Intune admin center’da bir Configuration Profile için Succeeded görmek, Windows cihazdaki son ayarın beklenen değerde olduğunu tek başına göstermez. Policy cihaza ulaşmış olabilir, CSP ayarı reddetmiş olabilir veya ayar uygulanıp daha sonra Group Policy tarafından değiştirilebilir.
İncelemeye policy’yi yeniden oluşturarak değil, önce cihazın gerçekten yönetildiğini ve ilgili ayarın cihaza gönderildiğini kontrol ederek başlamak gerekir.
Önce cihaz ve assignment durumuna bakın
Intune admin center > Troubleshooting + support > Troubleshoot bölümünde kullanıcıyı ve cihazı seçin. Cihazın Managed alanı MDM veya EAS/MDM olmalıdır. Last check-in eskiyse cihaz yeni policy’yi henüz almamış olabilir. Assignment tarafında include, exclude, filter ve scope tag kapsamını da kontrol edin.
Windows’ta Settings > Accounts > Access work or school > Info > Sync ile manuel sync başlatılabilir. Bu işlem yeni bir MDM check-in başlatmaya yardımcı olur.
Policy cihaza ulaşmış mı?
MDM tanı paketi için yönetici PowerShell oturumunda şu komut kullanılabilir:
mdmdiagnosticstool.exe -area DeviceEnrollment;DeviceProvisioning;Autopilot -cab C:\Temp\mdm-diagnostics.cabRaporda MDMDiagReport_RegistryDump.Reg ve ilgili MDM policy kayıtlarını arayın. Resmi troubleshooting belgelerinde raporların C:\Users\Public\Documents\MDMDiagnostics altında bulunabileceği belirtilir.
Event Viewer ve CSP sonucunu inceleme
Event Viewer > Applications and Services Logs > Microsoft > Windows > DeviceManagement-Enterprise-Diagnostics-Provider > Admin yolunu açın. İlgili policy’nin Set işlemini, CSP yolunu ve hata kodunu arayın. Kayıt yoksa policy’nin cihaza ulaşmaması veya check-in sorunu olasılığı öne çıkar. Kayıt varsa CSP sözdizimi, veri tipi, Windows sürümü ve edition uyumluluğunu kontrol edin.
OMA-URI kullanan profillerde CSP dokümanındaki yolu birebir karşılaştırın. Boolean değerin metin olarak gönderilmesi veya düğüm adındaki bir yazım hatası cihazda uygulama hatasına neden olabilir.
Cihazdaki gerçek değeri kontrol edin
Registry kontrolü yalnızca bir değerin bulunup bulunmadığını gösterir. Effective davranış için ilgili Windows ayarını veya güvenlik bileşeninin kendi çıktısını da inceleyin. Local Group Policy ve domain Group Policy kalıntıları özellikle Windows Update, Defender ve Firewall ayarlarında sonucu değiştirebilir.
gpresult.exe /h C:\Temp\gpresult.html
Start-Process C:\Temp\gpresult.htmlİlgili ayar GPO’dan geliyorsa yalnızca Intune’daki Succeeded bilgisine göre değişiklik yapmayın. Önce policy sahipliğini belirleyin, sonra çakışan kaynağı pilot cihazda kaldırın.
Rapor gecikmesi ve uygulama sonucu
Intune raporları cihazdaki değişiklikten hemen sonra yenilenmeyebilir. Policy değişiklik zamanı, son sync zamanı ve cihazdaki actual setting zamanını not ederek karşılaştırın. Portal status, MDM event ve cihaz ayarı aynı zamana ait olmayabilir.
Expected behavior ve bekleme süresi
Windows cihazlar sürekli bir real-time policy stream’i dinlemez. Intune bakım sync’i yaklaşık sekiz saatlik döngüyle gerçekleşir; yeni enrollment veya yeni bir policy değişikliğinden sonra daha sık check-in görülebilir. Dynamic device group kullanılıyorsa cihazın gruba eklenmesi için ayrıca işlem süresi gerekir. Grup üyeliği tamamlanmadan o gruba atanmış policy cihaza ulaşmayabilir.
Bu nedenle policy’yi kaydettikten birkaç dakika sonra registry değerini aramak yerine son check-in, assignment değerlendirmesi ve MDM event zamanını karşılaştırın. Zorunlu değişikliklerde user group veya assignment filter kullanımı enrollment sırasında daha öngörülebilir olabilir.
Windows sürümü ve enrollment ön koşulları
Cihazın desteklenen Windows edition ve build üzerinde olması gerekir. Intune lisansı, MDM enrollment ve doğru kullanıcı kapsamı olmadan configuration policy uygulanmaz. Managed alanı MDM veya EAS/MDM değilse cihaz configuration ve compliance policy alamaz.
Bir policy’nin Not applicable olması ile Error olması aynı değildir. Not applicable genellikle platform, edition veya sürüm koşulunun karşılanmadığını; Error ise policy ulaştıktan sonra cihazın ayarı işleyemediğini gösterir.
