Comment utiliser Dsregcmd pour vérifier le statut de l'appartenance à Azure AD sur Windows

Commencez par lancer l'invite de commandes ou PowerShell avec des privilèges élevés. La plupart des opérations dsregcmd nécessitent un accès administratif pour lire les informations d'enregistrement de l'appareil et effectuer des opérations de jonction/séparation.

Appuyez sur Windows + R, tapez cmd, puis appuyez sur Ctrl + Shift + Entrée pour exécuter en tant qu'administrateur. Alternativement, faites un clic droit sur le bouton Démarrer et sélectionnez "Windows PowerShell (Admin)" ou "Invite de commandes (Admin)".

Vérifiez que vous avez des privilèges administratifs en exécutant :

whoami /priv

Vous devriez voir des privilèges comme "SeDebugPrivilege" et "SeSystemtimePrivilege" listés comme "Activé" ou "Désactivé".

Exécutez la commande principale dsregcmd pour obtenir un aperçu complet de l'état d'enregistrement de votre appareil. Cette commande fournit des informations détaillées sur l'état de l'adhésion à Azure AD, l'appartenance au domaine et la configuration SSO.

dsregcmd /status

La sortie est divisée en plusieurs sections. Concentrez-vous d'abord sur la section État de l'appareil, qui montre trois valeurs critiques :

• AzureAdJoined - Indique si l'appareil est enregistré avec Microsoft Entra ID
• DomainJoined - Montre si l'appareil est joint à un domaine Active Directory sur site
• EnterpriseJoined - Indique l'état de l'adhésion au lieu de travail (moins courant)

Voici ce que signifient les différentes combinaisons :

Vérification : Recherchez des valeurs claires "OUI" ou "NON" dans la section État de l'appareil. Si vous voyez "---" ou des valeurs vides, il peut y avoir un problème de configuration.

La section État SSO fournit des informations cruciales sur les capacités de connexion unique et le statut du Primary Refresh Token (PRT). Cela détermine si les utilisateurs peuvent accéder sans interruption aux ressources cloud sans authentification répétée.

Dans la sortie dsregcmd, localisez la section État SSO et examinez ces champs clés :

• AzureAdPrt - Statut du Primary Refresh Token (doit être "YES" pour un SSO fonctionnel)
• AzureAdPrtUpdateTime - Date de la dernière actualisation du PRT
• AzureAdPrtExpiryTime - Date d'expiration du PRT actuel
• EnterprisePrt - Statut du PRT d'entreprise pour les scénarios hybrides

Pour un dépannage détaillé du PRT, exécutez la commande en tant qu'utilisateur connecté (pas en tant qu'administrateur) pour obtenir des informations spécifiques au jeton utilisateur :

dsregcmd /status

Comparez les résultats lorsqu'ils sont exécutés en tant qu'administrateur par rapport à un utilisateur régulier. Le contexte utilisateur fournit des informations plus précises sur le statut du PRT.

Vérification : Confirmez AzureAdPrt : YES et vérifiez que l'heure de mise à jour est récente (dans les dernières heures ou jours).

La section Détails du locataire révèle des informations de configuration importantes sur votre locataire Azure AD et les paramètres de gestion des appareils. Cela aide à vérifier que l'appareil se connecte au locataire correct et dispose d'une inscription MDM appropriée.

Dans la sortie dsregcmd, examinez la section Détails du locataire pour :

• TenantName - Nom du locataire Azure AD de votre organisation
• TenantId - Identifiant unique pour votre locataire Azure AD
• AuthCodeUrl - URL du point de terminaison d'authentification
• AccessTokenUrl - Point de terminaison du jeton pour l'accès à l'API
• MdmUrl - URL d'inscription à la gestion des appareils mobiles
• MdmTouUrl - URL des conditions d'utilisation MDM
• MdmComplianceUrl - Point de terminaison de la politique de conformité

Recoupez le TenantId avec votre portail Azure AD pour vous assurer que l'appareil est enregistré auprès du locataire correct :

# Dans PowerShell, vous pouvez également vérifier les informations du locataire avec :
Get-AzureADTenantDetail | Select-Object ObjectId, DisplayName

Recherchez les URL liées au MDM si votre organisation utilise Intune ou une autre solution MDM. L'absence d'URL MDM pourrait indiquer des problèmes d'inscription.

Vérification : Confirmez que le TenantName correspond à votre organisation et que le TenantId est au format GUID valide (xxxxxxxx-xxxx-xxxx-xxxx-xxxxxxxxxxxx).

La section Données de diagnostic fournit des résultats détaillés des tests de connectivité qui aident à identifier les problèmes de réseau, de DNS ou de configuration empêchant une communication correcte avec Azure AD.

