Política de Grupo do Windows Update - janela de instalação agendada em vez de hora?

Question

Eu tenho uma pequena infra-estrutura de cerca de 20 servidores que estão todos em um domínio e recebem atualizações de um servidor WSUS local. A política de grupo no momento é que as atualizações automáticas são configuradas para download automático e agendamento na instalação para três horas nas manhãs de domingo.

Isso funcionou bem, mas o problema que notei é que isso reduz toda a infraestrutura por volta das 3h05 da manhã de domingo, quando eles passam por uma reinicialização do Windows Update.

Aprecio que muitas atualizações exigem uma reinicialização, mas ter todos os servidores agendando a instalação para as 3h resulta em algumas interrupções, pois ambos os controladores de domínio ficarão inativos ao mesmo tempo, ambos os lados do cluster MSSQL serão desativados, etc.

Existe uma boa maneira de especificar os servidores para agendar sua instalação em um horário aleatório durante uma janela de manutenção definida? Isso deve evitar que os servidores sejam reinicializados simultaneamente e espalhados por um período mais longo, o que, esperamos, não resultará em interrupção de serviço.

    

Answer 1

AFAIK, a única opção é definir um horário específico.

Dito isso, acho que você não está totalmente ciente das implicações de ter todos os servidores fazendo instalações / reinicializações automatizadas.

E se houver um patch defeituoso que quebre o kernel ou algo semelhante? Você realmente quer vir trabalhar de manhã e encontrar todos os seus servidores em um loop de inicialização?

Eu sugiro que você ative a instalação automática apenas para os servidores que estão criticamente atualizados (servidores voltados para a Internet, servidores de terminal) e façam o restante em uma programação de manutenção manual.

Se isso não funcionar para você, configure pelo menos o WSUS, teste as atualizações e depois implante-as quando tiver 100% de certeza de que elas não quebram o sistema operacional ou seus aplicativos (mais recente).

Você também pode criar políticas de grupo separadas com timeslots diferentes e usar OUs ou filtragem de segurança para escolher qual servidor obterá o quê.

    

Answer 2

Você pode dividir os servidores em três ou quatro grupos de atualização por meio do WSUS. Em seguida, basta aprovar atualizações para um grupo por semana.