Obehaupten Sie einen einzelnen Windows 10-PC oder verwalten Sie Tausende? Die Herausforderungen bei der Verwaltung von Updates sind die gleichen. Ihr Ziel sollte es sein, Sicherheitsupdates schnell zu installieren, intelligent mit Komponentenupdates umzugehen und Produktivitätsverluste durch unerwartete Neustarts zu vermeiden.
Hat Ihr Unternehmen einen umfassenden Plan für Windows 10-Updates? Es besteht die Versuchung, diese Downloads als vorübergehende Störungen zu betrachten, die sofort beseitigt werden müssen, sobald sie auftreten. Ein reaktiver Ansatz für Updates ist jedoch ein Rezept für Frustration und Produktivitätsverlust.
Stattdessen können Sie eine Managementstrategie für die Testung und Implementierung von Updates entwickeln, sodass dieser Prozess ebenso alltäglich wird wie das Versenden von Rechnungen oder die monatliche Buchhaltungsabschlüsse.
In dem Artikel finden Sie alle Informationen, die erforderlich sind, um zu verstehen, wie Microsoft Updates an Geräte mit Windows 10 sendet, sowie Einzelheiten zu den Tools und Techniken, die verwendet werden können, um diese Updates intelligent auf Geräten mit Windows 10 Pro-, Enterprise- oder Education-Versionen zu verwalten. (Windows 10 Home unterstützt nur die grundlegendsten Update-Verwaltungsfunktionen und ist für den Einsatz in Geschäftsumgebungen ungeeignet).
Aber bevor Sie zu einem dieser Tools übergehen, benötigen Sie einen Plan.
Was steht in Ihren Update-Richtlinien?
Der Sinn der Update-Richtlinien besteht darin, den Update-Prozess vorhersehbar zu gestalten, Verfahren zur Benachrichtigung der Benutzer zu definieren, damit sie ihre Arbeit entsprechend planen können und unerwartete Ausfallzeiten vermeiden. Auch Protokolle zur Behandlung unerwarteter Probleme sind in den Richtlinien enthalten, einschließlich der Rücksetzung fehlgeschlagener Updates.
Sinnvolle Regelungen für Updates sehen monatlich einen bestimmten Zeitraum für die Arbeit an Aktualisierungen vor. In einem kleinen Unternehmen kann dies in Form eines speziellen Zeitfensters im Wartungsplan jedes PCs umgesetzt werden. In größeren Organisationen werden universelle Lösungen jedoch kaum funktionieren, und hier müssen die gesamten PCs in Update-Gruppen eingeteilt werden (in Microsoft werden sie als „Ringe“ bezeichnet), wobei jede Gruppe ihre eigene Update-Strategie hat.
Die Regeln sollten verschiedene Typen von Aktualisierungen beschreiben. Der verständlichste Typ sind die monatlichen kumulativen Sicherheits- und Zuverlässigkeitsupdates, die am zweiten Dienstag jedes Monats veröffentlicht werden („Patch-Dienstag“). In dieser Veröffentlichung ist normalerweise das Windows Malicious Software Removal Tool enthalten, und es können auch folgende Arten von Updates vorhanden sein:
- Sicherheitsupdates für das .NET Framework
- Sicherheitsupdates für Adobe Flash Player
- Updates des Servicestacks (die von Anfang an installiert werden müssen).
Die Installation eines dieser Updates kann um bis zu 30 Tage verzögert werden.
Je nach PC-Hersteller können Hardwaretreiber und Firmware ebenfalls über den Windows Update-Kanal verteilt werden. Dies kann abgelehnt oder wie bei anderen Updates verwaltet werden.
Schließlich werden auch die Komponenten-Updates [feature updates] über Windows Update verteilt. Diese umfangreichen Pakete aktualisieren Windows 10 auf die neueste Version und erscheinen alle sechs Monate für alle Editionen von Windows 10, mit Ausnahme des Long Term Servicing Channels (LTSC). Die Installation von Komponenten-Updates kann mittels Windows Update for Business um bis zu 365 Tage verzögert werden; für die Editionen Enterprise und Education ist eine weitere Verschiebung der Installation um bis zu 30 Monate möglich.
