Die Aktualisierung von Betriebssystemen auf einer wachsenden Zahl von Endpunkten kann schwierig werden, wenn IT-Teams wiederholt nach verfügbaren Updates suchen, entscheiden müssen, welche Patches installiert werden sollen, Wartungsfenster koordinieren und Geräte nachverfolgen, die nicht erfolgreich aktualisiert wurden.
Splashtop AEM (autonomes Endpunktmanagement) bietet zentrales OS-Patch-Management für Windows- und macOS-Geräte. IT-Teams können in Splashtop AEM Endpunktrichtlinien verwenden, um festzulegen, wie verwaltete Computer nach Updates suchen, welche Updates genehmigt werden sollen, wann genehmigte Updates installiert werden sollen und wie Geräte mit erforderlichen Neustarts umgehen sollen. Nachdem eine Richtlinie bereitgestellt wurde, können Administratoren die OS-Patch-Ansichten verwenden, um den Patch-Status zu überwachen und bei Bedarf direkt einzugreifen.
Diese Anleitung führt Sie durch die Konfiguration eines automatisierten OS-Patching-Workflows mit Splashtop AEM und zeigt Ihnen, wie Sie die Ergebnisse nach Anwendung der Richtlinie überwachen.
Was Sie vor der Automatisierung von OS-Patching benötigen
Ihr Team muss Splashtop AEM aktiviert haben, um OS Patch in Endpunktrichtlinien zu verwenden.
Endpunktrichtlinien sind plattformspezifisch, daher werden Richtlinien für Windows und macOS separat konfiguriert. Richtlinien können dann einzelnen Computern oder Computergruppen zugewiesen werden.
So automatisieren Sie OS-Patching mit Splashtop AEM
1. Erstellen oder wählen Sie eine Endpunktrichtlinie aus
Öffnen Sie in der Splashtop-Webkonsole Automation > Endpoint Policies.
Sie können eine neue Richtlinie erstellen oder eine vorhandene Richtlinie bearbeiten. Richtlinien können als aktiviert oder deaktiviert erstellt werden. Splashtop AEM unterstützt auch die Richtlinienvererbung, mit der Sie gemeinsame Einstellungen in einer übergeordneten Richtlinie festlegen und untergeordnete Richtlinien erstellen können, wenn bestimmte Gruppen oder Computer andere Einstellungen erfordern.
Ein IT-Team könnte beispielsweise für die meisten Produktivgeräte eine standardmäßige Windows-Endpunktrichtlinie verwenden und gleichzeitig untergeordnete Richtlinien für Computer nutzen, die andere Patch-Einstellungen erfordern.
2. Aktivieren Sie OS Patch in der Richtlinie
Aktivieren Sie nach dem Öffnen der Richtlinie die Funktion OS Patch.
Funktionen in einer neuen Endpunktrichtlinie sind standardmäßig deaktiviert, sodass Administratoren auswählen, welche Funktionen jede Richtlinie steuert. Sobald OS Patch aktiviert ist, zeigt die Richtlinie die Einstellungen an, mit denen Scans, Genehmigungen, Installationszeitpläne und das Neustartverhalten verwaltet werden.
3. Wählen Sie aus, wie das Betriebssystem Updates verarbeitet
Im Abschnitt Update Settings wird das grundlegende Update-Verhalten auf verwalteten Endpunkten festgelegt.
Splashtop AEM bietet derzeit drei Optionen:
Lassen Sie das Betriebssystem Updates automatisch installieren
Updates herunterladen, aber mich entscheiden lassen, ob ich sie installieren möchte
Nach Updates suchen, aber selbst entscheiden, ob sie heruntergeladen und installiert werden sollen
Die zweite Option, bei der Updates heruntergeladen werden, während die Installation unter der Kontrolle des Administrators bleibt, ist die Standardeinstellung.
Die passende Einstellung hängt davon ab, wie viel Kontrolle Sie dem Betriebssystem selbst geben möchten. Die verbleibenden Richtlinieneinstellungen können dann verwendet werden, um festzulegen, wie Splashtop AEM nach Updates sucht, Patches genehmigt, die Installation plant und Neustarts verarbeitet.
4. Konfigurieren Sie den Zeitplan für die Suche nach OS-Updates
Konfigurieren Sie als Nächstes, wann verwaltete Endpunkte nach verfügbaren Betriebssystem-Updates suchen sollen.
Der Scan-Zeitplan kann ausgeführt werden:
Täglich zu einer festgelegten Uhrzeit
Wöchentlich an ausgewählten Tagen und zu einer festgelegten Uhrzeit
Monatlich an ausgewählten Daten und zu einer festgelegten Uhrzeit
Es gibt auch eine Option, einen Scan auszuführen, wenn ein Computer seine vorherige geplante Aufgabe verpasst hat. Bei einer neu erstellten oder kürzlich geänderten Richtlinie wird diese Option ab der nächsten geplanten Scan-Zeit wirksam.
