Automatiserad applikationshantering i Intune

om 1 timme

Så minskar du tiden på manuell paketering i Intune och håller apparna uppdaterade

För många IT-team är det inte Intune i sig som tar mest tid, utan allt arbete runt applikationerna. Varje gång en ny version släpps behöver någon ladda ner installationsfilen, anpassa den för Intune, se till att installationen kan köras automatiskt, kontrollera hur systemet ska känna igen att appen finns på plats, testa att allt fungerar och sedan ladda upp paketet på nytt. Det är ett arbete som snabbt blir repetitivt, tidskrävande och svårt att hålla jämn kvalitet i.

Konsekvensen märks kanske inte på en enskild dag, men den blir tydlig över tid. Uppdateringar släpar efter, arbetssätt skiljer sig mellan olika administratörer och installationsfiler hamnar på olika ställen. Testning kräver dessutom ofta en egen miljö och blir därför lätt något som väljs bort. Kvar står en applikationsflora där det blir svårt att veta vilka versioner som faktiskt är i drift.

Varför är föråldrade appar en säkerhetsrisk?

När organisationer förstår att föråldrade appar är en säkerhetsfråga, inte en underhållsfråga, brukar frågan snabbt klättra på prioriteringslistan. Så länge eftersläpande applikationsversioner ses som vanlig IT-administration hamnar de lätt längst ner på listan. Men tidsfönstret mellan att en sårbarhet publiceras och att den börjar utnyttjas i riktiga miljöer är ungefär fem dagar. Den genomsnittliga tiden för en organisation att faktiskt åtgärda en känd och utnyttjad sårbarhet är omkring 43 dagar. Skillnaden däremellan är inte bara administrativ eftersläpning. Det är exponering.

Med den utgångspunkten blir slutsatsen tydlig. Patchning, alltså att hålla applikationer uppdaterade med nya versioner och säkerhetsfixar, behöver kunna ske utan att konkurrera med allt annat i en redan full kalender. Manuell paketering är helt enkelt för långsam för att hålla samma takt som uppdateringarna från tredjepartsleverantörer.

Från manuell ompaketering till automatiska uppdateringar

Det skifte som gör störst skillnad handlar inte om att paketera snabbare, utan om att sluta paketera om. I stället för att importera en applikation till Intune vid varje ny version sätter man upp ett flöde för applikationen en gång. När leverantören släpper en ny version hämtas den automatiskt, testas, verifieras, paketeras, skickas ut till de grupper som redan är kopplade till flödet och de äldsta versionerna rensas bort när antalet sparade versioner passerar den gräns ni har satt. Administratörens arbete flyttas från att göra uppdateringen till att styra hur den ska gå till.

Ett färdigpaketerat bibliotek gör samma sak i större skala. När tiotusentals vanligt förekommande applikationer redan finns paketerade och underhållna behöver bara verksamhetsspecifika applikationer hanteras separat. Då kan tiden läggas där den faktiskt gör nytta. Grupper i Entra ID för tillgänglig installation, tvingande installation och avinstallation kan dessutom skapas automatiskt i samband med importen. Det tar bort ännu ett manuellt steg som annars lätt görs olika av olika personer.

Utrullning i vågor är skillnaden mellan automatik och risktagande

Den vanligaste invändningen mot automatisk patchning är rimlig. Ingen vill att en ny version ska nå hela organisationen samtidigt. Svaret är inte att avstå från automatiken, utan att bygga in faserna i den. Ett flöde kan delas upp i vågor där första vågen går till en pilotgrupp och nästa till produktion. Piloten behöver då nå en viss andel lyckade installationer innan utrullningen går vidare. Grupperna kan skapas per våg utifrån namnvariabler, så att strukturen blir densamma för alla applikationer.

Effekten är att utrullning inte längre blir ett allt eller inget beslut. Ni kan välja hur en app stegvis ska nå organisationen, och ni får ett automatiskt stopp om något går fel i första ledet, i stället för supportkaos på måndagsmorgonen.

Hur kan applikationer testas utan egen testmiljö?

Den andra tidstjuven är verifieringen. För en verksamhetsapplikation som inte finns i ett färdigt bibliotek är det ofta detekteringsmetoden och avinstallationskommandot som tar mest tid. Med detekteringsmetod menas hur Intune avgör om en app redan är installerad på en klient. Här finns numera ett bra alternativ till den egna testmaskinen. Paketet skickas till en isolerad sandbox-miljö, alltså en fristående testmiljö, där installationen körs, verifieras, dokumenteras och sedan avinstalleras igen. Resultatet blir både detekteringsmetod och avinstallationskommando, automatiskt och på några minuter, utan att någon behöver hålla en labbklient vid liv.

Samma testning kan köras om när ett paket har anpassats. Det är en liten sak som förändrar arbetssättet i grunden. När verifiering är enkelt blir det också gjort, och då minskar risken för misslyckade installationer ute i miljön.

