Zarówno jeśli odpowiadasz za jeden komputer z Windows 10, jak i za tysiące, trudności z zarządzaniem aktualizacjami są takie same. Twoim celem jest szybkie instalowanie aktualizacji związanych z bezpieczeństwem, mądre zarządzanie aktualizacjami komponentów oraz zapobieganie spadkom wydajności z powodu niespodziewanych restartów.
Czy Twoja firma ma kompleksowy plan zarządzania aktualizacjami Windows 10? Istnieje pokusa, by traktować te pobrania jako okresowe zakłócenia, które należy natychmiast usunąć, gdy się pojawią. Jednak reaktywny sposób podejścia do aktualizacji to przepis na rozczarowanie i spadek wydajności.
Zamiast tego możesz stworzyć strategię zarządzania do testowania i wdrażania aktualizacji, aby ten proces stał się tak samo rutynowy jak wysyłanie faktur czy comiesięczne podsumowanie księgowe.
W artykule znajduje się wszelka niezbędna informacja do zrozumienia, jak Microsoft wysyła aktualizacje do urządzeń działających pod kontrolą Windows 10, a także szczegóły dotyczące narzędzi i technik, które można użyć do efektywnego zarządzania tymi aktualizacjami na urządzeniach z Windows 10 w wersjach Pro, Enterprise lub Education. (Windows 10 Home obsługuje tylko podstawowe możliwości zarządzania aktualizacjami i nie nadaje się do użytku w środowisku biznesowym).
Jednak zanim przejdziesz do któregokolwiek z tych narzędzi, będziesz potrzebował planu.
Co jest zapisane w Twoich zasadach aktualizacji?
Sens zasad aktualizacji polega na tym, aby uczynić proces aktualizacji przewidywalnym, określić procedury powiadamiania użytkowników, aby mogli odpowiednio planować swoją pracę i unikać niespodziewanych przestojów. Zasady obejmują również protokoły dotyczące radzenia sobie z nagłymi problemami, w tym przywracania nieudanych aktualizacji.
Mądre zasady aktualizacji przeznaczają określony czas na pracę z aktualizacjami każdego miesiąca. W małej organizacji celem może być wyznaczenie specjalnego okna w harmonogramie serwisowym dla każdego komputera. W większych organizacjach uniwersalne rozwiązania mogą już nie działać, a cały zestaw komputerów trzeba będzie podzielić na grupy aktualizacji (w Microsoft nazywane "pierścieniami"), z których każda będzie miała swoją strategię aktualizacji.
Reguły powinny opisywać kilka różnych typów aktualizacji. Najbardziej zrozumiałym rodzajem są miesięczne zbiorcze aktualizacje bezpieczeństwa i niezawodności, które wydawane są w drugi wtorek każdego miesiąca ("wtorek łatek"). W tej wersji zazwyczaj znajduje się Narzędzie do usuwania złośliwego oprogramowania Windows, a także mogą występować wszelkie z poniższych typów aktualizacji:
- Aktualizacje bezpieczeństwa dla .NET Framework
- Aktualizacje bezpieczeństwa dla Adobe Flash Player
- Aktualizacje stosu serwisowego (które należy instalować od samego początku).
Instalację dowolnej z tych aktualizacji można odroczyć do 30 dni.
W zależności od producenta PC, sterowniki sprzętowe i oprogramowanie układowe mogą również być dystrybuowane przez kanał Windows Update. Można się ich pozbyć lub zarządzać nimi według tych samych zasad, co inne aktualizacje.
Na koniec, przez Windows Update dystrybuowane są również aktualizacje komponentów [feature updates]. Te duże pakiety aktualizują Windows 10 do najnowszej wersji, a wydawane są co sześć miesięcy dla wszystkich edycji Windows 10, z wyjątkiem długoterminowego kanału serwisowego Long Term Servicing Channel (LTSC). Można odroczyć instalację aktualizacji komponentów za pomocą Windows Update for Business na maksymalnie 365 dni; dla edycji Enterprise i Education możliwe jest dalsze opóźnienie instalacji do 30 miesięcy.
