Смысл политики обновления состоит в том, чтобы сделать процесс обновления предсказуемым, с процедурами уведомления пользователей, чтобы они могли соответствующим образом планировать свою работу и избегать неожиданных простоев. Она также включает протоколы для решения непредвиденных проблем, включая откат неудачных обновлений.
Политика должна учитывать несколько различных типов обновлений.
Наиболее знакомыми являются ежемесячные накопительные обновления безопасности и надежности, которые становятся доступными во второй вторник каждого месяца (Patch Tuesday). Данный релиз, как правило, также включает в себя средство удаления вредоносных программ Windows и может включать любые из следующих дополнительных типов обновлений:
- Обновление безопасности для .NET Framework
- Обновление безопасности для Adobe Flash Player
- Обслуживание обновлений стека (которые должны быть установлены до других обновлений)
Установка каждого или всех этих обновлений может быть отложена на срок до 30 дней.
Обновления функций также предоставляются Центром обновления Windows. Эти большие пакеты обновляют Windows 10 до последней версии и выпускаются каждые шесть месяцев для всех выпусков Windows, кроме выпусков Долгосрочного канала обслуживания (LTSC). Вы можете отложить установку обновлений до 365 дней с помощью Центра обновления Windows для бизнеса; дополнительные выпуски до 30 месяцев доступны для выпусков Enterprise и Education.
Управление обновлениями вручную
Чтобы настроить Windows Update зайдите в Настройки> Обновление и безопасность> Центр обновления Windows. Там вы можете настроить две группы настроек.
Сначала, нажмите «Изменить часы работы» и настройте параметры в соответствии с вашими рабочими привычками. Затем нажмите «Дополнительные параметры» и настройте параметры в заголовке «Выбрать, когда установлены обновления» в соответствии с вашей политикой.
- Выберите, на сколько дней отложить установку обновлений функций. Максимальное значение составляет 365 дней.
- Выберите, на сколько дней отложить установку качественных обновлений, включая накопительные обновления безопасности, Patch Tuesday. Максимальное значение составляет 30 дней.
Другие параметры на этой странице управляют отображением уведомлений о перезапуске (по умолчанию включено) и разрешением загрузки обновления по измеренным соединениям (по умолчанию отключено).
Управление обновлениями с помощью групповой политики
Все ручные параметры, перечисленные в предыдущем разделе, также можно применять с помощью групповой политики, а полный список параметров групповой политики, связанной с Центром обновления Windows, включает ряд параметров, которые выходят далеко за рамки того, что доступно в разделе «Параметры».
Вы можете применить эти параметры к отдельным ПК с помощью редактора локальной групповой политики, Gpedit.msc или с помощью сценариев. Но наиболее распространенное использование происходит в домене Windows с Active Directory, где вы можете передавать комбинации политик группам компьютеров.
Значительное количество политик предназначено исключительно для Windows 10. Наиболее важными являются политики, связанные с функцией Центра обновления Windows для бизнеса, которые расположены в разделе Конфигурация компьютера> Административные шаблоны> Компоненты Windows> Центр обновления Windows> Центр обновления Windows для бизнеса.
- Выберите при получении предварительного просмотра сборок и обновлений функций: выберите канал обслуживания и установите задержки для обновлений функций.
- Выберите при получении обновлений качества: установите задержки для ежемесячных накопительных обновлений и других обновлений, связанных с безопасностью.
- Управление предварительными сборками: укажите, могут ли пользователи присоединять компьютер к программе Windows Insider, и, если включено, укажите кольцо Insider.
Дополнительная группа политик находится в «Конфигурация компьютера» > «Административные шаблоны» > «Компоненты Windows» > «Центр обновления Windows».
- Отключить доступ к функции «Приостановить обновления»: запретите пользователям вмешиваться в установку обновлений, удалив параметр приостановить обновления на срок до 35 дней.
- Удалить доступ ко всем функциям Центра обновления Windows: запретить пользователям изменять любые настройки Центра обновления Windows.
- Разрешить автоматическую загрузку обновлений по измеренным соединениям: разрешить установку обновлений на устройствах с использованием измеряемого соединения, такого как соединение LTE.
- Не включайте драйверы в обновления Windows: не позволяйте Центру обновления Windows устанавливать драйверы устройств.
Следующие параметры, относящиеся только к Windows 10, применяются к перезагрузкам и уведомлениям:
- Отключите автоматический перезапуск обновлений в активные часы: убедитесь, что устройства не перезагружаются для установки обновлений в обычное рабочее время.
- Укажите диапазон активных часов для автоматического перезапуска: измените настройки активных часов по умолчанию.
- Укажите срок до автоматического перезапуска для установки обновлений: выберите срок (от 2 до 14 дней), после которого перезапуск для применения обновлений будет автоматическим.
