Of u nu verantwoordelijk bent voor één Windows 10-pc of duizenden, de uitdagingen bij het beheren van updates zijn dezelfde. Uw doel is om beveiligingsupdates snel te installeren, slim om te gaan met componentupdates en productiviteitsverlies door onverwachte herstarts te voorkomen.
Heeft uw bedrijf een uitgebreid plan voor het omgaan met Windows 10-updates? Het is verleidelijk om deze downloads als periodieke verstoringen te beschouwen die zo snel mogelijk moeten worden opgelost. Een reactieve benadering van updates is echter een recept voor teleurstellingen en verminderde productiviteit.
In plaats daarvan kunt u een beheersstrategie opstellen voor het testen en implementeren van updates, zodat dit proces net zo routineachtig wordt als het verzenden van facturen of het maandelijks afronden van de boekhouding.
Het artikel bevat alle informatie die nodig is om te begrijpen hoe Microsoft updates naar apparaten met Windows 10 verzendt, evenals details over de tools en technieken die kunnen worden gebruikt om deze updates slim te beheren op apparaten met Windows 10 versies Pro, Enterprise of Education. (Windows 10 Home ondersteunt slechts de meest basale updatebeheermogelijkheden en is niet geschikt voor gebruik in een zakelijke omgeving).
Maar voordat u naar een van deze tools gaat, heeft u een plan nodig.
Wat staat er in uw updatebeleid?
Het doel van het updatebeleid is om het updateproces voorspelbaar te maken, procedures te bepalen om gebruikers te waarschuwen, zodat zij hun werk dienovereenkomstig kunnen plannen en onverwachte downtime kunnen vermijden. Het beleid omvat ook protocollen voor het omgaan met onverwachte problemen, waaronder terugrol van mislukte updates.
Redelijk updatebeleid reserveert elke maand een bepaalde tijd voor het werken aan updates. In een kleine organisatie kan dit doel worden bereikt met een speciaal tijdslot in het onderhoudsschema van elke pc. In grotere organisaties zullen algemene oplossingen waarschijnlijk niet werken, en zal de totale populatie pc's in updategroepen moeten worden verdeeld (door Microsoft 'ringen' genoemd), waarbij elke groep zijn eigen updatebeleid heeft.
De regels moeten verschillende soorten updates beschrijven. De meest begrijpelijke soort is de maandelijkse cumulatieve beveiligings- en stabiliteitsupdates, die elke tweede dinsdag van de maand worden uitgebracht (‘patch dinsdag’). Deze release bevat meestal de Windows Malicious Software Removal Tool, en kan ook een van de volgende soorten updates omvatten:
- Beveiligingsupdates voor .NET Framework
- Beveiligingsupdates voor Adobe Flash Player
- Ondersteuning updates (die vanaf het begin moeten worden geïnstalleerd).
De installatie van een van deze updates kan tot 30 dagen worden uitgesteld.
Afhankelijk van de fabrikant van de pc kunnen ook stuurprogramma's en firmware via het Windows Update-kanaal worden verspreid. U kunt ervoor kiezen dit te weigeren of ze op dezelfde manier te beheren als andere updates.
Ten slotte worden ook componentupdates [feature updates] via Windows Update verspreid. Deze grote pakketten werken Windows 10 bij naar de nieuwste versie en worden elke zes maanden uitgebracht voor alle edities van Windows 10, behalve voor het Long Term Servicing Channel (LTSC). Het uitstellen van de installatie van componentupdates is mogelijk met Windows Update for Business tot 365 dagen; voor de edities Enterprise en Education is het mogelijk om de installatie tot 30 maanden uit te stellen.
Gezien dit alles, kan men beginnen met het opstellen van update-regels, die de volgende elementen voor elke onderhouden pc moeten omvatten:
- Termijn voor de installatie van maandelijkse updates. Standaard worden maandelijkse updates in Windows 10 binnen 24 uur na de release op de ‘patch dinsdag’ gedownload en geïnstalleerd. U kunt het downloaden van deze updates voor sommige of alle pc's in uw bedrijf uitstellen, zodat u de tijd heeft om ze op compatibiliteit te controleren; deze vertraging helpt ook om problemen te vermijden in het geval Microsoft een probleem met de update ontdekt na de release, zoals al vele malen is voorgekomen met Windows 10.
- De tijd voor het installeren van halfjaarlijkse componentupdates. Bij de standaardinstellingen worden componentupdates gedownload en geïnstalleerd wanneer Microsoft denkt dat ze gereed zijn. Op een apparaat dat Microsoft geschikt acht voor de update, kunnen de componentupdates enkele dagen na release verschijnen. Op andere apparaten kunnen de componentupdates enkele maanden later verschijnen, of ze kunnen geheel geblokkeerd worden vanwege compatibiliteitsproblemen. Het is mogelijk om een vertraging in te stellen voor sommige of alle pc's in de organisatie, zodat er tijd is om de nieuwe release te controleren. Sinds versie 1903 hebben pc-gebruikers de mogelijkheid om componentupdates te krijgen, maar de opdrachten voor het downloaden en installeren zullen alleen door de gebruikers zelf worden gegeven.