Der Scan-Zeitplan steuert, wann Splashtop AEM nach verfügbaren Patches sucht. Der Installationszeitplan wird separat konfiguriert, sodass Administratoren steuern können, wann Updates erkannt und wann genehmigte Updates tatsächlich installiert werden.
Sie können Geräte zum Beispiel so konfigurieren, dass sie regelmäßig nach neuen Patches suchen, während Installationen auf ein genehmigtes Wartungsfenster beschränkt werden.
5. Legen Sie Genehmigungsregeln für Betriebssystem-Patches fest
Im Abschnitt Genehmigungen wird festgelegt, wie Splashtop AEM Patches basierend auf ihrer Wichtigkeit behandelt.
Jeder anwendbaren Kategorie kann eine von drei Aktionen zugewiesen werden:
Genehmigen: Das Update wird genehmigt und gemäß dem konfigurierten Update-Zeitplan installiert.
Manuell: Das Update bleibt ausstehend, bis ein Administrator entscheidet, was damit geschehen soll.
Ignorieren: Das Update wird ausgeschlossen, wenn es verfügbar wird.
Genehmigungsregeln sind für Windows und macOS verfügbar, wobei sich die verfügbaren Betriebssystem-Patch-Steuerungen zwischen den beiden Plattformen unterscheiden. Windows unterstützt Genehmigungen, Core Updates und Patch Overrides.
(Windows-Genehmigungen)
macOS unterstützt nur ein eingeschränktes Update-Management und unterstützt derzeit weder Core Updates noch Patch Overrides innerhalb von Endpoint Policies.
(Mac-Genehmigungen)
Dadurch ist die Genehmigungskonfiguration ein wichtiger Bestandteil des Automatisierungs-Workflows. Updates, die die Kriterien erfüllen, denen Sie für die automatisierte Bereitstellung vertrauen, können automatisch fortgesetzt werden, während Patches, die geprüft werden müssen, ausstehend bleiben können.
6. Konfigurieren Sie Windows Core Updates und Patch-Ausnahmen bei Bedarf
Windows-Richtlinien bieten zwei zusätzliche Steuerungsmöglichkeiten für Situationen, die eine spezifischere Handhabung erfordern.
Kernupdates
Splashtop AEM kann Core Updates für größere Windows-Upgrades verwalten. Dazu können Upgrades wie von Windows 10 auf Windows 11 oder größere Änderungen der Windows-Feature-Version gehören.
Da diese Updates umfangreichere Änderungen am Betriebssystem und längere Installationszeiten als routinemäßige Patches mit sich bringen können, können Administratoren sie getrennt von den standardmäßigen Update-Genehmigungen verwalten.
Patch-Überschreibungen
Mit Patch-Überschreibungen können Administratoren eine Ausnahme für ein bestimmtes Windows-Update erstellen.
So erstellen Sie eine Überschreibung:
Fügen Sie das Update anhand seiner KB-Nummer hinzu.
Geben Sie eine Beschreibung ein.
Weisen Sie diesem KB gezielt einen Genehmigungsstatus zu.
Die Überschreibung kann dieses Update dann anders behandeln als die allgemeine Genehmigungsregel.
Wenn eine Genehmigungsrichtlinie beispielsweise normalerweise zulässt, dass eine Kategorie von Updates automatisch installiert wird, kann eine bestimmte KB zur manuellen Prüfung zurückgehalten oder ignoriert werden.
7. Legen Sie den Installationszeitplan für Updates fest
Nachdem Sie festgelegt haben, welche Updates genehmigt werden sollen, konfigurieren Sie, wann diese Updates installiert werden sollen.
Der Update-Zeitplan bietet drei Ansätze:
Planen Sie die Installation für bestimmte Tage und Uhrzeiten.
Updates für einen festgelegten Zeitraum verschieben.
Installieren Sie Updates sofort, nachdem sie genehmigt wurden.
Die Zeitplanung trennt die Patch-Genehmigung von der Patch-Installation. Ein Update kann genehmigt werden, sobald es erkannt wird, und dennoch bis zum von Ihnen festgelegten Wartungsfenster für die Installation warten.
So erhalten IT-Teams eine wiederholbare Möglichkeit, Updates voranzubringen, ohne jede Bereitstellung einzeln initiieren zu müssen.
8. Neustartverhalten konfigurieren
Für einige OS-Patches ist ein Neustart erforderlich, bevor die Installation vollständig abgeschlossen ist. Mit Splashtop AEM können Administratoren im Rahmen der Richtlinie festlegen, wie diese erforderlichen Neustarts behandelt werden sollen.
