Manter os sistemas operativos atualizados num número crescente de endpoints pode tornar-se difícil quando as equipas de TI têm de verificar repetidamente se há atualizações disponíveis, decidir quais os patches que devem ser instalados, coordenar janelas de manutenção e acompanhar os dispositivos que não foram atualizados com sucesso.
Splashtop AEM (Gestão Autónoma de Endpoints) oferece gestão centralizada de patches do SO para dispositivos Windows e macOS. As equipas de TI podem usar Políticas de Endpoints no Splashtop AEM para definir como os computadores geridos verificam atualizações, que atualizações devem ser aprovadas, quando as atualizações aprovadas devem ser instaladas e como os dispositivos devem lidar com reinícios obrigatórios. Após a implementação de uma política, os administradores podem usar as vistas de patches do SO para monitorizar o estado dos patches e tomar medidas diretas quando necessário.
Este guia mostra como configurar um fluxo de trabalho automatizado de aplicação de patches do SO com Splashtop AEM e como monitorizar os resultados após a aplicação da política.
O que é necessário antes de automatizar a aplicação de patches do SO
A sua equipa tem de ter o Splashtop AEM ativado para usar o OS Patch nas Políticas de endpoint.
As Políticas de endpoint são específicas da plataforma, por isso as políticas de Windows e macOS são configuradas separadamente. As políticas podem depois ser atribuídas a computadores individuais ou a grupos de computadores.
Como automatizar a aplicação de patches do sistema operativo com Splashtop AEM
1. Criar ou selecionar uma política de endpoint
Na consola web do Splashtop, vá a Automation > Endpoint Policies.
Pode criar uma nova política ou editar uma política existente. As políticas podem ser criadas como ativadas ou desativadas. O Splashtop AEM também suporta herança de políticas, o que permite definir configurações comuns numa política principal e criar políticas subordinadas quando grupos ou computadores específicos exigem configurações diferentes.
Por exemplo, uma equipa de TI pode manter uma política padrão de endpoints Windows para a maioria dos dispositivos de produção, utilizando ao mesmo tempo políticas subordinadas para computadores que exigem definições de aplicação de patches diferentes.
2. Ativar o OS Patch na política
Depois de abrir a política, ative a funcionalidade OS Patch.
As funcionalidades de uma nova Endpoint Policy estão desativadas por predefinição, para que os administradores escolham quais capacidades cada política controla. Depois de ativar o OS Patch, a política apresenta as definições usadas para gerir a análise, as aprovações, o agendamento da instalação e o comportamento de reinício.
3. Escolha como o sistema operativo gere as atualizações
A secção Update Settings determina o comportamento básico de atualização nos endpoints geridos.
Atualmente, o Splashtop AEM oferece três opções:
Permitir que o SO instale atualizações automaticamente
Transferir atualizações, mas deixar-me escolher se pretendo instalá-las
Verificar se há atualizações, mas deixar-me escolher se quero transferi-las e instalá-las
A segunda opção, que transfere as atualizações enquanto deixa a instalação sob controlo do administrador, é a predefinida.
A definição adequada depende do grau de controlo que pretende que o próprio sistema operativo tenha. As restantes definições de política podem então ser usadas para definir como o Splashtop AEM procura atualizações, aprova patches, agenda a instalação e gere reinícios.
4. Configurar a agenda de análise de atualizações do SO
Em seguida, configure quando os endpoints geridos devem verificar se existem atualizações do SO disponíveis.
O Agendamento da análise pode ser executado:
Diariamente a uma hora especificada
Semanalmente, nos dias selecionados e à hora especificada
Mensalmente, em datas selecionadas e a uma hora especificada
Existe também uma opção para analisar quando um computador perdeu a sua tarefa agendada anterior. Para uma política criada recentemente ou modificada há pouco tempo, essa opção entra em vigor a partir da próxima hora de análise agendada.
A programação da análise controla quando o Splashtop AEM verifica se existem patches disponíveis. A programação da instalação é configurada separadamente, dando aos administradores controlo sobre quando as atualizações são detetadas e quando as atualizações aprovadas são efetivamente instaladas.
Por exemplo, pode configurar os dispositivos para procurarem regularmente novos patches, limitando as instalações a uma janela de manutenção aprovada.
5. Definir regras de aprovação de patches do SO
A secção Approvals determina como o Splashtop AEM trata os patches com base na sua importância.
A cada categoria aplicável pode ser atribuída uma de três ações:
Aprovar: A atualização é aprovada e instalada de acordo com o calendário de atualizações configurado.
Manual: A atualização permanece pendente até que um administrador decida o que fazer com ela.
Ignorar: A atualização é excluída quando fica disponível.
As regras de aprovação estão disponíveis para Windows e macOS, embora os controlos de patches do SO disponíveis difiram entre as duas plataformas. O Windows suporta Aprovações, Atualizações principais e Substituições de patch.
(Aprovações do Windows)
O macOS suporta uma gestão de atualizações mais limitada e atualmente não suporta Core Updates nem Patch Overrides nas Endpoint Policies.