Biorąc to wszystko pod uwagę, można zacząć tworzyć zasady aktualizacji, które powinny obejmować następujące elementy dla każdego obsługiwanego PC:
- Termin instalacji miesięcznych aktualizacji. Domyślnie w Windows 10 miesięczne aktualizacje są pobierane i instalowane w ciągu 24 godzin od ich wydania w "wtorek łatek". Można odroczyć pobieranie tych aktualizacji dla niektórych lub wszystkich PC w firmie, aby mieć czas na ich sprawdzenie pod kątem zgodności; to opóźnienie pozwala również uniknąć problemów w przypadku, gdy Microsoft wykryje problem z aktualizacją po jej wydaniu, co już wielokrotnie zdarzało się w Windows 10.
- Okres instalacji półrocznych aktualizacji komponentów. Przy ustawieniach domyślnych aktualizacje komponentów są pobierane i instalowane, gdy Microsoft uzna, że są gotowe. Na urządzeniu, które Microsoft uznał za odpowiednie do aktualizacji, aktualizacje komponentów mogą pojawić się kilka dni po wydaniu. Na innych urządzeniach aktualizacje komponentów mogą pojawić się dopiero po kilku miesiącach lub mogą być całkowicie zablokowane z powodu problemów z kompatybilnością. Można ustawić opóźnienie dla niektórych lub wszystkich komputerów w organizacji, aby dać czas na sprawdzenie nowego wydania. Począwszy od wersji 1903, użytkownicy komputerów będą mieli do czynienia z aktualizacjami komponentów, jednak polecenia do ich pobierania i instalacji będą wydawane tylko przez samych użytkowników.
- Kiedy pozwalać komputerom na ponowne uruchomienie w celu ukończenia instalacji aktualizacji: większość aktualizacji wymaga ponownego uruchomienia, aby zakończyć instalację. To ponowne uruchomienie odbywa się poza okresem aktywności od 8 do 17; to ustawienie można zmienić wedle uznania, wydłużając czas trwania okresu do 18 godzin. Narzędzia zarządzania pozwalają ustalić konkretne godziny na pobieranie i instalowanie aktualizacji.
- Jak informować użytkowników o dostępności aktualizacji i ponownym uruchomieniu: aby uniknąć nieprzyjemnych niespodzianek, Windows 10 informuje użytkowników o dostępnych aktualizacjach. Zarządzanie tymi powiadomieniami w ustawieniach Windows 10 jest ograniczone. Wiele więcej ustawień jest dostępnych w "zasadach grupowych".
- Czasami Microsoft wydaje krytyczne aktualizacje zabezpieczeń poza zwykłym harmonogramem "wtorków poprawek". Zwykle jest to konieczne w celu naprawy luk w zabezpieczeniach, które są wykorzystywane przez osoby trzecie. Przyspieszyć wdrażanie takich aktualizacji czy czekać na następne okno w harmonogramie?
- Co zrobić z nieudanymi aktualizacjami: jeśli aktualizacja nie zainstalowała się prawidłowo lub powoduje problemy, co w tym przypadku zrobisz?
Po zdefiniowaniu tych elementów nadszedł czas, aby wybrać narzędzia do zarządzania aktualizacjami.
Ręczne zarządzanie aktualizacjami
W bardzo małych przedsiębiorstwach, w tym w sklepach z jednym pracownikiem, stosunkowo łatwo można ręcznie skonfigurować aktualizacje systemu Windows. Opcje > Aktualizacja i zabezpieczenia > Windows Update. Tam można dostosować dwie grupy ustawień.
Najpierw wybierz 'Zmień okres aktywności' i dostosuj ustawienia, aby odpowiadały twoim nawykom pracy. Jeśli zazwyczaj pracujesz wieczorami, można uniknąć przestojów, ustawiając te wartości od 18 do północy, co spowoduje, że zaplanowane ponowne uruchomienia będą miały miejsce rano.
Następnie wybierz 'Dodatkowe opcje' i ustawienie 'Wybierz, kiedy instalować aktualizacje', dostosowując je do swoich zasad:
- Wybierz, na ile dni opóźnić instalację aktualizacji komponentów. Maksymalna wartość to 365.
- Wybierz, na ile dni opóźnić instalację aktualizacji jakości, w tym kumulatywnych aktualizacji zabezpieczeń, które są wydawane w 'wtorki poprawek'. Maksymalna wartość to 30 dni.
