Logs ophalen van een Intune-beheerd Windows-apparaat

Voor bijna elk ticket over een Intune-beheerd apparaat wil de servicedesk logs zien. Zo haal je ze op zonder dat de gebruiker bestanden hoeft te zoeken en te mailen.

Met Collect diagnostics

Intune heeft een apparaatactie voor diagnose:

1. Ga naar Devices > All devices en kies het apparaat.
2. Kies Collect diagnostics en dan Collect data.
3. Volg de status onder Monitor > Device diagnostics. Is de verzameling klaar, kies dan … > Download in de rij van de actie en bevestig met Yes.

Het pakket bevat registersleutels, eventlogs, de uitvoer van opdrachten en logbestanden, waaronder die van de Intune Management Extension. Intune bewaart het 28 dagen, tot tien pakketten per apparaat; Microsoft houdt het in zijn supportsystemen, buiten het gegevensbeheer van Intune. Het werkt op Windows-apparaten in eigendom van de organisatie met Windows 10 1909 of later of Windows 11.

Je hebt daarvoor de rol Help Desk Operator of School Administrator nodig, of een eigen rol met Remote tasks/Collect diagnostics en leesrechten op apparaten. De actie staat standaard aan; een beheerder kan haar uitzetten onder Tenant administration > Device diagnostics. Het apparaat moet tijdens het verzamelen online zijn. Microsoft noemt twee bekende oorzaken van een mislukte verzameling: het apparaat krijgt de actie niet binnen 24 uur binnen, bijvoorbeeld omdat het uit staat, of er ontbreekt een update (KB4601315 of KB4601319).

Bij een Win32-app

Is de installatie van één Win32-app mislukt, dan kun je in de installatiedetails van die app logbestanden laten ophalen. Je komt daar via Troubleshooting + support > Troubleshoot: kies de gebruiker, het apparaat, Managed Apps en de app. Je geeft per bestand het volledige pad op, eventueel met een omgevingsvariabele zoals %PROGRAMDATA%, en maximaal 25 paden. Microsoft noemt een maximum van 250 MB of 25 bestanden, ongeveer 15 tot 20 minuten wachttijd en deze bestandstypen: .log, .txt, .dmp, .cab, .zip, .xml, .evtx en .evtl. Het resultaat download je met Download diagnostics.

Waar de IME-logs staan

Op het apparaat zelf staan de logs van de Intune Management Extension meestal in C:\ProgramData\Microsoft\IntuneManagementExtension\Logs. Wie ze daar ophaalt, moet ze zelf verzamelen en versturen.

Wat Toolbelt Connect toevoegt

Met Toolbelt Connect haalt de servicedesk logs op vanuit de browser, terwijl het ticket open staat:

• Ondersteuningspakket in één klik. Het pakket van Endpoint Toolbelt met de MDM-diagnose, alle IME-logs, de status van Win32-apps en herstelacties, en een samenvatting van de IME-log per app. Het staat direct in de browser en wordt 14 dagen bewaard.
• Een logbestand ophalen. Elk bestand dat de lijst in het beleid van het apparaat toestaat, of via de bestandsverkenner elk bestand dat de bestandsregels toestaan (niet de gebruikersprofielen), tot 200 MB.
• Eventlogs en register lezen. Gebeurtenissen per log en niveau, en registersleutels, zonder pakket.
• Een bestand sturen of vragen. Naar de map Downloads van de gebruiker, of de gebruiker om een bestand vragen.

Met de standaardinstelling Vragen gebeurt er niets zonder toestemming van de gebruiker, en een ticketnummer dat je invult staat bij elke opdracht in de audit trail.