Mantenere aggiornati i sistemi operativi su un numero crescente di endpoint può diventare difficile quando i team IT devono verificare ripetutamente la disponibilità degli aggiornamenti, decidere quali patch installare, coordinare le finestre di manutenzione e seguire i dispositivi che non si sono aggiornati correttamente.
Splashtop AEM (Autonomous Endpoint Management) offre una gestione centralizzata delle patch del sistema operativo per dispositivi Windows e macOS. I team IT possono usare le Endpoint Policies in Splashtop AEM per definire come i computer gestiti cercano gli aggiornamenti, quali aggiornamenti devono essere approvati, quando gli aggiornamenti approvati devono essere installati e come i dispositivi devono gestire i riavvii richiesti. Dopo la distribuzione di una policy, gli amministratori possono usare le viste OS Patch per monitorare lo stato delle patch e intervenire direttamente quando necessario.
Questa guida spiega come configurare un flusso di lavoro automatizzato per il patching del sistema operativo con Splashtop AEM e come monitorare i risultati dopo l'applicazione del criterio.
Cosa ti serve prima di automatizzare l’applicazione delle patch del sistema operativo
Per usare OS Patch nei criteri endpoint, il tuo team deve avere Splashtop AEM abilitato.
I criteri endpoint sono specifici per piattaforma, quindi i criteri per Windows e macOS vengono configurati separatamente. I criteri possono poi essere assegnati a singoli computer o a gruppi di computer.
Come automatizzare l'applicazione delle patch del sistema operativo con Splashtop AEM
1. Crea o seleziona un criterio endpoint
Dalla console web Splashtop, vai a Automation > Endpoint Policies.
Puoi creare una nuova policy o modificare una policy esistente. Le policy possono essere create come abilitate o disabilitate. Splashtop AEM supporta anche l'ereditarietà delle policy, che ti consente di impostare configurazioni comuni in una policy padre e creare policy figlie quando gruppi o computer specifici richiedono impostazioni diverse.
Ad esempio, un team IT potrebbe mantenere una policy standard per endpoint Windows per la maggior parte dei dispositivi di produzione, utilizzando al contempo policy figlie per i computer che richiedono impostazioni di patching diverse.
2. Abilita OS Patch nella policy
Dopo aver aperto il criterio, abilita la funzione OS Patch.
Le funzionalità in un nuovo criterio endpoint sono disabilitate per impostazione predefinita, così gli amministratori scelgono quali capacità controlla ciascun criterio. Una volta abilitato OS Patch, il criterio mostra le impostazioni usate per gestire la scansione, le approvazioni, la pianificazione dell'installazione e il comportamento di riavvio.
3. Scegli come il sistema operativo gestisce gli aggiornamenti
La sezione Impostazioni di aggiornamento determina il comportamento di aggiornamento di base sugli endpoint gestiti.
Splashtop AEM offre attualmente tre opzioni:
Consenti al sistema operativo di installare gli aggiornamenti automaticamente
Scarica gli aggiornamenti ma lascia a me la scelta se installarli
Controlla la disponibilità di aggiornamenti, ma lascia a me la scelta se scaricarli e installarli
La seconda opzione, che scarica gli aggiornamenti lasciando l'installazione sotto il controllo dell'amministratore, è quella predefinita.
L'impostazione appropriata dipende da quanto controllo vuoi che abbia il sistema operativo stesso. Le restanti impostazioni dei criteri possono quindi essere utilizzate per definire come Splashtop AEM esegue la scansione degli aggiornamenti, approva le patch, pianifica l'installazione e gestisce i riavvii.
4. Configura la pianificazione della scansione degli aggiornamenti del sistema operativo
Successivamente, configura quando gli endpoint gestiti devono verificare la disponibilità di aggiornamenti del sistema operativo.
La pianificazione della scansione può essere eseguita:
Ogni giorno a un'ora specificata
Ogni settimana nei giorni selezionati e a un'ora specificata
Ogni mese nelle date selezionate e a un’ora specificata
È disponibile anche un'opzione per eseguire una scansione quando un computer ha saltato l'attività pianificata precedente. Per un criterio appena creato o modificato di recente, questa opzione entra in vigore a partire dal successivo orario di scansione pianificato.
