くらめその情シス：IntuneでWindowsにPowerShellでアプリをインストール

くらめその情シス

#Intune

#Microsoft Azure

#情報システム

#Azure AD

徳道圭一

2020.08.03

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

はじめに

どうも、情シスの徳道です。

以前の記事でMacにIntuneのシェルスクリプトを使って外部からアプリをダウンロードしてインストールする、という内容を紹介しました。

MacでできるならWindowsでもできそうよね、ということでPowerShellを使ってインベントリ管理ツールのインストールを試してみました。

なお、今回はオンラインストレージとしてS3の設定もしています。

【この記事の目的】

WindowsのPowerShellを用いて外部ストレージ（Amazon S3）からインストールパッケージをダウンロード・自動インストールする

※サンプルアプリはManageEngine Desktop Central（PCインベントリー管理）のエージェント

【ご注意ください】

このシリーズでは以下の条件を満たしAzureを既に利用できていることが前提になっています。

Office365などでAzureでライセンス管理が利用可能であること
AzureADにユーザー、グループ情報があること（AzureAD Connector連携含む）
Azureのグローバル管理者アカウントの権限を持っていること

オンラインストレージを設定

まずインストールしたいアプリのパッケージファイルをインターネット経由でダウンロードできるストレージを用意しましょう。

今回はサンプルとしてAmazon S3からダウンロードする形をとりました。

ストレージのセキュリティには注意

Amazon S3からファイルをダウンロードする場合、バケットにパブリックアクセスを付与する形が手軽ですので、今回はその方法を用いています。

（検証では署名付きURLを用いることもできましたが、公開期間が最長7日なので恒常的に利用するのは難しいと思います）

その場合、そのバケットはインターネットの誰でもダウンロードできる状態になっていることに十分ご注意ください。

今回は以下の対策をとって検証用として利用しています。

バケット名はランダムな英数32文字で設定（バケット名は最大63文字までなのでできるだけ長いほうがよい）
バケットにはインストーラーファイルだけを置く
バケットのパブリックアクセスは読み出しのみ

この辺りは利用される環境のセキュリティポリシーをよくご確認・承認を得て作業されることをお勧めします。

PowerShellスクリプトで認証できるストレージが用意できるならそちらを用いるほうがより安全です。

S３のバケットの作成と設定

バケット名としてランダムな英小文字・数字の文字列を生成してバケットを作成しましょう。

画像では伏せていますが、仮に「smeuj3jslus4zs9er59nugve4q3s9ayv」とします。

作成したバケットのアクセス権限を変更しておきます。パブリックアクセスのEveryone →「オブジェクトの一覧」だけを「はい」にしておきます。

作成したバケットにインストーラーのZIPファイルを「スタンダード」、「パブリックアクセスあり」でアップロードしておきます。

くれぐれもこのバケットには他のファイルをアップロードしないようにしてください。

アップロードしたファイルをクリックして概要タブの一番下にあるオブジェクトURLを取得しましょう。

このURLをブラウザのアドレスバーに貼り付けてインストーラーファイルがダウンロードできることを確認しておきます。

PowerShellではこのURLを用います。このURLを知っていると誰でもダウンロードできてしまうため、管理者以外の方には教えないようにしてください。

インストール用のPowerShell作成、Intune登録

PowerShell作成

ではインストーラー用のPowerShellを作成していきます。

ManageEngine Desktop Centralのインストーラーは、.msiのインストーラー本体、接続先管理サーバの情報を収めた.datファイル、インストール用のバッチファイルで構成され、1個のZIPファイルにアーカイブされています。

バッチファイルはIntuneのスクリプトには登録できないため、PowerShellで以下の処理を作成します。

インストール済みかチェック
PCにインストーラーをダウンロード
ファイルを解凍
インストール処理をキック

インストール処理はDesktopCentral純正のインストール用バッチファイルにmsiexeをキックするコマンドがズバリ書かれていたので流用です。

Invoke-WebRequestやExpand-Archiveではその処理が完了するまで待つために「| out-null」を付加しています。

【サンプルコード】


##### Download and Install DesktopCentralAgent

#####インストール済みかチェック

$AlreadyResult = Get-ItemProperty "HKLM:SYSTEM\CurrentControlSet\Services\ManageEngine Desktop Central - Agent" -name Description -ErrorAction SilentlyContinue

if ( $AlreadyResult.Description -eq "ManageEngine Desktop Central - Agent"){
echo "Already Installed"
exit 0
}

#####ダウンロード用フォルダを作成
New-Item c:\Users\Public\tmp -itemType Directory -Force

cd c:\Users\Public\tmp

#####S3からインストーラーファイルをダウンロードして解凍
Invoke-WebRequest -Uri "https://smeuj3jslus4zs9er59nugve4q3s9ayv.s3-ap-northeast-1.amazonaws.com/DesktopCentralAgent.zip" -OutFile .\DesktopCentralAgent.zip | out-null

Expand-Archive -Path c:\Users\Public\tmp\DesktopCentralAgent.zip -DestinationPath c:\Users\Public\tmp | out-null

cd localsetup

#####インストーラーを起動 
msiexec.exe /i DesktopCentralAgent.msi TRANSFORMS="DesktopCentralAgent.mst" ENABLESILENT=yes REBOOT=ReallySuppress INSTALLSOURCE=Manual /lv Agentinstalllog.txt

exit $lastexitcode

これをDesktopCentralInstall.ps1として保存しておきましょう。