Velocizzare gli aggiornamenti qualitativi di Windows in Microsoft Intune

Con gli aggiornamenti qualitativi per i criteri di Windows 10 e versioni successive , è possibile accelerare l'installazione degli aggiornamenti della sicurezza più recenti di Windows 10/11 nei dispositivi gestiti con Microsoft Intune. La distribuzione degli aggiornamenti accelerati viene eseguita senza la necessità di sospendere o modificare i criteri di aggiornamento mensili esistenti. Ad esempio, è possibile accelerare un aggiornamento specifico per attenuare una minaccia alla sicurezza quando il normale processo di aggiornamento non distribuisce l'aggiornamento per un certo periodo di tempo.

Non tutti gli aggiornamenti possono essere accelerati. Attualmente, solo gli aggiornamenti della sicurezza di Windows 10/11 che possono essere accelerati sono disponibili per la distribuzione con i criteri di aggiornamenti qualitativi. Per gestire gli aggiornamenti qualitativi mensili regolari, usare gli anelli di aggiornamento per i criteri di Windows 10 e versioni successive.

Funzionamento degli aggiornamenti accelerati

Con gli aggiornamenti accelerati, è possibile accelerare l'installazione di aggiornamenti qualitativi come la versione più recente di martedì o un aggiornamento della sicurezza fuori banda per un difetto zero-day.

I criteri di aggiornamento accelerati sostituiscono temporaneamente i rinvii e altre impostazioni per installare gli aggiornamenti il più rapidamente possibile. Questo processo consente ai dispositivi di avviare il download e l'installazione di un aggiornamento accelerato senza dover attendere che il dispositivo eserciti gli aggiornamenti.

Il tempo effettivo necessario per l'avvio di un aggiornamento da parte di un dispositivo dipende dalla connettività Internet del dispositivo, dai tempi di analisi, dal funzionamento dei canali di comunicazione con il dispositivo e da altri fattori, ad esempio il tempo di elaborazione cloud.

• Per ogni criterio di aggiornamento accelerato, selezionare un singolo aggiornamento da distribuire in base alla data di rilascio. Usando la data di rilascio, non è necessario creare criteri separati per distribuire istanze diverse di tale aggiornamento nei dispositivi con versioni diverse di Windows, ad esempio Windows 10 versione 1809, 1909 e così via.

• Windows Update valuta la compilazione e l'architettura di ogni dispositivo e quindi fornisce la versione dell'aggiornamento applicabile.

• Solo i dispositivi che richiedono l'aggiornamento ricevono l'aggiornamento accelerato:

  • Windows Update non tenta di accelerare l'aggiornamento per i dispositivi che hanno già una revisione uguale o maggiore della versione dell'aggiornamento.
  • Per i dispositivi con una versione di compilazione inferiore rispetto all'aggiornamento, Windows Update conferma che il dispositivo richiede ancora l'aggiornamento prima di installarlo.

  Importante

  In alcuni scenari, Windows Update può installare un aggiornamento più recente dell'aggiornamento specificato nei criteri di aggiornamento accelerati. Per altre informazioni su questo scenario, vedere Informazioni sull'installazione dell'aggiornamento applicabile più recente, più avanti in questo articolo.

• I criteri di aggiornamento accelerati ignorano ed eseguono l'override di eventuali periodi di differimento degli aggiornamenti qualitativi per la versione di aggiornamento distribuita. È possibile configurare i rinvii degli aggiornamenti qualitativi usando gli anelli di aggiornamento di Windows di Intune e l'impostazione per il periodo di differimento degli aggiornamenti qualitativi.

• Quando è necessario un riavvio per completare l'installazione dell'aggiornamento, i criteri consentono di gestire il riavvio. Nei criteri è possibile configurare un periodo in cui gli utenti devono riavviare un dispositivo prima che i criteri forzano un riavvio automatico. Gli utenti possono anche scegliere di pianificare il riavvio o lasciare che il dispositivo cerchi di trovare il momento migliore al di fuori dei dispositivi Active Hours. Prima di raggiungere la scadenza del riavvio, il dispositivo visualizza le notifiche per avvisare gli utenti del dispositivo sulla scadenza e include opzioni per pianificare il riavvio.

