> For the complete documentation index, see [llms.txt](https://wiki.datadike.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://wiki.datadike.com/es/sonar/administration/patching/patch-policy.md). # Política de aprobación de actualizaciones Apruebe actualizaciones de Windows automáticamente según su gravedad, programe su instalación y elija el comportamiento de reinicio, en una política de automatización o en un dispositivo. ## Qué es y cuándo usarlo Una política de actualizaciones indica a SONAR tres cosas sobre las actualizaciones de Windows de los dispositivos a los que se aplica: * qué actualizaciones se **aprueban** automáticamente, según su gravedad; * **cuándo** se instalan las actualizaciones aprobadas; * si el dispositivo se **reinicia** tras una instalación. "Aprobada" es una marca que el servidor guarda para cada actualización en cada dispositivo. Solo se instalan las actualizaciones aprobadas, ya sea mediante una ejecución programada, con **Install Approved Updates** en el dispositivo o con una instalación masiva. Una actualización se aprueba mediante la política o a mano, desde la pestaña **Updates** del dispositivo. Una política de actualizaciones reside dentro de una política de automatización, así que llega a todos los dispositivos a los que llega esa política. Cada dispositivo tiene además su propia política de actualizaciones, que sirve para sustituir ajustes concretos. Use la política de automatización para la regla y el dispositivo para la excepción: el servidor que nunca debe reiniciarse por su cuenta, el portátil que instala otro día. Para el procedimiento completo, desde el primer escaneo hasta la asignación de la política, vea [Automatizar las actualizaciones de Windows](/es/sonar/administration/patching/automate-windows-updates.md). ## Antes de empezar * En una política de automatización: **Manage Automation Policies** en **Admin Center › Roles**, y una política de automatización activa y aplicada a los clientes, sitios o dispositivos que desee. Vea [Políticas de automatización](/es/sonar/administration/automation/automation-policies.md). * En un dispositivo: **Edit Agent**. * Dispositivos Windows. Las políticas de actualizaciones no tienen efecto en los dispositivos Linux y macOS. * La zona horaria de los dispositivos correcta: las programaciones se ejecutan en la hora del propio dispositivo. Procede de **Timezone**, en el panel lateral **Edit** del dispositivo, o, de forma predeterminada, de **Default agent timezone** en **Admin Center › Settings › General**. ## Cómo se elige la política que se aplica Para cada dispositivo, SONAR toma la política de actualizaciones de la **primera** política de automatización, en este orden, que esté activa y tenga una política de actualizaciones: 1. la política asignada al propio dispositivo; 2. la política del sitio para el tipo del dispositivo (servidor o estación de trabajo); 3. la política del cliente para el tipo del dispositivo; 4. la política predeterminada de servidor o de estación de trabajo. El bloqueo de la herencia y las exclusiones de políticas se aplican igual que en el resto de la política de automatización. Solo se toma una política de actualizaciones; no se combinan. Después se superpone la política de actualizaciones del propio dispositivo. Todo ajuste del dispositivo distinto de **Inherit** sustituye al de la política: | Ajuste del dispositivo | Cuando no está en **Inherit** | | ---------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Una gravedad (**Critical**, **Important**, **Moderate**, **Low**, **Other**) | Sustituye solo esa gravedad | | **Schedule Frequency** | Sustituye la frecuencia, el **Scheduled Time** y los **Week Days**. **Day of month to run** sigue siendo el de la política de automatización, así que defina las programaciones mensuales en la política de automatización | | **Reboot After Install** | Sustituye el ajuste de reinicio | Cuando ninguna política de automatización con política de actualizaciones llega al dispositivo, se usan solo los ajustes del propio dispositivo, e **Inherit** significa: ninguna aprobación automática, ninguna instalación programada, ningún reinicio. ## Pasos **En una política de automatización** 1. Abra **Management › Automations**. 