Кампании обновлений Windows: настройка и раскатка

Полный справочник по кампаниям установки обновлений Windows (KB): как устроены рецепты, все опции мастера, поведение волн раскатки, разбор волны и решения оператора. Быстрое знакомство — на странице вкладки «Обновления Windows»; здесь — глубина и детали.

Как работает кампания¶

Кампания — управляемый прогон установки KB на парк Windows-хостов. Агент (lsus-agent) получает от сервера задание на состав KB, ставит его штатным установщиком, отчётывается о каждой KB и управляет перезагрузкой по заданной политике. Состав KB считается по каталогу: LSUS знает, чего не хватает каждому хосту по его версии/разрядности ОС.

Два рецепта:

Рецепт	Как работает	Когда выбирать
Раскатка набора	Закрытый прогон: набор KB фиксируется на момент создания. Сначала ставит пилотная волна (без заранее одобренных KB), затем — остальные волны. Итог прогона — записанные одобрения: эти KB можно ставить всем через режим «только одобренные»	Прозрачный выкат патчей «с пилота на парк»: Patch Tuesday, большие накопительные пакеты
Поддержание соответствия	Непрерывная кампания без фиксации набора: на каждом цикле машина получает текущие применимые разрешённые KB. Без волн	Постоянная гигиена парка — машины сами подтягивают всё разрешённое

Ключевая связка рецептов: раскатка производит одобрения, соответствие — потребляет. Поэтому типовая схема парка: регулярная раскатка после Patch Tuesday + постоянно работающее поддержание соответствия в режиме «только одобренные».

Статусы кампании¶

ожидание → по расписанию → загрузка MSU → отправка → завершено; промежуточные — частично, ошибка, отменено, на паузе, ждёт решения (подтверждение оператора). У поддержания соответствия — активна (∞): в карточке видно состояние парка по циклам.

Мастер: все опции¶

Мастер разбит на вкладки Задача → KB → Окно → Волны → Итог; для поддержания соответствия с пополнением одобрений появляется вкладка «Одобрения».

Вкладка «Задач໶

Поле	Поведение
Что делаем	Рецепт — раскатка набора или поддержание соответствия (таблица выше)
Название	Обязательно; кнопка «Подставить» собирает его из рецепта, набора KB и волн
Куда устанавливаем	Дерево целей: коллекции и/или конкретные Windows-хосты. Для поддержания соответствия состав цели пересматривается на каждом тике — новые машины подхватятся сами

При выборе большого парка (>50 хостов) мастер предупреждает: задайте «Случайную задержку» на вкладке «Окно», чтобы рассыпать старт по хостам.

Вкладка «KB»¶

Источник набора:

• «Недостающие обновления» (рекомендовано) — всё, чего не хватает целям по каталогу;
• «Явный список KB» — конкретные идентификаторы через пробел/запятую/перенос (например, KB5034441 KB5034763).

У раскатки набор фиксируется на момент создания — подсказка «вышедшие позже KB в этот прогон не войдут»; у соответствия на каждом тике берутся текущие применимые.

Фильтры набора:

Опция	Поведение
В соответствии с политикой источников	Учитывает разрешённые источники обновлений — что запрещено политикой, в набор не попадает
только Security/Critical	Отбирает только обновления безопасности
Мин. severity	Порог критичности: Critical / Important / Moderate / Low
Продукты	По умолчанию — «Windows (ОС и компоненты)»; «Все продукты» — только явным выбором (Office и прочее)

Вкладка «Окн

Расписание и окно — когда стартует прогон (раскатка) или когда разрешено создавать новые циклы (соответствие). Время считается по локальному времени каждого хоста; если хост пояс не сообщил — по поясу сервера.

Режим установки KB (поддержание соответствия):

• «Только одобренные» — потребляет итог раскаток: если одобрено 0, кампания ничего не поставит;
• «Все применимые (кроме rejected)» — ставить всё разрешённое и пополнять список одобренных по итогам.

