[Intune] Actions Requises ! Modification des stratégies de protection applicatives (MAM/APP)

Microsoft a annoncé la fin prochaine du support du paramètre historique "Target to apps on all device types" (Cibler les applications sur tous les types d'appareils) au sein des stratégies de protection d'application Intune (App Protection Policies - APP). Ce paramètre historique sera remplacé par les filtres d'attribution (assignment filters). Cette fin de support prendra effet à partir du 11 janvier 2027, ou peu après.

L'utilisation du paramètre de ciblage historique peut prendre le pas sur les filtres d'attribution, ce qui peut entraîner un comportement de ciblage des stratégies ne correspondant pas aux attentes des administrateurs.

Important : pour éviter tout écart dans l'application des stratégies, il ne faut pas supprimer ou désactiver la configuration de ciblage historique avant que le nouveau filtre d'attribution n'ait été assigné à la stratégie.

Impact sur votre organisation

Les télémétries de Microsoft indiquent que le paramètre historique "Target to apps on all device types" est actuellement configuré dans certains tenants. Une fois le support de ce paramètre historique terminé, celui-ci ne s'appliquera plus. Les stratégies qui n'auront pas été migrées exclusivement vers des filtres d'attribution peuvent alors présenter des écarts de ciblage ou d'application.

À noter : si l'appareil est géré en MDM par un service tiers ou partenaire, les filtres d'attribution d'applications gérées ne pourront pas être mis en correspondance avec les types de gestion les plus granulaires.

Ce que vous devez faire pour vous préparer

Avant ce changement, afin d'éviter toute interruption dans le ciblage des stratégies, il convient de suivre les étapes suivantes, dans l'ordre, pour basculer vers les filtres d'attribution :

1. Passer en revue les stratégies APP existantes. Les stratégies pour lesquelles "Target to apps on all device types" est défini sur "No" utilisent la configuration de ciblage historique et doivent être migrées vers des filtres d'attribution :
   • Accédez au centre d'administration Intune > Apps > Protection pour éditer les stratégies APP existantes.
   • Sélectionnez une stratégie existante afin de vérifier si elle utilise un paramètre historique.
   • Dans le volet Intune App Protection, sélectionnez Properties.
   • Dans la section Apps, si "Target to apps on all device types" est défini sur "No", passez à l'étape 2. Si le paramètre est défini sur "Yes", aucune action n'est requise pour cette stratégie : revenez à Apps > Protection pour examiner les autres stratégies.
     
2. Créer un filtre d'attribution "Managed apps" en utilisant la propriété app.deviceManagementType reflétant le comportement de ciblage souhaité. Par exemple : (app.deviceManagementType -eq "Automated Device Enrollment user-associated devices"). Microsoft recommande également de créer et d'utiliser un filtre incluant (app.deviceManagementType -ne "Unmanaged") afin de garantir que le filtre ne s'applique qu'aux appareils gérés.
   • Si votre stratégie historique était configurée pour cibler les appareils iOS/iPadOS "Managed", votre nouveau filtre d'attribution doit inclure :
     • Managed
     • Automated Device Enrollment user-associated devices
     • Automated Device Enrollment userless devices
     • Account Driven User Enrollment
     • Device Enrollment with Company Portal and Web Enrollment
   • Si votre stratégie historique était configurée pour cibler les appareils Android "Android Enterprise", votre nouveau filtre d'attribution doit inclure tous les types d'appareils Android pertinents ci-dessous :
     • Corporate-owned dedicated devices with Entra ID Shared mode
     • Corporate-owned dedicated devices without Entra ID Shared mode
     • Corporate-owned with work profile
     • Corporate-owned fully managed
     • Personally-owned work profile
       
       
       Le filtre doit être adapté à votre stratégie
3. Assigner le filtre à la stratégie existante tout en conservant la configuration de ciblage historique active. Cela permet d'éviter tout changement involontaire dans le ciblage de groupes et les assignations de stratégies :
   • Dans le volet de la stratégie Intune App Protection, sélectionnez Properties.
   • Dans la section Assignments, sélectionnez "Edit".
   • Dans la section Included group, sélectionnez "Edit Filter" > "Include filtered devices in assignment" et choisissez le filtre Managed apps précédemment créé.
   • Vérifiez et enregistrez vos modifications.
     
     
     
4. Supprimer la configuration de ciblage historique. Une fois la bonne configuration du filtre d'attribution confirmée, mettez à jour le paramètre historique de la stratégie pour cibler All device types. Les filtres d'attribution deviendront alors le mécanisme de ciblage principal, et le paramètre historique ne sera plus visible ni modifiable dans le centre d'administration.
   Dans les propriétés, éditez la section Apps puis changer Target to app on all devices types à Yes.
   
5. Répéter les étapes 1 à 4 pour chaque stratégie APP Intune de votre tenant.
6. Surveiller le déploiement des stratégies afin de valider leur bonne application et leur conformité après le changement.

Plus d'informations sur la création d'un filtre dans la documentation Microsoft Intune.