Autopilot Device Preparation devient le standard, Hybrid Join reste à la traîne

Microsoft a désigné Autopilot Device Preparation en septembre comme méthode recommandée pour les déploiements Windows en mode user-driven. Le nouveau modèle est plus simple à mettre en œuvre et fonctionne de manière plus fiable, mais ne prend en charge que l'Entra Join. Les organisations qui déploient encore de nouveaux appareils en Hybrid Join devraient y prêter attention, car cette limitation est plus lourde de conséquences que le choix de l'outil de provisioning.

L'essentiel en bref

• Nouvelle recommandation : Microsoft recommande Autopilot Device Preparation depuis septembre pour les enrollments en mode user-driven, car les déploiements s'effectuent ainsi plus rapidement et de façon plus fiable.
• Entra Join uniquement : Device Preparation prend exclusivement en charge Entra Join ; Hybrid Join n'est pas prévu dans le nouveau modèle.
• Pas de migration sur place : Microsoft ne propose aucune procédure supportée pour convertir un appareil en Hybrid Join vers Entra Join sans reset. Ceux qui déploient de nouveaux appareils en Hybrid Join aujourd'hui devront les reprovisioner ultérieurement ou resteront dépendants de la technologie on-premises pendant un autre cycle matériel.
• Pas de date de fin de vie : L'Autopilot classique et Device Preparation coexisteront pour une durée indéterminée.
• Notre recommandation : Le type de join est déterminant, pas l'outil. Pour les nouveaux appareils, nous continuons d'utiliser l'Autopilot classique avec Entra Join, car les fabricants et revendeurs peuvent ainsi enregistrer les appareils avant la livraison. Device Preparation n'offre pas encore cette approche zero-touch.

Source : Microsoft Learn, Compare Windows Autopilot device preparation and Windows Autopilot

Ce que Microsoft a annoncé

Mi-septembre, Microsoft a décrit dans le blog Intune Customer Success comment s'effectuera la transition de Windows Autopilot classique vers Device Preparation. Le message est clair : pour les déploiements user-driven, Device Preparation est désormais la méthode recommandée.

La technologie elle-même n'est pas nouvelle : Device Preparation existe depuis 2024 comme variante entièrement repensée d'Autopilot, plus simple, plus fiable, et offrant une visibilité quasi en temps réel des déploiements. Jusqu'à récemment, il manquait cependant un élément : avant la première connexion, l'appareil ne savait pas à quel tenant il appartenait. Cette lacune est comblée depuis fin août par la Device Association. Elle permet d'associer un appareil Windows à votre tenant avant même le déploiement ; l'appareil est alors automatiquement reconnu comme appareil d'entreprise, reçoit un nom prédéfini et une Out-of-Box-Experience personnalisée, avant même que l'utilisateur ne termine la configuration.

La migration n'est pas urgente. L'Autopilot classique et Device Preparation coexistent dans le même tenant, mais chaque appareil n'utilise qu'un seul des deux modèles. Si un appareil est à la fois enregistré pour Autopilot et associé via Device Association, l'association est prioritaire.

Une seule stratégie au lieu de quatre blocs

L'Autopilot classique repose sur des profils de déploiement, une Enrollment Status Page, des Group Tags et des groupes dynamiques. Device Preparation se gère avec une seule stratégie de provisioning qui définit ce qui se passe pendant l'Out-of-Box-Experience (OOBE), des paramètres de l'appareil aux applications et scripts, en passant par le nom de l'appareil. Concrètement :

• Affectations plus rapides : Lors de l'enrollment, les appareils rejoignent immédiatement un groupe Entra statique via l'Enrollment Time Grouping. Les applications et scripts affectés à ce groupe sont disponibles sans délai pendant le provisioning, sans attendre l'évaluation des groupes dynamiques.
• Séparation claire des phases : Pendant le provisioning, seuls les paramètres liés à l'appareil et les applications réellement nécessaires sont déployés. Tout ce qui concerne l'utilisateur suit dès que le bureau est disponible, ce qui réduit la durée de la configuration initiale et limite les risques d'erreur.
• Meilleur reporting : Chaque déploiement est visible quasi en temps réel, avec nettement plus de détails qu'avec l'Autopilot classique, ce qui facilite sensiblement la résolution des problèmes.

