Il reste 9 jours. Le 30 septembre, tout serveur Entra Connect qui tourne sous la version 2.5.79.0 arrête de synchroniser tes utilisateurs, tes groupes et tes mots de passe vers Entra. Et mercredi dernier, Microsoft a publié la version qui donne le ton pour la suite : 2.6.91.0.

Elle contient deux choses qui n'ont rien d'une mise à jour de routine. D'abord, un assistant de migration vers Cloud Sync intégré au produit, en Public Preview, avec évaluation de ta configuration, installation de l'agent, activation par phases et validation. Ensuite, l'installation sans mot de passe, désormais activée par défaut : tu configures Connect Sync avec une Passkey, une clé FIDO2 ou Windows Hello, sans jamais saisir le mot de passe d'un Global Administrator sur un serveur On-Prem. La version précédente, 2.6.79.0, a été rappelée après un défaut découvert à la sortie. Microsoft te dit donc, la même semaine, de passer à la dernière version et de commencer à préparer la sortie de Connect Sync. Les deux messages sont compatibles, à condition de les lire dans cet ordre.

Le reste de l'identité bouge aussi. Le retrait des SMS et des appels vocaux comme facteur MFA a maintenant deux dates au lieu d'une, et les Global Administrators ne sont pas dans la première. Et pour une fois, aucune nouvelle faille Microsoft signalée comme exploitée cette semaine, ni par Microsoft ni par la CISA. Profite du calme : le prochain Patch Tuesday tombe le 13 octobre, avec cinq échéances le même jour.

Trois choses à retenir cette semaine :

Trois échéances cette semaine. Si tu ne fais qu'une chose après cette édition, fais la première.

Entra Connect Sync : 9 jours avant que les versions trop anciennes cessent de synchroniser. Le 30 septembre, Microsoft bascule le service qui reçoit ta synchronisation vers une application dédiée, et seules les versions 2.5.79.0 et supérieures d'Entra Connect savent lui parler. En dessous, la synchronisation s'arrête : utilisateurs, groupes, mots de passe. La page Learn le dit sous le titre « Mandatory Upgrade Required », et la version disponible cette semaine est 2.6.91.0. Risque : un serveur installé en 2024 et jamais mis à jour, ou dont l'auto-upgrade a échoué en silence parce qu'un fichier de configuration a été modifié à la main, arrête tout le 30 au matin. Tu le découvres quand un nouvel arrivant n'a pas de compte, ou quand un mot de passe changé On-Prem ne fonctionne plus dans Teams. Action, dans cet ordre Ouvre le Synchronization Service Manager et lis la version. Vérifie l'état de l'auto-upgrade avec Get-ADSyncAutoUpgrade. Si tu es sous 2.5.79.0, télécharge 2.6.91.0 depuis le centre d'administration Entra, le MSI n'est plus disponible ailleurs, et vérifie .NET 4.7.2 et TLS 1.2 avant de lancer l'installation. Pas la 2.6.84.0 : Microsoft documente un échec d'installation sur une base ADSync existante, corrigé en 2.6.91.0. Traite ce serveur comme un changement Tier 0, avec un contrôle de la synchronisation des mots de passe juste après. Lire la suite

AVD Classic : dernier appel, 9 jours. Le 30 septembre, Azure Virtual Desktop Classic est retiré, avec Azure Migrate Classic et les séries de VM GPU NVv3 et NVv4. Un host pool Classic ne tombe pas en panne ce jour-là, il ne fait plus rien. Risque : tu as lu ces lignes il y a deux semaines. Si tu n'as rien fait depuis, tu ne gères plus une migration mais un plan de continuité : les utilisateurs concernés n'auront pas de bureau le 1er octobre. Action, dans cet ordre. Inventorie les tenants Classic avec les cmdlets Classic, ils n'apparaissent nulle part ailleurs. Migre vers ARM avec l'outil Microsoft. Redimensionne les NVv3 vers NVadsA10 v5 et les NVv4 vers NVads V710 v5. Si tu as plus de 500 application groups, la demande d'exemption se fait aujourd'hui. Exception NVv3 et NVv4 en UAE North : 31 janvier 2027. Lire la suite

