Wie ich Win32 Apps für Intune test / erstelle

Das Erstellen und gerade auch testen von Applikationen (win32), die ich mit Intune verteile ist nicht immer ganz einfach. Oft braucht es etwas hin und her bis eine Applikation wie gewünscht funktioniert.
Wie auch du die Installationen einfach und schnell testen kannst, ohne dabei deinen PC unnötig zu belasten oder zuzumüllen, zeige ich dir hier.

Erstellen von Win32 Apps für Intune

Für die Erstellung von Apps gibt es ganz verschiedene Arten. Einerseits gibt es im Intune Admin Center verschiedene Arten von Apps, wobei die Variante “Windows APP (win32)” sehr individuell angepasst werden kann.
Weil Win32 Apps sehr gut und universell anpassbar sind, und sich nicht gut mit anderen App-Arten während der ESP-Phase vertragen, erstelle ich fast ausschliesslich Win32 Apps. In diesem Beitrag beschränke ich mich darum auch auf diese.

Vorlagen für Win32 Apps

Wenn ich mit der Erstellung starte, nehme ich immer eine Vorlage zur Hand, so dass die Apps einem definierten Standard entsprechen. Dies kann eine individuelle Vorlage von dir oder deiner Organisation sein oder beispielsweise auch das PSAppDeployToolkit.
Ein Beispiel einer individuellen Vorlage findest du hier: my take on Intune win32 apps
Falls du Applikationen via Chocolatey oder winget (Windows Package Manager) verteilen möchtet kannst du auch einfach meinen “Intune Win32 Deployer” verwenden, dieser erstellt dir die Apps komplett und lädt sie nach Wunsch auch gleich in deine MEM-Umgebung hoch.

Intunewin für Upload der Win32 App erstellen

Hast du die Installations-, Deinstallations-Logik und Erkennungsregel definiert/erstellt, musst du nur noch ein Intunewin erstellen.
Diesen Schritt kannst du auch erst nach einigen der Testing-Schritte machen.
Wie du das Intunewin-File erstellst, habe ich dir hier erklärt: Win32 App / .intunewin erstellen

Testing Plattformen

Grundsätzlich versuche ich alle Tests in einer Windows Sandbox durchzuführen. So hinterlasse ich keine Spuren auf meinem Gerät und bei einem Fehler bin ich mit einem Klick auf einem frischen Windows zurück.
Der einzige Nachteil einer Sandbox ist, dass Netzwerkabhängigkeiten und SSO nicht funktionieren. Dabei kann eine VM im entsprechenden Netzwerk oder lokal auf deinem Gerät (beispielsweise via Hyper-V) aushelfen.

Win32 App in der Sandbox testen

Das Sandbox Feature musst du einmalig pro Gerät aktivieren. Am schnellsten geht das, wenn du PowerShell als Admin öffnest und folgenden Befehl ausführst:

Enable-WindowsOptionalFeature -FeatureName "Containers-DisposableClientVM" -Online -NoRestart -ErrorAction Stop

Hast du den Befehl abgefeuert, braucht dein Gerät einen Neustart. Nach diesem findest du das Sandbox Feature im Startmenu.

Testing mit einer VM

Für Tests in einer VM nutze ich entweder eine VM auf der Infrastruktur, die sich im korrekten Netzwerk befindet, oder eine VM auf meinem Gerät.

Für das Betreiben eines Labs hat Simon Skotheimsvik (Blog: Building a MEMpowered LAB environment) einen sehr guten Beitrag erstellt.

Win32 App Testing Optionen

Testing Installation ohne Intunewin

Möchtest du die Installation, ohne jedes Mal die Intunewin Datei zu erstellen testen?
Dann geht das ganz einfach mit dem Aufrufen deiner Installationsdatei.

Testing Erkennungsregel

Die Erkennungsregel (Detection Rule) entscheidet, ob Intune eine App als installiert erkennt oder nicht - und ist einer der häufigsten Stolpersteine beim Win32-App-Deployment. Bevor ich eine Regel in Intune einträge, teste ich sie darum immer zuerst lokal.

Bei einer skriptbasierten Erkennung führe ich das Skript direkt aus und prüfe den Exit Code, genau wie Intune es später auch macht:

powershell.exe -ExecutionPolicy Bypass -File .\detect.ps1
$LASTEXITCODE

Exit Code 0 bedeutet “erkannt”, jeder andere Code bedeutet “nicht erkannt”. Gibt das Skript zusätzlich über Write-Host etwas aus, zeigt Intune das später im Log als “Discovered app” an.

Bei einer datei- oder registrybasierten Regel simuliere ich die Prüfung manuell, bevor ich sie in Intune konfiguriere:

Test-Path "C:\Program Files\MeineApp\app.exe"
Get-ItemProperty "HKLM:\SOFTWARE\MeineApp" -Name "Version"

So sehe ich sofort, ob Pfad, Registry-Key oder Versionsvergleich überhaupt stimmen, statt das erst nach einem fehlgeschlagenen Deployment auf einem Testgerät herauszufinden.

Nach dem eigentlichen Deployment auf einem Testgerät prüfe ich zusätzlich das IntuneManagementExtension-Log (C:\ProgramData\Microsoft\IntuneManagementExtension\Logs), um zu sehen, wie Intune die Regel tatsächlich ausgewertet hat. Dafür nutze ich meistens mein Intune Diagnose Tool, das genau diese Logs automatisch durchsucht und aufbereitet.

Prozess als System ausführen

Gewisse Installationen funktionieren selbst mit einem Benutzer, der Administratorenrechte hat, nicht korrekt. Dies zum Beispiel, wenn du Winget Apps (How to: winget & Intune) im Systemkontext installieren möchtest.

Für solche Tests bietet sich das PsExec - Windows Sysinternals Tool an. Über dieses kannst du als Administrator eine PowerShell Session als System User aufrufen. Dazu habe ich dir auf GitHub ein Script abgelegt, das die aktuelle Version von PsExec herunterlädt, diese ausführt und ein PowerShell Fenster öffnet.

Run PS as System @GitHub

Und so sieht das Ganze dann in Action aus:

RunInSandbox by systanddeploy

Eine sehr einfache Art ein fertiges Intunewin-File zu testen, ist das Tool von Damien Van Robaeys. Mit diesem lässt sich eine Datei mit einem Rechtsklick in einer Windows Sandbox als System ausführen. Er hat dazu einen Beitrag inklusive Anleitung verfasst: Run in Sandbox: a quick way to run/extract files in Windows Sandbox from a right-click on a file