Patch management Intune, automatisé

Apps prêtes pour le patching

Robopack peut commencer dès aujourd’hui à patcher la plupart des logiciels déjà présents sur vos postes. Un clic par app suffit pour la prendre en charge — ou cochez-en plusieurs et ajoutez-les ensemble — et dès lors, elle récupère les nouvelles versions toute seule.

C’est aussi le premier inventaire honnête que la plupart des équipes découvrent. À côté des logiciels que vous avez déployés volontairement, vous trouverez ce que vos utilisateurs ont installé eux-mêmes : un deuxième navigateur, un assistant IA, un outil de capture d’écran, un sniffer réseau, un launcher de jeux. Tout cela est bien réel, installé sur du matériel géré, et rien n’est mis à jour.

Vous n’avez rien à installer pour cela. Robopack Radar lit ce qu’Intune collecte déjà sur vos postes inscrits : la liste est donc remplie le jour où vous connectez un tenant. Elle est actualisée chaque jour, ou à la demande quand vous en avez besoin tout de suite.

Les apps qu’Intune installe mais ne met jamais à jour

Intune installe des logiciels. Il ne les maintient pas à jour. La plupart des parcs traînent donc un stock d’apps que personne ne patche — des pilotes livrés avec le matériel, des outils d’ingénierie dont dépendent quelques personnes, des composants Microsoft arrivés avec autre chose, des apps commerciales présentes en deux ou trois versions à la fois.

Les plus coûteuses sont les apps que quelqu’un a déjà packagées à la main et correctement déployées. Elles s’installent parfaitement, puis ne bougent plus jamais, car chaque nouvelle version oblige à refaire le package de zéro.

Importez plutôt l’installeur une seule fois. Robopack le package, le valide sur une VM propre, puis les nouvelles versions sont déployées via les mêmes anneaux que tout ce que vous patchez.

Patchez plusieurs apps à la fois avec les groupes de patchs

Un groupe de patchs, c’est la politique, écrite une seule fois. Quels postes passent en premier, combien de temps dure chaque étape, ce qui compte comme un succès, ce qu’il advient de l’ancienne version. Chaque app que vous ajoutez au groupe la suit.

C’est justement la partie difficile à faire à la main. Dans Intune, chaque app a ses propres groupes d’affectation, ses propres règles de remplacement, son propre nettoyage — la politique vit donc dans la tête de quelqu’un plutôt que dans le système. Six mois plus tard, il n’y a plus deux apps configurées tout à fait de la même façon. Personne ne l’a décidé ; ça s’est simplement accumulé.

Ici, vous décidez une fois. Activez Start new versions automatically et chaque app du groupe récupère les nouvelles versions d’elle-même — personne n’a besoin de remarquer qu’un éditeur a publié quelque chose. Conservez trois versions remplacées et vous aurez toujours une version de repli, sans que votre liste d’apps Intune grossisse indéfiniment. Les apps MSIX sont encapsulées et publiées en Win32 plutôt qu’en applications métier, car c’est ce que veulent la plupart des parcs.

Ajouter une app se résume alors à un menu déroulant. Elle hérite de toute la politique — même déploiement progressif, mêmes seuils de réussite, même traitement — qu’elle vienne du catalogue, d’un scan Radar ou d’un installeur que vous avez importé vous-même.

Packagez vos propres apps par glisser-déposer

Chaque job de packaging commence de la même façon. Quelqu’un vous remet un installeur — d’un éditeur, ou créé par votre propre équipe — et vous devez comprendre ce qu’il attend. Quels paramètres silencieux il accepte. Quelle est sa commande de désinstallation. Comment détecter qu’il s’est vraiment installé. Ensuite vous l’encapsulez, vous le poussez sur une machine de test et vous découvrez si vous avez deviné juste.

Déposez plutôt le fichier ici, et Robopack le lit avant de vous demander quoi que ce soit. Il identifie la technologie d’installation directement à partir du binaire — un exécutable WiX Burn, un MSI, peu importe — ainsi que les fichiers et la taille. C’est ce qui compte, car le type d’installeur détermine tout le reste : les paramètres, les codes de sortie, la façon de l’appeler.

Puis vous choisissez le format de sortie. IntuneWin, si vous déployez via Intune de façon classique. MSIX, extensible en VHD, VHDX et CimFS si besoin. Ou App-V. Le même installeur source, dans le format que votre environnement utilise réellement.

Quatre étapes, et dans les deux du milieu, vous relisez surtout ce que Robopack a déjà déterminé. Pas de ligne de commande, pas d’IntuneWinAppUtil, pas de déploiement de test dans un groupe Intune de réserve pour savoir si ça s’installe.

Conçu pour ceux qui gèrent plus d’un tenant Intune

Connecter un tenant, c’est une connexion Microsoft et une demande de consentement. Robopack crée une inscription d’application et un principal de service, les permissions s’affichent devant vous avant que vous acceptiez, et le tenant apparaît dans la liste. Rien à installer, aucun certificat à échanger.

Ensuite, chaque tenant garde son propre état — autorisé, authentification unique activée ou non connecté — ainsi que son nombre de postes et sa propre configuration de catalogue et de politiques. Un même groupe de patchs peut publier vers plusieurs tenants : c’est ainsi qu’un MSP applique une seule politique de déploiement à tous ses clients au lieu de la reconstruire pour chaque environnement.

Déléguer sans partager les identifiants

Les permissions par tenant s’attribuent à des utilisateurs ou à des groupes Entra ID, sur trois niveaux : Read, Write et Config. Les administrateurs de l’organisation et les security writers gardent l’accès à tous les tenants ; les autres ne voient que ce qui leur a été accordé. L’attribution par groupe Entra ID s’applique quand l’utilisateur se connecte avec un compte Entra.