Windows Update con Intune: anelli, scadenze e orari attivi

Senza scadenze le patch restano scaricate e mai attive. Gli anelli, quality stretti e feature larghi, e perché le build di anteprima restano spente.

Gli aggiornamenti erano stati esclusi apposta dal provisioning: la pagina di stato della registrazione del capitolo 2 ha Installa aggiornamenti Windows durante l’OOBE su No. Non era pigrizia. Era per governarli qui, dove puoi decidere quando una macchina può riavviarsi e cosa succede se nessuno glielo lascia fare.

Cos’è un anello

Si aggiorna prima un gruppo pilota piccolo, si aspetta, poi si estende a tutti gli altri. Se un aggiornamento rompe qualcosa, lo scopri su tre macchine invece che su trecento.

In produzione la forma abituale è questa:

Anello	Rinvio	Chi
Pilota	0 giorni	L’IT e qualche volontario
Ampio	7-14 giorni	Il grosso della flotta
Critico	30 giorni	Server, macchine che non devono fermarsi

In laboratorio c’è un anello solo, il che rende il meccanismo facile da vedere: è il rinvio a scaglionarli, tutto il resto resta identico.

La configurazione

Intune → Dispositivi → Aggiornamenti Windows → Anelli di aggiornamento → Crea profilo.

Impostazione	Valore
Aggiornamenti dei prodotti Microsoft	Consenti
Driver Windows	Consenti
Rinvio aggiornamenti qualitativi	`0` giorni
Rinvio aggiornamenti delle funzionalità	`0` giorni
Aggiorna i dispositivi Windows 10 a Windows 11	No
Periodo di disinstallazione degli aggiornamenti	`20` giorni
Abilita build non definitive	Non configurato

Aggiornamenti dei prodotti Microsoft su Consenti merita attenzione: estende Windows Update a Office e agli altri prodotti Microsoft presenti sulla macchina, che altrimenti si aggiornano per conto proprio.

Il periodo di disinstallazione è una finestra di ripiegamento. Venti giorni sono lo spazio che hai per tornare indietro da un aggiornamento di funzionalità andato male.

Esperienza utente

Impostazione	Valore
Comportamento degli aggiornamenti automatici	Installa automaticamente nell’orario di manutenzione
Orario attivo	`08:00` → `17:00`
Possibilità di sospendere gli aggiornamenti	Disattiva
Possibilità di cercare aggiornamenti	Attiva
Livello di notifica delle modifiche	Predefinito
Usa le impostazioni di scadenza	Consenti
‣ Scadenza per gli aggiornamenti delle funzionalità	`5` giorni
‣ Scadenza per gli aggiornamenti qualitativi	`2` giorni
‣ Periodo di tolleranza	`2` giorni
‣ Riavvio automatico prima della scadenza	Sì

Perché questi valori

Le scadenze sono tutta la policy

Quality stretti, feature larghi

Due giorni per gli aggiornamenti qualitativi, cinque per quelli di funzionalità. Non è un refuso, e l’asimmetria è voluta.

Gli aggiornamenti qualitativi sono le patch di sicurezza mensili. Chiudono vulnerabilità che per definizione sono già pubbliche, spesso con codice dimostrativo disponibile nella stessa settimana. Ogni giorno di ritardo è un giorno di esposizione a qualcosa di noto.

Gli aggiornamenti di funzionalità sono i rilasci maggiori. Cambiano comportamenti, ogni tanto rompono driver, e raramente sono urgenti dal punto di vista della sicurezza. Più spazio per scoprire un problema prima che ce l’abbia tutta la flotta.

Periodo di tolleranza

Due giorni durante i quali nessuno può essere riavviato a forza, scadenza o no. Esiste per chi rientra da due settimane di ferie con la macchina indietro di sei aggiornamenti, e a cui altrimenti la prima cosa che succede è un riavvio che non ha chiesto.

Sospensione: disattivata

Il pulsante di sospensione è la funzione più abusata di Windows Update. Lasciarlo disponibile trasforma una policy di aggiornamento in un suggerimento.

Nota che Possibilità di cercare aggiornamenti resta attiva. Togliere la sospensione è ragionevole; togliere anche la possibilità di chiedere aggiornamenti è solo fastidioso.

Installa nell’orario di manutenzione

Installa ma non riavvia da solo. A forzare il riavvio è la scadenza. È la variante più gentile delle due: l’alternativa, installa e riavvia, fa esattamente quello che dice in un momento che non ha scelto nessuno.

Insieme all’orario attivo dalle 08:00 alle 17:00, un riavvio non capita mai durante la giornata di lavoro.

Build di anteprima

Assegnazione e verifica

Assegna l’anello al gruppo di dispositivi. Poi, sul dispositivo:

Impostazioni → Windows Update — la cronologia degli aggiornamenti deve iniziare a riempirsi.
Impostazioni → Windows Update → Opzioni avanzate — l’orario attivo deve mostrare l’intervallo configurato, in grigio perché lo governa una policy.
L’opzione Sospendi aggiornamenti deve essere assente.
In Intune, Dispositivi → Aggiornamenti Windows → [anello] → Stato dispositivo, per intercettare la macchina che segnala un errore invece della vista d’insieme.