Rapport de diagnostic Intune

Vue d'ensemble de la gestion de ce poste. Le score retire 15 points par constat critique et 5 par avertissement ; il sert à comparer des postes entre eux, pas à graduer une gravité absolue.

Priorités

1. CritiqueEnrôlements Intune multiples (2)ENR-002
   Identifiez l'enrôlement actif (celui dont les tâches planifiées EnterpriseMgmt existent et s'exécutent), puis supprimez les clés Enrollments résiduelles, les tâches EnterpriseMgmt orphelines et les certificats MDM associés. Ré-enrôlez après nettoyage.
2. CritiqueSeulement 8,2 % libres sur le disque systèmeSTO-001
   Libérez de la place avant toute chose : aucun autre diagnostic n'a de sens tant que le disque est aussi plein.
3. CritiqueService de mise à jour désactivé : DoSvcSVC-001
   Remettez le service à son mode de démarrage normal, puis cherchez ce qui l'a désactivé : une stratégie, un référentiel de durcissement, ou un outil tiers.
4. CritiqueDérive d'horloge de 421 secondesTIME-001
   Resynchronisez immédiatement avec « w32tm /resync /force ». Vérifiez la source de temps configurée et, sur une machine virtuelle, la synchronisation avec l'hôte. Vérifiez aussi le fuseau horaire.
5. CritiqueEntra ID token acquisition failureSIG-TOKEN
   Check connectivity to login.microsoftonline.com, the device clock, the PRT (dsregcmd /status), and any Conditional Access policy targeting the device.
6. Critique1 application(s) en erreur bloquent la page d'état d'inscriptionESP-003
   Dans IntuneManagementExtension.log, recherchez l'identifiant d'application listé ci-dessous pour obtenir le code de sortie propre à l'installeur. Vérifiez ensuite la règle de détection et les codes de retour de l'installeur dans le portail Intune.

Le résultat du recoupement des sources collectées. Les entrées « Validé » sont conservées volontairement : sans elles, rien ne distingue un contrôle réussi d'un contrôle qui n'a jamais tourné.

Critique 6

Avertissement 16

Information 5

Non testé 4

Validé 24

État de jonction, enrôlements MDM, mécanique de synchronisation et certificats. C'est le socle : si quelque chose est cassé ici, tout le reste en découle.

Identité du poste (dsregcmd)

Sortie complète : dsregcmd-status.txt (sortie brute)

Inscriptions MDM

Une inscription Intune active porte ProviderID = MS DM Server. Plus d'une signifie un nettoyage incomplet.

Tâches de synchronisation MDM

Certificats machine

Le certificat émis par une autorité « Microsoft Intune MDM Device CA » authentifie le poste à chaque session MDM. Sans lui, ou sans sa clé privée, aucune synchronisation n'aboutit.

Si ce poste est passé par Windows Autopilot, avec quel profil et depuis quel tenant, et à quelle étape il s'est arrêté le cas échéant. Microsoft documente peu de chose de ce qu'Autopilot laisse sur un poste : chaque valeur dit donc qui la documente.

Le déploiement, étape par étape

Chaque étape est située par ce qu'elle a laissé sur le poste. La première étape en échec est celle qu'il faut regarder : celles qui suivent n'ont jamais eu leur chance. « Aucune trace » veut dire que le poste ne garde rien de cette étape, pas qu'elle a échoué.

1. 1
   Profil AutopilotTerminée2026-07-20 14:23:42 +02:00Microsoft
   • CloudAssignedTenantDomain = contoso.onmicrosoft.com
   • DeploymentProfileName = Contoso - Standard utilisateur
   • Event 161 at 2026-07-20 14:23:42 +02:00
2. 2
   Attestation TPMSans objet
3. 3
   Jonction à EntraTerminée2026-07-20 14:50:42 +02:00Déduit
   • AzureAdJoined = YES
   • DeviceCertificateValidity starts 2026-07-20 14:50:42 +02:00
4. 4
   Inscription MDMTerminée2026-07-20 14:56:42 +02:00Déduit
   • Intune enrolment 6F2A41D8-93C4-4B17-A0E5-1D8C7E2F4B60
5. 5
   ESP - préparation de l'appareilTerminéeMicrosoft
   • Sidecar InstallationState = 3 (Completed)
6. 6
   ESP - configuration de l'appareilEn échecMicrosoft
   1 application(s) en erreur, ce qui arrête la page : Contoso VPN Client 4.2 (a19f4c7b-2e83-4d16-b5a0-7c91e2d84f35).
   • a19f4c7b-2e83-4d16-b5a0-7c91e2d84f35 : InstallationState = 4 (Error)
7. 7
   ESP - configuration du compteSautée par le profilMicrosoft
   • SkipUserStatusPage

Constats Autopilot et ESP

Les verdicts des contrôles de cohérence de cette section, chacun détaillé dans la section des constats.

