Plugin Microsoft Intune pour Risk Exchange

Ce document explique comment configurer Microsoft Intune v1.1.0 plugin avec le module Risk Exchange de la plateforme Netskope Cloud Exchange. Ce plugin extrait les données de périphériques de la page Périphériques > Tous les périphériques, les scores d'intégrité des périphériques de la page Rapports > Analytique > Analytique des points de terminaison et les balises de groupe de la page Périphériques > Intégration des périphériques > Inscription > Windows Autopilot > Périphériques dans Microsoft Intune. Ce plugin prend en charge les actions Redémarrer le périphérique, Synchroniser le périphérique, Exécuter l'analyse Windows Defender et Mettre à jour les signatures Windows Defender dans Microsoft Intune.

Conditions préalables

Pour réaliser cette intégration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec le plugin Tenant et le plugin Risk Exchange déjà configurés.
• Une application Entra ID disposant des autorisations requises.
• Connectivité avec les hôtes suivants :
  • https://login.microsoftonline.com
  • https://graph.microsoft.com

Prise en charge du plugin Microsoft Intune

This plugin fetches Devices data from the Devices > All Devices page, Device Health Scores from the Reports > Analytics > Endpoint Analytics page, and Group Tags from the Devices > Device Onboarding > Enrollment > Windows Autopilot > Devices page in Microsoft Intune. This plugin supports Reboot Device, Sync Device, Run Windows Defender Scan, and Update Windows Defender Signatures actions in Microsoft Intune.

Mises en correspondance

Le mappage sera utilisé pour afficher les périphériques extraits et leurs détails respectifs. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois les données extraites. Vous trouverez ci-dessous le mappage suggéré qui peut être utilisé lors de la configuration du plugin.

Pull Mapping pour périphérique

Permissions

L'application Microsoft Entra ID (anciennement Azure Active Directory) doit disposer des autorisations suivantes :

• DeviceManagementManagedDevices.Read.All
• DeviceManagementManagedDevices.ReadWrite.All
• DeviceManagementManagedDevices.PrivilegedOperations.All
• DeviceManagementServiceConfig.ReadWrite.All
• DeviceManagementConfiguration.ReadWrite.All

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJub25jZ.ASKajYnNghrgyqzO-H2Pns"
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/managedDevices",
    "@odata.count": 1,
    "value": [
        {
            "id": "97a16538-13de-4fb0-b522-4f42da4958b3",
            "userId": "e4ae0b3b-7d23-41fb-b3e7-ca2ab72ed952",
            "deviceName": "WIN11-50-10-99",
            "managedDeviceOwnerType": "company",
            "managementState": "managed",
            "enrolledDateTime": "2025-09-24T09:36:14Z",
            "lastSyncDateTime": "2025-10-28T11:54:19Z",
            "operatingSystem": "Windows",
            "complianceState": "compliant",
            "jailBroken": "Unknown",
            "managementAgent": "mdm",
            "osVersion": "10.0.22621.4317",
            "easActivated": true,
            "easDeviceId": "B2AA3AEF93D9972DF31470B343BFB661",
            "easActivationDateTime": "0001-01-01T00:00:00Z",
            "azureADRegistered": true,
            "deviceEnrollmentType": "windowsAutoEnrollment",
            "activationLockBypassCode": null,
            "emailAddress": "netskope@netskope.onmicrosoft.com",
            "azureADDeviceId": "65c126aa-b1da-44a3-ae14-dfe367da5987",
            "deviceRegistrationState": "registered",
            "deviceCategoryDisplayName": "NetskopeCE",
            "isSupervised": false,
            "exchangeLastSuccessfulSyncDateTime": "0001-01-01T00:00:00Z",
            "exchangeAccessState": "none",
            "exchangeAccessStateReason": "none",
            "remoteAssistanceSessionUrl": null,
            "remoteAssistanceSessionErrorDetails": null,
            "isEncrypted": false,
            "userPrincipalName": "netskope@netskope.onmicrosoft.com",
            "model": "VMware7,1",
            "manufacturer": "VMware, Inc.",
            "imei": "",
            "complianceGracePeriodExpirationDateTime": "9999-12-31T23:59:59Z",
            "serialNumber": "VMware-42030d0e92ed5c36-c1a09bc4b6be3254",
            "phoneNumber": "",
            "androidSecurityPatchLevel": "",
            "userDisplayName": "netskope",
            "configurationManagerClientEnabledFeatures": null,
            "wiFiMacAddress": "aa:bb:cc:dd:ee:ff",
            "deviceHealthAttestationState": null,
            "subscriberCarrier": "",
            "meid": "",
            "totalStorageSpaceInBytes": 52855570432,
            "freeStorageSpaceInBytes": 314572800,
            "managedDeviceName": "WindowsVM",
            "partnerReportedThreatState": "unknown",
            "requireUserEnrollmentApproval": null,
            "managementCertificateExpirationDate": "2026-05-04T15:01:05Z",
            "iccid": null,
            "udid": null,
            "notes": null,
            "ethernetMacAddress": “aa:bb:cc:dd:ee:ff”,
            "physicalMemoryInBytes": 0,
            "enrollmentProfileName": null,
            "deviceActionResults": []
        }
    ]
}