Inne ustawienia na tej stronie zarządzają wyświetlaniem powiadomień o ponownym uruchomieniu (domyślnie włączone) oraz pozwoleniem na pobieranie aktualizacji przy połączeniach z ograniczonym ruchem (domyślnie wyłączone).
Przed wersją Windows 10 1903 istniało także ustawienie wyboru kanału – półrocznego lub też celu półrocznego. Zostało ono usunięte w wersji 1903, a w starszych wersjach po prostu nie działa.
Oczywiście, sens opóźniania aktualizacji nie polega na unikaniu tego procesu, a następnie zaskoczeniu użytkowników później. Jeśli na przykład ustalasz opóźnienie instalacji aktualizacji jakości na 15 dni, powinieneś wykorzystać ten czas na sprawdzenie aktualizacji pod kątem zgodności i zaplanować w harmonogramie okno konserwacji na dogodny czas przed zakończeniem tego okresu.
Zarządzanie aktualizacjami za pomocą Zasad Grupowych
Wszystkie wspomniane ręczne ustawienia można stosować również za pomocą zasad grupowych, a w pełnej liście zasad związanych z aktualizacjami systemu Windows 10 jest znacznie więcej ustawień niż tych dostępnych w standardowych ustawieniach ręcznych.
Można je stosować do pojedynczych komputerów za pomocą edytora lokalnych zasad grupowych Gpedit.msc lub skryptów. Najczęściej jednak używa się ich w domenie Windows z Active Directory, gdzie można zarządzać kombinacjami polityk w grupach komputerów.
Znaczna liczba polityk jest używana wyłącznie w Windows 10. Najważniejsze z nich dotyczą "Aktualizacji Windows dla firm", które znajdują się w Konfiguracja komputera > Szablony administracyjne > Składniki systemu Windows > Centrum aktualizacji Windows > Centrum aktualizacji Windows dla firm.
- Wybierz, kiedy otrzymywać wersje wstępne – kanał i opóźnienia dla aktualizacji składników.
- Wybierz, kiedy otrzymywać aktualizacje jakości – opóźnienia miesięcznych zbiorczych aktualizacji oraz innych aktualizacji związanych z bezpieczeństwem.
- Zarządzaj wersjami wstępnymi: kiedy użytkownik może podłączyć urządzenie do programu Windows Insider oraz określ krąg insiderów.
Dodatkowa grupa polityk znajduje się w Konfiguracja komputera > Szablony administracyjne > Składniki systemu Windows > Centrum aktualizacji Windows, gdzie można:
- Zablokować dostęp do funkcji wstrzymywania aktualizacji, co uniemożliwi użytkownikom opóźnienie instalacji na 35 dni.
- Zablokować dostęp do wszystkich ustawień aktualizacji.
- Zezwolić na automatyczne pobieranie aktualizacji przy uwzględnieniu ruchu.
- Nie pobierać aktualizacji wraz z aktualizacjami sterowników.
Następujące ustawienia są dostępne tylko w Windows 10 i dotyczą ponownych uruchomień i powiadomień:
- Wyłączyć automatyczne ponowne uruchamianie po aktualizacjach w czasie aktywności.
- Określić zakres aktywnego czasu dla automatycznego ponownego uruchomienia.
- Określić termin dla automatycznego ponownego uruchomienia w celu instalacji aktualizacji (od 2 do 14 dni).
- Skonfigurować powiadomienia z przypomnieniem o automatycznym ponownym uruchomieniu: wydłużyć czas, w którym użytkownik jest o tym informowany (od 15 do 240 minut).
- Wyłączyć powiadomienia o automatycznym ponownym uruchomieniu w celu instalacji aktualizacji.
- Skonfigurować powiadomienie o automatycznym ponownym uruchomieniu w taki sposób, aby nie znikało automatycznie po 25 sek.
- Nie zezwalać politykom opóźnionego uzyskiwania aktualizacji na inicjowanie skanowania w Centrum aktualizacji Windows: ta polityka zabrania komputerom sprawdzania aktualizacji, jeśli przypisano opóźnienie.
- Zezwól użytkownikom na zarządzanie czasem ponownego uruchamiania i opóźnianie powiadomień.
