Blackoutly diegimas ir konfigūravimas per Microsoft Intune

Instrukcija organizacijos administratoriui. Intune meniu pavadinimai kartais pasikeičia — jei kuris punktas vadinasi kiek kitaip, ieškokite to paties skyriaus.

Kas reikalinga

„Win32 app“ — tai Intune programos tipo pavadinimas (klasikinė Windows programa), ne bitų skaičius. Blackoutly yra 64 bitų programa.

Bendras vaizdas: (1) įkeliate programą, (2) vieną kartą įkeliate ADMX šabloną, (3) sukuriate konfigūracijos profilį su licencijos raktu ir nustatymais, (4) abu priskiriate tai pačiai kompiuterių grupei.

1. Programos įkėlimas

Intune admin center → Apps → Windows → Create → App type: Windows app (Win32)

1. App package file: įkelti Blackoutly-<versija>-x64.intunewin.

2. App information: Name Blackoutly, Publisher Valentinas Šarėjus, ikona (nebūtina) — juodas kvadratas su balta raide „B“.

3. Program:

   • Install command:

        msiexec /i "Blackoutly-0.0.10-x64.msi" PROGRAMLANGUAGE=lt /qn /norestart /l*v "%ProgramData%\Blackoutly-install.log"
     

     PROGRAMLANGUAGE=lt arba en — programos kalba. Nenurodžius: atnaujinant paliekama ankstesnė kalba, naujai diegiant — pagal kompiuterio regioninius nustatymus (lietuviški — lietuvių, kiti — anglų). Tylus diegimas per Intune vyksta SYSTEM paskyroje, todėl organizacijoms patikimiau nurodyti kalbą aiškiai. Kalbą politika (3 žingsnis) gali nustatyti ir užrakinti. DETECTCATEGORIES=name,phone,email,… — kokių duomenų ieškoti pagal nutylėjimą (vedlyje — puslapis „Personal data to look for“); DETECTCATEGORIES=none — nieko. Kategorijos: personal_code, name, address, phone, email, iban, card, broker_account, amount, birth_date, id_document, vehicle, company_code, vat_code, stamp, signature, e_signature. Nenurodžius — kaip ankstesnėje versijoje, naujai diegiant — programos numatytosios (be amount, company_code, vat_code). Tai numatytoji reikšmė naudotojams (jie gali pakeisti nustatymuose); užrakinti — politikos Detect_*. NOREADER=1 — be Blackoutly PDF Reader; NOBLACKOUTLY=1 — tik Reader (pirmą kartą diegiant; atnaujinimas palieka, kas įdiegta).

   • Uninstall command: msiexec /x {ProductCode} /qn /norestart (Intune užpildo pats).

   • Install behavior: System. Device restart behavior: No specific action.
   • Return codes — palikti numatytuosius (0, 1707, 3010, 1641, 1618). 4. Requirements: Operating system architecture x64; minimalus OS — Windows 10 1809 (4 GB RAM, rekomenduojama 8 GB; 250 MB diske). 5. Detection rules: Rules format Manually configure → Add → MSI (ProductCode užpildomas automatiškai iš paketo).

4. Dependencies / Supersedence: pirmą kartą — nieko (žr. 5 skyrių apie atnaujinimus).

5. Assignments:
   • Required — programa įdiegiama automatiškai, naudotojui nieko daryti nereikia;
   • Available for enrolled devices — naudotojas įsidiegia pats per Company Portal.
6. Review + create.

Programai paleisti administratoriaus teisių nereikia. Ji įdiegiama į C:\Program Files\Blackoutly, nuoroda — meniu „Start“.

2. ADMX šablono įkėlimas (vieną kartą)

Devices → Manage devices → Configuration → Import ADMX → Import

1. ADMX file: Blackoutly.admx.
2. ADML file: en-US\Blackoutly.adml (Intune priima en-US ADML; nustatymai Intune bus rodomi angliškai).
3. Palaukti, kol būsena taps Available (kelios minutės).

Kai išleidžiama nauja šablono versija (nauji nustatymai), ankstesnį importą reikia ištrinti ir įkelti iš naujo (prieš tai pašalinus profilius, kurie jį naudoja), arba įkelti šalia — kaip nurodo Intune.

3. Konfigūracijos profilis: licencija ir nustatymai

Devices → Manage devices → Configuration → Create → New policy → Platform Windows 10 and later → Profile type Templates → Imported Administrative templates.

1. Name, pvz. Blackoutly — licencija ir nustatymai.

2. Nustatymai yra Computer Configuration → Blackoutly (rekomenduojama — taikoma visam kompiuteriui) arba User Configuration → Blackoutly. Kompiuterio nustatymai turi pirmenybę.

3. Būtina įjungti General → License key ir įklijuoti organizacijos raktą BLK1.…. Be galiojančio rakto programa veikia kaip Blackoutly Free, ir kiti nustatymai netaikomi.

4. Kiti nustatymai (pasirinktinai):

5. Assignments: ta pati kompiuterių grupė kaip programai.
6. Review + create.

Nustatymai įrašomi į HKLM\Software\Policies\Blackoutly. Programoje jie rodomi pilkai su užrašu „Nustatė administratorius“.

4. Licencijos valdymas

Viena licencija visai organizacijai. Leidėjas išduoda vieną metinį raktą su kompiuterių skaičiumi (pvz. 50). Tas pats raktas įrašomas į vieną konfigūracijos profilį, ir Intune jį paskleidžia visiems priskirtiems kompiuteriams. Atskirų raktų kiekvienam kompiuteriui nereikia.