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.userExperienceAnalyticsDeviceScores",
      "id": "0dd9f6cf-f6cf-0dd9-cff6-d90dcff6d90d",
      "deviceName": "Device Name value",
      "model": "Model value",
      "manufacturer": "Manufacturer value",
      "endpointAnalyticsScore": 7.333333333333333,
      "startupPerformanceScore": 7.666666666666667,
      "appReliabilityScore": 6.333333333333333,
      "workFromAnywhereScore": 7.0,
      "batteryHealthScore": 6.0,
      "healthStatus": "insufficientData"
    }
  ]
}

204 No Content

204 No Content

{
    "quickScan": True or False
}

204 No Content

204 No Content

{
    "requests": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "url": "/deviceManagement/managedDevices/690b1aad-190e-40d2-9bc2-39132a2d3680/rebootNow",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "url": "/deviceManagement/managedDevices/690b1aad-23db-4fb0-b922-4f42da2958b3/syncDevice",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "url": "/deviceManagement/managedDevices/690b1aad-1935-4eae-b8d8-d13f2803f671/windowsDefenderScan",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {
                "quickScan": true
            }
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "url": "/deviceManagement/managedDevices/690b1aad-09b7-4c38-8e93-23aef667af01/windowsDefenderUpdateSignatures",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        }
    ]
}

{
    "responses": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "status": 204,
            "body": null
        }
    ]
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/windowsAutopilotDeviceIdentities",
    "@odata.count": 1,
    "@odata.nextLink": "https://graph.microsoft.com/v1.0/deviceManagement/windowsAutopilotDeviceIdentities?$top=1&$skiptoken=LastSerialNumber%3d%MP4193E7FAX%27",
    "value": [
        {
            "id": "19ed68e5-871e-4f49-8003-3363c06c2fe3",
            "groupTag": "LocalMachine-E",
            "purchaseOrderIdentifier": "",
            "serialNumber": "MP4193E7FAX",
            "productKey": "58fddc96-c392-871e-ad39-3363c06c2fe3",
            "manufacturer": "LENOVO",
            "model": "20VE",
            "enrollmentState": "enrolled",
            "lastContactedDateTime": "2026-01-30T09:19:13Z",
            "addressableUserName": "",
            "userPrincipalName": "",
            "resourceName": "",
            "skuNumber": "LENOVO_MT_20VE_BU_idea_FM_ThinkBook 15 G2 ITL",
            "systemFamily": "ThinkBook 15 G2 ITL",
            "azureActiveDirectoryDeviceId": "fe8503ff-f9bb-40b6-b652-3363c06c2fe3",
            "managedDeviceId": "c89ab55d-b652-4e79-f9bb-8675caaf73e0",
            "displayName": "NetskopeLaptop-1"
        }
    ]
}

Matrice de performance

Voici la matrice des performances réalisée sur une grande pile Cloud Exchange avec ces spécifications en extrayant 500k périphériques.

