Comment configurer les mises à jour automatiques pour les VM Windows : paramètres de stratégie de groupe et du Registre

Les mises à jour automatiques sont essentielles pour maintenir la sécurité et les performances de vos machines virtuelles (VM) Windows. Cependant, des mises à jour mal configurées peuvent entraîner des redémarrages inattendus susceptibles de perturber les opérations. Dans ce guide, nous explorerons comment configurer les mises à jour automatiques pour les VM Windows, comprendre pourquoi les mises à jour sont appliquées de manière inattendue, et fournir des stratégies d'atténuation adaptées à vos besoins spécifiques.

Pourquoi les mises à jour automatiques peuvent causer des problèmes

Les mises à jour automatiques sont souvent activées par défaut lors du déploiement de VM Windows, ce qui conduit à des situations où :

• Les VM redémarrent de manière inattendue après l'application des mises à jour.
• Les paramètres de stratégie locale ou les configurations du Registre remplacent les paramètres de la plateforme.
• Les outils de gestion des mises à jour ne parviennent pas à empêcher les redémarrages en raison de conflits de stratégies.

La cause première des mises à jour automatiques réside dans la clé enableAutomaticUpdates du modèle Azure Resource Manager (ARM). Par défaut, cette clé est définie sur True, ce qui permet aux mises à jour d'être téléchargées et installées automatiquement.

REMARQUE : Le passage d'AutomaticByOS à Manual n'est pas pris en charge ; veuillez consulter l'article public : https://learn.microsoft.com/en-us/azure/virtual-machines/automatic-vm-guest-patching#disable-automatic-vm-guest-patching  

Considérations clés

• Redémarrages inattendus : Même avec des outils comme Update Management Services configurés sur « Never Reboot », les stratégies locales peuvent prendre le pas et provoquer des redémarrages.
• Priorité des stratégies : Les paramètres de stratégie de groupe locale ou les configurations du Registre remplacent les paramètres de mise à jour de la plateforme.

Pour plus de détails sur l'application automatique de correctifs aux VM invitées Azure, consultez la documentation Microsoft officielle.

Comment configurer les mises à jour automatiques

Il existe deux méthodes principales pour configurer et contrôler les mises à jour automatiques sur les VM Windows :

1. Utiliser les paramètres de stratégie de groupe
2. Modifier les paramètres du Registre (non recommandé sauf si nécessaire)

Méthode 1 : configurer les paramètres de stratégie de groupe

L'utilisation de la stratégie de groupe est l'approche recommandée pour gérer les mises à jour Windows. Suivez ces étapes pour configurer les stratégies de mise à jour :

Étape 1 : ouvrir l'éditeur de stratégie de groupe

1. Appuyez sur Win + R, tapez gpedit.msc, puis appuyez sur Entrée.
2. Accédez au chemin suivant : Computer Configuration > Administrative Templates > Windows Components > Windows Update

Étape 2 : configurer la stratégie « Automatic Updates »

1. Localisez la stratégie Configure Automatic Updates .
2. Double-cliquez sur la stratégie pour la modifier. Vous verrez trois options :
   • Not Configured (par défaut)
   • Enabled
   • Disabled
3. Sélectionnez Enabled pour configurer les mises à jour automatiques.

Étape 3 : choisir une option de mise à jour

Lorsque vous activez la stratégie, vous disposerez des options de configuration suivantes :

• 2 : Notifier avant le téléchargement et l'installation des mises à jour.
• 3 : Télécharger automatiquement les mises à jour et notifier pour l'installation.
• 4 : Télécharger automatiquement les mises à jour et les installer selon un calendrier.
• 5 : Permettre aux administrateurs locaux de sélectionner le mode de configuration.
• 7 : Notifier pour l'installation et notifier pour le redémarrage.

Étape 4 : autres stratégies à prendre en compte

Explorez et configurez d'autres stratégies selon vos besoins :

• Allow Automatic Updates Immediate Installation
• No Auto-Restart with Logged-On Users for Scheduled Automatic Updates
  (Remarque : cela exige qu'un utilisateur soit connecté pour empêcher les redémarrages.)

Étape 5 : vérifier les modifications dans le Registre

Les paramètres de stratégie de groupe mettent à jour le Registre au chemin suivant :

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
or 
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

Méthode 2 : modifier les paramètres du Registre

Avertissement : La modification directe du Registre n'est pas recommandée, sauf si la stratégie de groupe ne peut pas être utilisée. Effectuez toujours les sauvegardes de VM ou les instantanés de disque du système d'exploitation nécessaires avant de continuer.

Étape 1 : ouvrir l'éditeur du Registre

1. Appuyez sur Win + R, tapez regedit, puis appuyez sur Entrée.
2. Accédez au chemin suivant : Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate ou Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

Étape 2 : Modifier la valeur AUOptions .

Définissez la valeur AUOptions en fonction de vos besoins :

• 2 : Notifier pour le téléchargement et installer automatiquement
• 3 : Télécharger automatiquement et notifier pour l'installation
• 4 : Télécharger automatiquement et planifier l'installation
• 5 : Permettre à l'administrateur local de choisir les paramètres
• 7 : Télécharger automatiquement, notifier pour l'installation, notifier pour le redémarrage

Étape 3 : vérifier les modifications

Après avoir mis à jour le Registre, confirmez que les modifications correspondent à la configuration souhaitée.

Stratégies d'atténuation

Pour éviter les redémarrages inattendus et garantir que les mises à jour sont appliquées selon vos besoins, mettez en œuvre l'une des mesures d'atténuation suivantes :

1. Configurer les paramètres de stratégie de groupe : La méthode la plus sûre et la plus fiable pour contrôler les mises à jour.
2. Modifier les paramètres du Registre : À n'utiliser qu'en dernier recours, lorsque la stratégie de groupe n'est pas une option.

Ressources utiles

Pour plus d'informations sur la gestion des mises à jour Windows, consultez les ressources suivantes :

• Windows Update Management Service 
• Gestion des redémarrages de VM dus aux mises à jour Windows 
• Configuration des paramètres de stratégie de groupe pour les mises à jour Windows 

Conclusion

En configurant correctement les mises à jour automatiques à l'aide des paramètres de stratégie de groupe ou du Registre, vous pouvez éviter les redémarrages inattendus et garder le contrôle sur la façon dont les mises à jour sont appliquées à vos VM Windows. Privilégiez toujours l'utilisation de la stratégie de groupe pour des configurations plus sûres et plus faciles à gérer.