Azure Monitor Workspace : tes requêtes PromQL doivent être ancrées avant la fin du mois. Le moteur de requête d'Azure Monitor Workspace devient conforme à la spécification Prometheus : les expressions régulières sont désormais ancrées, donc =~"api.*" ne correspond plus à myapi-prod. Microsoft demande de corriger les requêtes avec ^…$ ou avec = pour les correspondances exactes avant la mise à jour du moteur, prévue en septembre 2026. Risque. Une alerte Prometheus dont le filtre ne correspond plus ne se déclenche plus, sans erreur. Les tableaux de bord Grafana affichent des séries vides, et l'astreinte ne saura pas pourquoi. Action, dans cet ordre. Exporte les règles d'alerte et les requêtes de tes dashboards. Cherche tous les =~ et !~ sans ^ ni $. Corrige, puis teste chaque règle contre les données de la semaine passée avant la bascule. Deadline. Septembre 2026, avant la mise à jour du moteur de requête. Lire la suite

Prochaines échéances

Entra Connect 2.6.91.0 : Microsoft livre l'outil pour quitter Connect Sync, et la rappelle en même temps sur la version d'avant. La version 2.6.91.0 est sortie le 16 septembre, uniquement depuis le centre d'administration Entra. Elle ajoute, en Public Preview, un assistant de migration guidée de Connect Sync vers Cloud Sync, en quatre étapes : évaluation de la configuration, installation de l'agent de provisioning, activation par phases, validation. C'est la première fois que Microsoft met la migration dans le produit plutôt que dans une page de documentation. La même version active par défaut l'installation sans mot de passe : tu configures le connecteur avec une Passkey, une clé FIDO2 ou Windows Hello, et une clé de registre permet de revenir au mot de passe si tu y tiens. Et la note de version rappelle la 2.6.79.0, retirée du téléchargement après un défaut identifié à sa sortie, avec consigne de la désinstaller. Pour un serveur que tu dois de toute façon mettre à jour avant le 30, l'assistant de migration change la question : pas seulement quelle version installer, mais pour combien de temps. Lire la suite

Le téléphone comme facteur MFA : Microsoft donne deux dates, et la seconde n'a pas d'exclusion. Le calendrier du retrait des SMS et des appels vocaux fournis par Microsoft a été mis à jour la semaine dernière. Pour la plupart des utilisateurs, la date reste le 1er février 2027 : après, sans fournisseur télécom configuré par le client, l'utilisateur dont le seul facteur est le téléphone est bloqué à la connexion jusqu'à ce qu'il enregistre une Passkey. Pour les Global Administrators et les utilisateurs externes, la date devient le 1er juillet 2027, et pour eux il n'existe aucune exclusion temporaire. Ceux qui ont besoin de garder le téléphone, pour une raison réglementaire ou opérationnelle, devront passer par un fournisseur télécom acheté dans le Microsoft Security Store, facturé au message. Ce que ça change pour toi : les comptes de secours de tes Global Administrators, souvent protégés par un numéro de téléphone, ont cinq mois de plus, et c'est exactement le temps qu'il faut pour les passer en clé FIDO2 sans se presser. Lire la suite

TLS 1.3 et post-quantique dans Windows : la FAQ concerne tes serveurs avant tes navigateurs. Microsoft a publié une FAQ sur TLS 1.3 et la cryptographie post-quantique dans Windows. Depuis la mise à jour KB5089573, Windows 11 sait négocier des algorithmes hybrides comme X25519_MLKEM768, qui combinent l'échange de clés classique et un algorithme résistant au calcul quantique. La FAQ explique ce qu'il faut configurer pour les activer, et ce qui reste en attente. Il n'y a pas d'action à lancer cette semaine, mais une trajectoire à comprendre : les données chiffrées aujourd'hui avec un échange de clés classique pourront être déchiffrées plus tard par une machine qui n'existe pas encore. Pour un serveur qui expose des données à durée de vie longue, contrats, santé, propriété intellectuelle, la question de la cryptographie hybride se pose avant celle du navigateur du poste client. Lire la suite

Le mode Administration et le mode Virtualisation fusionnent dans un installeur unique, avec l'onboarding Azure Arc, la sauvegarde et la gestion du cycle de vie des certificats intégrés. Si tu maintenais deux WAC, un pour les serveurs et un pour Hyper-V, tu n'en maintiendras plus qu'un. (Windows Admin Center Blog)

Le pilote officiel apporte le support de datetimeoffset et l'authentification Entra ID, avec des alias de configuration compatibles. Pour les applications Django qui parlent encore à SQL Server par ODBC, c'est le moment de tester le changement de pilote. (SQL Server Blog)

Un éditeur valide son intégration et gère sa publication directement dans le centre d'administration Entra, sans passer par le cycle de revue manuel. Pour toi, ça veut dire des connecteurs SSO qui arrivent plus vite dans la galerie, et un peu moins d'applications à intégrer à la main. (Microsoft Entra Blog)

Tes invités pourront enregistrer et utiliser une Passkey sur ton tenant. C'est la pièce qui manquait pour tenir la date du 1er juillet 2027 sur les utilisateurs externes sans revenir au SMS. Dans la même semaine, MC1474104 précise le calendrier de retrait du SMS comme premier facteur de connexion.

