Het up-to-date houden van besturingssystemen op een groeiend aantal endpoints kan lastig worden wanneer IT-teams herhaaldelijk moeten controleren op beschikbare updates, moeten bepalen welke patches moeten worden geïnstalleerd, onderhoudsvensters moeten coördineren en apparaten moeten opvolgen die niet succesvol zijn bijgewerkt.
Splashtop AEM (Autonomous Endpoint Management) biedt gecentraliseerd beheer van OS-patches voor Windows- en macOS-apparaten. IT-teams kunnen Endpoint Policies in Splashtop AEM gebruiken om te bepalen hoe beheerde computers op updates scannen, welke updates moeten worden goedgekeurd, wanneer goedgekeurde updates moeten worden geïnstalleerd en hoe apparaten vereiste herstarts moeten afhandelen. Nadat een beleid is uitgerold, kunnen beheerders OS Patch-weergaven gebruiken om de patchstatus te controleren en indien nodig direct actie te ondernemen.
Deze handleiding legt uit hoe je een geautomatiseerde OS-patchworkflow configureert met Splashtop AEM en hoe je de resultaten controleert nadat het beleid is toegepast.
Wat je nodig hebt voordat je OS-patching automatiseert
Je team moet Splashtop AEM hebben ingeschakeld om OS Patch in Endpoint Policies te gebruiken.
Endpointbeleid is platformspecifiek, dus Windows- en macOS-beleid worden afzonderlijk geconfigureerd. Beleid kan vervolgens worden toegewezen aan afzonderlijke computers of groepen computers.
Hoe je OS-patching automatiseert met Splashtop AEM
1. Maak een endpointbeleid aan of selecteer er een
Ga in de Splashtop-webconsole naar Automation > Endpoint Policies.
Je kunt een nieuw beleid maken of een bestaand beleid bewerken. Beleid kan ingeschakeld of uitgeschakeld worden gemaakt. Splashtop AEM ondersteunt ook beleidsovererving, waarmee je algemene instellingen in een bovenliggend beleid kunt vastleggen en onderliggende beleidsregels kunt maken wanneer specifieke groepen of computers andere instellingen nodig hebben.
Een IT-team kan bijvoorbeeld een standaard Windows-endpointbeleid hanteren voor de meeste productieapparaten en onderliggende beleidsregels gebruiken voor computers die andere patchinstellingen nodig hebben.
2. Schakel OS Patch in het beleid in
Schakel na het openen van het beleid de functie OS Patch in.
Functies in een nieuw endpointbeleid zijn standaard uitgeschakeld, zodat beheerders kunnen kiezen welke mogelijkheden elk beleid beheert. Zodra OS Patch is ingeschakeld, toont het beleid de instellingen voor het beheren van scannen, goedkeuringen, installatieschema's en herstartgedrag.
3. Kies hoe het besturingssysteem updates afhandelt
De sectie Update Settings bepaalt het basisgedrag van updates op beheerde endpoints.
Splashtop AEM biedt momenteel drie opties:
Laat het besturingssysteem updates automatisch installeren
Updates downloaden, maar mij laten kiezen of ik ze wil installeren
Controleer op updates, maar laat mij kiezen of ik ze wil downloaden en installeren
De tweede optie, waarbij updates worden gedownload terwijl de installatie onder beheer van de administrator blijft, is de standaardinstelling.
De juiste instelling hangt af van hoeveel controle je wilt dat het besturingssysteem zelf heeft. De overige beleidsinstellingen kunnen vervolgens worden gebruikt om te bepalen hoe Splashtop AEM op updates scant, patches goedkeurt, installaties plant en herstarts afhandelt.
4. Configureer het scanschema voor OS-updates
Configureer vervolgens wanneer beheerde endpoints moeten controleren op beschikbare OS-updates.
Het scanschema kan worden uitgevoerd:
Dagelijks op een opgegeven tijdstip
Wekelijks op geselecteerde dagen en op een opgegeven tijdstip
Maandelijks op geselecteerde datums en op een opgegeven tijdstip
Er is ook een optie om te scannen wanneer een computer de vorige geplande taak heeft gemist. Voor een nieuw aangemaakt of onlangs gewijzigd beleid wordt die optie van kracht vanaf de volgende geplande scantijd.
