Tre enhetsregistre, ingen synkronisering

Entra ID, Intune og Autopilot rydder ikke opp i hverandre

Forklaringen er enkel og strukturell: en Windows-enhet finnes i tre uavhengige registre, og ingen av dem rydder automatisk i de to andre.

De tre registrene

1. Microsoft Entra ID — enhetsobjektet, med deviceId, join-type (Entra joined, hybrid joined, registered), eier og ApproximateLastSignInDateTime.

2. Microsoft Intune — MDM-enhetsposten, med compliance-status, innsjekkstidspunkt og policytildelinger.

3. Windows Autopilot deployment service — maskinvareregistreringen, knyttet til hardware hash, som avgjør hva som skjer neste gang maskinen tørkes og startes på nytt.

En enhet kan finnes i alle tre, i to av tre, eller i én — og hver kombinasjon gir sin egen feilmodus.

Entra ID har ingen automatisk opprydding

Det finnes ingen innebygd funksjon i Entra ID som fjerner utdaterte enheter. Microsoft dokumenterer en manuell, skriptbasert prosess i tre faser:

• Detect — finn enheter der ApproximateLastSignInDateTime er eldre enn din terskel.
• Disable — «It isn't advisable to immediately delete a device that appears to be stale because you can't undo a deletion if there's a false positive. As a best practice, disable a device for a grace period before deleting it.» Microsofts eget eksempel: deaktiver etter 90 dager.
• Delete — slett etter karensperioden, i eksempelet 120 dager deaktivert.

To forbehold gjør denne prosessen mer krevende enn den ser ut:

Aktivitetstidsstempelet er ikke sanntid. Det oppdateres kun når differansen er større enn 14 dager, med ±5 dagers variasjon. Du kan altså ikke bruke det til å svare på «var denne maskinen i bruk forrige uke».

Og: «Some active devices may have a blank time stamp.» Blankt felt betyr ikke utdatert enhet. Et oppryddingsskript som behandler null som «gammel», sletter aktive maskiner.

Intunes cleanup rules skjuler, de sletter ikke

Intune har device cleanup rules, og de misforstås rutinemessig. Microsofts formulering: reglene «run on a schedule and automatically hide records of devices that didn't check in for a specified period». De «don't trigger any actions on the device (no wipe or retire)».

Intervallet konfigureres mellom 30 og 270 dager. Regelen må opprettes manuelt — den er ikke forhåndskonfigurert.

Det avgjørende punktet: «Devices hidden from Intune aren't removed from Microsoft Entra ID.» Du kan altså ha en enhetsliste i Intune som ser ryddig ut, mens Entra-katalogen fortsatt bærer hele etterslepet. En skjult enhet kan dessuten dukke opp igjen dersom den sjekker inn før enhetssertifikatet utløper.

Autopilot er den som virkelig biter

Her ligger den dyreste feilen, fordi den er irreversibel i praksis.

Å slette en enhet fra Intune eller fra Entra ID fjerner ikke Autopilot-registreringen. Og motsatt: «Deregistering a device from Windows Autopilot removes the device's registration from the Windows Autopilot deployment service. However, this action doesn't always remove the corresponding Microsoft Entra device object.»

Riktig rekkefølge er dokumentert: slett fra Intune først, deretter avregistrer fra Windows Autopilot. Effekten av avregistreringen avhenger av MDM-status — er enheten ikke innrullert i MDM, kan avregistreringen også fjerne Entra-objektet; er den innrullert nå eller har vært det, blir Entra-objektet ikke slettet automatisk.

Microsoft advarer eksplisitt: «Avoid manually deleting the device from Microsoft Entra ID, as this can cause unexpected issues.» Feil rekkefølge kan gi foreldreløse registreringer som krever Microsoft support for å rette opp.

Den praktiske konsekvensen i næringslivet: en maskin som selges videre eller leveres tilbake på leasing, men som fortsatt står registrert i din Autopilot-tenant, vil forsøke å innrullere seg hos deg neste gang den tilbakestilles — hos en ny eier.

Hvorfor dette ikke bare er ryddighet

• Sikkerhet. Et aktivt enhetsobjekt kan være gjenstand for Conditional Access-vurderinger. Microsofts egen offboarding-prosedyre inkluderer et separat steg for å deaktivere brukerens registrerte enheter, nettopp fordi kontodeaktivering ikke gjør det.
• Lisens og kostnad. Enhetsbasert lisensiering og Intune-seter beregnes ikke gratis.
• Compliance-tall. Compliance-prosenten i Intune-rapporten er meningsløs når nevneren inneholder 400 maskiner som ble skrotet i 2023.
• Etterforskning. Under en hendelse er tid brukt på å finne ut om DESKTOP-4KJ2L1 fortsatt eksisterer fysisk, tid du ikke har.

Hva dette betyr for Entra Logic

Dette er en klassisk oppgave for kontinuerlig synkronisering framfor periodiske skript. Entra Logics synkroniseringstjeneste holder en oppdatert, søkbar kopi av boet — inkludert enheter, Intune-poster og Autopilot-registreringer — i én flate. Foreldreløse enheter og ueide Autopilot-registreringer dukker opp automatisk som en kort arbeidsliste, i stedet for å samle seg som et etterslep til noen får tid.

Og det viktigste operative poenget: rydding skjer som en godkjent ordre med korrekt rekkefølge innebygd, ikke som et frihåndsskript en administrator kjører under tidspress. Rekkefølgen Intune → Autopilot → Entra er ikke noe den enkelte må huske; den er en egenskap ved operasjonen.

For et konsern eller et driftsselskap med mange tenanter gjelder dette per tenant, i samme arbeidsflate, med samme sporbarhet — i stedet for tre konsoller ganger antall kunder.

Kilder

• Microsoft Learn — How To: Manage stale devices in Microsoft Entra ID
• Microsoft Learn — Automatically delete devices with cleanup rules
• Microsoft Learn — Windows Autopilot registration overview
• Microsoft Learn — Revoke user access in Microsoft Entra ID