V2: Geräte-Report per E-Mail & Teams mit Logic Apps

Ich habe bereits einen Blog darüber geschrieben, wie man mit Logic Apps eine Nachricht versendet, um einen regelmäßigen Geräte-Report zu erstellen. Nach einer Präsentation über Automatisierung mit Intune und Graph habe ich gutes Feedback erhalten, ob ich eine Variante mit Co-Managed-Geräten machen kann. Deshalb habe ich mich entschieden, eine V2 dieses Blogs zu schreiben und außerdem die Authentifizierung auf Managed Identity umzustellen. Wenn du an weiteren Blogs rund um das Thema Logic Apps interessiert bist, lass es mich wissen, und ich mache gerne einen Deep Dive zu Logic Apps.

1. Was sind die Voraussetzungen?
2. Wie erstellt man eine Logic App?
3. Wie erteilt man der Logic App die notwendigen Berechtigungen?
4. Wie erstellt man die Logic App?
5. Status per E-Mail versenden

Was sind die Voraussetzungen?

Die Voraussetzungen sind nicht wirklich hoch. Du benötigst lediglich Berechtigungen, um Ressourcen in einer Azure-Subscription zu erstellen und einer Managed Identity API-Berechtigungen zu erteilen.

Wie erstellt man eine Logic App?

• Öffne das Azure Portal
• Suche nach Logic apps

• Klicke auf + Add

• Wähle die Subscription aus
• Wähle eine Resource Group aus oder erstelle eine
• Gib einen eindeutigen Namen für die Logic App ein
• Wähle eine Region aus
• Wähle bei Log Analytics „No“, sofern du das nicht aktivieren möchtest
• Wähle Consumption als Plan-Typ
• Wähle Disabled für die Zone Redundancy
• Klicke auf Review + create

• Füge bei Bedarf Tags hinzu und klicke auf Review + create
• Klicke auf Create

Wie erteilt man der Logic App die notwendigen Berechtigungen?

• Stelle zunächst sicher, dass die Managed Identity deiner Logic App aktiviert ist

• Öffne eine Azure PowerShell oder eine PowerShell lokal auf deinem Gerät

• Führe den folgenden Code aus (füge die ID deiner Managed Identity ein):

Install-Module Microsoft.Graph -Scope CurrentUser

Connect-MgGraph -Scopes Application.Read.All, AppRoleAssignment.ReadWrite.All, RoleManagement.ReadWrite.Directory

$managedIdentityId = "Managed Identity Object ID"
$roleName = "DeviceManagementManagedDevices.Read.All"

$msgraph = Get-MgServicePrincipal -Filter "AppId eq '00000003-0000-0000-c000-000000000000'"
$role = $Msgraph.AppRoles| Where-Object {$_.Value -eq $roleName}

New-MgServicePrincipalAppRoleAssignment -ServicePrincipalId $managedIdentityId -PrincipalId $managedIdentityId -ResourceId $msgraph.Id -AppRoleId $role.Id

Disconnect-MgGraph

• Mache dasselbe auch für DeviceManagementConfiguration.Read.All

Wie erstellt man die Logic App?

• Wir wollen unseren Flow mit einem Recurrence-Trigger aufbauen. Wähle dafür Recurrence.

• Stelle den Zeitplan auf einmal pro Tag ein.

• Füge eine HTTP Action hinzu

• Fülle die folgenden Attribute aus:

  • Method: GET
  • URI: https://graph.microsoft.com/v1.0/deviceManagement/managedDeviceOverview

• Klicke auf „add new Parameter“ und wähle Authentication

• Wähle als Authentication Type Managed Identity

• Gib https://graph.microsoft.com als Audience ein

• Führe den ersten Test aus

• Prüfe im Body, ob du Gerätedaten sehen kannst

• Füge eine Parse-JSON-Action hinzu
• Wähle Body als Content und füge den folgenden Inhalt als Schema ein:

{
    "type": "object",
    "properties": {
        "@@odata.context": {
            "type": "string"
        },
        "id": {
            "type": "string"
        },
        "enrolledDeviceCount": {
            "type": "integer"
        },
        "mdmEnrolledCount": {
            "type": "integer"
        },
        "dualEnrolledDeviceCount": {
            "type": "integer"
        },
        "deviceOperatingSystemSummary": {
            "type": "object",
            "properties": {
                "androidCount": {
                    "type": "integer"
                },
                "iosCount": {
                    "type": "integer"
                },
                "macOSCount": {
                    "type": "integer"
                },
                "windowsMobileCount": {
                    "type": "integer"
                },
                "windowsCount": {
                    "type": "integer"
                },
                "unknownCount": {
                    "type": "integer"
                },
                "androidDedicatedCount": {
                    "type": "integer"
                },
                "androidDeviceAdminCount": {
                    "type": "integer"
                },
                "androidFullyManagedCount": {
                    "type": "integer"
                },
                "androidWorkProfileCount": {
                    "type": "integer"
                },
                "androidCorporateWorkProfileCount": {
                    "type": "integer"
                },
                "configMgrDeviceCount": {
                    "type": "integer"
                }
            }
        },
        "deviceExchangeAccessStateSummary": {
            "type": "object",
            "properties": {
                "allowedDeviceCount": {
                    "type": "integer"
                },
                "blockedDeviceCount": {
                    "type": "integer"
                },
                "quarantinedDeviceCount": {
                    "type": "integer"
                },
                "unknownDeviceCount": {
                    "type": "integer"
                },
                "unavailableDeviceCount": {
                    "type": "integer"
                }
            }
        }
    }
}

