更新Intune Windows设备配置文件时遇ModelValidationFailure错误求助

问题概述 #

更新Windows 10及更高版本的设备限制配置文件时，调用Microsoft Graph的PATCH接口返回400错误，错误信息如下：

{
  "error": {
    "code": "ModelValidationFailure",
    "message": "Exception has been thrown by the target of an invocation.",
    "innerError": {
      "message": "Exception has been thrown by the target of an invocation.",
      "date": "2023-10-02T13:15:44",
      "request-id": "XXXXXXXXXXXXXXXXXXX",
      "client-request-id": "XXXXXXXXXXXXXXXXXXX"
    }
  }
}

已确认信息 #

• 令牌的aud（https://graph.microsoft.com）和iss值正确，应用已获得DeviceManagementConfiguration.ReadWrite.All应用权限并完成管理员同意
• 配置文件ID有效，目标对象为windows10GeneralConfiguration，待修改属性为personalizationLockScreenImageUrl
• GET请求可正常返回配置文件详情，包含该属性的现有值

排查方向 #

1. 验证图片URL的可访问性 #

• 确保存储账户中的图片Blob为公开可访问，或配置了有效的SAS令牌（私有存储场景）。Windows设备需要直接访问该URL获取图片，若URL不可访问会触发验证失败。
• 直接在浏览器/终端中访问目标URL，确认能正常返回图片内容。

2. 检查URL格式与图片规范 #

• 确认URL符合Windows配置要求：必须使用HTTPS协议，路径无特殊字符，图片格式为JPG/JPEG，分辨率、大小符合Windows锁屏壁纸的官方规范。
• 核对存储账户名、容器名、文件名的拼写是否正确。

3. 在PATCH请求体中添加@odata.type字段 #

更新特定类型的设备配置时，Graph API可能需要明确指定对象类型。修改请求体如下：

{
  "@odata.type": "#microsoft.graph.windows10GeneralConfiguration",
  "personalizationLockScreenImageUrl": "https://{storageAccountName}.blob.core.windows.net/lockedscreen/image.jpg"
}

4. 排查配置文件版本冲突 #

GET结果显示配置文件版本为22，若该版本已被其他操作更新，会导致请求冲突。建议先执行GET获取最新版本，立即发起PATCH请求，避免版本不一致。

5. 测试Graph Explorer发起请求 #

在Graph Explorer中使用相同权限和参数发起PATCH请求：

• 若请求成功，说明问题出在本地请求的签名或头部设置上
• 若同样失败，说明问题源于配置本身或平台限制

内容的提问来源于stack exchange，提问作者khanikar