2. En la línea de la política, haga clic en **Create Patch Policy** en la columna **Patch Policy**, o en **Modify Patch Policy** si ya tiene una. La misma opción está en el menú del clic derecho de la línea. 3. En **Auto Approval**, elija **Manual**, **Approve** o **Ignore** para cada gravedad. 4. En **Installation Schedule**, elija **Schedule Frequency** y luego **Day of month to run** o **Week Days**, y **Scheduled Time**. 5. En **Reboot After Installation**, elija **Reboot After Install**. 6. Haga clic en **Submit**. **En un dispositivo** 1. Abra **Dashboard › Sysadmin** y seleccione el dispositivo. 2. En el menú **Other actions** (el **⋮** del encabezado del panel del dispositivo), elija **Edit**. 3. Abra la pestaña **Patches**. Aparecen los mismos campos, cada uno con una opción adicional, **Inherit**. 4. Cambie solo los ajustes que deban diferir de la política de automatización. Deje los demás en **Inherit**. 5. Haga clic en **Save**. Un punto de partida que usan muchos equipos en la política de actualizaciones de una política de automatización, y que conviene adaptar a su propio proceso de cambios: **Approve** para **Critical** e **Important**, **Manual** para **Moderate**, **Low** y **Other**, una ventana semanal fuera del horario laboral, y **Never** en **Reboot After Install** en la política asignada como **Server Policy**. ## Qué debe ver En una política de automatización, la consola lo confirma con `Patch policy was created successfully!` o `Patch policy was edited successfully!`, y la columna **Patch Policy** de la línea pasa a mostrar **Modify Patch Policy**. En un dispositivo, lo confirma con `Agent was edited!`. Lo que ocurre después en cada dispositivo: | Cuándo | Qué ocurre | | ---------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Cada 8 horas | El servidor aplica la aprobación automática: toda actualización aún no instalada cuya gravedad está en **Approve** se marca como aprobada. También pide un escaneo a todos los dispositivos Windows en línea | | En una instalación manual o masiva | Primero se aplica la aprobación automática y luego se instalan las actualizaciones aprobadas | | Cada hora | El servidor comprueba qué dispositivos llegan a su hora programada, en la zona horaria del dispositivo, e inicia la instalación de sus actualizaciones aprobadas | | Al final de una instalación | **Reboot After Install** decide si el dispositivo se reinicia | ## Cómo verificar que funcionó 1. Abra el panel lateral **Edit** del dispositivo, pestaña **Automation Policies**. **Effective Patch Policy** muestra la aprobación por gravedad, la **Run Time Frequency** y el **Reboot after installation** que se aplican a ese dispositivo, tras la combinación descrita arriba. `Do Nothing` ahí significa que no hay nada definido. 2. Tras el siguiente ciclo de 8 horas, la pestaña **Updates** del dispositivo muestra las actualizaciones de las gravedades aprobadas con **Approve** y **Pending**, y la columna **Patches Pending** del dispositivo en **Dashboard › Sysadmin** aparece marcada. 3. Pasada la hora programada, la pestaña muestra esas actualizaciones como **Installed**, con una fecha en **Installed On**. 4. **Reports & Audits › Audits** registra la creación, el cambio o la eliminación de la política de actualizaciones, con los valores de antes y de después. 5. Cuando **Agent Debug Level** está en **Info** en **Admin Center › Settings › General**, la pestaña **Debug** del dispositivo registra `Installing windows updates on ` en cada ejecución programada. ## Errores comunes | Síntoma | Causa | Solución | | ----------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------- | | No se instala nada a la hora programada | Ninguna gravedad está en **Approve** en la política efectiva. Una ejecución programada solo ocurre cuando al menos una lo está | Ponga al menos una gravedad en **Approve**, o instale a mano | | No se instala nada con una programación diaria | **Week Days** no tiene ningún día seleccionado | Seleccione los días | | La instalación se ejecutó a una hora equivocada | La zona horaria del dispositivo no es la que usted suponía | Revise **Timezone** en el panel lateral **Edit** del dispositivo, o **Default agent timezone** | | Un dispositivo se saltó la ejecución programada | No estaba en línea a la hora programada | Instala en su siguiente día programado. Para instalar ahora, use **Install Patches