• Critique1 application(s) en erreur bloquent la page d'état d'inscriptionESP-003
• Avertissement1 réglage(s) local(aux) connu(s) pour casser AutopilotAUT-006
• Avertissement1 adresse(s) Autopilot sur 5 injoignable(s)AUT-010
• Avertissement2 application(s) sur 6 ne se sont jamais terminées pendant l'ESPESP-004
• InformationSuivi de la page d'état d'inscription présent (dernière phase atteinte : DeviceSetup)ESP-001
• InformationPhase ESP sautée par configuration : configuration du compteESP-010
• Non testéSuivi par l'ESP : application métier (MSI)ESP-006
• Non testéSuivi par l'ESP : application du StoreESP-007
• ValidéProfil Autopilot reçu : Contoso - Standard utilisateurAUT-001
• ValidéLe tenant du profil est celui du posteAUT-002
• ValidéÉdition Enterprise de Windows prise en charge par AutopilotAUT-004
• ValidéLe matériel répond aux exigences du mode de déploiementAUT-005
• ValidéExtension de gestion installée pendant la préparation de l'appareilESP-002
• ValidéStratégies de suivi de la phase appareil crééesESP-005
• ValidéSuivi par l'ESP, profil Wi-Fi : 1 sur 1 installé(s)ESP-008
• ValidéSuivi par l'ESP, profil de certificat : 1 sur 1 installé(s)ESP-009

Le profil reçu

La colonne Source dit qui documente chaque valeur. Microsoft : Microsoft Learn. Get-AutopilotDiagnostics : décrite seulement par le script que la page de dépannage de l'ESP de Microsoft recommande elle-même. Communauté : décrite seulement par des articles communautaires. Déduit : calculée par cet outil à partir des autres valeurs. Microsoft documente peu de chose côté poste, d'où cette distinction.

Options OOBE du profil

Décodées depuis CloudAssignedOobeConfig = 1310. Microsoft documente les cinq bits inférieurs ; les autres sont nommés par Get-AutopilotDiagnostics.

Page d'état d'inscription (ESP)

La page qui retient le poste jusqu'à ce que ses applications et ses stratégies soient en place. Une seule application en erreur (état 4) l'empêche d'installer quoi que ce soit après elle.

Réglages reçus

Reçus par le CSP DMClient et stockés sous la clé d'inscription (Enrollments\6F2A41D8-93C4-4B17-A0E5-1D8C7E2F4B60\FirstSync).

Applications suivies

Les applications Win32 que la page attendait, celles en erreur d'abord. Les noms viennent des enregistrements de l'extension de gestion quand elle en a.

Ce que chaque phase attendait

Redémarrages demandés par une stratégie

L'événement 2800 nomme la stratégie à l'origine de chaque redémarrage. Un redémarrage imprévu pendant l'ESP est une cause fréquente d'échec de l'ouverture de session automatique.

Prérequis vérifiés sur ce poste

Trace des événements Autopilot

Lue sur la totalité de chaque journal plutôt que sur la fenêtre de 14 jours : un poste est déployé une fois, et les événements qui disent comment sont en général plus anciens. Les plus récents d'abord.

Ce que ce poste ne peut pas dire

Ces réponses sont dans le tenant, pas sur le poste. Où les trouver :

• Si le poste est enregistré, et quel profil de déploiement lui est assigné : Intune admin center > Devices > Windows > Enrollment > Windows Autopilot > Devices.
• Deux profils qui atteignent le même poste par deux groupes, que Microsoft donne comme cause de 0x801C03EA : les appartenances du poste aux groupes et les affectations de chaque profil.
• Quel profil ESP s'applique et ses applications bloquantes : Devices > Windows > Enrollment > Enrollment Status Page. Microsoft signale que les applications bloquantes d'un profil ESP ciblant des utilisateurs sont ignorées pendant la configuration de l'appareil.
• Un poste réutilisé après le mode auto-déploiement ou le pré-provisionnement, refusé avec 0x80180014 : sa fiche d'appareil Autopilot, « Unblock device ».
• Jonction hybride : le connecteur Intune pour Active Directory - version 6.2501.2000.5 ou ultérieure, installé dans le domaine cible - et son journal sous Microsoft > Intune > ODJConnectorService (événement 30132 : droits sur l'OU cible).
• Les licences et la limite d'appareils (80180018), l'étendue utilisateur MDM, et les exclusions d'accès conditionnel pour Microsoft Intune Enrollment.
• Le rapport de déploiement, Devices > Monitor > Windows Autopilot deployments, et les diagnostics collectés automatiquement en cas d'échec, conservés 28 jours.