  Se un dispositivo non viene riavviato prima della scadenza, il riavvio può avvenire a metà della giornata lavorativa. Per altre informazioni sul comportamento di riavvio, vedere Applicazione delle scadenze di conformità per gli aggiornamenti.

• Gli aggiornamenti accelerati non sono consigliati per la normale manutenzione mensile degli aggiornamenti qualitativi. È invece consigliabile usare le impostazioni di scadenza di un anello di aggiornamento per Windows 10 e versioni successive. Per informazioni, vedere Usare le impostazioni di scadenza nelle impostazioni dell'esperienza utente nelle impostazioni di Windows Update.

Prerequisiti

Di seguito sono riportati i requisiti per qualificarsi per l'installazione di aggiornamenti qualitativi accelerati con Intune:

Licenze:

Oltre a una licenza per Intune, l'organizzazione deve avere una delle sottoscrizioni seguenti che includono una licenza per il servizio di distribuzione Windows Update for Business:

• Windows 10/11 Enterprise E3 o E5 (incluso in Microsoft 365 F3, E3 o E5)
• Windows 10/11 Education A3 o A5 (incluso in Microsoft 365 A3 o A5)
• Accesso a Desktop virtuale Windows E3 o E5
• Microsoft 365 Business Premium

A partire da novembre 2022, la licenza del servizio di distribuzione Windows Update for Business (WUfB ds) verrà controllata e applicata.

Se viene bloccato durante la creazione di nuovi criteri per le funzionalità che richiedono licenze WUfB e si ottengono le licenze per l'uso di WUfB tramite un contratto Enterprise, contattare l'origine delle licenze, ad esempio il team dell'account Microsoft o il partner che ha venduto le licenze. Il team dell'account o il partner può verificare che le licenze dei tenant soddisfino i requisiti di licenza WUfB ds. Vedere Abilitare l'attivazione della sottoscrizione con un contratto EA esistente.

Versioni di Windows 10/11 supportate:

• Versioni di Windows 10/11 che rimangono in supporto per l'architettura servicing, in x86 o x64

Sono supportate solo le compilazioni di aggiornamento disponibili a livello generale. Le build di anteprima, inclusi i canali Beta e Dev, non sono supportate con gli aggiornamenti accelerati.

Edizioni di Windows 10/11 supportate:

• Professional
• Grandi aziende
• Istruzione
• Pro for Education
• Pro for Workstations

I dispositivi devono:

• Essere registrati in MDM di Intune .

• Essere aggiunti a Microsoft Entra o aggiunti a Microsoft Entra ibrido. L'aggiunta all'area di lavoro non è supportata.

• Avere accesso agli endpoint. Per ottenere un elenco dettagliato degli endpoint necessari per i servizi associati elencati qui, vedere Endpoint di rete.

  • Windows Update
  • Servizio di distribuzione di Windows Update per le aziende
  • Servizi di notifica push Di Windows: (consigliato, ma non obbligatorio. Senza questo accesso, i dispositivi potrebbero non accelerare gli aggiornamenti fino al successivo controllo giornaliero degli aggiornamenti.

• Essere configurati per ottenere gli aggiornamenti qualitativi direttamente dal servizio Windows Update.

• Fare in modo che gli strumenti di integrità degli aggiornamenti siano installati con kb 4023057 - Aggiornamento per i componenti del servizio di aggiornamento di Windows 10. Per confermare la presenza degli strumenti di integrità degli aggiornamenti in un dispositivo:

  • Cercare la cartella C:\Programmi\Microsoft Update Health Tools o vedere Aggiungere programmi di rimozione per Microsoft Update Health Tools.
  • Come amministratore, eseguire lo script di PowerShell seguente:

  $Session = New-Object -ComObject Microsoft.Update.Session
  $Searcher = $Session.CreateUpdateSearcher()
  $historyCount = $Searcher.GetTotalHistoryCount()
  $list = $Searcher.QueryHistory(0, $historyCount) | Select-Object -Property "Title"
  foreach ($update in $list)
  {
     if ($update.Title.Contains("4023057"))
     {
        return 1
     }
  }
  return 0 
  

  Se lo script restituisce un valore 1, il dispositivo ha un client UHS. Se lo script restituisce uno 0, il dispositivo non ha un client UHS.