Now** | | Una actualización nueva de una gravedad aprobada aún no está aprobada | La aprobación automática se ejecuta cada 8 horas | Espere al siguiente ciclo, o haga clic en **Install Approved Updates**, que aprueba primero | | El dispositivo no respeta los ajustes de actualizaciones de la política de automatización | Una política anterior en el orden tiene su propia política de actualizaciones, o el dispositivo sustituye el ajuste | Revise **Effective Patch Policy** en el panel lateral **Edit** del dispositivo | | Una instalación mensual falta en algunos meses | El día elegido no existe en todos los meses | Elija un día del 1 al 28 | | Un dispositivo se reinició en horario laboral | **Reboot After Install** está en **When Required** o **Always**, y se ejecutó una instalación | Programe la instalación fuera del horario laboral, o use **Never** y reinicie a la hora que usted elija | ## Referencia de campos | Campo | Qué hace | Valores | Predeterminado al crear la política de actualizaciones en una política de automatización | | -------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------- | | **Critical**, **Important**, **Moderate**, **Low** | Aprobación automática de las actualizaciones de esa gravedad de Microsoft | **Manual**, **Approve**, **Ignore**, **Inherit** (solo en el dispositivo) | **Ignore** | | **Other** | Lo mismo, para las actualizaciones a las que Microsoft no asigna gravedad, la mayoría de las que no son de seguridad | Como arriba | **Ignore** | | **Schedule Frequency** | Cuándo se instalan las actualizaciones aprobadas | **Daily/Weekly**, **Monthly**, **Inherit** (solo en el dispositivo) | **Daily/Weekly** | | **Week Days** | Con **Daily/Weekly**: los días de la semana en que se ejecuta la instalación | De lunes a domingo, se permiten varios | Ninguno seleccionado | | **Day of month to run** | Con **Monthly**: el día del mes | 1 a 31 | 1 | | **Scheduled Time** | La hora a la que empieza la instalación, en la zona horaria del dispositivo | 12 AM a 11 PM, horas en punto | 3 AM | | **Reboot After Install** | Qué ocurre cuando termina una instalación | **Never**, **When Required**, **Always**, **Inherit** (solo en el dispositivo) | **Never** | Qué hace cada valor de aprobación: | Valor | Efecto | | ----------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | **Approve** | Toda actualización de esa gravedad aún no instalada se aprueba en la siguiente aprobación automática, incluidas las actualizaciones puestas en **Ignore** a mano en el dispositivo | | **Manual** | No se aprueba nada automáticamente. Las actualizaciones de esa gravedad solo se instalan cuando alguien las aprueba a mano | | **Ignore** | No se aprueba nada automáticamente, igual que con **Manual** | | **Inherit** | Toma el valor de la política de automatización | Qué hace cada valor de reinicio: | Valor | Efecto | | ----------------- | ------------------------------------------------------------------------------------------------------------------ | | **Never** | El dispositivo no se reinicia. **Needs Reboot** en **Dashboard › Sysadmin** muestra que Windows espera un reinicio | | **When Required** | El dispositivo se reinicia de inmediato cuando Windows informa que lo necesita | | **Always** | El dispositivo se reinicia de inmediato al final de cada instalación | {% hint style="warning" %} Con **When Required** o **Always**, el dispositivo se reinicia en cuanto termina la instalación, sin avisar a la persona que lo usa; el trabajo no guardado se pierde. Si tiene dudas sobre si un dispositivo puede reiniciarse (en particular, los servidores de producción), mantenga **Never**. {% endhint %} En una política de automatización, **Remove Policy** elimina la política de actualizaciones tras una confirmación; los dispositivos pasan entonces a la siguiente política del orden. ## Páginas relacionadas * [Automatizar las actualizaciones de Windows](/es/sonar/administration/patching/automate-windows-updates.md) * [Políticas de automatización](/es/sonar/administration/automation/automation-policies.md) * [Actualizaciones en un solo dispositivo](/es/sonar/administration/patching/device-updates.md) * [Windows Updates en todo el parque](/es/sonar/administration/patching/windows-updates.md) * [Clientes y sitios](/es/sonar/administration/devices/clients-and-sites.md)