Uanset om du håndterer en enkelt Windows 10-PC eller tusindvis, er udfordringerne med at administrere opdateringer de samme. Dit mål er at installere sikkerhedsopdateringer hurtigt, arbejde smart med komponentopdateringer og forhindre produktivitetstab på grund af uventede genstarter.
Har din virksomhed en omfattende plan for håndtering af Windows 10-opdateringer? Der er en fristelse til at betragte disse downloads som sporadiske forstyrrelser, der skal håndteres, så snart de dukker op. Men en reaktiv tilgang til opdateringer er opskriften på frustration og nedsat produktivitet.
I stedet kan du lave en strategi for administration af opdateringer, så testning og implementering af opdateringer bliver ligeså rutinemæssigt som at sende regninger eller lave månedlige regnskaber.
Artiklen indeholder al information, du har brug for for at forstå, hvordan Microsoft leverer opdateringer til enheder, der kører Windows 10, samt detaljer om værktøjer og teknikker, der kan bruges til smart administration af disse opdateringer på Windows 10-enheder af Pro-, Enterprise- eller Education-version. (Windows 10 Home understøtter kun de mest grundlæggende opdateringsadministrationsfunktioner og er ikke egnet til brug i en erhvervsmæssig sammenhæng).
Men før du går i gang med nogen af disse værktøjer, har du brug for en plan.
Hvad står der i dine opdateringsregler?
Formålet med opdateringsreglerne er at gøre opdateringsprocessen forudsigelig, at fastlægge procedurer til at informere brugerne, så de kan planlægge deres arbejde og undgå uventet nedetid. Reglerne omfatter også protokoller til håndtering af uventede problemer, herunder tilbageførsel af mislykkedes opdateringer.
Fornuftige opdateringsregler afsætter en bestemt tid hver måned til arbejde med opdateringer. I en lille organisation kan dette være et specielt vindue i serviceplanen for hver PC. I større organisationer vil universelle løsninger sjældent fungere, og det vil være nødvendigt at opdele hele PC-populationen i opdateringsgrupper (som Microsoft kalder 'ringe'), hvor hver gruppe har sin egen opdateringsstrategi.
Reglerne skal beskrive flere forskellige typer opdateringer. Den mest forståelige type er de månedlige kumulative sikkerheds- og stabilitetsopdateringer, der udsendes den anden tirsdag i hver måned ("patch-tirsdag"). Denne version indeholder normalt Windows Malicious Software Removal Tool og kan også indeholde nogen af følgende typer opdateringer:
- Sikkerhedsopdateringer til .NET Framework
- Sikkerhedsopdateringer til Adobe Flash Player
- Vedligeholdelsesopdateringer (som skal installeres fra starten).
Installation af en hvilken som helst af disse opdateringer kan udsættes i op til 30 dage.
Afhængigt af PC-producenten kan hardwaredrivere og firmware også distribueres gennem Windows Update. Dette kan nægtes eller håndteres på samme måde som med andre opdateringer.
Endelig distribueres komponentopdateringer [feature updates] også gennem Windows Update. Disse store pakker opdaterer Windows 10 til den nyeste version og udkommer hver sjette måned for alle versioner af Windows 10, undtagen Long Term Servicing Channel (LTSC). Installation af komponentopdateringer kan udsættes ved hjælp af Windows Update for Business i op til 365 dage; for Enterprise- og Education-versioner er det muligt at udskyde installationen i op til 30 måneder.
I betragtning af alt dette kan du begynde at udarbejde opdateringsregler, som skal indeholde følgende elementer for hver af de administrerede pc'er:
- Tidsrammen for installation af månedlige opdateringer. Som standard downloades og installeres månedlige opdateringer i Windows 10 inden for 24 timer efter deres udgivelse på "patch-tirsdag". Du kan udsætte download af disse opdateringer for enkelte eller alle pc'er i virksomheden, så du har tid til at kontrollere deres kompatibilitet; denne forsinkelse giver dig også mulighed for at undgå problemer i tilfælde af, at Microsoft opdager et problem med opdateringen efter udgivelsen, som det allerede er sket mange gange med Windows 10.
- Tidsrammen for installation af halvårlige opdateringer af komponenter. Med standardindstillingerne downloades og installeres komponentopdateringer, når Microsoft vurderer, at de er klar. På en enhed, som Microsoft har vurderet som egnet til opdatering, kan komponentopdateringer dukke op inden for et par dage efter udgivelsen. På andre enheder kan komponentopdateringer dukke op om flere måneder eller slet ikke blive frigivet på grund af kompatibilitetsproblemer. Du kan indstille en forsinkelse for nogle eller alle pc'er i organisationen for at få tid til at tjekke den nye version. Fra version 1903 vil pc-brugere få mulighed for at modtage komponentopdateringer, men kommandoerne om download og installation skal kun gives af brugerne selv.
