本指南涵盖的内容
RMMZit 是免费的开源（AGPLv3）远程监控与管理（RMM）工具。它的代理报告每台计算机缺少哪些 Windows 更新，控制台负责安装——可以手动为一台或多台设备安装，也可以按策略的计划自动安装。同一个控制台还通过 winget（如果需要，也可以通过 Chocolatey）更新已安装的程序。没有按设备收费，也不经过厂商的云：服务器在你的网络中运行。
准备工作
- 一台正在运行的 RMMZit 服务器，计算机上已装好代理。如果还没有，请先按照安装自托管 RMM 并注册第一批计算机操作。
- Windows 计算机：Windows 10 / 11 或 Windows Server 2016 及更高版本，64 位。第三方程序需要 winget（App Installer），当前的 Windows 10 和 11 已自带。
- Linux 计算机（可选）：使用 apt 的 Debian 和 Ubuntu，或使用 dnf 的 RHEL 系列。
- 控制台中的技术员或管理员帐户；如需通过电子邮件接收警报和报告，请在设置 → 监控与警报中配置邮件服务器。
代理如何查找缺少的更新
代理会询问计算机上的 Windows Update 缺少哪些更新：在启动几分钟后进行一次，之后每天两次。结果发送到服务器，控制台会连同上次搜索的时间一起显示。
为了不让更新在随机时间到来，代理会通过策略关闭 Windows Update 的自动安装。此后，更新只从 RMMZit 安装——手动或按你的计划。移除代理后，之前的 Windows Update 设置会恢复。
在 Linux 上，代理通过 apt（安全更新来自 -security 源）或 dnf（安全更新来自更新信息）读取可用的软件包更新，并安装你选择的软件包。下面介绍的自动安装同样适用于 Linux 设备。
更新概览
更新页面列出缺少更新的设备（安全更新单独计数）、等待重启的设备，以及每台设备的上次安装和上次搜索。例如，可以用筛选只显示缺少的安全更新。立即搜索会马上开始搜索，而不必等待下一次例行搜索。
手动安装更新
- 打开一台设备及其更新选项卡。这里列出缺少的更新及其类别和严重性，以及最近安装的更新。安全更新已预先选中；功能升级从不预选。
- 选择更新并点击安装所选。如果勾选必要时自动重启（5 分钟后，并发出提示），当某个更新需要重启时，计算机会在安装后重启。
- 安装作为任务在活动中运行，完成后在那里显示结果。如果仍需重启，设备会显示出来，你可以在设备页面上重启它。
要同时处理多台计算机，请打开设备，筛选列表，用前面的复选框选择设备，然后在对所选设备下选择搜索更新或安装安全更新。离线设备会在连接时收到该操作。
Defender 定义（Security Intelligence Update）每天发布多次，每次都有新的更新 ID。安装其中一个时，代理会先重新搜索，然后安装 Windows Update 此刻提供的定义版本。
通过策略自动安装
自动安装是策略的一部分。每个客户都有自己的策略 Default；在策略中可以修改它或创建其他策略，并通过分配给将其分配给客户、站点或单台设备。对每个部分，最具体的分配生效：先是设备的策略，然后是站点的，再然后是客户的。
策略的 Windows Update 部分决定服务器自动安装哪些内容：
- 关闭：仅从控制台安装更新——内置默认值。
- 安全和关键更新、Defender 定义。
- 除功能升级外的所有更新——新的 Windows 版本从不自动安装。
然后选择时间：在这些日期的这个小时（服务器时间）或在维护时间窗口内。届时在线的设备当天安装一次；离线设备等待下一个计划日。设备的策略选项卡显示由哪个策略设置其 Windows Update 部分以及生效的设置。
更新环：先在测试设备上安装
更新环：更新发布后等待（天）字段会推迟自动安装（0–60 天）。设为 7 天时，设备在服务器首次看到某个更新 7 天后才安装它。给几台测试计算机一个 0 天的策略，给其他计算机一个 7 天的策略，问题就会先在测试计算机上暴露。Defender 定义从不等待。
