Se você é responsável por um único PC com Windows 10 ou por milhares, os desafios na gestão de atualizações são os mesmos. Seu objetivo é instalar rapidamente as atualizações relacionadas à segurança, gerenciar de forma inteligente as atualizações de componentes e evitar a queda de produtividade devido a reinicializações inesperadas.
Sua empresa tem um plano abrangente para gerenciar as atualizações do Windows 10? Há a tentação de ver esses downloads como interrupções ocasionais que precisam ser eliminadas assim que aparecem. No entanto, uma abordagem reativa às atualizações é uma receita para decepções e queda de produtividade.
Em vez disso, você pode desenvolver uma estratégia de gerenciamento para testar e implementar atualizações, tornando esse processo tão rotineiro quanto enviar faturas ou realizar fechamento contábil mensal.
O artigo contém todas as informações necessárias para entender como a Microsoft envia atualizações para dispositivos com Windows 10, além de detalhes sobre ferramentas e técnicas que podem ser usadas para gerenciar essas atualizações de maneira inteligente em dispositivos com Windows 10 nas versões Pro, Enterprise ou Education. (O Windows 10 Home oferece apenas as capacidades mais básicas de gerenciamento de atualizações e não é adequado para ambientes empresariais).
Mas antes de mergulhar em qualquer uma dessas ferramentas, você precisará de um plano.
O que está escrito nas suas diretrizes de atualização?
O objetivo das diretrizes de atualização é tornar o processo de atualização previsível, definir procedimentos para notificar os usuários, permitindo que planejem seu trabalho de forma adequada e evitem paradas inesperadas. As diretrizes também incluem protocolos para lidar com problemas inesperados, incluindo a reversão de atualizações que falharam.
Diretrizes sensatas de atualização reservam um tempo específico para lidar com atualizações mensalmente. Em uma pequena organização, isso pode ser feito através de uma janela específica na programação de manutenção de cada PC. Em organizações maiores, soluções universais provavelmente não funcionarão, e será necessário dividir toda a população de PCs em grupos de atualização (os quais a Microsoft chama de "anéis"), cada um com sua própria estratégia de atualizações.
As regras devem descrever vários tipos diferentes de atualizações. O tipo mais claro são as atualizações cumulativas de segurança e confiabilidade mensais, que são liberadas na segunda terça-feira de cada mês ("terça-feira de patches"). Esta versão geralmente inclui a Ferramenta de Remoção de Software Malicioso do Windows e pode incluir quaisquer dos seguintes tipos de atualizações:
- Atualizações de segurança para .NET Framework
- Atualizações de segurança para Adobe Flash Player
- Atualizações do stack de manutenção (que devem ser instaladas a partir do início).
A instalação de qualquer uma dessas atualizações pode ser adiada por até 30 dias.
Dependendo do fabricante do PC, os drivers de hardware e o firmware também podem ser distribuídos através do canal Windows Update. É possível optar por recusar isso ou gerenciá-los da mesma forma que as outras atualizações.
Por fim, as atualizações de componentes [feature updates] também são distribuídas através do Windows Update. Esses grandes pacotes atualizam o Windows 10 para a versão mais recente e são lançados a cada seis meses para todas as edições do Windows 10, exceto para o canal de manutenção de longo prazo Long Term Servicing Channel (LTSC). A instalação das atualizações de componentes pode ser adiada com o Windows Update for Business por até 365 dias; para as edições Enterprise e Education, é possível um adiamento adicional da instalação por até 30 meses.
Levando tudo isso em conta, você pode começar a elaborar regras de atualização, que devem incluir os seguintes elementos para cada um dos PCs gerenciados:
- O prazo para instalação de atualizações mensais. Por padrão, no Windows 10, as atualizações mensais são baixadas e instaladas dentro de 24 horas após seu lançamento na "terça-feira de patches". Você pode adiar o download dessas atualizações para alguns ou todos os PCs da empresa, para que tenha tempo de verificar a compatibilidade delas; esse atraso também permite evitar problemas caso a Microsoft identifique um problema com a atualização após o seu lançamento, como já ocorreu várias vezes com o Windows 10.
- O prazo de instalação das atualizações de componentes semestrais. Com as configurações padrão, as atualizações são baixadas e instaladas quando a Microsoft considera que estão prontas. Em dispositivos que a Microsoft julgar apropriados para atualização, as atualizações podem aparecer dias após o lançamento. Em outros dispositivos, as atualizações podem levar meses para aparecer ou podem ser bloqueadas devido a problemas de compatibilidade. Pode ser definida uma pausa para alguns ou todos os PCs da organização, a fim de ter tempo para verificar a nova versão. A partir da versão 1903, os usuários de PC serão oferecidos com atualizações de componentes, mas os comandos para baixá-las e instalá-las só poderão ser dados pelos próprios usuários.
