Mobile-Menu

Video-Tipp #72: Azure Update Manager Sichere und automatisierte Updates mit Azure Update Manager

Von Thomas Joos 5 min Lesedauer

Azure Update Manager bietet eine automatisierte Steuerung von Windows- und Linux-Updates über zentrale Wartungskonfigurationen. Wie man die Update-Installation optimal plant, kritische Fehler durch falsche Registry- und WSUS-Einstellungen vermeidet und Remote-Skripte einbindet, zeigen wir Schritt für Schritt in diesem Video-Tipp.

In diesem Video-Tipp zeigen wir, wie man mit dem Azure Update Manager Updates zentral über die Cloud bereitstellt und sogar über den Browser installiert.(Bild: Dall-E / KI-generiert)
In diesem Video-Tipp zeigen wir, wie man mit dem Azure Update Manager Updates zentral über die Cloud bereitstellt und sogar über den Browser installiert.
(Bild: Dall-E / KI-generiert)

Wenn ein Server im lokalen Rechenzentrum über Azure Arc an Azure angebunden und mit Azure Update Management verbunden ist, lassen sich Windows-Updates manuell oder automatisiert aus dem Azure-Portal heraus installieren. Wir zeigen die Abläufe in diesem Beitrag und den dazugehörigen Video.

Wir haben uns bereits in einem eigenen Beitrag mit der Einrichtung und Verwendung von Azure Update Manager auseinandergesetzt. Im folgenden Text zeigen wir die Installation von Updates, die im Azure-Portal angezeigt werden, sobald Server an Azure Update Manager angebunden sind. Azure Update Manager verwendet ebenfalls den Windows Update-Client, um Windows-Updates herunterzuladen und zu installieren, genauso wie die manuelle Installation von Updates oder bei der Verwendung von WSUS und anderen Tools zur Update-Verwaltung.

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem Azure Update Manager Wartungskonfigurationen erstellt, Updates zentral über die Cloud bereitstellt und sogar über den Browser installiert.

Bildergalerie
Bildergalerie mit 6 Bildern

Updates aus dem Azure-Portal installieren

Sobald ein Server über Azure Arc an Azure angebunden ist und Azure Update Management so konfiguriert ist, wie im vorhergehenden Abschnitt besprochen, lassen sich manuell oder automatisiert Updates direkt aus dem Azure-Portal heraus verteilen. Zunächst erscheinen die Server als Objekte im Azure-Portal in der entsprechenden Ressourcengruppe. Nach einem Klick auf das Serverobjekt ist über die Kachel "Updates" im unteren Bereich zu sehen, ob Updates für den Server anstehen. Nach einem Klick auf die Kachel sind die einzelnen Updates und deren Details zu sehen. Mit "Check for Updates" lässt sich eine erneute Update-Suche direkt aus dem Azure-Portal triggern.

Update-Installation planen: Wartungskonfiguration erstellen

Um die Installation der Updates zu planen, kommt ein Zeitplan zum Einsatz, der über "Updates planen -> Updates planen" erstellt und konfiguriert werden. Zeitpläne basieren auf Wartungskonfigurationen. Eine Wartungskonfiguration ist ebenfalls ein Objekt, das einer Ressourcengruppe zugeordnet wird. Ein erstellter Zeitplan lässt sich natürlich an mehrere Server anbinden. Das geht über "Updates planen -> Vorhandenen Zeitplan anfügen".

Im Rahmen der Erstellung einer Wartungskonfiguration kann diese auch gleich einem bestimmten Server zugeordnet werden. Über den Menüpunkt "Updates" wird wiederum gesteuert, welche Arten von Updates zur Wartungskonfiguration gehören. Es lassen sich hier Unterscheidungen zwischen Windows und Linux und zwischen "Wichtige Updates, Sicherheitsupdates" (Windows) und "Sicherheit und kritische Updates" (Linux) treffen.

Wartungskonfigurationen übernehmen die Rolle des klassischen WSUS-Genehmigungs­mechanismus, allerdings in stark automatisierter Form. Im Rahme der Erstellung lassen sich Wiederholungsintervalle festlegen, etwa wöchentliche Zyklen für sicherheitsrelevante Updates. Kritikalitätsstufen wie „Sicherheit“ oder „Kritisch“ können gezielt ausgewählt werden, ebenso die Behandlung von Neustarts. Optional erlauben Vor- und Nach­bearbeitungs­skripte die Integration individueller Automatisierungsschritte. Die Zuweisung erfolgt entweder direkt an ARC-verbundene Server oder über Ressourcentags. So lassen sich alle Maschinen mit identischen Eigenschaften wie "Produktionsumgebung" oder "Testbetrieb" dynamisch in Wartungspläne einbinden, ohne manuelle Zuordnung. Das erleichtert nicht nur die Skalierung, sondern sichert auch eine konsistente Update-Strategie über Systemgrenzen hinweg. Wartungskonfigurationen funktionieren nur in Kombination mit einer aktiven Update-Überprüfung. Ohne diesen Schritt wird kein Patch installiert, unabhängig vom Zeitplan.