La pianificazione della scansione controlla quando Splashtop AEM verifica la disponibilità di patch. La pianificazione dell'installazione viene configurata separatamente, offrendo agli amministratori il controllo su quando gli aggiornamenti vengono rilevati e quando quelli approvati vengono effettivamente installati.
Ad esempio, puoi configurare i dispositivi affinché eseguano regolarmente la scansione di nuove patch, limitando al contempo le installazioni a una finestra di manutenzione approvata.
5. Imposta le regole di approvazione delle patch del sistema operativo
La sezione Approvals determina come Splashtop AEM gestisce le patch in base alla loro importanza.
A ogni categoria applicabile può essere assegnata una di tre azioni:
Approva: L'aggiornamento viene approvato e installato in base alla pianificazione degli aggiornamenti configurata.
Manuale: l'aggiornamento rimane in sospeso finché un amministratore non decide cosa farne.
Ignora: l'aggiornamento viene escluso quando diventa disponibile.
Le regole di approvazione sono disponibili per Windows e macOS, anche se i controlli OS Patch disponibili differiscono tra le due piattaforme. Windows supporta approvazioni, aggiornamenti core e sostituzioni patch.
(Approvazioni Windows)
macOS supporta una gestione degli aggiornamenti più limitata e al momento non supporta Core Updates o Patch Overrides all'interno di Endpoint Policies.
(Approvazioni Mac)
Questo rende la configurazione dell'approvazione una parte importante del flusso di lavoro di automazione. Gli aggiornamenti che soddisfano i criteri di attendibilità per la distribuzione automatizzata possono procedere automaticamente, mentre le patch che richiedono revisione possono rimanere in sospeso.
6. Configura gli aggiornamenti principali di Windows e le eccezioni delle patch quando necessario
Le policy di Windows offrono due controlli aggiuntivi per le situazioni che richiedono una gestione più specifica.
Aggiornamenti principali
Splashtop AEM può gestire gli aggiornamenti principali per i maggiori upgrade di Windows. Questo può includere upgrade come da Windows 10 a Windows 11 o modifiche principali della versione delle funzionalità di Windows.
Poiché questi aggiornamenti possono comportare modifiche più sostanziali al sistema operativo e tempi di installazione più lunghi rispetto alle patch di routine, gli amministratori possono gestirli separatamente dalle approvazioni degli aggiornamenti standard.
Eccezioni patch
Le eccezioni patch consentono agli amministratori di creare un'eccezione per un aggiornamento Windows specifico.
Per creare una sostituzione:
Aggiungi l'aggiornamento tramite il relativo numero KB.
Inserisci una descrizione.
Assegna uno stato di approvazione specifico a quel KB.
La sostituzione può quindi gestire quell'aggiornamento in modo diverso rispetto alla regola di approvazione più ampia.
Ad esempio, se una policy di approvazione normalmente consente a una categoria di aggiornamenti di installarsi automaticamente, un particolare KB può essere trattenuto per una revisione manuale o ignorato.
7. Imposta la pianificazione dell'installazione degli aggiornamenti
Dopo aver definito quali aggiornamenti devono essere approvati, configura quando tali aggiornamenti devono essere installati.
La pianificazione degli aggiornamenti offre tre approcci:
Pianifica l'installazione per giorni e orari specifici.
Posticipa gli aggiornamenti per un periodo di tempo specificato.
Installa gli aggiornamenti subito dopo l'approvazione.
La pianificazione separa l'approvazione delle patch dall'installazione delle patch. Un aggiornamento può essere approvato non appena viene rilevato, pur restando in attesa della finestra di manutenzione che hai stabilito per l'installazione.
Questo offre ai team IT un modo ripetibile per mantenere gli aggiornamenti in corso senza dover avviare singolarmente ogni distribuzione.
8. Configura il comportamento del riavvio
Alcune patch del sistema operativo richiedono un riavvio prima che l'installazione sia completata del tutto. Splashtop AEM consente agli amministratori di definire come gestire questi riavvii richiesti all'interno della policy.