Impostazioni del dispositivo:

Per evitare conflitti o configurazioni che possono bloccare l'installazione degli aggiornamenti accelerati, configurare i dispositivi come indicato di seguito. È possibile usare gli anelli di aggiornamento di Intune per Windows 10 e versioni successive per gestire queste impostazioni.

Per altre informazioni su queste impostazioni, vedere Policy CSP - Update.

Le impostazioni di Criteri di gruppo sostituiscono i criteri di gestione dei dispositivi mobili e l'elenco seguente di impostazioni di Criteri di gruppo può interferire con i criteri accelerati. Nei dispositivi in cui queste impostazioni sono state gestite da Criteri di gruppo, ripristinarle alle impostazioni predefinite del dispositivo (non configurate):

• CorpWuURL : specificare il percorso del servizio di aggiornamento Microsoft intranet.
• AutoUpdateCfg : configurare gli aggiornamenti automatici.
• DeferFeatureUpdates : selezionare quando vengono ricevute le build di anteprima e gli aggiornamenti delle funzionalità.
• Disabilita analisi doppia : non consentire ai criteri di differimento degli aggiornamenti di causare analisi in Windows Update.

Monitoraggio e creazione di report:

Prima di poter monitorare i risultati e lo stato degli aggiornamenti per gli aggiornamenti accelerati, il tenant di Intune deve abilitare la raccolta dati.

Limitazioni per i dispositivi aggiunti all'area di lavoro

I criteri di Intune per gli aggiornamenti qualitativi per Windows 10 e versioni successive richiedono l'uso di Windows Update for Business (WUfB) e del servizio di distribuzione Windows Update for Business (WUfB ds). Dove WUfB supporta i dispositivi WPJ, WUfB ds offre funzionalità aggiuntive non supportate per i dispositivi WPJ.

Per altre informazioni sulle limitazioni WPJ per i criteri di Windows Update di Intune, vedi Limitazioni dei criteri per i dispositivi aggiunti all'area di lavoro in Gestire gli aggiornamenti software di Windows 10 e Windows 11 in Intune.

Creare e assegnare un aggiornamento rapido della qualità

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Dispositivi>Gestisci aggiornamenti>Windows 10 e aggiornamenti> successiviScheda> Aggiornamenti qualitativi Scheda Crea profilo.

   

3. In Impostazioni immettere le proprietà seguenti per identificare questo profilo:

   • Nome: immettere un nome descrittivo per il profilo. Assegnare ai profili nomi che possano essere identificati facilmente in un secondo momento.

   • Descrizione: immettere una descrizione per il profilo. Questa impostazione è facoltativa ma consigliata.

4. In Impostazioni configurare l'installazione rapida degli aggiornamenti qualitativi se la versione del sistema operativo del dispositivo è inferiore a. Selezionare l'aggiornamento da accelerare dall'elenco a discesa. L'elenco include solo gli aggiornamenti che è possibile accelerare.

   Consiglio

   Gli aggiornamenti qualitativi facoltativi di Windows non possono essere accelerati e non saranno disponibili per la selezione.

   

   Quando si seleziona un aggiornamento:

   • Gli aggiornamenti vengono identificati in base alla data di rilascio ed è possibile selezionare un solo aggiornamento per ogni criterio.

   • Gli aggiornamenti che includono la lettera B nel nome identificano gli aggiornamenti rilasciati come parte di un evento patch di martedì . La lettera B indica che l'aggiornamento è stato rilasciato il secondo martedì del mese.

   • Gli aggiornamenti della sicurezza per Windows 10/11 che vengono rilasciati fuori banda da una patch martedì possono essere accelerati. Invece della lettera B, le versioni di patch fuori banda hanno identificatori diversi.

   • Quando l'aggiornamento viene distribuito, Windows Update garantisce che ogni dispositivo che riceve i criteri installi una versione dell'aggiornamento che si applica all'architettura dei dispositivi e alla versione corrente di Windows, ad esempio la versione 1809, 2004 e così via.