Examinez ces tests de diagnostic dans le résultat :

• AD Connectivity - Teste la connexion aux contrôleurs de domaine Active Directory sur site
• AD Configuration - Vérifie la configuration du Point de Connexion de Service (SCP) pour la jonction hybride
• DRS Discovery - Teste la découverte du point de terminaison du Service d'Enregistrement des Appareils
• DRS Connectivity - Vérifie la connexion au Service d'Enregistrement des Appareils Azure
• Token acquisition - Teste la capacité à obtenir des jetons d'authentification
• Fallback to Sync-Join - Indique si l'appareil est revenu au processus de jonction synchrone

Chaque test affiche soit "SUCCESS" soit un code d'erreur. Les codes d'erreur courants incluent :

• 0x801c001d - Échec de la découverte DRS (problème de DNS ou de connectivité)
• 0x801c0021 - Échec de l'authentification
• 0x801c0003 - Appareil non trouvé dans Azure AD

Pour une analyse détaillée des erreurs, exécutez dsregcmd en mode débogage :

dsregcmd /status /debug

Vérification : Tous les tests de diagnostic doivent afficher "SUCCESS". Tout échec indique des domaines spécifiques nécessitant une attention avant que l'appareil puisse communiquer correctement avec Azure AD.

Utilisez dsregcmd pour effectuer des opérations de jonction, de départ ou de rafraîchissement lors du dépannage des problèmes d'enregistrement des appareils. Ces commandes modifient l'état d'enregistrement Azure AD de l'appareil.

Pour la jonction hybride Azure AD (la plus courante dans les environnements d'entreprise) :

dsregcmd /join

Cette commande planifie une tâche pour enregistrer l'appareil avec Azure AD tout en maintenant l'appartenance au domaine. Le processus s'exécute de manière asynchrone, vous ne verrez donc pas de résultats immédiats.

Pour quitter Azure AD (supprime l'enregistrement cloud mais conserve la jonction au domaine) :

dsregcmd /leave

Pour dépanner les enregistrements bloqués, utilisez le mode débogage :

dsregcmd /debug /join

Pour rafraîchir le jeton de rafraîchissement principal sans réenregistrement complet :

dsregcmd /refreshprt

Séquence de réadhésion complète pour les problèmes persistants :

# Vérifier l'état actuel
dsregcmd /status

# Quitter Azure AD
dsregcmd /leave

# Forcer la mise à jour de la stratégie de groupe
gpupdate /force

# Redémarrer l'ordinateur
shutdown /r /t 0

Après le redémarrage, connectez-vous en tant qu'utilisateur de domaine et exécutez :

dsregcmd /join

Vérification : Exécutez dsregcmd /status après chaque opération. Pour les opérations de jonction, attendez 5-10 minutes puis vérifiez que AzureAdJoined affiche "YES".

Lorsque dsregcmd révèle des problèmes, utilisez des commandes et techniques de dépannage spécifiques pour résoudre les problèmes courants de jonction Azure AD.

Pour les appareils affichant le statut de jonction hybride "En attente", vérifiez la tâche planifiée :

schtasks /query /tn "\Microsoft\Windows\Workplace Join\Automatic-Device-Join"

Si la tâche existe mais ne s'exécute pas, déclenchez-la manuellement :

schtasks /run /tn "\Microsoft\Windows\Workplace Join\Automatic-Device-Join"

Pour les problèmes liés aux certificats, vérifiez les certificats de l'appareil :

certlm.msc

Accédez à Personnel > Certificats et recherchez les certificats émis par "MS-Organization-Access" ou l'AC de votre organisation.

Mettez à jour les attributs de l'appareil s'il y a des discordances :

dsregcmd /updatedevice

Vérifiez les journaux d'événements Windows pour des informations d'erreur détaillées :

eventvwr.msc

Accédez à Journaux des applications et services > Microsoft > Windows > User Device Registration > Admin pour les événements d'enregistrement.

Pour les problèmes de connectivité réseau, vérifiez que ces URL sont accessibles :

• https://enterpriseregistration.windows.net
• https://login.microsoftonline.com
• https://device.login.microsoftonline.com

Testez la connectivité avec PowerShell :

Test-NetConnection -ComputerName enterpriseregistration.windows.net -Port 443
Test-NetConnection -ComputerName login.microsoftonline.com -Port 443

Vérification : Après avoir appliqué les correctifs, exécutez dsregcmd /status pour confirmer que les problèmes sont résolus. Vérifiez que les tests de diagnostic affichent "SUCCESS" et que l'état de l'appareil reflète le statut de jonction attendu.