(Aprovações do Mac)
Isto faz da configuração de aprovação uma parte importante do fluxo de trabalho de automação. As atualizações que cumprem os critérios considerados fiáveis para implementação automática podem avançar automaticamente, enquanto os patches que exigem revisão podem permanecer pendentes.
6. Configurar atualizações principais do Windows e exceções de patches quando necessário
As políticas do Windows fornecem dois controlos adicionais para situações que exigem um tratamento mais específico.
Atualizações principais
O Splashtop AEM pode gerir Atualizações principais para grandes atualizações do Windows. Isto pode incluir atualizações como do Windows 10 para o Windows 11 ou grandes alterações de versão de funcionalidades do Windows.
Como estas atualizações podem envolver alterações mais substanciais ao sistema operativo e tempos de instalação mais longos do que os patches de rotina, os administradores podem geri-las separadamente das aprovações de atualização padrão.
Patch Overrides
As substituições de patches permitem aos administradores criar uma exceção para uma atualização específica do Windows.
Para criar uma substituição:
Adicione a atualização pelo respetivo número KB.
Introduza uma descrição.
Atribua um estado de aprovação especificamente a essa KB.
A substituição pode então tratar essa atualização de forma diferente da regra de aprovação mais abrangente.
Por exemplo, se uma política de aprovação normalmente permitir que uma categoria de atualizações seja instalada automaticamente, um KB específico pode ser retido para revisão manual ou ignorado.
7. Definir o agendamento de instalação das atualizações
Depois de definir quais as atualizações que devem ser aprovadas, configure quando essas atualizações devem ser instaladas.
O Calendário de atualizações oferece três abordagens:
Agende a instalação para dias e horas específicos.
Adie as atualizações por um período especificado.
Instalar atualizações imediatamente após serem aprovadas.
O agendamento separa a aprovação de patches da instalação de patches. Uma atualização pode ser aprovada assim que é detetada, continuando ainda a aguardar a janela de manutenção definida para a instalação.
Isto dá às equipas de TI uma forma repetível de manter as atualizações em andamento sem ter de iniciar cada implementação individualmente.
8. Configurar o comportamento de reinício
Alguns patches do SO exigem um reinício antes de a instalação ficar totalmente concluída. O Splashtop AEM permite que os administradores definam como esses reinícios obrigatórios devem ser tratados como parte da política.
As opções disponíveis incluem reiniciar automaticamente o endpoint quando necessário ou reiniciar imediatamente após a conclusão da atualização.
Ao utilizar a opção de reinício automático, o reinício pode ser adiado por:
15 minutos
30 minutos
45 minutos
60 minutos
Se um utilizador tiver sessão iniciada, os administradores também podem configurar como o utilizador é notificado e determinar como o reinício deve ser tratado nessas condições.
As definições de reinício devem refletir os endpoints abrangidos pela política. Uma estação de trabalho usada ao longo do dia de trabalho pode precisar de um comportamento de reinício diferente do de um endpoint que pode ser reiniciado imediatamente após a manutenção.
9. Atribuir a política a computadores ou grupos
Depois de configurar as definições do OS patch, atribua a política aos endpoints que a devem seguir.
Em Automation > Endpoint Policies, selecione a política e escolha Assign Group and Computer. Selecione o grupo adequado e atribua a política.
As políticas também podem ser atribuídas de outras formas:
Para um computador individual, abra as Properties do computador e selecione a política.
Para um grupo de computadores, vá a Management > Grouping, crie ou edite o grupo e selecione a política adequada.
Por predefinição, os computadores individuais seguem a política do respetivo grupo. Pode ser usada uma política ao nível do computador quando um endpoint requer uma exceção.
Isto permite que as equipas de TI usem uma configuração de patching comum em todo um grupo, mantendo a capacidade de aplicar políticas diferentes quando necessário.
Como monitorizar o estado dos patches do SO depois de a política ser implementada
A automatização deve continuar a dar visibilidade aos administradores sobre o que aconteceu após a execução de uma política. Para a governação do dia a dia, as equipas de TI podem começar pelo Splashtop Dashboard para obter uma visão geral do estado dos endpoints e das atualizações do Windows. Quando algo exige mais atenção, os administradores podem aprofundar nas vistas relevantes do OS Patch para analisar atualizações específicas, computadores afetados e ações disponíveis.
Rever patches em OS Patch (Patch View)
Quando precisar de informações mais detalhadas sobre patches, vá a:
Software > OS Patch (vista de patches)
Selecione Windows ou macOS para ver as atualizações relevantes.
Os patches estão organizados em cinco separadores de estado:
Pendente: Atualizações disponíveis à espera de ação
Aprovado: Atualizações aprovadas para instalação na hora agendada
Falhou: Atualizações que não foram instaladas com sucesso e podem ser tentadas novamente
Instalado: Atualizações instaladas com sucesso
Ignorado: Atualizações excluídas da instalação
Os administradores também podem filtrar atualizações por grupo, estado de seleção, dias desde a disponibilização e categoria de atualização. Os patches do Windows podem ser pesquisados usando um número KB ou o título da atualização, enquanto as atualizações do macOS podem ser pesquisadas pelo nome do patch.
