Dans cet article, je vais vous montrer une méthode pour ajouter automatiquement un appareil à un groupe Entra ID lorsqu’une application a été installée via une application Win32.
Contexte
Vous avez créé une application et l’avez rendue disponible pour tous les utilisateurs ou appareils via le portail d’entreprise.
Vous devez ajouter les appareils ayant installé cette application dans un groupe Entra ID spécifique.
Prenons l’exemple suivant :
J’ai créé une application Win32 pour installer Docker Desktop pour Windows, et je l’ai rendue disponible pour tous les utilisateurs.
J’ai deux scripts de remédiation :
- Mettre à jour automatiquement Docker s’il est installé.
- Modifier la configuration de Docker (par exemple, désactiver la vérification automatique des mises à jour).
L’application est disponible pour tous les utilisateurs, mais je ne veux pas exécuter mes scripts de remédiation sur tous les appareils.
Je souhaite qu’ils ne soient exécutés que sur les appareils ayant installé Docker via l’application Win32.
La solution consiste à créer un groupe Entra ID pour les appareils ayant Docker installé, puis à attribuer les scripts de remédiation à ce groupe.
La solution
J’utilise un runbook (script) Azure Automation. Nous verrons une méthode similaire avec une fonction Azure dans un article ultérieur.
- J’ai configuré un webhook sur le runbook.
- Le webhook permet une exécution à distance du runbook depuis PowerShell, ce qui signifie depuis n’importe quel appareil.
- Dans mon script (exécuté via le portail d’entreprise), j’appelle le runbook en passant des valeurs, comme le nom de l’appareil. Le script prend le nom de l’appareil actuel et l’envoie au runbook d’automatisation.
- Dans le runbook, je récupère le nom de l’appareil ayant exécuté le webhook, puis je vérifie si cet appareil est géré par Intune.
- Si oui, le runbook peut continuer.
- La dernière étape consiste à ajouter l’appareil au groupe souhaité à l’aide de son nom.
Le runbook que je partage permet d’ajouter un appareil à un groupe ou de le retirer d’un groupe.
Ainsi, une application dans le portail d’entreprise utilise un script PowerShell pour installer l’application. Une fois que vous cliquez sur Installer, l’application s’installe, et l’appareil est ajouté au groupe.
L’idée est ensuite de configurer un script de désinstallation qui désinstalle l’application, puis exécute le runbook pour retirer l’appareil du groupe.
Obtenez le script
Cliquez sur l’image GitHub ci-dessous pour obtenir le script.
Compte Azure Automation
Création du compte
- Allez sur le portail Azure.
- Accédez à Comptes d’automatisation.
- Cliquez sur Créer.
- Saisissez un nom.
- Choisissez un abonnement, un groupe de ressources et une région.
- Cliquez sur Créer.
Configurer l’identité gérée
- Accédez à votre compte d’automatisation.
- Allez dans Identité.
- Accédez à Système attribué.
- Sélectionnez Activé.
- Cliquez sur Enregistrer.
- Cliquez sur Oui.
- Retournez au portail Azure.
- Allez dans Applications d’entreprise.
- Filtrez sur Identité gérée.
- Vous trouverez une application portant le nom de votre compte d’automatisation.
Ajouter des autorisations
Une fois l’identité gérée configurée, une nouvelle application d’entreprise est créée.
Vous devez ajouter des autorisations pour pouvoir effectuer des actions.
L’autorisation requise est : DeviceManagementManagedDevices.Read.All.
Pour ajouter cette autorisation, vous devrez utiliser PowerShell, car cela ne peut pas être fait via le portail.
Utilisez le script Assign_permission.ps1 sur mon dépôt GitHub.
Renseignez simplement les variables suivantes :
- $TenantID : ID de votre locataire.
- $DisplayNameOfMSI : nom de votre compte d’automatisation.
Création d’un runbook
- Accédez à vos Comptes d’automatisation.
- Allez dans Runbooks.
- Cliquez sur Créer un runbook.
- Saisissez un nom.
- Dans Type de runbook, sélectionnez PowerShell.
- Cliquez sur Créer.
- Choisissez un des fichiers PS1.
- Cliquez sur Modifier sur le runbook.
- Copiez le contenu du script.
- Cliquez sur Publier.
- Cliquez sur Oui.
Ajout du webhook
- Allez sur votre runbook.
- Cliquez sur Ajouter un webhook.
- Cliquez sur Créer un nouveau webhook.
- Saisissez un nom.
- Copiez l’URL immédiatement.
- Cliquez sur OK.
- Cliquez sur Paramètres et exécution.
- Cliquez sur OK.
Script à ajouter dans votre application
Voici le code à ajouter dans votre script PowerShell exécuté dans votre application Win32.
La variable $Action a deux valeurs :
- Add : pour ajouter un appareil au groupe.
- Remove : pour retirer un appareil du groupe.
Dans la variable $webhookURI, saisissez l’URL de votre webhook.