Plugin Microsoft Intune pour Risk Exchange

Ce document explique comment configurer le plugin Microsoft Intune v1.0.0 avec le module Risk Exchange de la plateforme Netskope Cloud Exchange. Ce plugin récupère les données du périphérique à partir de la page > All périphérique dans Microsoft Intune. Ce plugin prend en charge les actions Reboot périphérique, Sync périphérique, Run Windows Defender Scan et Update Windows Defender Signatures sur la plateforme Microsoft Intune.

Conditions préalables

Pour réaliser cette intégration, vous avez besoin de :

• Un locataire Netskope (ou plusieurs, par exemple des instances de production et de développement/test).
• Un locataire Netskope Cloud Exchange avec le plugin Tenant et le plugin Risk Exchange déjà configurés.
• Application Entra ID déjà configurée avec les autorisationsrequises
• Connectivité avec les hôtes suivants :
  • https://login.microsoftonline.com
  • https://graph.microsoft.com

Prise en charge du plugin Microsoft Intune

This plugin fetches Devices data from the Devices > All Devices page in Microsoft Intune. This plugin supports the Reboot Device, Sync Device, Run Windows Defender Scan, and Update Windows Defender Signatures actions on the Microsoft Intune platform.

Mises en correspondance

La cartographie sera utilisée pour visualiser les périphériques tirés et leurs détails respectifs. Les champs mappés lors de la configuration du plugin seront visibles sur la page Enregistrements une fois les données extraites. Vous trouverez ci-dessous la cartographie suggérée qui peut être utilisée lors de la configuration du plugin.

Pull Mapping pour périphérique

Permissions 

L'application Microsoft Entra ID (anciennement Azure Active Directory) doit disposer de ces autorisations :

• DeviceManagementManagedDevices.Read.All
• DeviceManagementManagedDevices.ReadWrite.All
• DeviceManagementManagedDevices.PrivilegedOperations.All

{
    "token_type": "Bearer",
    "expires_in": 3599,
    "ext_expires_in": 3599,
    "access_token": "eyJ0eXAiOiJKV1QiLCJub25jZ.ASKajYnNghrgyqzO-H2Pns"
}

{
    "@odata.context": "https://graph.microsoft.com/v1.0/$metadata#deviceManagement/managedDevices",
    "@odata.count": 1,
    "value": [
        {
            "id": "97a16538-13de-4fb0-b522-4f42da4958b3",
            "userId": "e4ae0b3b-7d23-41fb-b3e7-ca2ab72ed952",
            "deviceName": "WIN11-50-10-99",
            "managedDeviceOwnerType": "company",
            "managementState": "managed",
            "enrolledDateTime": "2025-09-24T09:36:14Z",
            "lastSyncDateTime": "2025-10-28T11:54:19Z",
            "operatingSystem": "Windows",
            "complianceState": "compliant",
            "jailBroken": "Unknown",
            "managementAgent": "mdm",
            "osVersion": "10.0.22621.4317",
            "easActivated": true,
            "easDeviceId": "B2AA3AEF93D9972DF31470B343BFB661",
            "easActivationDateTime": "0001-01-01T00:00:00Z",
            "azureADRegistered": true,
            "deviceEnrollmentType": "windowsAutoEnrollment",
            "activationLockBypassCode": null,
            "emailAddress": "netskope@netskope.onmicrosoft.com",
            "azureADDeviceId": "65c126aa-b1da-44a3-ae14-dfe367da5987",
            "deviceRegistrationState": "registered",
            "deviceCategoryDisplayName": "NetskopeCE",
            "isSupervised": false,
            "exchangeLastSuccessfulSyncDateTime": "0001-01-01T00:00:00Z",
            "exchangeAccessState": "none",
            "exchangeAccessStateReason": "none",
            "remoteAssistanceSessionUrl": null,
            "remoteAssistanceSessionErrorDetails": null,
            "isEncrypted": false,
            "userPrincipalName": "netskope@netskope.onmicrosoft.com",
            "model": "VMware7,1",
            "manufacturer": "VMware, Inc.",
            "imei": "",
            "complianceGracePeriodExpirationDateTime": "9999-12-31T23:59:59Z",
            "serialNumber": "VMware-42030d0e92ed5c36-c1a09bc4b6be3254",
            "phoneNumber": "",
            "androidSecurityPatchLevel": "",
            "userDisplayName": "netskope",
            "configurationManagerClientEnabledFeatures": null,
            "wiFiMacAddress": "aa:bb:cc:dd:ee:ff",
            "deviceHealthAttestationState": null,
            "subscriberCarrier": "",
            "meid": "",
            "totalStorageSpaceInBytes": 52855570432,
            "freeStorageSpaceInBytes": 314572800,
            "managedDeviceName": "WindowsVM",
            "partnerReportedThreatState": "unknown",
            "requireUserEnrollmentApproval": null,
            "managementCertificateExpirationDate": "2026-05-04T15:01:05Z",
            "iccid": null,
            "udid": null,
            "notes": null,
            "ethernetMacAddress": “aa:bb:cc:dd:ee:ff”,
            "physicalMemoryInBytes": 0,
            "enrollmentProfileName": null,
            "deviceActionResults": []
        }
    ]
}