Device Preparation ne connaît que l'Entra Join

Device Preparation ne prend en charge que l'Entra Join. Hybrid Join n'est pas prévu dans la nouvelle architecture, et rien dans les annonces de Microsoft ne laisse penser que cela changera. L'Autopilot classique supporte toujours Hybrid Join, mais l'orientation de Microsoft vise clairement des déploiements sans contrôleur de domaine. Microsoft Learn le formule désormais explicitement :

« Microsoft recommends deploying new devices as cloud-native using Microsoft Entra join. Deploying new devices as Microsoft Entra hybrid join devices isn't recommended … »

Ceux qui ont utilisé Hybrid Join avec Autopilot connaissent les contraintes : pendant le provisioning, l'appareil doit pouvoir atteindre un contrôleur de domaine, l'Intune Connector for Active Directory doit être disponible et fonctionnel, et les stratégies de groupe s'exécutent en parallèle d'Intune. Ce sont précisément ces dépendances qui provoquent la plupart des échecs ou des blocages de déploiement. Pour nous, Hybrid Join a toujours été une solution transitoire, jamais un objectif.

Un appareil joint à Entra n'a besoin, lors de sa configuration, que d'une connexion Internet. La configuration, les applications, les mises à jour et les stratégies de conformité transitent intégralement par Intune, et l'accès aux ressources d'entreprise est géré par le Conditional Access. C'est cohérent avec un monde du travail qui se déroule de plus en plus en dehors du réseau d'entreprise, en télétravail, en déplacement ou entre les deux.

Chez nous, ce principe s'appelle depuis des années le « Starbucks Deployment », et dès 2019 nous avons été récompensés pour cela par le Microsoft Global Modern Desktop Partner of the Year Award.

De Hybrid Join à Entra Join, la voie passe par un reset

Un point est déterminant pour la planification : convertir un appareil en Hybrid Join vers Entra Join sur une voie supportée nécessite un reset. Chaque appareil déployé aujourd'hui en Hybrid Join devra donc être reprovisioné pour passer à Entra Join.

Cela peut sembler contraignant, mais en pratique la transition se planifie de façon ordonnée. Le scénario le plus fréquent consiste à s'appuyer sur le cycle de renouvellement matériel : les nouveaux appareils arrivent directement avec Entra Join, tandis que les appareils en Hybrid Join sont progressivement remplacés. Les organisations qui souhaitent migrer vers le cloud plus rapidement remettent en outre à neuf leurs appareils existants par vagues avec Entra Join.

Pourquoi nous recommandons quand même l'Autopilot classique

Nous ne recommandons pas encore de migrer vers Device Preparation. Pour les nouveaux appareils, nous préconisons toujours l'Autopilot classique, mais résolument avec Entra Join.

La raison principale est l'intégration avec les fabricants et revendeurs. Avec l'Autopilot classique, l'OEM ou le revendeur enregistre l'appareil directement dans votre tenant avant l'expédition. L'appareil est livré directement aux collaborateurs, affiche votre branding au premier démarrage et se configure tout seul, sans intervention de l'IT.

Pour la Device Association, vous devez actuellement lire les informations de l'appareil localement et les télécharger manuellement dans Intune. Cette approche convient bien pour le staging en entrepôt, les déploiements avec techniciens ou les déploiements internes, mais pas pour la livraison directe aux utilisateurs. Microsoft a annoncé que les OEM et partenaires pourront à terme associer des appareils en amont, sans préciser de calendrier.

S'y ajoutent des scénarios que Device Preparation ne couvre pas encore entièrement :

• Pre-Provisioning : Un partenaire installe des applications et applique des stratégies avant la livraison, de sorte que les collaborateurs démarrent avec un appareil quasiment prêt à l'emploi.
• Self-Deploying Mode : Appareils kiosque et partagés déployés sans connexion utilisateur.
• Options de provisioning étendues : Davantage d'applications pendant la configuration et possibilité de verrouiller le bureau jusqu'à ce que la configuration utilisateur nécessaire soit terminée.
• Scénarios d'appareils spécifiques : Teams Rooms et gestion du firmware via DFCI.