Pratęsimas visiems kompiuteriams: 1. Gavę naujų metų raktą, atidarykite tą patį profilį (Configuration → Blackoutly — licencija ir nustatymai → Properties → Configuration settings → Edit).

2. License key lauke senąjį raktą pakeiskite nauju → Save.

3. Kompiuteriai naują raktą gauna kito sinchronizavimo metu (paprastai per kelias valandas; greičiau — Devices → → Sync arba kompiuteryje Settings → Accounts → Access work or school → Info → Sync).

4. Programa naują raktą perskaito kitą kartą paleista.

Programos perdiegti ir aktyvuoti iš naujo nereikia. Programa naudotojui primena likus 30, 14, 7 ir 2 dienoms; pasibaigus licencijai programa veikia kaip Blackoutly Free (neužsiblokuoja).

Aktyvacija. Kiekvienas kompiuteris aktyvuojasi vieną kartą — pirmą kartą paleidus Blackoutly su raktu (internetu, console.blackoutly.com); toliau veikia be interneto, kas savaitę tik praneša konsolei (be ryšio — nieko neblokuoja). Aktyvuoti galima ne daugiau kompiuterių, nei nurodyta rakte; neaktyvuotas kompiuteris veikia kaip Blackoutly Free ir Nustatymai → Licencija paaiškina kodėl. Pakeistą kompiuterį organizacijos administratorius atlaisvina Blackoutly Console (/my → „Nuimti aktyvaciją“). Be interneto: Intune → Devices → Windows → Export (serijiniai numeriai) → Blackoutly Console /my → „Aktyvuoti be interneto“ → atsisiųstą failą įrašyti į C:\ProgramData\Blackoutly\activations.txt (pvz. Intune platform script). Išsamiau — angliškame vadove Deploying Blackoutly with Microsoft Intune, 5 sk.

5. Atnaujinimas nauja versija

1. Įkelti naują .intunewin kaip naują Win32 programą (1 skyrius), pvz. Blackoutly 0.2.0.

2. Skiltyje Supersedence → Add pasirinkti ankstesnę versiją. Uninstall previous version — nebūtina: MSI senąją versiją pašalina pats.

3. Priskirti tai pačiai grupei.

Atnaujinant išlieka: licencija (politikoje), nustatymai, audito žurnalas, pasirinkta kalba. Senesnės versijos ant naujesnės įdiegti negalima.

6. Patikra kompiuteryje

• Meniu „Start“ yra Blackoutly; būsenos juostoje ir lango pavadinime — „Blackoutly Pro“ ir versija.

• Nustatymai → Licencija: rodoma organizacija, kompiuterių skaičius, galiojimas ir „Licenciją nustatė administratorius“.

• Savitikra (PowerShell):

      $p = Start-Process "C:\Program Files\Blackoutly\Blackoutly.exe" -ArgumentList "--self-test" -Wait -PassThru
      "Rezultatas: $($p.ExitCode)"; Get-Content "$env:TEMP\Blackoutly-selftest.txt"
  

  Paskutinė eilutė turi būti RESULT: OK.

• Politika pasiekė kompiuterį: reg query HKLM\Software\Policies\Blackoutly.

7. Programų kontrolė (Smart App Control, App Control for Business)

Blackoutly paketas nepasirašytas viešu kodo pasirašymo sertifikatu. Kas iš to išplaukia:

• Smart App Control (Windows 11 vartotojų apsauga, blokuoja nepasirašytas programas) Intune valdomuose kompiuteriuose išsijungia pati per 48 valandas po įregistravimo, nebent naudotojas ją įjungė anksčiau. Ar įjungta: reg query HKLM\SYSTEM\CurrentControlSet\Control\CI\Policy /v VerifiedAndReputablePolicyState (0 — išjungta, 1 — blokuoja, 2 — vertinimas). Organizacijos vidinis sertifikatas Smart App Control nepadeda — ji pripažįsta tik viešų patikimų tiekėjų (Microsoft Trusted Root Program) sertifikatus.

• App Control for Business (WDAC) — jei organizacija ją taiko, Blackoutly leidžiamas be jokio sertifikato per Managed Installer: Endpoint security → App Control for Business → Managed installer — įjungus, visos programos, įdiegtos per Intune Management Extension, laikomos patikimomis. Kitos galimybės: taisyklė pagal failų maišą (reikia atnaujinti kiekvienai versijai), arba pasirašyti Blackoutly organizacijos vidiniu kodo pasirašymo sertifikatu ir pridėti signer taisyklę.

• AppLocker — leisti C:\Program Files\Blackoutly\* (kelio taisyklė; ten rašyti gali tik administratoriai).

Požymis, kad programą blokuoja programų kontrolė: paleidus nieko nevyksta arba rodomas pranešimas apie užblokuotą programą; įvykių žurnale Microsoft-Windows-CodeIntegrity/Operational — įvykiai 3077, 3033 ar 3118.

8. Jei kas nors neveikia

9. Pašalinimas

Programos priskyrimą pakeisti į Uninstall (arba msiexec /x {ProductCode} /qn). Naudotojų nustatymai (%APPDATA%\Blackoutly) ir audito žurnalas (%LOCALAPPDATA%\Blackoutly\logs) paliekami.