Décommissionner les appareils
Effacer et nettoyer plusieurs appareils à la fois
Description
Met plusieurs appareils hors service en une seule fois, à partir d’une liste d’ID d’appareil ou de numéros de série. Vous choisissez si les appareils sont effacés ou uniquement supprimés d’Intune, et si leur inscription Autopilot est supprimée. Leurs objets Entra ID peuvent être supprimés, désactivés ou conservés. En option, les appareils sont balisés dans Microsoft Defender for Endpoint afin que les règles qui utilisent la balise puissent les exclure de la remédiation automatisée. Un effacement supprime toutes les données et ne peut pas être annulé.
Balise d’exclusion Microsoft Defender for Endpoint
Microsoft Defender for Endpoint dispose d’un état natif État d’exclusion (affiché dans le filtre d’inventaire des appareils comme Exclu / Non exclu). Cet état ne peut être défini que via le portail Defender — il n’existe aucune API pour définir par programmation l’état d’exclusion natif d’un appareil.
Comme l’état d’exclusion natif ne peut pas être automatisé, ce runbook applique à la place une balise d’appareil personnalisée (par défaut ExcludeFromRemediation) lorsque Exclure les appareils de Microsoft Defender for Endpoint est activé. Chaque appareil de la liste est recherché à l’aide de son ID d’appareil Entra ID et balisé via POST /api/machines/{id}/tags, fournissant un marqueur qui peut être utilisé pour filtrer et cibler les appareils exclus.
Configuration unique : rendre la balise filtrable
Le filtre Tags du portail Tags n’affiche que les balises créées via le portail. Une balise définie uniquement via l’API est associée à l’appareil et visible sur la page de l’appareil, mais elle ne s’affiche pas d’elle-même dans le filtre Tags.
Pour rendre la balise d’exclusion visible et utilisable pour le filtrage dans l’ Inventaire des appareils Defender, un client doit être balisé manuellement une fois via le portail (sélectionnez un appareil > Gérer les balises > « Créer une nouvelle balise », en utilisant exactement la même valeur de balise). Après cette étape unique, la balise devient une balise connue et filtrable, et ce runbook peut l’appliquer à des appareils à grande échelle.
Remarque : Cette balise n’est qu’un libellé — elle ne définit pas l’état d’exclusion natif de l’appareil et n’a aucun effet de remédiation à elle seule. Elle n’entre en vigueur que si un groupe d’appareils Defender ou une règle d’automatisation est explicitement configuré pour correspondre à cette valeur de balise. Ces règles font correspondre directement la valeur de la balise, indépendamment du portail Tags de filtrage, donc l’étape manuelle unique n’affecte que le fait que la balise soit sélectionnable pour le filtrage dans l’interface utilisateur du portail.
Les appareils fournis par numéro de série qui ne sont pas trouvés dans Intune n’ont pas d’ID d’appareil Entra ID et ne sont donc pas balisés dans Microsoft Defender for Endpoint.
Voir Créer et gérer des balises d’appareil pour plus de détails.
Emplacement
Organisation → Appareils → Outphase Devices
Nom complet du runbook
rjgit-org_devices_outphase-devices
Détails
Version
1.2.1
Modules requis
RealmJoin.RunbookHelper (>= 0.8.9)
Planifiable
non
Autorisations
Autorisations d’application
Type: Microsoft Graph
DeviceManagementManagedDevices.PrivilegedOperations.All
Déclenche l’effacement de l’appareil via managedDevices/{id}/wipe lorsque l’action d’effacement est sélectionnée
DeviceManagementManagedDevices.ReadWrite.All
Recherche les appareils Intune par numéro de série ou azureADDeviceId et les supprime
DeviceManagementServiceConfig.ReadWrite.All
Trouve et supprime l’enregistrement Autopilot de l’appareil
Device.Read.All
Recherche l’objet appareil Entra ID et son propriétaire enregistré pour le rapport
Type: WindowsDefenderATP
Machine.Read.All
Trouve l’appareil dans Microsoft Defender for Endpoint via /machines filtré par aadDeviceId
Machine.ReadWrite.All
Ajoute la balise d’exclusion via /machines/{id}/tags lorsque excludeFromDefender est activé
Rôles RBAC
Administrateur d’appareils cloud
Requis pour désactiver et supprimer les objets d’appareil Entra ID via /devices/{id}
Paramètres
DeviceListChoice
Indique si la liste contient des ID d’appareil Entra ID ou des numéros de série.
