Trả lời nhanh: Đây là bộ cài đặt cho phép đặt độ trễ riêng cho bản vá bảo mật và cho bản tính năng, áp cho từng nhóm máy. Áp qua chính sách nhóm hoặc qua Intune. Khác với máy chủ cập nhật nội bộ ở chỗ máy vẫn tải trực tiếp từ Microsoft, bạn chỉ kiểm soát thời điểm.
Không phải mọi máy trong công ty nên cập nhật cùng lúc. Bài này nói công cụ để chia vòng và đặt độ trễ.
- Đặt độ trễ riêng cho bản vá bảo mật và bản tính năng.
- Máy vẫn tải trực tiếp từ Microsoft, chỉ thời điểm bị kiểm soát.
- Chia máy thành các vòng và đặt độ trễ khác nhau cho từng vòng.
- Áp qua chính sách nhóm hoặc qua công cụ quản lý tập trung.
- Chỉ có công cụ quản lý mới cho biết máy nào thật sự đã cập nhật.
- Tách được hai loại: hoãn tính năng mà vẫn nhận bản vá.
- Bản Pro làm được, bản Home chỉ tạm dừng ngắn.
Nó khác gì máy chủ cập nhật nội bộ
Hai cách kiểm soát cập nhật ở doanh nghiệp và chúng khác nhau về bản chất.
Máy chủ cập nhật nội bộ. Công ty dựng một máy chủ, nó tải bản vá về, và các máy trạm lấy từ đó. Quản trị viên duyệt từng bản vá trước khi phát cho máy trạm.
Ưu: kiểm soát tuyệt đối, tiết kiệm băng thông ra internet. Nhược: cần máy chủ, cần dung lượng lưu trữ lớn, cần người vận hành, và máy ở ngoài văn phòng không nhận được.
Windows Update for Business. Máy vẫn tải trực tiếp từ Microsoft, bạn chỉ đặt quy tắc về thời điểm và về mức độ.
Ưu: không cần máy chủ, máy ở đâu cũng áp được, và luôn nhận đúng bản vá cho cấu hình của nó. Nhược: không duyệt được từng bản vá, chỉ đặt độ trễ.
Với doanh nghiệp vừa và nhỏ, cách thứ hai gần như luôn hợp lý hơn. Việc duyệt từng bản vá nghe hay nhưng trong thực tế ít nơi làm nổi, và nó dẫn tới tình trạng bản vá đọng lại hàng tháng không ai duyệt.
Các thiết lập chính
Bốn nhóm cài đặt quan trọng nhất.
- Độ trễ cho bản vá chất lượng, tức bản vá hằng tháng. Nên đặt ngắn, vài ngày là đủ để Microsoft phát hiện lỗi nghiêm trọng. Đừng đặt dài vì đây là bản vá bảo mật.
- Độ trễ cho bản cập nhật tính năng. Đặt dài hơn nhiều, hàng tuần tới hàng tháng tùy vòng.
- Chọn phiên bản mục tiêu. Thay vì đặt độ trễ, bạn khai thẳng máy nên ở phiên bản nào. Cách này rõ ràng hơn khi bạn muốn cả công ty đứng ở một phiên bản cụ thể.
- Hạn chót khởi động lại. Sau bao nhiêu ngày thì Windows buộc khởi động lại dù người dùng cứ hoãn.
Điểm bốn quan trọng hơn người ta nghĩ: không có hạn chót thì có người hoãn cập nhật hàng tháng trời, và bản vá đã tải về vẫn không có hiệu lực vì máy chưa khởi động lại.
Đặt hạn chót khoảng bảy ngày là cân bằng hợp lý giữa không làm phiền và bảo đảm bản vá có hiệu lực.
Ba cách áp
Một, đặt tay trên từng máy. Cài đặt, Windows Update, tùy chọn nâng cao. Bản Pro có sẵn các tùy chọn cơ bản.
Hợp với công ty dưới hai chục máy. Nhược: không kiểm chứng được máy nào đã đặt, và người dùng đổi lại được.
Hai, chính sách nhóm. Đặt một lần, áp cho cả nhóm máy, người dùng không đổi được. Cần bản Pro trở lên và cần môi trường có miền hoặc công cụ áp chính sách.
Hợp với công ty đã có hạ tầng miền.
Ba, công cụ quản lý tập trung như Intune. Áp chính sách cho nhóm máy bất kể chúng ở đâu, và quan trọng nhất là báo cáo được máy nào đã cập nhật, máy nào chưa, máy nào lỗi.
Khả năng theo dõi là khác biệt lớn nhất. Với hai cách đầu, bạn đặt chính sách nhưng không biết thực tế từng máy đang ở đâu, và chỉ phát hiện vấn đề khi người dùng báo.
Chia vòng triển khai
Cách làm chuẩn ở tổ chức có nhiều máy.
Vòng thử, hai tới ba máy. Độ trễ bằng không cho bản tính năng. Chọn máy của người dùng nhiều phần mềm nhất.
Vòng sớm, khoảng mười phần trăm số máy. Độ trễ khoảng một tuần. Chọn máy ở nhiều phòng ban khác nhau để phủ được nhiều tình huống.
Vòng chính, phần lớn máy. Độ trễ khoảng ba tới bốn tuần.
Vòng cuối, máy nhạy cảm. Máy điều khiển thiết bị, máy chạy phần mềm cũ, máy phục vụ nghiệp vụ không được dừng. Độ trễ dài nhất.
Cách chia máy vào vòng: tạo nhóm trong Entra ID hoặc trong dịch vụ thư mục, rồi gán chính sách cho từng nhóm. Máy mới thêm vào nhóm là tự nhận chính sách của vòng đó.
