Einführung
Installieren Sie ausstehende Windows-Aktualisierungen auf verwalteten Geräten per Automatisierung. Verwenden Sie diese Aktion, um die Patch-Compliance nach einem Zeitplan durchzusetzen, Aktualisierungen als Reaktion auf neue Geräteregistrierungen einzuspielen oder Updates nach Öffnung eines Wartungsfensters bereitzustellen.
Wie Level die Patch-Genehmigung handhabt
Level verwendet derzeit keinen Workflow, bei dem Sie jeden einzelnen Patch manuell genehmigen müssen, bevor er bereitgestellt wird. Viele unserer größeren und Enterprise-Kunden haben uns mitgeteilt, dass dies einen erheblichen Verwaltungsaufwand verursachen kann.
Stattdessen verwendet Level ein verzögerungsbasiertes Patching-Modell. Sie wählen aus, welche Kategorien von Aktualisierungen Sie installieren möchten, und können für jede Kategorie eine Verzögerung konfigurieren. Sie könnten beispielsweise Service-Pack-Updates 14 Tage nach der Veröffentlichung verzögern. Dadurch hat ein Update Zeit, sich zu „bewähren", bevor es Ihre Umgebung erreicht, und Sie erhalten die Möglichkeit, weitverbreitete Probleme zu identifizieren.
Wenn Sie während dieses Zeitraums von einem Problem mit einem bestimmten Update erfahren, können Sie diesen KB in Level global sperren, um die Bereitstellung zu verhindern. Siehe KB-Ausschlüsse des Arbeitsbereichs.
Ein weiterer von uns empfohlener Ansatz ist die Einrichtung von Update-Ringen. Zum Beispiel:
Eine kleine Gruppe von Labor- oder Testgeräten erhält Aktualisierungen sofort oder nach einer sehr kurzen Verzögerung.
Ihr breiterer Produktionsbetrieb erhält dieselben Aktualisierungen nach einer längeren Verzögerung.
Dadurch haben Sie die Möglichkeit, Aktualisierungen in Ihrer eigenen Umgebung zu validieren, bevor sie den Rest Ihres Gerätepools erreichen. Wenn Sie im Testring ein Problem feststellen, können Sie den betroffenen KB sperren, bevor er die Produktion erreicht.
Windows-Aktualisierungen installieren
Wenn die Automatisierung noch keine Aktionen enthält, wählen Sie Eine Aktion hinzufügen. Andernfalls klicken Sie auf das inline + an der Stelle, an der Sie den Schritt einfügen möchten, und wählen Sie dann Eine weitere Aktion hinzufügen. Wählen Sie Windows-Aktualisierungen installieren aus Sicherheit. Das Aktionsfenster öffnet sich mit zwei Abschnitten: Aktionstyp (voreingestellt auf „Windows-Aktualisierungen installieren") und Schrittkonfiguration.
Aktualisierungskategorien konfigurieren
Klicken Sie auf Aktualisierungskategorien konfigurieren um den Windows-Patchverwaltungskategorien -Bereich. Hier wird gesteuert, welche Arten von Aktualisierungen Level installiert und wie jede einzelne zeitlich geplant wird.
Jede Kategorie hat zwei Einstellungen:
Zeitplanung — Entweder Sofort aktualisieren oder Installation verzögern.
Tage — Wie viele Tage gewartet werden soll, bevor die Installation erfolgt (nur aktiv, wenn Installation verzögern ausgewählt ist).
So funktioniert die Verzögerung: Wenn Sie eine Kategorie auf Installation verzögern, überspringt Level alle Aktualisierungen in dieser Kategorie, bis sie mindestens so viele Tage verfügbar sind. Sobald das Fenster abgelaufen ist, wird die Aktualisierung beim nächsten Ausführen der Aktion automatisch installiert – keine manuelle Genehmigung erforderlich.
Dies ist beabsichtigt. Viele Patchverwaltungstools erfordern, dass Sie jede Aktualisierung einzeln prüfen und genehmigen, bevor sie bereitgestellt wird. Das erzeugt einen ständigen Rückstand an Genehmigungsaufgaben für Aktualisierungen, die fast immer problemlos verlaufen. Das Modell von Level: Legen Sie ein Verzögerungsfenster fest, das Ihnen Zeit gibt, von Problemen in der Praxis zu erfahren, und lassen Sie dann Aktualisierungen automatisch einspielen. Bei der überwältigenden Mehrheit der Patches läuft das Fenster still ab und sie werden bereitgestellt, ohne dass Sie eingreifen müssen. Bei dem seltenen problematischen Update sperren Sie es global, bevor die Verzögerung abläuft – und es bleibt gesperrt, bis Sie die Sperre aufheben.
💡 TIPP: Wenn Sie vor dem breiten Rollout eine zusätzliche Sicherheitsstufe wünschen, wählen Sie zunächst eine kleine Gruppe von Testgeräten als Ziel aus. Versehen Sie diese Geräte mit einem Tag (z. B. canary) und führen Sie diese Aktion für diese Gruppe mit kürzerer oder keiner Verzögerung aus. Wenn nach einigen Tagen keine Probleme auftreten, werden dieselben Aktualisierungen von der Aktion für Ihre weiteren Gruppen übernommen, sobald deren Verzögerungsfenster abgelaufen ist – kein doppelter Aufwand erforderlich.
