In de week van 12 januari 2026 heeft Microsoft in Intune de mogelijkheid toegevoegd om bij een Win32-app een PowerShell-script te uploaden dat als installer dient, in plaats van een opdrachtregel. In dezelfde week werd een eerder aangekondigde wijziging actief: sinds 13 januari 2026 bepaalt een instelling in de Enrollment Status Page (ESP) of Windows tijdens de out-of-box experience (OOBE) kwaliteitsupdates installeert. Beide wijzigingen raken de manier waarop Windows-apparaten worden ingericht.
Wat er is veranderd
Tot nu toe bestond het installatiecommando van een Win32-app in Intune uit één opdrachtregel: een msiexec-aanroep, een setup.exe met parameters, of een aanroep van een script dat in het .intunewin-pakket was meegeleverd. Wie meer wilde dan een enkele opdracht, zoals controles vooraf, configuratie na installatie of foutafhandeling, bouwde daarvoor een wrapper-script en riep dat vanuit de opdrachtregel aan.
Met de update van januari staat op de pagina Program van een Win32-app onder Install command een keuze Installer type met twee opties:
- Command line: de bestaande werkwijze, een opdrachtregel voor installatie en een voor verwijdering.
- PowerShell script: een geüpload PowerShell-script dat de installatieopdracht vervangt.
Microsoft omschrijft het doel als het mogelijk maken van rijkere installatieworkflows, zoals controles op voorwaarden, configuratiewijzigingen en acties na installatie, zonder dat daarvoor een aparte wrapper nodig is. Op Ignite 2025 was deze functie aangekondigd voor het eerste kwartaal van 2026, als uitbreiding van de installer-scripts die voor Enterprise App Catalog-apps al algemeen beschikbaar waren.
Hoe de PowerShell-installer werkt
De documentatie van 14 januari 2026 beschrijft de werking in enkele zinnen:
- Het script mag maximaal 50 KB groot zijn.
- Intune verpakt het script samen met de app-inhoud en voert het uit in dezelfde context als de app-installer. Het script volgt dus de gekozen Install behavior van de app: System (alle gebruikers van het apparaat) of User (alleen de betreffende gebruiker). Een gebruiker hoeft niet aangemeld te zijn om een Win32-app te installeren; bij installatie in gebruikerscontext gebeurt de installatie standaard met beheerdersrechten als de gebruiker die heeft.
- Het installatieresultaat in het Intune admin center is gebaseerd op de returncode van het script. De returncodes die bij de app zijn geconfigureerd (Success, Failed, Soft reboot, Hard reboot, Retry) blijven het mechanisme om gedrag na installatie te sturen. Bij Retry probeert de agent de installatie drie keer, met vijf minuten tussen de pogingen. Bij Device restart behavior bepaalt de keuze tussen "Determine behavior based on return codes" en "App install may force a device restart" hoe een hard reboot-code wordt afgehandeld.
- De Installation time required blijft gelden: standaard 60 minuten, maximaal 1440 minuten; duurt de installatie langer, dan markeert Intune de installatie als mislukt.
Wat niet verandert, zijn de detectieregels. Een Win32-app wordt nog steeds als geïnstalleerd gezien op basis van een MSI-productcode, een bestands- of registercontrole, of een eigen detectiescript. Bij een detectiescript leest de Intune-agent de uitvoer op STDOUT, de uitvoer op STDERR en de exit code. Eindigt het script met een waarde ongelijk aan 0, dan geldt de app als niet geïnstalleerd; eindigt het met 0 én staat er data op STDOUT, dan geldt de app als geïnstalleerd. Microsoft kijkt niet naar een specifieke tekst op STDOUT en adviseert het script als UTF-8 met BOM op te slaan. Het detectiescript heeft eigen opties Run script as 32-bit process on 64-bit clients (standaard No) en Enforce script signature check (standaard No).
Installer en detectie zijn twee losse stappen
Het installer-script bepaalt alleen of de installatie is gelukt volgens de returncode. Of Intune de app daarna als aanwezig beschouwt, hangt af van de detectieregel. Een installer-script dat met 0 eindigt terwijl de detectieregel niets vindt, leidt tot een herhaalde installatiepoging bij de volgende evaluatie.
Aandachtspunten
Multi Admin Approval. In tenants waar Multi-Admin Approval (MAA) is ingeschakeld, kan tijdens het aanmaken van een app géén PowerShell-script worden geüpload. De app moet eerst worden aangemaakt; daarna kan het script worden toegevoegd of aangepast. Microsoft vermeldt daarbij dat de scripteigenschappen enforceSignatureCheck en runAs32Bit op dit moment nog zonder MAA-aanvraag kunnen worden gewijzigd, en dat dit in een toekomstige update verandert zodat ook daarvoor MAA-goedkeuring nodig is.