{
  "value": [
    {
      "@odata.type": "#microsoft.graph.userExperienceAnalyticsDeviceScores",
      "id": "0dd9f6cf-f6cf-0dd9-cff6-d90dcff6d90d",
      "deviceName": "Device Name value",
      "model": "Model value",
      "manufacturer": "Manufacturer value",
      "endpointAnalyticsScore": 7.333333333333333,
      "startupPerformanceScore": 7.666666666666667,
      "appReliabilityScore": 6.333333333333333,
      "workFromAnywhereScore": 7.0,
      "batteryHealthScore": 6.0,
      "healthStatus": "insufficientData"
    }
  ]
}

204 No Content

204 No Content

{
    "quickScan": True or False
}

204 No Content

204 No Content

{
    "requests": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "url": "/deviceManagement/managedDevices/690b1aad-190e-40d2-9bc2-39132a2d3680/rebootNow",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "url": "/deviceManagement/managedDevices/690b1aad-23db-4fb0-b922-4f42da2958b3/syncDevice",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "url": "/deviceManagement/managedDevices/690b1aad-1935-4eae-b8d8-d13f2803f671/windowsDefenderScan",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {
                "quickScan": true
            }
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "url": "/deviceManagement/managedDevices/690b1aad-09b7-4c38-8e93-23aef667af01/windowsDefenderUpdateSignatures",
            "method": "POST",
            "headers": {
                "Content-Type": "application/json"
            },
            "body": {}
        }
    ]
}

{
    "responses": [
        {
            "id": "690b1aad-190e-40d2-9bc2-39132a2d3680",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-23db-4fb0-b922-4f42da2958b3",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-1935-4eae-b8d8-d13f2803f671",
            "status": 204,
            "body": null
        },
        {
            "id": "690b1aad-09b7-4c38-8e93-23aef667af01",
            "status": 204,
            "body": null
        }
    ]
}

Matrice de performance

Voici la matrice de performance réalisée sur un Large CE Stack avec ces spécifications en tirant 500k périphérique.

Agent utilisateur

netskope-ce-6.0.0-cre-microsoft-intune-v1.0.0

Workflow

1. Obtenez votre identifiant de client, votre secret de client et votre identifiant de locataire auprès de Microsoft Intune.
2. Configurez le plugin Microsoft Intune.
3. Ajouter une règle de gestion pour Microsoft Intune.
4. Ajouter une action pour Microsoft Intune.
5. Validez le plugin Microsoft Intune.

Regardez une vidéo

Cliquer sur « play » pour regarder une vidéo.

Obtenez l'ID du client, le secret du client et l'ID du locataire à partir de Microsoft Intune.

1. Connectez-vous à la plateforme Azure et accédez à App Registrations > All applications.

   

2. Recherchez votre application et cliquez dessus.

   

3. Copiez l’identifiant client et le locataire listés dans la section Essentiels.

   

4. Maintenant, pour le secret du client, allez à Manage > Certificates & secrets.

   

5. Cliquez sur New client secret, puis saisissez la description et l'expiration en fonction de vos besoins.

   

6. Copiez la valeur du secret du client.

   Note :

   Veillez à copier la valeur du secret du client et non l'identifiant du secret.

Configurer le plugin Microsoft Intune

1. Dans Cloud Exchange, allez sur Settings > Plugin Store. Recherchez et sélectionnez le plugin Microsoft Intune v1.0.0 (CRE).

   

2. Ajoutez un nom de configuration du plugin et modifiez l'intervalle de synchronisation si nécessaire.

   

3. Cliquez sur Next et entrez les paramètres de configuration : 
   • Client ID: ID client pour l’application Microsoft Azure.
   • Client Secret: Secret client pour l'application Microsoft Azure.
   • Tenant ID: ID du locataire pour l'application Microsoft Azure.

   

4. Cliquez sur Next et sélectionnez l'entité dans la liste déroulante Entité. Saisissez les correspondances entre les champs selon vos besoins.

   Pour créer un champ New sous n'importe quelle entité, cliquez sur +Add field.

   

   Saisissez l'intitulé du champ, le type de données, définissez Unique (ou non) et sélectionnez la stratégie d'agrégation. Lorsque vous avez terminé, cliquez sur Save.