• Um auch den Compliance-Status zu erhalten, machen wir im Grunde dasselbe in einem zweiten Branch:

• Füge eine HTTP Action hinzu
• Fülle die folgenden Attribute aus:
  • Method: GET
  • URI: https://graph.microsoft.com/beta/deviceManagement/deviceCompliancePolicyDeviceStateSummary
• Klicke auf „add new Parameter“ und wähle Authentication
• Wähle als Authentication Type Managed Identity
• Gib https://graph.microsoft.com als Audience ein

• Füge erneut einen Parse-JSON-Block hinzu und füge den folgenden Inhalt ein

{
    "type": "object",
    "properties": {
        "@@odata.context": {
            "type": "string"
        },
        "inGracePeriodCount": {
            "type": "integer"
        },
        "configManagerCount": {
            "type": "integer"
        },
        "id": {
            "type": "string"
        },
        "unknownDeviceCount": {
            "type": "integer"
        },
        "notApplicableDeviceCount": {
            "type": "integer"
        },
        "compliantDeviceCount": {
            "type": "integer"
        },
        "remediatedDeviceCount": {
            "type": "integer"
        },
        "nonCompliantDeviceCount": {
            "type": "integer"
        },
        "errorDeviceCount": {
            "type": "integer"
        },
        "conflictDeviceCount": {
            "type": "integer"
        }
    }
}

Status per E-Mail versenden

• Füge eine Outlook Send an Email (V2) Action hinzu
• Melde dich mit einem Konto an
• Trage den Empfänger in der Spalte To ein
• Füge einen Subject hinzu
• Wenn du dem Betreff ein Datum hinzufügen möchtest, füge den folgenden Ausdruck hinzu:

string(utcNow('yyyyMMdd'))

• Füge das Folgende in der Spalte Body ein. (Du kannst den Text beliebig anpassen)

Dear MDM Team,

attached your daily report:
- Total devices: @{body('Parse_JSON')?['properties']?['enrolledDeviceCount']}
- Mdm enrolled: @{body('Parse_JSON')?['properties']?['mdmEnrolledCount']}
- Hybrid enrolled: @{body('Parse_JSON')?['properties']?['dualEnrolledDeviceCount']}
- ConfigManDevices: @{body('Parse_JSON')?['deviceOperatingSystemSummary']?['configMgrDeviceCount']}

Per device group:
- Windows: @{body('Parse_JSON')?['properties']?['deviceOperatingSystemSummary']?['properties']?['windowsCount']}
- Android: @{body('Parse_JSON')?['properties']?['deviceOperatingSystemSummary']?['properties']?['androidCount']}
- iOS: @{body('Parse_JSON')?['properties']?['deviceOperatingSystemSummary']?['properties']?['iosCount']}
- MacOS: @{body('Parse_JSON')?['properties']?['deviceOperatingSystemSummary']?['properties']?['macOSCount']}

Compliance:
- Compliant devices: @{body('Parse_JSON_2')?['compliantDeviceCount']}
- Uncompliant devices: @{body('Parse_JSON_2')?['nonCompliantDeviceCount']}

Best regards and have a nice day without troubles
Your logic app

• Jetzt können wir einen Testlauf durchführen, um zu prüfen, ob alles funktioniert

• Prüfe dein Postfach

Fazit: Dein automatisierter täglicher Geräte-Report

Das war es auch schon. Mit diesem V2-Setup hast du jetzt einen vollständig automatisierten täglichen Geräte-Report, der Enrollment- und Compliance-Daten direkt aus Microsoft Graph abruft und sie dir jeden Morgen in dein Postfach oder nach Teams liefert. Da der Flow eine Managed Identity verwendet, musst du keine Secrets oder Zertifikate mehr rotieren, und die Logic App läuft sicher und wartungsfrei weiter. Das ist gerade in Co-Managed-Umgebungen ein echter Vorteil, weil du sowohl die Intune- als auch die ConfigMgr-Geräte in einer einzigen Übersicht zusammenführst.

Ein praktischer Tipp aus der Praxis: Aktiviere im HTTP-Schritt die Wiederholung bei Fehlern und lege eine zweite Empfängeradresse an, damit der Report nicht ins Leere läuft, falls ein Postfach einmal nicht erreichbar ist. Häufige Stolperfallen sind außerdem fehlende Graph-Berechtigungen auf der Managed Identity sowie ein falsch gesetzter Audience-Wert. Wenn der erste Testlauf einen 401- oder 403-Fehler liefert, prüfe genau diese beiden Punkte zuerst, bevor du weiter suchst.

Du kannst den Report natürlich beliebig erweitern: Ergänze zusätzliche Kennzahlen, tausche die Outlook-Action gegen eine Teams-Nachricht aus oder passe den Zeitplan an deine Bedürfnisse an. Ebenso lässt sich die Ausgabe als HTML-Tabelle formatieren, sodass der tägliche Geräte-Report direkt im E-Mail-Client gut lesbar ankommt. Wenn dir diese Anleitung geholfen hat, lass es mich wissen, dann gehe ich gerne in weiteren Blogs tiefer auf Logic-Apps-Automatisierung ein.