Unter Berücksichtigung all dessen können Sie beginnen, Aktualisierungsrichtlinien zu erstellen, die die folgenden Elemente für jeden verwalteten PC enthalten sollten:
- Installationszeitraum für monatliche Updates. Standardmäßig werden in Windows 10 monatliche Updates innerhalb von 24 Stunden nach ihrer Veröffentlichung am "Patch-Dienstag" heruntergeladen und installiert. Sie können das Herunterladen dieser Updates für einige oder alle PCs im Unternehmen verzögern, um Zeit zu haben, sie auf Kompatibilität zu überprüfen; diese Verzögerung hilft Ihnen auch, Probleme zu vermeiden, falls Microsoft nach der Veröffentlichung ein Problem mit dem Update feststellt, was schon mehrfach bei Windows 10 vorgekommen ist.
- Der Zeitraum für die Installation halbjährlicher Komponenten-Updates. Bei den Standardeinstellungen werden die Komponenten-Updates heruntergeladen und installiert, sobald Microsoft sie für bereit hält. Auf einem Gerät, das Microsoft als geeignet für das Update erachtet, können die Komponenten-Updates innerhalb weniger Tage nach der Veröffentlichung bereitstehen. Auf anderen Geräten können die Komponenten-Updates erst Monate später erscheinen oder aufgrund von Kompatibilitätsproblemen sogar möglicherweise blockiert werden. Es ist möglich, eine Verzögerung für einige oder alle PCs im Unternehmen einzurichten, um Zeit für die Überprüfung der neuen Version zu gewinnen. Ab Version 1903 werden PC-Benutzer Benachrichtigungen über Komponenten-Updates erhalten, jedoch werden die Befehle zum Herunterladen und Installieren nur von den Nutzern selbst gegeben.
- Wann PC-Restarts zur Beendigung der Installation von Updates zulassen: Die meisten Updates erfordern einen Neustart, um die Installation abzuschließen. Dieser Neustart erfolgt außerhalb des Zeitraums „aktive Zeit“ von 8 bis 17 Uhr; diese Einstellung kann nach Wunsch geändert werden, indem die Dauer des Zeitraums bis 18 Uhr verlängert wird. Verwaltungswerkzeuge ermöglichen es, eine bestimmte Zeit für das Herunterladen und Installieren von Updates festzulegen.
- Wie Benutzer über verfügbare Updates und Neustarts informiert werden: Um unangenehme Überraschungen zu vermeiden, informiert Windows 10 die Benutzer über verfügbare Updates. Die Verwaltung dieser Benachrichtigungen in den Einstellungen von Windows 10 ist eingeschränkt. Viele weitere Einstellungen sind in den „Gruppenrichtlinien“ verfügbar.
- Manchmal veröffentlicht Microsoft sicherheitsrelevante, kritische Updates außerhalb des regulären „Patch-Dienstag“-Zyklus. Dies ist in der Regel erforderlich, um Sicherheitslücken zu schließen, die von Dritten ausgenutzt werden könnten. Soll die Anwendung solcher Updates beschleunigt oder auf das nächste geplante Update gewartet werden?
- Was tun bei fehlgeschlagenen Updates: Wenn das Update nicht richtig installiert werden konnte oder Probleme verursacht, was werden Sie in diesem Fall tun?
Nachdem Sie diese Elemente identifiziert haben, ist es an der Zeit, die Werkzeuge zur Verwaltung der Updates auszuwählen.
Manuelle Verwaltung von Updates
In sehr kleinen Unternehmen, einschließlich Geschäften mit nur einem Mitarbeiter, ist es relativ einfach, die Windows-Updates manuell einzurichten. Gehe zu Einstellungen > Update und Sicherheit > Windows Update. Dort können Sie zwei Gruppen von Einstellungen anpassen.
Wählen Sie zuerst „Ändern der aktiven Zeit“ und passen Sie die Einstellungen an, um Ihren Arbeitsgewohnheiten zu entsprechen. Wenn Sie normalerweise abends arbeiten, können Sie Ausfallzeiten vermeiden, indem Sie diese Werte von 18 bis Mitternacht einstellen, sodass die geplanten Neustarts morgens stattfinden.
Wählen Sie dann „Erweiterte Optionen“ und die Einstellung „Wählen Sie, wann Updates installiert werden“, und legen Sie sie gemäß Ihren Regeln fest:
- Wählen Sie, wie viele Tage die Installation von Komponenten-Updates verzögert werden soll. Der Höchstwert beträgt 365.
