Troubleshooting
Diagnostic détailléJe pars du problème observé, je rassemble les informations utiles, puis je vérifie chaque cause avant de proposer une correction.
Captures et schémas pour faciliter le diagnosticBlog Modern WorkplaceRetours terrain
Je partage ici ce que j’apprends et ce que je rencontre autour du Modern Workplace et de l’Endpoint Management : architectures, configurations, automatisation et résolution de problèmes, avec des exemples concrets pour comprendre ce qui fonctionne — et pourquoi.
Dernières publications
Retrouvez directement les derniers sujets ajoutés au blog, avant de parcourir l’ensemble de la base de connaissances.
Une méthode pas à pas pour distinguer contenu non éligible, stratégie concurrente, service cloud inaccessible, port 7680 bloqué, proxy sans HTTP Range, VPN, ressources locales et cache MCC inutilisé.
Exporter le rapport de gestion depuis Paramètres ou utiliser MdmDiagnosticsTool, retrouver le fichier produit et protéger les identifiants avant partage.
Distinguer host indisponible, objet Intune absent, policy non applicable, application en échec, profil temporaire et problème de connexion utilisateur avec les journaux adaptés.
Séparer baseline du host et expérience utilisateur, filtrer les paramètres supportés, empaqueter les applications pour un environnement partagé et déployer par anneaux de session hosts.
Comprendre l’inscription des session hosts, la portée device ou user, les limites de Windows Enterprise multi-session et la relation entre AVD, Intune, applications et FSLogix.
Comparer Cloud PCs dédiés et partagés, comprendre la concurrence d’usage, User Experience Sync, les pools et les rapports nécessaires pour dimensionner le service.
Sujets
Intune, Windows, automatisation, dépannage ou architecture : choisissez le sujet qui vous intéresse pour retrouver les articles associés.
Types d’articles
Selon le sujet, je peux aller droit au but, expliquer une technologie en profondeur, résoudre un problème étape par étape ou proposer une configuration argumentée.
Je pars du problème observé, je rassemble les informations utiles, puis je vérifie chaque cause avant de proposer une correction.
Captures et schémas pour faciliter le diagnosticJ’explique les concepts, l’architecture, les composants, la mise en œuvre et les limites de la technologie abordée.
Une explication complète avant la mise en pratiqueJe propose une configuration en expliquant les autres possibilités, les risques, le pilote et le retour arrière.
Une recommandation expliquée et vérifiableJe présente une commande, une astuce ou une découverte avec le contexte nécessaire pour la comprendre et la vérifier.
Un format court, précis et directement vérifiableArticles
Parcourez les derniers articles ou utilisez la recherche pour retrouver directement un sujet, une technologie, un journal ou une commande.
Deux canaux OMA-DM peuvent cohabiter sur un même poste Windows : l’enrôlement MDM historique et l’enrôlement lié de Windows Declared Configuration. J’explique leur architecture, leurs différences, la propriété des ressources et les preuves à rechercher sur le poste.
Une méthode fondée sur les preuves pour suivre une application Win32 depuis son affectation Intune jusqu’à sa détection finale sur le poste.
Architecture, états, contenus, journaux et reporting : comprendre comment l’Intune Management Extension traite réellement une application Win32.
Comparer les deux architectures Autopilot, leurs prérequis, leurs modes, leur reporting et leurs limites pour choisir sans confondre simplicité et équivalence.
Une procédure de diagnostic pas à pas pour localiser un blocage Autopilot entre réseau, identité, enrôlement MDM, ESP, IME, applications et scripts.
Architecture et méthode de preuve pour déterminer si MECM ou Intune contrôle réellement conformité, configuration, applications, mises à jour et protection endpoint.
Une méthode de conception pour organiser Settings Catalog, Endpoint Security, baselines, groupes, filtres, exclusions, nommage et gouvernance des changements.
Une méthode de décision selon la responsabilité du package, les mises à jour, la détection, Autopilot, les licences et le support.
Déployer le Portail d’entreprise Windows, distinguer provisionnement et enregistrement utilisateur, puis diagnostiquer Store, AppX et IME.
Comprendre l’autorité Windows Update, les groupes Autopatch, les politiques de qualité, fonctionnalités, pilotes et l’éligibilité Hotpatch.
OData v4, métadonnées, grains, jointures, historique, Power Query, sécurité et validation d’un modèle Power BI Intune.
Vérifier TPM, UEFI, Secure Boot, WinRE, jointure, conflits de stratégies, journaux et sauvegarde de la clé lorsque le chiffrement silencieux ne démarre pas.
Construire un client Graph robuste qui parcourt toutes les pages, traite les réponses partielles d’un batch et respecte Retry-After.