- Quando permitir que os PCs reiniciem para concluir a instalação das atualizações: a maioria das atualizações requer um reinício para concluir a instalação. Este reinício ocorre fora do intervalo de "período ativo" das 8h às 17h; esta configuração pode ser alterada, estendendo o intervalo de tempo até às 18h. As ferramentas de gerenciamento permitem agendar um horário específico para download e instalação das atualizações.
- Como notificar os usuários sobre a disponibilidade de atualizações e reinícios: para evitar surpresas desagradáveis, o Windows 10 notifica os usuários sobre a disponibilidade de atualizações. O gerenciamento dessas notificações nas configurações do Windows 10 é limitado. Muito mais configurações estão disponíveis nas "políticas de grupo".
- Às vezes, a Microsoft lança atualizações de segurança críticas fora do cronograma habitual de "terças de patches". Normalmente, isso é necessário para corrigir vulnerabilidades de segurança que estão sendo exploradas por terceiros. Devo acelerar a aplicação dessas atualizações ou esperar a próxima janela do cronograma?
- O que fazer com atualizações que falharam: se uma atualização não for instalada corretamente ou causar problemas, o que você fará nesse caso?
Definindo esses elementos, é hora de escolher as ferramentas para gerenciar as atualizações.
Gerenciamento manual de atualizações
Em pequenas empresas, incluindo lojas com um único empregado, é bastante fácil realizar a configuração manual das atualizações do Windows. Acesse Configurações > Atualização e Segurança > Windows Update. Lá, você pode ajustar duas grupos de configurações.
Primeiro, selecione 'Alterar o período de atividade' e ajuste as configurações para que correspondam aos seus hábitos de trabalho. Se você geralmente trabalha à noite, pode evitar inatividade configurando esses valores das 18h à meia-noite, fazendo com que os reinícios programados ocorram pela manhã.
Em seguida, selecione 'Opções avançadas' e ajuste a configuração 'Escolha quando instalar atualizações', definindo-a de acordo com suas regras:
- Escolha por quantos dias adiar a instalação de atualizações de componentes. O valor máximo é de 365 dias.
- Escolha por quantos dias adiar a instalação de atualizações de qualidade, incluindo atualizações cumulativas de segurança que são lançadas nas 'terças-feiras de patches'. O valor máximo é de 30 dias.
Outras configurações nesta página controlam a exibição de notificações sobre reinícios (ativado por padrão) e a permissão para baixar atualizações em conexões com atenção ao tráfego (desativado por padrão).
Até a versão do Windows 10 1903, havia também uma configuração para escolher o canal — semestral ou semestral direcionado. Essa opção foi removida na versão 1903 e nas versões mais antigas ela simplesmente não funcionava.
Claro, o objetivo de adiar as atualizações não é apenas evitar esse processo para surpreender os usuários mais tarde. Se você, por exemplo, define um atraso de instalação de atualizações de qualidade para 15 dias, precisa usar esse tempo para verificar a compatibilidade das atualizações e agendar uma janela de manutenção em um momento conveniente antes que esse período termine.
Gerenciamento de atualizações através de Políticas de Grupo
Todas as configurações manuais mencionadas podem ser aplicadas também através de políticas de grupo, e na lista completa de políticas relacionadas ao Windows 10, há muito mais configurações disponíveis do que aquelas acessíveis nas configurações manuais padrão.
Eles podem ser aplicados a PCs individuais usando o editor de políticas de grupo local Gpedit.msc, ou por meio de scripts. No entanto, são mais frequentemente utilizados em um domínio Windows com Active Directory, onde é possível gerenciar combinações de políticas em grupos de PCs.
Uma quantidade significativa de políticas é usada exclusivamente no Windows 10. As mais importantes estão relacionadas às ‘Atualizações do Windows para Empresas’, localizadas em Configuração do Computador > Modelos Administrativos > Componentes do Windows > Central de Atualização do Windows > Central de Atualização do Windows para Empresas.
- Escolha quando receber prévias de versões – canal e atrasos para atualizações de componentes.
- Escolha quando receber atualizações de qualidade – atrasos nas atualizações cumulativas mensais e outras atualizações relacionadas à segurança.
- Gerencie as prévias de versões: quando o usuário pode conectar a máquina ao programa Windows Insider e defina o anel dos insiders.
Um grupo adicional de políticas está em Configuração do Computador > Modelos Administrativos > Componentes do Windows > Central de Atualização do Windows, onde você pode:
- Remover o acesso à função de suspensão de atualizações, o que impedirá os usuários de interferir na instalação, adiando-a por 35 dias.
- Remover o acesso a todas as configurações de atualizações.
