Nasazení aplikací přes Microsoft Intune umožňuje malé firmě nainstalovat, aktualizovat i odinstalovat software na všech firemních počítačích a mobilech centrálně – bez toho, aby technik musel usednout ke každému zařízení. Nový notebook si sám stáhne Office, PDF prohlížeč, prohlížeč i účetní program ještě dřív, než se zaměstnanec poprvé přihlásí.

V praxi to znamená konec situací, kdy má každý počítač jinou verzi programu, kdy si zaměstnanci stahují instalačky z pochybných webů a kdy nikdo netuší, co vlastně na firemních strojích běží. V tomto průvodci si ukážeme, jaké typy aplikací Intune zvládne, jak vytvořit balíček Win32, jak funguje Portál společnosti a čeho se vyvarovat.

Co je nasazení aplikací přes Microsoft Intune

Nasazení aplikací (app deployment) je funkce Microsoft Intune, která z cloudu doručí instalační balíček na spravované zařízení a spustí jeho tichou instalaci. Administrátor nahraje aplikaci jednou do Intune, přiřadí ji skupině uživatelů nebo zařízení a Intune se postará o zbytek.

Zařízení kontroluje nové přiřazené aplikace při každé synchronizaci – typicky několikrát denně, u čerstvě zaregistrovaného zařízení řádově během minut. Aplikace se instaluje na pozadí v systémovém kontextu, takže uživatel nepotřebuje práva administrátora.

Tato funkce navazuje na základní správu zařízení. Pokud Intune teprve zvažujete, začněte průvodcem Microsoft Intune pro malé firmy, kde rozebíráme registraci zařízení a licenční požadavky.

Jaké typy aplikací Intune umí nasadit

Intune rozlišuje několik typů aplikací a každý má jiná pravidla. Toto je nejčastější zdroj zmatků, proto si je projdeme popořadě.

• Microsoft 365 Apps (Office) – vestavěný průvodce. Vyberete aplikace, jazyky, 32/64 bit a kanál aktualizací. Nejjednodušší typ, žádný balíček se nenahrává.
• Aplikace z Microsoft Store – moderní typ „Microsoft Store app (new)”, který čerpá i z katalogu WinGet. Pokrývá běžné nástroje jako prohlížeče, čtečky PDF nebo komunikační klienty včetně automatických aktualizací.
• Win32 aplikace – univerzální řešení pro klasické instalačky EXE a MSI. Vyžaduje zabalení do formátu .intunewin. Používá se pro účetní systémy, CAD, oborový software a vše, co není ve Storu.
• Line-of-business (LOB) aplikace – přímé nahrání jednoho MSI souboru. Jednodušší než Win32, ale bez detekčních pravidel a závislostí.
• Webové odkazy – zástupce na webovou aplikaci, který se objeví na ploše nebo v nabídce Start. Vhodné pro interní portály.
• Mobilní aplikace – pro iOS a Android se nasazují z App Store a Google Play, případně přes Apple Volume Purchase Program u placených licencí.

Pro malou firmu platí jednoduché pravidlo: co je ve Storu, nasazujte ze Storu. Aktualizace tak řeší Microsoft za vás. Win32 balíčky si nechte pro software, který jinak nasadit nejde.

Required, Available, Uninstall – tři způsoby přiřazení

Samotné nahrání aplikace nic neudělá. Klíčové je přiřazení skupině, kde volíte jeden ze tří režimů:

1. Required (Povinné) – Intune aplikaci nainstaluje automaticky, uživatel nemá na výběr. Používejte pro Office, antivirus, VPN klienta a firemní standard.
2. Available for enrolled devices (Dostupné) – aplikace se objeví v Portálu společnosti a uživatel si ji nainstaluje jedním kliknutím. Ideální pro software, který potřebuje jen část týmu.
3. Uninstall (Odinstalovat) – Intune aplikaci ze zařízení odebere. Nepostradatelné při odchodu zaměstnance z projektu nebo při ukončení licence.

Zásadní detail: přiřazení lze cílit na skupinu uživatelů, nebo na skupinu zařízení. Aplikace cílená na uživatele se nainstaluje na každý stroj, kam se dotyčný přihlásí. Aplikace cílená na zařízení se nainstaluje bez ohledu na to, kdo u něj sedí – to je správná volba pro sdílené počítače v recepci nebo dílně.

Pozor na kolize. Pokud je uživatel členem skupiny s režimem Required a zároveň skupiny s režimem Uninstall, vyhrává instalace. Průběžná kontrola členství ve skupinách se vyplatí, stejně jako u přezkoumání přístupu v Microsoft Entra ID.

