Odpovídáte za jediný počítač s Windows 10 nebo za tisíce, obtíže s řízením aktualizací máte stejné. Vaším cílem je rychle instalovat bezpečnostní aktualizace, chytře pracovat s aktualizacemi komponentů a předcházet poklesu produktivity kvůli nečekaným restartům.
Má vaše podnikání komplexní plán pro práci s aktualizacemi Windows 10? Existuje pokušení považovat tyto stahování za občasné rušení, kterého se je třeba zbavit ihned, jakmile se objeví. Nicméně reaktivní přístup k aktualizacím je receptem na zklamání a snížení produktivity.
Místo toho můžete vytvořit strategii správy pro testování a implementaci aktualizací, aby se tento proces stal stejně běžným, jako je zasílání faktur nebo měsíční uzávěrka účetnictví.
V článku jsou uvedeny všechny informace potřebné k pochopení toho, jak Microsoft odesílá aktualizace na zařízení s Windows 10, stejně jako detaily týkající se nástrojů a technik, které lze použít pro inteligentní řízení těchto aktualizací na zařízeních s Windows 10 verzí Pro, Enterprise nebo Education. (Windows 10 Home podporuje pouze základní možnosti řízení aktualizací a není vhodný pro použití v podnikatelském prostředí).
Ale před tím, než přejdete k některému z těchto nástrojů, budete potřebovat plán.
Co říkají vaše pravidla pro aktualizace?
Smyslem pravidel pro aktualizace je učinit proces aktualizace předvídatelným, určit procedury pro upozorňování uživatelů, aby mohli odpovídajícím způsobem plánovat svou práci a předejít nečekanému výpadku. Rovněž pravidla zahrnují protokoly pro řešení nečekaných problémů, včetně návratu k neúspěšně nainstalovaným aktualizacím.
Rozumná pravidla pro aktualizace vyčleňují určitý čas na práci s aktualizacemi měsíčně. V malé organizaci může tuto cílovou hodnotu představovat speciální okno ve služební době každého počítače. Větší organizace už pravděpodobně nemohou používat univerzální řešení a budou muset rozdělit celou populaci počítačů do skupin aktualizací (Microsoft je nazývá „prstenci“), z nichž každá bude mít svou vlastní strategii aktualizací.
Pravidla by měla popisovat několik různých typů aktualizací. Nejpřehlednější typ jsou měsíční kumulativní aktualizace zabezpečení a spolehlivosti, které vycházejí druhé úterý v měsíci ("patch Tuesday"). V této aktualizaci obvykle naleznete také nástroj pro odstranění škodlivého softwaru pro Windows, a mohou být zahrnuty jakékoliv z následujících typů aktualizací:
- Aktualizace zabezpečení pro .NET Framework
- Aktualizace zabezpečení pro Adobe Flash Player
- Aktualizace servisního balíčku (které je nutné instalovat od počátku).
Instalaci kterékoliv z těchto aktualizací lze odložit až na 30 dní.
V závislosti na výrobci PC mohou být ovladače hardwaru a firmwary také distribuovány prostřednictvím kanálu Windows Update. Můžete se od této možnosti odhlásit nebo je spravovat stejným způsobem jako jiné aktualizace.
Nakonec jsou prostřednictvím Windows Update distribuovány také aktualizace komponent [feature updates]. Tyto velké balíčky aktualizují Windows 10 na nejnovější verzi a vycházejí každých šest měsíců pro všechny edice Windows 10 kromě dlouhodobého kanálu servisu Long Term Servicing Channel (LTSC). Instalaci aktualizací komponent lze odložit pomocí Windows Update for Business až o 365 dní; pro edice Enterprise a Education je možná další odložení instalace až o 30 měsíců.
S tím vším se mohou začít sestavovat pravidla aktualizací, které by měly zahrnovat následující prvky pro každý spravovaný PC:
- Doba instalace měsíčních aktualizací. Ve výchozím nastavení Windows 10 stahuje a instaluje měsíční aktualizace do 24 hodin po jejich vydání v "patch Tuesday". Stahování těchto aktualizací lze odložit pro některé nebo všechny PC ve firmě, abyste měli čas na jejich ověření kompatibility; toto zpoždění vám také umožní vyhnout se problémům v případě, že Microsoft zjistí problém s aktualizací po jejím vydání, což se již mnohokrát stalo s Windows 10.
- Doba instalace pololetních aktualizací komponentů. Při výchozím nastavení se aktualizace komponentů stahují a instalují tehdy, když Microsoft považuje, že jsou připraveny. Na zařízení, které Microsoft považuje za vhodné pro aktualizaci, se aktualizace komponentů mohou objevit během několika dní po vydání. Na jiných zařízeních se aktualizace komponentů mohou objevit za několik měsíců, nebo mohou být zcela zablokovány kvůli problémům s kompatibilitou. Lze nastavit zpoždění pro některé nebo všechny PC v organizaci, aby bylo možné zkontrolovat novou verzi. Od verze 1903 budou uživatelé PC vyzváni k aktualizacím komponentů, avšak příkazy k jejich stažení a instalaci budou udělovány pouze samotnými uživateli.
