Devez-vous forcer un redémarrage après avoir sorti les mises à jour Windows?


16

Je constate que la plupart des utilisateurs ignorent le message «Il existe des mises à jour prêtes à être installées, cliquez ici pour installer» que WSUS envoie. Jusqu'à présent, nous n'avons pas forcé l'installation, mais je pense à changer la stratégie de groupe pour appliquer les mises à jour tous les soirs. Cela nécessitera parfois un redémarrage que je souhaite également appliquer via GP.

Je sais qu'il y aura des refoulements de la part des utilisateurs, mais je me demande si c'est la meilleure pratique défendable. Cela semble être la bonne chose à faire pour s'assurer que les PC sont à jour et sécurisés.


Quelqu'un devrait probablement modifier la question comme "Devriez-vous forcer un redémarrage après avoir poussé les mises à jour Windows?"
Ward - Rétablir Monica

Réponses:


10

Je voudrais juste monter dans ma boîte à savon de redémarrage automatique pendant une seconde: selon mon expérience, automatiquement / forcer un redémarrage est généralement une mauvaise idée.

Nous, les administrateurs système, avons souvent un peu de mal à vous assurer que le dernier correctif a été appliqué la seconde où il est installé, car OMG jusque-là, le système n'est pas corrigé . Cependant, vous devez comprendre que les administrateurs système sont au moins théoriquement là pour permettre aux personnes qui utilisent le système de faire leur travail.

Si vous redémarrez automatiquement une fois qu'un correctif est installé et que, disons, l'horloge système de la station de travail a été réinitialisée, pensant qu'il est 2 heures du matin et qu'un pauvre Dilbert perd du travail, vous avez fait une énorme gaffe. À mon avis, c'est une gaffe beaucoup plus grande que d'avoir un système temporairement non corrigé sur le réseau.

D'après mon expérience, avoir une sorte de message irrémédiable disant à l'utilisateur de redémarrer est généralement une meilleure idée. Laissez-les terminer leur travail et redémarrer pendant le déjeuner, ou demandez-leur d'arrêter leur poste de travail la nuit, ou quelque chose qui s'intègre bien dans votre organisation.

Cela étant dit, lorsque j'ai aidé à administrer 12 laboratoires informatiques dans un collège, nous avions défini des temps d'arrêt lorsque nous savions avec certitude que personne n'utiliserait aucune des machines parce que les portes étaient verrouillées. C'est une situation dans laquelle le redémarrage automatique est sûrement correct; c'est juste l'arrêt de travail automatique forcé autonome qui me contrarie.


1
Je suis d'accord ici, à l'exception du seul point que si une horloge système est incorrecte sur votre réseau, c'est votre faute. :)
mhud

Oui tout à fait raison! Je dis juste ...;)
msanford

8

Nous installons automatiquement puis retardons le redémarrage de l'installation pendant 30 minutes - invite l'utilisateur à redémarrer maintenant et s'il n'y a pas de réponse dans 30 minutes, il redémarre la machine. Il y a eu quelques grognements initiaux mais qui s'y sont habitués. S'ils sont au milieu de quelque chose, ils peuvent cliquer sur "redémarrer plus tard" pour retarder le redémarrage jusqu'à un bon moment. Mais ils seront avertis toutes les 30 minutes. C'est un bon équilibre entre le redémarrage des utilisateurs et le fait de ne jamais installer les mises à jour.

ÉDITER:

Mise à jour - Désolé, j'ai raté le paramètre lorsque je vérifiais à nouveau mon paramètre GPO, l'invite Re pour le redémarrage est configurable indépendamment. Vous pouvez donc définir le délai avant qu'il ne s'affiche à nouveau. C'est aussi pour un environnement 2003, ils ont peut-être ajouté / changé des options en 2008


C'est la partie «pas de réponse en 30 minutes» qui me fait peur (voir ma diatribe ci-dessous;) Peut-être qu'ils sont en conférence téléphonique et qu'ils ont juste ignoré leur machine? Peut-être qu'ils sont dans les toilettes ou à l'heure du déjeuner et ont laissé tout leur travail ouvert, disons, dont l'un est un diff manuel qui nécessite l'intervention de l'utilisateur pour économiser?
msanford

2
Oui, c'est une option configurable, vous pouvez la régler sur 5 heures si vous le souhaitez. 30 minutes est ce qui a fonctionné dans notre environnement - vous pouvez également le faire par OU afin que les administrateurs / développeurs puissent avoir un délai d'attente de 2 ou 3 heures, et le personnel régulier peut avoir 30 minutes ou une heure. Comme la plupart des autres choses comme ça "dépend de votre environnement" Ils le font aussi une fois et ils ne laissent plus le travail ouvert sans au moins
appuyer

4

Parce que vous testez d'abord les correctifs (n'est-ce pas?), Vous savez lesquels nécessitent un redémarrage du système.

Vous pouvez créer un programme qui indique que chaque dernier mercredi ou jeudi du mois, vous envoyez un e-mail indiquant que vous devez déployer les correctifs X qui nécessitent le redémarrage des machines. Veuillez laisser vos machines sous tension pendant la nuit.

