Maintenir les systèmes d’exploitation à jour sur un nombre croissant de terminaux peut devenir difficile lorsque les équipes IT doivent vérifier à plusieurs reprises les mises à jour disponibles, décider quels correctifs doivent être installés, coordonner les fenêtres de maintenance et faire le suivi des appareils qui ne se sont pas mis à jour correctement.
Splashtop AEM (gestion autonome des terminaux) fournit une gestion centralisée des correctifs du système d’exploitation pour les appareils Windows et macOS. Les équipes IT peuvent utiliser les stratégies de terminaux dans Splashtop AEM pour définir la manière dont les ordinateurs gérés recherchent les mises à jour, quelles mises à jour doivent être approuvées, quand les mises à jour approuvées doivent être installées et comment les appareils doivent gérer les redémarrages requis. Une fois une stratégie déployée, les administrateurs peuvent utiliser les vues des correctifs du système d’exploitation pour surveiller l’état des correctifs et intervenir directement si nécessaire.
Ce guide explique comment configurer un workflow automatisé de correctifs OS avec Splashtop AEM et comment surveiller les résultats après l’application de la stratégie.
Ce dont vous avez besoin avant d’automatiser le patching de l’OS
Votre équipe doit avoir Splashtop AEM activé pour utiliser OS Patch dans les Endpoint Policies.
Les Endpoint Policies sont spécifiques à chaque plateforme, donc les politiques Windows et macOS sont configurées séparément. Les politiques peuvent ensuite être attribuées à des ordinateurs individuels ou à des groupes d’ordinateurs.
Comment automatiser le patching de l’OS avec Splashtop AEM
1. Créer ou sélectionner une politique de terminal
Depuis la console web Splashtop, accédez à Automation > Endpoint Policies.
Vous pouvez créer une nouvelle stratégie ou modifier une stratégie existante. Les stratégies peuvent être créées en mode activé ou désactivé. Splashtop AEM prend également en charge l’héritage des stratégies, ce qui vous permet d’établir des paramètres communs dans une stratégie parente et de créer des stratégies enfants lorsque des groupes ou ordinateurs spécifiques nécessitent des paramètres différents.
Par exemple, une équipe IT peut maintenir une politique de terminal Windows standard pour la plupart des appareils de production tout en utilisant des politiques enfants pour les ordinateurs qui nécessitent des paramètres de correctifs différents.
2. Activez OS Patch dans la politique
Après avoir ouvert la stratégie, activez la fonctionnalité Correctif du système d’exploitation.
Les fonctionnalités d’une nouvelle Endpoint Policy sont désactivées par défaut. Les administrateurs choisissent donc les capacités contrôlées par chaque politique. Une fois OS Patch activé, la politique affiche les paramètres utilisés pour gérer l’analyse, les approbations, la planification de l’installation et le comportement de redémarrage.
3. Choisissez comment le système d’exploitation gère les mises à jour
La section Paramètres de mise à jour détermine le comportement de mise à jour de base sur les endpoints gérés.
Splashtop AEM propose actuellement trois options :
Laisser l’OS installer les mises à jour automatiquement
Télécharger les mises à jour, mais me laisser choisir si je veux les installer
Rechercher les mises à jour, mais me laisser choisir si je veux les télécharger et les installer
La deuxième option, qui télécharge les mises à jour tout en laissant l’installation sous le contrôle de l’administrateur, est celle par défaut.
Le paramètre approprié dépend du niveau de contrôle que vous souhaitez laisser au système d’exploitation lui-même. Les autres paramètres de la politique peuvent ensuite être utilisés pour définir la manière dont Splashtop AEM recherche les mises à jour, approuve les correctifs, planifie l’installation et gère les redémarrages.
4. Configurez le calendrier d’analyse des mises à jour de l’OS
Ensuite, configurez quand les terminaux gérés doivent rechercher les mises à jour du système d’exploitation disponibles.
Le calendrier d’analyse peut s’exécuter :
Chaque jour à une heure précise
Chaque semaine, aux jours sélectionnés et à l’heure spécifiée
Chaque mois, aux dates sélectionnées et à l’heure spécifiée
Il existe également une option permettant d’analyser lorsqu’un ordinateur a manqué sa tâche planifiée précédente. Pour une politique nouvellement créée ou récemment modifiée, cette option prend effet à partir de la prochaine heure d’analyse planifiée.
