Как настроить автоматические обновления для ВМ Windows: параметры групповой политики и реестра

Автоматические обновления необходимы для поддержания безопасности и производительности ваших виртуальных машин (ВМ) Windows. Однако неправильно настроенные обновления могут привести к неожиданным перезагрузкам, которые способны нарушить работу. В этом руководстве мы рассмотрим, как настроить автоматические обновления для ВМ Windows, разберёмся, почему обновления применяются неожиданно, и предложим стратегии смягчения последствий, отвечающие вашим конкретным требованиям.

Почему автоматические обновления могут вызывать проблемы

Автоматические обновления часто включены по умолчанию при развёртывании ВМ Windows, что приводит к ситуациям, когда:

ВМ неожиданно перезагружаются после применения обновлений.
Параметры локальной политики или конфигурации реестра переопределяют параметры уровня платформы.
Инструменты управления обновлениями не могут предотвратить перезагрузки из-за конфликтов политик.

Коренная причина автоматических обновлений заключается в ключе enableAutomaticUpdates в шаблоне Azure Resource Manager (ARM). По умолчанию для этого ключа установлено значение True, что позволяет обновлениям загружаться и устанавливаться автоматически.

ПРИМЕЧАНИЕ: Переход с AutomaticByOS на Manual не поддерживается, см. общедоступную статью: https://learn.microsoft.com/en-us/azure/virtual-machines/automatic-vm-guest-patching#disable-automatic-vm-guest-patching

Ключевые соображения

Неожиданные перезапуски: Даже при использовании таких инструментов, как Update Management Services, настроенных на «Never Reboot», локальные политики могут иметь приоритет и вызывать перезагрузки.
Приоритет политик: Параметры локальной групповой политики или конфигурации реестра переопределяют параметры обновления уровня платформы.

Подробнее об автоматическом исправлении гостевых ВМ Azure см. в официальной документации Microsoft.

Как настроить автоматические обновления

Существует два основных способа настройки и контроля автоматических обновлений на ВМ Windows:

Использование параметров групповой политики
Изменение параметров реестра (не рекомендуется, если в этом нет необходимости)

Способ 1: настройка параметров групповой политики

Использование групповой политики — рекомендуемый подход к управлению обновлениями Windows. Выполните следующие шаги, чтобы настроить политики обновления:

Шаг 1: открытие редактора групповой политики

Нажмите Win + R, введите gpedit.msc и нажмите Enter.
Перейдите по следующему пути: Computer Configuration > Administrative Templates > Windows Components > Windows Update

Шаг 2: настройка политики «Automatic Updates»

Найдите политику Configure Automatic Updates .
Дважды щёлкните политику, чтобы изменить её. Вы увидите три варианта:
- Not Configured (по умолчанию)
- Enabled
- Disabled
Выберите Enabled чтобы настроить автоматические обновления.

Расположение GPO для настройки автоматических обновлений

Шаг 3: выбор варианта обновления

При включении политики вам будут доступны следующие варианты конфигурации:

2: Уведомлять перед загрузкой и установкой обновлений.
3: Автоматически загружать обновления и уведомлять об установке.
4: Автоматически загружать обновления и устанавливать их по расписанию.
5: Разрешить локальным администраторам выбирать режим конфигурации.
7: Уведомлять об установке и уведомлять о перезагрузке.

Шаг 4: дополнительные политики, которые стоит рассмотреть

Изучите и настройте при необходимости другие политики:

Allow Automatic Updates Immediate Installation
No Auto-Restart with Logged-On Users for Scheduled Automatic Updates
(Примечание: для предотвращения перезагрузок необходимо, чтобы пользователь был в системе.)

Шаг 5: проверка изменений в реестре

Параметры групповой политики обновляют реестр по следующему пути:

Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
or 
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

Способ 2: изменение параметров реестра

Отказ от ответственности: Непосредственное изменение реестра не рекомендуется, если нельзя использовать групповую политику. Перед продолжением всегда создавайте необходимые резервные копии ВМ/снимки диска ОС.

Шаг 1: открытие редактора реестра

Нажмите Win + R, введите regedit и нажмите Enter.
Перейдите по следующему пути: Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate или Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU

Шаг 2: изменение параметра `AUOptions` .

Установите значение AUOptions в соответствии с вашими требованиями:

2: Уведомлять о загрузке и устанавливать автоматически
3: Автоматически загружать и уведомлять об установке
4: Автоматически загружать и планировать установку
5: Разрешить локальному администратору выбирать параметры
7: Автоматически загружать, уведомлять об установке, уведомлять о перезагрузке

Шаг 3: проверка изменений

После обновления реестра убедитесь, что изменения соответствуют желаемой конфигурации.

Стратегии смягчения последствий

Чтобы избежать неожиданных перезагрузок и обеспечить применение обновлений в соответствии с вашими потребностями, реализуйте одну из следующих мер по смягчению последствий:

Настройка параметров групповой политики: Самый безопасный и надёжный способ контроля обновлений.
Изменение параметров реестра: Используйте только в крайнем случае, когда групповая политика недоступна.

Полезные ресурсы

Дополнительную информацию об управлении обновлениями Windows см. в следующих ресурсах:

Заключение

Правильно настроив автоматические обновления с помощью параметров групповой политики или реестра, вы сможете предотвратить неожиданные перезагрузки и сохранить контроль над тем, как обновления применяются к вашим ВМ Windows. Всегда отдавайте приоритет использованию групповой политики для более безопасных и управляемых конфигураций.

Оглавление