隨著端點數量持續增加，若 IT 團隊必須一再檢查是否有可用更新、判斷應安裝哪些修補程式、協調維護時段，並追蹤未成功更新的裝置，要讓作業系統維持最新狀態就會變得愈來愈困難。
Splashtop AEM（Autonomous Endpoint Management）提供適用於 Windows 和 macOS 裝置的集中式作業系統修補程式管理。IT 團隊可在 Splashtop AEM 中使用 Endpoint Policies，定義受管理電腦如何掃描更新、應核准哪些更新、何時安裝已核准的更新，以及裝置應如何處理必要的重新開機。部署原則後，管理員可使用作業系統修補程式檢視畫面監控修補狀態，並在需要時直接採取動作。
本指南將說明如何使用 Splashtop AEM 設定自動化作業系統修補工作流程，以及在套用原則後如何監控結果。
自動化作業系統修補前需要準備的事項
團隊必須啟用 Splashtop AEM，才能在端點原則中使用作業系統修補。
端點原則依平台而定，因此 Windows 與 macOS 的原則需分別設定。接著可將原則指派給個別電腦或電腦群組。
如何使用 Splashtop AEM 自動化作業系統修補
1. 建立或選取端點原則
從 Splashtop 網路控制台，前往 Automation > Endpoint Policies。
可建立新原則，或編輯現有原則。原則可建立為啟用或停用狀態。Splashtop AEM 也支 援原則繼承，可在父原則中建立共用設定，並在特定群組或電腦需要不同設定時建立子原則。
例如，IT 團隊可為大多數正式環境裝置維護一套標準的 Windows 端點原則，同時針對需要不同修補設定的電腦使用子原則。
2. 在原則中啟用 OS Patch
開啟原則後，啟用OS Patch功能。
新 Endpoint Policy 中的功能預設為停用，因此管理員可選擇每項原則要控制哪些功能。啟用 OS Patch 後，原則會顯示用於管理掃描、核准、安裝排程與重新開機行為的設定。
3. 選擇作業系統處理更新的方式
更新設定區段會決定受管理端點的基本更新行為。
Splashtop AEM 目前提供三種選項：
讓 OS 自動安裝更新
下載更新，但讓我選擇是否安裝
檢查更新，但讓我選擇是否要下載並安裝更新
第二個選項會下載更新，但將安裝控制權保留給管理員，這也是預設設定。
適當的設定取決於希望作業系統本身擁有多少控制權。接著即可使用其餘的原則設定，定義 Splashtop AEM 如何掃描更新、核准修補程式、排程安裝，以及處理重新開機。
4. 設定 OS 更新掃描排程
接下來，設定受管理端點應在何時檢查可用的作業系統更新。
掃描排程可執行：
每天在指定時間
每週於選定日期和指定時間
每月於選定日期和指定時間執行
另外也可選擇在電腦錯過先前排定的工作時進行掃描。對於新建立或最近修改的原則，該選項會從下一次排程掃描時間開始生效。
掃描排程可控制 Splashtop AEM 何時檢查可用的修補程式。安裝排程需另外設定，讓管理員能控制何時偵測更新，以及何時實際安裝已核准的更新。
例如，您可以將裝置設定為定期掃描新的修補程式，同時將安裝限制在核准的維護時段內。
5. 設定 OS 修補程式核准規則
Approvals 區段會根據修補程式的重要性，決定 Splashtop AEM 如何處理這些修補程式。
每個適用類別都可指派下列三種動作之一：
核准：更新會依照已設定的更新排程獲得核准並安裝。
手動：更新會維持待處理狀態，直到管理員決定如何處理。
忽略：更新可用時將被排除。
Windows 和 macOS 都提供核准規則，不過兩個平台可用的作業系統修補控制項有所不同。Windows 支援核准、核心更新和修補覆寫。
（Windows 核准）
macOS 支援的更新管理功能較為有限，目前不支援在 Endpoint Policies 中使用 Core Updates 或 Patch Overrides。