Het scanschema bepaalt wanneer Splashtop AEM controleert op beschikbare patches. Het installatieschema wordt afzonderlijk geconfigureerd, zodat beheerders kunnen bepalen wanneer updates worden gedetecteerd en wanneer goedgekeurde updates daadwerkelijk worden geïnstalleerd.
Je kunt apparaten bijvoorbeeld zo configureren dat ze regelmatig op nieuwe patches scannen, terwijl installaties beperkt blijven tot een goedgekeurd onderhoudsvenster.
5. Stel goedkeuringsregels voor OS-patches in
De sectie Approvals bepaalt hoe Splashtop AEM patches afhandelt op basis van hun belangrijkheid.
Aan elke toepasselijke categorie kan een van drie acties worden toegewezen:
Goedkeuren: De update wordt goedgekeurd en geïnstalleerd volgens het geconfigureerde updateschema.
Handmatig: De update blijft in behandeling totdat een administrator beslist wat ermee moet gebeuren.
Negeren: De update wordt uitgesloten zodra die beschikbaar komt.
Goedkeuringsregels zijn beschikbaar voor Windows en macOS, hoewel de beschikbare instellingen voor OS-patches per platform verschillen. Windows ondersteunt goedkeuringen, Core Updates en Patch Overrides.
(Windows-goedkeuringen)
macOS ondersteunt beperktere updatebeheeropties en ondersteunt momenteel geen Core Updates of Patch Overrides binnen Endpoint Policies.
(Mac-goedkeuringen)
Hierdoor is de goedkeuringsconfiguratie een belangrijk onderdeel van de automatiseringsworkflow. Updates die voldoen aan de criteria die je vertrouwt voor geautomatiseerde implementatie kunnen automatisch doorgaan, terwijl patches die moeten worden beoordeeld in behandeling kunnen blijven.
6. Configureer Windows core updates en patchuitzonderingen indien nodig
Windows-beleid biedt twee extra opties voor situaties die specifieker moeten worden afgehandeld.
Kernupdates
Splashtop AEM kan kernupdates beheren voor grote Windows-upgrades. Dit kan upgrades omvatten zoals Windows 10 naar Windows 11 of grote wijzigingen in Windows-featureversies.
Omdat deze updates ingrijpendere wijzigingen in het besturingssysteem kunnen omvatten en langere installatietijden kunnen hebben dan reguliere patches, kunnen beheerders ze apart beheren van standaard updategoedkeuringen.
Patch-overschrijvingen
Met Patch Overrides kunnen beheerders een uitzondering maken voor een specifieke Windows-update.
Een override maken:
Voeg de update toe met het KB-nummer.
Voer een beschrijving in.
Wijs specifiek aan die KB een goedkeuringsstatus toe.
De override kan die update dan anders behandelen dan de bredere goedkeuringsregel.
Als een goedkeuringsbeleid er bijvoorbeeld normaal voor zorgt dat een categorie updates automatisch wordt geïnstalleerd, kan een specifieke KB worden vastgehouden voor handmatige controle of worden genegeerd.
7. Stel het installatieschema voor updates in
Nadat je hebt bepaald welke updates moeten worden goedgekeurd, stel je in wanneer die updates moeten worden geïnstalleerd.
Het updateschema biedt drie benaderingen:
Plan installatie op specifieke dagen en tijdstippen.
Stel updates uit voor een opgegeven periode.
Installeer updates onmiddellijk nadat ze zijn goedgekeurd.
Met planning worden patchgoedkeuring en patchinstallatie van elkaar gescheiden. Een update kan worden goedgekeurd zodra die wordt ontdekt, terwijl deze nog steeds wacht op het onderhoudsvenster dat je voor de installatie hebt ingesteld.
Zo krijgen IT-teams een herhaalbare manier om updates door te laten lopen zonder elke implementatie afzonderlijk te hoeven starten.
8. Configureer herstartgedrag
Voor sommige OS-patches is een herstart vereist voordat de installatie volledig is voltooid. Met Splashtop AEM kunnen beheerders bepalen hoe met die vereiste herstarts moet worden omgegaan als onderdeel van het beleid.
