如何通过Microsoft Intune推送iOS业务线应用自动更新？

场景背景 #

• 企业规模：25000+用户，有多款内部移动应用
• 分发方式：应用使用企业内部Apple证书签名，通过Intune的业务线应用选项分发，不适合走Apple公共应用商店或VPP计划
• 应用属性：并非所有应用都适合标记为「必填」（该设置会强制设备下载应用）
• 更新需求：部分应用更新后，需要所有已安装该应用的用户升级至最新版本

核心问题 #

发布iOS业务线应用更新后，能否向已安装该应用的用户推送更新？如果可以，具体怎么实现？

可行方案说明 #

1. Intune原生更新策略配置
   对于标记为「可用」的业务线应用，完全可以通过Intune推送强制更新：

   • 上传新版本应用到Intune业务线应用库，确保版本号高于已发布版本
   • 进入应用的更新策略设置，开启「强制更新」选项，可设置立即生效或延迟指定天数后强制安装
   • 配置完成后，Intune会向所有安装旧版本应用的设备推送更新提示；若用户未手动更新，到达设定时间节点后将自动完成强制更新

2. 应用内检测+Intune策略兜底
   若需提升更新触达效率，可结合应用内逻辑：

   • 在应用启动时加入版本检测逻辑，通过Intune SDK获取应用的最新版本信息
   • 检测到旧版本时弹出强制更新提示，引导用户跳转至Intune公司门户完成更新
   • 同时保留Intune的强制更新策略，确保用户即使忽略应用内提示，最终仍会被强制升级

3. 精准分组推送
   若不需要全量推送，可针对特定用户/设备组操作：

   • 在Intune中创建包含目标用户/设备的安全组
   • 将新版本应用的分配范围设为该组，并开启「强制更新」规则
   • 这种方式适合分阶段灰度更新，降低全量推送的风险

注意事项 #

• 必须使用与旧版本相同的企业证书签名新版本应用，否则Intune无法识别为同一应用的更新
• 用户设备需安装Intune公司门户应用且处于合规状态，否则更新推送可能失效
• 全量推送前建议先选取小范围测试组验证更新流程，确认无异常后再扩大范围

内容的提问来源于stack exchange，提问作者Mike