（Mac 核准）
這使得核准設定成為自動化工作流程中的重要一環。符合您信任之自動部署條件的更新可自動繼續進行，而需要審核的修補程式則可維 持待處理狀態。
6. 視需要設定 Windows 核心更新與修補程式例外
Windows 原則針對需要更具體處理的情況，提供另外兩項控制功能。
核心更新
Splashtop AEM 可管理重大 Windows 升級的核心更新。這可能包括從 Windows 10 升級到 Windows 11，或 Windows 主要功能版本變更等升級。
由於這些更新相較於例行修補程式，可能涉及更大幅度的作業系統變更，且安裝時間更長，因此管理員可將其與標準更新核准分開管理。
修補覆寫
修補覆寫可讓管理員針對特定 Windows 更新建立例外。
若要建立覆寫：
以其 KB 編號新增該更新。
輸入說明。
專門為該 KB 指派核准狀態。
接著可讓該覆寫以不同於較廣泛核准規則的方式處理該更新。
例如，如果某項核准原則通常允許某一類更新自動安裝，則特定 KB 可以保留供手動審查，或直接忽略。
7. 設定更新安裝排程
定義哪些更新應核准後，再設定這些更新的安裝時間。
更新排程提供三種方式：
將安裝排定於特定日期與時間。
在指定期間內延後更新。
更新一經核准後立即安裝。
排程會將修補程式核准與修補程式安裝分 開。更新可在被發現後立即核准，同時仍等待已建立的維護時段再進行安裝。
這讓 IT 團隊能以可重複執行的方式持續推動更新，而不必逐一手動啟動每次部署。
8. 設定重新開機行為
有些作業系統修補程式需要重新啟動，安裝程序才算完全完成。Splashtop AEM 可讓管理員將這些必要的重新開機處理方式納入原則中加以定義。
可用選項包括在需要時自動重新啟動端點，或在更新完成後立即重新開機。
使用自動重新啟動選項時，可延後重新開機的時間為：
15 分鐘
30 分鐘
45 分鐘
60 分鐘
如果有使用者已登入，管理員也可以設定如何通知使用者，並決定在這些情況下應如何處理重新開機。
重新開機設定應反映原則所涵蓋的端點類型。在整個工作日都會使用的工作站，可能需要與可在維護後立即重新開機的端點不同的重新啟動行為。
9. 將原則指派給電腦或群組
設定好作業系統修補程式設定後，請將原則指派給應遵循該原則的端點。
從 Automation > Endpoint Policies 中選取原則，然後選擇 Assign Group and Computer。選取適當的群組並指派原則。
原則也可以用其他方式指派：
針對個別電腦，開啟該電腦的 Properties，然後選取原則。
若為電腦群組，請前往 Management > Grouping，建立或編輯群組，並選取適當的原則。
依預設，個別電腦會遵循其群組原則。當端點需要例外處理時，可使用電腦層級原則。
這可讓 IT 團隊在整個群組中使用通用的修補設定，同時仍保有在必要時套用不同原則的能力。
原則部署後，如何監控作業系統修補狀態
自動化仍應讓管理員清楚掌握原則執行後的情況。在日常管理上，IT 團隊可先從 Splashtop 儀錶板開始，查看端點與 Windows 更新狀態的高層級概覽。當某些項目需要更進一步檢視時，管理員可深入相關的作業系統修補檢視畫面，查看特定更新、受影響的電腦和可用動作。
在 OS Patch（Patch View）中檢閱修補程式
需要更詳細的修補資訊時，請前往：
Software > OS Patch（Patch 檢視）
選取 Windows 或 macOS 以檢視相關更新。
修補程式分為五個狀態分頁：
待處理： 等待採取動作的可用更新
已核准： 已核准於排程時間安裝的更新
失敗：未成功安裝且可重試的更新
已安裝： 已成功安裝的更新
已忽略： 排除安裝的更新
管理員也可以依群組、選取狀態、自發佈以來的天數和更新類別來篩選更新。Windows 修補程式可使用 KB 編號或更新標題搜尋，而 macOS 更新則可依修補程式名稱搜尋。