   Aggiornamenti di expedite non di sicurezza: include correzioni di qualità dopo la versione precedente di B/Security. Gli amministratori possono accelerare l'installazione dell'aggiornamento qualitativo più recente applicabile nei dispositivi, senza attendere il periodo di differimento.

   • Gli aggiornamenti senza la parola SecurityUpdate indicano che non si tratta di un aggiornamento della sicurezza. Gli aggiornamenti che includono la lettera D nel nome identificano gli aggiornamenti rilasciati dopo l'ultima patch della settimana di sicurezza di martedì . È anche possibile che venga visualizzato l'aggiornamento OOB 2024.01 (versioni di patch fuori banda ). Spiegazione dell'aggiornamento mensile di Windows

   • Gli aggiornamenti non di sicurezza vengono visualizzati solo quando è la versione più recente. L'elenco a discesa viene aggiornato per visualizzare i due aggiornamenti della sicurezza più recenti, incluso se uno è un aggiornamento fuori banda. Se l'aggiornamento non di sicurezza più recente è più recente dell'aggiornamento della sicurezza più recente, l'aggiornamento non relativo alla sicurezza viene incluso anche nell'elenco a discesa. Di conseguenza, a volte vengono visualizzati due aggiornamenti e in altre occasioni vengono visualizzati tre aggiornamenti.

     Consiglio

     Per altre informazioni, vedere il blog Frequenza di manutenzione degli aggiornamenti di Windows 10 - Microsoft Tech Community.

   • Gli aggiornamenti accelerati non di sicurezza si applicano ai dispositivi Windows 11. Se i dispositivi Windows 10 sono assegnati a un criterio Expedite che imposta una versione D , tali dispositivi non vengono accelerati e visualizzano un avviso nei report seguenti.

     • Rapporti>Aggiornamenti di> WindowsRapporti Scheda >Windows Expedited Update Report
     • Dispositivi>Gestire gli aggiornamenti>Aggiornamenti >di Windows 10 e versioni successive>Scheda Monitoraggio: riquadro Accelera i criteri di aggiornamento qualità con avvisi e fai clic sul titolo.

5. In Impostazioni configurare Numero di giorni di attesa prima del riavvio forzato. Per questa impostazione, selezionare quanto tempo dopo l'installazione dell'aggiornamento un dispositivo verrà riavviato automaticamente per completare l'installazione dell'aggiornamento. È possibile selezionare da zero a due giorni. Il riavvio automatico viene annullato se un dispositivo viene riavviato manualmente prima della scadenza. Se un aggiornamento non richiede un riavvio, questa impostazione non viene applicata.

   • Un'impostazione di 0 giorni significa che non appena il dispositivo installa l'aggiornamento, l'utente riceve una notifica sul riavvio e ha un tempo limitato per salvare il lavoro.

     Importante

     Questa esperienza può influire sulla produttività degli utenti. Provare a usarlo per i dispositivi o gli aggiornamenti che devono completare e riavviare il dispositivo il prima possibile.

   • Un'impostazione di 1 giorno o 2 giorni offre agli utenti del dispositivo la flessibilità necessaria per gestire un riavvio prima che venga forzato. Queste impostazioni corrispondono a un ritardo di riavvio automatico di 24 o 48 ore dopo l'installazione dell'aggiornamento nel dispositivo.

     

6. In Assegnazioni selezionare Aggiungi gruppi e quindi selezionare gruppi di dispositivi o utenti per assegnare i criteri.

7. In Rivedi e crea selezionare Crea. Dopo aver creato il criterio, viene distribuito ai gruppi assegnati.

Identificare l'aggiornamento più recente applicabile

Esistono alcuni scenari in cui i criteri per accelerare un aggiornamento comportano l'installazione di un aggiornamento più recente di quello specificato nei criteri. Questo risultato si verifica quando l'aggiornamento più recente include e supera l'aggiornamento specificato e tale aggiornamento più recente è disponibile prima che un dispositivo eserciti l'installazione dell'aggiornamento specificato nei criteri di aggiornamento accelerati. Un esempio dettagliato di questo scenario è disponibile più avanti in questo articolo.