Beschikbare opties zijn onder meer het endpoint automatisch opnieuw opstarten wanneer dat nodig is of direct opnieuw opstarten nadat de update is voltooid.
Bij gebruik van de optie voor automatisch opnieuw opstarten kan de herstart worden uitgesteld met:
15 minuten
30 minuten
45 minuten
60 minuten
Als een gebruiker is aangemeld, kunnen beheerders ook instellen hoe de gebruiker wordt geïnformeerd en bepalen hoe de herstart in die situatie moet worden afgehandeld.
De herstartinstellingen moeten overeenkomen met de endpoints die onder het beleid vallen. Een werkstation dat de hele werkdag wordt gebruikt, kan ander herstartgedrag nodig hebben dan een endpoint dat direct na onderhoud opnieuw kan worden opgestart.
9. Wijs het beleid toe aan computers of groepen
Zodra de instellingen voor OS Patch zijn geconfigureerd, wijs je het beleid toe aan de endpoints die het moeten volgen.
Ga naar Automation > Endpoint Policies, selecteer het beleid en kies Assign Group and Computer. Selecteer de juiste groep en wijs het beleid toe.
Beleid kan ook op andere manieren worden toegewezen:
Open voor een afzonderlijke computer de Properties van de computer en selecteer het beleid.
Ga voor een computergroep naar Management > Grouping, maak of bewerk de groep en selecteer het juiste beleid.
Standaard volgen afzonderlijke computers het beleid van hun groep. Beleid op computerniveau kan worden gebruikt wanneer voor een endpoint een uitzondering nodig is.
Hierdoor kunnen IT-teams een gemeenschappelijke patchconfiguratie gebruiken voor een groep, terwijl ze de mogelijkheid behouden om waar nodig verschillende beleidsregels toe te passen.
Hoe je de status van OS-patches controleert nadat het beleid is geïmplementeerd
Automatisering moet beheerders nog steeds inzicht geven in wat er is gebeurd nadat een beleid is uitgevoerd. Voor dagelijkse controle kunnen IT-teams beginnen met het Splashtop Dashboard voor een overzicht op hoog niveau van endpoint- en Windows-updatestatus. Als iets extra aandacht nodig heeft, kunnen beheerders inzoomen op de relevante OS Patch-weergaven om specifieke updates, getroffen computers en beschikbare acties te bekijken.
Bekijk patches in OS Patch (Patch View)
Als je meer gedetailleerde patchinformatie nodig hebt, ga dan naar:
Software > OS-patch (Patchweergave)
Selecteer Windows of macOS om de relevante updates te bekijken.
Patches zijn onderverdeeld in vijf statustabbladen:
In behandeling: Beschikbare updates die wachten op actie
Goedgekeurd: Updates die zijn goedgekeurd voor installatie op het geplande tijdstip
Mislukt: Updates die niet succesvol zijn geïnstalleerd en opnieuw kunnen worden geprobeerd
Geïnstalleerd: Updates die succesvol zijn geïnstalleerd
Genegeerd: Updates uitgesloten van installatie
Beheerders kunnen updates ook filteren op groep, selectiestatus, aantal dagen sinds release en updatecategorie. Windows-patches kunnen worden gezocht met een KB-nummer of updatetitel, terwijl macOS-updates kunnen worden gezocht op patchnaam.
Bekijk welke computers door een update worden beïnvloed
Met Patch View kunnen beheerders ook inzoomen op een individuele update.
Selecteer een update om de computers te bekijken waarop die patch beschikbaar is. Dit biedt een directe manier om van inzicht in patches voor het hele apparaatpark naar de specifieke apparaten te gaan die door een update worden beïnvloed.
Een beheerder die bijvoorbeeld een zojuist uitgebrachte update onderzoekt, kan zien welke beheerde endpoints deze nog nodig hebben in plaats van computers afzonderlijk te controleren.
Onderneem actie voor updates die in behandeling zijn of zijn mislukt
Endpointbeleid biedt terugkerende automatisering, maar beheerders kunnen nog steeds ingrijpen wanneer een specifieke patch aandacht vereist.