Nasazení Microsoft 365 Apps krok za krokem

Office je nejčastější první nasazení a zabere doslova pár minut:

1. V Intune admin centru otevřete Apps → Windows → Add a jako typ vyberte Microsoft 365 Apps for Windows 10 and later.
2. V konfiguraci zvolte konkrétní aplikace – typicky Word, Excel, Outlook, PowerPoint, Teams. Aplikace, které nechcete (Access, Publisher, OneNote), jednoduše vypněte.
3. Nastavte architekturu 64bit a kanál aktualizací Current Channel pro nejnovější funkce, nebo Monthly Enterprise Channel pro předvídatelnější měsíční cyklus.
4. Zapněte automatické odstranění starších verzí MSI Office, jinak se nová instalace na strojích se starým Office 2016 nemusí povést.
5. Přiřaďte skupině všech zaměstnanců jako Required a uložte.

Instalace na cílovém zařízení trvá zhruba 15–30 minut podle rychlosti připojení a probíhá zcela na pozadí.

Balíček Win32: příprava pomocí Content Prep Tool

Klasické instalačky je potřeba zabalit. Slouží k tomu bezplatný nástroj Microsoft Win32 Content Prep Tool, který zdrojovou složku zabalí do zašifrovaného souboru .intunewin. Postup je vždy stejný:

1. Stáhněte Microsoft Win32 Content Prep Tool a připravte složku obsahující instalační soubor.
2. Spusťte IntuneWinAppUtil.exe, zadejte cestu ke zdrojové složce, hlavní instalační soubor a výstupní adresář.
3. V Intune vytvořte novou aplikaci typu Windows app (Win32) a nahrajte vzniklý .intunewin.
4. Vyplňte instalační příkaz pro tichou instalaci, například msiexec /i program.msi /qn u MSI nebo setup.exe /S u řady EXE instalátorů.
5. Vyplňte odinstalační příkaz, typicky msiexec /x {GUID} /qn.

Detekční pravidla rozhodují o úspěchu

Detekční pravidlo říká Intune, jak poznat, že je aplikace už nainstalovaná. Bez správného pravidla se instalace buď opakuje donekonečna, nebo se reportuje jako neúspěšná, i když proběhla v pořádku. Máte tři možnosti:

• MSI kód produktu – nejspolehlivější u MSI balíčků, Intune ho většinou vyplní sám.
• Soubor nebo složka – existence konkrétního .exe v Program Files, volitelně s kontrolou verze.
• Klíč registru – hodnota, kterou instalátor zapisuje, vhodná u nestandardních programů.

Nezapomeňte na požadavky (requirements) – minimální verzi Windows a architekturu. A na návratové kódy: kód 0 znamená úspěch, 3010 „úspěch, vyžaduje restart”. Pokud instalátor vrací nestandardní kód, doplňte ho ručně, jinak Intune nahlásí chybu u fungující instalace.

Portál společnosti: samoobsluha pro zaměstnance

Aplikace Portál společnosti (Company Portal) je firemní obchod se softwarem. Zaměstnanec v něm vidí vše, co mu bylo přiřazeno jako Available, a instaluje si to sám bez čekání na technika.

Pro malou firmu je to velmi praktické. Grafik si stáhne nástroj na úpravu obrázků, obchodník klienta CRM, účetní daňový software – a nikdo kvůli tomu nevolá na podporu. Zároveň zůstává zachovaná kontrola, protože do portálu se nedostane nic, co administrátor neschválil.

Portál společnosti také zobrazuje stav zařízení vůči zásadám dodržování předpisů a umožňuje uživateli zařízení sám synchronizovat nebo restartovat.

Aktualizace aplikací: nejpodceňovanější část

Nasadit aplikaci je snadné. Udržet ji aktuální na dvaceti počítačích je skutečná práce – a přitom právě zastaralý software bývá vstupní branou útočníka. Podle přehledu známých zneužívaných zranitelností amerického úřadu CISA se drtivá většina reálných útoků opírá o chyby, na které už dávno existuje záplata.

V Intune máte tři cesty:

• Store aplikace se aktualizují automaticky – bez zásahu administrátora.
• Enterprise App Management (součást doplňku Intune Suite) nabízí katalog aplikací s automatickými aktualizacemi i pro software mimo Store.
• Ruční nahrání nové verze Win32 balíčku, kdy novou verzi nasadíte přes stejnou aplikaci a detekční pravidlo upravíte na vyšší číslo verze.

Operační systém řešte odděleně přes Windows Update for Business. K celkovému přístupu k záplatování se hodí náš článek o patch managementu ve firmě.

Nejčastější chyby a jak je řešit

Přehled o stavu najdete v Apps → Monitor → App install status, kde vidíte každé zařízení a chybový kód.