- Wanneer is het toegestaan dat pc's opnieuw opstarten om updates te voltooien: de meeste updates vereisen een herstart om te kunnen worden voltooid. Deze herstart vindt plaats buiten de ‘actieve periode’ van 8 tot 17 uur; deze instelling kan naar wens worden gewijzigd, waarbij de duur van het interval kan worden verlengd tot 18 uur. Beheertools stellen in staat om een specifieke tijd in te stellen voor het downloaden en installeren van updates.
- Hoe gebruikers te informeren over beschikbare updates en herstarts: om onaangename verrassingen te voorkomen, informeert Windows 10 gebruikers over beschikbare updates. Het beheer van deze meldingen in de instellingen van Windows 10 is beperkt. Veel meer instellingen zijn beschikbaar in de 'groepbeleidsinstellingen'.
- Soms brengt Microsoft kritiek belangrijke beveiligingsupdates uit buiten het reguliere schema van 'patch-dinsdagen'. Dit is meestal nodig om kwetsbaarheden te verhelpen die door derden worden misbruikt. Moet je de toepassing van dergelijke updates versnellen of wachten op het volgende venster in het schema?
- Wat te doen met mislukte updates: wat doe je als een update niet correct kan worden geïnstalleerd of problemen veroorzaakt?
Nadat deze elementen zijn vastgesteld, is het tijd om de tools voor het omgaan met updates te kiezen.
Handmatige updatebeheer
Bij heel kleine bedrijven, inclusief winkels met één werknemer, is het vrij eenvoudig om handmatig Windows-updates in te stellen. Ga naar Instellingen > Bijwerken en beveiliging > Windows Update. Daar kun je twee groepen instellingen aanpassen.
Selecteer eerst 'Activiteitsperiode wijzigen' en pas de instellingen aan zodat ze overeenkomen met jouw werkgewoonten. Als je meestal 's avonds werkt, kun je stilstand vermijden door deze waarden van 18:00 tot middernacht in te stellen, waardoor geplande herstarts 's ochtends plaatsvinden.
Selecteer vervolgens 'Geavanceerde opties' en de instelling 'Kies wanneer updates worden geïnstalleerd' en schrijf deze in overeenstemming met jouw regels:
- Kies hoeveel dagen je de installatie van componentupdates wilt uitstellen. De maximale waarde is 365.
- Kies hoeveel dagen je de installatie van kwaliteitsupdates wilt uitstellen, inclusief de cumulatieve beveiligingsupdates die op 'Patch Tuesdays' uitkomen. De maximale waarde is 30 dagen.
Andere instellingen op deze pagina beheren de weergave van herstartmeldingen (standaard ingeschakeld) en de toestemming om updates te downloaden via verbindingen met datalimieten (standaard uitgeschakeld).
Tot versie Windows 10 1903 was er ook een instelling voor het kiezen van het kanaal - semi-jaarlijks of gericht semi-jaarlijks. Deze is verwijderd in versie 1903, en in oudere versies werkt deze gewoon niet.
Natuurlijk is de bedoeling van het uitstellen van updates niet om dit proces simpelweg te vermijden en gebruikers later te verrassen. Als je bijvoorbeeld de installatie van kwaliteitsupdates 15 dagen uitstelt, moet je deze tijd gebruiken om updates op compatibiliteit te controleren en een onderhoudsvenster in te plannen op een geschikt moment voordat deze periode eindigt.
Updates beheren via Groepsbeleid
Alle eerder genoemde handmatige instellingen kunnen ook via groepsbeleid worden toegepast, en in de volledige lijst van beleid die verband houdt met Windows 10-updates zijn er veel meer instellingen dan die beschikbaar zijn in de reguliere handmatige instellingen.
Ze kunnen worden toegepast op individuele pc's via de lokale groepsbeleidseditor Gpedit.msc of via scripts. Maar in de meeste gevallen worden ze gebruikt in een Windows-domein met Active Directory, waar combinaties van beleid op groepen pc's kunnen worden beheerd.
Een aanzienlijk aantal beleidsregels wordt uitsluitend in Windows 10 gebruikt. De belangrijkste daarvan zijn gerelateerd aan 'Windows Updates voor bedrijven', te vinden in Computerconfiguratie > Beheersjablonen > Windows-componenten > Windows Update > Windows Update voor bedrijven.
- Kies wanneer u preview-builds wilt ontvangen - kanaal en vertragingen voor componentupdates.
- Kies wanneer u kwaliteitsupdates wilt ontvangen - vertragingen voor maandelijkse cumulatieve updates en andere beveiligingsupdates.
- Beheer preview-builds: wanneer de gebruiker de machine kan aansluiten op het Windows Insider-programma en bepaal het Insider-ring.
Een extra groep beleidsregels bevindt zich in Computerconfiguratie > Beheersjablonen > Windows-componenten > Windows Update, waar u kunt:
- Toegang tot de functie voor het pauzeren van updates verwijderen, zodat gebruikers de installatie niet kunnen verstoren door deze 35 dagen uit te stellen.
- Toegang tot alle update-instellingen verwijderen.