Le opzioni disponibili includono il riavvio automatico dell'endpoint quando necessario o il riavvio immediato al termine dell'aggiornamento.
Quando utilizzi l'opzione di riavvio automatico, il riavvio può essere posticipato di:
15 minuti
30 minuti
45 minuti
60 minuti
Se un utente ha effettuato l’accesso, gli amministratori possono anche configurare come l’utente viene avvisato e stabilire come gestire il riavvio in tali condizioni.
Le impostazioni di riavvio devono riflettere gli endpoint coperti dal criterio. Una workstation utilizzata durante tutta la giornata lavorativa potrebbe richiedere un comportamento di riavvio diverso rispetto a un endpoint che può essere riavviato immediatamente dopo la manutenzione.
9. Assegna il criterio a computer o gruppi
Una volta configurate le impostazioni delle patch del sistema operativo, assegna la policy agli endpoint che devono seguirla.
Da Automation > Endpoint Policies, seleziona il criterio e scegli Assign Group and Computer. Seleziona il gruppo appropriato e assegna il criterio.
Le policy possono essere assegnate anche in altri modi:
Per un singolo computer, apri le Proprietà del computer e seleziona il criterio.
Per un gruppo di computer, vai a Management > Grouping, crea o modifica il gruppo e seleziona il criterio appropriato.
Per impostazione predefinita, i singoli computer seguono la policy del loro gruppo. Una policy a livello di computer può essere utilizzata quando un endpoint richiede un'eccezione.
Questo consente ai team IT di utilizzare una configurazione di patching comune per un gruppo, mantenendo al contempo la possibilità di applicare policy diverse dove necessario.
Come monitorare lo stato di OS Patch dopo la distribuzione del criterio
L'automazione dovrebbe comunque offrire agli amministratori visibilità su ciò che è accaduto dopo l'esecuzione di un criterio. Per la gestione quotidiana, i team IT possono iniziare dalla Dashboard di Splashtop per una vista di alto livello dello stato degli endpoint e degli aggiornamenti di Windows. Quando qualcosa richiede un'attenzione più approfondita, gli amministratori possono approfondire nelle viste OS Patch pertinenti per esaminare aggiornamenti specifici, computer interessati e azioni disponibili.
Esamina le patch in OS Patch (vista Patch)
Quando hai bisogno di informazioni più dettagliate sulle patch, vai a:
Software > OS Patch (vista Patch)
Seleziona Windows o macOS per visualizzare gli aggiornamenti pertinenti.
Le patch sono organizzate in cinque schede di stato:
In sospeso: Aggiornamenti disponibili in attesa di azione
Approvate: aggiornamenti approvati per l’installazione all’ora pianificata
Non riuscito: aggiornamenti che non sono stati installati correttamente e che possono essere riprovati
Installate: aggiornamenti installati correttamente
Ignorati: aggiornamenti esclusi dall'installazione
Gli amministratori possono anche filtrare gli aggiornamenti per gruppo, stato di selezione, giorni dal rilascio e categoria di aggiornamento. Le patch di Windows possono essere cercate usando un numero KB o il titolo dell’aggiornamento, mentre gli aggiornamenti macOS possono essere cercati per nome della patch.
Controlla quali computer sono interessati da un aggiornamento
La vista Patch consente inoltre agli amministratori di analizzare nel dettaglio un singolo aggiornamento.
Seleziona un aggiornamento per visualizzare i computer su cui è disponibile quella patch. Questo fornisce un modo diretto per passare dalla visibilità delle patch sull'intero parco dispositivi ai dispositivi specifici interessati da un aggiornamento.
Ad esempio, un amministratore che sta esaminando un aggiornamento appena rilasciato può vedere quali endpoint gestiti lo richiedono ancora, invece di controllare i computer singolarmente.
Intervieni sugli aggiornamenti in sospeso o non riusciti
I criteri endpoint forniscono l'automazione ricorrente, ma gli amministratori possono comunque intervenire quando una patch specifica richiede attenzione.
Le azioni disponibili nella vista Patch dipendono dallo stato della patch:
Da Pending, un aggiornamento può essere approvato, ignorato o applicato immediatamente.
