Ускорение политик для обновлений качества Windows

Политики ускорения позволяют ускорить установку определенных обновлений системы безопасности Windows и обновлений, не относящихся к системе безопасности, на устройствах, которыми вы управляете с помощью Microsoft Intune. Ускоренные обновления устанавливаются как можно скорее, минуя параметры отсрочки и обычное время развертывания, не требуя приостановки или изменения существующих политик ежемесячного обновления.

Вы можете использовать ускоренную политику для быстрого устранения критической уязвимости системы безопасности, когда стандартный процесс обновления не будет развертывать обновление достаточно быстро. Политики ускорения предназначены для целевых сценариев с ограничением по времени и не изменяют способ развертывания будущих обновлений качества.

Не все обновления доступны для ускорения. Можно ускорить только поддерживаемые обновления системы безопасности Windows. Чтобы управлять регулярными ежемесячными обновлениями качества, продолжайте использовать стандартные механизмы клиентский компонент Центра обновления Windows, такие как круги обновлений или политики обновления качества Windows.

Подготовка к работе

Обновление средств работоспособности

Для версий Windows, более ранних, чем 24H2, для поддержки срочных обновлений на устройствах требуются средства работоспособности обновлений. Эти средства можно установить через KB4023057 или вручную из Центра загрузки Майкрософт.

Для Windows 11 версий 24H2 и более поздних не устанавливайте средства работоспособности обновлений на устройствах для поддержки ускоренного обновления. Чтобы убедиться, что средства работоспособности обновлений существуют на устройстве, выполните следующие действия:

• Найдите папку C:\Program Files\Microsoft Update Health Tools или ознакомьтесь со статьей Службы или Добавление программ удаления программ для microsoft Update Health Tools.
• От имени администратора (или от Intune) выполните следующий сценарий PowerShell:

### Check for the Microsoft Update Health Service; if found, no remediation is needed.
if (Get-Service -Name "Microsoft Update Health Service" -ErrorAction SilentlyContinue) {
    Write-Host "Microsoft Update Health Service is present."
    Exit 0
} else {
    Write-Host "Microsoft Update Health Service is missing."
    Exit 1
}

Если скрипт возвращает 1, на устройстве есть клиент UHS. Если скрипт возвращает 0, у устройства нет клиента UHS. Если Windows 11 используются версии 24H2 и более поздние, а скрипт определяет клиент UHS, его следует исправить. Чтобы устранить эту проблему, удалите MSI с помощью скрипта PowerShell.

Как работают срочные обновления

При создании политики ускорения вы выбираете одно поддерживаемое обновление для системы безопасности Windows для развертывания. Обновление определяется датой выпуска, что позволяет одной политике применяться в нескольких поддерживаемых версиях Windows без создания политик для конкретных версий.

После назначения политики клиентский компонент Центра обновления Windows оценивает каждое целевое устройство для определения применимости. Оценка учитывает текущую сборку, архитектуру и состояние обновления устройства, а клиентский компонент Центра обновления Windows при необходимости предоставляет соответствующую версию обновления.

Его получают только устройства, которым требуется обновление:

• Устройства с тем же обновлением или более новым применимым обновлением не получают ускоренное обновление.

• Для устройств с более ранними сборками клиентский компонент Центра обновления Windows проверяет, что обновление остается применимым перед установкой.

  Важно!

  В некоторых сценариях клиентский компонент Центра обновления Windows может установить более новое обновление, чем указанное в политике ускорения. Это гарантирует, что устройства получают последнее применимое обновление для системы безопасности.

Ускоренная установка обновлений начинается после того, как устройство завершит следующую проверку обновлений и обменивается данными со службой. Время, необходимое для запуска установки, может зависеть от таких факторов, как подключение устройства, время сканирования и обработка службы.

Если требуется перезагрузка, можно настроить крайний срок перезапуска, который определяет, как долго пользователи должны контролировать перезапуск устройства, прежде чем он будет применен. Пользователи могут немедленно перезапустить компьютер, запланировать перезагрузку или разрешить Windows выбрать время в нерабочее время. Уведомления информируют пользователей о ожидании перезагрузки и крайнего срока обновления.

Если устройство не перезагружается до истечения крайнего срока, перезапуск может произойти в рабочее время. Дополнительные сведения см. в статье Применение крайних сроков соответствия для обновлений.

Политики ускорения не влияют на развертывание будущих обновлений качества. Для управления текущим ежемесячным обслуживанием используйте политики круга обновлений или политики обновления качества Windows и их параметры крайних сроков.

Создание и назначение срочного исправления

1. В Центре администрирования Microsoft Intune выберите Устройства>Windows Обновления.

2. Выберите Исправления.

3. Выберите Создать>политику ускорения.