重启
更新需要时重启有三个选项：
- 从不自动——由你自己重启计算机。
- 安装后 5 分钟自动重启，并通知已登录用户。
- 询问用户；期限过后自动重启——时钟旁的 RMMZit 图标会请已登录用户重启，每 4 小时再问一次。期限（用户可推迟的天数）决定可推迟多久（0–30 天）；期限过后，服务器会提前 10 分钟通知并重启计算机，如果设备有维护时间窗口，则在窗口内进行。
设备的策略选项卡显示待处理的重启及其期限。重启提示以用户 Windows 的显示语言出现。
维护时间窗口
策略的维护时间窗口部分决定设备何时可以忙碌——每周的一个时间段，例如周六 22:00 起 4 小时（服务器时间）；添加时间窗口可添加更多。设置为在维护时间窗口内的 Windows 更新和程序更新在此时运行，超过期限的重启会等待下一个窗口。启用维护时间窗口内不产生新警报后，窗口打开期间设备不会产生新警报；已打开的警报保持不变。
用 winget 管理第三方软件
Windows 更新不涵盖浏览器、PDF 阅读器或压缩软件。Windows 设备的程序选项卡可以处理它们：可用更新列出 winget 能够更新的程序，全部更新会更新它们——也可以逐个更新。安装程序在 winget 社区存储库中搜索（例如 7-Zip 或 Chrome），并为所有用户静默安装程序。在设备列表中，更新程序（winget）可以对多台设备执行同样的操作。
要让程序自动保持最新，请启用策略的程序更新部分。它会在每个所选日期的所选小时或维护时间窗口内，对有新版本的已安装程序更新一次。不更新列表中的程序（软件包 ID 或名称的一部分，每行一个）不会被改动；更新环在这里同样有效：更新环：新版本发布后等待（天）。每次运行都显示在设备的活动中。
可以在软件 → 公共来源中将 Chocolatey 添加为第二个公共来源；之后程序更新部分也可以更新通过它安装的程序。策略中的必需软件可让服务器安装该策略下每台 Windows 设备都必须有的程序。
警报、报告和漏洞
- 待处理的重启：策略中的警报规则等待重启且运行超过（天）会为等待重启过久的计算机产生警报。警报可通过电子邮件、Slack 或 Microsoft Teams 或 webhook 发送。
- 报告：在报告中选择客户和时间段，然后点击显示报告。其中的更新部分列出每台设备缺少的更新和缺少的安全更新、等待重启的设备以及该时间段内的更新安装。设置 → 报告可每周或每月将报告发送给客户。
- 漏洞：管理员在漏洞中启用扫描后，服务器每 6 小时将已安装的程序与公共漏洞数据库比对；只发送程序名称和版本。策略的警报规则可以为严重漏洞（CVSS 9 或以上）产生警报。更新程序即可修复它们。
限制
- 功能升级（新的 Windows 版本）从不自动安装。
- 计划使用服务器时间。设备必须在计划的小时在线，否则等待下一个计划日。
- 程序更新涵盖 winget 认识的程序（以及已添加的 Chocolatey）；winget 无法更新的程序会被跳过，并如实报告。
- 漏洞扫描涵盖已安装的程序；Windows 本身由 Windows 更新负责。
- 停止正在进行的安装会结束代理的任务，但 Windows 仍可能完成它当时正在安装的更新。
- 支持 Windows 和 Linux；目前还没有 macOS 代理。
下一步
从客户的 Default 策略开始：选择安全和关键更新、Defender 定义，设置一个维护时间窗口和重启期限，并给几台测试计算机一个更新环更短的单独策略。如果还没有服务器，安装自托管 RMM 并注册第一批计算机大约需要半小时，下载页面介绍了每种安装方式。
RMMZit 的全部功能见功能页面，完整参考见文档。欢迎在 GitHub Discussions 提问。企业可以从 MaxZit 获得商业支持（仅提供英文服务）。