- Hvornår skal pc'erne genstartes for at afslutte installationen af opdateringer: de fleste opdateringer kræver genstart for at afslutte installationen. Denne genstart sker uden for aktivt tidsrum fra 8 til 17; denne indstilling kan ændres efter ønske, så intervallet kan forlænges til 18 timer. Administrationsværktøjer gør det muligt at fastsætte et bestemt tidspunkt for download og installation af opdateringer.
- Hvordan informere brugerne om opdateringer og genstart: For at undgå ubehagelige overraskelser informerer Windows 10 brugerne om tilgængelige opdateringer. Styringen af disse meddelelser i Windows 10-indstillinger er begrænset. Langt flere indstillinger er tilgængelige i "gruppepolitikker."
- Nogle gange udgiver Microsoft kritisk vigtige sikkerhedsopdateringer uden for den sædvanlige "Patch Tuesday"-plan. Dette er normalt nødvendigt for at rette sikkerhedssvagheder, som ondsindede aktører udnytter. Skal vi fremskynde anvendelsen af sådanne opdateringer eller vente på det næste tidsvindue i planen?
- Hvad skal man gøre med mislykkede opdateringer: Hvis en opdatering ikke kunne installeres korrekt, eller den forårsager problemer, hvad vil du så gøre i dette tilfælde?
Når du har identificeret disse elementer, er det tid til at vælge værktøjer til håndtering af opdateringer.
Manuel styring af opdateringer
I meget små virksomheder, herunder butikker med én ansat, er det ret nemt at foretage manuel indstilling af Windows-opdateringer. Indstillinger > Opdatering og sikkerhed > Windows Update. Her kan man justere to grupper af indstillinger.
Først skal du vælge "Ændre aktiv periode" og justere indstillingerne, så de passer til dine arbejdsvaner. Hvis du normalt arbejder om aftenen, kan du undgå nedetid ved at indstille disse værdier fra 18 til midnat, hvilket vil betyde, at planlagte genstarter sker om morgenen.
Vælg derefter "Yderligere indstillinger" og indstillingen "Vælg, hvornår opdateringer skal installeres", og indstil den efter dine retningslinjer:
- Vælg, hvor mange dage installationen af komponentopdateringer skal forsinkes. Den maksimale værdi er 365 dage.
- Vælg, hvor mange dage installationen af kvalitetsopdateringer, herunder kumulative sikkerhedsopdateringer, der udsendes på "Patch Tuesday", skal forsinkes. Den maksimale værdi er 30 dage.
Andre indstillinger på denne side styrer visningen af meddelelser om genstart (aktiveret som standard) og muligheden for at downloade opdateringer på forbindelser med datagrænser (deaktiveret som standard).
Før version 1903 af Windows 10 var der også en indstilling for valg af kanal - halvårs- eller målrettet halvårs. Denne blev fjernet i version 1903, og i ældre versioner fungerer den simpelthen ikke.
Selvfølgelig er meningen med at forsinke opdateringer ikke bare at undgå denne proces og så overraske brugerne senere. Hvis du f.eks. angiver en forsinkelse på 15 dage for installationen af kvalitetsopdateringer, skal du bruge denne tid på at tjekke opdateringer for kompatibilitet og planlægge et vedligeholdelsesvindue på et passende tidspunkt, inden denne periode udløber.
Håndtering af opdateringer gennem Gruppepolitikker
Alle de nævnte manuelle indstillinger kan også anvendes gennem gruppepolitikker, og i den fulde liste over politikker relateret til Windows 10-opdateringer er der mange flere indstillinger end dem, der er tilgængelige i de almindelige manuelle indstillinger.
De kan anvendes på enkelte PC'er ved hjælp af redaktøren for lokale gruppepolitikker Gpedit.msc eller ved hjælp af scripts. Men oftest bruges de i et Windows-domæne med Active Directory, hvor man kan administrere kombinationer af politikker i grupper af PC'er.
Et betydeligt antal politikker anvendes udelukkende i Windows 10. De vigtigste af dem relaterer sig til "Windows-opdateringer til erhvervslivet", som findes i Konfiguration af computer > Administrative skabeloner > Windows-komponenter > Windows Update > Windows Update til erhvervslivet.
- Vælg hvornår man vil modtage forudbyggede versioner - kanaler og forsinkelser for opdateringer af komponenter.
- Vælg hvornår man vil modtage kvalitetsopdateringer - forsinkelser for månedlige kumulative opdateringer og andre sikkerhedsrelaterede opdateringer.
- Administrer forudbyggede versioner: hvornår brugeren kan tilslutte en maskine til Windows Insider-programmet og definere insider-ringen.
Yderligere en gruppe politikker findes i Konfiguration af computer > Administrative skabeloner > Windows-komponenter > Windows Update, hvor man kan:
- Fjerne adgangen til funktionen til at udsætte opdateringer, så brugerne ikke kan forstyrre installationen ved at forsinke den i 35 dage.