Le calendrier d’analyse contrôle le moment où Splashtop AEM recherche les correctifs disponibles. Le calendrier d’installation est configuré séparément, ce qui permet aux administrateurs de contrôler quand les mises à jour sont détectées et quand les mises à jour approuvées sont réellement installées.
Par exemple, vous pouvez configurer les appareils pour qu’ils recherchent régulièrement de nouveaux correctifs tout en limitant les installations à une fenêtre de maintenance approuvée.
5. Définir les règles d’approbation des correctifs de l’OS
La section Approvals détermine comment Splashtop AEM gère les correctifs en fonction de leur importance.
Chaque catégorie applicable peut se voir attribuer l’une des trois actions suivantes :
Approuver : La mise à jour est approuvée et installée selon le calendrier de mise à jour configuré.
Manuel : La mise à jour reste en attente jusqu’à ce qu’un administrateur décide quoi en faire.
Ignorer : La mise à jour est exclue lorsqu’elle devient disponible.
Des règles d’approbation sont disponibles pour Windows et macOS, bien que les contrôles de correctifs OS disponibles diffèrent entre les deux plateformes. Windows prend en charge les approbations, les Core Updates et les Patch Overrides.
(Approbations Windows)
macOS prend en charge une gestion des mises à jour plus limitée et ne prend actuellement pas en charge les Core Updates ni les Patch Overrides dans les Endpoint Policies.
(Approbations Mac)
Cela fait de la configuration des approbations un élément important du flux de travail d’automatisation. Les mises à jour qui répondent aux critères auxquels vous faites confiance pour un déploiement automatisé peuvent être déployées automatiquement, tandis que les correctifs qui nécessitent une vérification peuvent rester en attente.
6. Configurez les mises à jour principales de Windows et les exceptions de correctifs si nécessaire
Les politiques Windows offrent deux contrôles supplémentaires pour les situations qui nécessitent une gestion plus spécifique.
Mises à jour de base
Splashtop AEM peut gérer les Core Updates pour les principales mises à niveau de Windows. Cela peut inclure des mises à niveau comme le passage de Windows 10 à Windows 11 ou des changements majeurs de version des fonctionnalités de Windows.
Comme ces mises à jour peuvent impliquer des changements plus importants du système d’exploitation et des durées d’installation plus longues que les correctifs de routine, les administrateurs peuvent les gérer séparément des approbations de mises à jour standard.
Dérogations de patch
Les dérogations de patch permettent aux administrateurs de créer une exception pour une mise à jour Windows spécifique.
Pour créer une dérogation :
Ajoutez la mise à jour à l’aide de son numéro KB.
Saisissez une description.
Attribuez un statut d’approbation spécifiquement à cette KB.
La dérogation peut ensuite traiter cette mise à jour différemment de la règle d’approbation plus générale.
Par exemple, si une politique d’approbation permet normalement à une catégorie de mises à jour de s’installer automatiquement, une KB particulière peut être mise en attente pour examen manuel ou ignorée.
7. Définir le calendrier d’installation des mises à jour
Après avoir défini les mises à jour à approuver, configurez quand ces mises à jour doivent s’installer.
Le calendrier des mises à jour propose trois approches :
Planifiez l’installation pour des jours et heures spécifiques.
Reporter les mises à jour pendant une période définie.
Installez les mises à jour immédiatement après leur approbation.
La planification sépare l’approbation des correctifs de leur installation. Une mise à jour peut être approuvée dès qu’elle est détectée tout en attendant la fenêtre de maintenance que vous avez définie pour l’installation.
Cela donne aux équipes IT un moyen reproductible de faire avancer les mises à jour sans avoir à lancer chaque déploiement individuellement.
8. Configurer le comportement de redémarrage
Certains correctifs du système d’exploitation nécessitent un redémarrage avant que l’installation soit entièrement terminée. Splashtop AEM permet aux administrateurs de définir comment ces redémarrages requis doivent être gérés dans le cadre de la stratégie.
Les options disponibles incluent le redémarrage automatique de l’endpoint lorsque nécessaire ou le redémarrage immédiat une fois la mise à jour terminée.
