Política de aprobación de actualizaciones

Apruebe actualizaciones de Windows automáticamente según su gravedad, programe su instalación y elija el comportamiento de reinicio, en una política de automatización o en un dispositivo.

Qué es y cuándo usarlo

Una política de actualizaciones indica a SONAR tres cosas sobre las actualizaciones de Windows de los dispositivos a los que se aplica:

• qué actualizaciones se aprueban automáticamente, según su gravedad;

• cuándo se instalan las actualizaciones aprobadas;

• si el dispositivo se reinicia tras una instalación.

"Aprobada" es una marca que el servidor guarda para cada actualización en cada dispositivo. Solo se instalan las actualizaciones aprobadas, ya sea mediante una ejecución programada, con Install Approved Updates en el dispositivo o con una instalación masiva. Una actualización se aprueba mediante la política o a mano, desde la pestaña Updates del dispositivo.

Una política de actualizaciones reside dentro de una política de automatización, así que llega a todos los dispositivos a los que llega esa política. Cada dispositivo tiene además su propia política de actualizaciones, que sirve para sustituir ajustes concretos. Use la política de automatización para la regla y el dispositivo para la excepción: el servidor que nunca debe reiniciarse por su cuenta, el portátil que instala otro día.

Antes de empezar

• En una política de automatización: Manage Automation Policies en Admin Center › Roles, y una política de automatización activa y aplicada a los clientes, sitios o dispositivos que desee. Vea Políticas de automatización.

• En un dispositivo: Edit Agent.

• Dispositivos Windows. Las políticas de actualizaciones no tienen efecto en los dispositivos Linux y macOS.

• La zona horaria de los dispositivos correcta: las programaciones se ejecutan en la hora del propio dispositivo. Procede de Timezone, en el panel lateral Edit del dispositivo, o, de forma predeterminada, de Default agent timezone en Admin Center › Settings › General.

Cómo se elige la política que se aplica

Para cada dispositivo, SONAR toma la política de actualizaciones de la primera política de automatización, en este orden, que esté activa y tenga una política de actualizaciones:

1. la política asignada al propio dispositivo;

2. la política del sitio para el tipo del dispositivo (servidor o estación de trabajo);

3. la política del cliente para el tipo del dispositivo;

4. la política predeterminada de servidor o de estación de trabajo.

El bloqueo de la herencia y las exclusiones de políticas se aplican igual que en el resto de la política de automatización. Solo se toma una política de actualizaciones; no se combinan.

Después se superpone la política de actualizaciones del propio dispositivo. Todo ajuste del dispositivo distinto de Inherit sustituye al de la política:

Ajuste del dispositivo	Cuando no está en Inherit
Una gravedad (Critical, Important, Moderate, Low, Other)	Sustituye solo esa gravedad
Schedule Frequency	Sustituye la frecuencia, el Scheduled Time y los Week Days. Day of month to run sigue siendo el de la política de automatización, así que defina las programaciones mensuales en la política de automatización
Reboot After Install	Sustituye el ajuste de reinicio

Cuando ninguna política de automatización con política de actualizaciones llega al dispositivo, se usan solo los ajustes del propio dispositivo, e Inherit significa: ninguna aprobación automática, ninguna instalación programada, ningún reinicio.

Pasos

En una política de automatización

1. Abra Management › Automations.

2. En la línea de la política, haga clic en Create Patch Policy en la columna Patch Policy, o en Modify Patch Policy si ya tiene una. La misma opción está en el menú del clic derecho de la línea.

3. En Auto Approval, elija Manual, Approve o Ignore para cada gravedad.

4. En Installation Schedule, elija Schedule Frequency y luego Day of month to run o Week Days, y Scheduled Time.

5. En Reboot After Installation, elija Reboot After Install.

6. Haga clic en Submit.

En un dispositivo

1. Abra Dashboard › Sysadmin y seleccione el dispositivo.

2. En el menú Other actions (el ⋮ del encabezado del panel del dispositivo), elija Edit.

3. Abra la pestaña Patches. Aparecen los mismos campos, cada uno con una opción adicional, Inherit.

4. Cambie solo los ajustes que deban diferir de la política de automatización. Deje los demás en Inherit.

5. Haga clic en Save.

Qué debe ver

En una política de automatización, la consola lo confirma con Patch policy was created successfully! o Patch policy was edited successfully!, y la columna Patch Policy de la línea pasa a mostrar Modify Patch Policy. En un dispositivo, lo confirma con Agent was edited!.

