> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/sonar/administration/patching/automate-windows-updates.md).

# Automatizar las actualizaciones de Windows

El procedimiento completo para mantener al día los dispositivos Windows: escanear, crear una política de automatización con su política de actualizaciones, asignarla y confirmar la instalación.

## Qué es y cuándo usarlo

Esta página recorre todo el camino, desde "¿qué actualizaciones faltan?" hasta "las actualizaciones aprobadas se instalan solas, cada semana, en la ventana de mantenimiento". Reúne pantallas que se documentan una a una en otras páginas: el escaneo, la política de automatización, su política de actualizaciones y la asignación.

El camino tiene tres etapas:

1. **Escaneo**: cada dispositivo pregunta a Windows Update qué actualizaciones se le aplican e informa la lista a SONAR.
2. **Aprobación e instalación**: una actualización solo se instala una vez **aprobada**. La aprobación procede de una política de actualizaciones, por gravedad, o de una persona, actualización por actualización.
3. **Automatización**: una política de actualizaciones dentro de una política de automatización, asignada a dispositivos, sitios o clientes, aprueba por gravedad e instala según una programación, con la regla de reinicio que usted elija.

Hay dos formas de instalar, y es fácil confundirlas:

| Forma            | Dónde                                                                                                                                                                  | Qué instala                                                                                                                                                                     |
| ---------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Bajo demanda** | **Tools › Bulk Patch Management** con **Install**, **Install approved** en la pantalla **Devices › Windows Updates**, o **Install Approved Updates** en un dispositivo | Las actualizaciones ya **aprobadas** en cada dispositivo de destino, en ese momento. Antes se aplica la aprobación automática de la política de actualizaciones del dispositivo |
| **Programada**   | Una política de actualizaciones en una política de automatización                                                                                                      | Las actualizaciones aprobadas, en el **Scheduled Time** de la política, los días que usted elija, con la regla de reinicio de la política                                       |

Ninguna de las dos formas instala actualizaciones que nadie aprobó. Un dispositivo sin política de actualizaciones y sin ninguna actualización aprobada a mano no instala nada, aunque se le envíe una instalación masiva.

{% hint style="info" %}
Para el detalle de cada pantalla, vea [Windows Updates en todo el parque](/es/sonar/administration/patching/windows-updates.md), [Política de aprobación de actualizaciones](/es/sonar/administration/patching/patch-policy.md) y [Políticas de automatización](/es/sonar/administration/automation/automation-policies.md). Esta página sigue el orden en que se usan.
{% endhint %}

## Antes de empezar

* El agente SONAR instalado y enviando informes en los dispositivos Windows. La gestión de actualizaciones no abarca los dispositivos Linux y macOS.
* En **Admin Center › Roles**:
  * **Manage Automation Policies**, para crear la política de automatización y su política de actualizaciones;
  * **Run Bulk Operations** y **Manage Windows Updates**, para **Tools › Bulk Patch Management**;
  * **Edit Agent**, **Manage Clients** o **Manage Sites**, para asignar la política a un dispositivo, a un cliente o a un sitio.
* La zona horaria de los dispositivos correcta. Las instalaciones programadas se ejecutan en la hora del propio dispositivo, que procede de **Timezone**, en el panel lateral **Edit** del dispositivo, o de **Default agent timezone**, en **Admin Center › Settings › General**.
* Una ventana de mantenimiento acordada con quienes usan los dispositivos, sobre todo si la política los reinicia.

## Pasos

### 1. Escanear los dispositivos

El escaneo es lo que llena la lista de actualizaciones. Sin un escaneo reciente, la lista no refleja lo que realmente falta y no se puede aprobar nada nuevo.

