Ce que couvre ce guide
RMMZit est un outil gratuit et open source (AGPLv3) de supervision et de gestion à distance (RMM). Ses agents signalent les mises à jour Windows qui manquent sur chaque ordinateur, et la console les installe — à la main, pour un appareil ou plusieurs, ou d’elle-même selon le planning d’une stratégie. La même console met à jour les programmes installés via winget et, si vous le souhaitez, Chocolatey. Pas de prix par appareil ni de cloud d’un éditeur : le serveur tourne dans votre réseau.
- Ce qu’il faut
- Comment les agents trouvent les mises à jour manquantes
- La vue d’ensemble des mises à jour
- Installer des mises à jour à la main
- Installation automatique par stratégie
- Anneaux de mise à jour : les appareils de test d’abord
- Redémarrages
- Fenêtres de maintenance
- Logiciels tiers avec winget
- Alertes, rapports et vulnérabilités
- Limites
- Et ensuite
Ce qu’il faut
- Un serveur RMMZit en service, avec des agents sur vos ordinateurs. Si vous n’en avez pas encore, suivez d’abord le guide Installer un RMM auto-hébergé et inscrire les premiers ordinateurs.
- Des ordinateurs Windows : Windows 10 / 11 ou Windows Server 2016 et plus récent, 64 bits. Pour les logiciels tiers, winget (App Installer), fourni avec les versions actuelles de Windows 10 et 11.
- Des ordinateurs Linux (facultatif) : Debian et Ubuntu avec apt, ou la famille RHEL avec dnf.
- Un compte de technicien ou d’administrateur dans la console ; le serveur de messagerie sous Paramètres → Surveillance et alertes si vous voulez les alertes et les rapports par e-mail.
Comment les agents trouvent les mises à jour manquantes
L’agent demande à Windows Update, sur l’ordinateur, quelles mises à jour manquent : quelques minutes après son démarrage, puis deux fois par jour. Le résultat part au serveur, et la console l’affiche avec l’heure de la dernière recherche.
Pour que les mises à jour n’arrivent pas à n’importe quel moment, l’agent désactive par stratégie l’installation automatique de Windows Update. Dès lors, les mises à jour ne sont installées que depuis RMMZit, à la main ou selon votre planning. Quand l’agent est retiré, les réglages Windows Update précédents reviennent.
Sous Linux, l’agent lit les mises à jour de paquets disponibles via apt (mises à jour de sécurité issues des dépôts -security) ou dnf (mises à jour de sécurité issues des informations de mise à jour) et installe les paquets que vous choisissez. L’installation automatique décrite plus bas s’applique aussi aux appareils Linux.
La vue d’ensemble des mises à jour
La page Mises à jour liste les appareils auxquels il manque des mises à jour (les mises à jour de sécurité comptées à part), les appareils qui attendent un redémarrage, ainsi que la dernière installation et la dernière recherche de chaque appareil. Des filtres n’affichent par exemple que les Mises à jour de sécurité manquantes. Rechercher maintenant lance une recherche tout de suite, sans attendre la suivante.
Installer des mises à jour à la main
- Ouvrez un appareil et son onglet Mises à jour. Il liste les mises à jour manquantes avec leur catégorie et leur gravité, ainsi que celles installées récemment. Les mises à jour de sécurité sont déjà cochées ; les mises à niveau de fonctionnalités ne le sont jamais.
- Cochez les mises à jour et cliquez sur Installer la sélection. Si vous cochez Redémarrer automatiquement si nécessaire (dans 5 minutes, avec un avis), l’ordinateur redémarre après l’installation quand une mise à jour le demande.
- L’installation s’exécute comme une tâche sous Activité, qui affiche le résultat une fois terminée. Si un redémarrage reste nécessaire, l’appareil l’indique et vous pouvez le redémarrer depuis sa page.
