+55 11 3500-4088
BLOG
MDM e gestão do ciclo de vida de aplicativos corporativos: deploy, atualização e rollback em escala
MDM e gestão do ciclo de vida de aplicativos corporativos: deploy, atualização e rollback em escala
Instalar um app em 300 dispositivos não é clicar “instalar” 300 vezes. Com MDM, o ciclo completo de vida dos aplicativos corporativos fica sob controle centralizado: deploy, versão, atualização silenciosa e rollback sem pânico.
Para a maioria das equipes de TI corporativo, o gerenciamento de aplicativos é a atividade que mais consome tempo operacional. Um novo app precisa ser instalado em centenas de dispositivos. Uma versão com bug precisa ser revertida antes que o time de vendas perceba. Uma atualização critica de segurança precisa chegar a todos antes do fim do dia.
Feito manualmente, esse trabalho é inviavel em qualquer parque acima de 50 dispositivos. Feito com MDM, vira um processo previsivel, rastreavel e executado em minutos. Este artigo cobre como estruturar o ciclo de vida completo de aplicativos corporativos usando as capacidades de MAM (Mobile Application Management) integradas ao MDM.
O que é MAM e qual a relação com MDM
MAM (Mobile Application Management) é o conjunto de funcionalidades de um MDM dedicadas ao gerenciamento de aplicativos: distribuição, configuração, atualização, remoção e politicas de uso. Em plataformas modernas, MDM e MAM são integrados na mesma console. A diferença prática: o MDM gerencia o dispositivo (rede, segurança, hardware), enquanto o MAM gerencia os apps que rodam nele. Juntos, formam a base do controle corporativo sobre o que está instalado, em qual versão, e com quais permissões, em cada dispositivo da empresa.
Neste artigo
- Deploy silencioso: como funciona a instalação remota
- Catalogo de apps corporativos: o que é e como estruturar
- Controle de versão e atualizações em escala
- Rollback: como reverter uma versão problemática
- Apps corporativos próprios: distribuição fora da loja publica
- Politicas de apps: o que bloquear, o que liberar e como
- Perguntas frequentes
Deploy silencioso: como funciona a instalação remota
O deploy silencioso é a instalação de um aplicativo em um dispositivo sem qualquer interação do usuario. O colaborador não precisa abrir a loja de apps, não precisa aceitar permissões e não precisa fazer nada. O app simplesmente aparece instalado no dispositivo, pronto para uso.
Isso é possivel porque o MDM opera com permissões elevadas no dispositivo, delegadas pelo proprio fabricante do sistema operacional (Google, Apple, Microsoft) no momento do enrollment. Com essas permissões, o MDM pode instalar, atualizar e remover apps sem depender da ação do usuario.
Como o deploy silencioso funciona na prática
Admin adiciona app ao catalogo no MDM
App atribuido a grupo ou dispositivo especifico
MDM envia comando de instalação ao dispositivo
SO instala o app em segundo plano, sem notificação
Status confirmado na console: instalado ou com erro
O tempo entre o comando e a confirmação de instalação varia de segundos (dispositivos online na rede corporativa) a minutos ou horas (dispositivos em redes móveis ou com conectividade instavel). O MDM enfileira o comando e o executa assim que o dispositivo conecta, sem necessidade de reenvio manual.
Deploy obrigatório vs. opcional: a diferença importa
A maioria dos MDMs permite configurar cada app de duas formas: obrigatório (instalado sem ação do usuario, não pode ser removido) ou disponivel (aparece no catalogo corporativo para instalação voluntaria). Apps de missão critica devem ser obrigatorios. Apps de suporte ou opcionais podem ser disponibilizados no catalogo. Definir isso errado tem consequência: um app obrigatório instalado sem planejamento em todos os dispositivos ao mesmo tempo pode gerar pico de carga na rede se o arquivo for grande.
Catalogo de apps corporativos: o que é e como estruturar
O catalogo corporativo de apps é a “loja interna” da empresa. Ele exibe ao colaborador somente os apps que o time de TI aprovou para uso no dispositivo daquele perfil. Nenhum app fora do catalogo pode ser instalado em dispositivos gerenciados (dependendo da politica configurada).
Estruturar bem o catalogo reduz chamados de suporte, elimina instalações de apps nao autorizados e simplifica a vida do novo colaborador no onboarding.
Segmentação do catalogo por perfil de usuario
O catalogo não precisa ser igual para todos. Um analista financeiro, um promotor de vendas em campo e um técnico de suporte têm necessidades de aplicativos completamente diferentes. Com MDM, o catalogo é segmentado por grupo: cada perfil ve e recebe automaticamente apenas os apps relevantes para sua função.
Isso reduz o catalogo a um tamanho gerenciavel para cada colaborador e facilita o onboarding: quando o novo colaborador faz o enrollment do dispositivo, os apps obrigatorios do seu perfil já chegam instalados.