Dès que les fabricants et revendeurs pourront associer des appareils pour Device Preparation en amont, nous réévaluerons notre recommandation. La stratégie sous-jacente ne change pas pour autant : quiconque planifie un nouveau déploiement aujourd'hui le planifie avec Entra Join. Une migration ultérieure de l'Autopilot classique vers Device Preparation ne concernera alors que le processus de provisioning des nouveaux appareils, et non le modèle de gestion, la plateforme d'identité ou l'architecture des appareils.

« Sans Domain Join, nos appareils ne fonctionnent pas »

C'est une phrase que nous entendons souvent. La technologie derrière Entra Join est mature et éprouvée, et lorsque des problèmes surgissent, ils ne viennent que rarement d'Entra Join lui-même, mais de dépendances, de processus et d'hypothèses qui se sont accumulés autour d'Active Directory au fil des années.

• Stratégies de groupe : De nombreuses organisations ont bien plus de GPO qu'elles n'en ont besoin, et d'après notre expérience, une part significative d'entre elles n'a plus aucun effet. Avec notre blueprint, les clients Entra démarrent en quelques minutes sur une baseline éprouvée et flexible que nous exploitons intégralement sous forme d'Infrastructure as Code dans Managed Intune et que nous maintenons continuellement à jour.
• Accès aux ressources on-premises : Les serveurs de fichiers, imprimantes et applications web internes restent accessibles aux appareils joints à Entra. Dès que l'appareil peut atteindre un contrôleur de domaine, il obtient des tickets Kerberos et s'authentifie en single sign-on auprès des ressources on-premises, via Windows Hello for Business avec Cloud Kerberos Trust. Ces scénarios doivent néanmoins toujours être testés avec de vrais utilisateurs et de vraies applications métier.
• Certificats et accès réseau : L'authentification réseau et VPN repose souvent sur des certificats machine issus d'une CA on-premises, vérifiés par un Network Policy Server (NPS). Pour les appareils joints à Entra, Intune distribue les certificats, par exemple via Microsoft Cloud PKI ou SCEPman, et l'authentification réseau est assurée par une solution RADIUS cloud-native telle que RADIUSaaS.
• Déploiements d'applications fiables : Lorsque des déploiements Autopilot échouent, c'est généralement dû à des paquets logiciels mal construits ou non maintenus, et non au type de join. C'est pourquoi nous utilisons RealmJoin, notre complément à Intune avec plus de 2 500 applications prêtes à déployer. Quel que soit l'outil, la règle s'applique : lors de la configuration initiale, seules les applications dont les utilisateurs ont réellement besoin le premier jour doivent être installées. Le reste peut être déployé une fois l'appareil en production, ou mis à disposition en libre-service dans le portail Intune Company Portal ou le RealmJoin App Catalog.

Conclusion

Device Preparation ne couvre pas encore tout ce que l'Autopilot classique propose. La direction est néanmoins claire : Microsoft investit dans Entra Join, et Hybrid Join devient de plus en plus un modèle legacy.

Continuer à exploiter les appareils existants en Hybrid Join jusqu'à la fin de leur cycle de vie peut être judicieux, même si cela implique de gérer en parallèle un modèle de gestion moderne et un modèle classique. Déployer de nouveaux appareils en Hybrid Join aujourd'hui, en revanche, vous lie pour un autre cycle matériel à des dépendances on-premises, tandis que Microsoft fait évoluer le provisioning et la gestion pour Entra Join.

Si vous planifiez la migration de Hybrid Join vers Entra Join, si vous avez des difficultés avec vos déploiements Autopilot, ou si vous souhaitez gérer vos appareils Windows entièrement via Intune, nous sommes là pour vous aider.

Sources

• Moving from Windows Autopilot to Windows Autopilot device preparation (Microsoft Tech Community, septembre 2026)
• Introducing device association for Windows Autopilot device preparation (Microsoft Tech Community, août 2026)
• Compare Windows Autopilot device preparation and Windows Autopilot (Microsoft Learn)
• Windows Autopilot device association FAQ (Microsoft Learn)
• Microsoft Entra joined vs. hybrid joined (Microsoft Learn)