Pour de nombreux ordinateurs à la fois, ouvrez Appareils, filtrez la liste, cochez les appareils avec les cases devant eux et choisissez Rechercher des mises à jour ou Installer les mises à jour de sécurité sous Avec les appareils choisis. Les appareils hors ligne reçoivent l’action à leur connexion.
Les définitions Defender (Security Intelligence Update) sortent plusieurs fois par jour, chacune avec un nouvel identifiant de mise à jour. Quand vous en installez une, l’agent refait d’abord une recherche et installe la version de définitions que Windows Update propose à ce moment.
Installation automatique par stratégie
L’installation automatique fait partie d’une stratégie. Chaque client a sa propre stratégie Default ; sous Stratégies, vous la modifiez ou en créez d’autres et les donnez à un client, un site ou un seul appareil avec Attribuer à. Pour chaque partie, l’attribution la plus spécifique l’emporte : la stratégie de l’appareil, puis celle du site, puis celle du client.
La partie Windows Update d’une stratégie choisit ce que le serveur installe de lui-même :
- Désactivé : les mises à jour ne sont installées que depuis la console — le réglage par défaut intégré.
- Mises à jour de sécurité et critiques, définitions Defender.
- Toutes les mises à jour sauf les mises à niveau de fonctionnalités — les nouvelles versions de Windows ne sont jamais installées automatiquement.
Choisissez ensuite le moment : Ces jours-là, à cette heure (heure du serveur) ou Dans la fenêtre de maintenance. Les appareils en ligne à ce moment installent une fois ce jour-là ; les appareils hors ligne attendent le prochain jour planifié. L’onglet Stratégie d’un appareil montre quelle stratégie fixe sa partie Windows Update et les réglages qui s’appliquent.
Anneaux de mise à jour : les appareils de test d’abord
Le champ Anneau de mise à jour : attendre après une nouvelle mise à jour (jours) retarde l’installation automatique (0 à 60 jours). Avec 7 jours, un appareil n’installe une mise à jour que 7 jours après que le serveur l’a vue pour la première fois. Donnez à quelques ordinateurs de test une stratégie à 0 jour et aux autres une stratégie à 7 jours : les problèmes apparaissent d’abord sur les ordinateurs de test. Les définitions Defender n’attendent jamais.
Redémarrages
Redémarrer quand une mise à jour le demande offre trois choix :
- Jamais automatiquement — vous redémarrez l’ordinateur vous-même.
- Automatiquement 5 minutes après l'installation, avec un avis à l'utilisateur connecté.
- Demander à l'utilisateur ; redémarrer automatiquement après l'échéance — l’icône RMMZit près de l’horloge demande à l’utilisateur connecté de redémarrer, à nouveau toutes les 4 heures. Échéance (jours de report possibles pour l'utilisateur) fixe la durée (0 à 30 jours) ; ensuite, le serveur redémarre l’ordinateur avec un avis de 10 minutes, dans la fenêtre de maintenance si l’appareil en a une.
L’onglet Stratégie de l’appareil montre un redémarrage en attente et son échéance. La demande de redémarrage s’affiche dans la langue d’affichage du Windows de l’utilisateur.
Fenêtres de maintenance
La partie Fenêtres de maintenance d’une stratégie fixe quand les appareils peuvent être occupés — une plage hebdomadaire, par exemple le samedi à partir de 22:00 pendant 4 heures (heure du serveur) ; Ajouter une fenêtre en ajoute d’autres. Les mises à jour Windows et les mises à jour des programmes réglées sur Dans la fenêtre de maintenance s’exécutent alors, et un redémarrage dont l’échéance est passée attend la fenêtre suivante. Avec Aucune nouvelle alerte pendant une fenêtre de maintenance, les appareils n’ouvrent pas de nouvelle alerte tant qu’une fenêtre est ouverte ; les alertes déjà ouvertes restent telles quelles.
