Ajouter automatiquement un appareil dans un groupe Entra ID à partir d’un script de remédiation

Dans cet article, je vais vous montrer comment ajouter automatiquement un appareil à un groupe Entra ID à partir d’un script de remédiation.

Contexte

Vous souhaitez remplir un groupe Entra ID en fonction de certains critères spécifiques sur vos appareils.
Par exemple, vos appareils doivent posséder une clé de registre spécifique ou d’autres critères.

Prenons l’exemple suivant :
Vous voulez vérifier si la clé de registre ci-dessous existe.
Si oui, vous souhaitez ajouter l’appareil actuel à un groupe Entra ID spécifique.

La solution

J’utilise un runbook Azure Automation (script) configuré avec un webhook.
Le webhook permet l’exécution à distance du runbook depuis PowerShell.
Dans mes scripts de remédiation, j’appelle le runbook en passant des valeurs comme le nom de l’appareil à partir duquel le script de remédiation est exécuté.
Dans le runbook Automation, je récupère le nom de l’appareil qui a exécuté le webhook, puis je vérifie si l’appareil est géré par Intune.
Si oui, le runbook peut continuer.
La dernière étape consiste à ajouter l’appareil avec le nom spécifié au groupe cible.
Le runbook que j’ai partagé vous permet d’ajouter un appareil à un groupe.
Un script de remédiation est exécuté sur vos appareils pour effectuer les vérifications nécessaires, puis il ajoute l’appareil actuel au groupe cible si nécessaire.

Obtenez le script

Cliquez sur l’image GitHub ci-dessous pour obtenir le script. Vous y trouverez trois scripts :

• Detection.ps1 : exemple de script de remédiation avec vérification de registre
• Runbook.ps1
• Assign_permissions.ps1

Compte Azure Automation

Création du compte

1. Accédez au portail Azure
2. Allez dans Comptes d’automatisation
3. Cliquez sur Créer
4. Saisissez un nom
5. Choisissez un abonnement, un groupe de ressources et une région
6. Cliquez sur Créer

Définir l’identité managée

1. Allez dans votre compte d’automatisation
2. Accédez à Identité
3. Cliquez sur Système attribué
4. Sélectionnez Activé
5. Cliquez sur Enregistrer
6. Cliquez sur Oui
7. Accédez au portail Azure
8. Allez dans Applications d’entreprise
9. Filtrez sur Identité managée
10. Vous trouverez une application portant le nom de votre compte d’automatisation

Ajout des permissions

Une fois l’identité managée configurée, une nouvelle application d’entreprise est créée. Vous devez alors ajouter des permissions.
Les permissions requises sont : DeviceManagementManagedDevices.Read.All
Pour ajouter cette permission, vous devez utiliser PowerShell, cela ne peut pas être fait via le portail.
Pour cela, utilisez le script Assign_permission.ps1 disponible sur mon dépôt GitHub.

Vous devez simplement renseigner les variables suivantes :

• $TenantID : l’ID de votre locataire
• $DisplayNameOfMSI : le nom de votre compte d’automatisation

Création d’un runbook

1. Allez dans vos Comptes d’automatisation
2. Accédez à Runbooks
3. Cliquez sur Créer un runbook
4. Saisissez un nom
5. Dans le type de runbook, sélectionnez PowerShell
6. Cliquez sur Créer
7. Choisissez un des fichiers PS1
8. Cliquez sur Modifier sur le runbook
9. Collez le contenu du script
10. Cliquez sur Publier
11. Cliquez sur Oui

Ajout du webhook

1. Allez dans votre runbook
2. Cliquez sur Ajouter un webhook
3. Cliquez sur Créer un nouveau webhook
4. Saisissez un nom
5. Copiez l’URL maintenant
6. Cliquez sur OK
7. Cliquez sur Paramètres des paramètres et exécution
8. Cliquez sur OK

Le script de remédiation

L’exemple de script de remédiation est disponible sur mon GitHub, lien ci-dessus.
Dans la variable $webhookURI, saisissez l’URL de votre webhook.