MDM raporunu ve registry’yi birlikte okuma
MDM Diagnostic Report içindeki policy adı, CSP yolu, değer ve sonuç alanlarını kaydedin. Registry’deki bir değer yalnızca o düğümün varlığını gösterir. Ayarın uygulama davranışına yansıması için Settings, ilgili uygulamanın policy sayfası veya Defender gibi bileşene özel komut ayrıca kontrol edilmelidir.
$paths = @(
'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device',
'HKLM:\SOFTWARE\Microsoft\Provisioning\OMADM\Accounts'
)
foreach ($path in $paths) {
Get-ChildItem -Path $path -ErrorAction SilentlyContinue
}PolicyManager ve OMADM registry yolları cihazdaki MDM izlerini incelemek için kullanılabilir; bunları doğrudan değiştirerek policy düzeltmeye çalışmayın.
Rollback ve güvenlik
Güvenlik ayarlarında önce mevcut effective değeri ve mevcut GPO kaynağını dışa aktarın. Pilot cihazda tek değişiklik yapın, sync sonrasında Event Viewer ve gerçek davranışı kontrol edin. Firewall, Defender veya authentication ayarlarında yanlış bir rollback cihazı daha az güvenli bırakabilir.
Kontrol adımları
- Cihazın MDM enrolled ve son check-in değerinin güncel olduğunu kontrol edin.
- Assignment, exclusion ve filter kapsamını inceleyin.
- MDM Diagnostic Report içinde ilgili CSP yolunu arayın.
- DeviceManagement-Enterprise-Diagnostics-Provider Admin logunda Set sonucu ve hata koduna bakın.
- Registry, Settings veya bileşene özel PowerShell çıktısıyla gerçek değeri okuyun.
- Group Policy, local policy ve başka Intune profillerini kontrol edin.
Sonuçları nasıl yorumlamalı?
MDM raporunda CSP yolu ve değer görünüyorsa teslimat aşaması tamamlanmış olabilir. Bundan sonra ayarın Windows bileşeni tarafından kabul edilip edilmediği ve başka bir kaynağın değeri değiştirip değiştirmediği incelenir. Admin logunda hata kodu varsa CSP dokümanındaki veri tipi ve desteklenen build ile karşılaştırma yapın. Hata yok, fakat ayar görünmüyorsa cihazdaki gerçek registry yolunun doğru olduğundan emin olun.
Per-setting status ile device configuration sonucu arasındaki farkı da not edin. Profil geneli Succeeded, tek bir setting için Error veya Not applicable olabilir. Birden fazla cihaz aynı sonucu veriyorsa policy tasarımı veya destek kapsamı; tek cihaz etkileniyorsa enrollment, GPO veya cihaz bozulması daha olasıdır.
Değişiklik sonrası doğrulama
Test cihazında önce mevcut değeri kaydedin. Policy değişikliğinden sonra sync çalıştırın, event timestamp’i not edin ve ilgili değeri tekrar okuyun. Ardından oturumu kapatıp açma, restart veya uygulama yeniden başlatma gerekiyorsa bunu ayrıca uygulayın. Son olarak Intune portalında last check-in ve setting-level sonucu güncellenene kadar raporu erken kapatmayın.
Bu yöntem, “policy geldi ama ayar çalışmadı” ile “policy henüz gelmedi” durumlarını birbirinden ayırır. Production rollout’ta aynı ölçümü pilot grubundaki birkaç farklı Windows build’i üzerinde tekrarlamak daha güvenlidir.
Tek cihaz ve çoklu cihaz karşılaştırması
Sorun tek cihazda görülüyorsa cihaz kaydı, Windows build’i, GPO kapsamı ve local state incelenmelidir. Aynı policy birçok cihazda uygulanmıyorsa assignment, filter, platform kapsamı veya CSP desteği daha önce kontrol edilir. Bir cihazda Succeeded, diğerinde Not applicable görülmesi farklı OS edition veya build sonucu olabilir.
İki cihazı karşılaştırırken yalnızca device name kullanmayın. Managed device ID, Entra device ID, last check-in, Windows build ve policy assignment zamanını birlikte kaydedin. Bu bilgiler olmadan portalda benzer görünen iki cihaz aynı enrollment kaydına sahip olmayabilir.
Destek talebi için hangi veriler alınmalı?
Policy adı ve ID’si, cihaz adı, Intune device ID, Entra device ID, son check-in zamanı, MDM Diagnostic CAB, ilgili Event Viewer EVTX kaydı ve cihazdaki actual setting değeri yeterli bir başlangıç paketi oluşturur. Registry export içinde parola veya kişisel veri bulunabileceğinden paylaşmadan önce hassas alanları temizleyin.
Bu kayıtları almak, aynı policy’yi tekrar tekrar değiştirmekten daha değerlidir. Özellikle güvenlik ayarlarında önce mevcut durumu saklayın, sonra pilot üzerinde tek değişiklik yapın.
Kaynaklar