   

   Ajoutez ces propositions de mappage :

   

   

   

   

5. Cliquez sur Save.

   

Ajouter une règle métier Risk Exchange pour le plugin Microsoft Intune

1. Dans Risk Exchange, allez à Business Rules et cliquez sur Create New Rule.
2. Saisissez un nom de règle. Select l'entité pour laquelle des champs ont été configurés pour le plugin Microsoft Intune, et configurez la requête en fonction de vos besoins. Cet exemple de filtre récupère le périphérique non conforme à partir du plugin Intune.

   

3. Cliquez sur Save.

   

Ajouter des actions Risk Exchange pour le plugin Microsoft Intune

Le plugin Microsoft Intune prend en charge les types d'action suivants :

• Reboot Device: Les utilisateurs peuvent redémarrer le périphérique sur Microsoft Intune à l'aide de cette action.
• Update Windows Defender Signatures: Les utilisateurs peuvent mettre à jour les signatures Windows Defender ou mettre à jour les informations de sécurité Windows Defender pour le périphérique sur Microsoft Intune à l'aide de cette action. Note : Cette action n'est possible que pour les fenêtres périphériques.
• Run Windows Defender Scan: Les utilisateurs peuvent exécuter Windows Defender Scan sur le périphérique de Microsoft Intune à l'aide de cette action. Note : Cette action n'est possible que pour les fenêtres périphériques.
• Sync Device: Les utilisateurs peuvent synchroniser le périphérique sur Microsoft Intune à l'aide de cette action.
• No ActionAucune action ne sera effectuée pour cette action. Les utilisateurs peuvent générer des alertes UBA dans Ticket Orchestrator en utilisant cette action et en activant l'option « Générer des alertes » .

Redémarrage périphérique

1. Dans Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.
2. Select la règle de gestion requise, la configuration du plugin et l'action de redémarrage du périphérique dans leurs listes déroulantes respectives. périphérique ID est l'ID du périphérique à redémarrer.

   

3. Activez la case à cocher Exiger une approbation si une approbation est nécessaire avant d'effectuer une action sur le périphérique.
4. Cliquez sur Save.

   

Mettre à jour les signatures de Windows Defender

1. Dans Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.
2. Select la règle de gestion requise, la configuration du plugin et l'action Mettre à jour les signatures Windows Defender dans leurs listes déroulantes respectives. périphérique ID est l'ID du périphérique à redémarrer.

   

3. Activez la case à cocher Exiger une approbation si une approbation est nécessaire avant d'effectuer une action sur le périphérique.
4. Cliquez sur Save.

   

Exécutez l'analyse de Windows Defender

1. Dans Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.
2. Select la règle de gestion requise, la configuration du plugin et l'action d'analyse de Windows Defender dans leurs listes déroulantes respectives.
   • périphérique ID : ID du périphérique à redémarrer.
   • Type d'analyse : Indique s'il faut lancer une analyse rapide ou une analyse complète. Vous devez sélectionner Full Scan ou Quick Scan parmi les valeurs statiques.

   

3. Activez la case à cocher Exiger une approbation si une approbation est nécessaire avant d'effectuer une action sur le périphérique.
4. Cliquez sur Save.

   

Sync périphérique

1. Dans Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.
2. Select la règle métier requise, la configuration du plugin et l'action de synchronisation périphérique dans leurs listes déroulantes respectives.

   

3. Activez la case à cocher Exiger une approbation si une approbation est nécessaire avant d'effectuer une action sur le périphérique.
4. Cliquez sur Save.

   

No Action

1. Dans Risk Exchange, allez dans Actions et cliquez sur Add Action Configuration.
2. Select Business rule, Plugin Configuration, et No Action Action dans leurs listes déroulantes respectives.
3. Enable the Generate Alert toggle to generate alerts in the Ticket Orchestrator module.

   

4. Activez la case à cocher Exiger une approbation si une approbation est nécessaire avant d'effectuer une action sur le périphérique.
5. Cliquez sur Save.

Valider le plugin Microsoft Intune

Valider dans Cloud Exchange

1. Dans Risk Exchange, allez sur Records. Select l'entité qui a été utilisée lors de la configuration du mappage des champs pour périphérique afin de visualiser les enregistrements tirés.

   

2. Rendez-vous sur la page « Logging » et recherchez les journaux du plugin en utilisant son nom.

   

3. Rendez-vous sur Logging pour vérifier l'action effectuée sur un hôte. Vous pouvez appliquer le filtre en utilisant le nom du plugin ou le nom de la configuration du plugin.

