WinGet-apps implementeren met Intune: 4 methoden die werken

Als je WinGet-apps met Intune wilt implementeren, zou dat een eenvoudig proces moeten zijn. WinGet kent tenslotte al de installer-URL, versie en silent switches voor duizenden Windows-apps, dus je zou Intune gewoon naar de catalogus moeten kunnen laten verwijzen en kunnen implementeren, toch?

Nou, er zit een addertje onder het gras. Intune heeft geen apptype dat rechtstreeks kan implementeren vanuit de WinGet-communityrepository, alleen apps uit de Microsoft Store. Om het nog ingewikkelder te maken, wordt de WinGet-opdrachtregeltool niet ondersteund wanneer een script als SYSTEM wordt uitgevoerd, de context die Intune gebruikt wanneer het installatiegedrag van een app is ingesteld op System.

Met dat in gedachten: hoe kun je WinGet implementeren met Intune? We hebben vier methoden geïdentificeerd die de implementatie eenvoudiger kunnen maken, dus laten we bekijken wat ze zijn, wat ze kosten, hoe je ze instelt en hoe je eventuele problemen die je kunt tegenkomen oplost.

Kan Intune WinGet-apps standaard implementeren?

Gedeeltelijk. Het app-type Microsoft Store app (new) van Intune gebruikt Windows Package Manager om apps uit de Microsoft Store te vinden en te installeren. Het heeft geen toegang tot de WinGet-communityrepository, de openbare catalogus die de meeste WinGet-handleidingen gebruiken, en geen enkel app-type van Intune implementeert daarvandaan apps. Om apps uit de communityrepository te implementeren, heb je een scriptwrapper of een Win32-pakket nodig.

Dat verschil komt neer op hoe WinGet is georganiseerd. Het haalt apps uit twee hoofdbronnen: de Microsoft Store (msstore) en de WinGet-communityrepository op GitHub. De Store-integratie van Intune, die de buiten gebruik gestelde Microsoft Store for Business verving, maakt alleen verbinding met de eerste.

Je kunt Microsoft’s Enterprise App Catalog ook tegenkomen in discussies over Intune WinGet. Het is een aparte bibliotheek met Win32-apps die Microsoft voorbereidt en host, en Microsoft geeft aan dat het geen gebruikmaakt van WinGet. Er is ook een abonnement voor nodig naast Intune Plan 1 of Plan 2.

Vier manieren om WinGet te gebruiken met Intune

Als je WinGet-apps wilt implementeren met Intune, zijn er nog steeds manieren om dat te doen. Dit zijn de vier meest voorkomende manieren om WinGet met Intune te gebruiken, inclusief waarvoor ze het meest geschikt zijn en hun beperkingen:

Zo werkt elke methode, stap voor stap.

Methode 1: Microsoft Store-apps implementeren met het type Microsoft Store app (new)

De eerste (en misschien wel eenvoudigste) manier om apps uit te rollen, is via de Microsoft Store-app. Je doet dit in een paar snelle stappen:

1. Ga in het Intune-beheercentrum naar Apps → All Apps → Create en kies vervolgens Microsoft Store app (new) onder Store app.

2. Selecteer ‘Search the Microsoft Store app’ en zoek naar de app die je wilt op naam, uitgever of Store-app-ID. De resultaten laten zien of elke app Win32 of UWP is.

3. Controleer de vooraf ingevulde app-informatie, stel het installatiegedrag in op System of User (houd er rekening mee dat sommige apps er maar één ondersteunen) en stel de opties voor Company Portal in (zoals aanbevolen app en categorie).

4. Wijs de app toe als Vereist, Beschikbaar voor ingeschreven apparaten of Verwijderen, en stel meldingen voor eindgebruikers, de respijtperiode voor opnieuw opstarten en de installatiedeadline in.

5. Controleer en maak aan. Intune houdt de app up-to-date zodra er nieuwe versies beschikbaar zijn.

Dat gezegd hebbende, zijn er een paar beperkingen en vereisten waar je rekening mee moet houden. Deze kunnen het proces ingewikkelder maken en betekenen mogelijk dat je een andere methode moet proberen:

1. Apparaten hebben de Intune Management Extension nodig, minimaal twee processorkernen en netwerktoegang tot de Store en tot de content van de uitgever.