Опция	Значения и поведение
Перезагрузка	Ждать подтверждения (пользователь сам) / Если нужно — сразу / Не перезагружать / Всегда после установки
Случайная задержка	Рассыпает старт хостов по времени — обязательна на больших парках, иначе все лягут на хранилище MSU одновременно
Интервал проверки хосты, мин	Только соответствие: как часто сверять состояние хостов (реагирует на скан сразу)
Пауза между установками на хосте, мин	Только соответствие: сколько ждать перед следующей установкой на том же хосте; после ошибок удваивается
Установить до compliance	Автопродолжение: хостам, где что-то не встало, прогон повторяется, пока не достигнуто соответствие
Максимум проходов	Предел автопродолжений (по умолчанию 5), чтобы кампания не крутилась вечно
Резервы окна	«Не начинать установку/перезагрузку, если до конца окна меньше N мин» — отрезают хвост окна; идущая установка не прерывается
Хуки	Только для коллекций с ролью «Сервер»: Pre — остановить службы (например, W3SVC) и/или cmd-скрипт, Post — запустить службы и/или скрипт; «При ошибке PRE» — прервать установку или продолжить

Вкладка «Волны» (только раскатка)¶

Волны — упорядоченный список карточек: Пилот (задайте цели — небольшая коллекция или машины ИТ-отдела) и последняя волна «Остальные» — все остальные цели кампании; в ней есть поиск по хостам/ОС, чтобы понять, кто попадёт. Названия волн переименуемы (например, «Весь парк»), у не-последних волн задаётся состав целей.

Для каждой не-последней волны — условия перехода к следующей:

Условие	По умолчанию	Поведение
Успех обновления, %	100	Доля успешных установок KB среди применимых хостов
Минимум отчитавшихся, %	75	Иначе волна ждёт, а не блокируется (выключенные машины не останавливают раскатку)
Стоп массового сбоя, %	25	Доля провалов хостов выше — волна останавливается
Выдержка, дней	7	Пауза с последнего засчитанного отчёта; «только рабочие дни» — Пн–Пт по поясу сервера
Требовать подтверждения оператора	✓	Если снять — после успешного порога и выдержки следующая волна стартует сама; окно установки по-прежнему задаёт, когда появятся задания. Не путать с «установить до compliance» — это повтор установки на том же хосте

Последняя волна условий не имеет — на ней раскатка заканчивается. Новые машины и одобрения, появившиеся после старта прогона, включаются в раскатку всегда.

Вкладка «Одобрения» (пополнение по итогам)¶

Появляется у поддержания соответствия в режиме установки «Все применимые». Чекбокс «Пополнять список одобренных по итогам»: KB, прошедшие порог, попадают в Одобрения со ссылкой на кампанию — подтверждение оператора не нужно. Порог: успех обновления % (100), минимум отчитавшихся % (75), стоп массового сбоя % (25), выдержка в днях (7, можно только рабочие). Выключено по умолчанию.

Вкладка «Ито㻶

Кнопка «Пересчитать» строит предпросмотр: цели, требуемые KB (по свежим офлайн-сканам; у раскатки — с пилота), расписание и волны.

Как идут волны¶

Жизненный цикл¶

1. Пилот получает задания (с учётом случайной задержки), ставит KB, агент отчётывается по каждой; сервер загружает MSU в хранилище и раздаёт через Site/Edge.
2. На каждом тике оцениваются условия перехода: успех KB, отчитавшиеся, доля сбоев.
3. Порог выполнен → выдержка (дни, опционально рабочие).
4. После выдержки — подтверждение оператора или автопереход (если подтверждение снято; в уведомления приходит «Волна пройдена автоматически»).
5. Следующая волна получает задания в окне установки и с задержкой — смена волны не означает одновременный старт парка.
6. Финальная волна проходит без условий; кампания завершается. Если включено пополнение одобрений — итоговый набор KB записывается в одобренные.

Разбор волны¶

Когда волна отработала (или заблокирована), кнопка «Разбор» (меню ⋮ строки кампании) открывает карточку волны:

• сверху — сводка волны: активных, отчитавшихся, успешных, ждут перезагрузки, провалившихся, выключенных;
• ниже — таблица по каждой KB: применимость, успех, отчёты, статус;
• решения оператора:

Решение	Что происходит
Закрыть волну «всё подряд»	Все KB волны идут следующей волне
Закрыть «только проверенные»	Непроверенные KB снимаются со следующей волны
«Снять с пилота» (для KB)	Выбранный KB удаляется с машин волны (для удаляемых обновлений) и исключается из раскатки
Подтвердить переход	Следующая волна стартует с кнопки — либо сама после порога и выдержки, если подтверждение снято

Список кампаний и действия¶

В списке — сводные карточки по статусам и таблица кампаний. Действия волны собраны в меню ⋮ строки кампании:

• «Подтвердить переход» — когда волна ждёт решения;
• «Начать сейчас» — стартовать ожидающую волну не дожидаясь расписания;
• «Разбор» — карточка волны (см. выше);
• «Отменить волну» — снять волну с раскатки.

Примеры с демо-стенда¶

• «Недостающие обновления — август 2026» — раскатка набора: волна «Пилот» (машины ИТ-отдела) в статусе «идёт», за ней «Весь парк» в ожидании. Название второй волны переименовано из «Остальные» — это обычная практика для читаемых отчётов.
• «Соответствие парка (непрерывная)» — поддержание соответствия: статус «активна (∞)», в карточке видно состояние парка по циклам.