Logiciels tiers avec winget
Les mises à jour Windows ne couvrent pas les navigateurs, les lecteurs PDF ni les archiveurs. L’onglet Programmes d’un appareil Windows, si : Mises à jour disponibles liste les programmes que winget peut mettre à jour, et Tout mettre à jour les met à jour — ou vous mettez à jour des programmes un par un. Installer un programme cherche dans le dépôt communautaire de winget (par exemple 7-Zip ou Chrome) et installe un programme en silence pour tous les utilisateurs. Dans la liste des appareils, Mettre à jour les programmes (winget) fait de même pour de nombreux appareils.
Pour garder les programmes à jour automatiquement, activez la partie Mises à jour des programmes d’une stratégie. Elle met à jour les programmes installés qui ont une version plus récente, une fois chaque jour choisi à l’heure choisie ou dans la fenêtre de maintenance. Les programmes de la liste Ne pas mettre à jour (identifiants de paquets ou parties de noms, un par ligne) ne sont pas touchés, et l’anneau de mise à jour fonctionne ici aussi : Anneau de mise à jour : attendre après une nouvelle version (jours). Chaque exécution apparaît sous Activité de l’appareil.
Chocolatey peut être ajouté comme seconde source publique sous Logiciels → Sources publiques ; la partie Mises à jour des programmes peut alors mettre à jour aussi les programmes installés par ce biais. Avec Logiciels requis dans une stratégie, le serveur installe les programmes que chaque appareil Windows de la stratégie doit avoir.
Alertes, rapports et vulnérabilités
- Redémarrages en attente : la règle d’alerte Redémarrage en attente et allumé depuis plus de (jours) d’une stratégie ouvre une alerte pour les ordinateurs qui attendent un redémarrage depuis trop longtemps. Les alertes partent par e-mail, vers Slack ou Microsoft Teams, ou vers un webhook.
- Rapports : sous Rapports, choisissez un client et une période, puis cliquez sur Afficher le rapport. Sa partie sur les mises à jour liste les mises à jour et les mises à jour de sécurité manquantes par appareil, les appareils qui attendent un redémarrage et les installations de mises à jour de la période. Paramètres → Rapports l’envoie au client chaque semaine ou chaque mois.
- Vulnérabilités : quand un administrateur active l’analyse sous Vulnérabilités, le serveur compare toutes les 6 heures les programmes installés avec des bases publiques de vulnérabilités ; seuls les noms et versions des programmes sont envoyés. Les règles d’alerte d’une stratégie peuvent ouvrir une alerte pour les vulnérabilités critiques (CVSS 9 ou plus). Mettre à jour le programme les corrige.
Limites
- Les mises à niveau de fonctionnalités (nouvelles versions de Windows) ne sont jamais installées automatiquement.
- Les plannings utilisent l’heure du serveur. Un appareil doit être en ligne à l’heure prévue ; sinon il attend le prochain jour planifié.
- Les mises à jour des programmes couvrent les programmes que winget connaît (et Chocolatey, s’il est ajouté) ; les programmes que winget ne peut pas mettre à jour sont ignorés et signalés comme tels.
- L’analyse des vulnérabilités couvre les programmes installés ; Windows lui-même est couvert par les mises à jour Windows.
- Arrêter une installation en cours met fin à la tâche de l’agent, mais Windows peut tout de même terminer la mise à jour qu’il installe à ce moment.
- Windows et Linux sont pris en charge ; il n’existe pas encore d’agent macOS.
Et ensuite
Commencez par la stratégie Default du client : choisissez Mises à jour de sécurité et critiques, définitions Defender, une fenêtre de maintenance et une échéance de redémarrage, et donnez à quelques ordinateurs de test leur propre stratégie avec un anneau plus court. Si vous n’avez pas encore de serveur, le guide Installer un RMM auto-hébergé et inscrire les premiers ordinateurs prend environ une demi-heure, et la page de téléchargement présente chaque façon de l’installer.
Tout ce que fait RMMZit est sur la page des fonctionnalités ; la référence complète est la documentation. Les questions sont les bienvenues dans les GitHub Discussions. Les entreprises peuvent obtenir un support commercial de MaxZit (en anglais uniquement).