2. Win32-apps in de Store zijn nog steeds in preview en niet elke Win32-app is vindbaar. Betaalde apps en ARM64-installers worden op dezelfde manier niet ondersteund.

3. Win32-apps uit de Store blijven alleen up-to-date zolang ze toegewezen blijven in Intune.

4. Op apparaten die bij Entra zijn geregistreerd, moet het installatiegedrag op Systeeminstallatie staan (dus Gebruiker is geen optie).

Methode 2: verpak een WinGet-opdracht in een Win32-app

Als de Microsoft Store-app niet werkt voor wat je nodig hebt, kun je WinGet via Intune implementeren door een WinGet-opdracht in te pakken in een Win32-app. In deze gevallen is een Win32-app betrouwbaarder dan een eenvoudig platformscript, omdat die statusdetectie, retourcodes en een verwijderopdracht bevat, en dat ontbreekt bij implementaties met scripts van één regel.

Waarom WinGet mislukt wanneer Intune als SYSTEM wordt uitgevoerd

Wanneer het installatiegedrag van een Win32-app is ingesteld op System, voert Intune de installatieopdracht uit als SYSTEM, en daar gaat het mis met WinGet. De WinGet CLI wordt niet ondersteund in de SYSTEM-context omdat deze wordt meegeleverd in App Installer, een verpakte (MSIX)-app die per gebruiker wordt geregistreerd. Daardoor mislukt het aanroepen van WinGet op naam in een SYSTEM-script meestal, omdat SYSTEM het niet kan vinden.

Er zijn enkele tijdelijke oplossingen. Communityscripts lossen dit probleem doorgaans op door winget.exe te vinden onder C:\Program Files\WindowsApps\Microsoft.DesktopAppInstaller_*_x64__8wekyb3d8bbwe, maar dit is geen methode die door Microsoft wordt ondersteund. De door Microsoft ondersteunde optie is de Microsoft.WinGet.Client PowerShell-module, die werkt in de systeemcontext voor apps die systeembreed zijn geïnstalleerd.

Schrijf het installatiescript

Om het installatiescript te schrijven, moet je eerst de package-ID opzoeken en het daarna met exact die ID installeren vanuit de communityrepository. Je kunt de ID opzoeken met winget search <app name>, of zonder de opdrachtregel op winstall, Splashtop’s gratis WinGet-catalogusbrowser. Zodra je de ID hebt, ziet de installatieopdracht er ongeveer zo uit: winget install --id Git.Git -e --source winget --silent --accept-package-agreements --accept-source-agreements

Voor SYSTEM-installaties wil je --scope machine opnemen. Houd er rekening mee dat Microsoft waarschuwt dat EXE-installatieprogramma's niet consistent omgaan met scope.

Voor Microsoft Intune kan de installatieopdracht een PowerShell-script tot 50 KB zijn. Als je powershell.exe in het opdrachtveld gebruikt, wordt de 32-bitsversie gestart, terwijl je met het Sysnative-pad 64-bits PowerShell kunt gebruiken.

Voeg een detectiescript toe

Zorg ervoor dat je ook een script toevoegt om te detecteren en te bevestigen wanneer de app correct is geïnstalleerd. Intune beschouwt de app pas als geïnstalleerd wanneer het script wordt afgesloten met code 0 en output naar STDOUT schrijft; alle STDERR-output wordt gelezen als niet geïnstalleerd. Het script controleert doorgaans de installatiemap, bestandsversie of registersleutel voor verwijderen van de app. Als je controleert met winget list, loop je tegen hetzelfde SYSTEM-probleem aan, dus kun je beter bestands- of registercontroles gebruiken.

Verpak de scripts en upload de Win32-app

Verpak ten slotte de scripts met de Microsoft Win32 Content Prep Tool om het .intunewin bestand te produceren. Je kunt dat bestand vervolgens toevoegen via Apps → All apps → Add → Windows app (Win32), het installatiegedrag instellen op Systeem en de opdracht voor verwijderen, het detectiescript en de vereisten toevoegen. Gebruik volledige paden in de opdracht voor verwijderen, omdat Intune daar omgevingsvariabelen niet uitbreidt.

