Siguiendo la estela del primer artículo sobre EndPoint Manager [Microsoft Endpoint Manager: Inscripción de dispositivos [Híbrido – AzureAD Join – Azure Registered], hoy voy a comentar la necesidad del Portal Empresa y como podemos instalar remotamente aplicaciones a nuestros dispositivos.
El disponer del Portal Empresa instalado en nuestros equipos, nos permite:
- Administración de aplicaciones
- Cambiar el nombre del dispositivo
- Quitar el dispositivo
- Restablecer el dispositivo
- Restablecer el código de acceso del dispositivo
- Bloquear un dispositivo de forma remota
- Buscar información de contacto del equipo de soporte técnico de su empresa, si está configurado
- Comprobar el estado de cumplimiento
- Administrar un equipo de forma remota
La aplicación Portal de empresa mantiene la información personal y profesional por separado. También nos permite poner a disposición de los usuarios aplicaciones profesionales y educativas para que pueda buscarlas e instalarlas. Esta aplicación está disponible para las siguientes plataformas:
- Dispositivos Windows
- Windows 10 Móvil
- Windows 10 Escritorio
- Windows 8.1
- Dispositivos Apple
- iOS
- macOS
- Dispositivos Android
Hoy quería mostraros como podemos instalarlo en equipos Windows (más adelante en el resto de plataformas), pero como casi siempre, os muestro una pequeña infografía para este artículo:
La aplicación del Portal Empresa es obligatoria para los dispositivos No Windows, tanto para registrar los equipos en AzureAD como para gestionar y securizar nuestras aplicaciones corporativas. Y en equipos Windows que no están unidos al dominio (ni On-Premises ni AzureAD), los cuales podemos identificar como equipos BYOD, también es necesario con la misma finalidad que el resto de dispositivos. Dicho esto, veamos como podemos instalar el Portal Empresa en un equipo Windows desde la Tienda de Microsoft. Buscamos el Portal de Empresa y pulsamos en Obtener:
Una vez instalado, pulsamos en Iniciar:
Una vez instalado, iniciar la aplicación y luego iniciar sesión con las credenciales corporativas: 
Ahora podemos ver que está registrando el equipo en AzureAD:
Si ahora nos vamos Configuración – Obtener acceso a trabajo o escuela y vemos que el equipo ahora está administrado por MDM (Intune): 
Si ahora volvemos al Portal de Empresa, aún debemos realizar unas configuraciones adicionales y ahora debemos pulsar en Este dispositivo todavía no se ha configurado para uso corporativo. Selecciones este mensajes para iniciar la instalación:
Pulsamos en Siguiente:
Pulsamos en Conectar
Una vez finalizado dicho proceso, nos queda elegir una categoría para nuestro dispositivo, así que pulsamos en Siguiente: 
Ahora elegimos la categoría de nuestro dispositivo (estas categorías se configuran previamente desde la web de administración de Intune:)
Nota: La creación de las categorías de dispositivos se realiza desde la sección de Dispositivos – Categorías Dispositivos: 
Una vez que hemos elegido la categoría de nuestro dispositivo, hemos finalizado el proceso de configuración del Portal de Empresa:
Si os acordáis el artículo anterior sobre el registro de dispositivos en Azure, vemos que ahora este equipo (TESTBYOD) antes solo estaba registrado en AzureAD y ahora también lo estamos administrando desde Intune:
Antes de continuar, comentaros que las categorías de los dispositivos nos sirve para facilitarnos la gestión de dichos dispositivos. Podemos crear grupos dinámicos por categoría, los cuales utilizaremos para aplicar las diferentes configuraciones a dichos equipos. Aquí os dejo un enlace donde podéis documentaros sobre las categorías de los dispositivos: Clasificar dispositivos en grupos.
Pues una vez que ya tenemos el Portal de Empresa instalado, pues ya podamos empezar a desplegar aplicaciones, aplicar diferentes políticas de seguridad, etc.. Para desplegar aplicaciones, podemos desplegarlas desde las que ya tenemos disponibles en Intune o crear nuestros propios paquetes de instalación.
