О чём это руководство
RMMZit — бесплатный инструмент с открытым кодом (AGPLv3) для удалённого мониторинга и управления (RMM). Его агенты сообщают, каких обновлений Windows не хватает на каждом компьютере, а консоль устанавливает их — вручную, на одном или многих устройствах, или сама по расписанию политики. Та же консоль обновляет установленные программы через winget и, если хотите, Chocolatey. Никакой платы за устройство и никакого облака поставщика: сервер работает в вашей сети.
- Что понадобится
- Как агенты находят недостающие обновления
- Обзор обновлений
- Установка обновлений вручную
- Автоматическая установка через политику
- Кольца обновлений: сначала тестовые устройства
- Перезагрузки
- Окна обслуживания
- Сторонние программы через winget
- Оповещения, отчёты и уязвимости
- Ограничения
- Что дальше
Что понадобится
- Работающий сервер RMMZit с агентами на компьютерах. Если его ещё нет, сначала пройдите руководство Установка self-hosted RMM и подключение первых компьютеров.
- Компьютеры Windows: Windows 10 / 11 или Windows Server 2016 и новее, 64-бит. Для сторонних программ — winget (App Installer), который входит в актуальные Windows 10 и 11.
- Компьютеры Linux (по желанию): Debian и Ubuntu с apt или семейство RHEL с dnf.
- Учётная запись техника или администратора в консоли; почтовый сервер в Настройки → Мониторинг и оповещения, если оповещения и отчёты нужны по почте.
Как агенты находят недостающие обновления
Агент спрашивает Windows Update на компьютере, каких обновлений не хватает: через несколько минут после запуска и затем дважды в день. Результат уходит на сервер, и консоль показывает его вместе со временем последнего поиска.
Чтобы обновления не приходили в случайное время, агент через политику отключает автоматическую установку Windows Update. С этого момента обновления устанавливаются только из RMMZit, вручную или по вашему расписанию. При удалении агента прежние настройки Windows Update возвращаются.
В Linux агент читает доступные обновления пакетов через apt (обновления безопасности из источников -security) или dnf (обновления безопасности по сведениям об обновлениях) и устанавливает выбранные пакеты. Описанная ниже автоматическая установка действует и для устройств Linux.
Обзор обновлений
Страница Обновления показывает устройства с недостающими обновлениями (обновления безопасности считаются отдельно), устройства, ожидающие перезагрузки, а также последнюю установку и последний поиск каждого устройства. Фильтры показывают, например, только Недостающие обновления безопасности. Искать сейчас сразу запускает поиск, не дожидаясь следующего планового.
Установка обновлений вручную
- Откройте устройство и его вкладку Обновления. Там перечислены недостающие обновления с категорией и важностью, а также недавно установленные. Обновления безопасности уже отмечены; обновления функций — никогда.
- Отметьте обновления и нажмите Установить выбранные. Если включить При необходимости перезагружать автоматически (через 5 минут, с уведомлением), компьютер после установки перезагрузится, когда этого требует обновление.
- Установка выполняется как задача в разделе Действия, где после завершения виден результат. Если перезагрузка всё ещё нужна, устройство это показывает, и его можно перезагрузить с его страницы.
Для многих компьютеров сразу откройте Устройства, отфильтруйте список, отметьте устройства флажками перед ними и в С выбранными устройствами выберите Искать обновления или Установить обновления безопасности. Устройства не в сети получат действие, когда подключатся.
Определения Defender (Security Intelligence Update) выходят несколько раз в день, каждое с новым ID обновления. Когда вы устанавливаете одно из них, агент сначала снова выполняет поиск и устанавливает ту версию определений, которую Windows Update предлагает в этот момент.
Автоматическая установка через политику
Автоматическая установка — часть политики. У каждого клиента есть своя политика Default; в разделе Политики её можно изменить или создать другие и кнопкой Назначить выдать их клиенту, площадке или отдельному устройству. Для каждой части действует самое конкретное назначение: политика устройства, затем площадки, затем клиента.
Часть Windows Update политики определяет, что сервер устанавливает сам:
- Выключено: обновления устанавливаются только из консоли — встроенное значение по умолчанию.
- Обновления безопасности и критические, определения Defender.
- Все обновления, кроме обновлений функций — новые версии Windows никогда не устанавливаются автоматически.
Затем выберите время: В эти дни, в этот час (время сервера) или В окне обслуживания. Устройства, которые в это время в сети, устанавливают обновления один раз в этот день; устройства не в сети ждут следующего запланированного дня. Вкладка Политика устройства показывает, какая политика задаёт его часть Windows Update и какие настройки действуют.
Кольца обновлений: сначала тестовые устройства
Поле Кольцо обновлений: ждать после выхода обновления (дней) откладывает автоматическую установку (0–60 дней). При 7 днях устройство устанавливает обновление только через 7 дней после того, как сервер впервые его увидел. Дайте нескольким тестовым компьютерам политику с 0 днями, а остальным — с 7 днями: проблемы сначала проявятся на тестовых компьютерах. Определения Defender никогда не ждут.