Houd er rekening mee dat elke app zijn eigen scriptset en updates nodig heeft, en dat WinGet aanwezig moet zijn en moet werken op elk apparaat waarop het is geïnstalleerd. Daardoor kan deze methode meer onderhoud vergen dan de andere methoden doorgaans doen.

Methode 3: houd WinGet-apps up-to-date met Intune Remediations

Met Intune Remediations kun je een detectiescript koppelen aan een remediationscript. Voor WinGet controleert je detectiescript of er voor een geïnstalleerde app een nieuwe versie beschikbaar is; zo ja, dan voert het remediationscript winget upgrade uit voor die pakket-ID. Dit werkt als updatemethode in combinatie met methode 2 en 4, maar het regelt de eerste installatie niet.

Licenties komen op de eerste plaats. Intune Remediations vereist Windows Enterprise E3 of E5 (inbegrepen in Microsoft 365 F3, E3 of E5) of Windows Education A3 of A5, en apparaten moeten door Intune worden beheerd of co-managed zijn en Windows Enterprise, Professional of Education draaien.

Volg gewoon een paar eenvoudige stappen om apps up-to-date te houden met Intune Remediations:

1. Ga in het Intune-beheercentrum naar Apparaten → Apparaten beheren → Scripts en remediations.

2. Maak een scriptpakket met een detectiescript dat de pakket-ID controleert op een beschikbare upgrade.

3. Voeg een herstelscript toe dat de upgrade voor die ID uitvoert met --silent en beide --accept -vlaggen.

4. Wijs deze toe aan een apparaatgroep en stel een schema in om op updates te controleren.

Zorg ervoor dat je de specifieke pakket-ID's selecteert die je wilt upgraden. Hoewel je winget upgrade --all kunt gebruiken, worden daarmee alle apps bijgewerkt die WinGet herkent, inclusief apps die IT niet heeft goedgekeurd of getest. Houd er ook rekening mee dat WinGet de nieuwste versie uit de repository installeert, waardoor updates mogelijk worden uitgerold voordat het IT-team de kans heeft gehad om ze te testen. Als het herstelscript als SYSTEM wordt uitgevoerd, loopt het tegen dezelfde WinGet-beperking aan die in methode 2 wordt behandeld.

Methode 4: Verpak het installatieprogramma als een native Win32-app

Het is ook mogelijk om het installatieprogramma opnieuw te verpakken als een native Win32-app. In dit geval dient WinGet als bron van app-informatie, in plaats van als de app zelf. Door het WinGet-manifest te gebruiken om het installatieprogramma en de silent switches ervan te vinden, kun je het installatieprogramma implementeren als een standaard Win32-app.

Dit betekent dat apparaten de app kunnen implementeren zonder een werkende WinGet-client, dat het probleem met de SYSTEM-context niet van toepassing is en dat je toegang hebt tot alle Win32-functies van Intune.

Je kunt het installatieprogramma in een paar stappen verpakken als een Win32-app:

1. Zoek de pakket-ID op met winget search (of zoek deze op via winstall) en controleer het manifest op het installatietype, de download-URL en silent switches. (WinGet vereist dat elk vermeld installatieprogramma silent install ondersteunt.)

2. Download het installatieprogramma met WinGet of vanaf de leverancier.

3. Bevestig de silent install-opdracht voor dat installatortype. In onze handleidingen voor MSI silent installs en EXE silent installs vind je de switches voor elk installatortype.

4. Verpak het installatieprogramma met de Microsoft Win32 Content Prep Tool om het .intunewin- bestand te maken.

5. Voeg deze toe als een Windows-app (Win32), inclusief installatie- en verwijderingsopdrachten, een detectieregel (op basis van MSI-productcode, bestand of register), vereisten en retourcodes.

6. Test hoe goed de app wordt geïnstalleerd, een voltooide installatie detecteert en wordt verwijderd op een schoon testapparaat voordat je deze uitrolt naar meer apparaten.

