Contrôle d'accès basé sur les rôles

Utilisez le contrôle d’accès en fonction du rôle dans le centre d’administration Microsoft Intune pour gérer qui a accès aux ressources de votre organization et ce qu’ils peuvent faire avec ces ressources.

Rôles intégrés

Windows Autopatch permet au contrôle d’accès en fonction du rôle d’utiliser l’accès le moins privilégié pour distribuer et déléguer la gestion des Windows Update dans Microsoft Intune.

Les autorisations définies dans les rôles d’administrateur Windows Autopatch ou de lecteur Windows Autopatch sont utilisées pour gérer les groupes autopatch, les demandes de support, les messages Autopatch et les rapports Autopatch.

Pour gérer les stratégies de mise à jour et les rapports Windows Update, l’autorisation Configuration de l’appareil est requise. Cette autorisation est disponible dans les rôles intégrés tels que les rôles Policy et Profile Manager.

Rôles de gestionnaire de stratégies et de profils

Les rôles De stratégie et gestionnaire de profils incluent des autorisations de configuration d’appareil pour la gestion des stratégies Intune, notamment les stratégies de mise à jour suivantes :

• Anneaux de mise à jour
• Mises à jour qualité
• Mises à jour des fonctionnalités
• Mises à jour du pilote

Administrateur de la mise à jour automatique Windows

Le rôle Administrateur d’autopatch Windows gère tous les aspects de Windows Autopatch :

• Groupes autopatch
• Rapports autopatch
  • Mise à jour de la qualité et des fonctionnalités status et rapports tendances
• Demandes et messages de support

Lecteur Windows Autopatch

Le lecteur Windows Autopatch peut afficher les données Windows Autopatch disponibles dans Microsoft Intune mais ne peut pas apporter de modifications.

Mettre à jour les rôles de stratégie

Pour gérer la mise à jour de qualité Windows, les anneaux de mise à jour, la mise à jour des fonctionnalités Windows, la mise à jour des pilotes, les Microsoft 365 Apps et les stratégies Microsoft Edge, l’utilisateur doit disposer des autorisations complètes de configuration de l’appareil. Le tableau suivant répertorie la liste complète des rôles de gestion des mises à jour :

Pour gérer correctement windows Autopatch en tant que rôle à privilèges inférieurs, l’utilisateur doit disposer des autorisations autopatch Administration et des autorisations d’administrateur Stratégie et Profil.

Microsoft Entra rôles

Les rôles Microsoft Entra suivants peuvent accéder aux fonctionnalités windows autopatch via le portail Microsoft Intune.

Rôles personnalisés

Vous pouvez créer deux rôles personnalisés qui incluent les autorisations requises pour un rôle de travail spécifique.

Pour bénéficier d’une gestion des mises à jour globale, assurez-vous que les groupes affectés au rôle personnalisé Autopatch sont également membres du rôle Gestionnaire de profils policy & ou d’un rôle personnalisé avec des autorisations équivalentes.

Accédez àRôles>d’administration> de locataireCréer un rôle> personnaliséWindows Autopatch pour créer un rôle personnalisé.

Étendues

Windows Autopatch prend en charge Intune balises d’étendue et les groupes délimités à utiliser pour la gestion distribuée des mises à jour. Utilisez Microsoft Intune pour créer et gérer des balises d’étendue.

• Windows Autopatch prend en charge Intune étendue pour les groupes Autopatch, les attributions de rôles autopatch, les stratégies de mise à jour et les rapports.
• Les messages, le support et les contacts Administration autopatch ne prennent pas en charge les étendues.
• Les groupes autopatch créés par les administrateurs délimités sont affectés aux mêmes balises d’étendue que l’utilisateur.
• Seuls les administrateurs délimités, avec les mêmes balises d’étendue qui leur sont affectées, peuvent modifier et gérer des groupes de mise à jour automatique.
• Lorsque vous créez des groupes autopatch et attribuez des balises d’étendue, les stratégies de mise à jour créées héritent des mêmes balises d’étendue.
• Les appareils affectés aux groupes Autopatch n’héritent pas des balises d’étendue de groupe Autopatch. Utilisez Intune pour attribuer une balise d’étendue aux appareils.

Autorisations pour les groupes autopatch

Les groupes de mise à jour automatique créent des groupes Microsoft Entra et mettent à jour des stratégies et attribuent les stratégies au groupe dans le cadre de son flux de travail. Pour terminer correctement le flux de travail, les deux autorisations sont requises. L’option permettant de créer des groupes autopatch n’est disponible que lorsque l’utilisateur a les deux autorisations activées.

1. Configuration de l’appareil, toutes les autorisations
2. Groupe Windows Autopatch, toutes les autorisations

Les groupes Windows Autopatch auxquels des balises délimitées sont affectées ne sont visibles que par les utilisateurs disposant de ces balises d’étendue exactes. Cela garantit que l’administrateur informatique peut gérer les déploiements en anneau à l’aide de groupes autopatch et ne sont pas affectés par les différences d’étendue.

Lorsque l’utilisateur se voit attribuer des groupes délimités, il peut uniquement affecter des groupes délimités pour la distribution dans des anneaux de déploiement.

Administrateurs délimités et groupes de mise à l’échelle automatique

Dans Intune administrateurs délimités, seul un utilisateur administrateur auquel des balises d’étendue et des groupes délimités spécifiques peuvent affecter des stratégies uniquement aux groupes délimités.

Administrateurs délimités et flux de travail de groupe autopatch

Dans le cadre du flux de travail de création de groupe Autopatch, Windows Autopatch crée des groupes Microsoft Entra et des stratégies de mise à jour pour les paramètres de déploiement sélectionnés. Pour affecter les stratégies de mise à jour aux anneaux de déploiement nouvellement créés, vous devez inclure le groupe Autopatch en tant que groupe délimité dans le rôle qui contient les autorisations de configuration de l’appareil.

Le tableau suivant décrit le flux de travail de haut niveau :

Affecter des balises d’étendue à des groupes autopatch

1. Dans le centre d’administration Microsoft Intune, accédez à Groupes d’administration>du locataire Autopatch>sélectionnez un groupe. Tous les anneaux et stratégies du groupe Autopatch ont la même étendue.
2. Dans l’option Ajouter un groupe à sonner, sélectionnez les groupes Microsoft Entra à affecter au groupe Autopatch. Seuls les groupes avec des objets d’étendue sont disponibles pour la sélection.
3. Accédez à Propriétés>Étendue (Balises)>Modifier>Sélectionner les balises> d’étendue sélectionnez les balises que vous souhaitez ajouter au profil. Vous pouvez affecter un maximum de 100 balises d’étendue à un objet.
   1. La section Groupe d’étendues s’affiche lorsque le service détecte les groupes de mise à jour automatique créés avant les contrôles d’accès en fonction du rôle. Cela indique qu’un groupe Microsoft Entra est créé, qui peut être ajouté en tant que groupe délimité. Un administrateur délimité peut gérer ce groupe autopatch s’il est inclus dans son étendue.
   2. Suivez les étapes de la section Administrateurs délimités et Flux de travail de groupe autopatch pour affecter des groupes délimités.
4. Sélectionnez Vérifier + enregistrer.

Problèmes connus

Windows 365 Entreprise permet aux administrateurs informatiques d’inscrire des appareils auprès de Windows Autopatch dans le cadre de la création de stratégie d’approvisionnement Windows 365. Vous devez être administrateur de service Intune pour effectuer cette action.

Résolution des problèmes généraux