Vamos a ver tres despliegues que aplicaciones de diferentes tipos (pero hay más opciones):
- Microsoft 365 Apps: se trata de un pack que ya tiene Intune desde donde vamos a poder desplegar el Office
- Line-Of-BussinesApps: aplicaciones ya empaquetadas para ser distribuidas para diferentes plataformas:
- Android (APK)
- iOS (IPA)
- macOS (.IntuneMac)
- Windows (.msi, .appx, .appxbundle, .msix, and .msixbundle)
- Windows app (Win32): aplicaciones empaquetadas por nosotros en formato .intunewin con una herramienta (IntuneWinAppUtil) que descargamos de GitHub: https://go.microsoft.com/fwlink/?linkid=2065730
Pues vamos a empezar por la sencilla, la preparación de las Microsoft 365 Apps, para ello tenemos que acceder al Microsoft EndPoint Manager Admin Center. Debemos acceder a la sección de Aplicaciones – Windows (en este caso) y pulsamos en Add:
Ahora debemos elegir Windows 10 en la sección Microsoft 365 Apps: 
Ahora pulsamos en Select:
Escribimos un nombre para identificar el paquete de instalación a crear, por defecto ya se establece la categoría de Productividad y nosotros vamos a cambiar a Yes la opción de de Show this as a featured app in the Company Portal para que se nos muestre como aplicación disponible en el Portal de Empresa. De esta forma, el usuario final podría instalarla cuando el quisiera. 
Como podéis ver, podemos elegir la arquitectura del equipo al cual lo vamos a desplegar (x86 o x64), el canal de actualizaciones, si desinstalamos las versiones anteriores, el paquete de idiomas a instalar .. como vemos, podemos manejar todo el proceso de instalación. Además, podemos elegir la opción de instalación compartida, algo que seguramente vamos a necesitar en muchos entornos. 
Por último, nos queda definir el modo de despliegue y a los grupos a los que asignaremos este paquete de instalación (grupos de de AzureAD de dispositivos o usuarios):
- Requerido: el software se instalará de forma obligatoria
- Disponible: se le presentará en el portal de empresa y lo podrá instalar los usuarios cuando consideren oportuno
- Desinstalar: esto es para cuando queremos desinstalar el producto
En mi caso elegiré Disponible, de tal forma que así los usuarios tendrán el Office disponible desde el Portal de Empresa para instalar cuando lo consideren. Ahora, pulsamos en Next: 
Ahora elegimos el grupo de usuarios o dispositivos (no mezclarlos, porque no funciona nada bien ni Microsoft lo recomienda), en mi caso se lo asignaré a un grupo de usuarios: 
Por último, pulsamos en Review + Save para completar el proceso: 
Ahora, ya desde el cliente del Portal de Empresa ya tendremos disponible la aplicación para poder instalar:
La seleccionamos y pulsamos en Instalar:
Automáticamente se iniciará el proceso de instalación del Office con las opciones que previamente habíamos definido: 
Si ahora volvemos a la administración de Intune y accediendo a la aplicación que previamente habíamos configurado para su instalación, podemos ver el estado del proceso de la instalación sobre dispositivos y/o usuarios: 
Una vez se haya completado el proceso de instalación de Office, se nos mostrará una alerta que se ha completado el proceso: 
Ya podemos ejecutar cualquiera de las aplicaciones instaladas, en este caso el Word y como vemos ya con el login realizado sobre la misma: 
Y si nuevamente volvemos al centro de administración de Intune, veremos que se ha completado correctamente el proceso:
A continuación, vamos a ver como desplegar aplicaciones del tipo Line-Of-BussinesApps:
- Android (APK)
- iOS (IPA)
- macOS (.IntuneMac)
- Windows (.msi, .appx, .appxbundle, .msix, and .msixbundle)
En este caso, para hacerlo fácil, vamos a tirar de paquetes MSI que muchos proveedores ya nos facilitan con casi todas las soluciones de software del mercado. El proceso variará en función del tipo de aplicación, ahora vamos a instalar el cliente de escritorio remoto para Windows Virtual Desktop en formato MSI:
Pues vamos a ello, desde el centro de administración de Intune (Microsoft EndPoint Manager admin center) accedemos a la sección de aplicaciones, en mi caso Windows Apps, pulsamos en Add y elegimos Line-Of-BussinesApps y pulsamos en select:
Ahora debemos subir el fichero de instalación que previamente nos hemos descargado y, una vez que lo tengamos seleccionado pulsamos en OK: 
Elegimos un nombre descriptivo para que los usuarios la puedan reconocer, elegimos una de las categorías predefinidas (los usuarios lo pueden filtrar desde el Portal de Empresa), que se publique en el Portal de Empresa y elegimos un Logo para dicha aplicación:
Por último y como siempre, definimos como se implementará esta aplicación, en mi caso lo que quiero ahora es que se instale si o si la aplicación a un grupo de equipos que he creado en Azure: 
Desde cualquier equipo con el Portal de Empresa (o desde la configuración de Windows en los equipos unidos en híbrido o AzureAD), forzaremos la sincronización para que no tengamos que esperar el tiempo de sincronización automático: 
En cuestión de unos minutos, ya veremos que tenemos el cliente de Escritorio Remoto instalado y disponible para iniciarlo y configurarlo: 
Por último, vamos a ver como podemos crear paquetes de instaladores .exe o de nuestras propias aplicaciones, son las que se tipifican como Windows app (Win32): aplicaciones empaquetadas por nosotros en formato .intunewin con una herramienta (IntuneWinAppUtil) que descargamos de GitHub: https://go.microsoft.com/fwlink/?linkid=2065730.
