatching par défaut, meilleure visibilité sur la préparation aux mises à jour). Rien de tout ça n’exige une action dans l’urgence, mais chaque point mérite une vérification de ton côté : les licences que tu payes peut-être encore en double, le comportement de mise à jour que tu n’as peut-être pas choisi, et le périmètre Linux/Android qui s’est élargi pendant que tu avais le dos tourné.
Laisser un commentaire