Microsoft ouvre une période de retrait de douze mois pour Windows PowerShell 5.x dans les modules Graph, avec une version 3.0.0 réservée à PowerShell 7 prévue au quatrième trimestre 2026. Les modules v2 gardent les correctifs de sécurité pendant la transition, mais tout runbook Automation ou tâche planifiée qui parle à Graph depuis un runtime 5.1 a un an pour changer de moteur. (Microsoft 365 Developer Blog)

Les événements RH, arrivée, mobilité, départ, déclenchent les workflows Lifecycle sans passage manuel. Si ton SIRH est HiBob, la source d'autorité de tes comptes peut enfin être le SIRH et non un ticket. (Microsoft Entra Blog)

Un seul connecteur gère plusieurs comptes d'une même source dans un seul workspace. Pour un MSSP ou un groupe avec plusieurs tenants Salesforce ou Okta, c'est un connecteur à maintenir au lieu de dix. (Microsoft Sentinel Blog)

Microsoft décrit comment empêcher un poste d'administration privilégié de sortir directement sur Internet si le tunnel GSA se coupe. Un PAW qui bascule en accès direct quand le proxy tombe n'est plus un PAW. (Core Infrastructure and Security Blog)

Isolation matérielle dédiée et gestion avancée des clés pour les données de paiement, avec le contrôle administratif complet chez le client. Réservé aux acteurs du paiement, mais pour eux c'est le composant qui manquait pour tenir PCI HSM dans Azure. (Azure Updates)

Microsoft publie une liste priorisée face aux menaces assistées par IA : permissions excessives et flux d'authentification non protégés en tête. Rien de nouveau dans la liste, mais l'ordre est le bon, et il vient de Microsoft. (Microsoft Security Blog)

Microsoft annonce de nouveaux FQDN côté client pour Windows App, pour des connexions plus fiables et plus faciles à faire évoluer. Si ton proxy ou ton pare-feu de sortie filtre par liste blanche, ces adresses doivent y être avant que les clients ne basculent. (Azure Updates)

Un employé éligible demande son Cloud PC depuis l'application, sans ticket, quand son poste est indisponible. Pour un plan de continuité, c'est la différence entre une procédure et un bouton. (Windows IT Pro Blog)

Jusqu'à 3 000 réseaux virtuels par mesh, par défaut, dans les régions supportées. Pour les organisations qui ont dépassé le hub-and-spoke, le maillage devient une topologie de production. (Azure Updates)

Connexions plus rapides et plus résilientes aux changements de réseau pour les applications web et les API. À tester sur une application publique avant de l'activer partout, HTTP/3 change le comportement des équipements intermédiaires. (Azure Updates)

Le guide montre comment créer les enregistrements DNS des Private Endpoints d'un tenant client depuis un tenant de gestion, sans toucher aux applications. Pour un MSP, c'est le bout du problème de Private Link qui restait manuel. (Azure Infrastructure Blog)

Xeon de 6e génération et Azure Boost, jusqu'à 40 % plus rapides sur les charges mémoire, avec Ultra Disk, Trusted Launch et chiffrement mémoire total. Pour les instances SAP HANA de taille moyenne, c'est la génération à évaluer avant le prochain renouvellement. (Azure Updates)

Microsoft décrit un pipeline Packer et Azure DevOps qui teste l'image finale publiée dans la galerie plutôt que la VM temporaire de construction. La différence, c'est qu'on teste ce que les équipes vont réellement déployer. (Azure Infrastructure Blog)

Le control plane vit dans une Subscription séparée, géré par les SRE de Microsoft et de Red Hat, les nœuds de travail restent chez toi. Pour ceux qui payaient trois nœuds master par cluster, c'est une ligne de coût qui disparaît. (Azure Updates)

Décodage logique et partitionnement améliorés, sur des clusters distribués avec Citus 14. Azure Updates classe la fonction en disponibilité générale, le blog produit parle encore de Preview : vérifie le statut affiché dans ta région avant de compter dessus en production. (Azure Updates)

Un serveur supprimé par erreur peut être restauré pendant une période configurable. Le scénario du script Terraform qui détruit le mauvais serveur un vendredi soir vient de perdre son côté définitif. (Azure Updates)

