Ivanti Patch for Configuration Manager: SCCM ve Intune için Üçüncü Taraf Yama

Ürün üç parçadan oluşur: tespit ve dağıtım mantığını içeren güncelleme kataloğu, uç noktalara dağıtılabilecek üçüncü taraf uygulamaları içeren uygulama kataloğu ve Configuration Manager konsoluna eklenen eklenti. Yönetici güncellemeleri eklentiden seçer ve WSUS sunucularına yayımlar; güncellemeler Configuration Manager ile senkronize edilir ve Microsoft güncellemeleriyle aynı yöntemle (yazılım güncelleme grupları ve dağıtımlar) istemcilere gider. Gerektiğinde yayımlanmış güncellemelerin süresi eklentiden bitirilir. Eklentinin ayarları ve verisi ayrı bir SQL Server veritabanında tutulur.

Microsoft güncellemeleri bu akışa girmez; onlar Configuration Manager'ın kendi senkronizasyonundan gelir. Üreticinin desteklenen ürünler sayfası Patch for Configuration Manager içerik kataloğunda Microsoft ürünlerinin yer almadığını açıkça yazar (desteklenen ürünler).

Configuration Manager'ın da üçüncü taraf güncellemeleri için bir yolu vardır: konsoldaki Third-Party Software Update Catalogs düğümüyle üçüncü taraf kataloglarına abone olunur, güncellemeleri yazılım güncelleme noktasına (SUP) yayımlanır ve istemcilere dağıtılır. Bazı donanım üreticilerinin bu düğümde doğrudan görünen iş ortağı katalogları var; bazı kataloglar ücretsiz, bazıları ücretlidir (Microsoft Learn). Yani "Configuration Manager üçüncü taraf uygulamaları yamalayamaz" demek doğru değildir.

Patch for Configuration Manager bu altyapının üzerine çalışır ve farkı katalog ile iş akışındadır:

• Ivanti'nin kendi güncelleme kataloğu: çok sayıda üreticinin uygulamaları için tespit ve dağıtım mantığı tek katalogda; uygulama bazında ayrı katalog takip etmek gerekmez.
• CVE listesinden yayımlama: bir CVE listesi içe aktarılır, ilgili güncellemeler bulunur ve yayımlanır; bu iş zamanlanabilir.
• Automation Scheduler: yayımlama görevleri takvimle otomatikleştirilir; görev geçmişi tutulur.
• Uyumluluk için otomatik yayım: yalnız meta veriyle yayımlanmış ve Configuration Manager'ın istemcilerde eksik bulduğu güncellemeler tam içerikle yayımlanır.
• Özelleştirilmiş yamalar: güncellemeler kurum politikasına göre düzenlenebilir.
• Intune yayımlama ve çevrimdışı mod.

Ivanti kataloğu Adobe, Apple, Mozilla, Google Chrome ve Java gibi pek çok üreticinin uygulamalarını kapsar; güncel ürün listesi üreticinin desteklenen ürünler sayfasında yayımlanır. Bir güncelleme WSUS'a iki biçimde yayımlanabilir: yalnız meta veri olarak (istemcilerin eksik olup olmadığı görülür, ama güncelleme dosyası henüz WSUS'ta yoktur) ya da tam içerikle (dağıtıma hazır). Meta veri yayımı, kurumda hangi uygulamanın gerçekten eksik olduğunu dosya taşımadan görmeye yarar; uyumluluk için otomatik yayım görevi ise eksik bulunan güncellemeleri belirlediğiniz takvimle tam içeriğe çevirir. Bu yaklaşım, WSUS'a yalnız kurumda gerçekten eksik olan güncellemelerin içeriğinin gelmesini hedefler.

Güncelleme içeriği için internet yerine yerel bir kaynak klasörü (Local Source Folder) alternatif konum olarak tanımlanabilir; bu seçenek kapalı ağ senaryosunda da kullanılır.