Une méthode complète pour distinguer affectation Intune, téléchargement, signature, dépendances, provisioning et déploiement par utilisateur.
Retrouver la commande réellement exécutée, le contexte, le code de sortie et la preuve d’installation au lieu de tester des paramètres au hasard.
Pourquoi le bouton Synchroniser ne relance pas tout, comment distinguer les trois cycles et quelles preuves collecter pour chacun.
Comprendre la nouvelle plateforme d’inventaire Intune, sélectionner les propriétés utiles et distinguer collecte, requête à la demande et reporting historique.
Architecture WNS, schéma de données, requêtes KQL, limites et méthode de validation pour le support L1/L2.
Une stratégie par vagues pour traiter compatibilité, versions Windows 11, appareils non éligibles, ESU, applications et critères de sortie.
Architecture d’authentification, permissions minimales, pagination, retry, journalisation, idempotence et séparation entre lecture et écriture.
Comparer données opérationnelles, exports de rapports et modèle OData historique pour choisir la bonne source et expliquer les écarts.
Fonctionnement des policies de drivers, approbations, applicabilité Windows Update, audiences Graph, anneaux, rapports et rollback.
Choisir une autorité, configurer le chiffrement silencieux, protéger les clés et migrer depuis GPO, baseline ou anciens profils.
Choisir Cloud Update ou Intune, gérer les canaux, les vagues, les délais, le réseau, les exceptions et le rollback sans autorités concurrentes.
Lire les états Win32Apps et les propriétés GRS, distinguer historique et échec courant, puis décider si une nouvelle tentative est légitime.
Distinguer identité device, état de jointure, inscription MDM, PRT et objet Intune afin de ne plus diagnostiquer un poste avec un seul indicateur.
Suivre découverte MDM, licence, restrictions, certificat, tâches EnterpriseMgmt et création de l’objet Intune dans l’ordre réel.
Séparer configuration, évaluation et enforcement, concevoir des délais de grâce, comptes d’urgence et vagues en report-only.
Lire source de scan, politiques CSP/GPO, services, workload co-management et journaux avant de modifier un anneau.
Préparer groupes, corporate identifiers, applications essentielles, scripts, sécurité, reporting et critères GO/NO-GO.
Séparer détection et correction, définir les codes de sortie, l’idempotence, la simulation, les logs, le rollback et les anneaux.
Comprendre CA, RA, profils de confiance, identité du sujet, émission, révocation, renouvellement et dépendances réseau.
Choisir le compte, le répertoire de sauvegarde, la rotation, les actions post-authentification et les rôles de lecture sans exposer les mots de passe.
Comprendre settings policy, elevation rules, hash/certificate, élévation automatique ou confirmée, support-approved et reporting.
Construire une matrice de propriété, piloter ASR en audit, contrôler les règles firewall et migrer les versions de baseline sans double configuration.
Comparer pull et push, conserver deltaLink, renouveler les subscriptions, valider les webhooks et récupérer les notifications manquées.
Comprendre permissions, admin groups, scope groups et scope tags, tester les droits effectifs et éviter l’élargissement cumulatif.
Relier provisionnement Hello, clés liées au TPM, Microsoft Entra Kerberos, TGT partiel et accès aux ressources Active Directory sans déployer de certificats utilisateur.
Diagnostiquer l’absence de prompt, l’échec du PIN, la santé du TPM, les clés NGC, les policies, le PRT, Cloud Kerberos Trust et l’accès aux ressources locales.
Préparer matériel, TPM attestation, ESP, applications device, reseal, logistique et parcours utilisateur pour réduire réellement le temps d’attente à la remise du poste.
Choisir le bon mécanisme de ciblage selon la propriété, le service consommateur, la latence, l’OOBE et le besoin de réutilisation hors Intune.
Construire et diagnostiquer le graphe applicatif Intune, l’ordre d’installation, le ciblage explicite, le remplacement, les désinstallations et les conflits de relations.
Connecter les services, déployer la policy EDR, vérifier le sensor, la télémétrie, le device inventory, le risk signal et préparer coexistence, offboarding et rollback.
Relier GUID, action effective, événement 1121/1122/1129, rapport Defender, Advanced Hunting, processus parent et exclusion afin de corriger sans affaiblir toute la protection.
Identifier profil actif, policy source, merge local/MDM, règle gagnante, service, application, port, direction et preuve réseau avant d’ouvrir un flux.
Configurer Log Analytics et les clients, comprendre latence et couverture, suivre quality/feature updates, safeguards et erreurs sans confondre absence de données et conformité.