Lorsque vous utilisez l’option de redémarrage automatique, le redémarrage peut être différé de :
15 minutes
30 minutes
45 minutes
60 minutes
Si un utilisateur est connecté, les administrateurs peuvent également configurer la manière dont l’utilisateur est averti et déterminer comment le redémarrage doit être géré dans ces conditions.
Les paramètres de redémarrage doivent correspondre aux endpoints couverts par la stratégie. Un poste de travail utilisé tout au long de la journée de travail peut nécessiter un comportement de redémarrage différent de celui d’un endpoint pouvant être redémarré immédiatement après la maintenance.
9. Attribuer la politique aux ordinateurs ou aux groupes
Une fois les paramètres des correctifs du système d’exploitation configurés, attribuez la politique aux endpoints qui doivent la suivre.
Depuis Automation > Endpoint Policies, sélectionnez la stratégie et choisissez Assign Group and Computer. Sélectionnez le groupe approprié et assignez-lui la stratégie.
Les politiques peuvent également être attribuées d’autres façons :
Pour un ordinateur individuel, ouvrez les Propriétés de l’ordinateur et sélectionnez la politique.
Pour un groupe d’ordinateurs, accédez à Management > Grouping, créez ou modifiez le groupe, puis sélectionnez la stratégie appropriée.
Par défaut, chaque ordinateur suit la stratégie de son groupe. Une stratégie au niveau de l’ordinateur peut être utilisée lorsqu’un terminal nécessite une exception.
Cela permet aux équipes IT d’utiliser une configuration de correctifs commune pour un groupe tout en conservant la possibilité d’appliquer différentes politiques lorsque nécessaire.
Comment surveiller l’état des correctifs OS après le déploiement de la politique
L’automatisation doit tout de même donner aux administrateurs de la visibilité sur ce qui s’est passé après l’exécution d’une politique. Pour la gouvernance au quotidien, les équipes IT peuvent commencer par le tableau de bord Splashtop pour obtenir une vue d’ensemble de l’état des terminaux et des mises à jour Windows. Lorsqu’un élément nécessite une attention plus particulière, les administrateurs peuvent explorer les vues OS Patch concernées pour examiner les mises à jour spécifiques, les ordinateurs affectés et les actions disponibles.
Vérifier les correctifs dans OS Patch (vue des correctifs)
Lorsque vous avez besoin d’informations plus détaillées sur les correctifs, accédez à :
Software > OS Patch (vue des correctifs)
Sélectionnez Windows ou macOS pour afficher les mises à jour correspondantes.
Les correctifs sont organisés en cinq onglets de statut :
En attente : Mises à jour disponibles en attente d’action
Approuvées : Mises à jour approuvées pour installation à l’heure planifiée
Échec : mises à jour qui ne se sont pas installées correctement et qui peuvent être réessayées
Installées : Mises à jour installées avec succès
Ignorées : Mises à jour exclues de l’installation
Les administrateurs peuvent également filtrer les mises à jour par groupe, état de sélection, nombre de jours depuis la publication et catégorie de mise à jour. Les correctifs Windows peuvent être recherchés à l’aide d’un numéro KB ou du titre de la mise à jour, tandis que les mises à jour macOS peuvent être recherchées par nom de correctif.
Vérifiez quels ordinateurs sont affectés par une mise à jour
Patch View permet également aux administrateurs d’examiner une mise à jour individuelle en détail.
Sélectionnez une mise à jour pour voir les ordinateurs sur lesquels ce correctif est disponible. Cela permet de passer directement d’une visibilité globale des correctifs du parc aux appareils spécifiques concernés par une mise à jour.
Par exemple, un administrateur qui examine une mise à jour récemment publiée peut voir quels terminaux gérés en ont encore besoin, au lieu de vérifier les ordinateurs individuellement.
Agir sur les mises à jour en attente ou en échec
Les politiques d’endpoint fournissent l’automatisation récurrente, mais les administrateurs peuvent toujours intervenir lorsqu’un correctif spécifique nécessite une attention particulière.
Les actions disponibles dans la vue Correctif dépendent de l’état du correctif :
Depuis En attente, une mise à jour peut être approuvée, ignorée ou appliquée immédiatement.