Lo que ocurre después en cada dispositivo:

Cuándo	Qué ocurre
Cada 8 horas	El servidor aplica la aprobación automática: toda actualización aún no instalada cuya gravedad está en Approve se marca como aprobada. También pide un escaneo a todos los dispositivos Windows en línea
En una instalación manual o masiva	Primero se aplica la aprobación automática y luego se instalan las actualizaciones aprobadas
Cada hora	El servidor comprueba qué dispositivos llegan a su hora programada, en la zona horaria del dispositivo, e inicia la instalación de sus actualizaciones aprobadas
Al final de una instalación	Reboot After Install decide si el dispositivo se reinicia

Cómo verificar que funcionó

1. Abra el panel lateral Edit del dispositivo, pestaña Automation Policies. Effective Patch Policy muestra la aprobación por gravedad, la Run Time Frequency y el Reboot after installation que se aplican a ese dispositivo, tras la combinación descrita arriba. Do Nothing ahí significa que no hay nada definido.

2. Tras el siguiente ciclo de 8 horas, la pestaña Updates del dispositivo muestra las actualizaciones de las gravedades aprobadas con Approve y Pending, y la columna Patches Pending del dispositivo en Dashboard › Sysadmin aparece marcada.

3. Pasada la hora programada, la pestaña muestra esas actualizaciones como Installed, con una fecha en Installed On.

4. Reports & Audits › Audits registra la creación, el cambio o la eliminación de la política de actualizaciones, con los valores de antes y de después.

5. Cuando Agent Debug Level está en Info en Admin Center › Settings › General, la pestaña Debug del dispositivo registra Installing windows updates on <hostname> en cada ejecución programada.

Errores comunes

Síntoma	Causa	Solución
No se instala nada a la hora programada	Ninguna gravedad está en Approve en la política efectiva. Una ejecución programada solo ocurre cuando al menos una lo está	Ponga al menos una gravedad en Approve, o instale a mano
No se instala nada con una programación diaria	Week Days no tiene ningún día seleccionado	Seleccione los días
La instalación se ejecutó a una hora equivocada	La zona horaria del dispositivo no es la que usted suponía	Revise Timezone en el panel lateral Edit del dispositivo, o Default agent timezone
Un dispositivo se saltó la ejecución programada	No estaba en línea a la hora programada	Instala en su siguiente día programado. Para instalar ahora, use Install Patches Now
Una actualización nueva de una gravedad aprobada aún no está aprobada	La aprobación automática se ejecuta cada 8 horas	Espere al siguiente ciclo, o haga clic en Install Approved Updates, que aprueba primero
El dispositivo no respeta los ajustes de actualizaciones de la política de automatización	Una política anterior en el orden tiene su propia política de actualizaciones, o el dispositivo sustituye el ajuste	Revise Effective Patch Policy en el panel lateral Edit del dispositivo
Una instalación mensual falta en algunos meses	El día elegido no existe en todos los meses	Elija un día del 1 al 28
Un dispositivo se reinició en horario laboral	Reboot After Install está en When Required o Always, y se ejecutó una instalación	Programe la instalación fuera del horario laboral, o use Never y reinicie a la hora que usted elija

Referencia de campos

Campo	Qué hace	Valores	Predeterminado al crear la política de actualizaciones en una política de automatización
Critical, Important, Moderate, Low	Aprobación automática de las actualizaciones de esa gravedad de Microsoft	Manual, Approve, Ignore, Inherit (solo en el dispositivo)	Ignore
Other	Lo mismo, para las actualizaciones a las que Microsoft no asigna gravedad, la mayoría de las que no son de seguridad	Como arriba	Ignore
Schedule Frequency	Cuándo se instalan las actualizaciones aprobadas	Daily/Weekly, Monthly, Inherit (solo en el dispositivo)	Daily/Weekly
Week Days	Con Daily/Weekly: los días de la semana en que se ejecuta la instalación	De lunes a domingo, se permiten varios	Ninguno seleccionado
Day of month to run	Con Monthly: el día del mes	1 a 31	1
Scheduled Time	La hora a la que empieza la instalación, en la zona horaria del dispositivo	12 AM a 11 PM, horas en punto	3 AM
Reboot After Install	Qué ocurre cuando termina una instalación	Never, When Required, Always, Inherit (solo en el dispositivo)	Never

Qué hace cada valor de aprobación:

Valor	Efecto
Approve	Toda actualización de esa gravedad aún no instalada se aprueba en la siguiente aprobación automática, incluidas las actualizaciones puestas en Ignore a mano en el dispositivo
Manual	No se aprueba nada automáticamente. Las actualizaciones de esa gravedad solo se instalan cuando alguien las aprueba a mano
Ignore	No se aprueba nada automáticamente, igual que con Manual
Inherit	Toma el valor de la política de automatización

Qué hace cada valor de reinicio:

Valor	Efecto
Never	El dispositivo no se reinicia. Needs Reboot en Dashboard › Sysadmin muestra que Windows espera un reinicio
When Required	El dispositivo se reinicia de inmediato cuando Windows informa que lo necesita
Always	El dispositivo se reinicia de inmediato al final de cada instalación

En una política de automatización, Remove Policy elimina la política de actualizaciones tras una confirmación; los dispositivos pasan entonces a la siguiente política del orden.

Páginas relacionadas

• Políticas de automatización

• Actualizaciones en un solo dispositivo

• Windows Updates en todo el parque

• Clientes y sitios