- Kdy povolit PC restartovat se pro dokončení instalace aktualizací: většina aktualizací vyžaduje restartování pro úspěšné dokončení. Tento restart se děje mimo období 'aktivního času' od 8 do 17 hodin; toto nastavení lze v případě potřeby změnit a prodloužit délku intervalu až na 18 hodin. Nástroje pro správu umožňují přiřadit konkrétní čas pro stahování a instalaci aktualizací.
- Jak informovat uživatele o dostupných aktualizacích a restartu: aby se předešlo nepříjemným překvapením, Windows 10 informuje uživatele o dostupných aktualizacích. Správa těchto oznámení v nastavení Windows 10 je omezená. Mnohem více nastavení je k dispozici v 'skupinových politikách'.
- Někdy Microsoft vydává kriticky důležité aktualizace zabezpečení mimo běžný harmonogram 'úterních záplat'. Obvykle je to nutné pro opravu bezpečnostních chyb, které zneužívají třetí strany. Přidat prioritu těmto aktualizacím, nebo počkat na další okno v harmonogramu?
- Co dělat s neúspěšnými aktualizacemi: pokud se aktualizaci nepodařilo správně nainstalovat, nebo způsobuje problémy, co v takovém případě uděláte?
Poté, co jsou tyto prvky určeny, je na čase vybrat nástroje pro práci s aktualizacemi.
Manuální správa aktualizací
Na velmi malých podnicích, včetně obchodů s jediným pracovníkem, je celkem snadné provést ruční nastavení aktualizací Windows. Nastavení > Aktualizace a zabezpečení > Centrum aktualizací Windows. Tam lze upravit dvě skupiny nastavení.
Nejprve vyberte „Změnit období aktivity“ a upravte nastavení tak, aby odpovídala vašim pracovním zvyklostem. Pokud obvykle pracujete večer, můžete se vyhnout prostojům tím, že nastavíte tato hodnoty od 18 do půlnoci, což způsobí, že naplánované restartování proběhne ráno.
Poté vyberte „Další možnosti“ a nastavení „Vyberte, kdy instalovat aktualizace“, a proveďte jej podle svých pravidel:
- Vyberte, na kolik dní chcete oddálit instalaci aktualizací komponent. Maximální hodnota je 365.
- Vyberte, na kolik dní chcete oddálit instalaci kvalitativních aktualizací, včetně kumulativních aktualizací zabezpečení, které vycházejí v „úterních záplatách“. Maximální hodnota je 30 dní.
Další nastavení na této stránce řídí zobrazení oznámení o restartu (povoleno jako výchozí) a oprávnění ke stahování aktualizací na připojeních s ohledem na datové limity (vypnuto jako výchozí).
Do verze Windows 10 1903 byla ještě možnost výběru kanálu – polovičního, nebo cíleného polovičního. Ta byla odstraněna ve verzi 1903, a v starších verzích jednoduše nefungovala.
Samozřejmě, smyslem oddálení aktualizací není jen se vyhnout tomuto procesu a pak uživatelé překvapit o něco později. Pokud například nastavíte odložení instalace kvalitativních aktualizací na 15 dní, měli byste toto období využít k ověření aktualizací na kompatibilitu a naplánovat si okno na údržbu v příhodném čase před skončením tohoto období.
Správa aktualizací prostřednictvím skupinových politik
Všechny zmíněné ruční nastavení lze použít i prostřednictvím skupinových politik, a v plném seznamu politik souvisejících s aktualizacemi Windows 10 je nastavení mnohem více než ta, která jsou dostupná v běžném manuálním nastavení.
Můžete je aplikovat na jednotlivé počítače pomocí editoru místní skupinové politiky Gpedit.msc nebo pomocí skriptů. Ale nejčastěji se používají v doméně Windows s Active Directory, kde je možné spravovat kombinace politik na skupinách počítačů.
Významné množství politik se používá výhradně ve Windows 10. Nejvýznamnější z nich se týkají "Aktualizací Windows pro firmy", které se nacházejí v Konfiguraci počítače > Administrativní šablony > Komponenty Windows > Centrum aktualizace Windows > Centrum aktualizace Windows pro firmy.
- Vyberte, kdy získávat předběžné verze – kanál a zpoždění pro aktualizace komponent.
- Vyberte, kdy získávat aktualizace kvality – zpoždění měsíčních kumulativních aktualizací a dalších aktualizací souvisejících s bezpečností.
- Spravujte předběžné verze: kdy si uživatel může připojit stroj k programu Windows Insider a určete kroužek insiderů.