Kurum CVE listesiyle çalışıyorsa hangi güncellemenin yayımlanması gerektiğini bulmak zaman alır. Eklenti bir CVE listesini içe aktarır, her CVE ile ilişkili güncellemeleri otomatik olarak belirler ve gözden geçirmeniz için gösterir; seçtiğiniz güncellemeler normal yayımlama akışıyla yayımlanır. Aynı iş CVE ile ilişkili güncellemeleri düzenli aralıklarla yayımlayan zamanlanmış bir görev olarak da kurulabilir. Zafiyet tarayıcısının çıktısı CVE numaralarını içeren bir dosya olarak alınır; bu, tarayıcıyla doğrudan bağlantı kurulduğu anlamına gelmez.

Zamanlanmış görevler Configuration Manager konsolundaki Ivanti Patch klasöründe Automation Scheduler takviminden yönetilir: takvim tüm konsolların görevlerini gösterir; görevler düzenlenebilir, geçmişi görüntülenebilir ya da silinebilir. Görevler Microsoft Task Scheduler servisine dayanır.

Configuration Manager'dan Intune'a geçiş sürecindeki kurumlar için eklenti üçüncü taraf uygulamaları Intune'a da yayımlayabilir ve dağıtılan uygulamaları güncel tutabilir. Bunun iki ön koşulu vardır: Configuration Manager en az 2403 sürümünde olmalı ve eklentinin çalıştığı makineden application.ivanti.com adresine erişilebilmelidir. Böylece geçiş döneminde aynı katalog iki yönetim altyapısına hizmet eder. Yalnız Intune kullanan ve Configuration Manager işletmeyen kurumlar için Ivanti'nin ayrı bulut ürünleri vardır; bu sayfa Configuration Manager eklentisini anlatır.

Kod imzalama sertifikası adımları

1. Sertifika kurum içi sertifika otoritesiyle ya da WSUS sunucusuyla oluşturulur.
2. Kurum içi otoriteyle oluşturulduysa WSUS'a içe aktarılır (eklentiden yapılabilir); WSUS ile oluşturulduysa otomatik içe aktarılır.
3. Sertifika dışa aktarılır ve tüm WSUS sunucularına, uzak Configuration Manager konsollarına ve istemcilere dağıtılır: Trusted Publishers ve Trusted Root Certification Authorities depolarına.
4. Alternatif: Configuration Manager 1806 ve sonrasında sertifikayı Configuration Manager'ın oluşturup istemcilere dağıtması seçilebilir (yazılım güncelleme noktasında üçüncü taraf güncellemeler sekmesi ve istemci ayarı).

Sertifika yayımlamanın ön koşulu olduğu için PoC'nin ilk gününde bu adımı tamamlamayı hedefliyoruz. Ardından katalogdan kurumda kullanılan uygulamalar seçilir, ilk güncelleme meta veri olarak yayımlanıp istemcilerdeki eksiklik görülür, sonra tam içerikle bir test grubuna dağıtılır.

Eklentinin çevrimdışı seçenekleri iki iş görür: Offline Mode internet bağlantısı olmayan ortamları destekler; Local Source Folder güncelleme içeriği için alternatif bir konum tanımlar. Kapalı ortamda katalog ve güncelleme dosyaları internete bağlı bir makineden indirilip kapalı ağa taşınır. Taşıma sıklığı ve aktarım kuralları, kapalı ağın güvenlik politikasıyla birlikte proje başında yazılı hâle getirilir.

Microsoft WSUS'u kullanımdan kaldırılacak (deprecated) özellikler listesine aldı. Microsoft'un ifadesiyle WSUS artık aktif olarak geliştirilmiyor, ancak mevcut tüm yetenekler ve içerik kullanılmaya devam ediyor (Microsoft Learn). Bu, WSUS'un bugün çalışmadığı ya da desteklenmediği anlamına gelmez; yeni özellik eklenmeyeceği anlamına gelir.

Patch for Configuration Manager'ın 2026 belgeleri WSUS ve yazılım güncelleme noktasını gereksinim ve sertifika akışının merkezinde tutuyor. İncelediğimiz güncel üretici belgelerinde WSUS sonrası için ayrı bir yol haritası açıklaması yer almıyor. Uzun vadeli yönetim stratejisinde Intune'a geçiş planlanıyorsa eklentinin Intune yayımlama yeteneği bu geçişin bir parçası olarak değerlendirilebilir; kararı kurumun Configuration Manager planıyla birlikte veriyoruz.