Zu den verfügbaren Optionen gehört, den Endpunkt bei Bedarf automatisch neu zu starten oder unmittelbar nach Abschluss des Updates neu zu starten.
Bei Verwendung der automatischen Neustartoption kann der Neustart verzögert werden um:
15 Minuten
30 Minuten
45 Minuten
60 Minuten
Wenn ein Benutzer angemeldet ist, können Administratoren außerdem konfigurieren, wie der Benutzer benachrichtigt wird, und festlegen, wie der Neustart unter diesen Bedingungen erfolgen soll.
Die Neustarteinstellungen sollten die Endpunkte berücksichtigen, die von der Richtlinie abgedeckt werden. Eine Workstation, die während des gesamten Geschäftstags genutzt wird, benötigt möglicherweise ein anderes Neustartverhalten als ein Endpunkt, der direkt nach der Wartung neu gestartet werden kann.
9. Weisen Sie die Richtlinie Computern oder Gruppen zu
Sobald die Einstellungen für OS-Patches konfiguriert sind, weisen Sie die Richtlinie den Endpunkten zu, die ihr folgen sollen.
Wählen Sie unter Automation > Endpoint Policies die Richtlinie aus und dann Assign Group and Computer. Wählen Sie die passende Gruppe aus und weisen Sie die Richtlinie zu.
Richtlinien können auch auf andere Weise zugewiesen werden:
Öffnen Sie für einen einzelnen Computer die Properties des Computers und wählen Sie die Richtlinie aus.
Für eine Computergruppe gehen Sie zu Management > Grouping, erstellen oder bearbeiten Sie die Gruppe und wählen Sie die passende Richtlinie aus.
Standardmäßig folgen einzelne Computer ihrer Gruppenrichtlinie. Eine Richtlinie auf Computerebene kann verwendet werden, wenn für einen Endpunkt eine Ausnahme erforderlich ist.
Dadurch können IT-Teams eine gemeinsame Patch-Konfiguration für eine Gruppe verwenden und gleichzeitig die Möglichkeit behalten, bei Bedarf unterschiedliche Richtlinien anzuwenden.
So überwachen Sie den Status von OS-Patches nach der Bereitstellung der Richtlinie
Die Automatisierung sollte Administratoren dennoch Einblick darin geben, was nach der Ausführung einer Richtlinie passiert ist. Für die tägliche Verwaltung können IT-Teams mit dem Splashtop Dashboard beginnen, um einen Überblick über den Status von Endpunkten und Windows-Updates zu erhalten. Wenn etwas genauer geprüft werden muss, können Administratoren die relevanten OS-Patch-Ansichten aufrufen, um bestimmte Updates, betroffene Computer und verfügbare Aktionen zu überprüfen.
Überprüfen Sie Patches in Betriebssystem-Patch (Patch-Ansicht)
Wenn Sie detailliertere Patch-Informationen benötigen, gehen Sie zu:
Software > OS Patch (Patch View)
Wählen Sie Windows oder macOS aus, um die entsprechenden Updates anzuzeigen.
Patches sind in fünf Statusregisterkarten organisiert:
Ausstehend: Verfügbare Updates, die auf eine Aktion warten
Approved: Für die Installation zum geplanten Zeitpunkt freigegebene Updates
Fehlgeschlagen: Updates, die nicht erfolgreich installiert wurden und erneut versucht werden können
Installed: Erfolgreich installierte Updates
Ignoriert: Von der Installation ausgeschlossene Updates
Administratoren können Updates außerdem nach Gruppe, Auswahlstatus, Tagen seit der Veröffentlichung und Update-Kategorie filtern. Windows-Patches können anhand einer KB-Nummer oder des Update-Titels gesucht werden, während macOS-Updates nach Patchnamen durchsucht werden können.
Prüfen Sie, welche Computer von einem Update betroffen sind
Patch View ermöglicht Administratoren außerdem, sich ein einzelnes Update genauer anzusehen.
Wählen Sie ein Update aus, um die Computer anzuzeigen, auf denen dieser Patch verfügbar ist. Dies bietet eine direkte Möglichkeit, von der patchweiten Transparenz über die gesamte Geräteflotte zu den конкретen Geräten zu wechseln, die von einem Update betroffen sind.
Beispielsweise kann ein Administrator, der ein neu veröffentlichtes Update untersucht, sehen, welche verwalteten Endpunkte es noch benötigen, anstatt Computer einzeln zu überprüfen.
Ergreifen Sie Maßnahmen bei ausstehenden oder fehlgeschlagenen Updates
Endpunktrichtlinien sorgen für wiederkehrende Automatisierung, aber Administratoren können weiterhin eingreifen, wenn ein bestimmter Patch Aufmerksamkeit erfordert.
