Czego dotyczy ten poradnik
RMMZit to darmowe narzędzie open source (AGPLv3) do zdalnego monitorowania i zarządzania (RMM). Jego agenty zgłaszają, których aktualizacji Windows brakuje na każdym komputerze, a konsola je instaluje — ręcznie, na jednym lub wielu urządzeniach, albo sama według harmonogramu zasady. Ta sama konsola aktualizuje zainstalowane programy przez winget i, jeśli chcesz, Chocolatey. Bez opłat za urządzenie i bez chmury dostawcy: serwer działa w Twojej sieci.
- Czego potrzebujesz
- Jak agenty znajdują brakujące aktualizacje
- Przegląd aktualizacji
- Ręczna instalacja aktualizacji
- Automatyczna instalacja przez zasadę
- Pierścienie aktualizacji: najpierw urządzenia testowe
- Restarty
- Okna serwisowe
- Programy innych firm przez winget
- Alerty, raporty i luki
- Ograniczenia
- Co dalej
Czego potrzebujesz
- Działającego serwera RMMZit z agentami na komputerach. Jeśli jeszcze go nie masz, najpierw skorzystaj z poradnika Instalacja RMM self-hosted i rejestracja pierwszych komputerów.
- Komputerów Windows: Windows 10 / 11 lub Windows Server 2016 i nowszy, 64-bit. Dla programów innych firm — winget (App Installer), dostarczanego z aktualnym Windows 10 i 11.
- Komputerów Linux (opcjonalnie): Debian i Ubuntu z apt lub rodzina RHEL z dnf.
- Konta technika lub administratora w konsoli; serwera poczty w Ustawienia → Monitorowanie i alerty, jeśli chcesz dostawać alerty i raporty e-mailem.
Jak agenty znajdują brakujące aktualizacje
Agent pyta Windows Update na komputerze, których aktualizacji brakuje: kilka minut po uruchomieniu, a potem dwa razy dziennie. Wynik trafia na serwer, a konsola pokazuje go razem z czasem ostatniego wyszukiwania.
Aby aktualizacje nie przychodziły w przypadkowych chwilach, agent wyłącza zasadami automatyczną instalację Windows Update. Od tej pory aktualizacje są instalowane tylko z RMMZit, ręcznie lub według Twojego harmonogramu. Po usunięciu agenta wracają poprzednie ustawienia Windows Update.
W Linuksie agent odczytuje dostępne aktualizacje pakietów przez apt (aktualizacje zabezpieczeń z repozytoriów -security) lub dnf (aktualizacje zabezpieczeń z informacji o aktualizacjach) i instaluje wybrane pakiety. Opisana niżej automatyczna instalacja dotyczy również urządzeń z Linuksem.
Przegląd aktualizacji
Strona Aktualizacje pokazuje urządzenia z brakującymi aktualizacjami (aktualizacje zabezpieczeń liczone osobno), urządzenia czekające na restart oraz ostatnią instalację i ostatnie wyszukiwanie każdego urządzenia. Filtry pokazują na przykład tylko Brakujące aktualizacje zabezpieczeń. Szukaj teraz od razu uruchamia wyszukiwanie, bez czekania na kolejne.
Ręczna instalacja aktualizacji
- Otwórz urządzenie i jego kartę Aktualizacje. Pokazuje brakujące aktualizacje z kategorią i ważnością oraz niedawno zainstalowane. Aktualizacje zabezpieczeń są już zaznaczone; aktualizacje funkcji nigdy.
- Zaznacz aktualizacje i kliknij Zainstaluj wybrane. Jeśli zaznaczysz W razie potrzeby uruchom ponownie automatycznie (za 5 minut, z powiadomieniem), komputer po instalacji uruchomi się ponownie, gdy aktualizacja tego wymaga.
- Instalacja działa jako zadanie w Aktywność, gdzie po zakończeniu widać wynik. Jeśli restart nadal jest potrzebny, urządzenie to pokazuje, a restart możesz uruchomić z jego strony.