Standardisering som användarna faktiskt märker

Ett gemensamt paketeringsramverk, i praktiken PowerShell App Deployment Toolkit (PSADT), binder ihop helheten. Alla paket bygger på samma mall, vilket gör att anpassningar blir förutsägbara. Genvägar på skrivbordet kan tas bort, loggar kan styras till Intune Management Extension så att de följer med i insamlad diagnostik, och egna registervärden, filer eller PowerShell-steg kan läggas till utan att någon behöver skriva om paketet från grunden.

För användaren märks standarden som en dialog i stället för ett avbrott. Om en applikation är i gång när uppdateringen når klienten får användaren veta att den behöver stängas, eller möjlighet att skjuta upp uppdateringen en stund. Det är skillnaden mellan en uppdatering som hjälper arbetet framåt och en som bara upplevs som ett avbrott.

Hur vet ni om automatiserad paketering är rätt för er?

Ett automatiserat paketeringsverktyg är ingen universallösning, och tröskeln är lägre än många tror. Det kräver ingen särskilt hög licensnivå och fungerar både i molnbaserade och hybrida miljöer. Det avgörande är i stället hur applikationsfloran ser ut.

Ger tydligt värde när

• Ni har många tredjepartsapplikationer som uppdateras ofta
• Ni vill ha kontrollerad utrullning med pilotgrupper och produktionsvågor
• Ni hanterar flera tenanter och vill administrera dem från ett ställe
• Ni behöver paketering även för AVD och andra virtualiseringsplattformar
• Ni vill frigöra tid från manuell paketering och få kontroll på versionerna

Ger mindre värde när

• Användarna arbetar främst i webbapplikationer
• Applikationerna kräver omfattande testning mot interna system, vilket en sandbox inte når
• Ni har redan en fungerande, automatiserad process för applikationsuppdateringar
• Applikationsfloran är liten och förändras sällan
• Paketeringen redan är outsourcad på ett sätt som ni är nöjda med

Hur automatiserad paketering skapar affärsvärde

Det praktiska värdet uppstår när paketering inte längre är beroende av enskilda personer, lokala mappar eller manuella rutiner. När paket, anpassningar och skript samlas på ett ställe blir det enklare att hitta rätt fil, förstå vad som har skickats ut och se varför en viss anpassning har gjorts. Det gör vardagen mer kontrollerad, men blir också särskilt värdefullt vid förändringsprojekt. En migrering från Configuration Manager till Intune blir betydligt enklare när applikationerna kan föras över med verktygsstöd i stället för att paketeras om en och en.

Räkneexemplet är enkelt. Varje tredjepartsapp som annars hade behövt paketeras manuellt vid varje ny version innebär arbetstid som försvinner. När det arbetet automatiseras frigörs tid samtidigt som fler applikationer hålls uppdaterade. Det är där affärsvärdet blir tydligt. Mindre manuellt arbete, bättre kontroll och en säkrare applikationsmiljö.

Så kommer ni igång med automatiserad paketering

Börja inte med verktyget, börja med nuläget. Vilka applikationer paketeras manuellt i dag? Hur ofta släpps nya versioner? Hur lång tid tar det från att en uppdatering finns tillgänglig till att den faktiskt är ute i miljön? Svaren brukar snabbt visa om automatiserad paketering är värt att titta närmare på. Om det manuella arbetet tar mycket tid, om uppdateringar släpar efter, om processen skiljer sig mellan olika personer eller om föråldrade versioner blir kvar längre än de borde, finns det ofta en tydlig vinst att hämta både i effektivitet och säkerhet.

På Xenit arbetar vi dagligen med applikationshantering i Intune, både i egna leveranser och tillsammans med kunder som vill få bättre kontroll på sin applikationsflora. I många miljöer handlar det inte bara om vilket verktyg man väljer, utan om att få rätt struktur, process och arbetssätt på plats. För automatiserad paketering och patchning använder vi själva Robopack, där vi också är auktoriserad återförsäljare. Vill du prata om hur automatiserad applikationshantering skulle kunna fungera i er miljö, eller titta på helheten i er Intune-miljö i workshopformat, är du varmt välkommen att höra av dig.

Vanliga frågor om automatiserad applikationshantering i Intune

Vad är automatiserad applikationshantering i Intune?

Det innebär att applikationer paketeras, uppdateras, testas och distribueras med hjälp av automatiserade flöden, i stället för att varje ny version hanteras manuellt.

Varför är manuell paketering ett problem?

Manuell paketering tar tid, kräver specialistkunskap och ökar risken för att uppdateringar släpar efter eller hanteras olika av olika administratörer.

Hur påverkar automatiserad paketering säkerheten?

Automatiserad paketering gör det lättare att snabbare få ut nya versioner och säkerhetsuppdateringar. Det minskar tiden då kända sårbarheter finns kvar i miljön.

När passar automatiserad paketering bäst?

Det passar bäst för organisationer med många tredjepartsapplikationer, återkommande uppdateringar och behov av kontrollerad utrullning i Intune.

Behöver alla organisationer automatiserad paketering?

Nej. Om applikationsfloran är liten, sällan förändras eller redan hanteras effektivt kan värdet vara mindre.