Pièces brutes

Tout ce qui précède a été lu dans ces fichiers, tous présents dans l'archive.

Chaque code rencontré est normalisé (hexadécimal, décimal et décimal signé), décodé, et rattaché à la liste exacte des fichiers et des lignes où il apparaît. Les codes sans entrée dédiée sont au moins attribués à leur sous-système.

Overview

Detail

Unable to download updates: 0x80072EE7. The name of the update service could not be resolved.

Refresh token acquisition failed: AADSTS50058, interaction required. The PRT is absent.

The Primary Refresh Token could not be obtained: 0xCAA5011E.

Application a19f4c7b-2e83-4d16-b5a0-7c91e2d84f35 (Device): Error, code 0x87D1041C.

Detection rule did not find the application after a successful installation. Registry rule targets the 64-bit branch; the installer writes to the 32-bit one.

Application 3d82c5e1-9b47-4a60-8f12-6e05b7d31c94 (Device): Error, code 1603.

MSI returned exit code 1603. The verbose MSI log is the only place the real cause appears.

The MDM session failed during TLS negotiation with manage.microsoft.com. The presented certificate was issued by CN=Contoso SSL Inspection CA.

Toutes les sources fusionnées en un flux unique, du plus récent au plus ancien. C'est là que le véritable ordre des événements apparaît : ce qui a échoué en premier, et ce qui n'en est qu'une conséquence.

10 distinct entries. Repeated occurrences of the same message are grouped: the multiplicity column gives the count.

L'état de chaque application gérée face à ce qui est réellement installé - côte à côte, parce que la plupart des échecs applicatifs sont en fait des désaccords de détection.

Applications suivies par l'extension de gestion

Ces états viennent du registre local (HKLM\SOFTWARE\Microsoft\IntuneManagementExtension\Win32Apps). C'est ce que le poste sait de lui-même : un écart avec le portail signifie que le dernier compte rendu d'état n'est jamais passé.

Applications installées sur le poste

La référence pour valider une règle de détection. Notez la colonne Branche : une règle de registre qui ne vise que la branche 64 bits ne verra jamais une application 32 bits, et produira 0x87D1041C indéfiniment.

Ce que le client MDM applique réellement, et là où deux sources se contredisent.

Conflits entre fournisseurs

Détectés en comparant PolicyManager\providers\* à PolicyManager\current\device. Ces conflits sont invisibles depuis le portail Intune, qui affiche les deux profils comme appliqués.

Stratégies effectives (14)

TPM, BitLocker, Defender, l'extension de gestion, l'horloge et le proxy : les composants dont dépendent l'enrôlement et les déploiements.

Posture de sécurité et état des composants

Système et matériel

Si les endpoints requis sont réellement joignables, depuis ce poste et dans son contexte réseau.

Chaque point de terminaison est testé en trois étapes : résolution DNS, connexion TCP, puis négociation TLS complète. L'émetteur du certificat présenté est relevé : si ce n'est pas une autorité publique attendue, quelque chose déchiffre le trafic — une configuration explicitement non prise en charge sur les points de terminaison Intune.

Proxy WinHTTP effectif : proxy.contoso.local:8080. C'est celui qu'utilisent les services SYSTEM, indépendamment du proxy de la session utilisateur - une source fréquente de confusion au diagnostic.

Ce qui gouverne les mises à jour sur ce poste, ce qu'il a réellement reçu, et la fraîcheur de ses applications. L'essentiel de ce qui empêche un poste de se mettre à jour relève de la configuration plutôt que de l'échec, et la configuration ne produit d'erreur nulle part.

Paramètres Windows Update for Business

La colonne Source indique d'où vient chaque valeur. Une valeur CSP est celle qu'a appliquée le client MDM ; une valeur GPO vient d'une stratégie de groupe. Quand les deux existent, la valeur CSP est affichée, parce que c'est elle qui s'applique.

Autres valeurs présentes sous les mêmes clés

Tout le reste trouvé sous les clés de stratégie Windows Update, la zone CSP et les paramètres d'interface. Listé pour que rien ne soit masqué au seul motif de ne pas figurer dans la liste ci-dessus.

Delivery Optimization

Delivery Optimization tel qu'il fonctionne

Mesuré par le service Delivery Optimization lui-même, et non lu dans le registre. Le mode indiqué est celui réellement en vigueur, qui peut différer du mode configuré : un poste sans stratégie tourne quand même dans un mode.