Obligatoire
vrai
Valeur par défaut
0
Type
Int32
Nom d’affichage du portail
La liste contient
Options du portail
ID d’appareil
0
Numéros de série
1
DeviceList
ID d’appareil ou numéros de série, séparés par des virgules.
Obligatoire
vrai
Valeur par défaut
Type
Chaîne
Nom d’affichage du portail
Liste des appareils
intuneAction
Effacer complètement supprime toutes les données utilisateur et d’inscription des appareils. Supprimer d’Intune supprime uniquement les enregistrements des appareils, pour les appareils déjà effacés ou détruits. Ne pas effacer ni supprimer laisse Intune inchangé.
Obligatoire
faux
Valeur par défaut
2
Type
Int32
Nom d’affichage du portail
Action Intune
Options du portail
Effacer complètement l’appareil (sans conserver les données utilisateur ou d’inscription)
2
Supprimer l’appareil d’Intune
1
Ne pas effacer ni supprimer l’appareil d’Intune
0
aadAction
Supprimer retire les objets d’appareil d’Entra ID, Désactiver les conserve mais bloque les connexions depuis les appareils, et Conserver laisse Entra ID inchangé.
Obligatoire
faux
Valeur par défaut
2
Type
Int32
Nom d’affichage du portail
Objet appareil Entra ID
Options du portail
Supprimer l’appareil dans Entra ID
2
Désactiver l’appareil dans Entra ID
1
Conserver l’appareil Entra ID
0
wipeDevice
Interrupteur hérité conservé pour compatibilité. Le choix sous « Action Intune » détermine si les appareils sont effacés.
Obligatoire
faux
Valeur par défaut
Vrai
Type
Booléen
Masqué dans le portail
oui (prédéfini via la personnalisation du runbook)
removeIntuneDevice
Interrupteur hérité conservé pour compatibilité. Le choix sous « Action Intune » détermine si les enregistrements Intune sont supprimés.
Obligatoire
faux
Valeur par défaut
Faux
Type
Booléen
Masqué dans le portail
oui (prédéfini via la personnalisation du runbook)
removeAutopilotDevice
Le fait de supprimer les appareils de la base de données Autopilot leur permet de quitter le locataire et d’être enregistrés ailleurs. Les conserver permet un redéploiement ultérieur dans ce locataire.
Obligatoire
faux
Valeur par défaut
Vrai
Type
Booléen
Nom d’affichage du portail
Supprimer de la base de données Autopilot ?
Options du portail
Retirer l’appareil d’Autopilot
vrai
Conserver l’appareil
faux
removeAADDevice
Interrupteur hérité conservé pour compatibilité. Le choix sous « Objet Entra ID » détermine si les objets Entra ID sont supprimés.
Obligatoire
faux
Valeur par défaut
Vrai
Type
Booléen
Masqué dans le portail
oui (prédéfini via la personnalisation du runbook)
disableAADDevice
Interrupteur hérité conservé pour compatibilité. Le choix sous « Objet Entra ID » détermine si les objets Entra ID sont désactivés.
Obligatoire
faux
Valeur par défaut
Faux
Type
Booléen
Masqué dans le portail
oui (prédéfini via la personnalisation du runbook)
excludeFromDefender
Balisent les appareils dans Microsoft Defender for Endpoint avec la balise d’exclusion afin que les règles qui utilisent la balise puissent les exclure de la remédiation automatisée. Ignorer laisse Microsoft Defender for Endpoint inchangé.
Obligatoire
faux
Valeur par défaut
Faux
Type
Booléen
Nom d’affichage du portail
Marquer comme exclus dans Microsoft Defender for Endpoint ?
Options du portail
Marquer les appareils comme exclus dans Microsoft Defender for Endpoint
vrai
Ignorer les opérations Microsoft Defender for Endpoint
faux
defenderExclusionTag
Nom de la balise écrit sur les appareils dans Microsoft Defender for Endpoint, à utiliser dans vos règles d’exclusion.
Obligatoire
faux
Valeur par défaut
ExcludeFromRemediation
Type
Chaîne
Nom d’affichage du portail
Balise d’exclusion Defender
Mis à jour
Ce contenu vous a-t-il été utile ?