Elija el alcance:

* **Un dispositivo**: abra el dispositivo en **Dashboard › Sysadmin**, pestaña **Updates**, y haga clic en **Run Update Scan**.
* **Un cliente, un sitio, un grupo de dispositivos**: abra **Tools › Bulk Patch Management**. En **Choose Target**, elija **Client**, **Site**, **Selected Agents** o **All**, y luego el cliente o el sitio. Deje **Agent OS** en **Windows**, elija el **Agent Type** (**All**, **Servers** o **Workstations**), seleccione **Scan** en **Action** y haga clic en **Run**.
* **Todos los dispositivos Windows a los que usted tiene acceso**: haga clic en **Scan now** en **Devices › Windows Updates**.

La solicitud se acepta de inmediato y los resultados llegan a medida que responde cada dispositivo. Solo la reciben los dispositivos que están en línea. SONAR también pide un escaneo a todos los dispositivos Windows en línea cada 8 horas, así que un dispositivo que estaba desconectado se escanea en el primer ciclo tras volver.

### 2. Crear la política de automatización

La política de automatización es el contenedor: un nombre, un estado y los clientes, sitios o dispositivos a los que llega.

1. Abra **Management › Automations**.
2. Haga clic en **New**. Se abre el formulario **Add Policy**.
3. En **Policy Name**, use un nombre que diga qué hace la política y a quién se aplica, por ejemplo `Actualizaciones-Windows-servidores-sábado-3AM`.
4. En **Description**, anote las gravedades aprobadas, los destinos y la ventana, por ejemplo `Critical e Important · servidores · sábado 3 AM`.
5. Active la opción **Active**. Una política inactiva sigue registrada, pero no se aplica. También puede crearla inactiva y activarla tras una revisión.
6. Deje **Enforced** desactivado. **Enforced** solo decide que los **checks** de la política prevalezcan sobre los checks del mismo tipo de los dispositivos; no tiene ningún efecto sobre la política de actualizaciones.
7. Haga clic en **Submit**. La política aparece en la lista.

### 3. Añadir su política de actualizaciones

1. En la línea de la nueva política, haga clic en **Create Patch Policy** en la columna **Patch Policy**.
2. En **Auto Approval**, elija **Approve**, **Manual** o **Ignore** para cada gravedad: **Critical**, **Important**, **Moderate**, **Low** y **Other**. Una política de actualizaciones nueva empieza con todas las gravedades en **Ignore**.
3. En **Installation Schedule**, elija **Schedule Frequency**:
   * **Daily/Weekly**, y luego marque los **Week Days**;
   * **Monthly**, y luego el **Day of month to run**.
4. Elija el **Scheduled Time**, en la zona horaria del dispositivo.
5. En **Reboot After Installation**, elija **Reboot After Install**: **Never**, **When Required** o **Always**.
6. Haga clic en **Submit**. La columna pasa a mostrar **Modify Patch Policy**; úsela para revisar o cambiar los ajustes más adelante.

Un punto de partida que usan muchos equipos, y que conviene adaptar a su propio proceso de cambios:

| Gravedad      | Auto Approval | Por qué                                                                         |
| ------------- | ------------- | ------------------------------------------------------------------------------- |
| **Critical**  | **Approve**   | Correcciones de vulnerabilidades graves, para aplicar lo antes posible          |
| **Important** | **Approve**   | Correcciones relevantes de seguridad y de estabilidad                           |
| **Moderate**  | **Manual**    | Revise el impacto antes de aprobar                                              |
| **Low**       | **Manual**    | Riesgo bajo; apruebe cuando le convenga                                         |
| **Other**     | **Manual**    | Sobre todo actualizaciones que no son de seguridad; revise primero el contenido |

{% hint style="warning" %}
**Una política de actualizaciones con los valores predeterminados no instala nada.** Todas las gravedades empiezan en **Ignore**, y una ejecución programada solo ocurre cuando al menos una gravedad está en **Approve**. Ponga al menos una en **Approve** antes de asignar la política.
{% endhint %}

{% hint style="warning" %}
**El reinicio ocurre sin aviso a la persona que usa el dispositivo.** Con **When Required** o **Always**, el dispositivo se reinicia en cuanto termina la instalación, haya o no alguien trabajando en él, y el trabajo no guardado se pierde. Si tiene dudas sobre si un dispositivo puede reiniciarse (en particular, los servidores de producción), mantenga **Never** y reinícielo a la hora que usted elija. **Needs Reboot**, en **Dashboard › Sysadmin**, muestra qué dispositivos esperan un reinicio.
{% endhint %}

### 4. Asignar la política

Empiece por un piloto: un dispositivo de prueba o un sitio, antes de todo el cliente.