Ver quais os computadores afetados por uma atualização
A vista de patches também permite que os administradores analisem uma atualização individual em detalhe.
Selecione uma atualização para ver os computadores onde esse patch está disponível. Isto oferece uma forma direta de passar da visibilidade de patches em toda a frota para os dispositivos específicos afetados por uma atualização.
Por exemplo, um administrador que esteja a analisar uma atualização lançada recentemente pode ver quais os endpoints geridos que ainda precisam dela, em vez de verificar os computadores individualmente.
Tomar medidas relativamente a atualizações pendentes ou com falha
As Endpoint Policies fornecem a automação recorrente, mas os administradores ainda podem intervir quando uma correção específica exige atenção.
As ações disponíveis na vista de patches dependem do estado do patch:
Em Pending, uma atualização pode ser aprovada, ignorada ou aplicada imediatamente.
Em Approved, uma atualização pode ser ignorada ou aplicada imediatamente.
Em Failed, uma atualização pode ser aprovada novamente ou aplicada novamente.
Em Ignorado, uma atualização pode ser aprovada ou aplicada.
Não existem ações adicionais disponíveis em Instalado.
Isto é útil quando um administrador precisa de agir fora do horário normal, repetir uma instalação sem sucesso ou alterar a forma como uma atualização específica é tratada.
Uma versão de Patch Tuesday é um exemplo em que esta flexibilidade é útil. As atualizações de rotina podem continuar segundo a programação normal da política, enquanto os patches associados a CVEs de maior prioridade ou explorados ativamente podem ser revistos e aplicados mais cedo, quando necessário.
O que é diferente na aplicação de patches do SO no macOS?
O fluxo de trabalho geral é semelhante, mas a aplicação de patches no macOS tem vários requisitos e limitações que os administradores devem ter em conta.
Para OS Patch em Endpoint Policies:
As credenciais de administrador local têm de ser configuradas antes de os patches do macOS poderem ser executados.
As principais atualizações do macOS exigem que a conta de administrador configurada tenha o Secure Token ativado.
As atualizações secundárias do macOS geralmente não requerem Secure Token.
As Atualizações principais e as Substituições de patches não estão atualmente disponíveis para macOS nas Políticas de endpoint.
As credenciais são configuradas em Management > Credential Management. As credenciais podem depois ser associadas a ações de patch do SO através das definições disponíveis de Credential Management. Apenas o Team Owner e o Super Admin podem usar o Credential Management.
Para grandes atualizações do macOS, as equipas de TI devem verificar se a conta configurada tem o Secure Token ativado antes de depender do fluxo de trabalho de atualização.
Quando usar o OS Patch (Computer View) em vez disso
As Políticas de Endpoints foram concebidas para automatização repetível de patches do SO em computadores geridos. Existem também situações em que um administrador pode precisar de tomar medidas imediatas em endpoints específicos.
Nesses casos, o Splashtop AEM disponibiliza Software > OS Patch (Computer View).
Computer View concentra-se na gestão de patches ao nível do dispositivo. Os administradores podem selecionar computadores, verificar atualizações disponíveis, escolher atualizações e aplicá-las diretamente.
Isto torna a Vista de computadores útil quando é necessário tratar de um endpoint específico ou de um grupo de endpoints fora do calendário automatizado regular.
Por exemplo, se um patch urgente tiver de ser aplicado imediatamente a um pequeno número de computadores, um administrador pode usar o Computer View em vez de esperar pela programação normal da política.
Os dois fluxos de trabalho servem finalidades diferentes:
Endpoint Policies: Estabelecem um comportamento repetível para análise, aprovação, instalação e reinício.
Vista de patches: Monitorize e faça a gestão de patches em vários dispositivos.
Vista do computador: Realize ações direcionadas em computadores específicos.
Em conjunto, estas vistas permitem às equipas de TI automatizar a aplicação rotineira de patches do SO, mantendo ao mesmo tempo controlo direto quando as exceções exigem atenção.
Automatize a aplicação de patches do SO com Splashtop AEM
O Splashtop AEM oferece às equipas de TI uma forma prática de automatizar a gestão de patches do SO em dispositivos Windows e macOS, mantendo o controlo sobre aprovações, calendários de instalação, reinícios e exceções.
Em vez de verificar e aplicar patches manualmente aos endpoints, um a um, pode usar as Políticas de endpoint para criar um fluxo de trabalho de patching repetível, depois monitorizar os resultados a partir de vistas centralizadas de Patches do SO e intervir quando necessário.
Inicie uma avaliação gratuita do Splashtop AEM para ver como a aplicação automática de patches do sistema operativo pode integrar-se no seu fluxo de trabalho de gestão de endpoints.