Сценарий 1. Patch Tuesday¶

Задача: ежемесячный controlled rollout накопительных обновлений.

1. Дождитесь выхода патчей и синхронизации каталога (MSRC/OVAL).
2. Кампании установки → «Создать кампанию», рецепт «Раскатка набора».
3. Задача: имя «Patch Tuesday — <месяц> <год>» (кнопка «Подставить» соберёт его сама), цели — коллекция рабочих станций.
4. KB: источник «Недостающие обновления» + «в соответствии с политикой источников». Набор фиксируется — вышедшие позже KB пойдут со следующей кампанией.
5. Окно: разовое расписание на ночь, случайная задержка 15 минут; перезагрузка — «если нужно — сразу».
6. Волны: пилот — небольшая коллекция «Смелые пользователи» или 2–3 машины ИТ-отдела; остальные — весь парк. Условия перехода: успех KB 100%, минимум отчитавшихся 75%, стоп массового сбоя 25%, выдержка 2 дня, подтверждение оператора — включено (для первого прогона; когда пороги обкатаны, можно снимать — тогда следующая волна стартует сама, а в уведомлениях придёт «Волна пройдена автоматически»).
7. Итог → «Пересчитать» → создать.

После пилота откройте разбор волны: по каждому KB видно, сколько установок прошло. Проблемный KB снимите кнопкой «Снять с пилота» (он удалится с машин волны), закройте волну «только проверенные» — и подтвердите переход: парк получит проверенный набор, а KB попадут в одобренные для будущих кампаний «только одобренные». Действия волны — в меню ⋮ строки кампании.

Практики:

• Ожидайте перезагрузок: Windows после накопительных KB почти всегда просит рестарт; политика «ждать подтверждения» пригодится на серверах.
• На больших парках (>50 машин) обязательно задавайте случайную задержку — иначе все машины лягут на хранилище MSU одновременно.
• Резервы окна («не начинать установку/перезагрузку, если до конца окна меньше N мин») спасают от полуночных перезагрузок посреди рабочего утра.

Сценарий 2. Непрерывное поддержание соответствия¶

Задача: парк всегда актуален без ручных акций.

1. Кампании установки → «Создать кампанию», рецепт «Поддержание соответствия».
2. Задача: цели — весь Windows-парк (состав пересматривается на каждом цикле — новые машины подхватятся сами).
3. KB: «Недостающие обновления» + политика источников (что разрешено — то и ставится).
4. Окно: режим установки «только одобренные» (если раскатки уже производят одобрения; иначе — «все применимые»), интервал проверки 60 минут, пауза между установками на хосте 60 минут (после ошибок пауза удваивается), окно — только ночное; перезагрузка — «если нужно».
5. Статус кампании — «активна (∞)»: в карточке видно состояние парка по циклам.

Сценарий 3. Срочный out-of-band патч¶

Критический KB вышел вне графика, ставить нужно сегодня:

1. KB → явный список с этим KB (не «недостающие» — чтобы не притащить всё сразу).
2. Окно → «сейчас», без задержки; перезагрузка — «если нужно — сразу».
3. Волны → пилот — 2–3 машины (даже срочно проверяем хотя бы на них), выдержка 0 дней, подтверждение оператора включено.
4. После пилота — разбор волны и переход на парк в тот же день.

Типовые проблемы¶

Симптом	Причина	Решение
Кампания «ждёт решения»	Волна отработала, ждёт подтверждения оператора	Откройте разбор волны и подтвердите переход
Установки «зависают» на машинах	Windows-установщик сам долго работает; LSUS не прерывает живую установку	Дождитесь отчёта; причина видна в строке хоста
Волна не переходит: «минимум отчитавшихся» не набран	Машины выключены/офлайн	Проверьте охват пилота: живые машины, а не «мёртвые» из каталога
Ничего не ставится в режиме «только одобренные»	Одобрений нет — их создают прогоны раскаток	Запустите раскатку или смените режим на «все применимые»
Предзагрузка MSU тянется	Большие файлы/узкий канал	Проверьте хранилище и вкладку «Предзагрузка MSU»; кэш Site раздаёт пакет локально

Связанные страницы¶

• Обновления Windows — вкладка кампаний, одобрения, фильтр источников.
• Кампании обновлений Linux — тот же подход для APT/RPM.
• OVAL и MSRC — каталог уязвимостей и источников KB.
• Хранилища MSU — где лежат файлы обновлений.