Intune : diagnostiquer les alertes de santé du connecteur de certificats
Intune 2610 met en avant des messages de santé du Certificate Connector pour distinguer notamment les problèmes de liaison à l’autorité de certification, de permissions et de modèle PKCS. Les équipes utilisant ce connecteur sur site peuvent exploiter ces signaux pour orienter le diagnostic, sans les confondre avec une preuve de bon fonctionnement du Wi-Fi ou du VPN.
- Impact
- organisations délivrant des certificats aux appareils Intune au moyen du Certificate Connector installé sur Windows Server.
- Action
- consulter chaque connecteur dans Intune, rapprocher les alertes de ses journaux puis vérifier une délivrance de certificat sur un appareil de test.
- Statut
- À surveiller
Des messages plus précis que « connecté »
L’annonce figure dans les nouveautés de la semaine du 26 octobre 2026. Le guide du connecteur décrit trois états :
- Active : aucun problème de santé du connecteur détecté ;
- Warning : le connecteur peut émettre des certificats, mais un problème demande attention ;
- Action required : un problème empêche l’émission ou le connecteur est déconnecté d’Intune.
Les messages peuvent coexister et sont regroupés par sévérité. L’état dépend de l’activité récente de traitement des certificats ; le dernier état évalué reste affiché jusqu’à quinze minutes. Il ne s’agit donc pas d’un contrôle instantané de toutes les chaînes d’authentification.
La nouveauté concerne l’exploitation du connecteur existant, pas l’obligation d’en installer un pour chaque scénario de certificats Intune.
Du message à la vérification
Dans Tenant administration > Connectors and tokens > Certificate connectors, ouvrir chaque connecteur utile au service.
- Certification authority connectivity : vérifier le service de l’autorité de certification, sa joignabilité depuis le serveur connecteur et les règles RPC. Ne pas traiter cette alerte comme un simple défaut de communication avec le cloud.
- Certification authority issuing permission ou revocation permission : contrôler les droits du compte de service pour l’opération indiquée. Une émission fonctionnelle ne démontre pas que la révocation fonctionne.
- Certificate template configuration : pour ce message propre aux profils PKCS, comparer le profil Intune au modèle de certificat de l’autorité. Ne pas généraliser cette explication aux profils SCEP.
- Connector is disconnected : vérifier les services du connecteur et ses connexions HTTPS vers Intune.
Sur le serveur, les journaux documentés se trouvent dans Event Viewer > Application and Service Logs > Microsoft > Intune > Certificate Connectors. Le journal Admin suit les demandes ; Operational apporte du détail.
Après correction d’un écart, utiliser une demande de certificat de test déjà prévue par votre procédure. Vérifier son traitement, sa présence sur l’appareil et l’authentification à la ressource visée. Si le statut repasse à Active mais que l’accès échoue, poursuivre le diagnostic du certificat et du service consommateur : l’état du connecteur ne suffit pas.
Aucune version minimale propre à ces nouveaux messages n’est établie dans les références utilisées. Une absence d’affichage appelle donc une vérification du déploiement dans le tenant et de la version prise en charge du connecteur, pas une réinstallation systématique.
Les mises à jour de service Intune sont déployées progressivement. Vérifier la disponibilité dans votre tenant ; cette veille ne constate pas un déploiement universel.