• Instalace se opakuje dokola – špatné detekční pravidlo. Ověřte cestu k souboru nebo klíč registru přímo na zařízení.
• Chyba 0x87D1041C – aplikace se nainstalovala, ale detekce selhala. Stejná příčina jako výše.
• Instalátor čeká na potvrzení – chybí přepínač tiché instalace. Ověřte správný parametr v dokumentaci výrobce.
• Aplikace nedorazí na zařízení – zařízení není zaregistrované, nemá licenci, nebo uživatel není ve správné skupině.
• Konflikt s bezpečnostní politikou – konfigurační profil nebo ochrana blokuje spuštění. Zkontrolujte nastavení v Microsoft Defenderu for Business.

Praktická rada z naší praxe: každou novou Win32 aplikaci nejdřív otestujte na jednom pilotním zařízení ve zvláštní skupině. Chyba v detekčním pravidle nasazená na celou firmu znamená desítky opakovaných instalací a rozzlobené uživatele.

Co k tomu potřebujete a kolik to stojí

Nasazení aplikací je součástí základní licence Intune Plan 1, kterou obsahuje Microsoft 365 Business Premium – tedy licence, kterou už řada malých firem má. Samostatně stojí Intune Plan 1 zhruba 8 USD za uživatele měsíčně.

Podrobnosti o možnostech přiřazení popisuje oficiální dokumentace Microsoft Learn k nasazení aplikací. Srovnání licencí najdete v článku Business Premium vs. Business Standard.

Časová investice bývá u malé firmy 2–4 hodiny na úvodní nastavení a zabalení tří až pěti klíčových aplikací. Návratnost přijde s prvním novým zaměstnancem, kterému se počítač nachystá sám – kombinace nasazení aplikací a Windows Autopilotu zkrátí přípravu notebooku z půl dne na patnáct minut dohledu.

Typický scénář malé firmy

U klienta s 18 počítači obvykle nastavujeme tuto strukturu:

• Required pro všechny: Microsoft 365 Apps, prohlížeč, čtečka PDF, VPN klient, bezpečnostní agent.
• Required pro oddělení: účetní software pro ekonomický úsek, CRM pro obchod.
• Available v portálu: nástroje na komprimaci, editor obrázků, nástroj pro vzdálenou podporu.
• Uninstall: starší verze softwaru, kterých se firma zbavuje.

Výsledek: každý nový notebook je připravený k práci hned po prvním přihlášení a technik se nemusí dotknout ani jednoho zařízení fyzicky.

Často kladené otázky

Musí mít uživatel práva administrátora?

Ne. Intune instaluje aplikace v systémovém kontextu, takže běžný uživatel bez administrátorských práv dostane software zcela normálně. To je jeden z hlavních přínosů – můžete zaměstnancům odebrat lokální administrátorská oprávnění, aniž byste jim znemožnili práci.

Jak dlouho trvá, než se aplikace nainstaluje?

U nově zaregistrovaného zařízení obvykle několik minut. U již běžícího zařízení se aplikace doručí při nejbližší synchronizaci, což je typicky do 8 hodin. Uživatel může synchronizaci urychlit ručně v Portálu společnosti.

Zvládne Intune nasadit i český oborový software?

Ano, pokud má instalátor režim tiché instalace. Naprostá většina MSI balíčků ho má standardně, u EXE instalátorů je potřeba najít správný přepínač. Software bez podpory tiché instalace lze obejít skriptem, ale je to náročnější na údržbu.

Co se stane s aplikacemi, když zaměstnanec odejde?

Při odebrání uživatele ze skupiny se aplikace cílené na uživatele odinstalují při příští synchronizaci. Zařízení lze navíc vzdáleně vymazat nebo vyřadit z evidence. Kompletní postup popisuje náš checklist pro offboarding zaměstnance.

Funguje nasazení aplikací i na mobilech?

Ano. Na Androidu a iOS se aplikace nasazují z veřejných obchodů, u firemních zařízení dokonce zcela bez zásahu uživatele. Placené aplikace lze hromadně nakupovat přes Apple Volume Purchase Program a licence pak přiřazovat a odebírat podle potřeby.

Závěr: centrální správa softwaru je základ pořádku

Nasazení aplikací přes Microsoft Intune odstraní tři chronické problémy malých firem najednou: různé verze softwaru na různých počítačích, zbytečné výjezdy technika kvůli instalaci a chybějící přehled o tom, co na zařízeních vlastně běží. Začněte Microsoft 365 Apps a dvěma nejpoužívanějšími nástroji, přidejte Portál společnosti pro samoobsluhu a Win32 balíčky řešte až v druhé fázi.

Nevíte, jak zabalit váš oborový software, nebo se vám aplikace opakovaně instalují dokola? Ozvěte se nám na bezplatný IT audit – projdeme s vámi stávající stav zařízení a připravíme nasazení aplikací na míru. Podívejte se také na naši kompletní správu firemního IT nebo přímo na ceník služeb.