Certes, ce n'est pas une solution verte mais cela vous permet de contourner les besoins de vos utilisateurs et la nécessité de maintenir les systèmes à jour.

Pour les autres correctifs, vous pouvez utiliser la solution publiée par Zypher.


Ce n'est pas du tout une mauvaise idée. Je suis d'accord que cela peut ne pas sembler vert, mais l'une des institutions dans lesquelles j'ai travaillé (j'étais un utilisateur, pas un administrateur) avait pour politique d'exiger que tous les postes de travail soient laissés le 24/7/365 au cas où un correctif arriverait, ou quelque chose devait être fantôme, ou quoi non. Ce n'était décidément pas vert ...
msanford

2

Je serais également intéressé par les réponses d'autres peuples à cela. Je ne suis pas en mesure de mettre en œuvre le redémarrage automatique, cela fait trop longtemps de "mauvaises pratiques" et les gens ne s'y adapteraient pas. Les gens laissent leurs e-mails dont ils ont besoin pour répondre à l'ouverture, etc., les perdre soudainement serait très ennuyeux.


2

Si vous recherchez une raison technique, oui, il est préférable "techniquement" de s'assurer que les machines sont immédiatement corrigées et que les utilisateurs ne peuvent pas retarder ou contourner la bonne application des correctifs (y compris les redémarrages requis).

Cependant, je dirais que la décision de redémarrer automatiquement après l'installation des correctifs est une décision commerciale et non technique. Je pense que la principale raison pour laquelle les administrateurs de système ont tendance à favoriser c'est que si certains systèmes non corrigés sont infiltrés, cela nécessite généralement de longues heures pour nettoyer les choses sans qu'un système de quarantaine approprié soit en place. Cependant, le redémarrage forcé peut affecter la productivité ou être inacceptable selon l'utilisation des machines (des exemples seraient des machines de point de vente ou des machines à l'antenne).

Vous pouvez constater que vous pouvez forcer le redémarrage automatique sur un segment de vos machines cibles, mais d'autres machines ont une raison commerciale légitime de NE PAS redémarrer automatiquement. Comme toujours, l'entreprise est votre client, vous exposez donc les avantages et les inconvénients de votre recommandation de «meilleures pratiques techniques» et laissez-les prendre une décision.


+1 pour mentionner les décisions commerciales vs techniques (quelque chose qui peut être négligé dans la quête de la gestion d'un réseau technologiquement parfait).
msanford

2

Dans certains cas, vous ne pouvez absolument pas forcer un redémarrage. Nous avons des gens qui exécutent des simulations qui fonctionnent pendant quelques jours sur plusieurs machines. Le logiciel de simulation a un gros problème: il ne sauvegarde pas les résultats intermédiaires. Donc, s'il y a un redémarrage pendant une course, un gros morceau de travail est perdu et doit être refait. Il n'y a actuellement aucune alternative viable à l'utilisation de ce programme de simulation. Dans ce cas, nous avons créé une nouvelle unité d'organisation qui ne reçoit pas de mises à jour et nous y avons déplacé tous les PC utilisés pour ces simulations.


+1 De plus, vos stations de simulation ne répondront pas au message "Hé, puis-je redémarrer maintenant" car il n'y a probablement aucun utilisateur assis au clavier.
msanford

1

Une chose que j'essaie de faire avec le redémarrage forcé, c'est de vérifier les correctifs chaque mois et, le cas échéant, de demander un redémarrage, envoyer un e-mail de rappel le matin où les correctifs sont sortis. Nous avons beaucoup de déjeuners échelonnés tout au long de la journée, donc la fenêtre de 30 minutes n'est pas assez longue (j'espère qu'elle pourrait être plus longue, mais c'est tout ce que Microsoft permet).


1

Si vous déployez des mises à jour, autorisez-les à être poussées dès que possible. Si la machine nécessite un redémarrage, repoussez-la jusqu'à la nuit ou tôt le matin. Si des personnes arrêtent leur ordinateur, vous pouvez empêcher l'arrêt de la machine ou appliquer un délai au plus tôt pour redémarrer lorsque l'utilisateur rallume son PC.


0

Nous «encourageons (d)» à arrêter les ordinateurs à la fin de la journée pour des raisons de consommation d'énergie (économiser $), ainsi les mises à jour seraient appliquées à l'arrêt. Bien sûr, il y en a qui décident de ne jamais fermer, mais nous n'avions pas trop d'ordinateurs au bureau (environ 80 clients sont maintenant principalement passés à des clients légers).

Étant donné que le titre de la question est "meilleures pratiques" spécifiques à WSUS, je suggérerais (et c'est totalement décalé) de vous assurer que vous activez uniquement les mises à jour nécessaires et n'activez pas le processus de téléchargement pendant les heures de travail. Un de nos techniciens a découvert la mauvaise façon de ne PAS activer toutes les mises à jour sur un site avec une connexion WAN T1, aïe!

En utilisant notre site, vous reconnaissez avoir lu et compris notre politique liée aux cookies et notre politique de confidentialité.
Licensed under cc by-sa 3.0 with attribution required.