32-bits versus 64-bits PowerShell. De documentatie waarschuwt al langer dat het aanroepen van powershell.exe in het veld Install command of Uninstall command een 32-bits PowerShell-instantie start. Wie in een opdrachtregel 64-bits uitvoering wil afdwingen, gebruikt het Sysnative-pad:
%SystemRoot%\Sysnative\WindowsPowerShell\v1.0\powershell.exe
Deze waarschuwing staat bij de velden van het installertype Command line. Voor het installertype PowerShell script noemt de documentatie de afzonderlijke scripteigenschap runAs32Bit, zonder verdere toelichting op de werking of standaardwaarde.
Omgevingsvariabelen in het uninstall-commando. Bij het installertype Command line worden omgevingsvariabelen in het veld Uninstall command niet uitgebreid. De documentatie verwijst daarvoor naar een eigen wrapper-script in het pakket.
Grootte van het pakket. De maximale grootte van een Win32-app blijft 30 GB per app; de limiet van 50 KB geldt alleen voor het installer-script zelf.
ESP-instelling: kwaliteitsupdates tijdens OOBE
De tweede wijziging betreft de Enrollment Status Page. Microsoft kondigde de instelling in de week van 1 september 2025 aan in de What's new-lijst van Intune, met de vermelding dat de mogelijkheid vanaf 13 januari 2026 beschikbaar is. De eerste update die via dit mechanisme wordt aangeboden, is de kwaliteitsupdate 2026-01 B.
De achtergrond: de Windows out-of-box experience installeert standaard de laatste beschikbare beveiligingsupdates, zodat een apparaat vanaf de eerste dag actueel is. Intune en Windows Autopilot gebruiken die OOBE via de ESP-configuratie; Intune noemt deze beveiligingsupdates Windows quality updates. Om dat gedrag beheersbaar te maken, bevat het ESP-profiel de instelling Install Windows quality updates, waarmee de automatische installatie wordt toegestaan of geblokkeerd.
De standaardwaarden verschillen tussen nieuwe en bestaande profielen:
| Profiel | Standaardwaarde | Gedrag |
|---|---|---|
| Nieuw aangemaakt ESP-profiel | Yes | De meest recente beveiligingsupdates worden tijdens OOBE geïnstalleerd |
| Bestaand ESP-profiel | No | OOBE installeert geen updates, tot het profiel wordt bewerkt |
Met de waarde No krijgt een intern team volgens Microsoft de tijd om een maandelijkse update eerst te testen voordat die op nieuw ingerichte apparaten wordt toegestaan.
Twee profielen, twee uitkomsten
Een organisatie die na 13 januari 2026 een nieuw ESP-profiel aanmaakt naast een bestaand profiel, heeft daarmee twee verschillende gedragingen tijdens OOBE: het nieuwe profiel installeert kwaliteitsupdates, het bestaande niet, tot de instelling in het bestaande profiel wordt aangepast.
Wat dit betekent voor beheer
De PowerShell-installer verplaatst installatielogica van het .intunewin-pakket naar de app-definitie in Intune. Een wrapper-script in het pakket blijft mogelijk, maar voor apps waarvan de logica binnen 50 KB past, staat het script nu zichtbaar en aanpasbaar in het admin center, zonder dat het pakket opnieuw hoeft te worden gebouwd.
Twee mechanismen bepalen daarbij het resultaat. Ten eerste de returncode: Intune baseert het installatieresultaat volledig op de exit code van het script, zodat elk faalpad in het script met een passende code moet eindigen om correct in de rapportage te verschijnen. Ten tweede de scheiding tussen installer en detectie, die ongewijzigd blijft en bij een mismatch tot een installatielus leidt.
Voor de ESP-instelling geldt dat nieuwe profielen sinds 13 januari 2026 standaard kwaliteitsupdates installeren tijdens OOBE en bestaande profielen niet; welk gedrag een Autopilot-apparaat vertoont, hangt daarmee af van het profiel dat het krijgt toegewezen.
Bronnen
- What's new in Microsoft Intune – archive (Microsoft Learn; "Week of January 12, 2026" en de ESP-vermelding onder "Week of September 1, 2025")
- Add and assign Win32 apps to Microsoft Intune (Microsoft Learn, versie van 14 januari 2026)
