Пълно ръководство за обновяване на Windows 10 за предприятия от всякакъв размер

Отговаряте ли за единствен компютър с Windows 10, или за хиляди, трудностите с управлението на обновленията остават същите. Вашата цел е бързо да инсталирате актуализации, свързани със сигурността, умно да управлявате обновленията на компонентите и да предотвратите загуба на производителност поради неочаквани рестартирания.

Има ли вашата компания цялостен план за работа с обновления на Windows 10? Има изкушение да считате тези изтегляния за периодични пречки, от които трябва да се избавяте веднага щом се появят. Въпреки това, реактивният подход към обновленията е формула за разочарования и намалена производителност.

Вместо това можете да създадете стратегия за управление, за да тествате и внедрявате актуализации, така че този процес да стане толкова рутинен, колкото изпращането на фактури или месечното подготвяне на финансови отчети.

В статията е посочена цялата информация, необходима за разбиране на начина, по който Microsoft изпраща обновления на устройства, работещи с Windows 10, както и подробности за инструментите и техниките, които можете да използвате за умно управление на тези актуализации на устройства с Windows 10 версии Pro, Enterprise или Education. (Windows 10 Home поддържа само основните функции за управление на обновленията и не е подходяща за бизнес среди).

Но преди да преминете към който и да е от тези инструменти, ще ви е необходим план.

Какво е написано в правилата за обновление?

Смисълът на правилата за обновление е да направят процеса на обновление предсказуем, да определят процедури за уведомяване на потребителите, така че те да могат да планират работата си и да избегнат неочаквани прекъсвания. В правилата се включват и протоколи за справяне с неочаквани проблеми, включително процедура за възстановяване от неуспешни актуализации.

Разумните правила за обновления отделят определено време за работа с актуализации всеки месец. В малка организация тази цел може да бъде постигната чрез специално време в графика за управление на всеки компютър. В големи организации универсалните решения вероятно няма да работят и ще трябва да разделите цялата популация от компютри на групи за актуализации (в Microsoft ги наричат „кръгове“), всяка от които ще има своя стратегия за обновления.

Правилата трябва да описват няколко различни типа актуализации. Най-разбираемият тип са месечните кумулативни актуализации за сигурност и надеждност, които се издават във втория вторник на всеки месец („вторник на обновленията“). Тази версия обикновено включва и инструмента за премахване на злонамерен софтуер на Windows, а също така могат да бъдат и всякакви от следните типове актуализации:

• Актуализации за сигурност на .NET Framework
• Актуализации за сигурност на Adobe Flash Player
• Актуализации на пакета за поддръжка (които трябва да се инсталират от самото начало).

Инсталирането на всяка от тези актуализации може да бъде отложено за срок до 30 дни.

В зависимост от производителя на ПК, драйверите на оборудването и фърмуера също могат да се разпространяват чрез Windows Update. Може да се откажете от това или да се управлявате с тях по същите схеми, както с другите актуализации.

Накрая, през Windows Update се разпространяват и актуализации на компонентите [feature updates]. Тези големи пакети актуализират Windows 10 до последната версия и излизат на всеки шест месеца за всички издания на Windows 10 с изключение на канала за дългосрочно обслужване Long Term Servicing Channel (LTSC). Инсталацията на актуализациите на компонентите може да бъде отложена с Windows Update for Business за срок до 365 дни; за изданията Enterprise и Education е възможно допълнително отлагане на инсталацията до 30 месеца.

Като се вземат предвид всички тези фактори, можете да започнете да съставяте правилата за актуализации, които трябва да включват следните елементи за всеки от поддържаните ПК:

• Срок за инсталиране на месечните актуализации. По подразбиране в Windows 10 месечните актуализации се изтеглят и инсталират в рамките на 24 часа след тяхното издаване във „вторник на обновленията“. Можете да отложите изтеглянето на тези актуализации за някои или всички ПК в компанията, за да имате време да ги проверите за съвместимост; това забавяне също така ви позволява да избегнете проблеми в случай, когато Microsoft открие проблем с актуализацията след издаването, каквато ситуация е случвала много пъти с Windows 10.
• Срок на инсталиране на полугодишни обновления на компонентите. При настройките по подразбиране, обновленията на компонентите се изтеглят и инсталират, когато Microsoft реши, че са готови. На устройство, което Microsoft е преценила за подходящо за обновление, компонентите могат да се появят след няколко дни от тяхното излизане. На други устройства обновленията могат да се появят след няколко месеца или изобщо да бъдат блокирани поради съвместимост. Можете да зададете закъснение за някои или за всички ПК в организацията, за да получите време за проверка на новото издание. Започвайки от версия 1903, на потребителите на ПК ще бъдат предлагани обновления на компонентите, но командите за изтегляне и инсталиране ще бъдат давани само от самите потребители.
• Кога да разрешите на ПК да се рестартира, за да завърши инсталирането на обновления: повечето обновления изискват рестартиране за завършване на инсталацията. Този рестарт се случва извън периода на 'активност' между 8 и 17 часа; тази настройка може да бъде променена по желание, удължавайки продължителността на интервала до 18 часа. Инструментите за управление позволяват да назначите определено време за изтегляне и инсталиране на обновления.
• Как да уведомявате потребителите за наличието на обновления и рестартиране: за да избегнете неприятни изненади, Windows 10 уведомява потребителите за наличието на обновления. Управлението на тези уведомления в настройките на Windows 10 е ограничено. Значително повече настройки са налични в 'груповите политики'.
• Понякога Microsoft пуска критично важни обновления за сигурност извън обичайния график на 'вторниците с пачове'. Обикновено това се налага за поправяне на недостатъци в сигурността, които злонамерени лица експлоатират. Да се ускори ли прилагането на такива обновления или да се изчака следващото прозорче в графика?
• Какво да правите с неуспешните обновления: ако обновлението не е успяло да се инсталира правилно, или то предизвиква проблеми, какво ще направите в такъв случай?

След като определите тези елементи, е време да изберете инструменти за работа с обновления.

Ръчно управление на обновленията

На много малки предприятия, включително магазини с един работник, е сравнително лесно да се настроят ръчни актуализации на Windows. Параметри > Актуализация и сигурност > Център за актуализации на Windows. Там можете да коригирате две групи настройки.

Първо изберете „Промяна на активния период“ и настройте параметрите, така че да отговарят на вашите работни навици. Ако обикновено работите вечер, можете да избегнете времето на простои, като настроите тези стойности от 18 до полунощ, в резултат на което планираните рестартирания ще се извършват сутрин.

След това изберете „Допълнителни настройки“ и настройката „Изберете, кога да инсталирате актуализации“, задавайки я в съответствие с вашите правила:

• Изберете за колко дни да отложите инсталирането на актуализации на компонентите. Максималната стойност е 365.
• Изберете за колко дни да отложите инсталирането на актуализации на качеството, включително кумулативни актуализации за сигурност, които излизат в „вторниците на патчовете“. Максималната стойност е 30 дни.

Другите настройки на тази страница управляват показването на известия за рестартиране (включено по подразбиране) и разрешението за изтегляне на актуализации на свързвания с оглед на трафика (изключено по подразбиране).

До версия Windows 10 1903 имаше и настройка за избор на канал – полугодишен или целеви полугодишен. Тя беше премахната в версия 1903, а в по-старите версии просто не работеше.

Разбира се, смисълът на отлагането на актуализациите не е просто да се избягва този процес, а след това да се учудват потребителите малко по-късно. Ако, например, зададете отлагане на инсталирането на актуализации на качеството за 15 дни, трябва да използвате това време, за да проверите актуализациите за съвместимост и да планирате в графика време за поддръжка на удобно място преди изтичането на този период.

Управление на актуализациите чрез Групови политики

Всички споменати ръчни настройки могат да се прилагат и чрез групови политики, а в целия списък с политики, свързани с актуализациите на Windows 10, настройките са значително повече от тези, които са налични в обикновените ръчни настройки.

Могат да се прилагат към отделни ПК чрез редактора на локални групови политики Gpedit.msc или чрез скриптове. Но най-често се използват в домейна Windows с Active Directory, където е възможно да се управляват комбинации от политики за групи ПК.

Значителен брой политики се използват изключително в Windows 10. Най-важните от тях са свързани с "Актуализациите на Windows за бизнеса", които се намират в Конфигурация на компютъра > Административни шаблони > Компоненти на Windows > Център за актуализиране на Windows > Център за актуализиране на Windows за бизнеса.

• Изберете кога да получавате предварителни версии – канал и забавяния за актуализации на компонентите.
• Изберете кога да получавате актуализации за качество – забавяния на месечните кумулативни актуализации и други актуализации, свързани със сигурността.
• Управлявайте предварителните версии: когато потребителят може да свърже машината с програмата Windows Insider и определете кръга на инсайдерите.

Допълнителна група политики се намира в Конфигурация на компютъра > Административни шаблони > Компоненти на Windows > Център за актуализиране на Windows, където можете:

• Да премахнете достъпа до функцията за спиране на актуализации, което ще попречи на потребителите да пречат на инсталацията, отлагаща я с 35 дни.
• Да премахнете достъпа до всички настройки за актуализации.
• Да разрешите автоматичното изтегляне на актуализации на свързвания с отчет на трафика.
• Да не изтегляте заедно с актуализациите на драйвери.