- Permitir o download automático de atualizações em conexões com consideração ao tráfego.
- Não baixar junto com as atualizações os drivers.
As seguintes configurações existem apenas no Windows 10 e referem-se a reinicializações e notificações:
- Desativar a reinicialização automática para atualizações durante o período de atividade.
- Definir um intervalo de período de atividade para a reinicialização automática.
- Definir um prazo para a reinicialização automática com o objetivo de instalar atualizações (de 2 a 14 dias).
- Configurar notificações com lembrete sobre a reinicialização automática: aumentar o tempo em que o usuário é avisado sobre isso (de 15 a 240 minutos).
- Desativar notificações sobre a reinicialização automática com o objetivo de instalar atualizações.
- Configurar a notificação sobre reinicialização automática para que não desapareça automaticamente após 25 segundos.
- Não permitir que as políticas de atraso na obtenção de atualizações iniciem a verificação no Centro de Atualização do Windows: essa política proíbe o PC de verificar atualizações quando uma demora é designada.
- Permitir que os usuários gerenciem o tempo de reinício e postergue as notificações.
- Configurar notificações de atualizações (aparecimento de notificações, de 4 a 24 horas), e avisos sobre reinícios iminentes (de 15 a 60 minutos).
- Atualizar a política de gerenciamento de energia para reiniciar os dispositivos (configuração para sistemas educacionais, permitindo atualizações mesmo quando alimentados por bateria).
- Exibir configurações de notificações sobre atualizações: permite desativar as notificações sobre atualizações.
As seguintes políticas estão presentes tanto no Windows 10 quanto em algumas versões anteriores do Windows:
- Configuração de atualização automática: este grupo de configurações permite selecionar um cronograma de atualizações semanal, quinzenal ou mensal, incluindo dia da semana e hora para o download e a instalação automática de atualizações.
- Especificar o local do serviço de atualizações da Microsoft na intranet: configurar o servidor Windows Server Update Services (WSUS) no domínio.
- Permitir que o cliente se junte ao grupo-alvo: os administradores podem usar grupos de segurança do Active Directory para definir os anéis de implantação do WSUS.
- Não se conectar a locais do Centro de Atualização do Windows na internet: proibir PCs que operam com atualizações locais de se conectarem a servidores externos de atualizações. servidor Permitir que o gerenciamento de energia do Centro de Atualização do Windows desperte o sistema do modo de espera para instalar atualizações agendadas.
- Sempre reiniciar automaticamente o sistema no horário agendado.
- Não realizar reinício automático se houver usuários trabalhando no sistema.
- Ferramentas para empresas grandes (Enterprise)
Grandes organizações com infraestrutura de rede Windows podem contornar
as atualizações da Microsoft e implantar atualizações a partir de um servidor local. Isso requer maior atenção da equipe de TI corporativa, mas oferece mais flexibilidade à empresa. As duas opções mais populares são o Windows Server Update Services (WSUS) e o System Center Configuration Manager (SCCM). servidor As duas opções mais populares são o Windows Server Update Services (WSUS) e o System Center Configuration Manager (SCCM).
O servidor WSUS é mais simples. Ele funciona como um Windows Server e fornece armazenamento centralizado de atualizações do Windows na organização. Usando políticas de grupo, o administrador direciona PCs com Windows 10 para o servidor WSUS, que serve como a única fonte de arquivos para toda a organização. A partir de seu console, o administrador pode aprovar atualizações, escolher quando aplicá-las em PCs individuais ou grupos de PCs. Os PCs podem ser atribuídos manualmente a diferentes grupos ou pode-se usar a seleção de alvos do lado do cliente para implantar atualizações com base nos grupos de segurança existentes do Active Directory.
À medida que as atualizações cumulativas do Windows 10 se tornam cada vez maiores a cada nova versão, elas podem ocupar uma parte significativa da largura de banda das conexões. Os servidores WSUS economizam tráfego usando arquivos de instalação expressa – isso requer mais espaço livre no servidor, mas reduz significativamente o tamanho dos arquivos de atualização enviados para os PCs clientes.
Nos servidores das versões WSUS 4.0 e posteriores, é possível também gerenciar atualizações de componentes do Windows 10.
A segunda opção, o System Center Configuration Manager utiliza o poderoso Configuration Manager for Windows junto com o WSUS para a implantação de atualizações de qualidade e atualizações de componentes. O painel de controle permite que os administradores de rede rastreiem o uso do Windows 10 em toda a rede e criem planos de manutenção baseados em grupos, incluindo informações sobre todos os PCs que estão se aproximando do final de seu ciclo de suporte.
Se a organização já possui o Configuration Manager para trabalhar com versões anteriores do Windows, adicionar suporte ao Windows 10 será relativamente simples.
Fonte: habr.com