- Fjerne adgangen til alle opdateringsindstillinger.
- Tillade automatisk download af opdateringer på forbindelser med trafikbegrænsninger.
- Ikke at downloade drivere sammen med opdateringer.
De følgende indstillinger findes kun i Windows 10, og de vedrører genstarter og meddelelser:
- Deaktivere automatisk genstart for opdateringer i den aktive periode.
- Angiv spændet for den aktive periode for automatisk genstart.
- Angiv en deadline for automatisk genstart med henblik på installation af opdateringer (fra 2 til 14 dage).
- Konfigurer meddelelser med påmindelser om automatisk genstart: forlæng tiden, hvori brugeren advaret om dette (fra 15 til 240 minutter).
- Deaktivere meddelelser om automatisk genstart med henblik på installation af opdateringer.
- Konfigurer meddelelse om automatisk genstart, så den ikke automatisk forsvinder efter 25 sek.
- Ikke tillad politikker om forsinkelse af opdateringer at initiere scanning i Windows Update Center: denne politik forhindrer pc'er i at tjekke for opdateringer, hvis der er tildelt en forsinkelse.
- Tillad brugere at styre genstarttidspunktet og udsætte notifikationer.
- Konfigurere opdateringsnotifikationer (opbygning af notifikationer, fra 4 til 24 timer) og varsler om nært forestående genstart (fra 15 til 60 minutter).
- Opdatering af strømsparepolitikken for genstart af udstyr (indstilling for uddannelsessystemer, der tillader opdatering selv ved batteridrift).
- Vis opsætninger for opdateringsnotifikationer: tillader at forbyde opdateringsnotifikationer.
De følgende politikker findes i både Windows 10 og nogle ældre versioner af Windows:
- Opsætning af automatisk opdatering: denne gruppe indstillinger giver mulighed for at vælge en ugentlig, hver anden uge eller månedlig opdateringsplan, inklusive ugens dag og tid for automatisk download og installation af opdateringer.
- Angiv placeringen af Microsoft Update-tjenesten i intranet: opsæt en Windows Server Update Services (WSUS) server i domænet.
- Tillad klienten at tilslutte sig destinationsgruppen: administratorer kan bruge Active Directory-sikkerhedsgrupper til at definere WSUS-udrulningsringe.
- Ikke oprette forbindelse til Windows Update-lokationer på internettet: forbyde pc'er, der arbejder med lokale serveren opdateringer, at kommunikere med eksterne opdateringsservere.
- Tillad Windows Update-energidrift til at vække systemet fra dvaletilstand for at installere planlagte opdateringer.
- Genstart automatisk systemet på planlagt tid.
- Udfør ikke automatisk genstart, hvis der er brugere aktive på systemet.
Værktøjer til store organisationer (Enterprise)
Store organisationer med Windows-netværksinfrastruktur kan omgå server Microsoft-opdateringer og udrulde opdateringer fra en lokal server. Dette kræver øget opmærksomhed fra virksomhedens IT-afdeling, men giver virksomheden fleksibilitet. De to mest populære muligheder er Windows Server Update Services (WSUS) og System Center Configuration Manager (SCCM).
WSUS-serveret er enklere. Det fungerer som Windows Server og sørger for centraliseret opbevaring af Windows-opdateringer i organisationen. Ved hjælp af gruppepolitikker kan administratoren pege Windows 10-PC'er på WSUS-serveren, som fungerer som den eneste kilde til filer for hele organisationen. Fra sin administrationskonsol kan administratoren godkende opdateringer og vælge, hvornår de skal installeres på individuelle PC'er eller grupper af PC'er. PC'er kan manuelt knyttes til forskellige grupper, eller der kan anvendes klientbaseret måludvælgelse til at distribuere opdateringer baseret på eksisterende sikkerhedsgrupper i Active Directory.
Da de kumulative opdateringer til Windows 10 bliver større med hver ny udgivelse, kan de optage en betydelig del af båndbredden. WSUS-servere sparer trafik ved at bruge Express Installation Files – dette kræver mere ledig plads på serveren, men reducerer betydeligt størrelsen af opdateringsfilerne, der sendes til klient-PC'erne.
På WSUS-servere version 4.0 og senere kan opdateringer til Windows 10-komponenter også administreres.
Den anden mulighed, System Center Configuration Manager, anvender den omfattende Configuration Manager for Windows sammen med WSUS for at distribuere kvalitetsopdateringer og opdateringer til komponenter. Kontrolpanelet gør det muligt for netværksadministratorer at overvåge brugen af Windows 10 i hele netværket og skabe vedligeholdelsesplaner baseret på grupper, hvilket omfatter information om alle PC'er, der nærmer sig afslutningen af deres supportcyklus.
Hvis der allerede er installeret Configuration Manager i organisationen til at arbejde med ældre versioner af Windows, vil det være relativt enkelt at tilføje support til Windows 10.
Kilde: habr.com
