自动更新对于维护 Windows 虚拟机 (VM) 的安全性和性能至关重要。然而，配置不当的更新可能会导致意外重启，从而中断运营。在本指南中，我们将探讨如何为 Windows VM 配置自动更新、了解更新为何会意外应用，并提供缓解策略以满足你的具体要求。
目录
为什么自动更新会导致问题
部署 Windows VM 时，自动更新通常默认启用，从而导致以下情况：
- 应用更新后 VM 意外重启。
- 本地策略设置或注册表配置会覆盖平台级设置。
- 由于策略冲突，更新管理工具无法阻止重启。
自动更新的根本原因在于 Azure 资源管理器 (ARM) 模板中的 enableAutomaticUpdates 键。默认情况下，此键设置为 True，这允许更新自动下载和安装。
注意： 不支持从 AutomaticByOS 切换到 Manual，请参阅公开文章： https://learn.microsoft.com/en-us/azure/virtual-machines/automatic-vm-guest-patching#disable-automatic-vm-guest-patching
关键注意事项
- 意外重启： 即使 Update Management Services 等工具已配置为“Never Reboot”，本地策略也可能优先，从而导致重启。
- 策略优先级： 本地组策略设置或注册表配置会覆盖平台级更新设置。
如需了解有关 Azure 自动 VM 来宾修补的更多详情，请参阅官方 Microsoft 文档。
如何配置自动更新
配置和控制 Windows VM 自动更新主要有两种方法：
- 使用组策略设置
- 编辑注册表设置 （除非必要，否则不建议）
方法 1：配置组策略设置
使用组策略是管理 Windows 更新的推荐方法。按照以下步骤配置更新策略：
步骤 1：打开组策略编辑器
- 按
Win + R，输入gpedit.msc，然后按 Enter。 - 导航到以下路径：
Computer Configuration > Administrative Templates > Windows Components > Windows Update
步骤 2：配置“Automatic Updates”策略
- 找到 Configure Automatic Updates 策略。
- 双击该策略进行编辑。你将看到三个选项：
- Not Configured （默认值）
- Enabled
- Disabled
- 选择 Enabled 以配置自动更新。
步骤 3：选择更新选项
启用策略后，你将看到以下配置选项：
- 2： 在下载和安装更新之前通知。
- 3： 自动下载更新并通知安装。
- 4： 自动下载更新并按计划安装。
- 5： 允许本地管理员选择配置模式。
- 7： 通知安装并通知重启。
步骤 4：需要考虑的其他策略
根据需要探索和配置其他策略：
- Allow Automatic Updates Immediate Installation
- No Auto-Restart with Logged-On Users for Scheduled Automatic Updates
（注意：这需要有用户登录才能防止重启。）
步骤 5：在注册表中验证更改
组策略设置会在以下路径更新注册表：
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
or
Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
方法 2：编辑注册表设置
免责声明： 除非无法使用组策略，否则不建议直接编辑注册表。继续操作之前，请务必进行必要的 VM 备份/OS 磁盘快照。
步骤 1：打开注册表编辑器
- 按
Win + R，输入regedit，然后按 Enter。 - 导航到以下路径： Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate 或 Computer\HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
步骤 2：修改 AUOptions 值
根据你的要求设置 AUOptions 值：
- 2： 通知下载并自动安装
- 3： 自动下载并通知安装
- 4： 自动下载并安排安装
- 5： 允许本地管理员选择设置
- 7： 自动下载、通知安装、通知重启
步骤 3：验证更改
更新注册表后，确认更改符合你所需的配置。
缓解策略
为避免意外重启并确保更新按你的需求应用，请实施以下缓解措施之一：
- 配置组策略设置： 控制更新的最安全、最可靠的方法。
- 编辑注册表设置： 仅在无法使用组策略时作为最后手段使用。
有用的资源
如需了解有关管理 Windows 更新的更多信息，请参阅以下资源：
结论
通过使用组策略或注册表设置正确配置自动更新，你可以防止意外重启，并控制更新如何应用到你的 Windows VM。请始终优先使用组策略，以获得更安全、更易于管理的配置。