- Skonfiguruj powiadomienia o aktualizacjach (pojawią się od 4 do 24 godzin), oraz ostrzeżenia o nadchodzącym ponownym uruchomieniu (od 15 do 60 minut).
- Aktualizacja polityki zasilania do ponownego uruchomienia kosza (ustawienie dla systemów edukacyjnych, pozwalające na aktualizacje nawet podczas zasilania z baterii).
- Wyświetlanie ustawień powiadomień o aktualizacjach: pozwala na zablokowanie powiadomień o aktualizacjach.
Następujące polityki istnieją zarówno w Windows 10, jak i w niektórych starszych wersjach Windows:
- Ustawienie automatycznej aktualizacji: ta grupa ustawień pozwala wybrać cykl aktualizacji co tydzień, co dwa tygodnie lub co miesiąc, w tym dzień tygodnia i czas na automatyczne pobieranie i instalowanie aktualizacji.
- Określenie lokalizacji usługi aktualizacji Microsoft w intranecie: skonfiguruj serwer Windows Server Update Services (WSUS) w domenie.
- Zezwól klientowi na przyłączenie się do grupy docelowej: administratorzy mogą wykorzystać grupy zabezpieczeń Active Directory do określenia pierścieni wdrażania WSUS.
- Nie łączyć się z lokalizacjami Centrum aktualizacji Windows w Internecie: zabronić komputerom, które pracują z lokalnymi serwerem aktualizacjami, kontaktowania się z zewnętrznymi serwerami aktualizacji.
- Zezwól zarządzaniu zasilaniem Centrum aktualizacji Windows na wybudzenie systemu z trybu uśpienia w celu instalacji zaplanowanych aktualizacji.
- Zawsze automatycznie ponownie uruchamiać system w zaplanowanym czasie.
- Nie przeprowadzać automatycznego ponownego uruchomienia, jeśli w systemie są aktywni użytkownicy.
Narzędzia pracy w dużych organizacjach (Enterprise)
Duże organizacje z infrastrukturą sieciową Windows mogą obejść serwera aktualizacje Microsoft i wdrażać aktualizacje z lokalnego serwera. Wymaga to większej uwagi ze strony korporacyjnego działu IT, ale zwiększa elastyczność firmy. Dwa najpopularniejsze opcje to Windows Server Update Services (WSUS) i System Center Configuration Manager (SCCM).
Serwer WSUS jest prostszy do zrozumienia. Pełni rolę serwera Windows i zapewnia centralne przechowywanie aktualizacji Windows w organizacji. Używając zasad grupowych, administrator kieruje komputery z Windows 10 do serwera WSUS, który działa jako jedyne źródło plików dla całej organizacji. Z jego konsoli administratora można zatwierdzać aktualizacje oraz wybierać, kiedy mają być instalowane na poszczególnych komputerach lub grupach komputerów. Komputery można ręcznie przypisywać do różnych grup lub można wykorzystać wybór celów po stronie klienta do wdrażania aktualizacji na podstawie istniejących grup zabezpieczeń Active Directory.
Ponieważ kumulacyjne aktualizacje Windows 10 rosną z każdym nowym wydaniem, mogą zajmować znaczną część przepustowości łącz. Serwery WSUS oszczędzają ruch, wykorzystując pliki instalacyjne Express – wymaga to więcej wolnego miejsca na serwerze, ale znacznie zmniejsza rozmiar plików aktualizacji wysyłanych do komputerów klienckich.
Na serwerach WSUS w wersji 4.0 i wyższych można również zarządzać aktualizacjami komponentów Windows 10.
Drugą opcją jest System Center Configuration Manager, który korzysta z zaawansowanego Configuration Manager for Windows razem z WSUS do wdrażania aktualizacji jakości oraz aktualizacji komponentów. Panel sterowania pozwala administratorom sieci śledzić użycie Windows 10 w całej sieci oraz tworzyć plany konserwacji oparte na grupach, zawierające informacje o wszystkich komputerach, które zbliżają się do zakończenia swojego cyklu wsparcia.
Jeśli w organizacji już zainstalowano Configuration Manager do pracy z wcześniejszymi wersjami Windows, dodanie wsparcia dla Windows 10 będzie wystarczająco proste.
Źródło: habr.com
