Co tento návod pokrývá
RMMZit je bezplatný nástroj s otevřeným kódem (AGPLv3) pro vzdálený dohled a správu (RMM). Jeho agenti hlásí, které aktualizace Windows na každém počítači chybí, a konzole je instaluje — ručně, pro jedno nebo mnoho zařízení, nebo sama podle plánu zásady. Stejná konzole aktualizuje nainstalované programy přes winget a, pokud chcete, Chocolatey. Žádná cena za zařízení a žádný cloud dodavatele: server běží ve vaší síti.
Co potřebujete
- Běžící server RMMZit s agenty na počítačích. Pokud ho ještě nemáte, projděte nejdřív návod Instalace self-hosted RMM a registrace prvních počítačů.
- Počítače s Windows: Windows 10 / 11 nebo Windows Server 2016 a novější, 64bitové. Pro software třetích stran winget (App Installer), který je součástí aktuálních Windows 10 a 11.
- Počítače s Linuxem (volitelně): Debian a Ubuntu s apt, nebo rodina RHEL s dnf.
- Účet technika nebo správce v konzoli; e-mailový server v Nastavení → Monitorování a upozornění, pokud chcete upozornění a sestavy e-mailem.
Jak agenti hledají chybějící aktualizace
Agent se ptá Windows Update na počítači, které aktualizace chybí: několik minut po spuštění a pak dvakrát denně. Výsledek jde na server a konzole ho zobrazí spolu s časem posledního hledání.
Aby aktualizace nepřicházely v náhodnou dobu, agent zásadami vypne automatickou instalaci Windows Update. Od té chvíle se aktualizace instalují jen z RMMZit, ručně nebo podle vašeho plánu. Po odebrání agenta se vrátí předchozí nastavení Windows Update.
Na Linuxu agent čte dostupné aktualizace balíčků přes apt (bezpečnostní aktualizace ze zdrojů -security) nebo dnf (bezpečnostní aktualizace z informací o aktualizacích) a instaluje balíčky, které vyberete. Automatická instalace popsaná níže platí i pro zařízení s Linuxem.
Přehled aktualizací
Stránka Aktualizace ukazuje zařízení s chybějícími aktualizacemi (bezpečnostní se počítají zvlášť), zařízení čekající na restart a poslední instalaci a poslední hledání každého zařízení. Filtry ukážou například jen Chybějící bezpečnostní aktualizace. Hledat nyní spustí hledání hned, bez čekání na další pravidelné.
Ruční instalace aktualizací
- Otevřete zařízení a jeho kartu Aktualizace. Ukazuje chybějící aktualizace s kategorií a závažností a nedávno nainstalované. Bezpečnostní aktualizace jsou už vybrané; aktualizace funkcí nikdy.
- Vyberte aktualizace a klikněte na Instalovat vybrané. Když zaškrtnete V případě potřeby automaticky restartovat (za 5 minut, s upozorněním), počítač se po instalaci restartuje, pokud to aktualizace vyžaduje.
- Instalace běží jako úloha v Aktivita, kde se po dokončení ukáže výsledek. Pokud je restart stále potřeba, zařízení to ukáže a restart můžete spustit z jeho stránky.
Pro mnoho počítačů najednou otevřete Zařízení, vyfiltrujte seznam, vyberte zařízení zaškrtávacími poli před nimi a v S vybranými zařízeními zvolte Hledat aktualizace nebo Nainstalovat bezpečnostní aktualizace. Zařízení offline dostanou akci, až se připojí.
Definice Defenderu (Security Intelligence Update) vycházejí několikrát denně, každá s novým ID aktualizace. Když jednu instalujete, agent nejdřív znovu vyhledá a nainstaluje verzi definic, kterou Windows Update v tu chvíli nabízí.
Automatická instalace pomocí zásady
Automatická instalace je součástí zásady. Každý zákazník má vlastní zásadu Default; v Zásady ji měníte nebo vytváříte další a tlačítkem Přiřadit k je dáváte zákazníkovi, pobočce nebo jednomu zařízení. Pro každou část platí nejkonkrétnější přiřazení: zásada zařízení, pak pobočky, pak zákazníka.
Část Windows Update zásady určuje, co server instaluje sám:
- Vypnuto: aktualizace se instalují jen z konzole — vestavěné výchozí nastavení.
- Bezpečnostní a kritické aktualizace, definice Defenderu.
- Všechny aktualizace kromě aktualizací funkcí — nové verze Windows se nikdy neinstalují automaticky.
Pak zvolte kdy: V tyto dny, v tuto hodinu (čas serveru), nebo V okně údržby. Zařízení, která jsou tehdy online, instalují jednou ten den; zařízení offline čekají na další naplánovaný den. Karta Zásada zařízení ukazuje, která zásada určuje jeho část Windows Update a jaká nastavení platí.
Kruhy aktualizací: nejdřív testovací zařízení
Pole Kruh aktualizací: čekat po vydání aktualizace (dny) odkládá automatickou instalaci (0–60 dní). Při 7 dnech zařízení nainstaluje aktualizaci až 7 dní poté, co ji server poprvé viděl. Dejte několika testovacím počítačům zásadu s 0 dny a ostatním zásadu se 7 dny — problémy se pak ukážou nejdřív na testovacích počítačích. Definice Defenderu nikdy nečekají.
