Gestão gratuita de patches do Windows com um RMM auto-hospedado

O que este guia cobre

O RMMZit é uma ferramenta gratuita e de código aberto (AGPLv3) de monitorização e gestão remota (RMM). Os seus agentes indicam que atualizações do Windows faltam em cada computador, e a consola instala-as — à mão, para um ou muitos dispositivos, ou sozinha, segundo o calendário de uma política. A mesma consola atualiza os programas instalados através do winget e, se quiser, do Chocolatey. Não há preço por dispositivo nem nuvem de um fornecedor: o servidor corre na sua rede.

• O que é preciso
• Como os agentes encontram as atualizações em falta
• A vista geral das atualizações
• Instalar atualizações à mão
• Instalação automática com uma política
• Anéis de atualização: primeiro os dispositivos de teste
• Reinícios
• Janelas de manutenção
• Software de terceiros com o winget
• Alertas, relatórios e vulnerabilidades
• Limites
• Próximos passos

O que é preciso

• Um servidor RMMZit a funcionar, com agentes nos seus computadores. Se ainda não tem um, siga primeiro o guia Instalar um RMM auto-hospedado e registar os primeiros computadores.
• Computadores Windows: Windows 10 / 11 ou Windows Server 2016 e mais recentes, 64 bits. Para software de terceiros, o winget (App Installer), que vem com as versões atuais do Windows 10 e 11.
• Computadores Linux (opcional): Debian e Ubuntu com apt, ou a família RHEL com dnf.
• Uma conta de técnico ou administrador na consola; o servidor de email em Configurações → Monitorização e alertas se quiser alertas e relatórios por email.

Como os agentes encontram as atualizações em falta

O agente pergunta ao Windows Update, no computador, que atualizações faltam: alguns minutos depois de arrancar e depois duas vezes por dia. O resultado vai para o servidor, e a consola mostra-o juntamente com a hora da última pesquisa.

Para que as atualizações não cheguem em momentos aleatórios, o agente desliga por política a instalação automática do Windows Update. A partir daí, as atualizações só são instaladas a partir do RMMZit, à mão ou segundo o seu calendário. Quando o agente é removido, as definições anteriores do Windows Update voltam.

No Linux, o agente lê as atualizações de pacotes disponíveis através do apt (atualizações de segurança dos repositórios -security) ou do dnf (atualizações de segurança a partir da informação de atualização) e instala os pacotes que escolher. A instalação automática descrita abaixo aplica-se também aos dispositivos Linux.

A vista geral das atualizações

A página Atualizações lista os dispositivos com atualizações em falta (as de segurança contadas à parte), os dispositivos à espera de reinício, e a última instalação e a última pesquisa de cada dispositivo. Os filtros mostram, por exemplo, apenas as Atualizações de segurança em falta. Pesquisar agora inicia logo uma pesquisa, sem esperar pela seguinte.

Instalar atualizações à mão

1. Abra um dispositivo e o seu separador Atualizações. Lista as atualizações em falta com a categoria e a gravidade, e as instaladas recentemente. As de segurança já vêm selecionadas; as de funcionalidades nunca.
2. Selecione as atualizações e clique em Instalar selecionadas. Se marcar Reiniciar automaticamente se necessário (em 5 minutos, com aviso), o computador reinicia após a instalação quando uma atualização o exige.
3. A instalação corre como tarefa em Atividade, que mostra o resultado quando termina. Se ainda for preciso reiniciar, o dispositivo indica-o e pode reiniciá-lo a partir da sua página.

Para muitos computadores de uma vez, abra Dispositivos, filtre a lista, escolha os dispositivos com as caixas à frente deles e selecione Procurar atualizações ou Instalar as atualizações de segurança em Com os dispositivos escolhidos. Os dispositivos offline recebem a ação quando se ligam.

Instalação automática com uma política

A instalação automática faz parte de uma política. Cada cliente tem a sua própria política Default; em Políticas altera-a ou cria outras e atribui-as a um cliente, um local ou um único dispositivo com Atribuir a. Para cada parte vale a atribuição mais específica: a política do dispositivo, depois a do local, depois a do cliente.

A parte Windows Update de uma política escolhe o que o servidor instala sozinho:

• Desligado: as atualizações só são instaladas a partir da consola — o valor predefinido integrado.
• Atualizações de segurança e críticas, definições do Defender.
• Todas as atualizações exceto as de funcionalidades — as novas versões do Windows nunca são instaladas automaticamente.

Depois escolha quando: Nestes dias, nesta hora (hora do servidor) ou Na janela de manutenção. Os dispositivos ligados nessa altura instalam uma vez nesse dia; os offline esperam pelo próximo dia agendado. O separador Política de um dispositivo mostra que política define a sua parte Windows Update e as definições que se aplicam.

Anéis de atualização: primeiro os dispositivos de teste

O campo Anel de atualização: esperar após uma nova atualização (dias) adia a instalação automática (0–60 dias). Com 7 dias, um dispositivo só instala uma atualização 7 dias depois de o servidor a ter visto pela primeira vez. Dê a alguns computadores de teste uma política com 0 dias e aos restantes uma com 7 dias: os problemas aparecem primeiro nos computadores de teste. As definições do Defender nunca esperam.