Lo primero que debemos hacer es crear con IntuneWinAppUtil.exe nuestras soluciones empaquetas, el proceso es muy simple. Voy a utilizar el Adobe Reader como ejemplo, el cual copiaremos dentro de una carpeta el ejecutable que nos descargamos de la web. Luego, ejecutamos desde una ventana de PowerShell como privilegios de administrador y esta es la sentencia que debemos seguir:
- IntuneWinAppUtil.exe
- Indicar la ruta donde tenemos el .exe
- Escribir el nombre del ejectuable
- Indicarle la ruta de destino del empaquetado a crear.
- Do you want to specify catalog folder: N
En cuestión de segundos tendremos el fichero empaquetado en un fichero con extensión .intunewin:
Una vez que tenemos el fichero preparado, volvemos a la consola de administración de Intune – Aplicaciones – Windows App, pulsamos en Add y el tipo de aplicación Windows app (32) y pulsamos en Select: 
Elegimos el fichero con extensión .intunewin que hemos creado anteriormente y pulsamos en OK: 
Más de lo de antes, nombre, categoría, icono, etc.. 
Ahora viene la parte importante, ahora debemos especificar los modificaciones del instalador (los tiene que indicar el fabricante) tanto para instalar como para desinstalar de forma silenciosa (recomendable) y luego elegir si lo instalamos a nivel de usuario o de sistema: 
Indicamos la arquitectura de sistema operativo para el cual hemos creado el paquete de instalación: 
Indicamos una versión mínima de nuestra versión de Windows 10 y algunas opciones de filtrado adicionales:
- Espacio en disco
- Memoria física
- CPU
- Etc..
Sino queréis realizar filtrado alguno, podría quedar algo así: 
En la sección de Detection Rules sirve que el instalador detecte si la aplicación ya está instalada y se puede definir de la siguiente forma: 
Podemos indicar si este software tiene alguna dependencia de otras aplicaciones, siendo así, las tendríamos que seleccionar desde aquí: 
Indicaremos el modo de entrega de la aplicación y el grupo de usuarios y/o dispositivos a los cuales queremos instalar este software: 
Por último, revisamos la configuración de despliegue y si está todo correcto pulsamos en Create: 
Ahora se pondrá a subir el software al centro de administración de Intune, esto le llevará un tiempo en función del tamaño del instalador: 
Una vez que se haya completado la carga, entonces hemos terminado el proceso de creación del despliegue de la aplicación que hemos publicado. 
Antes de continuar, si editamos este paquete de instalación, podemos ver desde el modo de entrega de este software algunas opciones como son las notificaciones y entrega del mismo:
Si buscamos uno de los equipos a los cuales le hemos asignado el software en cuestión, desde la sección de Managed Apps podemos ver como va el estado de instalación de las aplicaciones asignadas:
Podemos ver si se han instalado o hemos tenido algún problema: 
Y desde el punto vista del cliente, más de lo mismo, si forzamos la sincronización .. en cuestión de minutos podemos ver la notificación (en las opciones de entrega podíamos haberla ocultado) de que se está descargando e instalando el Adobe en este caso:
Y más de lo mismo, como vemos en cuestión de unos minutos tendremos el software desplegado en los equipos que son miembros del grupo al cual le hemos asignado las aplicaciones:
Como podéis apreciar tiene una potencia enorme, no hay software que se nos resista, pero tenemos algunos limites que debemos tener en cuenta: Cloud storage space:
Echarle uno ojo al enlace que os he puesto (Cloud storage space), porque ahí tenéis todas las limitaciones que tiene, pero bueno, todo tiene su solución (PowerShell).
En los próximos artículo iremos poco a poco profundizando en el despliegue de software, políticas, etc.. pero este artículo era para dar una pincelada rápida sobre lo que podamos hacer con Intune.
Ahora, como siempre, os toca probarlo a vosotros!!!