* **A un dispositivo**: en **Dashboard › Sysadmin**, haga clic derecho en la línea del dispositivo, o use el menú **Other actions** del panel del dispositivo, elija **Assign Automation Policy** y seleccione la política.
* **A un cliente o a un sitio**: en el árbol **Clients** de **Dashboard › Sysadmin**, haga clic derecho en el cliente o en el sitio y elija **Assign Automation Policy**. Seleccione la política en **Server Policy**, en **Workstation Policy** o en ambos, y haga clic en **Submit**.

{% hint style="info" %}
La política de un cliente o de un sitio se fija por separado para los servidores y para las estaciones de trabajo. Si el cliente o el sitio tiene ambos, rellene **Server Policy** y **Workstation Policy**, o uno de los dos tipos queda fuera.
{% endhint %}

Para dejar determinados clientes, sitios o dispositivos fuera de una política que les llega, use **Show Policy Exclusions (N)** en la línea de la política. Vea [Políticas de automatización](/es/sonar/administration/automation/automation-policies.md).

### 5. Instalar lo que ya está pendiente, si hace falta

La política instala a su siguiente hora programada. Para eliminar antes las actualizaciones pendientes acumuladas, envíe una instalación bajo demanda: **Tools › Bulk Patch Management** con **Install** en **Action**, **Install approved** en **Devices › Windows Updates**, o **Install Approved Updates** en un dispositivo.

Cada una de ellas aplica primero la aprobación automática de la política de actualizaciones del dispositivo y luego instala todas las actualizaciones aprobadas en el dispositivo. Para instalar una sola actualización, esta debe ser la única aprobada en los dispositivos de destino: ninguna otra aprobada a mano y ninguna severidad en **Approve** en su política de actualizaciones.

## Qué debe ver

* En **Management › Automations**, la línea de la política con **Active** activado, **Modify Patch Policy** en la columna **Patch Policy** y **Show Relations (N)** contando los dispositivos que la reciben.
* Tras el siguiente ciclo de aprobación de 8 horas, las actualizaciones de las gravedades en **Approve** aparecen como aprobadas en la pestaña **Updates** de cada dispositivo.
* Pasada la hora programada, esas actualizaciones pasan a **Installed**, con la fecha de instalación en **Installed On** en el dispositivo y en **Installed at** en el panel lateral de la máquina de **Devices › Windows Updates**.

## Cómo verificar que funcionó

1. En **Management › Automations**, haga clic en **Show Relations (N)** en la línea de la política y confirme que los clientes, sitios y dispositivos de la lista son los que usted pretendía.
2. En un dispositivo de destino, abra **Edit**, pestaña **Automation Policies**. **Effective Patch Policy** muestra la aprobación por gravedad, la frecuencia y la regla de reinicio que realmente se aplican a ese dispositivo. Si no son las de la política, una política anterior en el orden, o un ajuste del propio dispositivo, tiene prioridad: vea [Política de aprobación de actualizaciones](/es/sonar/administration/patching/patch-policy.md).
3. Tras la primera ejecución programada, abra **Devices › Windows Updates**: los contadores **Installed** y **Failed installs** cambian y, en el panel lateral de la máquina, las actualizaciones instaladas por SONAR llevan una fecha en **Installed at**. La fecha solo se registra en las instalaciones que ejecutó SONAR: una actualización instalada por otro medio aparece como instalada, sin fecha.
4. **Reports & Audits › Audits** registra la creación de la política, de su política de actualizaciones y de cada asignación.

