使用 PowerShell 获取已安装应用程序的报告

每次我们进行 Intune 部署时，特别是对于来自 SCCM 或其他平台的客户，我们都被要求提供一些方法来检查托管设备的详细信息。众所周知，Intune 报告有点“基础”，因此在本文中，我将逐步介绍使用 PowerShell 获取客户通常请求的信息以支持其操作的步骤。

Intune PowerShell 模块

目前，可以使用两个PowerShell模块。第一个是 Intune PowerShell 模块；第二个是Microsoft Graph PowerShell SDK，其中包括设备管理和应用程序子模块。 Microsoft 不再维护 Intune PowerShell 模块，我建议你使用 Microsoft Graph PowerShell SDK 模块，Microsoft 积极维护该模块以与最新版本的 Graph API 保持一致。

我们使用 Graph SDK 开发的脚本更加面向未来，并且更容易添加新功能。使用 Graph SDK 的另一个好处是它适用于非 Windows 设备，这对于像我这样使用 macOS 设备作为主要工作站的人来说很方便。

首先，我们必须使用 Connect-MgGraph cmdlet 连接 Graph API 端点。如果您需要，请参阅以下安装 Microsoft Graph PowerShell 模块的步骤，并在此处找到有关身份验证和连接到 Microsoft Graph PowerShell 模块的不同方法的一些建议。请注意，我们只需要安装 Microsoft.Graph PowerShell 模块，其余部分将在需要时按需加载。

Connect-MgGraph -Scopes "DeviceManagementApps.Read.All","DeviceManagementManagedDevices.Read.All"

您现在可能想知道运行设备管理 cmdlet 需要什么范围（权限）。我建议您首先确定要使用的 cmdlet，然后从 Microsoft 文档中检查所需的权限范围。对于我们需要做的事情，以下范围应该足够了。

• DeviceManagementApps.Read.All
• DeviceManagementManagedDevices.Read.All

现在我们准备收集有关设备的数据。我将把这些部分分成我们通常生成的不同类型的报告。

请记住使用 PowerShell 7 或更高版本来运行 Microsoft Graph PowerShell SDK cmdlet。使用 Windows PowerShell 可能会导致以下错误，该错误尚未被 Microsoft 修复（图 1）。

获取受管理设备的应用程序列表

我对移动设备和 Windows 设备有不同的报告，因为可用数据因设备系列而异。对于移动设备，有两种管理方式：移动应用管理（MAM）和移动设备管理（MDM），具有不同的设备管理能力。我不在这里讨论差异，但您可以参考这篇文章了解更多详细信息。

客户经常要求获得有关托管应用程序和版本的报告，并希望该报告包括 MAM 和 MDM 托管应用程序。您需要使用的 Graph SDK cmdlet 是：

• Get-MgDeviceManagementDetectedApp（涵盖 Windows、macOS、iOS 和 Android 的 MDM 应用程序数据）
• 获取 MgDeviceAppManagementManagedAppRegistration (MAM)。

以下是我用来从 Intune MAM 管理的移动设备（包括 Azure AD 联合设备）中提取所有应用程序的报告的一些示例代码：

$result=@ ()
Get-MgDeviceManagementDetectedApp -All | ForEach-Object {
$tmp=$_

$result+=(Get-MgDeviceManagementDetectedAppManagedDevice -DetectedAppId $_.id | Select-Object -Property @{Name=”Device”;Expression={$_.DeviceName}}, 
@{Name=”App”;Expression={$tmp.DisplayName}}, 
@{Name=”Version”;Expression={$tmp.Version}},
@{Name=”Platform”;Expression={$tmp.platform}})
}
$result | Sort-Object -Property Device, App, Version | Out-GridView

结果类似于图 2 中所示的输出。

让我解释一下脚本流程：

1. 我们定义一个名为tmp的空数组来存储结果。
2. 使用 Get-MgDeviceManagementDetectedApp -All 从 Intune 获取所有检测到的应用。
3. ForEach-Object cmdlet 处理应用数据并使用我们的每个应用记录的 ID 调用 Get-MgDeviceManagementDetectedAppManagedDevice 从上一步获得。
4. 在 foreach 循环内，脚本从结果中选择所需的属性并构造一个自定义对象。
5. 然后，该脚本使用 Sort-Object 根据您的需要对输出进行排序。
6. 最后，脚本使用 Out-GridView 显示数据。您还可以使用另一个 cmdlet（例如 Export-Csv）来输出到 CSV 文件。

获取托管应用程序的应用程序列表

我们可以使用 Get-MgDeviceAppManagementManagedAppRegistration 来获取 MAM 注册信息（图 3）。注册信息是指在 Intune MAM 中注册的应用程序。

但是，此 cmdlet 返回的某些数据可能不是有意义的格式，如图 4 所示。结果数据不包括应用程序名称，并输出对象类型名称。您可能需要添加逻辑来处理此类情况以获取底层数据。例如，尝试使用 Select-Object -ExpandProperty 来扩展数据或创建自定义对象作为 PowerShell 脚本的一部分。

根据微软的文档，应用程序标识符应该显示应用程序的ID，例如com.microsoft.office.outlook.ios。但它没有显示所需的信息，而是显示 Microsoft.Graph.PowerShell.Models.MicrosoftGraphMobileAppIdentifier 等对象类型名称，这使我们无法充分利用返回的数据。

进一步处理数据

PowerShell 包含一些组合数据的便捷方法。我总是喜欢使用 Join-Object cmdlet 来组合数据集以增强报告。例如，Get-MgDeviceAppManagementManagedAppRegistration 返回 UserId，这对我们的用户没有任何意义。然后，我们可以使用 Get-MgUser 获取许可用户列表并使用 UserId 进行组合。我通常使用 Join-Object 来执行类似 SQL 的 JOIN 操作，因为它在幕后使用 LINQ，因此当数据集很大时，它的执行速度要快得多。请注意，Join-Object 不是内置 cmdlet，您需要先使用 Install-Module Join-Object 来安装它。有关 Join-Object cmdlet 的详细信息可在此处获取。之后，您可以使用如下脚本来组合数据：

$users=Get-MgUser -All -Filter "assignedLicenses/`$count ne 0 and userType eq 'Member'"

$mam=Get-MgDeviceAppManagementManagedAppRegistration -All

Join-Object -Left $mam -Right $users -LeftJoinProperty "UserId" -RightJoinProperty "Id" -ExcludeLeftProperties "CreatedDateTime","AdditionalProperties" -RightProperties "DisplayName" | Out-GridView

上面的脚本执行以下操作：

1. 从Get-MgUsers获取许可用户列表并存储在变量中。
2. 使用 Get-MgDeviceAppManagementManagedAppRegistration 获取 Intune MAM 注册信息并将其存储在变量中。
3. 使用Join-Object cmdlet 对 UserId 属性执行类似 SQL 的联接，并且仅包含来自步骤 1 中收集的数据的所需字段 Display Namse。
4. 在 Out-GridView 中显示结果

图表报告的无限可能性

借助 Join-Object cmdlet，您可以轻松组合使用不同 PowerShell cmdlet 检索到的数据，而不是将数据导出到 CSV 并使用 Excel 进行处理。但请注意，像 Join-Object 这样的处理发生在内存中，因此请确保有足够的可用内存。您可以通过查看任务管理器来检查可用内存信息，看看 pwsh.exe 消耗了多少内存以及系统中有多少可用内存。