Dla wielu komputerów naraz otwórz Urządzenia, przefiltruj listę, zaznacz urządzenia polami przed nimi i w Z wybranymi urządzeniami wybierz Wyszukaj aktualizacje lub Zainstaluj aktualizacje zabezpieczeń. Urządzenia offline otrzymają akcję, gdy się połączą.
Definicje Defendera (Security Intelligence Update) wychodzą kilka razy dziennie, każda z nowym identyfikatorem aktualizacji. Gdy instalujesz jedną z nich, agent najpierw ponownie wyszukuje i instaluje wersję definicji, którą Windows Update oferuje w tej chwili.
Automatyczna instalacja przez zasadę
Automatyczna instalacja jest częścią zasady. Każdy klient ma własną zasadę Default; w Zasady zmieniasz ją lub tworzysz inne i przypisujesz je klientowi, lokalizacji lub pojedynczemu urządzeniu przyciskiem Przypisz do. Dla każdej części obowiązuje najbardziej szczegółowe przypisanie: zasada urządzenia, potem lokalizacji, potem klienta.
Część Windows Update zasady określa, co serwer instaluje sam:
- Wyłączone: aktualizacje są instalowane tylko z konsoli — wbudowane ustawienie domyślne.
- Aktualizacje zabezpieczeń i krytyczne, definicje Defendera.
- Wszystkie aktualizacje oprócz aktualizacji funkcji — nowe wersje Windows nigdy nie są instalowane automatycznie.
Następnie wybierz kiedy: W te dni, o tej godzinie (czas serwera) lub W oknie serwisowym. Urządzenia, które są wtedy online, instalują raz tego dnia; urządzenia offline czekają na kolejny zaplanowany dzień. Karta Zasada urządzenia pokazuje, która zasada ustala jego część Windows Update i jakie ustawienia obowiązują.
Pierścienie aktualizacji: najpierw urządzenia testowe
Pole Pierścień aktualizacji: czekaj po nowej aktualizacji (dni) opóźnia automatyczną instalację (0–60 dni). Przy 7 dniach urządzenie instaluje aktualizację dopiero 7 dni po tym, jak serwer zobaczył ją po raz pierwszy. Daj kilku komputerom testowym zasadę z 0 dni, a pozostałym z 7 dniami — problemy pojawią się najpierw na komputerach testowych. Definicje Defendera nigdy nie czekają.
Restarty
Uruchom ponownie, gdy aktualizacja tego wymaga ma trzy opcje:
- Nigdy automatycznie — restartujesz komputer sam.
- Automatycznie 5 minut po instalacji, z powiadomieniem dla zalogowanego użytkownika.
- Zapytaj użytkownika; uruchom ponownie automatycznie po terminie — ikona RMMZit obok zegara prosi zalogowanego użytkownika o restart, ponownie co 4 godziny. Termin (dni, o które użytkownik może odłożyć) określa, jak długo (0–30 dni); potem serwer restartuje komputer z 10-minutowym ostrzeżeniem, w oknie serwisowym, jeśli urządzenie je ma.
Karta Zasada urządzenia pokazuje oczekujący restart i jego termin. Pytanie o restart pojawia się w języku wyświetlania Windows użytkownika.
Okna serwisowe
Część Okna serwisowe zasady określa, kiedy urządzenia mogą być zajęte — tygodniowy przedział, na przykład sobota od 22:00 przez 4 godziny (czas serwera); Dodaj okno dodaje kolejne. Aktualizacje Windows i programów ustawione na W oknie serwisowym działają wtedy, a restart po upływie terminu czeka na następne okno. Z opcją Bez nowych alertów w oknie serwisowym urządzenia nie otwierają nowych alertów, dopóki okno jest otwarte; już otwarte alerty pozostają bez zmian.