## Errores comunes

| Síntoma                                                  | Causa                                                                                                                                                    | Solución                                                                       |
| -------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------ |
| No se instala nada a la hora programada                  | Ninguna gravedad está en **Approve** en la política efectiva                                                                                             | Ponga al menos una gravedad en **Approve**                                     |
| No se instala nada con una programación **Daily/Weekly** | No hay ningún día marcado en **Week Days**                                                                                                               | Marque los días                                                                |
| Algunos dispositivos del sitio no quedan cubiertos       | Solo se rellenó **Server Policy** o solo **Workstation Policy**                                                                                          | Rellene ambos campos en el cliente o en el sitio                               |
| Un dispositivo mantiene su propio comportamiento         | Una política anterior en el orden tiene una política de actualizaciones, o los ajustes de actualizaciones del propio dispositivo no están en **Inherit** | Revise **Effective Patch Policy** en el panel lateral **Edit** del dispositivo |
| La lista de actualizaciones parece desactualizada        | El dispositivo no ha escaneado desde que se publicaron las últimas actualizaciones                                                                       | Ejecute un escaneo, o espere al siguiente ciclo de 8 horas                     |
| Una instalación bajo demanda no hizo nada                | No hay ninguna actualización aprobada en el dispositivo y su política de actualizaciones no aprueba nada                                                 | Apruebe las actualizaciones, o ponga las gravedades en **Approve**             |
| Un dispositivo se reinició en horario laboral            | **Reboot After Install** está en **When Required** o **Always**, y la instalación se ejecutó en horario laboral                                          | Cambie el **Scheduled Time**, o use **Never**                                  |
| La instalación se ejecutó a una hora inesperada          | La zona horaria del dispositivo no es la que usted suponía                                                                                               | Revise **Timezone** en el dispositivo, o **Default agent timezone**            |

## Referencia de campos

**Tools › Bulk Patch Management**

| Campo                                                   | Qué hace                                                  | Valores                                                                                 |
| ------------------------------------------------------- | --------------------------------------------------------- | --------------------------------------------------------------------------------------- |
| **Choose Target**                                       | Qué dispositivos reciben la acción                        | **Client**, **Site**, **Selected Agents**, **All**                                      |
| **Select Client** / **Select Site** / **Select Agents** | El cliente, el sitio o los dispositivos, según el destino | Aquellos a los que usted tiene acceso                                                   |
| **Agent OS**                                            | Sistema operativo de los destinos                         | **Windows**                                                                             |
| **Agent Type**                                          | Qué tipo de dispositivo                                   | **All**, **Servers**, **Workstations**                                                  |
| **Action**                                              | Qué hacer                                                 | **Scan** (solo actualiza la lista), **Install** (instala las actualizaciones aprobadas) |

**Add Policy** (política de automatización)

| Campo           | Qué hace                                                                          | Recomendación                                               |
| --------------- | --------------------------------------------------------------------------------- | ----------------------------------------------------------- |
| **Policy Name** | Nombre que se muestra en la lista y al asignar la política                        | Acción y alcance, sin ambigüedad                            |
| **Description** | Texto libre                                                                       | Gravedades, destinos y ventana                              |
| **Active**      | Aplica la política                                                                | Activado                                                    |
| **Enforced**    | Los checks de la política prevalecen sobre los checks propios de los dispositivos | Desactivado, en una política dedicada a las actualizaciones |

Para todos los campos de **Add Patch Policy**, vea [Política de aprobación de actualizaciones](/es/sonar/administration/patching/patch-policy.md#referencia-de-campos).

## Páginas relacionadas

* [Windows Updates en todo el parque](/es/sonar/administration/patching/windows-updates.md)
* [Política de aprobación de actualizaciones](/es/sonar/administration/patching/patch-policy.md)
* [Actualizaciones en un solo dispositivo](/es/sonar/administration/patching/device-updates.md)
* [Políticas de automatización](/es/sonar/administration/automation/automation-policies.md)
* [Ejecutar acciones en muchos dispositivos](/es/sonar/administration/automation/bulk-actions.md)