   Journaux de l'action Redémarrer le périphérique :

   

   Journaux pour l'action Exécuter l'analyse de Windows Defender :

   

   Enregistre l'action Update Windows Defender Signatures/Update Windows Defender Security Intelligence :

   

   Journaux de l'action Sync périphérique :

   

   Journaux relatifs à l'action "Pas d'action" :

   

4. Lorsqu’un utilisateur correspond à l’une des règles métier configurées, l’action configurée est effectuée sur l’utilisateur. Cela se voit dans le Risk Exchange > Action Logs.

   

Valider dans Microsoft Intune

Pour afficher les périphériques disponibles sur Microsoft Intune, connectez-vous à votre instance Azure et accédez à Intune > Devices > All Devices.

Pour afficher les scores liés au périphérique en question, cliquez sur le nom du périphérique et accédez à User experience.

Pour l'action Reboot périphérique :

Pour l'action Exécuter l'analyse de Windows Defender :

Pour l'action Mettre à jour les signatures Windows Defender :

Pour l'action Sync périphérique :

Allez sur Tenant Administration > Audit Logs.

Dépannage du plugin Microsoft Intune

Impossible de configurer le plugin Microsoft Intune

Si vous ne parvenez pas à configurer le plugin Microsoft Intune, c'est peut-être pour l'une des raisons suivantes :

• Fourni un identifiant de client, un secret de client ou un identifiant de locataire incorrect.
• Les informations d'identification fournies n'ont pas les autorisations suffisantes.

What to do:

1. Pour obtenir l’ID client, le secret client et l’identifiant locataire, suivez les étapes mentionnées dans Obtenez l’ID client, le secret client et l’identifiant locataire depuis Microsoft Intune .
2. Pour accorder les autorisations appropriées au paramètre de configuration, reportez-vous à la section Autorisations.

Impossible de tirer le périphérique

Si vous ne parvenez pas à extraire le périphérique du plugin Microsoft Intune, cela peut être dû à l'une des raisons suivantes :

• Aucun périphérique n'est présent sur la plateforme Microsoft Intune.
• Une erreur est survenue lors du retrait du périphérique de la plate-forme.
• Le mappage n'a pas été ajouté lors de la configuration du plugin dans la page source de l'entité.

What to do:

1. Vérifiez sur la plateforme Microsoft Intune si le périphérique existe ou non.
2. Réception d'une erreur 500 : Le serveur est peut-être en panne, attendez un peu et vérifiez plus tard.
3. Réception d'une erreur 403 : Le paramètre de configuration du plugin ne dispose pas d'autorisations suffisantes ou les informations d'identification n'existent plus. Vérifiez les autorisations pour l'ID du client, le secret du client et l'ID du locataire.
4. Assurez-vous que les mappings ont été ajoutés lors de la configuration du plugin.

Impossible d'afficher les détails du périphérique sur la page Enregistrements

Si vous ne parvenez pas à afficher les détails du périphérique sur la page Enregistrements, cela peut être dû au fait que les mappings pour tous les champs Microsoft Intune n'ont pas été fournis lors de la configuration du plugin Microsoft Intune.

What to do: Assurez-vous de fournir les mappings nécessaires lors de la configuration du plugin.

Impossible d'effectuer une action sur le périphérique

Si vous ne parvenez pas à effectuer une action sur le périphérique, cela peut être dû à l'une des raisons suivantes :

• L'autorisation donnée pour l'action n'est pas suffisante.
• Réception d'une erreur lors de l'exécution d'une action.
• périphérique n'est pas présent sur la plateforme Microsoft Intune.
• L'option Require Approval a été activée lors de la configuration de l'action, et la demande n'est pas approuvée.

What to do:

1. L'autorisation donnée pour l'action n'est pas suffisante. Vérifiez que les autorisations requises sont fournies à Intune.
2. Si la machine est hors service ou n'existe pas, le plugin ne pourra pas exécuter l'action avec succès. Vérifiez que le périphérique est accessible.
3. Allez sur la plateforme Microsoft Intune et vérifiez si le périphérique pour lequel une action doit être effectuée est présent ou non.
4. Accédez à la page Journaux d'action, sélectionnez les journaux pour lesquels vous souhaitez approuver les demandes et cliquez sur l'icône d'approbation. Ou désactivez la case à cocher Require Approval dans l'action configurée, et effectuez à nouveau l'action.

Limitation

Les systèmes d'exploitation tels que Windows, macOS, iOS et Android sont conçus pour n'autoriser qu'une seule autorité active de Mobile périphérique Management (MDM) à la fois. Microsoft Intune est une solution MDM, tout comme Omnissa Workspace One UEM. Par conséquent, si vous souhaitez inscrire votre périphérique sur plusieurs plateformes, assurez-vous qu'il ne s'agit pas d'une solution MDM. Sinon, vous recevrez l'erreur suivante. Le comportement suivant a été observé lorsque nous avons essayé d'enregistrer le périphérique disponible sur Omnissa dans Intune.