Registrando dispositivos Windows no Microsoft Intune via Script PowerShell

Em projetos de Microsoft Intune, temos muitos fatores que podem de alguma forma atrapalhar o registro do dispositivo.

Em cenários em que deve ser configurado o registro do MDM em ambiente de hybrid registered, é necessário o dispositivo Windows 11, estar ingressado no AD e receber a diretiva de grupo de MDM, assim o registro ocorre de forma automática.

Neste cenário, alguns pré requisitos precisam ser preenchidos, os principais são:

• Usuário licenciado
• Grupo na qual o usuário faz parte, permitir para registrar no Microsoft Intune

Com esses 2 passos validados, o registro deve acontecer.

Caso obtiver erros de registro, deixo aqui um script que pode ser executado de forma manual ou via GPO de script, assim o registro irá acontecer, afinal, o projeto precisa andar!

Executando de forma manual:

Se você não estiver implantando este script abaixo com o contexto do sistema (requisito da ferramenta RMM), precisamos baixar e usar o PSExec. (Ferramentas Sysinternal)

Com Psexec -s podemos iniciar o registro que aciona o comando DeviceEnrolle r com estes argumentos /c /AutoEnrollMDM noContexto do sistema (PSEXEC)

Quando executar o comando do PsExec, o PowerShel em contexto de sistema irá abrir, quando abrir, copie e cole o script de registro abaixo:

# Set MDM Enrollment URL's

$key = 'SYSTEM\CurrentControlSet\Control\CloudDomainJoin\TenantInfo\*'
$keyinfo = Get-Item "HKLM:\$key"
$url = $keyinfo.name
$url = $url.Split("\")[-1]
$path = "HKLM:\SYSTEM\CurrentControlSet\Control\CloudDomainJoin\TenantInfo\$url"

New-ItemProperty -LiteralPath $path -Name 'MdmEnrollmentUrl' -Value 'https://enrollment.manage.microsoft.com/enrollmentserver/discovery.svc' -PropertyType String -Force -ea SilentlyContinue;
New-ItemProperty -LiteralPath $path  -Name 'MdmTermsOfUseUrl' -Value 'https://portal.manage.microsoft.com/TermsofUse.aspx' -PropertyType String -Force -ea SilentlyContinue;
New-ItemProperty -LiteralPath $path -Name 'MdmComplianceUrl' -Value 'https://portal.manage.microsoft.com/?portalAction=Compliance' -PropertyType String -Force -ea SilentlyContinue;

# Trigger AutoEnroll
C:\Windows\system32\deviceenroller.exe /c /AutoEnrollMDM

Aguarde alguns minutinhos e verifique o visualizador de eventos:

Enquanto isso, você pode acompanhar no log de eventos DeviceManagement-Enterprise-Diagnostic .

Após algum tempo de espera, você notará o evento 75 com a mensagem Auto MDM Enroll: Successed

Utilizo esse scripts, em situações muito específicas, exemplo, a GPO de Auto Registro do Intune é baseado em Computador, e ai a GPO aplica quando dispositivo liga e acessa o domínio, mas se caso o usuário estiver em Home Office e só depois abrir a VPN, em alguns casos, a GPO de auto registro do MDM não irá funcionar, e nesse caso, esse script pode ser uma rápida solução.