7. Wanneer er een nieuwe versie wordt uitgebracht, moet je de build opnieuw uitvoeren en supersedence gebruiken om de oude app te vervangen.

Deze optie biedt IT-teams de meeste aanpassingsmogelijkheden en controle, al betekent het ook dat ze het proces voor elke app en update moeten herhalen. Daardoor kunnen teams met grote appcatalogi moeite hebben om de werkdruk bij te benen.

Dus, welke methode is het meest effectief? We kunnen ze opsplitsen en bekijken wanneer de afweging de moeite waard is en wanneer andere methoden beter zijn.

WinGet vs Win32-app in Intune: welke aanpak past het best

De belangrijkste keuze is of apparaten WinGet uitvoeren tijdens de installatie of een Win32-app ontvangen die je vooraf hebt verpakt. Zo verhouden de twee zich tot elkaar:

Als we de opties vergelijken, zien we een paar belangrijke details. Voor een handvol hulpprogramma's met een laag risico kunnen WinGet-scripts snel zijn en minder inspanning vooraf vereisen. Voor zakelijke apps, gereguleerde apparaten of grote catalogi is een verpakte Win32-app betrouwbaarder, omdat die voorspelbare versies en tests vóór uitrol biedt.

Als de app in de Microsoft Store staat, is methode 1 meestal de lichtste optie.

Veelvoorkomende problemen bij het implementeren van WinGet-apps met Intune

Zelfs met de juiste methode brengt het implementeren van WinGet-apps met Intune uitdagingen met zich mee. IT-teams kunnen bij het implementeren van apps veelvoorkomende problemen tegenkomen, maar ze kunnen die identificeren en oplossen.

Veelvoorkomende problemen zijn:

1. WinGet wordt niet herkend in een Intune-script

Als je script meldt dat winget niet wordt herkend, wordt het script hoogstwaarschijnlijk uitgevoerd als SYSTEM, waar de WinGet CLI niet wordt ondersteund omdat App Installer per gebruiker wordt geregistreerd. Dit kun je oplossen door winget.exe via het volledige pad op te geven of door de PowerShell-module Microsoft.WinGet.Client te gebruiken, zoals vermeld in methode 2.

2. De app wordt voor de verkeerde gebruiker of op de verkeerde plek geïnstalleerd

Als de app op de verkeerde plek of voor de verkeerde gebruiker wordt geïnstalleerd, dan heeft dat te maken met het installatiebereik. Met SYSTEM wordt het gebruikersbereik omgezet naar het eigen profiel van SYSTEM, terwijl EXE-installers de keuze tussen gebruikers- en machinebereik inconsistent afhandelen. Om dit op te lossen, gebruik je --scope machine voor SYSTEM-installaties (zorg er wel voor dat je dit eerst test voordat je de app breder uitrolt).

3. Het downloaden mislukt met een 403 Forbidden-fout

Als de download een 403 Forbidden-fout retourneert, blokkeert de softwareleverancier mogelijk de user agent van WinGet op zijn downloadservers. Als het installatieprogramma in een browser wel goed wordt gedownload, is dat waarschijnlijk de oorzaak. Als dat gebeurt, kun je het installatieprogramma direct downloaden en implementeren als een verpakte Win32-app, zoals besproken in methode 4.

4. Een Store-app verschijnt niet in de Intune-zoekopdracht

Als een Store-app niet verschijnt wanneer je ernaar zoekt, kan dat drie redenen hebben: 1. Deze is niet beschikbaar in jouw regio, 2. Het is een betaalde app, wat betekent dat deze niet wordt ondersteund, of 3. Het platform ervan wordt niet ondersteund. Ongeacht de oorzaak, begin met het controleren van de appvermelding, en als die niet toegankelijk is, gebruik dan methode 2 of 4 om deze te installeren.

5. Een UWP Store app meldt "niet gedetecteerd na installatie" (0x87D1041C)

Als je deze melding krijgt, betekent dit dat een UWP-app met installatiegedrag van het systeem is toegewezen aan een apparaat waarop deze al staat. Maak je in dit geval geen zorgen; de app is nog steeds correct geïnstalleerd. Microsoft raadt ook aan om gebruikers- en systeemcontexten niet te combineren voor dezelfde app.