Следните настройки са налични само в Windows 10 и се отнасят за рестартирания и уведомленията:

• Да деактивирате автоматичното рестартиране за актуализации по време на периода на активност.
• Да зададете диапазон на периода на активност за автоматично рестартиране.
• Да зададете краен срок за автоматично рестартиране с цел инсталиране на актуализации (от 2 до 14 дни).
• Да настроите уведомления с напомняне за автоматично рестартиране: да увеличите времето, в което потребителят бива предупреждаван за това (от 15 до 240 минути).
• Да деактивирате уведомленията за автоматично рестартиране с цел инсталиране на актуализации.
• Да настроите уведомлението за автоматично рестартиране така, че да не изчезва автоматично след 25 сек.
• Не позволявайте на политиците да забавят получаването на актуализации, за да инициират сканиране в Центъра за актуализация на Windows: тази политика забранява на компютрите да проверяват актуализации, ако е зададена забавяне.
• Разрешете на потребителите да управляват времето за рестартиране и да отлагат известията.
• Настройте известията за актуализации (появяване на известия, от 4 до 24 часа) и предупрежденията за неотложно рестартиране (от 15 до 60 минути).
• Обновяване на политиката за електрозахранване за рестартиране на кошчето (настройка за образователни системи, позволяваща актуализации дори при работа на батерия).
• Показване на настройките за известия за актуализации: позволява да се забранят известията за актуализации.

Следните политики съществуват както в Windows 10, така и в някои по-стари версии на Windows:

• Настройка на автоматичните актуализации: тази група настройки позволява да се избере седмичен, двуседмичен или месечен график за актуализации, включително ден от седмицата и час за автоматично сваляне и инсталиране на актуализации.
• Указване на разположението на службата за актуализации на Microsoft в интрасет: настройка на сървър Windows Server Update Services (WSUS) в домейна.
• Разрешаване на клиента да се присъедини към целевата група: администраторите могат да използват групи за сигурност на Active Directory, за да определят рингове за разгръщане на WSUS.
• Не се свързвайте с местоположенията на Центъра за актуализация на Windows в интернет: забрана на компютри, работещи с локални актуализации, да контактуват с външни сървъри за актуализации. сървъра. Разрешете управлението на електрозахранване на Центъра за актуализация на Windows да извежда системата от спящ режим за инсталиране на планирани актуализации.
• Винаги автоматично рестартирайте системата в планираното време.
• Не извършвайте автоматично рестартиране, ако в системата работят потребители.
• Инструменти за работа в големи организации (Enterprise)

Големите организации с мрежова инфраструктура Windows могат да заобиколят

актуализациите на Microsoft и да внедряват актуализации от локален сървър. Това изисква повишено внимание от страна на корпоративния IT отдел, но добавя гъвкавост на компанията. Двата най-популярни варианта са Windows Server Update Services (WSUS) и System Center Configuration Manager (SCCM). сървър обновления Microsoft и развёртывать обновления с местного сервера. Это требует повышенного внимания со стороны корпоративного IT-отдела, но добавляет компании гибкости. Два самых популярных варианта – это Windows Server Update Services (WSUS) и System Center Configuration Manager (SCCM).

Сървърът WSUS е устроен по-просто. Той функционира като Windows Server и осигурява централизирано съхранение на актуализациите на Windows в организацията. Използвайки групови политики, администраторът насочва компютрите с Windows 10 към сървъра WSUS, служещ за единствен източник на файлове за цялата организация. От неговата администраторска конзола могат да се одобряват актуализации, да се избират моменти за поставянето им на отделни компютри или групи. Компютрите могат ръчно да се привързват към различни групи, или могат да се използват целеви избори от страната на клиента за разпределяне на актуализации, базирани на съществуващите групи на Active Directory.

Тъй като кумулативните актуализации на Windows 10 нарастват все повече с всеки нов выпуск, те могат да заемат значителна част от пропускната способност на комуникационните канали. Сървърите WSUS спестяват трафик, използвайки Express Installation Files — това изисква повече свободно място на сървъра, но значително намалява размера на файловете с актуализации, изпратени на клиентските компютри.

На сървърите с версии WSUS 4.0 и по-нови е възможно също da se управляват актуализациите на компонентите на Windows 10.

Вторият вариант, System Center Configuration Manager, използва напълно функционален Configuration Manager за Windows в комбинация с WSUS за разпределение на актуализации на качеството и актуализации на компонентите. Контролния панел позволява на мрежовите администратори да следят употребата на Windows 10 в цялата мрежа и да създават планове за поддръжка, базирани на групи, които включват информация за всички компютри, приближаващи се до края на цикъла си на поддръжка.

Ако в организацията вече е инсталиран Configuration Manager за работа с по-стари версии на Windows, добавянето на поддръжка за Windows 10 ще бъде достатъчно лесно.

Източник: habr.com