- Wählen Sie, wie viele Tage die Installation von Qualitätsupdates, einschließlich kumulativer Sicherheitsupdates, die am "Patchdienstag" veröffentlicht werden, verzögert werden soll. Der Höchstwert beträgt 30 Tage.
Weitere Einstellungen auf dieser Seite steuern die Anzeige von Neustartbenachrichtigungen (standardmäßig aktiviert) und die Erlaubnis zum Herunterladen von Updates über datentarifierte Verbindungen (standardmäßig deaktiviert).
Bis zur Version Windows 10 1903 gab es eine weitere Einstellung zur Auswahl des Kanals – halbjährlich oder zielgerichtet halbjährlich. Diese wurde in Version 1903 entfernt, und in älteren Versionen funktioniert sie einfach nicht.
Natürlich besteht der Sinn der Verzögerung von Updates nicht darin, diesen Prozess einfach zu umgehen und die Benutzer später zu überraschen. Wenn Sie beispielsweise eine Verzögerung bei der Installation von Qualitätsupdates um 15 Tage festlegen, sollten Sie diese Zeit nutzen, um die Updates auf Kompatibilität zu überprüfen und einen Wartungszeitraum zu planen, der angenehm ist, bevor dieser Zeitraum endet.
Verwaltung von Updates über Gruppenrichtlinien
Alle genannten manuellen Einstellungen können auch über Gruppenrichtlinien angewendet werden, und in der vollständigen Liste der Richtlinien zu Windows 10-Updates gibt es deutlich mehr Einstellungen als in den regulären manuellen Einstellungen verfügbar sind.
Sie können auf einzelne PCs über den lokalen Gruppenrichtlinien-Editor Gpedit.msc oder durch Skripte angewendet werden. Am häufigsten werden sie jedoch in einer Windows-Domäne mit Active Directory verwendet, wo Kombinationen von Richtlinien für Gruppen von PCs verwaltet werden können.
Eine beträchtliche Anzahl von Richtlinien wird ausschließlich in Windows 10 verwendet. Die wichtigsten davon stehen im Zusammenhang mit den 'Windows-Updates für Unternehmen', die sich in der Computer-Konfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update > Windows Update für Unternehmen befinden.
- Wählen Sie aus, wann Sie Vorabversionen erhalten möchten – Kanal und Verzögerungen für Komponentenupdates.
- Wählen Sie aus, wann Sie Qualitätsupdates erhalten möchten – Verzögerungen für monatliche kumulative Updates und andere sicherheitsrelevante Updates.
- Verwalten Sie Vorabversionen: Wann ein Benutzer seinen Rechner mit dem Windows Insider-Programm verbinden kann und welches Insider-Ring definiert wird.
Eine zusätzliche Gruppe von Richtlinien befindet sich in der Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update, wo Sie Folgendes tun können:
- Den Zugriff auf die Funktion zum Pausieren von Updates entfernen, was es den Benutzern nicht ermöglicht, die Installation durch Verzögerung um 35 Tage zu stören.
- Den Zugriff auf alle Update-Einstellungen entfernen.
- Automatisches Herunterladen von Updates bei datenintensiven Verbindungen zulassen.
- Zusammen mit den Treiberupdates nicht herunterladen.
Die folgenden Einstellungen gelten nur für Windows 10 und beziehen sich auf Neustarts und Benachrichtigungen:
- Die automatische Neustartfunktion für Updates während der Aktivitätszeitsperre deaktivieren.
- Ein Aktivitätszeitfenster für den automatischen Neustart festlegen.
- Eine Frist für den automatischen Neustart zur Installation von Updates festlegen (von 2 bis 14 Tagen).
- Benachrichtigungen zur Erinnerung an den automatischen Neustart konfigurieren: die Zeit erhöhen, in der der Benutzer davor gewarnt wird (von 15 bis 240 Minuten).
- Benachrichtigungen über das automatische Neustarten zur Installation von Updates deaktivieren.
- Die Benachrichtigung über das automatische Neustarten so konfigurieren, dass sie nicht automatisch nach 25 Sekunden verschwindet.
- Verhindern, dass Richtlinien zur Verzögerung des Erhaltens von Updates das Scannen im Windows Update Center initiieren: Diese Richtlinie verbietet es dem PC, nach Updates zu suchen, wenn eine Verzögerung festgelegt ist.
- Benutzern erlauben, die Zeit für den Neustart zu verwalten und Benachrichtigungen zu verschieben.