Die verfügbaren Kategorien sind:
Kategorie | Beschreibung |
Kritische Aktualisierungen | Nicht sicherheitsrelevante kritische Fehler, die Kompatibilität, Leistung oder Interoperabilität beeinträchtigen |
Sicherheitsaktualisierungen | Produktspezifische Sicherheitslücken |
Definitionsaktualisierungen | Viren- und Definitionsdateien für Windows Defender |
Update-Rollups | Kumulative Sicherheitsupdates, kritische Aktualisierungen und Hotfixes für bestimmte Windows-Bereiche |
Service Packs | Kumulative Aktualisierungen, Designänderungen und Funktionen für Microsoft-Produkte |
Werkzeuge | Hilfsprogramme und Funktionen zur Aufgabenerfüllung |
Feature Packs | Funktionalität, die außerhalb des normalen Produktveröffentlichungszyklus verteilt wird |
Aktualisierungen | Nicht kritische, nicht sicherheitsrelevante Fehlerbehebungen |
Upgrades | Neue Produktversionen, Versionsupgrades und Designänderungen |
Treiber | Drittanbieter-Treiberaktualisierungen und Fehlerbehebungen |
💡 TIPP: Aktivieren Sie nur die Kategorien, die Level verwalten soll. Wenn Sie eine Kategorie deaktiviert lassen, werden diese Aktualisierungen von Level nicht berücksichtigt – nützlich, wenn Sie Treiberaktualisierungen über einen separaten Prozess verwalten oder Upgrades vollständig zurückhalten möchten.
ℹ️ HINWEIS:Definitionsaktualisierungen (Windows Defender) kann auch mit der dedizierten Windows Defender-Aktualisierung -Aktion. Wenn Sie beide verwenden, halten Sie Ihren Ansatz konsistent, um redundante Aktualisierungsläufe zu vermeiden.
Neustart nach Aktualisierungen (wenn erforderlich)
Wenn aktiviert, startet Level das Gerät nach der Installation von Aktualisierungen neu – jedoch nur, wenn Windows einen Neustart signalisiert. Aktualisierungen, die keinen Neustart erfordern, lösen keinen aus.
⚠️ WARNUNG: Dieser Neustart erfolgt ohne Aufforderung an den Endbenutzer. Verwenden Sie diese Option in Kombination mit einem Wartungsfenster oder in Verbindung mit der Benutzer benachrichtigen -Aktion vorher, wenn Benutzer möglicherweise aktiv auf dem Gerät sind.
Bis zur Fertigstellung wiederholen
ℹ️ HINWEIS:Bis zur Fertigstellung wiederholen erfordert, dass Neustart nach Aktualisierungen aktiviert sein. Ohne Neustarts kann die Schleife nicht über Aktualisierungen hinausgehen, die einen Neustart zur Fertigstellung erfordern.
Wenn aktiviert, führt Level den Zyklus aus Installation und Neustart so lange durch, bis alle ausstehenden Aktualisierungen erfolgreich installiert wurden. Nach jedem Neustart wird nach verbleibenden Aktualisierungen gesucht und der Vorgang fortgesetzt, bis das Gerät vollständig aktuell ist.
💡 TIPP: „Bis zur Fertigstellung wiederholen" ist die richtige Wahl bei der Bereitstellung neuer Geräte. Windows-Endpunkte benötigen häufig mehrere Neustartzyklen, um vollständig gepatcht zu werden – eine Aktualisierung wird installiert, ein Neustart erfolgt, und dann wartet der nächste Stapel. Aktivieren Sie „Bis zur Fertigstellung wiederholen" in Ihrer Automatisierung für das Onboarding neuer Geräte, und die gesamte Kette wird ohne manuellen Nachfolgebedarf abgearbeitet.
Überprüfung nach der Installation
Nach Abschluss des Installationsschritts aktualisiert Level die Aktualisierungsliste des Geräts und überprüft, ob die erwarteten Aktualisierungen weiterhin installiert sind. Bei einer Installation ohne Neustart wartet Level etwa 10 Minuten bevor diese Überprüfung durchgeführt wird. Die Aktion protokolliert, dass die Aktualisierungen während der Wartezeit überprüft werden.
Wenn eine erwartete Aktualisierung erneut angeboten wird oder nach der Überprüfung nicht mehr als installiert gemeldet wird, wertet Level dies als fehlgeschlagene Installation und meldet Einige Aktualisierungen wurden nicht korrekt installiert. Dies hilft dabei, Aktualisierungen zu erkennen, die nach dem ersten Melden eines Erfolgs zurückgesetzt wurden.
Wenn Windows weiterhin einen Neustart erfordert und Neustart nach Aktualisierungen deaktiviert ist, wertet Level den ausstehenden Neustartzustand nicht als Rollback. Es wartet auf den Neustart, bevor die Installation vollständig verifiziert werden kann.