Controle de versão e atualizações em escala
Manter todos os dispositivos na mesma versão de um app corporativo é um dos desafios mais subestimados da gestão de mobilidade. Versões diferentes do mesmo app podem ter comportamentos diferentes, criar problemas de compatibilidade com o backend e expor vulnerabilidades ja corrigidas em versões mais novas.
dos incidentes de segurança mobile envolvem apps desatualizados com vulnerabilidades conhecidas
tempo médio para propagar uma atualização critica em parques sem MDM, contra menos de 2h com MDM
de visibilidade sobre qual versão está instalada em cada dispositivo, em tempo real, via console MDM
Estratégias de atualização disponíveis no MDM
A maioria das plataformas MDM oferece pelo menos três abordagens para gestão de atualizações de apps:
| Estratégia | Como funciona | Melhor para | Risco |
|---|---|---|---|
| Atualização automática | MDM atualiza o app assim que nova versão é detectada na loja ou no repositorio | Apps com atualizações frequentes e baixo risco de breaking change | Médio — nova versão pode ter bug |
| Atualização controlada | Admin testa nova versão em grupo piloto, aprova e distribui para o restante do parque | Apps criticos cujas atualizações precisam ser validadas antes do rollout geral | Baixo — validação antes do rollout |
| Versão pinada | MDM bloqueia atualizações e mantém o app em versão especifica indefinidamente | Apps com contrato de versão (homologados pelo fornecedor do sistema de gestão) | Médio — versão antiga pode ter vulnerabilidades |
| Atualização agendada | Atualização programada para janela especifica (ex.: madrugada de domingo) | Apps com impacto operacional durante a atualização (reinicialização, logout obrigatório) | Baixo — impacto na janela de menor uso |
Rollback: como reverter uma versão problemática
Mesmo com uma estratégia de atualização controlada, eventualmente uma versão com problema chega ao parque. O rollback é o processo de reverter todos os dispositivos para a versão anterior que estava funcionando.
Com MDM, o rollback não é um processo manual de dispositivo por dispositivo. É um comando centralizado que pode reverter centenas de dispositivos em minutos.
O pré-requisito do rollback: versão anterior disponível
O rollback via MDM funciona quando a versão anterior do app ainda está disponivel no repositorio que o MDM usa para distribuição. Para apps da loja publica (Google Play ou App Store), isso depende da politica de disponibilidade do desenvolvedor. Para apps corporativos próprios (APK/IPA distribuidos internamente), o repositorio é controlado pela empresa: mantenha as duas ultimas versões sempre disponíveis como politica padrão, garantindo rollback imediato a qualquer momento.
Processo de rollback estruturado
Identificação e confirmação do problema
Confirme que o problema é de versão do app (e não de infraestrutura, rede ou SO) antes de acionar rollback. Um rollback desnecessário tem custo operacional.
Rollback em grupo de teste primeiro
Antes de reverter todo o parque, execute o rollback em 5 a 10 dispositivos para confirmar que a versão anterior resolve o problema sem criar um novo.
Rollback em lote no parque completo
Confirmada a reversão no grupo de teste, execute o comando de rollback para todos os grupos que receberam a versão problemática. O MDM executa em paralelo e reporta status por dispositivo.
Bloqueio de atualização automática até nova versão corrigida
Após o rollback, piner a versão anterior no MDM para evitar que os dispositivos atualizem automaticamente enquanto o fornecedor não lança a correção.
Apps corporativos próprios: distribuição fora da loja publica
Empresas que desenvolvem seus próprios aplicativos corporativos (sistemas de gestão, apps de força de vendas, sistemas de coleta de dados) precisam distribuir esses apps para os dispositivos sem passar pela loja publica. O MDM resolve isso de duas formas, dependendo do sistema operacional.
App de terceiros vs. app corporativo próprio: gestão diferente
Apps de terceiros (como Microsoft Teams, Salesforce, WhatsApp Business) têm o ciclo de versão controlado pelo fornecedor. A empresa decide quando atualizar, mas não controla o que muda em cada versão. Para apps corporativos próprios, a empresa controla o ciclo completo: é ela que define quando publicar, qual versão vai para qual grupo, e quando fazer rollback. Isso exige um processo interno de release management para apps mobile, integrado ao MDM como canal de distribuição.
Politicas de apps: o que bloquear, o que liberar e como
Além de instalar e atualizar apps, o MDM permite configurar politicas que controlam o comportamento dos apps no dispositivo corporativo. Essas politicas existem em dois níveis: o que pode ser instalado, e o que os apps instalados podem fazer.
Politicas de instalação
- Lista de permitidos (allowlist): apenas apps da lista podem ser instalados. Modelo mais restritivo, indicado para dispositivos dedicados (COBO) e perfis de alta segurança.
