Tags: Gruppenrichtlinien, Patch-Management, Windows 10, WSUS
Mit Windows as a Service entstand das Bedürfnis, die Installation von Funktions-Upgrades zu verschieben. Auch die monatlichen kumulativen Updates sollen meist nicht sofort installiert werden. Die zuständigen GPO-Einstellungen änderten sich aber laufend. Microsoft vereinheitlicht diese Optionen nun für fast alle Releases.
Das große Aufräumen bei den GPO-Einstellungen für Windows Update spiegelt sich auch in der kürzlich veröffentlichten Update Baseline wider. Sie deaktiviert einen Großteil der über die Jahre gewachsenen Optionen.
Microsoft reduziert automatische Feature-Updates
Microsoft hat anlässlich von Windows 10 2004 den Rollout von Feature-Updates geändert, und zwar den Zeitpunkt, ab dem neue Releases automatisch installiert werden. Davon sind künftig nur noch Systeme betroffen, deren Windows 10 sich dem Support-Ende nähert.
Bei allen anderen Versionen muss der Anwender das Feature-Update manuell auslösen. Microsoft zufolge erhalten daher viele Rechner nur mehr einmal pro Jahr eine neue Version von Windows 10.
Offenbar benötigen Endbenutzer deswegen keine Möglichkeit mehr, Upgrades explizit zurückzustellen. Die entsprechende Option hat Microsoft aus der App Einstellungen entfernt.
In zentral verwalteten Umgebungen spielt sie aber ohnehin keine Rolle, wenn der Aufschub für Feature-Updates über GPOs erfolgt oder diese über WSUS verteilt werden.
Konsolidierung mit Fokus auf WUfB
Microsoft nimmt außerdem das vermehrte Arbeiten von zu Hause oder unterwegs zum Anlass, WUfB als Alternative zu WSUS zu propagieren. Hier stellt sich nämlich oft das Problem, dass Updates vom firmeninternen WSUS-Server über eine (relativ langsame) VPN-Verbindung bezogen werden.
In die gleiche Kerbe haut auch ein kürzlich erschienener Blog-Beitrag zu diesem Thema, der sich primär um den Aufschub von Updates dreht.
Für Admins, die WSUS für das Patchen von Windows nutzen, reduziert sich dieses Problem darauf, die Updates zeitgerecht zu genehmigen, um die Sicherheit der Systeme zu gewährleisten bzw. nicht den Support-Zeitraum für das installierte Release zu überschreiten.
Stellt man jedoch auf WUfB um, dann muss das Einspielen von Updates mit Hilfe von Gruppenrichtlinien steuern. Die Optionen zum Aufschieben von Updates haben sich mit den verschiedenen Releases von Windows 10 aber ständig verändert. Das betraf die maximal möglichen Fristen ebenso wie die laufenden Umstellungen bei den Verteilerringen.
Feature-Updates verzögern
Für Windows 10 ab der Version 1903 heißt die Einstellung für diesen Zweck Zeitpunkt für den Empfang von Vorabversionen und Funktionsupdates auswählen. Hier kann man für Feature-Updates maximal 365 Tage einstellen.
Darüber hinaus lassen sich die Updates über das Feld Vorabversionen und Funktionsupdates aussetzen ab bis zu 35 Tage pausieren. Theoretisch könnte man diese Einstellung alle 34 Tage um die volle Frist verlängern, um einen unbegrenzt langen Aufschub zu erreichen.
Unbegrenzter Aufschub durch neue Einstellung
Da dies nicht sehr praktikabel ist, führte Microsoft mit Windows 10 2004 die Einstellung Zielversion des Funktionsupdates auswählen ein. Sie greift aber schon bei allen Releases ab 1803 und erlaubt es, eine beliebige zukünftige Version zu definieren, bis zu der alle Upgrades übersprungen werden. Damit erhalten Admins den gleichen Spielraum für das Verteilen von Feature-Updates wie mit WSUS.
Qualitäts-Updates
Beim Ausrollen von Qualitäts-Updates empfiehlt Microsoft, keinen zeitlichen Verzug festzulegen (über Beim Empfang von Qualitätsupdates auswählen, was die Übersetzung von Select when Quality Updates are received sein soll).
Vielmehr soll man hier mit der in 1903 eingeführten Einstellung Stichtage für automatische Updates und Neustarts angeben dafür sorgen, dass der Aufschub für Updates ab deren Erscheinen gezählt wird.
Sie greift jetzt auch bei allen Releases ab Windows 10 1709 und sorgt dafür, dass die Rechner nach Ablauf der Frist auch gleich gestartet werden.
Täglich Know-how für IT-Pros mit unserem Newsletter
Verwandte Beiträge
- Update Baseline: Microsofts empfohlene GPO-Einstellungen für Windows-Updates
- Update-Klassifizierungen in WSUS für Windows 10/11 auswählen
- Microsoft mustert 25 Gruppenrichtlinien für Windows Update aus
- WSUS aus der Cloud: Microsoft kündigt Windows Update for Business Deployment Service an
- Delivery Optimization (Übermittlungsoptimierung) zusammen mit WSUS nutzen
Weitere Links
2 Kommentare
Hallo Wolfgang, danke das du an dem Thema dran bleibst. Vielleicht solltest du auch mal in techcommunity.microsoft.com bloggen.
"Hier kann man für Feature-Updates maximal 365 Tage einstellen." ab 2004 ADMX, rückwirkend für alte Releases, wie schon anderweitig gesagt, sollen es nun auch mehr Tage sein. Hast du dies schon verifiziert?
^ obsolet. Wer lesen kann.. später hast du es ja nun erwähnt.