Windows-Gerät ist weiterhin in Intune registriert, synchronisiert aber keine Konfigurationsrichtlinien

Hallo,

wenn ein Windows-Gerät in Intune weiterhin als registriert angezeigt wird, aber Konfigurationsrichtlinien nicht mehr erhält, bedeutet das nicht zwangsläufig, dass die Registrierung defekt ist. Die Ursache kann bei der Entra-ID-Geräteauthentifizierung, der MDM-Registrierung, der Netzwerkverbindung, der Richtlinienzuweisung oder dem lokalen Intune Management Extension (IME) liegen. Entscheidend ist, zunächst festzustellen, ob die MDM-Synchronisierung insgesamt fehlschlägt oder nur Win32-App- und Remediation-Bereitstellungen betroffen sind, da diese unterschiedliche Protokolle und Komponenten verwenden.

Prüfen Sie zunächst auf dem betroffenen Gerät unter Einstellungen > Konten > Auf Arbeits- oder Schulkonto zugreifen, ob die Organisationsverbindung noch besteht. Öffnen Sie die verbundene Kontoinformation und lösen Sie bei Bedarf eine manuelle Synchronisierung aus. Führen Sie anschließend in einer administrativen Eingabeaufforderung dsregcmd /status aus und prüfen Sie insbesondere AzureAdJoined, DomainJoined und DeviceAuthStatus, sofern diese Felder vorhanden sind. Ein erfolgreiches Join-Ergebnis allein beweist allerdings nicht, dass die MDM-Synchronisierung funktioniert.

Die wichtigsten Protokolle finden Sie in der Ereignisanzeige unter Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin. Suchen Sie nach Fehlern zum Zeitpunkt des Synchronisierungsversuchs und prüfen Sie die Ereignisdetails auf Richtlinien-IDs, Fehlercodes und Authentifizierungsprobleme. Zusätzlich können Sie unter Microsoft > Windows > TaskScheduler > Operationalnach Aufgaben im Zusammenhang mit der MDM-Registrierung suchen. Für einen umfassenderen Bericht öffnen Sie eine administrative Eingabeaufforderung und führen aus:

mkdir C:\Temp
mdmdiagnosticstool.exe -area "DeviceEnrollment;DeviceProvisioning" -cab C:\Temp\MDMDiagReport.cab

Falls speziell Win32-Apps, PowerShell-Skripte oder Remediations nicht mehr ausgeführt werden, prüfen Sie außerdem die Protokolle des Intune Management Extension unter:

C:\ProgramData\Microsoft\IntuneManagementExtension\Logs\

Besonders relevant sind IntuneManagementExtension.log, AgentExecutor.log und HealthScripts.log. Die IME-Protokolle sind nicht die primäre Diagnosequelle für sämtliche MDM-Konfigurationsrichtlinien; für Richtlinien, die über den Windows-MDM-Kanal bereitgestellt werden, sind die DeviceManagement-Enterprise-Diagnostics-Provider-Protokolle wichtiger.

Kontrollieren Sie im Intune-Portal außerdem, ob das Gerät tatsächlich der betroffenen Richtlinie zugewiesen ist, ob Filter oder Ausschlüsse greifen und ob der letzte Richtlinienstatus beziehungsweise die letzte Synchronisierung aktuell ist. Wenn nur dieses Gerät betroffen ist, vergleichen Sie dessen Ereignisse und Registrierungsstatus mit einem funktionierenden Gerät. Bei Authentifizierungs- oder Verbindungsfehlern sollten Sie auch Proxy-, Firewall- und TLS-Verbindungen zu den erforderlichen Microsoft-Endpunkten überprüfen. Entfernen Sie das Gerät nicht vorschnell aus Entra ID oder Intune und heben Sie die Registrierung nicht auf, bevor die Diagnoseprotokolle gesichert wurden.

Wenn Sie mir den Fehlercode aus dem DeviceManagement-Enterprise-Diagnostics-Provider-Protokoll und sagen, ob auch normale Gerätekonfigurationsrichtlinien oder nur Apps und Skripte betroffen sind, kann ich den Fehlerpfad genauer eingrenzen.

Domic Vo.