Перезагрузки
У параметра Перезагрузка, когда её требует обновление три варианта:
- Никогда автоматически — вы перезагружаете компьютер сами.
- Автоматически через 5 минут после установки, с уведомлением вошедшему пользователю.
- Спросить пользователя; после срока перезагрузить автоматически — значок RMMZit рядом с часами просит вошедшего пользователя перезагрузиться, повторяя каждые 4 часа. Срок (дней, на которые пользователь может отложить) задаёт, как долго (0–30 дней); после него сервер перезагружает компьютер с предупреждением за 10 минут, в окне обслуживания, если оно есть у устройства.
Вкладка Политика устройства показывает ожидающую перезагрузку и её срок. Вопрос о перезагрузке появляется на языке интерфейса Windows пользователя.
Окна обслуживания
Часть Окна обслуживания политики задаёт, когда устройства могут быть заняты, — еженедельный интервал, например суббота с 22:00 на 4 часа (время сервера); Добавить окно добавляет ещё. Обновления Windows и программ, настроенные на В окне обслуживания, выполняются в это время, а перезагрузка с истёкшим сроком ждёт следующего окна. С параметром Без новых оповещений во время окна обслуживания устройства не открывают новых оповещений, пока окно открыто; уже открытые оповещения остаются как есть.
Сторонние программы через winget
Обновления Windows не охватывают браузеры, программы для PDF и архиваторы. Вкладка Программы устройства Windows охватывает: Доступны обновления показывает программы, которые winget может обновить, а Обновить все обновляет их — или вы обновляете отдельные программы. Установить программу ищет в репозитории сообщества winget (например, 7-Zip или Chrome) и тихо устанавливает программу для всех пользователей. В списке устройств Обновить программы (winget) делает то же для многих устройств.
Чтобы программы обновлялись автоматически, включите часть Обновления программ политики. Она обновляет установленные программы, для которых есть более новая версия, один раз в каждый выбранный день в выбранный час или в окне обслуживания. Программы из списка Не обновлять (ID пакетов или части названий, по одному в строке) не трогаются, а кольцо обновлений работает и здесь: Кольцо обновлений: ждать после выхода новой версии (дней). Каждый запуск виден в разделе Действия устройства.
Chocolatey можно добавить вторым общедоступным источником в Программы → Общедоступные источники; тогда часть Обновления программ может обновлять и установленные через него программы. С частью Обязательные программы политики сервер устанавливает программы, которые должны быть на каждом устройстве Windows этой политики.
Оповещения, отчёты и уязвимости
- Ожидающие перезагрузки: правило оповещения Ожидается перезагрузка и работает дольше (дней) в политике открывает оповещение для компьютеров, которые слишком долго ждут перезагрузки. Оповещения уходят по почте, в Slack или Microsoft Teams или на webhook.
- Отчёты: в разделе Отчёты выберите клиента и период и нажмите Показать отчёт. Его часть об обновлениях показывает недостающие обновления и недостающие обновления безопасности по устройствам, устройства, ожидающие перезагрузки, и установки обновлений за период. Настройки → Отчёты отправляет его клиенту каждую неделю или каждый месяц.
- Уязвимости: когда администратор включает проверку в разделе Уязвимости, сервер каждые 6 часов сравнивает установленные программы с общедоступными базами уязвимостей; отправляются только названия и версии программ. Правила оповещений политики могут открывать оповещение для критических (CVSS 9 и выше). Обновление программы их устраняет.
Ограничения
- Обновления функций (новые версии Windows) никогда не устанавливаются автоматически.
- Расписания используют время сервера. Устройство должно быть в сети в запланированный час, иначе оно ждёт следующего запланированного дня.
- Обновления программ охватывают программы, известные winget (и Chocolatey, если он добавлен); программы, которые winget обновить не может, пропускаются, и об этом сообщается.
- Проверка уязвимостей охватывает установленные программы; саму Windows покрывают обновления Windows.
- Остановка идущей установки завершает задачу агента, но Windows всё же может довести до конца обновление, которое устанавливает в этот момент.
- Поддерживаются Windows и Linux; агента для macOS пока нет.
Что дальше
Начните с политики Default клиента: выберите Обновления безопасности и критические, определения Defender, окно обслуживания и срок перезагрузки, а нескольким тестовым компьютерам дайте отдельную политику с более коротким кольцом. Если сервера ещё нет, руководство Установка self-hosted RMM и подключение первых компьютеров займёт около получаса, а страница загрузки описывает каждый способ установки.
Всё, что умеет RMMZit, — на странице возможностей; полное описание — в документации. Вопросы можно задать в GitHub Discussions. Компании могут получить коммерческую поддержку от MaxZit (только на английском).