Une notification du centre de messages annonce un nouveau réglage dans Entra ID qui touche directement la gouvernance des identités et des agents IA. Selon office365itpros.com, la notification MC1506733 datée du 13 octobre 2026 indique que Microsoft compte introduire une permission de rôle usager par défaut appelée Users can create agent blueprints. Je vous présente ici l'annonce telle que documentée à la date de rédaction du 15 octobre 2026, sans l'avoir testée moi-même.

Ce que l'annonce décrit

Le nouveau contrôle permet d'autoriser ou de bloquer la création de blueprints d'agents par les usagers. D'après la source, Microsoft prévoit déployer la mise à jour au début de novembre 2026. Le point qui mérite l'attention des équipes TI est l'état par défaut.

Si l'interrupteur reste à sa valeur par défaut activée après le déploiement, n'importe quel usager pourra créer un blueprint d'agent. Aucun rôle administratif ne serait requis, toujours selon la source.

Si l'interrupteur est placé à désactivé, seuls les administrateurs et les usagers titulaires du rôle Agent ID Developer pourront créer des blueprints d'agents. La source précise que désactiver l'option n'affecte pas les blueprints d'agents existants.

Un blueprint d'agent, c'est quoi

Un blueprint d'agent fait partie de la plateforme Entra Agent ID. La source le décrit comme un modèle administratif et de sécurité servant à gérer des agents IA à grande échelle. La documentation de Microsoft citée par la source attribue à un blueprint d'agent les propriétés suivantes.

  • Description : un résumé bref de l'objectif et des fonctions de l'agent.
  • App roles : les rôles qui peuvent être attribués aux usagers et autres principaux lors de l'utilisation de l'agent.
  • Verified publisher : l'organisation qui a bâti l'agent.
  • Réglages des protocoles d'authentification : la configuration des informations incluses dans les jetons d'accès émis pour l'agent, par exemple OptionalClaims.

Ces propriétés sont partagées par les agents créés à partir du blueprint, selon la source.

Le parallèle avec les inscriptions d'applications

La source souligne que ces propriétés ressemblent beaucoup à celles des inscriptions d'applications. Une autre permission de rôle usager contrôle déjà la création d'applications par les usagers. Beaucoup d'experts Entra ID recommandent de désactiver ce contrôle pour empêcher la création d'applications par des usagers ordinaires.

Le raisonnement rapporté par la source : très peu d'usagers sans rôle administratif ou de développement ont un besoin légitime de créer des applications inscrites. Ouvrir cette possibilité augmente la surface qu'un attaquant peut exploiter si un compte est compromis. La source applique la même logique aux blueprints d'agents.

La source évoque aussi un précédent connu : les équipes créées pour des besoins de courte durée qui finissent abandonnées dans les locataires. L'auteur craint que les agents suivent le même chemin si leur création n'est pas encadrée.

Les décisions à prendre côté TI

La question de fond n'est pas la fonctionnalité en soi mais son état par défaut. La source qualifie le choix d'activé par défaut de déroutant et le juge en tension avec les principes de sécurité par défaut mis de l'avant par l'initiative Secure Future de Microsoft. L'auteur indique qu'il désactivera le contrôle dès qu'il apparaîtra dans l'interface du centre d'administration Entra.

Voici les actions concrètes que je retiens pour une équipe qui gère son locataire.

  • Noter la fenêtre de déploiement annoncée au début de novembre 2026 et planifier une vérification du réglage dès son apparition.
  • Décider à l'avance de l'état voulu pour Users can create agent blueprints plutôt que de laisser la valeur par défaut s'appliquer.
  • Aligner cette décision sur votre position actuelle concernant la création d'applications par les usagers, puisque la logique de gouvernance est la même.
  • Identifier qui doit détenir le rôle Agent ID Developer si vous choisissez de désactiver la création par les usagers.
  • Documenter que désactiver l'option ne supprime pas les blueprints d'agents déjà créés, donc prévoir un inventaire séparé si vous activez le contrôle après coup.

Ce que la source ne confirme pas

La source est une annonce de planification. La date de publication est le 15 octobre 2026 et la notification MC1506733 porte la date du 13 octobre 2026. La disponibilité réelle du réglage dans l'interface dépend du déploiement prévu au début de novembre 2026, ce qui reste une cible annoncée au moment d'écrire ces lignes. Les propriétés listées proviennent de la documentation citée par la source et non d'un test de ma part. Validez l'état effectif du réglage dans votre propre locataire avant de conclure.