檢視哪些電腦會受到更新影響
Patch 檢視也可讓管理員深入查看個別更新。
選取某項更新即可查看哪些電腦可套用該修補程式。 這可讓您直接從整個裝置群的修補程式可見性，深入查看受更新影響的特定裝置。
例如，管理員在調查剛發布的更新時，可以查看哪些受管理的端點仍需要該更新，而不必逐一檢查每台電腦。
對待處理或失敗的更新採取動作
端點原則提供可重複執行的自動化機制，但當特定修補程式需要特別留意時，管理員仍可介入處理。
Patch View 中可用的動作取決於修補程式狀態：
在待處理狀態下，更新可被核准、忽略，或立即套用。
在 Approved 中，可忽略更新或立即套用。
在 Failed 中，可再次核准更新或再次套用。
在已忽略中，更新可被核准或套用。
已安裝沒有可執行的其他動作。
當管理員需要在一般排程之外採取行動、重試未成功的安裝，或變更特定更新的處理方式時，這項功能就很實用。
Patch Tuesday 發布就是這種彈性很實用的一個例子。例行更新可依一般原則排程持續進行，而與較高優先順序或正遭積極利用的 CVE 相關的修補程式，則可在必要時更早檢視並套用。
macOS 上的作業系統修補有何不同？
整體工作流程相似，但 macOS 修補有幾項要求與限制，管理員應納入考量。
在 Endpoint Policies 中的 OS Patch：
在執行 macOS 修補程式之前， 必須先設定本機系統管理員認證。
macOS 重大升級需要已設定的管理員帳戶啟用 Secure Token。
較小型的 macOS 更新通常不需要 Secure Token。
目前在 Endpoint Policies 中，macOS 尚未提供 Core Updates 和 Patch Overrides。
認證可從 Management > Credential Management 進行設定。接著可透過可用的 Credential Management 設定，將這些認證與作業系統修補動作建立關聯。只有 Team Owner 和 Super Admin 可以使用 Credential Management。
對於重大 macOS 升級，IT 團隊在依賴升級工作流程前，應先確認已設定的帳戶已啟用 Secure Token。
何時改用 OS Patch（電腦檢視）
Endpoint Policies 是為了在受管理電腦間進行可重複執行的作業系統修補自動化而設計。在某些情況下，管理員也可能需要立即對特定端點採取行動。
針對這些情況，Splashtop AEM 提供 Software > OS Patch (Computer View)。
電腦檢視著重於裝置層級的修補程式管理。管理員可以選取電腦、檢查可用更新、選擇更新，並直接套用。
這使得 Computer View 在需要於一般自動化排程之外處理特定端點或一組端點時特別實用。
例如，如果有緊急修補程式需要立即套用到少數幾台電腦，管理員可使用 Computer View，而不必等待一般原則排程。
這兩種工作流程的用途不同：
端點原則：建立可重複執行的掃描、核准、安裝與重新開機行為。
Patch View：跨多台裝置監控及管理修補程式。
電腦檢視：針對特定電腦採取目標式動作。
透過這些檢視畫面，IT 團隊可自動化例行的作業系統修補作業，同時在例外情況需要處理時保有直接控制權。
使用 Splashtop AEM 自動化作業系統修補
Splashtop AEM 為 IT 團隊提供實用的方法，可在 Windows 和 macOS 裝置間自動化作業系統修補程式管理，同時維持對核准、安裝排程、重新開機與例外情況的控制。
不必再逐一手動檢查並修補各個端點，可使用 Endpoint Policies 建立可重複執行的修補工作流程，接著從集中式 OS Patch 檢視畫面監控結果，並在需要時介入處理。
立即開始 Splashtop AEM 免費試用，看看自動化作業系統修補如何融入端點管理工作流程。