- Automatisch downloaden van updates toestaan op verbindingen met datalimieten.
- Samen met updates geen stuurprogramma-updates downloaden.
De volgende instellingen zijn alleen beschikbaar in Windows 10 en hebben betrekking op herstarten en meldingen:
- Automatische herstart voor updates uitschakelen tijdens de actieve periode.
- Een bereik voor de actieve periode opgeven voor automatische herstart.
- Een deadline voor automatische herstart opgeven voor het installeren van updates (van 2 tot 14 dagen).
- Meldingen voor automatische herstart instellen zodat de tijd dat de gebruiker wordt gewaarschuwd, kan worden verhoogd (van 15 tot 240 minuten).
- Meldingen voor automatische herstart voor het installeren van updates uitschakelen.
- De melding voor automatische herstart zo instellen dat deze niet automatisch na 25 seconden verdwijnt.
- Beleid om vertragingen in het verkrijgen van updates niet toe te staan, start geen scan in het Windows Update Center: dit beleid voorkomt dat pc's naar updates controleren als er een vertraging is ingesteld.
- Gebruikers toestaan om de herstarttijd te beheren en meldingen uit te stellen.
- Meldingen voor updates instellen (het verschijnen van meldingen, van 4 tot 24 uur), en waarschuwingen voor aanstaande herstart (van 15 tot 60 minuten).
- Beleid voor energiebeheer bij herstarten van de prullenbak (instelling voor onderwijssystemen die updates mogelijk maken, zelfs bij batter VOEDING).
- Instellingen voor update-meldingen weergeven: maakt het mogelijk om update-meldingen te verbieden.
De volgende beleidsregels zijn beschikbaar in zowel Windows 10 als enkele oudere versies van Windows:
- Instelling voor automatische updates: deze groep instellingen maakt het mogelijk om een wekelijkse, tweewekelijkse of maandelijkse updateplanning te selecteren, inclusief de dag van de week en tijd voor automatische download en installatie van updates.
- Locatie van de Microsoft-update service op het intranet opgeven: configureer de Windows Server Update Services (WSUS) server in het domein.
- De cliënt toestaan om zich bij de doelgroep aan te sluiten: beheerders kunnen Active Directory-beveiligingsgroepen gebruiken om WSUS-implementatiering te definiëren.
- Niet verbinding maken met locaties van het Windows Update Center via internet: verbied pc's die werken met lokale server updates om verbinding te maken met externe update-servers.
- De Windows Update-voeding beheren om het systeem uit de slaapstand te halen voor het installeren van geplande updates.
- Altijd het systeem automatisch opnieuw opstarten op de geplande tijd.
- Geen automatische herstart uitvoeren als er gebruikers in het systeem werken.
Tools voor werkzaamheid in grote organisaties (Enterprise)
Grote organisaties met een Windows-netwerkinfrastructuur kunnen zich omheen de server Microsoft-updates heen werken en updates vanaf een lokale server implementeren. Dit vereist verhoogde aandacht van de IT-afdeling van het bedrijf, maar biedt het bedrijf meer flexibiliteit. De twee populairste opties zijn Windows Server Update Services (WSUS) en System Center Configuration Manager (SCCM).
De WSUS-server is eenvoudiger opgezet. Hij fungeert als Windows Server en zorgt voor een centrale opslag van Windows-updates binnen de organisatie. Met behulp van groepsbeleid wijst de beheerder Windows 10-pc's aan de WSUS-server toe, die de enige bron van bestanden voor de hele organisatie is. Vanuit de beheerdersconsole kunnen updates worden goedgekeurd en kan worden gekozen wanneer deze op afzonderlijke pc's of groepen pc's moeten worden geïnstalleerd. Pc's kunnen handmatig aan verschillende groepen worden gekoppeld, of de client-zijde doelselectie kan worden gebruikt voor het implementeren van updates op basis van bestaande Active Directory-beveiligingsgroepen.
Naarmate cumulatieve updates voor Windows 10 met elke nieuwe release groter worden, kunnen ze een aanzienlijke hoeveelheid bandbreedte verbruiken. WSUS-servers besparen verkeer door Express Installation Files te gebruiken - dit vereist meer vrije ruimte op de server, maar vermindert aanzienlijk de grootte van de updatebestanden die naar de client-pc's worden verzonden.
Op servers met WSUS-versies 4.0 en hoger kunnen ook updates voor Windows 10-componenten worden beheerd.
De tweede optie, System Center Configuration Manager, maakt gebruik van de krachtige Configuration Manager for Windows in combinatie met WSUS voor het implementeren van kwaliteitsupdates en componentupdates. Het bedieningspaneel stelt netwerkbeheerders in staat om het gebruik van Windows 10 in het hele netwerk te volgen en onderhoudsplannen op te stellen op basis van groepen, met informatie over alle pc's die bijna hun ondersteuningscyclus beëindigen.
Als er in de organisatie al een Configuration Manager is geïnstalleerd voor eerdere versies van Windows, is het vrij eenvoudig om ondersteuning voor Windows 10 toe te voegen.
Bron: habr.com