Další skupina politik se nachází v Konfiguraci počítače > Administrativní šablony > Komponenty Windows > Centrum aktualizace Windows, kde můžete:
- Zrušit přístup k funkci pozastavení aktualizací, což uživatelům znemožní zasahovat do instalace tím, že ji zpozdí až o 35 dní.
- Zrušit přístup ke všem nastavením aktualizací.
- Umožnit automatické stahování aktualizací na připojeních s ohledem na přenášená data.
- Nestahovat s aktualizacemi ovladače.
Následující nastavení jsou pouze ve Windows 10 a týkají se restartů a upozornění:
- Zakázat automatický restart pro aktualizace během aktivního období.
- Stanovit časové období pro automatický restart.
- Stanovit termín pro automatický restart za účelem instalace aktualizací (od 2 do 14 dnů).
- Nastavit upozornění s připomenutím o automatickém restartu: prodloužit čas, za který jsou uživatelé upozorněni na to (od 15 do 240 minut).
- Zakázat upozornění o automatickém restartu za účelem instalace aktualizací.
- Nastavit upozornění o automatickém restartu tak, aby se automaticky nezmizelo po 25 sek.
- Nedovolovat politikám zpoždění aktualizací spouštět skenování v Centru aktualizací Windows: tato politika zakazuje PC kontrolovat aktualizace, pokud je nastavena prodleva.
- Umožnit uživatelům řídit čas restartu a odkládat oznámení.
- Nastavit oznámení o aktualizacích (zobrazení oznámení, od 4 do 24 hodin) a upozornění na nevyhnutelný restart (od 15 do 60 minut).
- Aktualizace politiky napájení pro restart koše (nastavení pro vzdělávací systémy, které umožňuje aktualizace i při napájení z baterie).
- Zobrazit nastavení oznámení o aktualizacích: umožňuje zakázat oznámení o aktualizacích.
Následující politiky existují jak ve Windows 10, tak v některých starších verzích Windows:
- Nastavení automatických aktualizací: tato skupina nastavení umožňuje zvolit týdenní, dvoutýdenní nebo měsíční plán aktualizací, včetně dne v týdnu a času pro automatické stahování a instalaci aktualizací.
- Zadat umístění služby aktualizací Microsoft v intranetu: nastavit server Windows Server Update Services (WSUS) v doméně.
- Umožnit klientovi připojit se k cílové skupině: administrátoři mohou použít skupiny zabezpečení Active Directory k určení kruhů nasazení WSUS.
- Nepřipojovat se k umístěním Centra aktualizací Windows na internetu: zakázat PC, které pracují s místními serverem aktualizacemi, komunikovat s externími aktualizačními servery.
- Umožnit správě napájení Centra aktualizací Windows probudit systém z režimu spánku pro instalaci naplánovaných aktualizací.
- Vždy automaticky restartovat systém ve stanovený čas.
- Nevykonávat automatické restartování, pokud v systému pracují uživatelé.
Nástroje pro práci ve velkých organizacích (Enterprise)
Velké organizace s síťovou infrastrukturou Windows mohou obejít serveru aktualizace Microsoft a nasazovat aktualizace z místního serveru. To vyžaduje zvýšenou pozornost ze strany firemního IT oddělení, ale přidává společnosti flexibilitu. Dvě nejoblíbenější možnosti jsou Windows Server Update Services (WSUS) a System Center Configuration Manager (SCCM).
Server WSUS je jednodušší. Funguje jako Windows Server a poskytuje centralizované úložiště pro aktualizace Windows v organizaci. Pomocí skupinových politik může administrátor nasměrovat PC s Windows 10 na server WSUS, který slouží jako jediný zdroj souborů pro celou organizaci. Z jeho administrátorské konzole lze schvalovat aktualizace, vybírat, kdy je instalovat na jednotlivá PC nebo skupiny PC. PC lze ručně přiřadit různým skupinám, nebo lze použít cílový výběr na straně klienta k nasazení aktualizací na základě existujících bezpečnostních skupin Active Directory.
S kumulativními aktualizacemi Windows 10, které stále rostou s každým novým vydáním, mohou zabírat značnou část šířky pásma připojení. Servery WSUS šetří provoz tím, že využívají express instalační soubory – to vyžaduje více volného místa na serveru, ale výrazně snižuje velikost souborů aktualizací odesílaných na klientská PC.
Na serverech verze WSUS 4.0 a novější lze také spravovat aktualizace komponentů Windows 10.
Druhou možností je System Center Configuration Manager, který používá bohatý Configuration Manager pro Windows spolu s WSUS k nasazení aktualizací kvality a aktualizací komponentů. Ovládací panel umožňuje síťovým administrátorům sledovat používání Windows 10 v celé síti a vytvářet plány údržby na základě skupin, které zahrnují informace o všech PC blížících se ke konci svého období podpory.
Pokud má organizace již nainstalován Configuration Manager pro starší verze Windows, bude přidání podpory pro Windows 10 poměrně snadné.
Zdroj: habr.com
