Auto-update per Enterprise App Management

Introduzione

Microsoft ha reso disponibili in General Availability gli auto-update per le applicazioni gestite con Enterprise App Management in Microsoft Intune. La novità arriva con il Service release 2606, rilasciato nella settimana del 29 giugno 2026, e riguarda le applicazioni dell’Enterprise App Catalog distribuite con assegnazione Required. Per gli amministratori Intune si tratta di un cambiamento rilevante, perché la manutenzione delle applicazioni Windows gestite tramite catalogo richiedeva finora un intervento ricorrente per pubblicare le nuove versioni e gestire il ciclo di aggiornamento. Con gli auto-update abilitati, Intune può rilevare automaticamente la disponibilità di una versione più recente nel catalogo EAM e aggiornarla sui dispositivi assegnati, senza richiedere la creazione di una nuova app o la configurazione di una relazione di supersedence per ogni release.

Cosa cambia per gli amministratori Intune

Enterprise App Management semplifica la gestione delle applicazioni Win32 tramite l’Enterprise App Catalog, un catalogo di applicazioni Microsoft e di terze parti già predisposte per la distribuzione con Intune e ospitate da Microsoft. Come abbiamo visto nell’approfondimento dedicato alla pagina Enterprise App Management con Microsoft Intune, l’amministratore può selezionare un’app dal catalogo e partire da una configurazione già precompilata, che include comandi di installazione e disinstallazione, requisiti, detection rule e altre impostazioni operative da validare prima del rollout.

La disponibilità degli auto-update aggiunge un tassello operativo importante a questo modello, perché l’applicazione non resta più vincolata a una singola versione da sostituire manualmente a ogni aggiornamento. Quando l’auto-update è abilitato su un’app EAM con assegnazione Required, Intune verifica la presenza di una versione più recente nell’Enterprise App Catalog e la distribuisce automaticamente ai dispositivi assegnati, senza richiedere la creazione di una nuova app o la configurazione di una relazione di supersedence per ogni release.

Dal punto di vista operativo, per molte applicazioni ricorrenti si passa quindi da un processo basato su pubblicazione manuale, test e sostituzione della versione precedente a un modello più continuo, in cui l’amministratore configura la distribuzione una volta, abilita l’aggiornamento automatico e concentra le attività di controllo su targeting, monitoraggio e validazione.

Perché è una novità importante

La gestione degli aggiornamenti applicativi rimane uno degli aspetti più delicati negli ambienti endpoint moderni, perché la sicurezza del dispositivo non dipende solo dal sistema operativo o dai componenti Microsoft più comuni, ma anche dal livello di aggiornamento delle applicazioni Windows distribuite tramite Intune. Anche quando Windows Update, Autopatch e gli altri meccanismi di aggiornamento coprono una parte importante dello stack, molte organizzazioni devono continuare a governare applicazioni con cicli di rilascio diversi, dipendenze specifiche, requisiti di compatibilità e livelli di criticità non sempre uniformi tra reparti e gruppi di dispositivi.

Gli auto-update per Enterprise App Management intervengono proprio su questa complessità operativa, riducendo la necessità di ripetere a ogni nuova versione le stesse attività di packaging, pubblicazione, assegnazione e configurazione della supersedence. Il beneficio diventa evidente soprattutto negli ambienti con molte applicazioni standardizzate, dove anche aggiornamenti apparentemente semplici possono generare una coda di attività ricorrenti tra test, distribuzione controllata, verifica degli errori e remediation sui dispositivi che non completano correttamente l’installazione.

Dal punto di vista della sicurezza, rendere più tempestivo l’aggiornamento delle applicazioni aiuta a ridurre la finestra di esposizione alle vulnerabilità note e limita il rischio di mantenere nel parco dispositivi versioni obsolete o distribuite in modo incoerente. Per gli amministratori Intune, la novità introduce quindi un modello più sostenibile per mantenere aggiornate le applicazioni gestite con Enterprise App Management, spostando l’attenzione dalla manutenzione manuale di ogni singola release al controllo del targeting, del monitoraggio e della qualità complessiva del deployment.

Ambito di applicazione

Gli auto-update non si applicano a tutte le applicazioni gestite da Intune, ma solo alle app dell’Enterprise App Catalog distribuite con assegnazione Required. Le app pubblicate come Available for enrolled devices continuano invece a seguire il flusso di aggiornamento esistente, perché l’aggiornamento automatico è pensato per scenari in cui l’amministratore decide di mantenere una determinata applicazione obbligatoria e sempre aggiornata sui dispositivi assegnati.

