如何通过Microsoft Graph API获取Intune托管设备的增量变更？

虽然Microsoft Graph API目前没有针对devicemanagement/manageddevices的原生Delta API，但可以通过以下两种方式实现增量同步设备变更的需求：

1. 基于lastModifiedDateTime字段筛选 #

完成首次全量同步后，记录同步完成的时间戳。后续每日查询时，以此时间戳为条件，筛选出lastModifiedDateTime晚于该时间的设备：

• 请求示例：

  GET https://graph.microsoft.com/v1.0/devicemanagement/manageddevices?$filter=lastModifiedDateTime ge 2024-05-20T00:00:00Z
  

• 注意事项：
  • 时间戳必须符合ISO 8601标准格式
  • 该方式能覆盖多数设备属性变更，但无法直接区分新增、修改、删除操作类型
  • 设备删除事件无法通过此筛选捕获，需额外对比本地设备列表，标记不在返回结果中的设备为已删除

2. 利用Intune审计日志API #

通过查询设备相关的审计日志，获取设备变更操作记录，进而定位具体变更的设备：

• 核心请求：

  GET https://graph.microsoft.com/v1.0/auditLogs/directoryAudits?$filter=resourceType eq 'ManagedDevice' and activityDateTime ge 2024-05-20T00:00:00Z
  

• 优势：能明确区分操作类型（创建、更新、删除），并获取操作详情
• 局限性：审计日志默认仅保留90天，且部分小众操作可能未被日志记录

补充建议 #

如果需要更精准的增量同步，建议结合两种方式：先用审计日志获取变更事件及操作类型，再针对对应的设备ID查询最新属性；同时定期执行全量同步，修正可能出现的数据偏差。

内容的提问来源于stack exchange，提问作者Jo Kurian