Пълно ръководство за обновяване на Windows 10 за предприятия от всякакъв размер

Независимо от того, управлявате ли единствен компютър с Windows 10 или хиляди, трудностите с управлението на обновленията са едни и същи. Вашата цел е бързо да инсталирате обновленията за сигурност, да управлявате обновленията на компонентите разумно и да предотвратите спад на продуктивността поради неочаквани рестартирания.

Има ли вашето предприятие всеобхватен план за работа с обновленията на Windows 10? Има изкушение да се смятат тези изтегляния за периодични смущения, от които трябва да се избавите веднага щом се появят. Въпреки това, реактивният подход към обновленията е рецепта за разочарования и спад на продуктивността.

Вместо това можете да създадете стратегия за управление за тестване и внедряване на обновления, така че този процес да стане толкова обичаен, колкото изпращането на фактури или месечното счетоводство.

В статията е посочена цялата информация, необходима за разбирането на начина, по който Microsoft изпраща обновления на устройства с Windows 10, както и детайли относно инструментите и техниките, които можете да използвате за разумно управление на тези обновления на устройства с Windows 10 версии Pro, Enterprise или Education. (Windows 10 Home предоставя само основни възможности за управление на обновленията и не е пригодена за употреба в бизнес среда).

Но преди да преминете към някой от тези инструменти, ще ви трябва план.

Какво пише в вашите правила за обновления?

Същността на правилата за обновления е да направи процеса на обновление предсказуем и да определи процедури за уведомяване на потребителите, за да могат те да планират съответно работата си и да избегнат неочаквани престои. Правилата включват и протоколи за справяне с неочаквани проблеми, включително откат на неуспешно инсталирани обновления.

Разумните правила за обновления предвиждат определено време за работа с обновления всеки месец. В малка организация тази цел може да бъде постигната чрез специално време в графика за обслужване на всеки компютър. В големи организации универсалните решения вероятно няма да проработят, и ще трябва да се раздели цялата популация на компютри на обновителни групи (в Microsoft ги наричат „рингова“), всяка от които ще има своя собствена стратегия за обновления.

Правилата трябва да описват различни видове актуализации. Най-ясният тип са месечните кумулативни актуализации за сигурност и надеждност, които излизат всеки вторник на втория месец от месеца (наречен "Патч вторник"). В този релиз обикновено присъства Windows Malicious Software Removal Tool, а също така могат да бъдат и всякакви от следните типове актуализации:

• Актуализации за сигурност на .NET Framework
• Актуализации за сигурност на Adobe Flash Player
• Актуализации на сервизния стек (които трябва да се инсталират от самото начало).

Инсталирането на всяка от тези актуализации може да се отложи до 30 дни.

В зависимост от производителя на компютъра, драйверите на оборудването и фърмуера също могат да се разпространяват чрез Windows Update. Можете да се откажете от това или да се управлявате с тях по същите схеми, както с другите актуализации.

Накрая, чрез Windows Update се разпространяват и актуализации на компонентите [feature updates]. Тези големи пакети актуализират Windows 10 до последната версия и се издават на всеки шест месеца за всички издания на Windows 10, с изключение на дългосрочния канал на обслужване Long Term Servicing Channel (LTSC). Отлагането на инсталирането на актуализациите за компоненти може да се извърши с Windows Update for Business до 365 дни; за изданията Enterprise и Education е възможно допълнително отлагане на инсталацията до 30 месеца.

С оглед на всичко това, можете да започнете да съставяте правила за актуализации, които трябва да включват следните елементи за всеки от обслужваните компютри:

• Срокът за инсталиране на месечните актуализации. По подразбиране в Windows 10 месечните актуализации се изтеглят и инсталират в рамките на 24 часа след излизането им в "Патч вторник". Можете да отложите изтеглянето на тези актуализации за някои или всички компютри в компанията, за да имате време да проверите за съвместимост; това забавяне също ви позволява да избегнете проблеми, в случай че Microsoft открие проблем с актуализацията след излизането й, както многократно се е случвало с Windows 10.
• Срок на инсталиране на полугодишни актуализации на компонентите. При настройките по подразбиране актуализациите на компонентите се изтеглят и инсталират, когато Microsoft смята, че са готови. На устройство, което Microsoft е оценило като подходящо за актуализация, актуализациите на компонентите могат да се появят няколко дни след излизането им. На други устройства актуализациите на компонентите могат да се появят след няколко месеца, или могат да бъдат напълно блокирани поради проблеми със съвместимостта. Можете да зададете закъснение за някои или за всички компютри в организацията, за да получите време за проверка на новото издание. Започвайки от версия 1903, на потребителите на ПК ще бъдат предложени актуализации на компонентите, но командите за изтегляне и инсталиране ще бъдат дадени само от самите потребители.
• Кога да разрешите на ПК да се рестартира, за да завърши инсталацията на актуализациите: повечето актуализации изискват рестартиране, за да завършат инсталацията. Това рестартиране се случва извън интервала за 'активен период' от 8 до 17 часа; тази настройка може да бъде променена по желание, като се удължи продължителността на интервала до 18 часа. Инструментите за управление позволяват назначаване на конкретно време за изтегляне и инсталиране на актуализациите.
• Как да уведомявате потребителите за наличието на актуализации и рестартиране: за да се избегнат неприятни изненади, Windows 10 уведомява потребителите за наличието на актуализации. Управлението на тези уведомления в настройките на Windows 10 е ограничено. Много повече настройки са налични в 'груповите политики'.
• Понякога Microsoft пуска критично важни актуализации за сигурност извън обичайния график на 'вторниците за корекции'. Обикновено това е необходимо, за да се поправят уязвимости в сигурността, които злонамерени лица експлоатират. Да ускорите ли приложението на такива актуализации или да изчакате следващото издание в графика?
• Какво да правите с неуспешните актуализации: ако актуализацията не успее да се инсталира правилно или причинява проблеми, какво ще направите в този случай?

След като определите тези елементи, е време да изберете инструменти за работа с актуализациите.

Ръчно управление на актуализациите

В много малки фирми, включително магазини с един служител, е доста лесно да се извърши ръчна настройка на актуализациите на Windows. Настройки > Актуализиране и защита > Център за актуализации на Windows. Там можете да коригирате две групи настройки.

Първо изберете „Промяна на активния период“ и коригирайте настройките, за да отговарят на вашите работни навици. Ако обикновено работите вечер, можете да избегнете престой, настройвайки тези стойности от 18 до полунощ, така че планираните рестартирания да се случват сутрин.

След това изберете „Допълнителни опции“ и настройката „Изберете кога да инсталирате актуализации“, като я формулирате в съответствие с вашите правила:

• Изберете за колко дни да отложите инсталацията на актуализации на компонентите. Максималната стойност е 365.
• Изберете за колко дни да отложите инсталацията на актуализации на качеството, включително кумулативните актуализации на сигурността, които излизат всяка „вторник на пачовете“. Максималната стойност е 30 дни.

Други настройки на тази страница управляват показването на уведомления за рестартиране (включено по подразбиране) и разрешението за изтегляне на актуализации при ограничения в трафика (изключено по подразбиране).

До версия Windows 10 1903 имаше още настройка за избор на канал – полугодишен или целеви полугодишен. Тя беше премахната във версия 1903, а в по-старите версии просто не работи.

Разбира се, смисълът на отлагането на актуализациите не е в това просто да избягвате този процес, а след това да изненадате потребителите малко по-късно. Ако, например, назначите отлагане на инсталацията на актуализации на качеството за 15 дни, трябва да използвате това време, за да проверите актуализациите за съвместимост и да планирате в графика период за поддръжка в удобно време преди приключване на този период.

Управление на актуализациите чрез Групови политики

Всички споменати ръчни настройки могат да се прилагат и чрез групови политики, а в пълния списък с политики, свързани с актуализациите на Windows 10, настройките са значително повече от тези, които са достъпни в обикновените ръчни настройки.

Можете да ги прилагате на отделни компютри чрез редактора на локалната групова политика Gpedit.msc или чрез скриптове. Най-често обаче те се използват в домейн на Windows с Active Directory, където можете да управлявате комбинации от политики на групи компютри.

Значителен брой политики се използват изключително в Windows 10. Най-важните от тях са свързани с 'Актуализациите на Windows за бизнес', разположени в Конфигурация на компютъра > Административни шаблони > Компоненти на Windows > Център за актуализации на Windows > Център за актуализации на Windows за бизнес.

• Изберете кога да получавате предварителни сборки – канал и забавяне за актуализациите на компонентите.
• Изберете кога да получавате актуализации на качеството – забавяния на месечните кумулативни актуализации и други актуализации, свързани със сигурността.
• Управлявайте предварителните сборки: когато потребителят може да свърже машината си с програмата Windows Insider и определете кръга на инсаидерите.

Допълнителна група политики се намира в Конфигурация на компютъра > Административни шаблони > Компоненти на Windows > Център за актуализации на Windows, където можете да:

• Премахнете достъпа до функцията за спиране на актуализациите, което няма да позволи на потребителите да пречат на инсталацията, отлагайки я за 35 дни.
• Премахнете достъпа до всички настройки за актуализации.
• Разрешете автоматичното изтегляне на актуализации на свързвания с отчитане на трафика.
• Не сваляйте драйвери заедно с актуализациите.