Konfiguration des Windows Update-Clients für Azure Update Manager

Azure Update Manager steuert den Patchprozess über den nativen Windows Update-Client. Damit die Koordination funktioniert, müssen lokale Richtlinien, Registrierungswerte und Update-Quellen exakt definiert sein. Die automatische Update-Funktion des Clients wird beim Einsatz von Azure Update Manager deaktiviert. Das gilt unabhängig vom eingesetzten Mechanismus, sei es "AutomaticByPlatform" oder "AutomaticByOS". Ein zentraler Punkt bleibt die Wahl der Quelle: Standardmäßig zieht der Client Updates über "Windows Update", wodurch ausschließlich Betriebssystempatches bezogen werden. Um auch Sicherheitsupdates für Microsoft SQL Server, Office oder andere Produkte zu integrieren, muss Microsoft Update aktiviert werden. Das gelingt über PowerShell mit dem ServiceManager-Objekt und der Service-ID "7971f918-a847-4430-9279-4a52d1efe18d", insbesondere bei Servern mit älteren Betriebssystemen oder wenn das Patching Azure-orchestriert erfolgt.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem Azure Update Manager Wartungskonfigurationen erstellt, Updates zentral über die Cloud bereitstellt und sogar über den Browser installiert.

Bildergalerie
Bildergalerie mit 6 Bildern

Für Systeme ab Windows Server 2016, bei denen keine Azure-basierte Patch-Steuerung eingerichtet ist, bietet sich stattdessen die Gruppenrichtlinie an. Über die administrativen Vorlagen lässt sich unter "Computerkonfiguration > Administrative Vorlagen > Windows-Komponenten > Windows Update" die Option "Updates für andere Microsoft-Produkte bereitstellen" aktivieren. Damit wird beim regulären Windows-Update-Lauf automatisch nach Erweiterungen gesucht, sofern die Richtlinie korrekt eingebunden wurde.

Ebenfalls über Gruppenrichtlinien steuerbar ist das automatische Verhalten des Clients. Aktivieren oder deaktivieren von "Automatische Updates konfigurieren" erlaubt eine granulare Steuerung, die sich mit dem orchestrierten Verhalten des Azure Update Manager kombinieren lässt, solange die Richtlinien nicht im Widerspruch zu NoAutoUpdate oder ähnlichen Registrierungswerten stehen. Zu beachten ist, dass bestimmte Registrierungseinträge, insbesondere solche, die Neustarts steuern, unabhängig von Azure-Einstellungen wirken können. Auch wenn dort "Nie neu starten" gesetzt ist, kann ein falsch konfigurierter Registry-Schlüssel dennoch einen automatischen Reboot auslösen.

Für Umgebungen, die WSUS als zentrale Quelle verwenden, gilt besondere Vorsicht. Der Windows Update-Client akzeptiert einen WSUS-Endpunkt nur, wenn dieser korrekt in der Registrierung oder per Gruppenrichtlinie angegeben wurde. Die Option "Keine Verbindungen mit Windows Update-Internetadressen herstellen" blockiert jede Kommunikation mit Microsoft-Servern, was zu Fehlschlägen führt, wenn Updates im WSUS nicht genehmigt oder nicht vorhanden sind. Auch hier muss die Quelle exakt konfiguriert sein: entweder intern oder öffentlich, aber nicht beides gleichzeitig.

Ein automatischer Vorabdownload von Updates ist in Azure Update Manager nicht vorgesehen. Konfigurationen, die dies erzwingen, etwa über AUOptions oder bestimmte WSUS-Kombinationen, sind nicht kompatibel. Für performante und planbare Bereitstellungen innerhalb des Wartungsfensters bleibt daher nur der kontrollierte Download im Moment der Ausführung. Jede abweichende Konfiguration kann zu unvorhersehbarem Verhalten oder fehlerhaften Update-Zyklen führen.

Zur abschließenden Absicherung empfiehlt sich die Kontrolle sämtlicher Richtlinien per gpresult, die Validierung des Registry-Zustands sowie die Prüfung der konfigurierten Update-Quelle über die GUI des Windows Update-Clients oder per PowerShell-Cmdlets. Nur wenn alle Ebenen kohärent aufeinander abgestimmt sind, übernimmt Azure Update Manager die Steuerung vollständig und zuverlässig.

In diesem Video-Tipp und der Bildergalerie zeigen wir, wie man mit dem Azure Update Manager Wartungskonfigurationen erstellt, Updates zentral über die Cloud bereitstellt und sogar über den Browser installiert.

Bildergalerie
Bildergalerie mit 6 Bildern

(ID:50500863)

Weiterführende Inhalte