6. Ontdek waarom een WinGet-installatie is mislukt

Als een WinGet-installatie is mislukt en je weet niet zeker waarom, kun je onderzoek doen om de oorzaak vast te stellen en aan te pakken. Door --verbose-logs aan de opdracht toe te voegen, krijg je volledige logs, en je kunt winget error <code> uitvoeren om een exitcode om te zetten in een beschrijving. Houd er rekening mee dat dit WinGet-, MSIX- en MSI-codes dekt, maar veel EXE-installatieprogramma's kunnen niet-standaardcodes gebruiken. In onze gids voor stille installatie van EXE-bestanden lees je hoe je die kunt vinden.

Hoe Splashtop Agentic Packr van WinGet-apps geteste Intune-pakketten maakt

Het uitrollen van WinGet-apps met Intune kan ingewikkeld zijn, maar dat hoeft niet. Met de juiste automatisering kunnen teams installers snel en efficiënt verpakken zonder IT-resources onnodig te belasten.

Dat brengt ons bij Splashtop Agentic Packr, een AI-gestuurde tool voor het verpakken en implementeren van applicaties voor moderne IT-teams. Agentic Packr kan applicaties verpakken, valideren en implementeren via Microsoft Intune, SCCM en meer, met veel minder handmatig werk.

Splashtop Agentic Packr biedt verschillende functies en voordelen, waaronder:

1. WinGet als bron, zonder WinGet-client op apparaten

Splashtop Agentic Packr kan apps verpakken uit een geverifieerde WinGet-catalogus, op WinGet- of Chocolatey-pakket-ID, of vanuit je eigen installers. Het bouwt een Intune-native Win32-app, zodat je je geen zorgen hoeft te maken over de problemen met WinGet en de SYSTEM-context waar gebruikers vaak tegenaan lopen.

2. Detectieregels geschreven en getest voordat er iets wordt verzonden

Wanneer de AI-aangedreven agent het installatieprogramma leest, schrijft deze detectieregels en test de build op een schone virtuele machine. Deze tests controleren of installeren, detectie en de-installeren werken, voeren een malwarescan uit en leveren een QA-scorecard en logboeken op die IT-beheerders kunnen beoordelen voordat de app Intune bereikt en op apparaten wordt uitgerold.

3. Publiceren en nieuwe versies zonder handmatige rebuilds

Splashtop Agentic Packr maakt het overbodig om pakketten handmatig opnieuw op te bouwen telkens wanneer er een nieuwe update uitkomt. Met de one-click Express-verbinding met de Intune-tenant en automatische versie-updates detecteert Agentic Packr nieuwe updates, verpakt ze, test ze en rolt het bijgewerkte pakket uit zonder dat beheerders elke update handmatig hoeven af te handelen.

4. Controle over wat gebruikers zien

Met Splashtop Agentic Packr heeft IT controle over hoe installaties en updates voor gebruikers worden weergegeven. Teams kunnen meldingen voor eindgebruikers, uitstelopties, herstartprompts en respijtperiodes aanpassen, zodat verplichte installaties en updates gebruikers minder snel midden in hun werk onderbreken.

Rol WinGet-apps uit naar Intune zonder scripts te onderhouden

WinGet is een sterke bron van app-informatie en Intune is geweldig voor het implementeren van apps, maar Intune kan niet rechtstreeks implementeren vanuit de WinGet-communityrepository. De methode die schaalbaar is, is om WinGet-vermeldingen om te zetten in geteste Win32-pakketten.

Met Splashtop Agentic Packr kun je apppakketten bouwen, testen en publiceren met veel minder handmatig werk. Agentic Packr maakt packaging sneller en eenvoudiger, met één console om apps te packagen, implementeren en updaten terwijl beheerders de controle houden.

Wil je WinGet-apps met Intune uitrollen zonder gedoe? Ontdek hoe Splashtop Agentic Packr je vandaag nog kan helpen.