4. В окне Параметры введите следующие свойства для этого профиля:

   • Имя. Введите описательное имя для профиля.
   • Описание. Введите описание профиля. Этот параметр является необязательным, но мы рекомендуем его использовать.
   • В раскрывающемся списке Выберите обновление качества, которое вы хотите ускорить , выберите обновление, которое нужно ускорить. Список включает только те обновления, которые можно ускорить.

   При выборе обновления:

   • Для каждой политики можно выбрать только одно обновление.
   • Обновления идентифицируются по дате выпуска. Обновления, которые содержат букву B в своем имени, выпускаются в рамках обновления вторник. Эти обновления выпускаются во второй вторник месяца.
   • Вы можете ускорить обновления системы безопасности для Windows, выпущенные вне диапазона после установки исправления во вторник. Вместо буквы B в выпусках исправлений вне диапазона (OOB) используется суффикс OOB.
   • клиентский компонент Центра обновления Windows гарантирует правильное развертывание обновлений. После получения политики каждое устройство устанавливает версию обновления, которая применяется к архитектуре этого устройства и его текущей версии Windows (например, Windows 11, версии 24H2, 25H2 и т. д.).

   Ускоряемые обновления, не относящиеся к безопасности. Это исправления качества, выпущенные после предыдущего выпуска системы безопасности (B). Администраторы могут ускорить установку последнего применимого обновления качества на устройствах, не дожидаясь периода отсрочки.

   • Обновления без слова SecurityUpdate означает, что это не обновление для системы безопасности. Обновления, которые содержат букву D в имени, определяют обновления, выпущенные с последней недели безопасности вторника исправлений. Вы также можете увидеть обновление OOB 2024.01 (выпуски исправлений вне диапазона ). См. описание ежемесячного обновления Windows.

   • В раскрывающемся списке отображаются два последних обновления для системы безопасности, включая обновления системы безопасности OOB. Обновления, не относящиеся к системе безопасности, отображаются только в том случае, если не существует более новых обновлений для системы безопасности. Если это допустимо, раскрывающийся список включает последнее обновление, не относяющееся к системе безопасности, и предыдущее обновление, не относяющееся к системе безопасности, только если оно было выпущено вне диапазона (OOB). После выпуска обновления для системы безопасности в раскрывающемся списке больше не отображаются обновления, не относящиеся к системе безопасности (D или OOB).

     Совет

     Дополнительные сведения см. в блоге Периодичность обслуживания обновлений Windows — Microsoft Tech Community.

   • Ускоряемые обновления, не относящиеся к безопасности, применяются к Windows 11 устройствам. Если Windows 10 устройства назначены политике ускорения, которая задает выпуск D, эти устройства не ускоряются и отображают оповещение в следующих отчетах.

5. В разделе Параметры настройте значение Если требуется перезагрузка, выберите количество дней, в течение которых она будет применена. Для этого параметра укажите, как скоро после установки обновления устройство будет автоматически перезапущено для завершения установки обновления. Можно выбрать значение от 0 до 2 дней. Если устройство перезапускается вручную до наступления крайнего срока, автоматический перезапуск отменяется. Если обновление не требует перезапуска, этот параметр не применяется.

   • Значение 0 дней означает, что как только устройство установит обновление, пользователь получит уведомление о перезапуске и будет иметь ограниченное время на сохранение результатов работы.

     Важно!

     Такое поведение может повлиять на производительность пользователей. Рекомендуется использовать его для обновлений с перезагрузкой устройства, которые необходимо применить как можно быстрее.

   • Параметр в 1 день или 2 дня предоставляет пользователям устройств возможность управлять перезагрузкой до принудительного выполнения. Эти параметры соответствуют интервалу автоматического перезапуска в 24 или 48 часов после установки обновления на устройстве. На этот раз пользователям предоставляется предварительное уведомление, прежде чем устройство будет вынуждено перезапустить независимо от времени активности.

6. В разделе Назначения выберите Добавить группы, а затем выберите устройство или группы пользователей, которым будет назначена политика.

7. В разделе Проверка и создание выберите Создать. После создания политики она развертывается в назначенных группах.

Определение последнего применимого обновления

Существуют некоторые сценарии, когда политика ускорения обновления может привести к установке более поздней версии, чем указанная в политике. Это происходит, когда более свежее обновление включает и превосходит указанное обновление и более свежее обновление доступно до того, как устройство будет синхронизировано для установки обновления, указанного в политике ускорения обновлений. Подробный пример этого сценария приведен далее в этой статье.

Установка последнего обновления качества сокращает количество сбоев в работе устройства и пользователя, а также применяет преимущества предполагаемого обновления. Это позволяет избежать установки нескольких обновлений, каждое из которых может потребовать отдельных перезапусков.