Agent utilisateur

netskope-ce-6.0.1-cre-microsoft-intune-v1.1.0

Workflow

1. Obtenez votre ID client, votre clé secrète client et votre ID de locataire auprès de Microsoft Intune
2. Configurer le plugin Microsoft Intune
3. Ajouter une règle métier pour Microsoft Intune
4. Ajouter une action pour Microsoft Intune
5. Validation

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Obtenez l'ID client, le secret client et l'ID de locataire auprès de Microsoft Intune

1. Connectez-vous à la plateforme Azure et accédez à App Registrations > All applications.

   

2. Recherchez votre application et sélectionnez-la.

   

3. Copiez l’identifiant client et le locataire listés dans la section Essentiels.

   

4. Pour la clé secrète client, accédez à Manage > Certificates & secrets.

   

5. Cliquez sur New client secret, puis entrez une description et une date d'expiration selon vos besoins.

   

6. Copiez le secret du client.

   Note

   Veillez à copier la valeur du secret du client et non l'identifiant du secret.

Configurer le plugin Microsoft Intune

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin Microsoft Intune v1.1.0 (CRE).

   

2. Ajoutez un nom de configuration du plugin et modifiez l'intervalle de synchronisation si nécessaire.

   

3. Cliquez sur Next et entrez les paramètres de configuration :
   • Client ID: ID client de l'application Microsoft Azure. Sur votre portail Microsoft Azure, accédez à la page « Azure Entra ID > App registrations > Your Application > Overview » et récupérez l'ID client (Client ID).
   • Client Secret: Secret client pour l'application Microsoft Azure. Sur votre portail Microsoft Azure, accédez à la page « Azure Entra ID > App registrations > Your Application > Certificates & Secrets » et récupérez le secret client (Client Secret). Remarque : Veillez à copier la valeur du secret client et non l'ID du secret (Secret ID).
   • Tenant ID: ID de locataire pour l'application Microsoft Azure. Sur votre portail Microsoft Azure, accédez à « Azure Entra ID > Inscriptions d'applications > Votre application > page Vue d'ensemble » et obtenez l'ID de locataire.

   

4. Cliquez sur Next, sélectionnez l'entité dans le menu déroulant Entity et fournissez le mappage de champs conformément aux exigences. Pour créer un New champ sous n'importe quelle entité, cliquez sur + Add field.

   

5. Entrez une étiquette de champ, un type de données, définissez l'unicité (ou non) et sélectionnez la stratégie d'agrégation.

   

   Correspondances suggérées :

   

   

   

6. Cliquez sur Save.

   

Ajouter une règle métier Risk Exchange pour Microsoft Intune

1. Dans Risk Exchange, allez à Business Rules.
2. Cliquez sur Create New Rule.
3. Saisissez un nom de règle. Select le périphérique pour les champs configurés pour le plugin Microsoft Intune et configurez la requête en fonction de vos besoins. Cet exemple filtre les périphériques non conformes du plugin Intune.

   

4. Cliquez sur Save.

   

Ajouter des actions

Le plugin Microsoft Intune prend en charge les types d'action suivants :

• Reboot Device: redémarrez les périphériques sur Microsoft Intune à l'aide de cette action.
• Update Windows Defender Signatures: mettez à jour les signatures de Windows Defender ou l'intelligence de sécurité Windows Defender pour les périphériques sur Microsoft Intune à l'aide de cette action. Cette action est uniquement prise en charge pour les périphériques Windows.
• Run Windows Defender Scan: exécutez l'analyse Windows Defender sur les périphériques de Microsoft Intune à l'aide de cette action. Cette action est uniquement prise en charge pour les périphériques Windows.
• Sync Device: synchronisez les périphériques sur Microsoft Intune à l'aide de cette action.
• No Action: aucune action ne sera effectuée pour cette action. Les utilisateurs peuvent générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant le bouton de bascule Generate Alerts.

Redémarrage périphérique

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select une règle de gestion, une configuration et une action dans leurs menus déroulants respectifs.
3. Pour l'identifiant du périphérique (Device ID), saisissez l'identifiant du périphérique à redémarrer.