L’ambito supportato riguarda i dispositivi Windows 10 e Windows 11, con applicazioni Windows rese disponibili tramite Enterprise App Management. Dal punto di vista del licensing, EAM resta una funzionalità avanzata di Intune e richiede quindi una sottoscrizione o un entitlement compatibile; prima di abilitarla in produzione è opportuno verificare la disponibilità effettiva nel tenant, soprattutto negli ambienti interessati dagli aggiornamenti di packaging e licensing previsti per Microsoft 365.

Come si abilita l’auto-update

L’opzione viene gestita durante l’aggiunta o la modifica di un’app dell’Enterprise App Catalog, nella fase di assegnazione. Il percorso è Microsoft Intune admin center > Apps > All apps > Create. Successivamente, dalla finestra Select app type selezionare Windows > Enterprise App Catalog app

Una volta selezionata l’applicazione e configurate le sezioni Select app e Configuration, si potrà procedere alla configurazione della sezione Updates. Qui troveremo due impostazioni:

• Automatically update
  
• Update with supersedence
  

Selezionando la prima opzione, l’applicazione verrà aggiornata direttamente dall’Enterprise App Catalog.

Proseguendo con l’aggiunta dell’app, vediamo subito apparire nella sezione App information una nuova informazione: Update Method = Automatically Update.

Infine, alla sezione Assignments, sarà possibile selezionare solo un’assegnazione Required per fare in modo che Intune aggiorni automaticamente l’app quando una versione più recente viene resa disponibile nel catalogo. Questo punto è importante: l’auto-update non è un comportamento generico applicato a tutte le app del catalogo, ma una scelta legata alla configurazione dell’app e al tipo di assegnazione.

Cosa resta da controllare

La disponibilità in General Availability non elimina la necessità di pianificare il rollout, soprattutto quando gli auto-update vengono abilitati su applicazioni usate da molti utenti o considerate critiche per i processi aziendali. Il primo limite da considerare riguarda l’assenza di rollback automatico: se una versione deve essere rimossa, corretta o sostituita sui dispositivi, l’intervento resta a carico dell’amministratore e deve essere gestito fuori dal flusso di auto-update, ad esempio con un’assegnazione di disinstallazione, una remediation o una nuova strategia di deployment.

Un secondo aspetto riguarda il controllo progressivo della distribuzione, perché gli auto-update non supportano rollout ring o piani di distribuzione a fasi. Quando una nuova versione viene resa disponibile nel catalogo, l’aggiornamento viene applicato ai dispositivi assegnati all’app, senza una logica nativa che consenta di promuovere la release da un gruppo pilota a gruppi successivi. Per questo motivo, sulle applicazioni più sensibili è importante valutare con attenzione il target iniziale e non usare lo stesso gruppo di assegnazione previsto per il deployment definitivo.

Anche il reporting richiede qualche cautela, perché lo stato visualizzato riflette l’ultima condizione riportata dal dispositivo e non conserva una cronologia completa delle versioni precedenti o delle azioni eseguite durante il ciclo di aggiornamento. In ambienti dove è necessario ricostruire nel dettaglio cosa è successo su una specifica versione, oppure dimostrare il passaggio tra più release nel tempo, conviene affiancare ai report di Intune un processo di controllo basato su inventario, query o strumenti di endpoint analytics già presenti nell’organizzazione.

Attenzione ai conflitti con altri deployment

Un aspetto da valutare con attenzione riguarda la coesistenza tra auto-update EAM e altri deployment che gestiscono la stessa applicazione, perché Intune non supporta scenari in cui più modelli di distribuzione provano a governare contemporaneamente versioni diverse dello stesso software. Il caso tipico è quello di un’applicazione già distribuita come Line-of-Business app, pacchetto Win32 tradizionale o script di installazione, mentre la stessa applicazione viene presa in carico anche da Enterprise App Management con aggiornamento automatico; in questa situazione il dispositivo può entrare in una condizione di race condition, con la versione installata che cambia in base al deployment applicato per ultimo.

Per evitare comportamenti incoerenti, ogni applicazione dovrebbe avere un solo modello di gestione applicativa chiaramente definito. Quando un software viene affidato a Enterprise App Management con auto-update, è opportuno rimuovere o dismettere le distribuzioni parallele che installano la stessa applicazione, verificando prima gruppi di assegnazione, detection rule, eventuali script di remediation e vecchie app Win32 ancora presenti nel tenant. In questo modo l’aggiornamento automatico resta prevedibile, il reporting è più leggibile e il troubleshooting non viene complicato da più sorgenti che provano a imporre versioni differenti sullo stesso dispositivo.