Ürün Microsoft'un yönetim aracının adı değiştikçe yeniden adlandırıldı: System Center Configuration Manager döneminde Patch for SCCM, Microsoft Endpoint Manager döneminde Patch for MEM, bugün Patch for Configuration Manager. Teknoloji Shavlik yama teknolojisinin devamıdır. Güncel sürüm 2026.3'tür (Temmuz 2026, 2.5.1742.0).

Yükseltme yolu: Patch for SCCM 2020.1 ve sonrası ile tüm Patch for MEM sürümleri tam yükleyiciyle doğrudan 2026.3'e yükseltilebilir. 2019.1'den eski bir sürüm kullanılıyorsa önce 2020.1 Update 4'e, sonra 2026.3'e geçilir. Eski kurulumlarda veritabanı ve ayarlar Data Migration Tool ile yeni sürüme taşınır.

Uygun olduğu durumlar: Configuration Manager işletiliyor ve tarayıcı, belge okuyucu, çalışma zamanı bileşenleri gibi üçüncü taraf uygulamalar yama takviminin dışında kalıyor; yeni bir yönetim konsolu ya da ikinci ajan istenmiyor; CVE listesiyle çalışan bir güvenlik ekibi var; Intune'a kademeli geçiş sürüyor.

Dikkat edilmesi gerekenler:

• Microsoft güncellemeleri Configuration Manager'ın kendi akışından gelir; bu ürün onları yayımlamaz.
• Ürün WSUS ve yazılım güncelleme noktasına dayanır; Configuration Manager altyapısı yoksa anlamlı değildir.
• Linux sunucular ve ESXi hipervizörleri kapsamda değildir; bunlar için bağımsız çalışan Ivanti Security Controls değerlendirilir.
• Sürücü ve BIOS güncellemesi yayımlama, incelediğimiz güncel belgelerde tarif edilmiyor; bu ihtiyaç ayrıca ele alınmalıdır.

Üreticinin deneme lisansı 60 gün geçerlidir, 50 lisans koltuğu ve beş farklı güncellemenin yayımlanmasıyla sınırlıdır; süre dolduğunda veri dosyalarının yenilenmesi durur ve özelliklerin çoğu kapanır. Bu sınırlar içinde PoC'yi şu senaryolarla planlıyoruz:

• Kod imzalama sertifikasının oluşturulması ve istemcilere dağıtılması.
• Kurumda yaygın iki ya da üç uygulama için güncellemenin meta veri olarak yayımlanması ve istemcilerdeki eksikliğin görülmesi.
• Aynı güncellemenin tam içerikle bir test grubuna dağıtılması ve Configuration Manager raporlarında doğrulanması.
• Kurumun zafiyet tarayıcısından alınan bir CVE listesinin içe aktarılması.
• Bir yayımlama görevinin Automation Scheduler ile zamanlanması.
• Intune kullanılıyorsa bir üçüncü taraf uygulamanın Intune'a yayımlanması.

Lisans. Ivanti 1 Mart 2023'ten itibaren yeni müşterilere yalnız abonelik ya da bulut lisansı satıyor; ticari lisansın ölçüm metriği teklif aşamasında yazılı olarak netleştirilir. Belge: Patch for Configuration Manager datasheet (üreticinin İngilizce belgesi).

Bu sayfadaki teknik bilgiler 2 Ekim 2026'da üreticinin ve Microsoft'un güncel belgelerinden doğrulandı: 2026.3 sürüm notu, sistem gereksinimleri, kod imzalama sertifikası, CVE içe aktarma, uyumluluk için otomatik yayım, lisans ve deneme, desteklenen ürünler ve Configuration Manager üçüncü taraf katalogları. Üretici bilgileri sürümle değişebilir; teklif ve PoC öncesinde kurulacak sürümün belgesi yeniden kontrol edilir.