   

4. Activez le bouton de bascule Require Approval si une approbation est nécessaire avant d'effectuer une action sur les périphériques.
5. Cliquez sur Save.

   

Mettre à jour les signatures de Windows Defender

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select une règle de gestion, une configuration et une action dans leurs menus déroulants respectifs.
3. Pour l'identifiant du périphérique (Device ID), saisissez l'identifiant du périphérique à redémarrer.

   

4. Activez le bouton de bascule Require Approval si une approbation est nécessaire avant d'effectuer une action sur les périphériques.
5. Cliquez sur Save.

   

Exécutez l'analyse de Windows Defender

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select une règle de gestion, une configuration et une action dans leurs menus déroulants respectifs.
3. Pour l'identifiant du périphérique (Device ID), saisissez l'identifiant du périphérique à redémarrer.
4. Pour le type de scan : choisissez d'exécuter un scan rapide ou un scan complet.

   

5. Activez le bouton de bascule Require Approval si une approbation est nécessaire avant d'effectuer une action sur les périphériques.
6. Cliquez sur Save.

Sync périphérique

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select une règle de gestion, une configuration et une action dans leurs menus déroulants respectifs.
3. Pour l'identifiant du périphérique (Device ID), saisissez l'identifiant du périphérique à redémarrer.

   

4. Activez le bouton de bascule Require Approval si une approbation est nécessaire avant d'effectuer une action sur les périphériques.
5. Cliquez sur Save.

   

No Action

1. Dans Risk Exchange, allez à Actions et cliquez sur Add Action Configuration.
2. Select une règle de gestion, une configuration et une action dans leurs menus déroulants respectifs.
3. Select No actions dans le menu déroulant et activez le bouton de bascule Generate Alert pour générer des alertes dans le module Ticket Orchestrator.

   

4. Activez le bouton de bascule Require Approval si une approbation est nécessaire avant d'effectuer une action sur les périphériques.
5. Cliquez sur Save.

Valider le plugin Microsoft Intune

Valider dans Cloud Exchange

1. Dans Risk Exchange, allez sur Records. Select l'entité qui a été sélectionnée lors de la configuration du mappage de champs pour les périphériques afin d'afficher les enregistrements extraits.

   

2. Accédez à Logging et recherchez les journaux du plugin à l'aide de son nom.

   

3. Dans Logging, vérifiez l'action effectuée pour un hôte. Vous pouvez appliquer le filtre avec le nom du plugin ou le nom de la configuration du plugin.

Journaux pour l'action Redémarrer le périphérique :

Journaux pour l'action d'analyse Windows Defender (Run Windows Defender Scan) :

Journaux pour l'action de mise à jour des signatures Windows Defender / de mise à jour de l'intelligence de sécurité Windows Defender :

Journaux pour l'action de synchronisation de périphérique (Sync Device) :

Journaux pour l'action Aucune action :

Lorsqu’un utilisateur correspond à l’une des règles métier configurées, l’action configurée est effectuée sur l’utilisateur. Cela peut être vu à Risk Exchange > Action Logs.

Valider dans Microsoft Intune

Pour afficher les périphériques disponibles sur Microsoft Intune, connectez-vous à votre instance Azure et accédez à Intune > Devices > All Devices.

Pour afficher les scores associés à ce périphérique particulier, cliquez sur le nom du périphérique et accédez à la page d'expérience utilisateur.

Pour vérifier l'étiquette de groupe (Group Tag) associée aux périphériques, accédez à Device Onboarding > Enrollment > Windows Autopilot > Devices.

Pour l'action Reboot périphérique :

Pour l'action Exécuter l'analyse de Windows Defender :

Pour l'action Mettre à jour les signatures Windows Defender :

Pour l'action de synchronisation du périphérique, accédez à Tenant Administration > Audit Logs.

Dépannage du plugin Microsoft Intune

Impossible de configurer le plugin Microsoft Intune

Si vous ne parvenez pas à configurer le plugin Microsoft Intune, c'est peut-être pour l'une des raisons suivantes :

• Fourni un identifiant de client, un secret de client ou un identifiant de locataire incorrect.
• Les informations d'identification fournies n'ont pas les autorisations suffisantes.