De beschikbare acties in Patch View hangen af van de patchstatus:
Vanuit In behandeling kan een update worden goedgekeurd, genegeerd of direct worden toegepast.
Vanuit Goedgekeurd kan een update worden genegeerd of direct worden toegepast.
Vanuit Mislukt kan een update opnieuw worden goedgekeurd of opnieuw worden toegepast.
Vanuit Ignored kan een update worden goedgekeurd of toegepast.
Er zijn geen extra acties beschikbaar vanuit Installed.
Dit is handig wanneer een beheerder buiten het normale schema moet handelen, een mislukte installatie opnieuw moet proberen of moet wijzigen hoe een specifieke update wordt afgehandeld.
Een release op Patch Tuesday is één voorbeeld waarbij deze flexibiliteit handig is. Routine-updates kunnen volgens het normale beleidschema doorgaan, terwijl patches die gekoppeld zijn aan CVE's met hogere prioriteit of die actief worden misbruikt, indien nodig eerder kunnen worden beoordeeld en toegepast.
Wat is er anders aan OS-patching op macOS?
De algemene workflow is vergelijkbaar, maar voor het patchen van macOS gelden verschillende vereisten en beperkingen waar administrators rekening mee moeten houden.
Voor OS Patch binnen Endpoint Policies:
Lokale administratorreferenties moeten zijn geconfigureerd voordat macOS-patches kunnen worden uitgevoerd.
Voor grote macOS-upgrades moet het geconfigureerde beheerdersaccount Secure Token ingeschakeld hebben.
Voor kleine macOS-updates is Secure Token meestal niet vereist.
Core Updates en Patch Overrides zijn momenteel niet beschikbaar voor macOS binnen Endpoint Policies.
Referenties worden geconfigureerd via Management > Credential Management. De referenties kunnen vervolgens via de beschikbare instellingen voor Credential Management worden gekoppeld aan OS-patchacties. Alleen de Team Owner en Super Admin kunnen Credential Management gebruiken.
Bij grote upgrades van macOS moeten IT-teams controleren of voor het geconfigureerde account Secure Token is ingeschakeld voordat ze vertrouwen op de upgradeworkflow.
Wanneer je in plaats daarvan OS Patch (Computer View) gebruikt
Endpoint Policies zijn ontworpen voor herhaalbare automatisering van OS-patches op beheerde computers. Er zijn ook situaties waarin een beheerder mogelijk onmiddellijk actie moet ondernemen op specifieke endpoints.
Voor die gevallen biedt Splashtop AEM Software > OS Patch (Computer View).
Computer View richt zich op patchbeheer op apparaatniveau. Beheerders kunnen computers selecteren, controleren op beschikbare updates, updates kiezen en deze direct toepassen.
Dit maakt Computer View handig wanneer je een specifiek endpoint of een groep endpoints buiten het reguliere geautomatiseerde schema moet aanpakken.
Als een urgente patch bijvoorbeeld onmiddellijk op een klein aantal computers moet worden toegepast, kan een beheerder Computer View gebruiken in plaats van te wachten op het normale beleidsschema.
De twee workflows dienen verschillende doelen:
Endpointbeleid: Stel herhaalbaar gedrag in voor scannen, goedkeuren, installeren en herstarten.
Patch View: Bewaak en beheer patches op meerdere apparaten.
Computer View: Onderneem gerichte actie op specifieke computers.
Samen stellen deze weergaven IT-teams in staat routinematige OS-patching te automatiseren, terwijl ze directe controle behouden wanneer uitzonderingen aandacht vereisen.
Automatiseer OS-patching met Splashtop AEM
Splashtop AEM geeft IT-teams een praktische manier om OS-patchbeheer op Windows- en macOS-apparaten te automatiseren, terwijl ze controle houden over goedkeuringen, installatieschema's, herstarts en uitzonderingen.
In plaats van endpoints één voor één handmatig te controleren en te patchen, kun je Endpoint Policies gebruiken om een herhaalbare patchworkflow te maken, vervolgens de resultaten te bewaken vanuit gecentraliseerde OS-patchweergaven en in te grijpen wanneer nodig.
Start een gratis proefperiode van Splashtop AEM en ontdek hoe geautomatiseerde OS-patching in je endpointbeheerworkflow past.
