Intune patch management, automatiseret

Apps klar til patching

Robopack kan allerede i dag begynde at patche det meste af den software, der ligger på dine enheder. Ét klik pr. app sætter den under administration – eller markér flere, og tilføj dem samlet – og derefter henter den selv nye versioner.

Det er også den første ærlige oversigt, de fleste teams får at se. Ud over den software, du bevidst har udrullet, finder du det, brugerne selv har installeret: en ekstra browser, en AI-assistent, et screenshotværktøj, en pakkesniffer, en spil-launcher. Det er alt sammen virkeligt, det ligger alt sammen på administreret hardware, og intet af det bliver opdateret.

Du skal ikke installere noget for at få det. Robopack Radar læser det, Intune allerede indsamler fra dine tilmeldte enheder, så listen er fyldt ud den dag, du forbinder en tenant. Den opdateres dagligt eller efter behov, når du vil have den med det samme.

De apps, Intune installerer, men aldrig opdaterer

Intune installerer software. Den holder den ikke opdateret. Derfor slæber de fleste miljøer rundt på en bunke apps, som ingen patcher – driversoftware, der fulgte med hardwaren, ingeniørværktøjer, som nogle få er afhængige af, Microsoft-komponenter, der kom med noget andet, kommercielle apps, der kører i to eller tre versioner på én gang.

De dyreste er de apps, som nogen allerede har pakket i hånden og udrullet ordentligt. De installeres perfekt og rykker sig så aldrig igen, fordi hver ny version betyder, at pakken skal bygges forfra en gang til.

Upload i stedet installeren én gang. Robopack pakker den, tester den på en ren VM, og derefter rulles nye versioner ud gennem de samme ringe som alt andet, du patcher.

Patch flere apps på én gang med patchgrupper

En patchgruppe er politikken, skrevet én gang. Hvilke enheder der kommer først, hvor længe hvert trin varer, hvad der tæller som succes, hvad der sker med den gamle version. Alle apps, du lægger i gruppen, følger den.

Det er netop den del, der er svær at gøre i hånden. I Intune får hver app sine egne tildelingsgrupper, sine egne erstatningsregler, sin egen oprydning – så politikken findes i nogens hoved og ikke i systemet. Seks måneder senere er der ikke to apps, der er sat helt ens op. Det har ingen besluttet; det har bare hobet sig op.

Her beslutter du én gang. Slå Start new versions automatically til, og alle apps i gruppen henter selv nye versioner, så ingen behøver at opdage, at en leverandør har udgivet noget. Behold tre erstattede versioner, så har du altid en version at falde tilbage på, uden at din app-liste i Intune vokser i det uendelige. MSIX-apps pakkes ind og udgives som Win32 i stedet for line-of-business, fordi det er det, de fleste miljøer faktisk vil have.

Derefter er det at tilføje en app ét valg i en rullemenu. Den arver hele politikken – samme trinvise udrulning, samme succeskriterier, samme håndtering – uanset om den kom fra kataloget, fra en Radar-scanning eller fra en installer, du selv har uploadet.

Pak dine egne custom apps med træk og slip

Hver pakkeopgave starter på samme måde. Nogen giver dig en installer – fra en leverandør eller bygget af dit eget team – og du skal finde ud af, hvad den vil have. Hvilke silent-parametre den tager. Hvad dens afinstallationskommando er. Hvordan man registrerer, at den faktisk blev installeret. Så pakker du den ind, skubber den ud på en testmaskine og finder ud af, om du gættede rigtigt.

Træk i stedet filen herind, så læser Robopack den, før den spørger dig om noget. Den genkender installer-teknologien direkte fra binærfilen – en WiX Burn-eksekverbar fil, en MSI eller hvad det nu måtte være – sammen med filerne og størrelsen. Det er den del, der betyder noget, for installer-typen bestemmer alt det efterfølgende: parametrene, exit-koderne, måden den skal kaldes på.

Derefter vælger du output. IntuneWin, hvis du udruller gennem Intune på den sædvanlige måde. MSIX, som kan udvides til VHD, VHDX og CimFS, hvis du har brug for det. Eller App-V. Samme kildeinstaller, i det format dit miljø faktisk bruger.

Fire trin, og i de to midterste læser du mest bare, hvad Robopack allerede har fundet ud af. Ingen kommandolinje, ingen IntuneWinAppUtil, ingen testudrulning til en ledig Intune-gruppe for at se, om den installerer.

Bygget til dig, der administrerer mere end én Intune-tenant

At forbinde en tenant kræver et Microsoft-login og et samtykke. Robopack opretter en app-registrering og en service principal, tilladelserne vises for dig, før du accepterer, og tenanten dukker op på listen. Intet at installere, intet certifikat at udveksle.

Derefter har hver tenant sin egen status – autoriseret, single sign-on aktiveret eller ikke forbundet – samt sit antal enheder og sin egen katalog- og politikkonfiguration. Én patchgruppe kan udgive til mere end én tenant, og sådan får en MSP én udrulningspolitik til at køre hos alle kunder i stedet for at bygge den op igen for hvert miljø.

Uddelegering uden delte logins

Tenant-tilladelser gives til enkelte brugere eller til Entra ID-grupper på tre niveauer: Read, Write og Config. Organisationsadministratorer og security writers bevarer adgangen til alle tenants; alle andre ser kun det, de har fået adgang til. Tildeling via Entra ID-grupper gælder, når brugeren logger ind med en Entra-konto.