Intune (MDM) en een RMM pakket

[erwin26]

Mijn vraag
Is het mogelijk om via een RMM pakket Intune te overrulen of zijn er andere betere opties?

Relevante software en hardware die ik gebruik
Intune en N-able RMM

Uitleg:

Momenteel maak ik veel gebruik van Intune en spoel ik daarmee de devices in met bepaalde software. Bijvoorbeeld 7-zip. Binnen Intune is 7-zip versie 19.0. Nu heeft 7-zip versie 22.0 ondertussen al uitgebracht. Ik wil 7-zip het liefst updaten via een RMM pakket, omdat dit makkelijker is dan een nieuwe W32 app te maken, uploaden etc. voor elke Intune tenant. Echter als ik het update via een RMM pakket, dan downgrade Intune de software weer naar versie 19.0. De versie die Intune dus heeft.

Ik kan een groep aanmaken die de software alleen installeert tijdens het uitrollen en daarna het device uit de groep halen. Dan overruled Intune het niet meer. Echter is het probleem dan weer dat de gebruiker de software verwijderd en niet automatisch terug krijgt. (Sommige gebruikers zijn local admin). Dit wil ik juist net voorkomen en local admin rechten afnemen is nog geen optie.

Iemand hier ervaring mee of een RMM pakket die dit wel kan/ondersteunt? Momenteel heb ik dit getest met N-able RMM en die ondersteunen het niet (gevraagd bij hun support).

[winux]

Downgrade intune de software niet vanwege een compliance policy welke de versie koppelt.

Hier hetzelfde gehad met Android telefoons (niet via Intune overigens). Software gedeployed vervolgens gaat app store de software update. En telefoon gaat zich weer conformeren aan compliance policy en downgraden de software.

[erwin26]

Dat weet ik niet zeker, ik heb wel compliance policy's actief staan, maar nooit echt diep naar gekeken voor dit probleem. Ik ga hier eens goed naar kijken.

Thanks

[erwin26]

Net even de compliance policy's bekeken en daar staat niks in over updates/software helaas. Gelijk even alle andere opties in Intune bekeken en ik heb nergens staan forceer deze versie van deze software of iets in die geest.

Lijkt erop dat dit echt ergens in Intune zit gebakken

[holygame]

Kijk even bij de detection rules van de app in Intune, staat die op versie 19 en hoger?

[erwin26]

holygame schreef op vrijdag 11 november 2022 @ 08:59:
Kijk even bij de detection rules van de app in Intune, staat die op versie 19 en hoger?

Bij de detection rules heb ik verwezen naar de MSI en bij EXE files laat ik de rule kijken of file or folder exists.

[Dennism]

erwin26 schreef op vrijdag 11 november 2022 @ 09:49:
[...]


Bij de detection rules heb ik verwezen naar de MSI en bij EXE files laat ik de rule kijken of file or folder exists.

Dan even controleren of de MSI wel dezelfde 'guid' heeft. Als Intune als detectionrule heeft dat de MSI guid X moet zijn, en een nieuwe versie heeft een andere guid dan zal Intune daar mogelijk op triggeren.

De 'guid' ziet er zo uit (idenitfying number)



Bij file detectie kan je dat ook hebben, dat die een versie checken.

Ik heb dit in het verleden ooit eens opgelost voor 7z met een dubbele check in SCCM, volgens mij moet dat in Intune ook kunnen, al is dit wel een oud voorbeeld.



Omdat je last hebt van een downgrade zou je bijvoorbeeld ook alleen op versie van de exe kunnen checken, en niet op MSI.

[ZeRoC00L]

Deployment van ALLEEN de RMM tool via intune doen, en daarna alles met de RMM tooling...

[erwin26]

Dennism schreef op vrijdag 11 november 2022 @ 22:17:
[...]


Dan even controleren of de MSI wel dezelfde 'guid' heeft. Als Intune als detectionrule heeft dat de MSI guid X moet zijn, en een nieuwe versie heeft een andere guid dan zal Intune daar mogelijk op triggeren.

De 'guid' ziet er zo uit (idenitfying number)

[Afbeelding]

Bij file detectie kan je dat ook hebben, dat die een versie checken.

Ik heb dit in het verleden ooit eens opgelost voor 7z met een dubbele check in SCCM, volgens mij moet dat in Intune ook kunnen, al is dit wel een oud voorbeeld.

[Afbeelding]

Omdat je last hebt van een downgrade zou je bijvoorbeeld ook alleen op versie van de exe kunnen checken, en niet op MSI.

Thanks detection rules zitten ook in Intune ik ga daar deze week even naar kijken en kijken of dit een mogelijkheid

[erwin26]

Helaas niet gelukt met de detection rules. De RMM partij raadt ons aan een upgrade te doen in hun pakket. Hun "pro" versie moet volgens hun wel Intune/RMM ondersteuning bieden en het probleem oplossen.

Bedankt voor het meedenken.

[nelizmastr]

erwin26 schreef op dinsdag 22 november 2022 @ 08:52:
Helaas niet gelukt met de detection rules. De RMM partij raadt ons aan een upgrade te doen in hun pakket. Hun "pro" versie moet volgens hun wel Intune/RMM ondersteuning bieden en het probleem oplossen.