- Benachrichtigungen über Updates konfigurieren (Erscheinung der Benachrichtigungen, von 4 bis 24 Stunden) und Warnungen über bevorstehende Neustarts (von 15 bis 60 Minuten).
- Die Energieeinstellungen für den Neustart des Systems aktualisieren (Einstellung für Bildungssysteme, die auch bei Batterieeinbetrieb aktualisieren können).
- Einstellungen für Benachrichtigungen über Updates anzeigen: ermöglicht es, Benachrichtigungen über Updates zu verbieten.
Die folgenden Richtlinien sind sowohl in Windows 10 als auch in einigen älteren Versionen von Windows vorhanden:
- Einrichten automatischer Updates: Diese Gruppe von Einstellungen ermöglicht es, einen wöchentlichen, zweiwöchentlichen oder monatlichen Update-Zeitplan auszuwählen, einschließlich des Wochentags und der Uhrzeit für das automatische Herunterladen und Installieren von Updates.
- Standort des Microsoft Update-Dienstes im Intranet angeben: Einen Windows Server Update Services (WSUS)-Server in der Domäne konfigurieren.
- Ermöglichen, dass der Client sich der Zielgruppe anschließt: Administratoren können Active Directory-Sicherheitsgruppen verwenden, um die WSUS-Bereitstellungskreise zu bestimmen.
- Keine Verbindung zu Windows Update-Standorten im Internet herstellen: Für PCs, die mit lokalen Updates arbeiten, den Zugriff auf externe Update-Server verbieten. dem Server durch Ermöglichen, dass das Windows Update Center das System aus dem Schlafmodus aufweckt, um geplante Updates zu installieren.
- Das System immer automatisch zur geplanten Zeit neu starten.
- Keine automatischen Neustarts durchführen, wenn Benutzer im System arbeiten.
- Tools für die Arbeit in großen Organisationen (Enterprise)
Große Organisationen mit einer Windows-Netzwerkinfrastruktur können umgehen
Große Organisationen mit einer Windows-Netzinfrastruktur können umgehen Server Microsoft-Updates bereitstellen und von einem lokalen Server aus installieren. Dies erfordert erhöhte Aufmerksamkeit seitens der Unternehmens-IT-Abteilung, bietet jedoch mehr Flexibilität. Die beiden beliebtesten Optionen sind Windows Server Update Services (WSUS) und System Center Configuration Manager (SCCM).
Der WSUS-Server ist einfacher aufgebaut. Er fungiert als Windows Server und ermöglicht die zentrale Speicherung von Windows-Updates innerhalb der Organisation. Über Gruppenrichtlinien leitet der Administrator Windows 10-PCs an den WSUS-Server, der als einzige Quelle für Dateien in der gesamten Organisation dient. Über die Administrator-Konsole können Updates genehmigt und festgelegt werden, wann sie auf einzelne PCs oder Gruppen von PCs installiert werden. PCs können manuell verschiedenen Gruppen zugewiesen werden, oder es kann eine zielgerichtete Auswahl auf der Client-Seite verwendet werden, um Updates basierend auf bestehenden Active Directory-Sicherheitsgruppen bereitzustellen.
Da kumulative Windows 10-Updates mit jedem neuen Release immer umfangreicher werden, können sie einen erheblichen Teil der Bandbreite in Anspruch nehmen. WSUS-Server sparen Traffic, indem sie Express-Installationsdateien verwenden – dies erfordert mehr Speicherplatz auf dem Server, reduziert jedoch erheblich die Größe der auf die Client-PCs gesendeten Update-Dateien.
Auf den WSUS-Servern der Versionen 4.0 und höher können auch die Updates der Windows 10-Komponenten verwaltet werden.
Die zweite Möglichkeit, der System Center Configuration Manager, nutzt den leistungsstarken Configuration Manager for Windows in Verbindung mit WSUS, um Qualitätsupdates und Komponentenupdates bereitzustellen. Das Dashboard ermöglicht es Netzwerkadministratoren, die Nutzung von Windows 10 im gesamten Netzwerk zu überwachen und Wartungspläne auf Basis von Gruppen zu erstellen, die Informationen zu allen PCs enthalten, die sich dem Ende ihres Supportzyklus nähern.
Wenn in der Organisation bereits ein Configuration Manager für frühere Windows-Versionen eingerichtet ist, wird es relativ einfach sein, die Unterstützung für Windows 10 hinzuzufügen.
Quelle: habr.com
