使用 Intune MEM 收集日志的简单指南

借助 Windows 10 设备诊断功能（收集诊断），您可以使用 Intune(MEM) 收集日志。 2021 年 2 月，Microsoft 发布了 Intune 服务版本 2102，其中包括 Windows 10 设备诊断功能的公共预览版。

在这篇文章中，我们将深入探讨 Windows 10 设备诊断要求以及使用 Intune 收集日志的步骤。了解日志包含的内容以及这些信息对于故障排除有多大用处。

由于很多人远程工作，故障排除部分对于 IT 部门来说将会很困难。当您需要在不联系用户的情况下对远程设备进行故障排除时，Intune 日志收集功能可以发挥作用。如果您可以使用 Intune 远程收集日志并进行分析，那就太棒了。 Endpoint Manager 管理中心中的收集诊断远程操作从远程设备收集日志。

Windows 10 设备诊断要求

根据 Microsoft 的说法，以下是 Windows 10 设备诊断的一些要求。

• 桌面版 - Windows 10 1909/19H2 或更高版本（内部版本号 10.0.18363+） - 支持家庭版、专业版、企业版和教育版。
• HoloLens 2 - Windows 10 2004/20H1 或更高版本（内部版本号 10.0.19041+）。
• 要使用 Intune 收集 Windows 设备日志，设备必须在线并且应可通过 Internet 访问。此外，Windows 推送通知服务 (WNS) 必须有权访问该计算机。
• 要启动设备诊断，必须为您分配全局管理员角色、Intune 管理员角色、学校管理员、帮助台操作员，或者为自定义角色分配收集诊断权限。
• 您想要从中收集诊断信息的设备必须指定为公司所有。

在 Intune 门户中哪里可以找到收集诊断信息

Microsoft 已向 Endpoint Manager 管理中心添加了一个名为收集诊断的新远程操作。选择此选项应使用 Intune 收集日志。无需联系用户，您就可以从 Windows 设备收集日志。

在 Microsoft Endpoint Manager 管理中心中，选择 Windows 设备。单击三个水平点，您将找到收集诊断选项。

如何使用 Intune 收集日志

• 访问 Microsoft Endpoint Manager 管理中心。
• 单击设备，然后单击Windows。选择要使用 Intune 收集日志的 Windows 10 设备。
• 单击三个水平点，然后从操作列表中选择收集诊断信息。
• Intune 现在将尝试收集此 Windows 10/Windows 11 设备上的诊断信息（Windows 设备日志）。

您将看到一条通知。 Intune 将尝试收集此设备上的诊断信息。要下载并查看诊断信息，请转至监控 > 设备诊断。要继续收集诊断信息，请单击是。

在同一窗口中，单击设备诊断（预览），您会发现状态显示为待诊断上传。这意味着正在收集 Windows 设备日志。您必须等到状态更改为完成。

几分钟后我们看到日志收集已完成。您还可以查看发起请求和上传诊断的日期和时间。在诊断下，单击下载按钮。

您会收到一条通知“此下载包含从此设备收集的诊断信息。您想继续吗？”点击是。在下一步中，保存 Windows 10 设备诊断 zip 文件。

Windows 10 设备诊断功能（收集诊断）状态

当您在 Windows 10 设备上执行收集诊断时，状态非常重要。它告诉您日志收集是否成功或有任何问题。诊断任务有三个状态消息。

• 完成 - 如果您看到此状态，则表示诊断成功并且可供下载。
• 等待诊断上传 - 当您在远程 Windows 10 设备上启动收集诊断时，您会看到此状态。如果你的 Windows 设备在线并且可以联系 Intune 服务，此状态应该很快会更改为“完成”。
• 失败 - 设备运行诊断但未能完成任务或上传失败。要解决此问题，请检查 HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MdmDiagnostics 处的 MDMDiagnostics 注册表项及其子项。

提取 Windows 10 设备诊断文件

在上述步骤中，我们成功从 MEM 门户收集了 Windows 10 设备的诊断信息。 Windows 10 诊断文件是 zip 文件。解压缩 zip 文件，您看到的只是一组文件夹，其中包含从 Windows 10 设备收集的数据和日志。每个文件、命令、注册表或事件查看器都存储在单独的文件夹中，并压缩为 zip 文件。