Programy innych firm przez winget
Aktualizacje Windows nie obejmują przeglądarek, czytników PDF ani archiwizatorów. Karta Programy urządzenia z Windows tak: Dostępne aktualizacje pokazuje programy, które winget może zaktualizować, a Zaktualizuj wszystko je aktualizuje — albo aktualizujesz pojedyncze programy. Zainstaluj program przeszukuje repozytorium społeczności winget (na przykład 7-Zip lub Chrome) i instaluje program po cichu dla wszystkich użytkowników. Na liście urządzeń Aktualizuj programy (winget) robi to samo dla wielu urządzeń.
Aby programy aktualizowały się automatycznie, włącz część Aktualizacje programów zasady. Aktualizuje ona zainstalowane programy, które mają nowszą wersję, raz w każdym wybranym dniu o wybranej godzinie lub w oknie serwisowym. Programy z listy Nie aktualizuj (identyfikatory pakietów lub fragmenty nazw, po jednym w wierszu) pozostają nietknięte, a pierścień aktualizacji działa i tutaj: Pierścień aktualizacji: czekaj po nowej wersji (dni). Każde uruchomienie widać w Aktywność urządzenia.
Chocolatey można dodać jako drugie źródło publiczne w Oprogramowanie → Źródła publiczne; część Aktualizacje programów może wtedy aktualizować także programy zainstalowane przez nie. Z Wymagane oprogramowanie w zasadzie serwer instaluje programy, które musi mieć każde urządzenie Windows objęte zasadą.
Alerty, raporty i luki
- Oczekujące restarty: reguła alertu Oczekuje restart i działa dłużej niż (dni) w zasadzie otwiera alert dla komputerów, które zbyt długo czekają na restart. Alerty trafiają e-mailem, do Slacka lub Microsoft Teams albo do webhooka.
- Raporty: w Raporty wybierz klienta i okres, a potem kliknij Pokaż raport. Jego część o aktualizacjach pokazuje brakujące aktualizacje i brakujące aktualizacje zabezpieczeń dla każdego urządzenia, urządzenia czekające na restart i instalacje aktualizacji w okresie. Ustawienia → Raporty wysyła go klientowi co tydzień lub co miesiąc.
- Luki: gdy administrator włączy skanowanie w Luki, serwer co 6 godzin porównuje zainstalowane programy z publicznymi bazami luk; wysyłane są tylko nazwy i wersje programów. Reguły alertów zasady mogą otwierać alert dla luk krytycznych (CVSS 9 lub więcej). Aktualizacja programu je usuwa.
Ograniczenia
- Aktualizacje funkcji (nowe wersje Windows) nigdy nie są instalowane automatycznie.
- Harmonogramy używają czasu serwera. Urządzenie musi być online o zaplanowanej godzinie; w przeciwnym razie czeka na kolejny zaplanowany dzień.
- Aktualizacje programów obejmują programy znane winget (i Chocolatey, jeśli dodano); programy, których winget nie potrafi zaktualizować, są pomijane i tak zgłaszane.
- Skanowanie luk obejmuje zainstalowane programy; sam Windows jest objęty aktualizacjami Windows.
- Zatrzymanie trwającej instalacji kończy zadanie agenta, ale Windows może mimo to dokończyć aktualizację, którą właśnie instaluje.
- Obsługiwane są Windows i Linux; agenta dla macOS jeszcze nie ma.
Co dalej
Zacznij od zasady Default klienta: wybierz Aktualizacje zabezpieczeń i krytyczne, definicje Defendera, okno serwisowe i termin restartu, a kilku komputerom testowym daj osobną zasadę z krótszym pierścieniem. Jeśli nie masz jeszcze serwera, poradnik Instalacja RMM self-hosted i rejestracja pierwszych komputerów zajmie około pół godziny, a strona pobierania opisuje każdy sposób instalacji.
Wszystko, co robi RMMZit, jest na stronie funkcji; pełnym opisem jest dokumentacja. Pytania mile widziane w GitHub Discussions. Firmy mogą skorzystać z płatnego wsparcia MaxZit (tylko po angielsku).