L'installazione dell'aggiornamento qualitativo più recente riduce le interruzioni per il dispositivo e l'utente applicando al tempo stesso i vantaggi dell'aggiornamento previsto. In questo modo si evita di dover installare più aggiornamenti, ognuno dei quali potrebbe richiedere riavvii separati.

Quando vengono soddisfatte le condizioni seguenti, viene distribuito un aggiornamento più recente:

• Il dispositivo non è destinato a un criterio di rinvio che blocca l'installazione di un aggiornamento più recente. In questo caso, l'aggiornamento più recente disponibile non posticipato è l'aggiornamento che potrebbe essere installato.

• Durante il processo di velocizzare un aggiornamento, il dispositivo esegue una nuova analisi che rileva l'aggiornamento più recente. Ciò può verificarsi a causa della tempistica di:

  • Al riavvio del dispositivo per completare l'installazione
  • Quando il dispositivo esegue l'analisi giornaliera
  • Quando un nuovo aggiornamento diventa disponibile

  Quando un'analisi identifica un aggiornamento più recente, Windows Update tenta di arrestare l'installazione dell'aggiornamento originale, annullare il riavvio e quindi avviare il download e l'installazione dell'aggiornamento più recente.

Anche se i criteri di aggiornamento accelerati sostituiscono un rinvio dell'aggiornamento per la versione di aggiornamento specificata nei criteri, non sostituiscono i rinvii in vigore per qualsiasi altra versione dell'aggiornamento.

Esempio di installazione di un aggiornamento accelerato

La sequenza di eventi seguente fornisce un esempio del modo in cui due dispositivi, denominati Test-1 e Test-2, installano un aggiornamento basato su un criterio Di qualità per Windows 10 e versioni successive assegnato ai dispositivi.

1. Ogni mese, gli amministratori di Intune distribuiscono gli aggiornamenti qualitativi di Windows 10 più recenti il quarto martedì del mese. Questo periodo offre due settimane dopo l'evento patch Tuesday per convalidare gli aggiornamenti nell'ambiente prima di forzare l'installazione dell'aggiornamento.

2. Il 19 gennaio 2021 i dispositivi Test-1 e Test-2 installano l'aggiornamento qualitativo più recente della patch di martedì 12 gennaio. Il giorno successivo, entrambi i dispositivi vengono disattivati dagli utenti che lasciano ognuno in vacanza.

3. Il 9 febbraio l'amministratore di Intune crea criteri per accelerare l'installazione della patch martedì 09/09/2021 - 2021.02 B Aggiornamenti della sicurezza per Windows 10 per proteggere i dispositivi aziendali da una minaccia critica risolta dall'aggiornamento. I criteri di accelerazione vengono assegnati a un gruppo di dispositivi che include sia Test-1 che Test-2. Tutti i dispositivi del gruppo attivi ricevono e installano i criteri di aggiornamento accelerati.

4. Nell'evento patch di martedì 9 marzo, un nuovo aggiornamento della qualità viene rilasciato come 09/03/2021 - 2021.03 B Aggiornamenti della sicurezza per Windows 10. Non ci sono problemi critici che richiedono una distribuzione accelerata di questo aggiornamento, ma gli amministratori trovano un possibile conflitto. Per fornire il tempo necessario per esaminare il possibile problema, gli amministratori usano un criterio anello di Windows Update per creare un criterio di differimento di sette giorni. A tutti i dispositivi gestiti viene impedito di installare questo aggiornamento fino al 14 marzo.

5. Si considerino ora i risultati seguenti per Test-1 e Test-2, in base a quando ognuno di essi viene riacceso:

   • Test-1 - Il 12 marzo, test-1 viene riacceso, si connette alla rete e riceve notifiche di aggiornamento accelerate:

     1. Windows Update determina che Test-1 deve comunque accelerare l'installazione dell'aggiornamento, per ogni criterio.
     2. Poiché l'aggiornamento del 9 marzo sostituisce l'aggiornamento di febbraio, Windows Update potrebbe installare l'aggiornamento del 9 marzo.
     3. È previsto un rinvio attivo per l'aggiornamento di marzo che non scadrà fino al 14 marzo.

