Update-Methoden für Azure Virtual Machines im Überblick

Darüber hinaus gibt es noch die Update-Verwaltung mit Azure Automation, das hier nicht zur Sprache kommt. Updates für Clients unter Windows 10 / 11 würde man hingegen typischerweise über Intune bzw. Microsoft Endpoint Manager verteilen.

Automatische VM-Gast-Patches

Automatische VM-Gast-Patches für Azure-VMs lädt generell sämtliche kritischen Updates und alle Sicherheits-Patches automatisch herunter und wendet diese auf die betreffende VM an.

Zum Ermitteln der Patches, die für eine VM anwendbar sind, überprüft Azure die VM mehrmals innerhalb eines 30-Tage-Zeitraums und installiert die Patches an jedem beliebigen Tag, aber außerhalb der Spitzenzeiten der VM, abhängig von der Zeitzone.

Das Bewerten und Installieren der Updates erfolgt selbständig, der Vorgang umfasst zudem den Neustart der VM, sofern erforderlich. Dies soll sicherstellen, dass fehlende Patches zum frühest­möglichen Zeitpunkt erkannt werden. Um Patches installieren zu können, muss die VM allerdings auch außerhalb der Spitzenzeiten ausgeführt werden.

Wird sie im Verlauf einer periodischen Bewertung ausgeschaltet, bewertet Azure sie automatisch und die anwendbaren Patches werden dann bei der nächsten periodischen Bewertung (in der Regel innerhalb weniger Tage) installiert, sofern die wieder VM eingeschaltet wurde.

Achtung: Automatische VM-Gast-Patches für Azure-VMs installiert keine Definitions-Updates oder andere Patches, sondern ausschließlich solche, die als kritisch sind. Um zusätzliche Patches zu installieren, benötigen Sie die Update-Verwaltung von Azure.

Auswahl der Patches

Welche Patches genau installiert werden, hängt von der Rollout-Phase der VM ab, denn Azure startet jeden Monat ein neues globales Rollout, in dessen Verlauf es sämtliche für eine VM bewerteten kritischen und Sicherheits-Patches installiert.

Azure orchestriert den Rollout über alle Azure-Regionen hinweg in Schüben, wobei die Anzahl der installierten Patches von der VM-Konfiguration, einschließlich des Betriebs­systems (Windows bzw. Linux) und dem Bewertungs­zeitpunkt abhängt.

So kann es vorkommen, dass auf zwei prinzipiell identischen VMs unterschiedliche Patches installiert werden, wenn diese nicht in der gleichen Region sind und die Patch-Orchestrierung verschiedene Regionen zu verschiedenen Zeiten erreicht.

Anders herum können zwei VMs zwar in derselben Region sein, aber zu verschiedenen Zeit­punkten bewertet werden (aufgrund der Zugehörigkeit zu unterschiedlicher Verfügbar­keitszonen oder -gruppen) und deswegen unter­schiedliche Patches erhalten.

Bei Betriebssystemen, die Patches in einem festgelegten Rhythmus erhalten (etwa Windows-VMs, die für das öffentliche Windows Update-Repository konfiguriert sind), können die  VMs also davon ausgehen, dass sie in den verschiedenen Rollout-Phasen eines Monats immer den gleichen Satz an Patches bekommen.

Unterstützung von Betriebssystemen

Die beschriebenen automatischen VM-Gast-Patches unterstützen ein bedarfs­gesteuertes Bewerten und Installieren von Patches nur für VMs, die aus Images erstellt wurden, welche exakt die richtige Kombination aus Herausgeber, Angebot und SKU enthalten.

Derzeit funktioniert dies für:

• Windows Server 2022 (Datacenter, Datacenter-Core, Datacenter-Azure-Edition, Datacenter-Azure-Edition-Smalldisk,
• Windows Server 2019 (Datacenter, Datacenter-Core)
• Windows Server 2016 (Datacenter, Datacenter-Server-Core)
• Windows Server 2012-R2-Datacenter
• Windows Server 2008-R2-SP1
• SUSE-Linux (sles-12,sp5, sles-15-sp2)
• Red Hat (7.2 bis 7.9, 8 bis 8.4)
• Ubuntu (18.04 LTS, Pro-18.04-LTS, 20.04 LTS, Pro-20.04-LTS)
• die CentOS-Version von OpenLogic in den gleichen Versionen wie bei Red Hat

Das bedeutet auch, dass benutzer­definierte Images oder andere Herausgeber-, Angebots- und SKU-Kombinationen dafür nicht in Betracht kommen.

Falls Sie sich fragen, wie Sie an die vielen verschiedenen Windows-Versionen kommen, nachdem im Bereitstellungs­assistenten zum Beispiel für Windows Server 2022 nur die Azure-Editionen angeboten werden, dann klicken Sie direkt darunter auf Alle Images anzeigen und dann unterhalb von Windows Server auf Auswählen.

Verfügbarkeits-Updates

Sofern Sie keine Einzel-VM in Azure betreiben, sondern von den unterstützen Verfügbarkeits-Optionen in Azure profitieren möchten, was zu einem höheren SLA führt, müssen Sie auf jeden Fall das Azure-orchestrierte Patchen wählen.

Dieses wird von Azure global für alle VMs orchestriert, die für das automatische VM-Gast-Patchen aktiviert sind. Dabei erfolgt die Orchestrierung nach Verfügbarkeits­prinzipien, die sich an den Verfügbarkeits­stufen für Azure-VMs orientieren.

Durchläuft eine Gruppe von Azure-VMs ein Update, dann koordiniert die Plattform die Updates nach unterschied­lichen Prinzipen, je nachdem, ob sich diese in verschiedenen Regionen, innerhalb einer Region oder innerhalb einer Verfügbarkeits­gruppe befinden. Details dazu finden Sie in der Dokumentation.

Weitergehende Optionen

Möchten Sie mehr Einfluss auf das Patching nehmen und beispielsweise nicht nur kritische oder Sicherheits-Patches installieren oder im Zuge des Updates-Vorgangs verschiedene Pre- und Post-Scripts einbinden, dann müssen Sie zur Azure Update-Verwaltung greifen.