Ce que Delivery Optimization a réellement transporté

Un poste peut être parfaitement configuré pour le cache pair à pair et prendre malgré tout chaque octet sur Internet. Seuls les compteurs d'usage disent ce qui s'est passé. Les chiffres ci-dessous couvrent le mois calendaire en cours, tel que Windows les conserve.

Configuration effective, et qui l'a posée

Lu via Get-DOConfig, qui rapporte la valeur en vigueur et le fournisseur qui l'a posée. Un balayage du registre ne le peut pas : une valeur par défaut documentée et une stratégie identique s'y ressemblent trait pour trait.

Ce que contient le cache

Chaque fichier conservé par Delivery Optimization, avec la part venue d'un pair ou d'un cache plutôt que directement d'Internet.

Le cache est vide, ou Delivery Optimization n'a pas répondu.

Les services dont la chaîne de mise à jour dépend

Plusieurs sont en Manuel par conception et restent arrêtés entre deux exécutions, ce qui est normal. C'est Désactivé qu'il faut repérer : un service désactivé ne démarre pas à la demande, et la chaîne échoue alors sur des codes qui désignent tout sauf lui.

Où la chaîne de mise à jour range ses fichiers de travail

Mesuré, pas estimé. Un dossier SoftwareDistribution qui a grossi sans limite, ou un disque système sans place, arrête la chaîne d'une façon que l'historique des mises à jour ne nomme jamais.

Les journaux qui enregistrent ce qui s'est passé

Les comptes couvrent la fenêtre d'analyse. Un journal désactivé, ou illisible sans élévation, est marqué comme tel plutôt que rapporté comme vide : un journal sans événement et un journal non lu ne sont pas le même constat.

Historique des mises à jour

614 entrées dans l'historique de l'agent, 4 lues ici, dont 2 en échec.

Correctifs rapportés par QuickFixEngineering

QuickFixEngineering ne liste qu'une partie de ce qui est installé sur Windows actuel : les mises à jour de fonctionnalités, les pilotes et tout ce que livre la pile de maintenance moderne n'y figurent pas. L'historique Windows Update ci-dessous est l'image complète.

Versions applicatives

Savoir si une version est la plus récente dans l'absolu ne peut pas être établi depuis le poste seul : il faut le flux de l'éditeur. Ce qui est montré est la version installée, l'activation des mises à jour, et - si -CheckAppUpdates a été utilisé - ce que winget signale comme disponible.

Chaque fichier, sa provenance, sa taille, son empreinte, et ce qu'il sert à diagnostiquer.

Chaque fichier ci-dessous est dans le sous-dossier Raw\, à côté de ce rapport. Les liens sont relatifs : ils fonctionnent tant que le rapport reste dans son dossier, ou dans l'archive extraite.

26

Report 3

Incidents de collecte

Ce que le collecteur n'a pas pu récupérer. À lire avant de conclure qu'il n'y a pas de problème : une source absente n'est pas une source saine.

Aides à la lecture : les formes que prend un code d'erreur, les familles de préfixes, et les pistes de diagnostic par symptôme.

Lire un code d'erreur

Le même code apparaît sous trois formes selon la source : hexadécimale (0x87D1041C), décimale non signée (2278622236) et décimale signée (-2016345060). Ce sont les mêmes 32 bits. Ce rapport donne toujours les trois, parce que les journaux Intune et le portail ne présentent pas la même forme et qu'il faut pouvoir les rapprocher.

Le préfixe nomme le sous-système émetteur, ce qui suffit souvent à savoir où chercher :

Codes de sortie Windows Installer

Ces codes décimaux apparaissent dans les journaux de l'extension de gestion et dans les états applicatifs. 1603 est le plus fréquent et le moins informatif : il faut toujours descendre dans le journal MSI détaillé pour trouver la cause réelle.

Où regarder, par symptôme

• Une application n'arrive jamais. La section Déploiement applicatif, puis IntuneManagementExtension.log. Séparez d'abord un échec d'installation d'un échec de détection : le traitement est complètement différent.
• Une stratégie reste sans effet. La section Stratégies et conflits. Vérifiez qu'aucun autre fournisseur - ni aucune GPO, en environnement hybride - ne pose la même valeur.
• Le poste ne remonte plus rien. La section Identité et enrôlement : certificat MDM, tâches de synchronisation, puis l'horloge et la connectivité.
• Autopilot reste bloqué. La section Autopilot : l'étape où le déploiement s'est arrêté, puis les tableaux de l'ESP et la trace du journal ModernDeployment-Diagnostics-Provider/Autopilot.
• Des erreurs dispersées et incohérentes. Vérifiez l'horloge et l'inspection TLS avant tout : les deux produisent des symptômes dispersés qui ne désignent jamais leur cause.