Impatto degli auto-update sul modello operativo

Per i team IT che gestiscono molte applicazioni standardizzate, gli auto-update possono ridurre in modo significativo il lavoro ricorrente legato alla manutenzione delle versioni. Browser alternativi, utility, strumenti di collaborazione, client VPN, viewer, tool tecnici e software diffusi nei reparti IT sono esempi tipici di applicazioni che, pur non essendo sempre complesse da distribuire singolarmente, possono generare nel tempo una coda operativa rilevante fatta di nuovi pacchetti, test, aggiornamenti delle assegnazioni, controlli sui dispositivi non conformi e attività di remediation.

Con Enterprise App Management, il lavoro dell’amministratore si sposta progressivamente dalla creazione continua di pacchetti alla governance del ciclo di vita applicativo. Diventa quindi più importante scegliere quali applicazioni affidare agli auto-update, verificare che non esistano deployment concorrenti, definire gruppi pilota coerenti con il rischio dell’applicazione, monitorare installazioni ed errori e mantenere procedure di remediation pronte per i casi in cui un aggiornamento non venga completato correttamente o introduca comportamenti non previsti.

Il cambiamento è particolarmente utile negli ambienti che stanno cercando di standardizzare la gestione applicativa in Intune, perché permette di ridurre la dipendenza da repository interni, script manuali e processi ripetitivi di packaging, spostando l’attenzione su controllo, qualità del deployment e coerenza delle versioni installate nel parco dispositivi.

Cosa fare ora con gli auto-update

Il primo passo è inventariare le applicazioni già gestite con Enterprise App Management e verificare quali sono distribuite con assegnazione Required, perché gli auto-update hanno senso soprattutto quando l’obiettivo è mantenere una determinata applicazione obbligatoria e aggiornata sui dispositivi assegnati. Da questa analisi dovrebbe nascere un primo perimetro di adozione composto da applicazioni a basso rischio, non business critical e possibilmente già standardizzate, da abilitare inizialmente su un gruppo pilota prima di estendere la configurazione a un target più ampio.

Per le applicazioni più sensibili è preferibile mantenere un approccio più selettivo, valutando caso per caso l’impatto di ogni nuova versione su plugin, componenti interni, integrazioni applicative, procedure operative e finestre di change management. Quando ogni release deve essere approvata prima della distribuzione, la guided update supersedence resta l’approccio più adatto, perché consente di aggiornare l’applicazione a una versione più recente mantenendo un passaggio esplicito di revisione, test e approvazione prima del rollout.

Conclusioni

La disponibilità in General Availability degli auto-update per Enterprise App Management rende più completo il modello di gestione applicativa cloud-native di Intune, perché riduce la necessità di intervenire manualmente su ogni nuova versione e permette agli amministratori di concentrarsi maggiormente su targeting, monitoraggio e qualità complessiva del deployment. Il vantaggio principale non è soltanto la riduzione del packaging manuale o delle relazioni di supersedence ripetitive, ma la possibilità di mantenere più facilmente aggiornate nel tempo le applicazioni standard distribuite sui dispositivi aziendali.

Gli auto-update, tuttavia, devono essere introdotti all’interno di un processo di gestione applicativa chiaro, perché l’assenza di rollback automatico, la mancanza di rollout ring nativi e il rischio di conflitti con deployment paralleli rendono ancora necessario un controllo accurato sulle applicazioni da includere, sui gruppi di assegnazione e sulle procedure di remediation. Il valore maggiore si ottiene quando il catalogo applicativo è razionalizzato, le app critiche vengono trattate con un approccio più prudente e il monitoraggio dei deployment diventa parte integrante del ciclo operativo.

Per gli ambienti Microsoft 365 E5, la novità arriva in una fase particolarmente interessante, perché gli aggiornamenti di packaging annunciati da Microsoft prevedono l’estensione di nuove funzionalità Intune ai tenant idonei nel corso del Q3 CY26, con completamento previsto entro il 1° agosto 2026 e comunicazioni dedicate nel Message Center. In questo scenario, Enterprise App Management può diventare per molte organizzazioni non solo una funzionalità avanzata da valutare separatamente, ma un componente sempre più naturale della strategia di endpoint management moderna, a condizione di verificarne disponibilità effettiva, licensing e impatti operativi nel proprio tenant.