Da Approved, un aggiornamento può essere ignorato o applicato immediatamente.
Da Failed, un aggiornamento può essere approvato di nuovo o applicato di nuovo.
Da Ignorati, un aggiornamento può essere approvato o applicato.
Non sono disponibili azioni aggiuntive da Installed.
Questo è utile quando un amministratore deve intervenire al di fuori della normale pianificazione, riprovare un'installazione non riuscita o modificare il modo in cui viene gestito un aggiornamento specifico.
Una release del Patch Tuesday è un esempio in cui questa flessibilità è utile. Gli aggiornamenti di routine possono continuare secondo la normale pianificazione del criterio, mentre le patch legate a CVE con priorità più alta o sfruttate attivamente possono essere esaminate e applicate prima, quando necessario.
Cosa cambia nel patching del sistema operativo su macOS?
Il flusso di lavoro generale è simile, ma l'applicazione delle patch su macOS presenta diversi requisiti e limitazioni di cui gli amministratori dovrebbero tenere conto.
Per OS Patch all'interno di Endpoint Policies:
Le credenziali dell'amministratore locale devono essere configurate prima che le patch macOS possano essere eseguite.
I principali aggiornamenti di macOS richiedono che l'account amministratore configurato abbia Secure Token abilitato.
Gli aggiornamenti minori di macOS in genere non richiedono Secure Token.
Gli aggiornamenti principali e le sostituzioni patch non sono attualmente disponibili per macOS nelle Endpoint Policies.
Le credenziali si configurano da Management > Credential Management. Le credenziali possono quindi essere associate alle azioni relative alle patch del sistema operativo tramite le impostazioni disponibili di Credential Management. Solo il Team Owner e il Super Admin possono utilizzare Credential Management.
Per i principali aggiornamenti di macOS, i team IT devono verificare che l'account configurato abbia Secure Token abilitato prima di fare affidamento sul flusso di lavoro di aggiornamento.
Quando usare invece OS Patch (vista computer)
Le policy degli endpoint sono progettate per un'automazione ripetibile delle patch del sistema operativo sui computer gestiti. Ci sono anche situazioni in cui un amministratore potrebbe dover intervenire immediatamente su endpoint specifici.
Per questi casi, Splashtop AEM offre Software > OS Patch (Computer View).
Computer View si concentra sulla gestione delle patch a livello di dispositivo. Gli amministratori possono selezionare i computer, verificare la disponibilità di aggiornamenti, scegliere gli aggiornamenti e applicarli direttamente.
Questo rende la vista Computer utile quando devi intervenire su un endpoint specifico o su un gruppo di endpoint al di fuori della normale pianificazione automatizzata.
Ad esempio, se una patch urgente deve essere applicata immediatamente a un numero ridotto di computer, un amministratore può usare Computer View invece di attendere la normale pianificazione delle policy.
I due flussi di lavoro hanno scopi diversi:
Criteri endpoint: Impostano comportamenti ripetibili per scansione, approvazione, installazione e riavvio.
Patch View: Monitora e gestisci le patch su più dispositivi.
Vista Computer: Esegui azioni mirate su computer specifici.
Nel complesso, queste viste consentono ai team IT di automatizzare il patching ordinario del sistema operativo mantenendo al tempo stesso il controllo diretto quando le eccezioni richiedono attenzione.
Automatizza il patching del sistema operativo con Splashtop AEM
Splashtop AEM offre ai team IT un modo pratico per automatizzare la gestione delle patch del sistema operativo su dispositivi Windows e macOS, mantenendo al contempo il controllo su approvazioni, pianificazioni di installazione, riavvii ed eccezioni.
Invece di controllare e applicare manualmente le patch agli endpoint uno per uno, puoi usare Endpoint Policies per creare un flusso di lavoro di patching ripetibile, quindi monitorare i risultati dalle viste centralizzate di OS Patch e intervenire quando necessario.
Avvia una prova gratuita di Splashtop AEM per vedere come l'applicazione automatica delle patch del sistema operativo può integrarsi nel tuo flusso di lavoro di gestione degli endpoint.
