Devez-vous forcer un redémarrage après avoir sorti les mises à jour Windows?

Je constate que la plupart des utilisateurs ignorent le message «Il existe des mises à jour prêtes à être installées, cliquez ici pour installer» que WSUS envoie. Jusqu'à présent, nous n'avons pas forcé l'installation, mais je pense à changer la stratégie de groupe pour appliquer les mises à jour tous les soirs. Cela nécessitera parfois un redémarrage que je souhaite également appliquer via GP.

Je sais qu'il y aura des refoulements de la part des utilisateurs, mais je me demande si c'est la meilleure pratique défendable. Cela semble être la bonne chose à faire pour s'assurer que les PC sont à jour et sécurisés.

Je voudrais juste monter dans ma boîte à savon de redémarrage automatique pendant une seconde: selon mon expérience, automatiquement / forcer un redémarrage est généralement une mauvaise idée.

Nous, les administrateurs système, avons souvent un peu de mal à vous assurer que le dernier correctif a été appliqué la seconde où il est installé, car OMG jusque-là, le système n'est pas corrigé . Cependant, vous devez comprendre que les administrateurs système sont au moins théoriquement là pour permettre aux personnes qui utilisent le système de faire leur travail.

Si vous redémarrez automatiquement une fois qu'un correctif est installé et que, disons, l'horloge système de la station de travail a été réinitialisée, pensant qu'il est 2 heures du matin et qu'un pauvre Dilbert perd du travail, vous avez fait une énorme gaffe. À mon avis, c'est une gaffe beaucoup plus grande que d'avoir un système temporairement non corrigé sur le réseau.

D'après mon expérience, avoir une sorte de message irrémédiable disant à l'utilisateur de redémarrer est généralement une meilleure idée. Laissez-les terminer leur travail et redémarrer pendant le déjeuner, ou demandez-leur d'arrêter leur poste de travail la nuit, ou quelque chose qui s'intègre bien dans votre organisation.

Cela étant dit, lorsque j'ai aidé à administrer 12 laboratoires informatiques dans un collège, nous avions défini des temps d'arrêt lorsque nous savions avec certitude que personne n'utiliserait aucune des machines parce que les portes étaient verrouillées. C'est une situation dans laquelle le redémarrage automatique est sûrement correct; c'est juste l'arrêt de travail automatique forcé autonome qui me contrarie.

Nous installons automatiquement puis retardons le redémarrage de l'installation pendant 30 minutes - invite l'utilisateur à redémarrer maintenant et s'il n'y a pas de réponse dans 30 minutes, il redémarre la machine. Il y a eu quelques grognements initiaux mais qui s'y sont habitués. S'ils sont au milieu de quelque chose, ils peuvent cliquer sur "redémarrer plus tard" pour retarder le redémarrage jusqu'à un bon moment. Mais ils seront avertis toutes les 30 minutes. C'est un bon équilibre entre le redémarrage des utilisateurs et le fait de ne jamais installer les mises à jour.

ÉDITER:

Mise à jour - Désolé, j'ai raté le paramètre lorsque je vérifiais à nouveau mon paramètre GPO, l'invite Re pour le redémarrage est configurable indépendamment. Vous pouvez donc définir le délai avant qu'il ne s'affiche à nouveau. C'est aussi pour un environnement 2003, ils ont peut-être ajouté / changé des options en 2008

Parce que vous testez d'abord les correctifs (n'est-ce pas?), Vous savez lesquels nécessitent un redémarrage du système.

Vous pouvez créer un programme qui indique que chaque dernier mercredi ou jeudi du mois, vous envoyez un e-mail indiquant que vous devez déployer les correctifs X qui nécessitent le redémarrage des machines. Veuillez laisser vos machines sous tension pendant la nuit.

Certes, ce n'est pas une solution verte mais cela vous permet de contourner les besoins de vos utilisateurs et la nécessité de maintenir les systèmes à jour.