Depuis Approved, une mise à jour peut être ignorée ou appliquée immédiatement.
Depuis Failed, une mise à jour peut être approuvée à nouveau ou appliquée à nouveau.
Depuis Ignorée, une mise à jour peut être approuvée ou appliquée.
Aucune action supplémentaire n’est disponible depuis Installed.
Cela est utile lorsqu’un administrateur doit agir en dehors du calendrier normal, relancer une installation ayant échoué ou modifier la manière dont une mise à jour spécifique est gérée.
Une publication de Patch Tuesday est un exemple où cette flexibilité est utile. Les mises à jour de routine peuvent se poursuivre selon le calendrier normal de la politique, tandis que les patchs liés à des CVE de plus haute priorité ou activement exploitées peuvent être examinés et appliqués plus tôt si nécessaire.
Qu’est-ce qui est différent dans l’application des correctifs OS sur macOS ?
Le flux de travail global est similaire, mais le patching macOS comporte plusieurs exigences et limitations dont les administrateurs doivent tenir compte.
Pour les correctifs OS dans les Endpoint Policies :
Les identifiants d’administrateur local doivent être configurés avant que les correctifs macOS puissent être exécutés.
Les mises à niveau majeures de MacOS nécessitent que le compte administrateur configuré ait Secure Token activé.
Les mises à jour mineures de macOS ne nécessitent généralement pas de Secure Token.
Core Updates et Patch Overrides ne sont actuellement pas disponibles pour macOS dans les politiques de terminal.
Les identifiants sont configurés depuis Management > Credential Management. Les identifiants peuvent ensuite être associés aux actions de correctifs de l’OS via les paramètres disponibles de Credential Management. Seuls le propriétaire de l’équipe et le Super Admin peuvent utiliser Credential Management.
Pour les mises à niveau majeures de macOS, les équipes IT doivent vérifier que le compte configuré a Secure Token activé avant de se fier au workflow de mise à niveau.
Quand utiliser OS Patch (vue Ordinateur) à la place
Les stratégies de terminaux sont conçues pour une automatisation reproductible des correctifs du système d’exploitation sur les ordinateurs gérés. Il existe également des situations où un administrateur peut avoir besoin d’agir immédiatement sur des terminaux spécifiques.
Pour ces cas-là, Splashtop AEM fournit Software > OS Patch (Computer View).
La vue Ordinateur se concentre sur la gestion des correctifs au niveau des appareils. Les administrateurs peuvent sélectionner des ordinateurs, rechercher les mises à jour disponibles, choisir des mises à jour et les appliquer directement.
Cela rend la vue Ordinateur utile lorsque vous devez traiter un terminal spécifique ou un groupe de terminaux en dehors du calendrier automatisé habituel.
Par exemple, si un correctif urgent doit être appliqué immédiatement à un petit nombre d’ordinateurs, un administrateur peut utiliser la vue Ordinateur plutôt que d’attendre le calendrier normal de la stratégie.
Les deux workflows ont des objectifs différents :
Politiques d’endpoint : définissez des comportements reproductibles pour l’analyse, l’approbation, l’installation et le redémarrage.
Vue des correctifs : Surveillez et gérez les correctifs sur plusieurs appareils.
Vue Ordinateur : Effectuez une action ciblée sur des ordinateurs spécifiques.
Ensemble, ces vues permettent aux équipes IT d’automatiser l’application des correctifs OS de routine tout en conservant un contrôle direct lorsque des exceptions nécessitent une attention particulière.
Automatiser les correctifs OS avec Splashtop AEM
Splashtop AEM offre aux équipes IT un moyen pratique d’automatiser la gestion des correctifs du système d’exploitation sur les appareils Windows et macOS tout en conservant le contrôle sur les approbations, les calendriers d’installation, les redémarrages et les exceptions.
Au lieu de vérifier et de corriger manuellement les endpoints un par un, vous pouvez utiliser les stratégies d’endpoint pour créer un workflow de patching répétable, puis surveiller les résultats depuis des vues OS Patch centralisées et intervenir si nécessaire.
Démarrer un essai gratuit de Splashtop AEM pour voir comment l’automatisation des correctifs OS peut s’intégrer à votre flux de travail de gestion des endpoints.