- Lista de bloqueados (blocklist): todos os apps podem ser instalados exceto os da lista. Mais flexivel, adequado para perfis COPE e alguns modelos BYOD no perfil de trabalho.
- Catalogo gerenciado: usuarios só podem instalar apps do catalogo corporativo, mas dentro dele têm liberdade de escolha. Equilibrio entre controle e autonomia.
Politicas de comportamento dos apps (AppConfig)
O padrão AppConfig permite que o MDM envie configurações diretamente para apps que o suportam, eliminando a necessidade de o colaborador configurar o app manualmente. É utilizado para:
Pré-configuração de conta
E-mail corporativo, servidor Exchange, URL do servidor VPN configurados automaticamente sem ação do colaborador.
Restrições de funcionalidade
Desativar compartilhamento de arquivo para fora do app, bloquear capturas de tela em apps criticos, exigir PIN de acesso ao app corporativo.
Controle de dados corporativos
Impedir que dados de apps corporativos sejam copiados para apps pessoais (copiar do e-mail corporativo e colar no WhatsApp, por exemplo).
Conformidade com LGPD
Restringir quais apps têm acesso à camera, microfone, localização e contatos do dispositivo corporativo, reduzindo superfície de exposição de dados.
AppConfig: nem todo app suporta
O suporte ao padrão AppConfig precisa ser implementado pelo desenvolvedor do app. Apps corporativos conhecidos como Microsoft 365, Salesforce, ServiceNow e Zoom suportam AppConfig. Apps menores ou desenvolvidos sob medida podem não suportar. Antes de planejar uma politica de comportamento baseada em AppConfig para um app especifico, confirme com o fornecedor se ele implementa o padrão.
Gestão de apps e ciclo de vida do dispositivo
A gestão de apps é parte do ciclo de vida completo do dispositivo corporativo. Quando um dispositivo é descomissionado, o MDM realiza o wipe dos apps gerenciados e dos dados corporativos antes de devolver o equipamento. Quando um colaborador troca de cargo, o MDM pode remover os apps do perfil anterior e instalar os do novo perfil automaticamente, com base nos grupos de diretório. Para entender como o MDM gerencia o dispositivo além dos apps, veja o artigo sobre provisionamento de perfis de rede e a politica de segurança do dispositivo desde o primeiro acesso.
Perguntas frequentes
O MDM pode instalar apps em dispositivos pessoais (BYOD)?
Sim, em dispositivos BYOD com Work Profile (Android) ou User Enrollment (iOS), o MDM pode instalar e gerenciar apps no perfil de trabalho sem afetar os apps pessoais. O colaborador tem total separação entre apps pessoais e corporativos. O MDM gerencia apenas os apps do perfil corporativo e não tem visibilidade sobre os apps pessoais.
O MDM pode impedir que o usuario desinstale um app?
Sim. Apps configurados como obrigatorios no MDM não podem ser desinstalados pelo usuario. Se o usuario tentar remover, o MDM reinstala automaticamente. Em dispositivos COBO (dedicados), o MDM pode restringir qualquer alteração nos apps instalados, tornando o dispositivo um terminal dedicado a funções especificas.
Como o MDM lida com apps que precisam de licença paga?
Para apps pagos no Google Play ou App Store, o MDM trabalha com licenças adquiridas via Google Play Gerenciado (VPP) ou Apple Business Manager (VPP). A empresa compra um lote de licenças e o MDM as distribui automaticamente para os dispositivos configurados para receber aquele app. Quando um colaborador sai, a licença pode ser revogada e redistribuida para outro dispositivo.
O deploy silencioso funciona quando o dispositivo está offline?
O MDM enfileira o comando de deploy. Quando o dispositivo fica online (rede celular ou Wi-Fi), recebe e executa o comando. O processo é transparente para o usuario. Em ambientes com conectividade muito instavel, como canteiros de obras ou operações em campo, o planejamento do deploy precisa considerar janelas de conectividade para garantir que os comandos sejam recebidos.
É possível configurar apps diferentes para Android e iOS pelo mesmo MDM?
Sim. Plataformas MDM modernas gerenciam Android e iOS de forma separada, mas unificada na mesma console. Politicas de apps são configuradas por SO, porque os mecanismos técnicos são diferentes em cada plataforma. O admin gerencia tudo em um único painel, mas as configurações são aplicadas de acordo com o SO de cada dispositivo.
Gestão de apps corporativos em escala
Deploy silencioso, atualização controlada e rollback em minutos
Estruturar o ciclo de vida de aplicativos corporativos com MDM reduz o trabalho operacional de TI e elimina versões desatualizadas e vulneráveis no parque. Fale com nosso time e entenda como implementar isso no seu ambiente.
Deixe um comentário