Choisir delegated ou application, réduire les scopes, séparer les workloads, utiliser certificats ou workload identity, auditer les grants et organiser expiration, rotation et retrait.
Passer du score agrégé aux appareils, modèles, processus, changements et anomalies, puis mesurer une correction avec cohorte témoin et baseline.
Comprendre PK, KEK, DB, DBX et le rôle du firmware, inventorier les certificats 2011, préparer les certificats 2023 et piloter la transition sans confondre intention Windows et application UEFI.
Construire une chronologie Windows et firmware, interpréter les événements 1795 à 1808, contrôler la tâche Secure-Boot-Update, BitLocker et les versions BIOS avant toute remédiation.
Choisir l’autorité de stratégie, vérifier TPM, UEFI et WinRE, configurer l’escrow Entra, les protecteurs et la rotation, puis piloter le chiffrement avec des preuves locales et cloud.
Partir du symptôme, relier protecteur, Recovery ID, Entra, BitLocker-API, MDM Diagnostics et PolicyManager, puis corriger sans supprimer les preuves ni exposer les clés.
Comprendre les politiques base et supplémentaires, règles publisher/file/hash, modes Audit et Enforced, ApplicationControl CSP, événements Code Integrity et conception d’un allowlist maintenable.
Identifier la politique effective, corréler événements Code Integrity et AppLocker, distinguer fichier, signature, règle et Managed Installer, puis produire une correction minimale et réversible.
Comprendre comment AppLocker désigne l’IME, comment les fichiers installés reçoivent une origine approuvée, pourquoi ce marquage n’est pas rétroactif et comment l’associer à une politique App Control.
Distinguer stratégie de Feature Update et anneau, maintenir une version cible, comprendre OfferReady et les safeguard holds, puis organiser un rollout progressif sans forcer une incompatibilité connue.
Relier groupes Entra, deployment rings et stratégies générées, décider la composition des anneaux, utiliser les custom releases et gouverner pause, reprise, rollback et changements de service.
Choisir Automatic ou Manual, comprendre l’inventaire d’applicabilité Windows Update, approuver recommended et other drivers, gérer les dates, les rings et les sources de scan sans créer de conflit WSUS.
Comparer objectif, données supprimées, état Entra/Intune/Autopilot, prérequis WinRE, délai de check-in et conséquences support afin d’éviter une action destructive inadaptée.
Créer un exportJob, sélectionner colonnes et filtres, suivre le statut asynchrone, télécharger l’archive temporaire, valider le schéma et gouverner permissions, throttling et historisation.
Distinguer restrictions de plateforme et limites par utilisateur, qualifier la propriété avec les identifiants d’entreprise Windows, organiser les priorités et diagnostiquer Enrollment restriction not met.
Comprendre ce que les cleanup rules masquent réellement, distinguer last check-in et activité Entra, protéger BitLocker et Autopilot, puis désactiver avant de supprimer selon un cycle de vie contrôlé.
Distinguer registration, import et enrollment, comprendre la tolérance du hardware hash, préférer l’enregistrement OEM, préparer un CSV valide et corréler objets Autopilot, Entra et Intune.
Qualifier installation provisionnée ou utilisateur, analyser Store, AppX, WAM, jetons Entra, check-in MDM, IME et journaux LocalState pour comprendre un portail vide, bloqué ou incapable d’installer.
Comprendre les packages Win32 préparés par Microsoft, leurs métadonnées, SLO de publication, exigences et détection, organiser supersedence et mises à jour, puis valider responsabilité éditeur et licence.
Comprendre App Installer, winget.exe et COM, manifests, sources msstore et winget, contextes utilisateur et système, journaux Diagnostics, politiques ADMX et usage indirect par Intune.
Comparer application app-only, certificat, identité managée système ou utilisateur, consentement et app roles, construire la rotation et la révocation, puis contrôler le token sans jamais le journaliser.
Concevoir compte Automation, Managed Identity, modules Graph, runbook PowerShell, schedule, Export API, stockage, alertes et reprise sur erreur sans compte utilisateur ni secret embarqué.
Transformer service release, What’s new, In development, Message center et service health en veille qualifiée, décisions d’impact, tests de régression, communication et mise à jour documentaire.
Comprendre l’upload des appareils et collections, la récupération temps réel, les rôles RBAC, CMPivot, scripts et applications, et surtout pourquoi Tenant Attach ne déplace pas automatiquement les workloads.
Relier client Internet, service CMG VM scale set, connection point, management point et contenu, choisir Entra, certificat ou token, dimensionner coûts et lire les journaux de chaque segment.
Inventorier identités, GPO, applications et ressources locales, bâtir un POC Entra Join avec Autopilot et Intune, préparer données utilisateur et SSO, puis remplacer ou réinitialiser plutôt que convertir en place.
