Intune Patch-Management, automatisiert

Apps, die bereit zum Patchen sind

Robopack kann den Großteil der Software, die bereits auf Ihren Geräten läuft, noch heute patchen. Mit einem Klick pro App nehmen Sie sie in die Verwaltung auf. Oder Sie markieren mehrere und fügen sie gemeinsam hinzu. Ab dann holt Robopack neue Versionen selbstständig.

Es ist außerdem die erste ehrliche Bestandsaufnahme, die die meisten Teams zu Gesicht bekommen. Neben der Software, die Sie gezielt bereitgestellt haben, finden Sie auch das, was Ihre Nutzer selbst installiert haben: einen zweiten Browser, einen KI-Assistenten, ein Screenshot-Tool, einen Packet Sniffer, einen Games-Launcher. Alles real, alles auf verwalteter Hardware, und nichts davon wird aktualisiert.

Dafür müssen Sie nichts installieren. Robopack Radar liest, was Intune bereits von Ihren registrierten Geräten erfasst, die Liste ist also an dem Tag gefüllt, an dem Sie einen Tenant verbinden. Sie wird täglich aktualisiert oder auf Abruf, wenn Sie sie sofort brauchen.

Die Apps, die Intune installiert, aber nie aktualisiert

Intune installiert Software. Aktuell hält es sie nicht. Deshalb schleppen die meisten Umgebungen einen Rückstau an Apps mit, die niemand patcht – Treibersoftware, die mit der Hardware kam, Engineering-Tools, auf die sich einige wenige verlassen, Microsoft-Komponenten, die mit etwas anderem ins Haus kamen, kommerzielle Apps, die in zwei oder drei Versionen gleichzeitig laufen.

Am teuersten sind die Apps, die jemand bereits von Hand paketiert und sauber verteilt hat. Sie installieren sich einwandfrei und bewegen sich danach nie wieder, weil jede neue Version bedeutet, das Paket ein zweites Mal von Grund auf zu bauen.

Laden Sie den Installer stattdessen einmal hoch. Robopack paketiert ihn, testet ihn auf einer sauberen VM, und ab dann rollen neue Versionen über dieselben Ringe aus wie alles andere, was Sie patchen.

Mehrere Apps auf einmal patchen – mit Patch-Gruppen

Eine Patch-Gruppe ist die Richtlinie, einmal geschrieben. Welche Geräte zuerst dran sind, wie lange jede Stufe läuft, was als Erfolg gilt, was mit der alten Version passiert. Jede App in der Gruppe folgt dieser Richtlinie.

Das ist der Teil, der sich von Hand kaum sauber umsetzen lässt. In Intune hat jede App ihre eigenen Zuweisungsgruppen, ihre eigenen Ersetzungsregeln, ihre eigene Bereinigung. Die Richtlinie steckt also im Kopf einer Person und nicht im System. Nach sechs Monaten ist keine App mehr genau wie die andere eingerichtet. Das hat niemand so entschieden, es hat sich einfach ergeben.

Hier entscheiden Sie einmal. Aktivieren Sie Start new versions automatically, und jede App in der Gruppe übernimmt neue Releases von selbst – niemand muss mehr bemerken, dass ein Hersteller etwas veröffentlicht hat. Behalten Sie drei abgelöste Versionen, sodass Sie immer eine Version haben, zu der Sie zurückkehren können, ohne dass Ihre Intune-App-Liste endlos wächst. MSIX-Apps werden als Win32 statt als Branchen-App verpackt und veröffentlicht, denn das ist es, was die meisten Umgebungen tatsächlich brauchen.

Danach ist das Hinzufügen einer App eine einzige Auswahl im Drop-down. Sie erbt die gesamte Richtlinie – derselbe gestaffelte Rollout, dieselben Erfolgsschwellen, dieselbe Handhabung –, egal ob sie aus dem Katalog, aus einem Radar-Scan oder von einem selbst hochgeladenen Installer stammt.

Eigene Custom Apps per Drag-and-drop paketieren

Jeder Paketierungsauftrag beginnt gleich. Jemand gibt Ihnen einen Installer – vom Hersteller oder vom eigenen Team gebaut –, und Sie müssen herausfinden, was er braucht. Welche Silent-Switches er akzeptiert. Wie sein Deinstallationsbefehl lautet. Wie man erkennt, dass er wirklich installiert wurde. Dann verpacken Sie ihn, schieben ihn auf eine Testmaschine und finden heraus, ob Sie richtig geraten haben.

Ziehen Sie die Datei stattdessen hierher, und Robopack liest sie, bevor es Sie etwas fragt. Es erkennt die Installer-Technologie direkt aus der Binärdatei – ein WiX-Burn-Executable, ein MSI oder was auch immer es ist – samt Dateien und Größe. Genau darauf kommt es an, denn der Installer-Typ bestimmt alles Weitere: die Switches, die Exit-Codes, die Art, wie er aufgerufen werden muss.

Dann wählen Sie das Ausgabeformat. IntuneWin, wenn Sie wie üblich über Intune verteilen. MSIX, bei Bedarf erweiterbar auf VHD, VHDX und CimFS. Oder App-V. Derselbe Quell-Installer, in dem Format, das Ihre Umgebung tatsächlich nutzt.

Vier Schritte, und in den beiden mittleren lesen Sie meist nur nach, was Robopack bereits herausgefunden hat. Keine Kommandozeile, kein IntuneWinAppUtil, keine Testverteilung in eine freie Intune-Gruppe, um herauszufinden, ob es installiert.

Für alle, die mehr als einen Intune-Tenant verwalten

Einen Tenant verbinden Sie mit einer Microsoft-Anmeldung und einer Einwilligungsabfrage. Robopack legt eine App-Registrierung und einen Service Principal an, die Berechtigungen werden Ihnen vor der Zustimmung angezeigt, und der Tenant erscheint in der Liste. Nichts zu installieren, kein Zertifikat auszutauschen.

Ab dann behält jeder Tenant seinen eigenen Status – autorisiert, Single Sign-on aktiviert oder nicht verbunden – samt Geräteanzahl und eigener Katalog- und Richtlinienkonfiguration. Eine Patch-Gruppe kann in mehreren Tenants veröffentlicht werden. So betreibt ein MSP eine einzige Rollout-Richtlinie für alle Kunden, statt sie für jede Umgebung neu aufzubauen.

Delegieren ohne geteilte Logins

Tenant-Berechtigungen vergeben Sie an einzelne Benutzer oder an Entra-ID-Gruppen, in drei Stufen: Read, Write und Config. Organisationsadministratoren und Security Writer behalten Zugriff auf jeden Tenant; alle anderen sehen nur, wofür sie berechtigt wurden. Die Zuweisung über Entra-ID-Gruppen greift, wenn sich der Benutzer mit einem Entra-Konto anmeldet.