Die in der Patch-Ansicht verfügbaren Aktionen hängen vom Patch-Status ab:
Aus Ausstehend heraus kann ein Update genehmigt, ignoriert oder sofort angewendet werden.
Unter Genehmigt kann ein Update ignoriert oder sofort angewendet werden.
Unter Fehlgeschlagen kann ein Update erneut genehmigt oder erneut angewendet werden.
Unter Ignoriert kann ein Update genehmigt oder angewendet werden.
Von Installiert aus sind keine zusätzlichen Aktionen verfügbar.
Das ist nützlich, wenn ein Administrator außerhalb des normalen Zeitplans handeln, eine fehlgeschlagene Installation erneut versuchen oder ändern muss, wie ein bestimmtes Update behandelt wird.
Eine Veröffentlichung am Patch Tuesday ist ein Beispiel dafür, wann diese Flexibilität nützlich ist. Routine-Updates können weiterhin gemäß dem normalen Richtlinienzeitplan erfolgen, während Patches im Zusammenhang mit höher priorisierten oder aktiv ausgenutzten CVEs bei Bedarf früher geprüft und angewendet werden können.
Was ist beim OS-Patching unter macOS anders?
Der gesamte Workflow ist ähnlich, aber das Patchen von macOS hat mehrere Anforderungen und Einschränkungen, die Administratoren berücksichtigen sollten.
Für OS Patch innerhalb von Endpoint Policies:
Lokale Administratoranmeldedaten müssen konfiguriert werden, bevor macOS-Patches ausgeführt werden können.
Für größere macOS-Upgrades muss für das konfigurierte Administratorkonto Secure Token aktiviert sein.
Kleinere macOS-Updates erfordern in der Regel kein Secure Token.
Kernupdates und Patch-Überschreibungen sind derzeit für macOS innerhalb von Endpunkt-Richtlinien nicht verfügbar.
Anmeldedaten werden unter Management > Credential Management konfiguriert. Die Anmeldedaten können dann über die verfügbaren Einstellungen in Credential Management mit OS-Patch-Aktionen verknüpft werden. Nur der Team Owner und der Super Admin können Credential Management verwenden.
Bei größeren macOS-Upgrades sollten IT-Teams vor der Nutzung des Upgrade-Workflows prüfen, ob für das konfigurierte Konto Secure Token aktiviert ist.
Wann Sie stattdessen OS Patch (Computer View) verwenden sollten
Endpunktrichtlinien sind für die wiederholbare Automatisierung von OS-Patches auf verwalteten Computern konzipiert. Es gibt auch Situationen, in denen ein Administrator möglicherweise sofort auf bestimmten Endpunkten eingreifen muss.
Für diese Fälle bietet Splashtop AEM Software > Betriebssystem-Patch (Computer-Ansicht).
Computer View konzentriert sich auf das Patch-Management auf Geräteebene. Administratoren können Computer auswählen, nach verfügbaren Updates suchen, Updates auswählen und diese direkt anwenden.
Dadurch ist die Computer-Ansicht nützlich, wenn Sie einen bestimmten Endpunkt oder eine Gruppe von Endpunkten außerhalb des regulären automatisierten Zeitplans bearbeiten müssen.
Wenn beispielsweise ein dringender Patch sofort auf eine kleine Anzahl von Computern angewendet werden soll, kann ein Administrator die Computer View verwenden, anstatt auf den normalen Richtlinienzeitplan zu warten.
Die beiden Workflows dienen unterschiedlichen Zwecken:
Endpunktrichtlinien: Legen Sie wiederholbare Abläufe für Scans, Genehmigung, Installation und Neustart fest.
Patch View: Patches auf mehreren Geräten überwachen und verwalten.
Computer-Ansicht: Führen Sie gezielte Aktionen auf bestimmten Computern aus.
Zusammen ermöglichen diese Ansichten IT-Teams, routinemäßiges OS-Patching zu automatisieren und gleichzeitig die direkte Kontrolle zu behalten, wenn Ausnahmen Aufmerksamkeit erfordern.
OS-Patching mit Splashtop AEM automatisieren
Splashtop AEM bietet IT-Teams eine praktische Möglichkeit, das Management von OS-Patches auf Windows- und macOS-Geräten zu automatisieren und dabei die Kontrolle über Genehmigungen, Installationspläne, Neustarts und Ausnahmen zu behalten.
Anstatt Endpunkte manuell einzeln zu überprüfen und zu patchen, können Sie Endpunkt-Richtlinien verwenden, um einen wiederholbaren Patch-Workflow zu erstellen, dann die Ergebnisse in zentralisierten Betriebssystem-Patch-Ansichten zu überwachen und bei Bedarf einzugreifen.
Starten Sie eine kostenlose Testversion von Splashtop AEM, um zu sehen, wie automatisiertes OS-Patching in Ihren Endpunktmanagement-Workflow passt.