在列表末尾，您会看到一个 results.xml 文件，该文件实际上包含从 Windows 10 设备收集的信息的摘要。这是 results.xml 的输出。

 41f22791-a210-4c27-83df-15506dad7088
 SasUrlPlaceHolder
 HKLM\Software\Microsoft\IntuneManagementExtension
 HKLM\SOFTWARE\Microsoft\SystemCertificates\AuthRoot
 "HKLM\SOFTWARE\Microsoft\Windows Advanced Threat Protection"
 HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Authentication\LogonUI
 "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings"
 HKLM\Software\Microsoft\Windows\CurrentVersion\Uninstall
 HKLM\Software\Policies
 HKLM\SOFTWARE\Policies\Microsoft\Cryptography\Configuration\SSL
 "HKLM\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection"
 HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Uninstall
 HKLM\SYSTEM\CurrentControlSet\Control\SecurityProviders\SCHANNEL
 %programfiles%\windows defender\mpcmdrun.exe -GetFiles
 %windir%\system32\certutil.exe -store
 %windir%\system32\certutil.exe -store -user my
 %windir%\system32\Dsregcmd.exe /status
 %windir%\system32\ipconfig.exe /all
 %windir%\system32\mdmdiagnosticstool.exe -area Autopilot;deviceprovisioning;deviceenrollment;tpm;HololensFallbackDeviceOwner -cab %temp%\MDMDiagnostics\mdmlogs-2021-03-17-08-36-26.cab
 %windir%\system32\msinfo32.exe /report %temp%\MDMDiagnostics\msinfo32.log
 %windir%\system32\netsh.exe advfirewall show allprofiles
 %windir%\system32\netsh.exe advfirewall show global
 %windir%\system32\netsh.exe lan show profiles
 %windir%\system32\netsh.exe winhttp show proxy
 %windir%\system32\netsh.exe wlan show profiles
 %windir%\system32\netsh.exe wlan show wlanreport
 %windir%\system32\ping.exe -n 50 localhost
 %windir%\system32\powercfg.exe /batteryreport /output %temp%\MDMDiagnostics\battery-report.html
 %windir%\system32\powercfg.exe /energy /output %temp%\MDMDiagnostics\energy-report.html
 Application
 Microsoft-Windows-AppLocker/EXE and DLL
 Microsoft-Windows-AppLocker/MSI and Script
 Microsoft-Windows-AppLocker/Packaged app-Deployment
 Microsoft-Windows-AppLocker/Packaged app-Execution
 Microsoft-Windows-Bitlocker/Bitlocker Management
 Microsoft-Windows-SENSE/Operational
 Microsoft-Windows-SenseIR/Operational
 Setup
 System
 %ProgramData%\Microsoft\DiagnosticLogCSP\Collectors*.etl
 %ProgramData%\Microsoft\IntuneManagementExtension\Logs*.*
 %ProgramData%\Microsoft\Windows Defender\Support\MpSupportFiles.cab
 %ProgramData%\Microsoft\Windows\WlanReport\wlan-report-latest.html
 %temp%\MDMDiagnostics\battery-report.html
 %temp%\MDMDiagnostics\energy-report.html
 %temp%\MDMDiagnostics\mdmlogs-2021-03-17-08-36-26.cab
 %temp%\MDMDiagnostics\msinfo32.log
 %windir%\ccm\logs*.log
 %windir%\ccmsetup\logs*.log
 %windir%\logs\CBS\cbs.log
 %windir%\logs\measuredboot*.*
 %windir%\Logs\WindowsUpdate*.etl 

Windows 10 设备诊断功能收集哪些日志

那么，当我们使用 Intune 收集日志时，接下来我们该怎么做呢？我们探讨 Windows 10 设备诊断收集哪些日志。标准诊断模板 Intune 收集以下 Windows 10 日志。

常规日志文件

这些命令收集日志收集期间生成的文件以及用于调试问题的计算机上的文件。

%ProgramData%\Microsoft\DiagnosticLogCSP\Collectors*.etl
 %ProgramData%\Microsoft\IntuneManagementExtension\Logs*.*
 %ProgramData%\Microsoft\Windows Defender\Support\MpSupportFiles.cab
 %ProgramData%\Microsoft\Windows\WlanReport\wlan-report-latest.html
 %temp%\MDMDiagnostics\battery-report.html
 %temp%\MDMDiagnostics\energy-report.html
 %temp%\MDMDiagnostics\mdmlogs-.cab
 %temp%\MDMDiagnostics\msinfo32.log
 %windir%\logs\CBS\cbs.log
 %windir%\logs\measuredboot*.*
 %windir%\Logs\WindowsUpdate*.etl

配置管理器客户端日志文件

收集以下配置管理器日志（CCM 日志）。

 %windir%\ccm\logs*.log
%windir%\ccmsetup\logs*.log

事件查看器详细信息

收集的事件查看器详细信息包括用于故障排除问题的常见事件查看器，包括应用程序、系统和设置。此外，还收集了帮助调试 AppLocker 问题的 AppLocker 事件查看器和帮助调试防病毒/恶意软件问题的 SENSE 事件查看器。

 Application
 Microsoft-Windows-AppLocker/EXE and DLL
 Microsoft-Windows-AppLocker/MSI and Script
 Microsoft-Windows-AppLocker/Packaged app-Deployment
 Microsoft-Windows-AppLocker/Packaged app-Execution
 Microsoft-Windows-Bitlocker/Bitlocker Management
 Microsoft-Windows-SENSE/Operational
 Microsoft-Windows-SenseIR/Operational
 Setup
 System

HoloLens 2 命令和文件

 %windir%\system32\mdmdiagnosticstool.exe -area Autopilot;deviceprovisioning;deviceenrollment;tpm;HololensFallbackDeviceOwner -cab %temp%\MDMDiagnostics\mdmlogs-2021-03-17-08-36-26.cab
%programdata%\MDMDiagnostics\mdmlogs-.zip
 %ProgramData%\Microsoft\DiagnosticLogCSP\Collectors*.etl
 %windir%\logs\measuredboot*.*

Intune Windows 10 设备诊断常见问题解答

有关 Windows 10 设备诊断的一些常见常见问题解答。

如何提取 Windows 10 设备诊断文件？

您可以使用内置的 Windows zip 提取器或第三方工具，例如 7zip、winzip 或 winrar。

如果设备诊断进程陷入待处理状态？

对于 Windows 10 设备，如果您看到设备诊断处于挂起状态，请确保设备处于在线状态。您还可以强制设备签入，以确保设备能够访问 Intune 服务。

Microsoft 会将 Windows 10 设备诊断存储多长时间？

诊断程序可供下载 28 天。

Windows 10 设备诊断是否收集 Configuration Manager 日志？

是的，会收集 C:\Windows\CCM 和 C:\Windows\CCMsetup 文件夹中的配置管理器客户端日志。

Windows 上收集日志的限制是多少10 台设备？

10 是极限。 10 后，最旧的诊断集将被删除并替换。

哪些 Intune 版本添加了 Windows 10 设备诊断功能？

Intune 服务版本 2102。

使用 Intune 收集日志的大小限制？

Endpoint Manager 管理中心中的收集诊断远程操作从远程设备收集日志。