What to do:

1. Pour obtenir l’ID client, le secret client et l’identifiant locataire, suivez les étapes mentionnées dans Obtenez l’ID client, le secret client et l’identifiant locataire depuis Microsoft Intune .
2. Pour accorder les autorisations appropriées au paramètre de configuration, reportez-vous à la section Autorisations.

Impossible de tirer le périphérique

Si vous ne parvenez pas à extraire le périphérique du plugin Microsoft Intune, cela peut être dû à l'une des raisons suivantes :

• Aucun périphérique n'est présent sur la plateforme Microsoft Intune.
• Une erreur est survenue lors du retrait du périphérique de la plate-forme.
• Le mappage n'a pas été ajouté lors de la configuration du plugin dans la page source de l'entité.

What to do:

1. Vérifiez sur la plateforme Microsoft Intune si le périphérique existe ou non.
2. Réception d'une erreur 500 : Le serveur est peut-être en panne, attendez un peu et vérifiez plus tard.
3. Réception d'une erreur 403 : Le paramètre de configuration du plugin ne dispose pas d'autorisations suffisantes ou les informations d'identification n'existent plus. Vérifiez les autorisations pour l'ID du client, le secret du client et l'ID du locataire.
4. Assurez-vous que les mappings ont été ajoutés lors de la configuration du plugin.

Impossible d'afficher les détails du périphérique sur la page Enregistrements

Si vous ne parvenez pas à afficher les détails du périphérique sur la page Enregistrements, cela peut être dû au fait que les mappings pour tous les champs Microsoft Intune n'ont pas été fournis lors de la configuration du plugin Microsoft Intune.

What to do: Assurez-vous de fournir les mappings nécessaires lors de la configuration du plugin.

Impossible d'effectuer une action sur le périphérique

Si vous ne parvenez pas à effectuer une action sur le périphérique, cela peut être dû à l'une des raisons suivantes :

• L'autorisation donnée pour l'action n'est pas suffisante.
• Réception d'une erreur lors de l'exécution d'une action.
• périphérique n'est pas présent sur la plateforme Microsoft Intune.
• L'option Require Approval a été activée lors de la configuration de l'action, et la demande n'est pas approuvée.

What to do:

1. L'autorisation donnée pour l'action n'est pas suffisante. Vérifiez que les autorisations requises sont fournies à Intune.
2. Si la machine est hors service ou n'existe pas, le plugin ne pourra pas exécuter l'action avec succès. Vérifiez que le périphérique est accessible.
3. Allez sur la plateforme Microsoft Intune et vérifiez si le périphérique pour lequel une action doit être effectuée est présent ou non.
4. Accédez à la page Journaux d'action, sélectionnez les journaux pour lesquels vous souhaitez approuver les demandes et cliquez sur l'icône d'approbation. Ou désactivez la case à cocher Require Approval dans l'action configurée, et effectuez à nouveau l'action.

Impossible de récupérer le tag de groupe après la mise à niveau du plugin

Si vous ne parvenez pas à récupérer le tag de groupe après avoir mis à jour le plugin vers la dernière version, cela peut être dû à la raison suivante : le champ du tag de groupe étant introduit dans le plugin à partir de la v1.1.0, Le tag de groupe n'est pas mappé dans le plugin après une mise à niveau à partir de la version v1.0.0.

What to do: mettez à jour le plugin et ajoutez le champ du tag de groupe comme mentionné dans la section Mappings.

Limitation

Les systèmes d'exploitation tels que Windows, macOS, iOS et Android sont conçus pour n'autoriser qu'une seule autorité de gestion des périphériques mobiles (MDM) active à la fois. Microsoft Intune est une solution MDM, tout comme Omnissa Workspace One UEM. Par conséquent, si vous souhaitez inscrire vos périphériques sur plusieurs plateformes, assurez-vous qu'il ne s'agit pas d'une solution MDM. Sinon, vous recevrez l'erreur ci-dessous. Ce comportement est observé lors de la tentative d'inscription du périphérique disponible sur Omnissa vers Intune.