Suivre la demande depuis le profil Intune jusqu’à la clé privée créée sur le poste, la validation du challenge, l’émission AD CS et l’installation du certificat.
Localiser un échec entre affectation, accès HTTPS, challenge, module de stratégie, modèle AD CS, livraison au poste et authentification finale.
Comprendre où la clé est créée, comment le connecteur demande et exporte le PFX, comment Intune protège la livraison et ce que change le strong mapping AD.
Comparer sécurité des clés, dépendances locales, compatibilité, exploitation, renouvellement, révocation, coût et scénarios hybrides avant de choisir.
Aligner profil Wi-Fi, certificat client, autorités de confiance, validation du serveur RADIUS, contexte utilisateur ou appareil et déploiement par dépendances.
Distinguer profil absent, validation serveur, sélection du certificat client, échec TLS, refus RADIUS, VLAN et perte d’accès après renouvellement.
Lire ProfileXML, portée utilisateur ou appareil, protocoles, routes, DNS, déclencheurs, filtres et états Windows sans confondre profil déclaré et tunnel établi.
Répartir pré-logon, gestion, accès utilisateur, protocoles, certificats, routes, DNS, haute disponibilité et phases de migration entre les deux tunnels.
Diagnostiquer profil absent, déclenchement, DNS public, IKEv2/SSTP, certificats, NPS, routes, NRPT et accès applicatif avec une chronologie client-serveur.
Comprendre émission, clé de session, protection TPM, CloudAP, WAM, cookies PRT, renouvellement, MFA et relation avec l’identité de l’appareil.
Partir d’AzureAdPrt et AcquirePrtDiagnostics, corréler AAD Operational/Analytic, heure, proxy, identité appareil, WAM, navigateur et journaux de connexion Entra.
Choisir certlm.msc ou certmgr.msc, parcourir Cert:, vérifier clé privée, EKU, expiration et chaîne sans modifier le magasin.
Protéger les changements sensibles avec des access policies, des groupes d’approbateurs séparés, un RBAC minimal, une procédure de traitement et des critères de secours vérifiables.
Suivre une session d’assistance depuis Microsoft Entra et Intune jusqu’au canal chiffré, aux permissions du helper, au consentement du sharer et à l’audit de session.
Préparer les licences, créer des rôles séparés, distribuer l’application, tester le réseau, encadrer le consentement et intégrer les sessions au processus de support.
Isoler un échec d’installation, d’authentification, de portée RBAC, de WebView2, de notification, de contrôle ou de transport à partir des journaux et de la chronologie.
Suivre un Cloud PC depuis licence et provisioning policy jusqu’à la capacité Azure, la jointure, l’inscription Intune, l’affectation utilisateur, la période de grâce et la suppression.
Choisir Microsoft-hosted network ou Azure Network Connection, organiser les groupes, qualifier les images, contrôler la jointure et déployer les Cloud PCs par vagues mesurables.
Localiser l’échec entre licence, policy, capacité, image, Azure Network Connection, jointure, domaine et inscription Intune sans lancer un reprovisioning à l’aveugle.
Comparer Cloud PCs dédiés et partagés, comprendre la concurrence d’usage, User Experience Sync, les pools et les rapports nécessaires pour dimensionner le service.
Comprendre l’inscription des session hosts, la portée device ou user, les limites de Windows Enterprise multi-session et la relation entre AVD, Intune, applications et FSLogix.
Séparer baseline du host et expérience utilisateur, filtrer les paramètres supportés, empaqueter les applications pour un environnement partagé et déployer par anneaux de session hosts.
Distinguer host indisponible, objet Intune absent, policy non applicable, application en échec, profil temporaire et problème de connexion utilisateur avec les journaux adaptés.
Exporter le rapport de gestion depuis Paramètres ou utiliser MdmDiagnosticsTool, retrouver le fichier produit et protéger les identifiants avant partage.
Comprendre comment Windows combine CDN, pairs et Microsoft Connected Cache, comment les stratégies définissent les frontières réseau et comment mesurer les économies de bande passante sans confondre transport et déploiement.
Une méthode pas à pas pour distinguer contenu non éligible, stratégie concurrente, service cloud inaccessible, port 7680 bloqué, proxy sans HTTP Range, VPN, ressources locales et cache MCC inutilisé.
Ma méthode
Pour chaque sujet, je croise plusieurs documents afin de vérifier les informations importantes.
Je montre où chercher l’information et comment interpréter les commandes, les journaux et les paramètres.
Je précise les risques, les contrôles, le pilote et la marche à suivre pour revenir en arrière.