Pour les autres correctifs, vous pouvez utiliser la solution publiée par Zypher.

Je serais également intéressé par les réponses d'autres peuples à cela. Je ne suis pas en mesure de mettre en œuvre le redémarrage automatique, cela fait trop longtemps de "mauvaises pratiques" et les gens ne s'y adapteraient pas. Les gens laissent leurs e-mails dont ils ont besoin pour répondre à l'ouverture, etc., les perdre soudainement serait très ennuyeux.

Si vous recherchez une raison technique, oui, il est préférable "techniquement" de s'assurer que les machines sont immédiatement corrigées et que les utilisateurs ne peuvent pas retarder ou contourner la bonne application des correctifs (y compris les redémarrages requis).

Cependant, je dirais que la décision de redémarrer automatiquement après l'installation des correctifs est une décision commerciale et non technique. Je pense que la principale raison pour laquelle les administrateurs de système ont tendance à favoriser c'est que si certains systèmes non corrigés sont infiltrés, cela nécessite généralement de longues heures pour nettoyer les choses sans qu'un système de quarantaine approprié soit en place. Cependant, le redémarrage forcé peut affecter la productivité ou être inacceptable selon l'utilisation des machines (des exemples seraient des machines de point de vente ou des machines à l'antenne).

Vous pouvez constater que vous pouvez forcer le redémarrage automatique sur un segment de vos machines cibles, mais d'autres machines ont une raison commerciale légitime de NE PAS redémarrer automatiquement. Comme toujours, l'entreprise est votre client, vous exposez donc les avantages et les inconvénients de votre recommandation de «meilleures pratiques techniques» et laissez-les prendre une décision.

Dans certains cas, vous ne pouvez absolument pas forcer un redémarrage. Nous avons des gens qui exécutent des simulations qui fonctionnent pendant quelques jours sur plusieurs machines. Le logiciel de simulation a un gros problème: il ne sauvegarde pas les résultats intermédiaires. Donc, s'il y a un redémarrage pendant une course, un gros morceau de travail est perdu et doit être refait. Il n'y a actuellement aucune alternative viable à l'utilisation de ce programme de simulation. Dans ce cas, nous avons créé une nouvelle unité d'organisation qui ne reçoit pas de mises à jour et nous y avons déplacé tous les PC utilisés pour ces simulations.

Une chose que j'essaie de faire avec le redémarrage forcé, c'est de vérifier les correctifs chaque mois et, le cas échéant, de demander un redémarrage, envoyer un e-mail de rappel le matin où les correctifs sont sortis. Nous avons beaucoup de déjeuners échelonnés tout au long de la journée, donc la fenêtre de 30 minutes n'est pas assez longue (j'espère qu'elle pourrait être plus longue, mais c'est tout ce que Microsoft permet).

Si vous déployez des mises à jour, autorisez-les à être poussées dès que possible. Si la machine nécessite un redémarrage, repoussez-la jusqu'à la nuit ou tôt le matin. Si des personnes arrêtent leur ordinateur, vous pouvez empêcher l'arrêt de la machine ou appliquer un délai au plus tôt pour redémarrer lorsque l'utilisateur rallume son PC.

Nous «encourageons (d)» à arrêter les ordinateurs à la fin de la journée pour des raisons de consommation d'énergie (économiser $), ainsi les mises à jour seraient appliquées à l'arrêt. Bien sûr, il y en a qui décident de ne jamais fermer, mais nous n'avions pas trop d'ordinateurs au bureau (environ 80 clients sont maintenant principalement passés à des clients légers).

Étant donné que le titre de la question est "meilleures pratiques" spécifiques à WSUS, je suggérerais (et c'est totalement décalé) de vous assurer que vous activez uniquement les mises à jour nécessaires et n'activez pas le processus de téléchargement pendant les heures de travail. Un de nos techniciens a découvert la mauvaise façon de ne PAS activer toutes les mises à jour sur un site avec une connexion WAN T1, aïe!