Более новое обновление развертывается при соблюдении следующих условий:

• На устройство не распространяется политика отсрочки, блокирующая установку более нового обновления. В этом случае последнее доступное обновление, которое не откладывается, — это обновление, которое может быть установлено.

• В процессе ускорения обновления устройство выполняет новое сканирование, которое обнаруживает более последнее обновление. Это может произойти:

  • Когда устройство перезапускается для завершения установки
  • Когда устройство выполняет ежедневную проверку
  • Когда новое обновление станет доступным

  Когда проверка обнаруживает более новое обновление, клиентский компонент Центра обновления Windows пытается остановить установку исходного обновления, отменяет перезапуск, а затем запускает скачивание и установку более последнего обновления.

Хотя политики ускорения обновления переопределяют отсрочку обновлений для версии обновления, указанной в политике, они не переопределяют отсрочки, имеющиеся для любой другой версии обновления.

Пример установки срочного обновления

Следующая последовательность событий содержит пример того, как два устройства с именами Test-1 и Test-2 устанавливают обновление на основе политики обновления качества, назначенной устройствам.

1. Каждый месяц администраторы Intune развертывают последние обновления качества Windows в четвертый вторник месяца. Этот период дает им две недели после события "День установки исправлений", чтобы проверить обновлений в своей среде перед принудительной установкой обновлений.

2. 19 января устройства Test-1 и Test-2 устанавливают последнее обновление качества из выпуска исправлений во вторник 12 января. На следующий день оба устройства отключаются пользователями, которые уходят в отпуск.

3. 9 февраля администратор Intune создает политику, чтобы ускорить установку исправлений вторник выпуск 09.02.2025 - 2025.02 B Безопасность Обновления для Windows, чтобы помочь защитить корпоративные устройства от критической угрозы, устраняемой обновлением. Политика ускорения обновлений назначается группе устройств, включающих устройства Test-1 и Test-2. Все устройства в этой группе, которые являются активными, получают и устанавливают политику ускорения обновлений.

4. На мероприятии от 9 марта, выпущенном во вторник, новое обновление качества от 09.03.2025 - 2025.03 B Обновления безопасности для Windows. В этом обновлении нет критических проблем, которые требовали бы ускоренного развертывания, но администраторы находят возможный конфликт. Чтобы получить время на проверку возможных проблем, администраторы используют политику круга обновления Windows, чтобы создать политику отсрочки на семь дней. Все управляемые устройства не смогут установить это обновление до 14 марта.

5. Теперь рассмотрим следующие результаты для устройств Test-1 и Test-2 в зависимости от того, когда каждое из этих устройств будет включено снова:

   • Устройство Test-1 — 12 марта устройство Test-1 включается снова, подключается к сети и получает уведомления о срочных обновлениях:

     1. Центр обновления Windows определяет, что устройству Test-1 все еще необходимо ускорить установку обновления в соответствии с политикой.
     2. Поскольку обновление от 9 марта заменяет февральское обновление, Центр обновления Windows может установить обновление от 9 марта.
     3. Для мартовского обновления существует активная отсрочка, которая истечет 14 марта.

     Результат. Если политика отсрочки для мартовского обновления по-прежнему активна и блокирует установку этого обновления, тест устройства 1 устанавливает февральские обновления, как указано в политике.

   • Устройство Test-2 — 20 марта устройство Test-2 включается снова, подключается к сети и получает уведомления о срочных обновлениях:

     1. Центр обновления Windows определяет, что устройству Test-2 все еще необходимо ускорить установку обновления в соответствии с политикой.
     2. Поскольку обновление от 9 марта заменяет февральское обновление, Центр обновления Windows может установить обновление от 9 марта.
     3. Для мартовского обновления больше нет активной отсрочки.

     Результат: так как политика отсрочки для мартовского обновления истекла, на устройстве Test-2 будет установлено самое свежее обновление за март с пропуском февральского обновления и с установкой более позднего обновления, чем указано в политике.

Управление политиками ускорения

1. В Центре администрирования Microsoft Intune выберите Устройства>Windows Обновления.
2. Перейдите на вкладку Исправления и выберите политику, которой вы хотите управлять. Политика откроется на панели Обзор.

На этой панели можно:

• Нажать кнопку Удалить, чтобы удалить политику из Intune. При удалении политики она удаляется из Intune но не удаляет обновление, если установка уже завершена. клиентский компонент Центра обновления Windows попытается отменить все выполняющиеся установки, но успешная отмена выполняемой установки не может быть гарантирована.
• Выбрать Свойства, чтобы изменить развертывание. На панелиСвойства выберите Изменить, чтобы открыть раздел Параметры, Теги области или Назначения, в которых можно изменить развертывание.

Наблюдение и отчеты

После создания политики ускорения можно отслеживать результаты, состояние обновления и ошибки из следующих отчетов. Выберите каждую вкладку, чтобы узнать больше о отчетах.