Ga naar inhoud

Updates en patching van managed VM's

OS-patches voor managed VM's worden geïnstalleerd met Azure Update Manager, een service van Microsoft. Een maintenance configuration bepaalt wanneer en wat er wordt geïnstalleerd. Je wijst VM's niet met de hand toe: een tag op de VM selecteert de maintenance configuration.

Schema's zijn keuzes van het platform

De schema's, namen en tijden hieronder zijn een voorbeeld van een gangbare opzet. Je platform heeft eigen vensters. Vraag je platformteam om het werkelijke schema. De algemene regel is: de bron van waarheid is de configuratie van de maintenance configurations in de code van het platform, niet deze pagina.

Wat je krijgt

  • Consistente patching: alle VM's met de juiste tag worden gepatcht volgens het schema en de update-classificaties van hun maintenance configuration.
  • Geen handmatige toewijzing: na het taggen wordt de VM automatisch opgepikt.
  • Automatische onboarding: nieuwe subscriptions en VM's worden meegenomen zonder wijzigingen aan de maintenance configuration.

Prioriteiten en schema's

Systemen worden gegroepeerd naar hoeveel een storing of een gemiste patch pijn doet. Een gangbare indeling sluit aan op de niveaus voor beschikbaarheid en integriteit in je beveiligingsclassificatie:

Groep Typische criteria Risicoprofiel
Non-business-critical Host een service met de laagste classificatie (BIV 1) Laag
Business-critical Host een service met een hogere classificatie (BIV 2 en 3) Middel
Internet-connected Host een service die vanaf het internet bereikbaar is Hoog

Typische updatefrequentie: patches met normale urgentie gaan eerst naar non-business-critical systemen en een week later naar business-critical systemen, zodat een slechte update zich op de eerste groep laat zien. Kritieke (urgente) patches gaan dezelfde dag naar non-business-critical systemen en de dag erna naar business-critical systemen.

Voorbeeld van twee maintenance configurations:

Configuratie Start Herhaling Duur Tijdzone Windows-classificaties Linux-classificaties Reboot
Non-business-critical 01:00 Maandelijks, derde dinsdag met een offset van 5 dagen 2 uur W. Europe Standard Time Critical, Security, Definition, Updates, UpdateRollup Critical, Security, Other Indien nodig
Business-critical 01:00 Maandelijks, vierde dinsdag met een offset van 5 dagen 2 uur W. Europe Standard Time Critical, Security, Definition, Updates, UpdateRollup Critical, Security, Other Indien nodig

Een VM die in geen enkel venster past (bijvoorbeeld door jobs die eerst klaar moeten zijn) kan een eigen maintenance configuration krijgen. Vraag het je platformteam.

Tag je VM

Elke VM heeft een tag PatchPriority nodig:

Waarde Maintenance configuration
non-business-critical De non-business-critical configuratie
business-critical De business-critical configuratie

Zet bij een VM uit de Managed VM-module de tag in de VM-configuratie, en schakel de eigen standaard maintenance configuration van de module uit, zodat de tag beslist:

"disable_default_maintenance_configuration": true,
"tags": {
  "PatchPriority": "non-business-critical"
}

Gebruik de veldnamen van de moduleversie die je draait. Gebruik je de module voor een VM niet, voeg de tag dan met de hand toe of in je eigen code. De toewijzing werkt voor elke VM in de subscriptions onder de management group waar het platform de policy heeft toegewezen.

Orchestration modes

Update Manager ondersteunt customer-managed schedules (de aanpak op deze pagina) en, alleen voor Linux, de image default patchconfiguratie, die het patchgedrag van de image gebruikt.

Instellingen van een VM-configuratie

Instelling Betekenis
Maintenance window Herhaling, starttijd en duur wanneer je de platformbrede schema's niet gebruikt. De standaard van de module is elke maandag van 03:00 tot 05:00.
Allow update reboots Of de VM in het venster mag rebooten. Zonder dit wacht een VM die een reboot nodig heeft op jou.
Exclude package names (Linux) Packages die niet worden gepatcht. Wildcard * toegestaan.
Exclude KB numbers (Windows) Specifieke updates die niet worden geïnstalleerd.

De VM moet aan staan

Een VM moet 40 minuten voor de start van het venster draaien, anders worden er geen updates geïnstalleerd. Voor VM's met een auto-shutdown-schema regelt het platform dit:

  • Een VM met een AutoShutdownSchedule-tag die bij de start van het venster is gestopt, wordt vóór het patchen gestart en daarna weer gestopt.
  • Een VM die je met de hand hebt gestopt, wordt niet gestart en krijgt zijn updates niet.

Gebruik voor VM's die je wilt uitschakelen de schema-tag en geen handmatig stoppen.

Update Manager kan ook pre-events en post-events rond een venster draaien. Voorbeelden: de VM ervoor starten en erna stoppen, of de workload-eigenaar laten weten dat er updates zijn geïnstalleerd. Reken voor een pre-event op minstens 40 minuten vóór de start van het venster.

Controleer of het patchen is gelukt

Bekijk na elk venster het resultaat voor je VM's:

  1. Open Update Manager in de Azure portal en ga naar Manage → History.
  2. Filter Update operation op Install updates en Resource type op Azure Virtual Machine.
  3. Lees de status per VM:
Status Actie
Succeeded Geen
Failed Opvolgen: zoek de oorzaak en los die op, zodat het niet terugkomt
Completed with warnings Updates zijn geïnstalleerd, maar met problemen. Controleer de details.

Lees ook het aantal updates. "8 of 10 updates installed" betekent dat er twee zijn gemist, ook als de VM niet als mislukt is gemarkeerd.

Controleer Update Manager → Machines regelmatig op machines onder No updates data (haal eerst filters weg). Die VM's stonden uit, hebben geen agent of hebben geen assessment. Ze worden niet gepatcht.

Updates handmatig installeren

Gebruik dit voor VM's zonder maintenance configuration.

  1. Zoek de VM's waar updates ontbreken: Update Manager → Resources → Machines. Filter de update-classificaties op Critical, Security, Update rollups en Definition updates (Windows), of Security en critical (Linux).
  2. Om te zien welke update op welke machines ontbreekt, gebruik je Manage → Pending updates met dezelfde filters. De kolom Machine(s) applicable toont ze.
  3. Open de VM, ga naar Updates en kies Check for updates om een nieuw assessment te draaien. Dat kan even duren. Volg het in het meldingenpaneel.
  4. Kies One-time update. Voeg met Add machine meer machines toe als je er meerdere tegelijk bijwerkt.
  5. Kies de update-classificaties uit stap 1 (Select by update classification).
  6. Controleer de opties, bekijk de samenvatting en kies Install.
  7. Volg de voortgang op het tabblad History van de VM en controleer of alle updates zijn geïnstalleerd.

Sommige VM's worden bewust door hun eigenaars gepatcht, bijvoorbeeld VM's die het grootste deel van de tijd uit staan, hosts die een geplande reboot nodig hebben of domain controllers. Leg ze per workload vast met het contact, de reden en hoe ze bijgewerkt worden, zodat een patchronde ze niet overslaat.