Configuration Microsoft Intune¶

PatchFactory utilise Microsoft Graph pour créer et mettre à jour les applications Win32.

Prérequis¶

Tenant Microsoft Entra ID.
Application Entra dédiée à PatchFactory.
Certificat avec clé privée installé sur le poste d’administration.
Permissions Microsoft Graph de type Application validées par un administrateur.
IntuneWinAppUtil.exe est installé et détecté automatiquement lorsqu’une application maison ou un bundle doit être construit localement.

Permissions Microsoft Graph¶

Dans Microsoft Entra ID > Inscriptions d’applications > votre application PatchFactory > Autorisations API, ajoutez les autorisations Application suivantes pour Microsoft Graph :

Permission	Utilisation dans PatchFactory
`DeviceManagementApps.ReadWrite.All`	Lire, créer, mettre à jour et supprimer les applications Intune, leurs contenus, catégories, dépendances, supersédences et affectations. Cette permission permet aussi de générer les rapports applicatifs Intune.
`DeviceManagementScripts.ReadWrite.All`	Créer, actualiser et affecter les contrôles de l’onglet Baselines sous forme de Remediations Intune.
`DeviceManagementManagedDevices.Read.All`	Lire l’état, la conformité, la synchronisation, le chiffrement, la version Windows et la capacité des appareils dans Santé du parc.
`Group.Read.All`	Charger les groupes de sécurité, lire leur règle dynamique et déterminer si une cible contient des utilisateurs ou des appareils.

Permissions Application uniquement

PatchFactory s’authentifie sans utilisateur avec son certificat. Les permissions Déléguées ne sont donc pas utilisées. Après l’ajout des permissions du tableau, cliquez sur Accorder un consentement administrateur pour le tenant.

PatchFactory ne demande pas Directory.Read.All, DeviceManagementManagedDevices.ReadWrite.All ni les opérations distantes privilégiées. DeviceManagementManagedDevices.Read.All sert uniquement à la vue en lecture seule Santé du parc. La détection du parc matériel et la maintenance WinPE restent volontairement limitées à MECM. Les Remediations Baselines exécutent uniquement les scripts affichés et documentés dans le client ; PatchFactory ne peut pas effacer ni redémarrer à distance un appareil Intune.

Ajouter les permissions¶

Ouvrez le portail Microsoft Entra.
Sélectionnez Identité > Applications > Inscriptions d’applications.
Ouvrez l’application dédiée à PatchFactory.
Sélectionnez Autorisations API > Ajouter une autorisation > Microsoft Graph.
Choisissez Autorisations d’application.
Recherchez et ajoutez les permissions du tableau.
Cliquez sur Accorder un consentement administrateur et vérifiez que chaque ligne affiche Accordé.
Redémarrez PatchFactory afin d’obtenir immédiatement un nouveau jeton, puis utilisez Tester Intune.

Une licence Microsoft Intune active est nécessaire dans le tenant pour utiliser les API de gestion Intune.

Paramètres principaux¶

Dans Configuration > Intune, renseignez :

l’identifiant du tenant ;
l’identifiant de l’application Entra ;
l’empreinte du certificat ;
les groupes et intentions d’affectation par défaut.

Aucun chemin d’outil n’est à saisir. Les applications standards réutilisent directement le package .intunewin fourni par le catalogue et restent publiables même si aucun packaging local n’est nécessaire.

Utilisez le bouton de test avant la première publication.

Avec un certificat installé dans LocalMachine, utilisez Autoriser ce compte une seule fois. PatchFactory déclenche une élévation contrôlée, accorde uniquement la lecture de la clé privée au compte Windows courant — compte local, domaine ou Microsoft Entra — puis fonctionne sans exiger un lancement quotidien en administrateur.

Contexte d’installation et ciblage¶

Le contexte du package et le type de groupe sont deux notions différentes :

une application Machine peut être affectée à un groupe d’utilisateurs, mais elle s’installe dans le contexte système sur leurs appareils ;
une application Utilisateur doit être affectée à un groupe d’utilisateurs ;
PatchFactory bloque les associations manifestement incompatibles avant l’appel Microsoft Graph.

Dépendances¶

Les dépendances sont publiées avant l’application principale. Docker Desktop et Ubuntu peuvent nécessiter le package WSL. Un redémarrage peut être requis entre l’installation du moteur et celle de l’application dépendante.

Erreurs Microsoft Graph¶

Une réponse 400 indique généralement une requête ou une relation devenue incompatible avec l’objet déjà publié. Une réponse 500 est un échec côté service Microsoft. Dans les deux cas, consultez l’entrée complète dans Activité, puis relancez uniquement l’application concernée après correction.

Une réponse 403 avec Authorization_RequestDenied ou Application is not authorized indique qu’une permission Application est absente ou que le consentement administrateur n’a pas été accordé. Vérifiez le tableau ci-dessus, accordez le consentement, puis redémarrez PatchFactory pour renouveler son jeton.

La page Rapports utilise l’export agrégé Intune et reprend automatiquement les erreurs serveur transitoires pendant la génération. Une indisponibilité persistante est affichée comme un défaut de la source de rapports, sans remettre en cause une connexion Intune par ailleurs valide.

Applications ouvertes pendant une mise à jour¶

Les applications machine continuent de s’installer sous le compte SYSTEM. Lorsqu’une mise à jour doit fermer Firefox ou une autre application déclarée dans le manifeste, PatchFactory affiche néanmoins son dialogue dans la session de l’utilisateur actif. L’utilisateur peut enregistrer son travail, continuer ou reporter selon la politique du package. Si aucun dialogue sécurisé ne peut être affiché, l’installation retourne le code de nouvelle tentative 1618 et ne ferme pas le processus silencieusement.

Après une correction du moteur PatchFactory sans changement de version éditeur, sélectionnez l’application puis utilisez Actualiser le contenu et le déploiement Intune. Le .intunewin, les commandes et la détection sont remplacés dans la même application Intune ; son identifiant et ses affectations restent inchangés.