Intune septembre 2026 : Deployment Plans en preview et compliance réévaluée côté client Windows

Microsoft continue encore et toujours de faire évoluer rapidement Intune (pour mon plus grand plaisir), et les deux dernières mises à jour apportent deux fonctionnalités particulièrement intéressantes pour nous : 

• Les Deployment Plans pour déployer progressivement les applications et politiques de configuration.
• La réévaluation des politiques de conformité déclenchée directement par le client Windows.  

Deux fonctionnalités qui répondent finalement à deux problématiques très concrètes :  

• Eviter les déploiements trop brutaux en mettant en place des rings.
• Réduire le délai entre un changement de sécurité sur un poste et sa prise en compte par Intune. 

Voici ce qu’il faut retenir de ces deux annonces :  

Les deployment plans 

Cette nouveauté publiée le 21 septembre 2026 dernier est probablement celle qui retiendra le plus notre attention.  

Microsoft introduit les Deployment Plans. 

L’objectif est simple : ne plus être obligé de déployer une application ou une stratégie à toute une population en une seule fois ou de revenir manuellement dessus pour faire notre déploiement par lots.  

Intune permet désormais de mettre en place des déploiements progressifs à travers plusieurs rings. 

Cette fonctionnalité concerne notamment :

• Les applications Win32  
• Les applications Enterprise App Catalog  
• Les stratégies Settings Catalog  
• Les stratégies Endpoint Security

Les déploiements peuvent être pilotés depuis un nouveau menu « Deployments » dans le centre d’administration Intune / Rubrique Windows.  

Le concept est relativement proche de ce que beaucoup d’ingénieurs ont déjà mis en place coté Windows Update for Business.  

Avant, vous deviez créer plusieurs groupes Entra ID puis gérer vous-même manuellement la progression. Maintenant, avec les deployment plans, Intune apporte désormais une expérience native permettant de gérer cette logique de déploiement progressif et réutilisable.  

Les deployment plans répondent à plusieurs problématiques classiques de la gestion de poste de travail Windows :

• Réduire le risque en offrant un payload (application Win32 ou policy) progressivement, plutôt qu’à toute la population d’un coup. 
• Standardiser les pratiques de rollout au sein de l’organisation grâce à des plans réutilisables, garantissant que chaque déploiement suit un schéma validé. 
• Réduire la charge administrative : plus besoin de recréer manuellement les assignations multi-anneaux à chaque nouveau déploiement. 
• Rendre le comportement prévisible en donnant un contrôle précis sur le moment où un payload est proposé aux appareils, anneau par anneau. 

La fonctionnalité repose sur deux briques complémentaires : 

• Les deployment plans : des templates réutilisables définissant un schéma de rollout standardisé (anneaux, groupes, délais). 
• Les déploiements en eux mêmes : le mécanisme d’exécution qui livre effectivement un payload spécifique aux appareils en suivant le plan. 

Comment ça fonctionne ? 

Étape 1 : Créer un deployment plan :

Cela définit : 

• La plateforme cible (un OS spécifique, ou « Toutes les plateformes » pour plus de flexibilité). 
• Les anneaux avec leurs groupes d’assignation et filtres associés. 
• Les groupes d’exclusion, appliqués à tous les anneaux du plan. 
• Les groupes virtuels « Tous les utilisateurs » / « Tous les appareils » : s’ils sont utilisés, l’anneau qui les contient devient automatiquement le dernier anneau, et ne peut pas être combiné avec des groupes de sécurité Entra dans le même anneau. 
• Le délai de report (jours/heures) entre chaque anneau. 
• Eventuellement des scope tags pour la délégation administrative. 

Un plan ne contient jamais de payload, il définit uniquement la structure du rollout, réutilisable pour différents déploiements. Une fois votre plan créer, il ressemblera à cet exemple : 

Étape 2 : Créer un déploiement 

Un déploiement associe un plan à un payload : 

• Applications ou policies actuellement supportées en préversion : configuration profiles (setting catalog, security…), applications Windows (Win32), le tout limité à Windows. 
• Un délai minimum d’une heure est requis entre deux anneaux. 
• Une fois créé, le nom et la description du déploiement restent modifiables, mais le payload, les anneaux, le planning et les scope tags sont figés. 
• Le déploiement peut être mis en pause, repris ou annulé à tout moment. 
• Optionnel : vous pouvez créer votre deployment schedule directement dans un déploiement sans passer par un plan. 

Une fois votre déploiement créer, il ressemblera à cet exemple, vous trouverez les boutons d’action sur le haut (Pause etc) : 

Point important à savoir :

• Les assignations Required sur le payload s’accumulent au fil de l’activation des anneaux. Chaque nouvel anneau ajoute ses groupes à l’assignation déjà en place, sans retirer les précédents, jusqu’à l’anneau final qui, s’il utilise un groupe virtuel (Par exemple : All Devices), remplace tous les groupes Required précédents (les exclusions, elles, restent conservées). 
• Un payload ne peut être ciblé que par un seul déploiement actif ou planifié à la fois. 

Avec les Deployment Plans, Microsoft apporte enfin dans Intune une approche native du déploiement progressif sur la partie Application et configuration. Pour les environnements importants, c’est une évolution particulièrement intéressante : on réduit le risque d’un déploiement généralisé tout en conservant une logique de pilotage et de validation entre les différents rings. 

Faster compliance updates for Windows devices

La deuxième nouveauté importante a été publiée la semaine du 14 septembre 2026. 

Avec cette évolution, Windows peut désormais déclencher une réévaluation de la conformité lorsqu’un état de sécurité change, par exemple après l’activation de Defender, du pare-feu, de BitLocker ou de Secure Boot. L’objectif est de réduire le délai entre la correction réelle du poste et la mise à jour de son état dans Intune. C’est particulièrement intéressant avec Conditional Access : lorsqu’un poste redevient conforme, Intune peut prendre en compte plus rapidement ce nouvel état, sans devoir attendre uniquement le prochain cycle de vérification. Cette évolution renforce également les scénarios de Remediations, en permettant d’enchaîner plus efficacement détection, correction et réévaluation de la conformité. 

Pour cette partie-là, vous n’avez rien à faire tout est automatique coté Intune, Back end et Windows.

Crédit : https://patchmypc.com/blog/intune-client-driven-compliance-evaluation-for-windows-devices/#post-gallery-2