CPU, mémoire, IOPS, fichiers temporaires, autovacuum : les étapes de diagnostic sont dans le portail. Le genre de page qu'on lit pendant l'incident, autant savoir qu'elle existe avant. (Azure Updates)

Ton assistant de code obtient des compétences Postgres contextuelles et un accès direct à la base. À encadrer : un agent avec un accès direct à la base de données est un compte avec des droits, pas un plugin. (Azure Updates)

Tes policies custom se versionnent comme les policies intégrées, avec déploiement contrôlé et retour arrière. Une policy qui casse un déploiement en production se retire proprement au lieu de se supprimer. (Azure Governance Blog)

L'agent distingue ce qui a changé de ce qui a eu un impact, conserve les preuves pour la revue d'incident, et vérifie que tes alertes atteignent les bons destinataires. Trois billets longs, à lire pour l'Alerts Manager d'abord : une alerte qui part vers un groupe d'action vide est une alerte qui n'existe pas. (Azure Mission Critical Blog)

API Management a besoin d'un CNAME direct vers son nom d'hôte par défaut pour valider le certificat d'un domaine personnalisé. Sans ça, les points d'entrée globaux se désynchronisent en silence, jusqu'à la panne. (Integrations on Azure Blog)

L'expérience découpe le projet en étapes structurées, développement local avec automatisation, puis déploiement avec estimation de coût avant de cliquer. Pour une équipe qui découvre Azure, c'est la première fois qu'un assistant dit combien ça va coûter avant de le déployer. (Apps on Azure Blog)

Un agent pilote des tests ou des tâches web sur des navigateurs managés dans Azure, sans navigateur local, depuis Foundry ou GitHub Copilot CLI. Un agent qui clique dans un navigateur distant avec des identifiants de test est un compte de service de plus à inventorier. (Microsoft Foundry Blog)

Microsoft décrit une migration progressive vers le nouveau modèle de provisioning, en gardant les workflows existants. Si tes profils Autopilot ont cinq ans et trois auteurs, c'est l'occasion de les réécrire plutôt que de les convertir. (Intune Customer Success)

Un administrateur coupe un agent individuellement, sans toucher aux autres. C'est le bouton d'arrêt d'urgence qui manquait à la gouvernance des agents. (Azure Updates)

Un agent construit dans Foundry atteint les utilisateurs là où ils travaillent déjà. À lire avec le bouton d'arrêt ci-dessus : l'un ne va pas sans l'autre. (Azure Updates)

Analyse conversationnelle sur des données ERP et tierces, avec normalisation des saisies approximatives. Le billet est une démo retail, mais le mécanisme vaut pour n'importe quel jeu de données mal orthographié. (Azure Architecture Blog)

Microsoft recommande API Management comme couche de gouvernance à l'exécution, quel que soit le pattern. Autrement dit, l'agent ne parle jamais directement à la base. (Microsoft Foundry Blog)

Tu définis des règles d'autorisation ou de blocage sur les destinations sortantes, domaine par domaine. Il y a deux semaines, on écrivait ici que le Private Endpoint ne couvrait pas la sortie des agents : voilà la réponse. (Azure Updates)

Un agent managé et des ponts réseau permettent à un agent Foundry d'accéder aux ressources privées d'AVS sans exposer les données sensibles à l'extérieur. Pour les organisations qui ont gardé vSphere dans Azure justement pour ne rien exposer, c'est le chemin qui respecte cette contrainte. (Azure Migration Blog)

Endpoints et outil A2A en version 1.0, pour des interactions entre agents sans API sur mesure. Un protocole d'échange entre agents, c'est aussi une surface d'attaque entre agents. (Microsoft Foundry Blog)

Aux logs, métriques et traces s'ajoutent l'exécution de l'agent, les politiques de sécurité et les contrôles de qualité. L'exemple du billet est un remboursement incorrect, ce qui dit bien de quel type d'incident on parle. (Azure Architecture Blog)

La précision de GPT-4o-mini passe de 58 % à 18 % quand le schéma est récupéré au milieu de distracteurs, et le fine-tuning corrige mieux que le passage à un modèle plus gros. À garder en tête avant de conclure qu'un modèle plus cher réglera un problème de récupération. (Microsoft Foundry Blog)

Avant de chercher les requêtes à corriger, il faut savoir combien d'espaces de travail Prometheus tu as, et où. Cette commande les liste. Chacun d'eux porte des règles d'alerte et des dashboards dont les expressions régulières doivent être ancrées avant la mise à jour du moteur.

Ce que la commande retourne :

Lecture seule, aucun effet de bord. Ajoute --subscription pour balayer plusieurs Subscriptions Azure.