Следните настройки са налични само в Windows 10 и се отнасят за рестартирания и известията:

• Изключете автоматичното рестартиране за актуализации по време на активния период.
• Укажете диапазон на активния период за автоматично рестартиране.
• Укажете краен срок за автоматичното рестартиране с цел инсталиране на актуализации (от 2 до 14 дни).
• Настройте известия с напомняне за автоматично рестартиране: увеличете времето, за което потребителят бъде предупреден за това (от 15 до 240 минути).
• Изключете известията за автоматично рестартиране с цел инсталиране на актуализации.
• Настройте известие за автоматично рестартиране така, че то да не изчезва автоматично след 25 секунди.
• Не позволявайте на политиката за забавяне на получаването на обновления да инициира сканиране в Центъра за обновления на Windows: тази политика забранява на ПК да проверява обновления, ако е зададено забавяне.
• Позволете на потребителите да управляват времето за рестартиране и да отлагат известията.
• Настройте уведомления за обновления (появата на уведомления, от 4 до 24 часа) и предупреждения за неизбежно рестартиране (от 15 до 60 минути).
• Обновление на политиката за електрозахранване за рестартиране на кошчето (настройка за образователни системи, позволяваща обновления дори при захранване от батерия).
• Извеждайте настройки за уведомления за обновления: позволява забрана на уведомления за обновления.

Следните политики съществуват и в Windows 10, и в някои по-стари версии на Windows:

• Настройка на автоматично обновление: тази група настройки позволява да се избере седмичен, на всеки две седмици или месечен график на обновления, включително ден от седмицата и време за автоматично изтегляне и инсталиране на обновления.
• Укажете местоположението на услугата за обновления на Microsoft в интранет: настройте сървър Windows Server Update Services (WSUS) в домейна.
• Позволете на клиента да се присъедини към целевата група: администраторите могат да използват групи за сигурност на Active Directory, за да определят пръстените на разгръщане на WSUS.
• Не се свързвайте с местоположенията на Центъра за обновления на Windows в интернет: забранете на ПК, работещи с местно сървър обновление, да се свързват с външни обновяващи сървъри.
• Позволете на управлението на електрозахранването на центъра за обновления на Windows да извежда системата от спящ режим за инсталиране на планирани обновления.
• Винаги автоматично рестартирайте системата в планирано време.
• Не извършвайте автоматичен рестарт, ако в системата работят потребители.

Инструменти за работа в големи организации (Enterprise)

Големи организации с мрежова инфраструктура Windows могат да заобиколят сървър обновления на Microsoft и да разгръщат обновления от местен сървър. Това изисква повишено внимание от корпоративния IT отдел, но предоставя на компанията гъвкавост. Две от най-популярните опции са Windows Server Update Services (WSUS) и System Center Configuration Manager (SCCM).

Сървърът WSUS е устроен по-просто. Той функционира като Windows Server и осигурява централизирано хранилище на актуализациите за Windows в организацията. С помощта на групови политики администраторът насочва устройствата с Windows 10 към WSUS сървъра, който служи като единствен източник на файлове за цялата организация. От конзолата на администратора могат да се одобряват актуализации, да се избират периоди за инсталиране на отделни устройства или групи. Устройствата могат ръчно да се свързват с различни групи, или може да се използва целенасочен избор от страна на клиента за разпространение на актуализации на базата на съществуващите защитни групи в Active Directory.

Тъй като кумулативните актуализации на Windows 10 стават все по-големи с всяко ново издание, те могат да заемат значителна част от пропускната способност на комуникационните канали. Сървърите WSUS спестяват трафик, използвайки Express Installation Files – това изисква повече свободно пространство на сървъра, но значително намалява размера на файловете за актуализация, изпращани на клиентските устройства.

На сървърите с версии WSUS 4.0 и по-късно също може да се управляват актуализации на компонентите на Windows 10.

Вторият вариант, System Center Configuration Manager, използва мощния Configuration Manager за Windows съвместно с WSUS за разпространение на актуализации на качеството и актуализации на компонентите. Контролният панел позволява на мрежовите администратори да проследяват употребата на Windows 10 в цялата мрежа и да създават планове за поддръжка на базата на групи, включващи информация за всички устройства, приближаващи се до края на своя жизнен цикъл на поддръжка.

Ако в организацията вече е инсталиран Configuration Manager за работа с по-ранни версии на Windows, добавянето на поддръжка за Windows 10 ще бъде относително лесно.

Източник: habr.com