Vérifier l'état de préparation à l'inscription Intune
Vérifier si cet utilisateur peut inscrire des appareils dans Intune
Description
Vérifie si cet utilisateur est prêt à inscrire un appareil dans Intune et renvoie Prêt, Prêt avec avertissements ou Non prêt, avec les bloqueurs trouvés. La vérification couvre l’état du compte, la licence Intune, la limite d’inscription des appareils, les restrictions de plateforme et les stratégies Conditional Access qui ciblent l’enregistrement ou l’inscription des appareils. Rien n’est modifié. Des détails sur les vérifications figurent dans la documentation du runbook (docs.realmjoin.com).
Notes d’interprétation
Vérifications effectuées : état du compte, licence Intune et plan de service, autorité MDM du locataire, limite d’inscription des appareils, restrictions de plateforme, méthodes d’authentification enregistrées, stratégies Conditional Access et, éventuellement, appartenance au groupe pilote.
Conditional Access est évalué comme un « What If » statique par rapport à la connexion d’inscription pour le sélectionné
EnrollmentPlatform; l’outil What If propre à Entra reste la référence.Les exigences relatives aux appareils conformes des stratégies « All resources » ne bloquent pas l’inscription (une exemption Entra documentée) ; seules les stratégies ciblant l’enregistrement de l’appareil ou les applications d’inscription Intune sont traitées comme des portes strictes.
Non évalués statiquement : emplacements nommés, filtres d’appareil, fréquence de connexion et conditions d’utilisation.
Les Temporary Access Pass expirés ou déjà utilisés ne sont pas comptés comme des méthodes utilisables.
Prérequis
L’autorité MDM du locataire doit être « intune » ou « office365 » ; les autres valeurs bloquent tous les utilisateurs.
Ce qui est vérifié
Le verdict de préparation combine ces vérifications :
État du compte (activé, non bloqué) et une licence Intune attribuée à l’utilisateur.
La limite d’inscription des appareils du locataire pour l’utilisateur et les restrictions de plateforme de la configuration d’inscription.
Les stratégies Conditional Access qui ciblent explicitement l’enregistrement d’appareil ou l’inscription à Intune. Les stratégies qui exigent un appareil conforme via Toutes les ressources sont exemptées par la conception de Microsoft Entra et ne sont donc pas comptées comme des bloqueurs.
Les stratégies limitées à une plateforme et les exigences d’application cliente réservées au navigateur sont évaluées par rapport à la plateforme d’inscription choisie ; avec Toutes les plateformes chaque plateforme est évaluée et signalée séparément.
Le runbook est en lecture seule ; il ne change rien pour l’utilisateur ni pour le locataire.
Emplacement
Utilisateur → Général → Vérifier la préparation à l’inscription Intune
Nom complet du runbook
rjgit-user_general_check-intune-enrollment-readiness
Détails
Version
1.0.0
Modules requis
RealmJoin.RunbookHelper (>= 0.8.9) Microsoft.Graph.Authentication (>= 2.39.0)
Planifiable
non
Autorisations
Autorisations d’application
Type: Microsoft Graph
DeviceManagementServiceConfig.Read.All
Lit /deviceManagement/deviceEnrollmentConfigurations (configurations de limite et de restriction de plateforme, avec les affectations développées) pour évaluer les résultats liés à la limite d’inscription et aux restrictions de plateforme
Group.Read.All
Lit /groups?$filter=displayName eq '...' pour résoudre le groupe pilote facultatif par son nom
GroupMember.Read.All
Lit /groups/{id}/transitiveMembers/microsoft.graph.user pour vérifier l’appartenance au groupe pilote et /users/{id}/transitiveMemberOf/microsoft.graph.group pour résoudre les appartenances aux groupes de l’utilisateur cible pour la portée des groupes d’inclusion/exclusion de Conditional Access
Organization.Read.All
Lit /v1.0/organization/{tenantId}?$select=id,displayName,mobileDeviceManagementAuthority pour déterminer l’autorité MDM du locataire, une vérification bloqueuse d’inscription inconditionnelle au niveau du locataire ; l’ID du locataire est récupéré depuis Get-MgContext comme chemin rapide, avec repli sur GET /v1.0/organization?$select=id lorsque le contexte Graph n’en fournit pas.
Policy.Read.All
Lit /identity/conditionalAccess/policies pour évaluer les stratégies activées qui pourraient bloquer l’inscription à Intune pour l’utilisateur
RoleManagement.Read.Directory
Renseigne roleTemplateId des objets directoryRole renvoyés par /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole, sur lesquels est comparé le ciblage includeRoles/excludeRoles de Conditional Access. User.Read.All autorise l’appel lui-même mais laisse les propriétés directoryRole à null, ce qui ferait silencieusement apparaître chaque stratégie à portée de rôle comme ne s’appliquant pas
User.Read.All
Lit /users/{id} (accountEnabled, assignedLicenses, usageLocation) pour résoudre l’utilisateur cible, /subscribedSkus pour déterminer quelles licences incluent un plan de service Intune, /users/{id}/ownedDevices pour compter les appareils enregistrés par rapport à la limite d’inscription, et /users/{id}/transitiveMemberOf/microsoft.graph.directoryRole pour résoudre les rôles d’annuaire de l’utilisateur pour la portée includeRoles/excludeRoles de Conditional Access
UserAuthenticationMethod.Read.All
Lit /users/{id}/authentication/methods pour déterminer si l’utilisateur dispose d’une méthode enregistrée pouvant satisfaire les contrôles d’octroi MFA de Conditional Access
Paramètres
Nom d’utilisateur
Nom principal d’utilisateur de l’utilisateur sur lequel le runbook agit. Défini par le portail à partir de l’utilisateur sélectionné.
Obligatoire
vrai
Valeur par défaut
Type
Chaîne
Masqué dans le portail
oui (prédéfini via la personnalisation du runbook)
EnrollmentPlatform
Plateforme de l’appareil que l’utilisateur souhaite inscrire. Les stratégies Conditional Access limitées à d’autres plateformes sont ignorées ; Toutes les plateformes vérifie chaque plateforme et les signale individuellement.
Obligatoire
faux
Valeur par défaut
Windows
Type
Chaîne
Nom d’affichage du portail
Plateforme à inscrire
Options du portail
Windows
Windows
iOS / iPadOS
iOS
Android
Android
macOS
macOS
Toutes les plateformes
Toutes
CheckPilotGroupMembership
Exige également que l’utilisateur fasse partie du groupe pilote. Les non-membres sont signalés comme Non prêt.
Obligatoire
faux
Valeur par défaut
Faux
Type
Booléen
Nom d’affichage du portail
Check pilot group membership?
PilotGroupDisplayName
Les membres de ce groupe sont considérés comme des utilisateurs pilotes. Le groupe est recherché par son nom d’affichage.
Obligatoire
faux
Valeur par défaut
col - All Users - Pilot (users)
Type
Chaîne
Nom d’affichage du portail
Nom du groupe pilote
Mis à jour
Ce contenu vous a-t-il été utile ?