Trả lời nhanh: Máy cá nhân để mặc định là hợp lý. Máy công ty nên hoãn bản tính năng một khoảng và giữ nguyên bản vá bảo mật hằng tháng. Bản Pro đặt được trên từng máy, công ty nhiều máy thì dùng chính sách nhóm hoặc công cụ quản lý tập trung.
Không phải mọi máy nên nhận cập nhật cùng lúc. Bài này nói cách chia nhóm và công cụ để kiểm soát.
- Bản vá bảo mật thì luôn nhận, không nên hoãn.
- Bản tính năng thì máy công ty nên hoãn một khoảng.
- Chia máy thành ba vòng: thử, chính, và nhóm nhạy cảm.
- Đặt giờ hoạt động để máy không khởi động lại giữa buổi làm.
- Chỉ hoãn được trong thời hạn hỗ trợ, không hoãn vô hạn.
Phân biệt hai loại cập nhật
Trước khi nói tới kênh, phải rõ hai loại cập nhật vì chính sách với chúng khác hẳn nhau.
Bản vá chất lượng, ra hằng tháng. Vá lỗ hổng bảo mật và sửa lỗi. Nhỏ, cài nhanh, gần như không đổi gì bạn thấy được.
Chính sách đúng: luôn nhận, càng sớm càng tốt. Hoãn bản vá bảo mật là để máy hở trong khi lỗ hổng đã được công bố công khai. Rủi ro lớn hơn nhiều so với rủi ro bản vá gây lỗi.
Bản cập nhật tính năng, mỗi năm một hoặc hai lần. Đổi số phiên bản, thêm tính năng, đôi khi đổi giao diện.
Chính sách đúng: hoãn một khoảng với máy công ty. Đây là loại có rủi ro thật với phần mềm nghiệp vụ và thiết bị chuyên dụng.
Nhiều người gộp hai loại làm một rồi hoãn hết, và đó là quyết định sai về mặt bảo mật.
Chia máy thành ba vòng
Đây là cách các tổ chức làm việc này một cách có kiểm soát.
Vòng một, máy thử. Hai tới ba máy, nhận bản tính năng ngay khi có. Chọn máy của người dùng nhiều phần mềm nhất, không phải máy nhàn rỗi.
Ở Việt Nam nên gồm ít nhất một máy của kế toán, vì đó là nơi tập trung nhiều phần mềm nghiệp vụ và thiết bị chuyên dụng nhất.
Vòng hai, phần lớn máy. Nhận sau vòng một khoảng ba tới bốn tuần, đủ để vòng một phát hiện vấn đề.
Vòng ba, máy nhạy cảm. Máy điều khiển thiết bị, máy chạy phần mềm cũ, máy phục vụ nghiệp vụ không được phép dừng. Nhận sau cùng, hoặc dùng bản dài hạn nếu thật sự không thể đổi.
Vì sao cách này hiệu quả: khi có lỗi, nó chỉ ảnh hưởng hai ba máy chứ không phải cả công ty, và bạn có thời gian tìm cách xử lý trước khi lỗi lan ra.
Công cụ theo quy mô công ty
Ba mức, chọn theo số máy.
Dưới hai chục máy: đặt trên từng máy. Bản Windows 11 Pro có sẵn tùy chọn trong Cài đặt, Windows Update, tùy chọn nâng cao.
Ở đó có mục tạm dừng cập nhật, và mục chọn thời điểm nhận bản tính năng. Đặt tay mất hai phút mỗi máy.
Từ hai chục tới một trăm máy: chính sách nhóm. Đặt một lần, áp cho cả nhóm máy. Cần bản Pro trở lên và cần máy chủ miền hoặc công cụ áp chính sách.
Trên một trăm máy hoặc máy phân tán: công cụ quản lý tập trung. Chia máy thành các vòng, đặt độ trễ cho từng vòng, và quan trọng nhất là theo dõi được máy nào đã cập nhật máy nào chưa.
Khả năng theo dõi là điểm khác biệt lớn nhất. Với hai cách đầu, bạn đặt chính sách nhưng không biết thực tế từng máy đang ở đâu.
Đặt giờ hoạt động và khởi động lại
Đây là thứ ảnh hưởng tới trải nghiệm hằng ngày nhiều nhất, và cũng dễ đặt nhất.
Giờ hoạt động. Trong Cài đặt, Windows Update, tùy chọn nâng cao. Windows sẽ không tự khởi động lại trong khoảng giờ này.
Đặt đúng giờ làm việc thật của công ty. Nhiều nơi để mặc định rồi than phiền máy khởi động lại giữa buổi họp.
Windows 11 có tùy chọn để hệ thống tự học giờ hoạt động dựa trên thói quen dùng máy, cũng là lựa chọn hợp lý cho máy cá nhân.
Ba việc kèm theo:
- Bật thông báo trước khi khởi động lại, để người dùng kịp lưu công việc.
- Bật khôi phục lại ứng dụng sau khi khởi động lại, để người dùng quay về đúng chỗ đang làm.
- Với máy trong dây chuyền hoặc máy trình chiếu, đặt hạn chót khởi động lại xa hơn để nó không tự khởi động vào lúc bất tiện.
Giới hạn của việc hoãn
Bốn điều cần rõ để không lập kế hoạch sai.
- Chỉ hoãn được trong thời hạn hỗ trợ của phiên bản đang chạy. Hết hạn thì máy ngừng nhận bản vá bảo mật, và khi đó Windows sẽ ép cập nhật.
- Thời hạn khác nhau theo phiên bản và theo bản Pro hay Enterprise. Tra tài liệu vòng đời chính thức thay vì dựa vào con số trong bài viết cũ.