     Risultato: con i criteri di differimento per l'aggiornamento di marzo ancora attivi e bloccando l'installazione di tale aggiornamento, Device-1 installa l'aggiornamento di febbraio come configurato nei criteri.

   • Test-2 - Il 20 marzo, Test-2 viene riacceso, si connette alla rete e riceve notifiche di aggiornamento accelerate:

     1. Windows Update determina che Test-2 deve comunque accelerare l'installazione dell'aggiornamento, in base ai criteri.
     2. Poiché l'aggiornamento del 9 marzo sostituisce l'aggiornamento di febbraio, Windows Update potrebbe installare l'aggiornamento del 9 marzo.
     3. Non è più previsto un rinvio attivo per l'aggiornamento di marzo.

     Risultato: dopo la scadenza dei criteri di differimento per l'aggiornamento di marzo, Test-2 installa l'aggiornamento di marzo più recente, ignorando l'aggiornamento di febbraio e installando un aggiornamento successivo rispetto a quanto specificato nei criteri.

Gestire i criteri per accelerare gli aggiornamenti qualitativi

Nell'interfaccia di amministrazione passare alla scheda Dispositivi> perpiattaforma>Windows>Gestire gli aggiornamenti>di Windows 10 e versioni successive>Aggiornamenti qualitativi e selezionare i criteri da gestire. Il criterio viene aperto nel riquadro Panoramica .

Da questo riquadro è possibile:

• Selezionare Elimina per eliminare i criteri da Intune. L'eliminazione di un criterio lo rimuove da Intune, ma non comporta la disinstallazione dell'aggiornamento se l'installazione è già stata completata. Windows Update tenterà di annullare tutte le installazioni in corso, ma non è possibile garantire l'annullamento di un'installazione in corso.

• Selezionare Proprietà per modificare la distribuzione. Nel riquadro Proprietà selezionare Modifica per aprire impostazioni, tag ambito o assegnazioni, in cui è possibile modificare la distribuzione.

Monitoraggio e creazione di report

Prima di poter monitorare i risultati e lo stato degli aggiornamenti per gli aggiornamenti accelerati, il tenant di Intune deve abilitare la raccolta dati.

Dopo aver creato un criterio, è possibile monitorare i risultati, lo stato dell'aggiornamento e gli errori dei report seguenti.

Report di riepilogo

Questo report mostra lo stato corrente di tutti i dispositivi nel profilo e fornisce una panoramica del numero di dispositivi in corso di installazione di un aggiornamento, del completamento dell'installazione o di un errore.

1. Accedere all'Interfaccia di amministrazione di Microsoft Intune.

2. Selezionare Segnala>aggiornamenti di Windows. Nella scheda Riepilogo è possibile visualizzare la tabella Aggiornamenti qualitativi accelerati di Windows .

3. Per altre informazioni, selezionare la scheda Report e quindi Windows Expedited Update Report.To drill in for more information, select the Reports tab, and then Windows Expedited Update Report.

4. Fare clic sul collegamento Selezionare un profilo di aggiornamento accelerato.

5. Nell'elenco dei profili visualizzato sul lato destro della pagina selezionare un profilo per visualizzare i risultati.

6. Selezionare il pulsante Genera report .

Report del dispositivo

Questo report consente di trovare dispositivi con avvisi o errori e consente di risolvere i problemi di aggiornamento.

1. Accedere all'interfaccia di amministrazione di Microsoft Intune

2. Selezionare Monitoraggio dispositivi>.

3. Nell'elenco dei report di monitoraggio scorrere fino alla sezione Aggiornamenti software e selezionare Errori di aggiornamento di Windows Expedited.

4. Nell'elenco dei profili visualizzato sul lato destro della pagina selezionare un profilo per visualizzare i risultati.

   

Stati di aggiornamento

Passaggi successivi

• Configurare gli anelli di aggiornamento per Windows 10 e versioni successive
• Configurare gli aggiornamenti delle funzionalità per Windows 10 e versioni successive
• Usare i report di compatibilità di Windows Update
• Visualizzare le informazioni sulla versione di Windows