- Настроить напоминания об автоматическом перезапуске для обновлений: увеличьте время до запланированного перезапуска, когда пользователь получит уведомление. Допустимые значения: от 15 минут (по умолчанию) до 240 минут.
- Отключить уведомления о автоматическом перезапуске для установки обновлений: полностью отключить уведомления о перезапуске.
- Настроить автоматический перезапуск обязательных уведомлений для обновлений: предотвращать исчезновение уведомлений через 25 секунд и вместо этого потребовать от пользователя отклонения.
- Не разрешать политикам отсрочки обновления вызывать сканирование в Центре обновления Windows. Используйте эту политику, чтобы компьютеры не проверяли Центр обновления Windows при назначении отсрочки.
- Укажите переход при включенном перезапуске и расписание уведомлений для обновлений. Используйте эту политику, чтобы разрешить пользователям планировать перезапуски и напоминания о повторном запуске.
- Настроить расписание предупреждений об автоматическом перезапуске для обновлений: настроить напоминания об автоматическом перезапуске (от 4 до 24 часов) и предупреждениях о скором перезапуске (от 15 до 60 минут).
- Обновление политики электропитания для перезапусков корзины. Эта политика предназначена для образовательных систем, которые остаются на тележках в течение ночи и позволяет устанавливать обновления даже при питании от батареи.
- Параметры отображения уведомлений об обновлениях: используйте эти параметры, чтобы полностью отключить уведомления об обновлениях с возможностью включать или исключать предупреждения о перезапуске.
Следующие политики применяются к Windows 10, а также к некоторым старым версиям Windows:
- Настройка автоматических обновлений: эта мощная группа параметров позволяет вам задавать непротиворечивое расписание обновлений на неделю, два раза в месяц или месяц, с возможностью указать день и время, в течение которого все доступные обновления автоматически загружаются и устанавливаются.
- Укажите расположение службы обновлений Microsoft в интрасети. Используйте эту политику для настройки сервера служб обновления Windows Server (WSUS) в доменной сети Windows.
- Включить таргетинг на стороне клиента: этот параметр позволяет администраторам использовать группы безопасности Active Directory для определения колец развертывания при использовании WSUS.
- Не подключайтесь к Интернет-центрам Windows Update: на компьютерах, подключенных к локальному серверу обновлений, запрещайте любые подключения к внешним серверам обновлений, включая Microsoft Update и Microsoft Store.
- Включение управления питанием Центра обновления Windows для автоматического пробуждения системы для установки запланированных обновлений: позволяет системе разбудить компьютер и установить обновления; система активируется только при наличии обновлений. Если устройство работает от батареи, оно не будет устанавливать обновления и снова перейдет в спящий режим в течение 2 минут.
- Всегда автоматически перезагружать в запланированное время: используйте этот параметр для настройки таймера (от 15 до 180 минут) и автоматического перезапуска после установки обновлений, а не уведомления пользователей.
- Нет автоматического перезапуска с вошедшими в систему пользователями для запланированных автоматических обновлений: эта политика переопределяет предыдущую политику и предотвращает перезапуски, когда пользователи вошли в систему.
Инструменты управления предприятием
Двумя наиболее популярными вариантами для того, чтобы обойти серверы обновлений Microsoft и вместо этого развернуть обновления с локально управляемого сервера являются Windows Server Update Services (WSUS) и System Center Configuration Manager (SCCM).
Windows Server Update Services (WSUS) является более простым из двух вариантов. Он работает как роль Windows Server и предоставляет центральное хранилище обновлений Windows в организации. Используя групповую политику, сетевой администратор направляет ПК с Windows 10 на сервер WSUS, который служит единственным источником загрузок для всей организации. С консоли администрирования WSUS администраторы могут утверждать обновления и выбирать, когда их доставлять на отдельные клиентские ПК или группы.
Поскольку накопительные файлы обновлений Windows 10 постепенно увеличиваются с каждым новым выпуском, объем полосы пропускания, который используют обновления, может быть значительным. Серверы WSUS могут сэкономить пропускную способность с помощью функции, называемой файлами быстрой установки, которая требует больше места на сервере WSUS, но значительно уменьшает размер файлов обновления, отправляемых на клиентские ПК.
Второй вариант, System Center Configuration Manager (SCCM)., использует мощный Configuration Manager для Windows в сочетании с WSUS для развертывания обновлений качества и функций. Панель обслуживания Windows 10 позволяет сетевым администраторам отслеживать использование Windows 10 в сети и создавать планы обслуживания на основе групп, которые включают информацию о ПК по мере их окончания срока поддержки.
Для организаций, которые уже развернули Configuration Manager для управления более ранними версиями Windows, добавление поддержки Windows 10 является довольно простой задачей.