Restarty
Restart, když ho aktualizace vyžaduje má tři možnosti:
- Nikdy automaticky — počítač restartujete sami.
- Automaticky 5 minut po instalaci, s upozorněním přihlášenému uživateli.
- Zeptat se uživatele; po termínu restartovat automaticky — ikona RMMZit vedle hodin žádá přihlášeného uživatele o restart, znovu každé 4 hodiny. Termín (dny, o které může uživatel odložit) určuje jak dlouho (0–30 dní); potom server restartuje počítač s 10minutovým upozorněním, v okně údržby, pokud ho zařízení má.
Karta Zásada zařízení ukazuje čekající restart a jeho termín. Dotaz na restart se zobrazí v jazyce zobrazení Windows uživatele.
Okna údržby
Část Okna údržby zásady určuje, kdy smějí být zařízení zaneprázdněná — týdenní časový úsek, například sobota od 22:00 na 4 hodiny (čas serveru); Přidat okno přidá další. Aktualizace Windows a programů nastavené na V okně údržby pak běží a restart po termínu čeká na další okno. S volbou Žádná nová upozornění během okna údržby zařízení během otevřeného okna neotevírají nová upozornění; už otevřená upozornění zůstávají, jak jsou.
Software třetích stran přes winget
Aktualizace Windows nepokrývají prohlížeče, čtečky PDF ani archivační programy. Karta Programy zařízení s Windows ano: Dostupné aktualizace ukazuje programy, které winget umí aktualizovat, a Aktualizovat vše je aktualizuje — nebo aktualizujete jednotlivé programy. Nainstalovat program hledá v komunitním repozitáři winget (například 7-Zip nebo Chrome) a nainstaluje program potichu pro všechny uživatele. V seznamu zařízení dělá totéž pro mnoho zařízení Aktualizovat programy (winget).
Aby se programy aktualizovaly samy, zapněte část Aktualizace programů zásady. Aktualizuje nainstalované programy, které mají novější verzi, jednou v každém zvoleném dni ve zvolenou hodinu nebo v okně údržby. Programy ze seznamu Neaktualizovat (ID balíčků nebo části názvů, jeden na řádek) zůstanou netknuté a kruh aktualizací funguje i zde: Kruh aktualizací: čekat po vydání nové verze (dny). Každé spuštění je vidět v Aktivita zařízení.
Chocolatey lze přidat jako druhý veřejný zdroj v Software → Veřejné zdroje; část Aktualizace programů pak může aktualizovat i programy nainstalované přes něj. S Požadovaný software v zásadě server instaluje programy, které musí mít každé zařízení s Windows dané zásady.
Upozornění, sestavy a zranitelnosti
- Čekající restarty: pravidlo upozornění Čeká na restart a běží déle než (dny) v zásadě otevře upozornění pro počítače, které na restart čekají příliš dlouho. Upozornění chodí e-mailem, do Slacku nebo Microsoft Teams, nebo na webhook.
- Sestavy: v Sestavy zvolte zákazníka a období a klikněte na Zobrazit sestavu. Její část o aktualizacích ukazuje chybějící aktualizace a chybějící bezpečnostní aktualizace po zařízeních, zařízení čekající na restart a instalace aktualizací v období. Nastavení → Sestavy ji posílá zákazníkovi každý týden nebo měsíc.
- Zranitelnosti: když správce zapne kontrolu v Zranitelnosti, server každých 6 hodin porovná nainstalované programy s veřejnými databázemi zranitelností; odesílají se jen názvy a verze programů. Pravidla upozornění zásady mohou otevřít upozornění pro kritické (CVSS 9 a více). Aktualizace programu je odstraní.
Omezení
- Aktualizace funkcí (nové verze Windows) se nikdy neinstalují automaticky.
- Plány používají čas serveru. Zařízení musí být v naplánovanou hodinu online; jinak čeká na další naplánovaný den.
- Aktualizace programů pokrývají programy, které winget zná (a Chocolatey, je-li přidán); programy, které winget aktualizovat neumí, se přeskočí a tak se i nahlásí.
- Kontrola zranitelností pokrývá nainstalované programy; samotný Windows pokrývají aktualizace Windows.
- Zastavení běžící instalace ukončí úlohu agenta, ale Windows může aktualizaci, kterou právě instaluje, přesto dokončit.
- Podporované jsou Windows a Linux; agent pro macOS zatím není.
Co dál
Začněte zásadou Default zákazníka: zvolte Bezpečnostní a kritické aktualizace, definice Defenderu, okno údržby a termín restartu a několika testovacím počítačům dejte vlastní zásadu s kratším kruhem. Pokud ještě nemáte server, návod Instalace self-hosted RMM a registrace prvních počítačů zabere asi půl hodiny a stránka ke stažení popisuje každý způsob instalace.
Vše, co RMMZit umí, je na stránce funkcí; úplným popisem je dokumentace. Dotazy jsou vítány v GitHub Discussions. Firmy mohou získat komerční podporu od MaxZit (pouze v angličtině).