Bedingungen
Der Bedingungen -Abschnitt ermöglicht es Ihnen, einzuschränken, wann diese Aktion ausgeführt wird – basierend auf Geräteattributen oder dem Ergebnis einer vorherigen Aktion. Erweitern Sie den Abschnitt, um Bedingungen hinzuzufügen.
Siehe Aktionsbedingungen für die vollständige Referenz zu Bedingungstypen, Operatoren und Werten.
Zusätzliche Optionen
Erweitern Sie Zusätzliche Optionen für Ausführungseinstellungen, einschließlich Aktionsname, Fehlerverhalten, Ausgabevariablen und Wiederholungsversuche.
Siehe Aktionsübersicht für die vollständige Referenz zu den zusätzlichen Optionen, die für jede Aktion verfügbar sind.
Häufig gestellte Fragen
Kann ich jede Aktualisierung einzeln genehmigen, bevor sie installiert wird? Nein. Level hat keinen Genehmigungsschritt für einzelne Patches. Aktualisierungen werden automatisch bereitgestellt, sobald das Verzögerungsfenster ihrer Kategorie abgelaufen ist. Verwenden Sie Verzögerungen, KB-Ausschlüsse und Update-Ringe, um zu steuern, was Ihren Gerätepool wann erreicht. Siehe Wie Level die Patch-Genehmigung handhabt oben.
Funktioniert diese Aktion auch auf macOS oder Linux? Nein. Diese Aktion gilt nur für Windows-Geräte. Für macOS verwenden Sie die macOS-Aktualisierungen installieren -Aktion. Für Linux verwenden Sie die Linux-Aktualisierungen installieren -Aktion.
Was passiert, wenn es in einer ausgewählten Kategorie keine ausstehenden Aktualisierungen gibt? Level überspringt diese Kategorie lautlos und fährt fort. Die Aktion wird erfolgreich abgeschlossen, auch wenn nichts installiert wurde.
Werden Aktualisierungen lautlos installiert oder wird dem Endbenutzer eine Aufforderung angezeigt? Aktualisierungen werden still im Hintergrund installiert. Endbenutzer sehen keine Windows Update-Aufforderungen. Wenn ein Neustart erforderlich ist und Neustart nach Aktualisierungen aktiviert ist, wird das Gerät ohne Benutzeraufforderung neu gestartet – kombinieren Sie dies mit einer Benutzer benachrichtigen -Aktion, wenn Benutzer möglicherweise aktiv sind.
Was ist der Unterschied zwischen „Sofort aktualisieren" und „Installation verzögern"? „Sofort aktualisieren" installiert passende Aktualisierungen, sobald die Aktion ausgeführt wird. „Installation verzögern" wartet eine festgelegte Anzahl von Tagen ab dem Veröffentlichungsdatum der Aktualisierung – nach Ablauf dieses Fensters werden Aktualisierungen in dieser Kategorie automatisch ohne manuelle Genehmigung bereitgestellt. Die Verzögerung gibt Ihnen Zeit, von Problemen in der Praxis zu erfahren und bei Bedarf eine bestimmte Aktualisierung zu sperren, ohne jeden Patch einzeln prüfen zu müssen.
Was ist der Unterschied zwischen „Neustart nach Aktualisierungen" und „Bis zur Fertigstellung wiederholen"? „Neustart nach Aktualisierungen" löst einen einzelnen Neustart aus, wenn Windows einen solchen signalisiert. „Bis zur Fertigstellung wiederholen" setzt den Zyklus aus Installation und Neustart fort, bis keine Aktualisierungen mehr ausstehen. Der Hauptanwendungsfall für „Bis zur Fertigstellung wiederholen" ist die Bereitstellung neuer oder veralteter Geräte, die mehrere Neustartzyklen benötigen, um vollständig aktuell zu werden.
Was passiert, wenn eine Aktualisierung als installiert gemeldet wird, aber erneut erscheint? Level überprüft den Aktualisierungsstatus nach der Installation erneut, auch nachdem eine Installation ohne Neustart Zeit hatte, sich zu stabilisieren. Wenn eine erwartete Aktualisierung erneut angeboten wird oder nicht mehr installiert ist, meldet die Aktion Einige Aktualisierungen wurden nicht korrekt installiert damit Sie einen Rollback untersuchen können. Ein ausstehender Neustart kann den endgültigen Zustand verschleiern, daher wartet Level auf diesen Neustart, anstatt es als Rollback zu werten.
Was passiert, wenn das Gerät offline ist, wenn die Aktion ausgeführt wird? Die Aktion wird in die Warteschlange gestellt und fortgesetzt, sobald das Gerät wieder online ist.
Wer kann diese Aktion in einer Automatisierung hinzufügen oder ändern? Techniker mit der Berechtigung, Automatisierungen in der betreffenden Gruppe zu bearbeiten. Siehe Arbeitsbereich → Berechtigungen für die Konfiguration der Zugriffskontrolle.