À partir de Windows 11 version 22H2 et ultérieures, Microsoft introduit la possibilité d’installer les mises à jour de sécurité directement pendant l’expérience de premier démarrage (OOBE). Cette évolution vise à renforcer la sécurité des nouveaux appareils dès leur mise en service, tout en s’intégrant aux processus de déploiement modernes (Intune, Autopilot, ESP).
🔑 Objectifs de la fonctionnalité
- Sécuriser les appareils dès le premier jour : éviter que les utilisateurs démarrent sur une version vulnérable.
- Réduire la charge post-déploiement : moins de correctifs à appliquer après l’intégration.
- Alignement avec la conformité : répondre aux exigences de sécurité et de gouvernance dès l’enrôlement.
⚙️ Conditions et prérequis
- Versions supportées : Windows 11 22H2 et ultérieures (Pro, Enterprise, Education, SE).
- Mises à jour nécessaires : intégrées via les June 2025 D updates (KB5060829 / KB5060826) ou via un Zero Day Package (ZDP) appliqué avant l’affichage de l’ESP.
- Gestion requise : Microsoft Intune (ou MDM compatible) avec un profil Enrollment Status Page (ESP).
- Autopilot Device Preparation : applique toujours les mises à jour OOBE, même sans ESP.
🖥️ Paramétrage dans Intune
Un nouveau paramètre est disponible dans les profils ESP :
- Install Windows quality updates (might restart the device)
- Valeur par défaut = Oui pour les nouveaux profils (sécurité prioritaire).
- Valeur par défaut = Non pour les profils existants (éviter les impacts inattendus).
👉 Les administrateurs peuvent activer ce paramètre dans Intune > Devices > Windows > Enrollment > Enrollment Status Page > Paramètres.
⏸️ Points d’attention pour les IT Pro
- Durée supplémentaire : l’installation des mises à jour de sécurité pendant l’OOBE ajoute 20 à 40 minutes au processus de provisioning.
- Redémarrages possibles : l’appareil peut redémarrer, obligeant l’utilisateur à se reconnecter.
- Respect des stratégies de mise à jour : les politiques de report et de pause configurées dans les Update Rings sont honorées, car elles sont synchronisées avant la fin de l’ESP.
- Expérience utilisateur : équilibre à trouver entre sécurité immédiate et rapidité de mise en service.
🔐 Bénéfices pour les organisations
- Sécurité renforcée dès la première connexion.
- Réduction des risques liés aux vulnérabilités zero-day.
- Expérience utilisateur plus fluide après le déploiement (moins d’interruptions).
- Contrôle centralisé via Intune et Autopilot.
⚠️ Statut actuel
Microsoft a retardé le déploiement effectif de cette fonctionnalité afin d’assurer une meilleure expérience utilisateur. ➡️ Le paramètre reste néanmoins disponible dans Intune, et il est recommandé de préparer dès maintenant vos profils ESP pour être prêt lorsque la fonctionnalité sera activée.
✅ En résumé : L’installation des mises à jour de sécurité pendant l’OOBE est une avancée stratégique pour les IT Pro. Elle garantit que les appareils Windows 11 sont corrigés et conformes dès leur première utilisation, tout en restant intégrée aux pipelines de gestion modernes. Malgré son retard de mise en production, il est conseillé d’anticiper son adoption dans vos scénarios de déploiement.