- Hoãn bản vá bảo mật là quyết định tệ trong gần như mọi trường hợp. Nếu bạn lo bản vá gây lỗi, giải pháp là có vòng thử chứ không phải hoãn cho cả công ty.
- Máy thật sự cần đứng yên nhiều năm thì dùng bản dài hạn, và bản đó dành cho máy chạy một nhiệm vụ cố định chứ không phải máy văn phòng.
Việc nên làm mỗi quý: xuất danh sách máy kèm phiên bản, đối chiếu với thời hạn hỗ trợ, và lên lịch cho những máy sắp hết hạn. Mười lăm phút mỗi quý tránh được tình huống phát hiện cả chục máy đã ngừng nhận bản vá từ mấy tháng trước.
Đặt hoãn cập nhật, đúng chỗ đúng số ngày
Windows 11 Pro trở lên đặt được, bản Home thì không. Ba đường:
# 1. Chinh sach nhom, may le hoac ca dan gpedit.msc # Computer Configuration > Administrative Templates > Windows Components # > Windows Update > Manage updates offered from Windows Update # > Select when Preview Builds and Feature Updates are received -> 30 den 90 ngay # > Select when Quality Updates are received -> 0 ngay, dung hoan # 2. Registry, dung cho kich ban trien khai reg add "HKLM\SOFTWARE\Microsoft\WindowsUpdate\UX\Settings" /v DeferFeatureUpdatesPeriodInDays /t REG_DWORD /d 60 /f # 3. Tam dung nhanh tren mot may # Settings > Windows Update > Pause updates, toi da 5 tuan
| Loại cập nhật | Số ngày hoãn đề xuất | Lý do |
|---|---|---|
| Bản vá chất lượng hằng tháng | 0 ngày | Vá lỗ hổng đã công bố công khai. Hoãn là để máy hở |
| Bản cập nhật tính năng, nhóm thử | 0 ngày | Đây là nhóm phát hiện vấn đề giúp cả công ty |
| Bản cập nhật tính năng, nhóm chính | 60 ngày | Đủ để lỗi lớn được phát hiện và vá |
| Bản cập nhật tính năng, nhóm nhạy cảm | 120 ngày trở lên | Máy kế toán, máy điều khiển thiết bị, máy chạy phần mềm ngành |
Đặt giờ hoạt động và kiểm tra máy đã nhận chính sách chưa
gpupdate /force # ep may lay chinh sach ngay gpresult /h C:\gp.html # xuat bao cao, mo bang trinh duyet Get-HotFix | Sort-Object InstalledOn -Descending | Select -First 10 # ban va da cai Get-ComputerInfo | Select WindowsProductName, OsBuildNumber, OsHardwareAbstractionLayer
Giờ hoạt động đặt trong Settings, Windows Update, Advanced options, Active hours. Đặt đúng khung giờ làm việc thật của công ty, ví dụ 7 tới 19 giờ, để máy không khởi động lại giữa lúc nhân viên đang làm. Việc này nghe nhỏ nhưng là nguyên nhân số một của việc nhân viên tự tắt cập nhật.
Vòng đời phiên bản và giới hạn của việc hoãn
- Mỗi phiên bản Windows 11 bản Pro được hỗ trợ khoảng 24 tháng kể từ ngày phát hành, bản Enterprise và Education khoảng 36 tháng. Hết hạn là không còn nhận bản vá bảo mật, kể cả khi máy vẫn chạy bình thường.
- Nghĩa là bạn hoãn được vài tháng, không hoãn được vài năm. Công ty muốn giữ nguyên một phiên bản nhiều năm phải dùng bản dài hạn, xem Windows 11 LTSC.
- Kiểm phiên bản hiện tại và hạn hỗ trợ: chạy
winver, ghi lại số phiên bản, rồi tra trên trang vòng đời sản phẩm của Microsoft. Với dàn máy, xuất danh sách bằng lệnhGet-ComputerInfoở trên qua công cụ quản lý tập trung.
Khi một bản cập nhật gây lỗi
wusa /uninstall /kb:5065426 # go mot ban va cu the Get-WindowsUpdateLog # xuat nhat ky cap nhat ra file de doc DISM /Online /Get-Packages | findstr /i "Package_for_RollupFix"
Sau khi gỡ, tạm dừng cập nhật vài tuần để Windows không cài lại ngay. Với dàn máy, đây là lúc chính sách hoãn phát huy tác dụng: nhóm thử đã dính lỗi, nhóm chính chưa nhận nên không ai khác bị ảnh hưởng.
Câu hỏi thường gặp
Có nên hoãn bản vá bảo mật hằng tháng không
Không. Rủi ro để máy hở khi lỗ hổng đã công bố lớn hơn nhiều so với rủi ro bản vá gây lỗi. Nếu lo, hãy có vòng máy thử thay vì hoãn cho cả công ty.
Bản Windows 11 Home hoãn cập nhật được không
Chỉ tạm dừng được một khoảng ngắn, không có tùy chọn hoãn bản tính năng như bản Pro. Đây là một lý do doanh nghiệp nên dùng bản Pro.
Máy hoãn cập nhật quá lâu thì sao
Hết thời hạn hỗ trợ của phiên bản đang chạy thì Windows sẽ ép cập nhật, và trong khoảng chờ đó máy không nhận bản vá bảo mật. Nên chủ động lên lịch trước.
Chọn máy nào làm máy thử
Máy của người dùng nhiều phần mềm và nhiều thiết bị nhất, không phải máy nhàn rỗi. Máy nhàn rỗi lên bản mới trơn tru không chứng minh được gì.