Bedankt voor het meedenken.

Wij van wc-eend…

[akimosan]

Beetje late reactie maar dit is vaak inderdaad een kwestie van de detection rules goed instellen.

Als je in Intune enkel een detection doet op MSI dan checked Intune of device X software met MSI GUID {xxxxxx-xxxxxx-xxxxx} heeft geïnstalleerd. Is dat niet het geval dan wordt die software gepoogd te installeren. MSI GUID check is dus altijd een check op dat stuk software en specifiek die versi (de GUID zal in bijna alle gevallen onderling verschillen)
Wil je dat bijvoorbeeld enkel een baseline versie wordt geïnstalleerd maar dat er niet gedowngrade wordt indien een hogere versie wordt geïnstalleerd (door gebruiker of door een ander pakket) dan moet je iets van een version check in je detection rule opnemen.
Voorbeeld:
Wij installeren via Intune een versie van de Citrix workspace app maar het komt regelmatig voor dat gebruikers een nieuwere versie (met een hoger versienummer) installeren. Dat hoeft geen problemen op te leveren qua werking van de app maar dan moet niet vanuit Intune weer een install worden gedaan.

In de detection rule voor de win32 app verwijderen we een eventuele MSI GUID check en checken we in plaats daarvan op Path\File en daarbovenop een version check waarbij gechecked wordt op "version number equals or is greater than.. "

[ralpje]

Alternatieve optie: gebruik een externe provider (ik heb goede evaringen met bijvoorbeeld Scappman, maar er is ook een PatchMyPC als ik het goed heb) die je apps in Intune voor je update.
Zij zorgen er dus 'as a service' voor dat de apps (zoals 7Zip, Notepad++, noem maar op) automatisch geupdate worden als er een nieuwe versie uitkomt, waardoor je zelf hoeft te packagen.
Kost wel iets aan licentiekosten, maar met ca. 1 euro per gebruiker per maand waarschijnlijk goedkoper dan je RMM tool.
In de projecten die ik deed kon de licentieprijs in ieder geval niet op tegen de tijd (en dus kosten) van het zelf packagen van elke update van elke app.

[duronbug]

Of eenvoudig via Chocolatey:

https://www.thelazyadmini...y-a-match-made-in-heaven/

[erwin26]

ralpje schreef op dinsdag 22 november 2022 @ 14:44:
Alternatieve optie: gebruik een externe provider (ik heb goede evaringen met bijvoorbeeld Scappman, maar er is ook een PatchMyPC als ik het goed heb) die je apps in Intune voor je update.
Zij zorgen er dus 'as a service' voor dat de apps (zoals 7Zip, Notepad++, noem maar op) automatisch geupdate worden als er een nieuwe versie uitkomt, waardoor je zelf hoeft te packagen.
Kost wel iets aan licentiekosten, maar met ca. 1 euro per gebruiker per maand waarschijnlijk goedkoper dan je RMM tool.
In de projecten die ik deed kon de licentieprijs in ieder geval niet op tegen de tijd (en dus kosten) van het zelf packagen van elke update van elke app.

Dat klinkt goed en ik vermoed dat mijn huidige RMM leverancier dit ook kan als ik hun "pro" RMM pakket aanschaf. Dat is eigenlijk wat ik wel wil, maar de pro pakket is een stuk duurder per client helaas en niet mijn go to als eerste optie. Misschien dat een combie van een van die pakketten samen met RMM een mooie oplossing is.

[erwin26]

akimosan schreef op dinsdag 22 november 2022 @ 14:40:
Beetje late reactie maar dit is vaak inderdaad een kwestie van de detection rules goed instellen.

Als je in Intune enkel een detection doet op MSI dan checked Intune of device X software met MSI GUID {xxxxxx-xxxxxx-xxxxx} heeft geïnstalleerd. Is dat niet het geval dan wordt die software gepoogd te installeren. MSI GUID check is dus altijd een check op dat stuk software en specifiek die versi (de GUID zal in bijna alle gevallen onderling verschillen)
Wil je dat bijvoorbeeld enkel een baseline versie wordt geïnstalleerd maar dat er niet gedowngrade wordt indien een hogere versie wordt geïnstalleerd (door gebruiker of door een ander pakket) dan moet je iets van een version check in je detection rule opnemen.
Voorbeeld:
Wij installeren via Intune een versie van de Citrix workspace app maar het komt regelmatig voor dat gebruikers een nieuwere versie (met een hoger versienummer) installeren. Dat hoeft geen problemen op te leveren qua werking van de app maar dan moet niet vanuit Intune weer een install worden gedaan.

In de detection rule voor de win32 app verwijderen we een eventuele MSI GUID check en checken we in plaats daarvan op Path\File en daarbovenop een version check waarbij gechecked wordt op "version number equals or is greater than.. "

Thanks voor de uitleg Ik vermoed dat ik het dus kan oplossen als ik de version check erbij instel. Ik heb namelijk veel win32 apps naar file pad verwezen zonder de version check erbij. Ik ga dit gelijk testen