Reinícios

Reiniciar quando uma atualização precisar tem três opções:

• Nunca automaticamente — é o próprio a reiniciar o computador.
• Automaticamente 5 minutos após a instalação, com um aviso ao usuário conectado.
• Perguntar ao usuário; reiniciar automaticamente após o prazo — o ícone do RMMZit junto ao relógio pede ao utilizador com sessão iniciada que reinicie, de novo a cada 4 horas. Prazo (dias que o usuário pode adiar) define durante quanto tempo (0–30 dias); depois, o servidor reinicia o computador com um aviso de 10 minutos, na janela de manutenção se o dispositivo tiver uma.

O separador Política do dispositivo mostra um reinício pendente e o seu prazo. A pergunta de reinício aparece no idioma de apresentação do Windows do utilizador.

Janelas de manutenção

A parte Janelas de manutenção de uma política define quando os dispositivos podem estar ocupados — um intervalo semanal, por exemplo ao sábado a partir das 22:00 durante 4 horas (hora do servidor); Adicionar uma janela acrescenta mais. As atualizações do Windows e dos programas definidas como Na janela de manutenção correm nessa altura, e um reinício com o prazo ultrapassado espera pela janela seguinte. Com Sem novos alertas durante uma janela de manutenção, os dispositivos não abrem novos alertas enquanto uma janela está aberta; os alertas já abertos ficam como estão.

Software de terceiros com o winget

As atualizações do Windows não cobrem navegadores, leitores de PDF nem compressores. O separador Programas de um dispositivo Windows cobre: Atualizações disponíveis lista os programas que o winget pode atualizar, e Atualizar tudo atualiza-os — ou atualiza programas individuais. Instalar um programa pesquisa o repositório da comunidade do winget (por exemplo 7-Zip ou Chrome) e instala um programa em silêncio para todos os utilizadores. Na lista de dispositivos, Atualizar programas (winget) faz o mesmo para muitos dispositivos.

Para manter os programas atualizados automaticamente, ative a parte Atualizações de programas de uma política. Atualiza os programas instalados que têm uma versão mais recente, uma vez em cada dia escolhido à hora escolhida ou na janela de manutenção. Os programas da lista Não atualizar (IDs de pacotes ou partes de nomes, um por linha) ficam intactos, e o anel de atualização também funciona aqui: Anel de atualização: esperar após uma nova versão (dias). Cada execução aparece em Atividade do dispositivo.

O Chocolatey pode ser adicionado como segunda fonte pública em Software → Fontes públicas; a parte Atualizações de programas pode então atualizar também os programas instalados através dele. Com Software obrigatório numa política, o servidor instala os programas que todos os dispositivos Windows da política devem ter.

Alertas, relatórios e vulnerabilidades

• Reinícios pendentes: a regra de alerta Reinício pendente e ligado há mais de (dias) de uma política abre um alerta para computadores que esperam demasiado tempo por um reinício. Os alertas seguem por email, para o Slack ou o Microsoft Teams, ou para um webhook.
• Relatórios: em Relatórios, escolha um cliente e um período e clique em Mostrar relatório. A sua parte sobre atualizações lista as atualizações e as atualizações de segurança em falta por dispositivo, os dispositivos à espera de reinício e as instalações de atualizações no período. Configurações → Relatórios envia-o ao cliente todas as semanas ou todos os meses.
• Vulnerabilidades: quando um administrador ativa a análise em Vulnerabilidades, o servidor compara de 6 em 6 horas os programas instalados com bases de dados públicas de vulnerabilidades; só são enviados nomes e versões de programas. As regras de alerta de uma política podem abrir um alerta para as críticas (CVSS 9 ou mais). Atualizar o programa corrige-as.

Limites

• As atualizações de funcionalidades (novas versões do Windows) nunca são instaladas automaticamente.
• Os calendários usam a hora do servidor. Um dispositivo tem de estar ligado à hora agendada; caso contrário, espera pelo próximo dia agendado.
• As atualizações de programas cobrem os programas que o winget conhece (e o Chocolatey, se adicionado); os programas que o winget não consegue atualizar são ignorados e indicados como tal.
• A análise de vulnerabilidades cobre os programas instalados; o próprio Windows é coberto pelas atualizações do Windows.
• Parar uma instalação em curso termina a tarefa do agente, mas o Windows pode ainda assim concluir a atualização que está a instalar nesse momento.
• São suportados Windows e Linux; ainda não existe agente para macOS.

Próximos passos

Comece pela política Default do cliente: escolha Atualizações de segurança e críticas, definições do Defender, uma janela de manutenção e um prazo de reinício, e dê a alguns computadores de teste uma política própria com um anel mais curto. Se ainda não tem servidor, o guia Instalar um RMM auto-hospedado e registar os primeiros computadores leva cerca de meia hora, e a página de transferência explica cada forma de o instalar.

Tudo o que o RMMZit faz está na página de funcionalidades; a referência completa é a documentação. As perguntas são bem-vindas nas GitHub Discussions. Empresas podem contratar suporte comercial da MaxZit (somente em inglês).