Đừng chia theo phòng ban một cách máy móc. Chia theo mức rủi ro: máy càng quan trọng thì càng ở vòng sau.
Theo dõi và xử lý
Bốn việc định kỳ.
- Mỗi tháng, kiểm tỉ lệ máy đã nhận bản vá mới nhất. Với công cụ quản lý tập trung thì có sẵn báo cáo. Không có thì rà số bản dựng bằng một lệnh.
- Tìm máy tụt lại và xử lý từng cái. Nguyên nhân thường là máy lâu không bật, thiếu dung lượng, hoặc lỗi cập nhật.
- Mỗi quý, rà phiên bản và đối chiếu với thời hạn hỗ trợ.
- Sau mỗi bản tính năng lớn, thu thập phản hồi từ vòng thử trước khi cho vòng sau chạy.
Một chỉ số đáng theo dõi: tỉ lệ máy đã cài bản vá bảo mật mới nhất trong vòng bảy ngày kể từ ngày phát hành. Con số này nói lên nhiều điều về sức khỏe hệ thống của công ty, và nó là thứ người kiểm toán về an toàn thông tin hay hỏi.
Về máy lâu không bật: máy dự phòng, máy của người nghỉ dài, máy trong kho. Chúng tích tụ hàng loạt bản vá và khi bật lên sẽ mất rất lâu để cập nhật. Nên bật chúng định kỳ mỗi tháng một lần.
Khi nào hoãn là đúng và khi nào là trì hoãn
Bốn lý do chính đáng để hoãn:
- Đang trong kỳ cao điểm nghiệp vụ, chẳng hạn cuối tháng với kế toán hoặc mùa cao điểm với bán hàng.
- Chưa thử được với phần mềm nghiệp vụ.
- Nhà cung cấp phần mềm chưa xác nhận tương thích.
- Đang chờ Microsoft sửa một lỗi đã biết ảnh hưởng tới cấu hình của bạn.
Ba dấu hiệu bạn đang trì hoãn chứ không phải hoãn có kế hoạch:
- Không biết phiên bản hiện tại còn hỗ trợ tới bao giờ.
- Không có kế hoạch cụ thể cho việc cập nhật, chỉ hoãn cho tới khi bị ép.
- Chưa từng thử phiên bản mới trên máy nào.
Khác biệt giữa hai thứ: hoãn có kế hoạch là dời sang một thời điểm đã định. Trì hoãn là đẩy vấn đề sang tương lai mà không có thời điểm nào cả.
Cái sau luôn kết thúc bằng việc cập nhật bị ép vào lúc bất tiện nhất, mà không ai chuẩn bị gì.
Chia vòng triển khai, cách làm đúng
| Vòng | Ai trong đó | Hoãn bao lâu | Vai trò |
|---|---|---|---|
| Vòng thử | Nhân viên công nghệ thông tin, vài máy phụ | 0 ngày | Phát hiện lỗi sớm nhất |
| Vòng sớm | Một phòng ban ít rủi ro, 10 tới 20% số máy | 7 ngày | Kiểm với công việc thật |
| Vòng chính | Phần lớn nhân viên | 14 ngày | Nhận bản đã được xác nhận ổn |
| Vòng quan trọng | Máy kế toán, máy chạy phần mềm nghiệp vụ đặc thù | 21 tới 30 ngày | Nhận sau cùng, sau khi mọi thứ đã yên |
Nguyên tắc: máy càng quan trọng thì nhận cập nhật càng muộn, nhưng không bao giờ là không bao giờ. Hoãn có thời hạn là quản lý rủi ro; hoãn vô thời hạn là tích lũy rủi ro.
Xem chính sách cập nhật máy đang nhận
:: Xem chinh sach cap nhat may dang nhan gpresult /h C:\baocao.html :: hoac voi may quan ly bang cong cu dam may dsregcmd /status | findstr /i MDMUrl :: Xem lich su cap nhat va ma loi Get-HotFix | Sort InstalledOn -Descending | Select -First 10 wmic qfe list brief /format:table :: Tam hoan cap nhat tren mot may (dung cho tinh huong khan) :: Cai dat, Windows Update, Tam dung cap nhat :: Xem may dang lay ban cap nhat tu dau reg query "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate" /s
Khi nào hoãn là đúng, khi nào là trì hoãn
- Hoãn đúng: đang trong kỳ quyết toán, đang chạy dự án gấp, hoặc bản cập nhật đó đã được báo cáo gây lỗi với phần mềm bạn dùng.
- Trì hoãn sai: hoãn vì ngại, và không có ngày dự kiến áp dụng. Máy chậm cập nhật nhiều tháng là máy có lỗ hổng đã công bố công khai.
- Bản vá bảo mật khẩn không nên hoãn quá vài ngày, kể cả với vòng quan trọng. Với lỗ hổng đang bị khai thác thật, thời gian tính bằng giờ.
- Ghi lại mỗi lần hoãn: hoãn cái gì, vì sao, dự kiến áp dụng khi nào, ai duyệt. Đây là thứ cần khi có sự cố và cần giải trình.
Đọc báo cáo tình trạng cập nhật hằng tuần
- Xem báo cáo tình trạng cập nhật hằng tuần: bao nhiêu máy đã nhận, bao nhiêu máy lỗi, bao nhiêu máy lâu không kết nối.
- Máy lâu không kết nối thường là máy đã hỏng, đã thanh lý hoặc của nhân viên đã nghỉ. Rà danh sách này cũng là cách dọn sổ tài sản.
- Với máy lỗi lặp lại, đừng sửa từng máy: tìm điểm chung, thường là một trình điều khiển hoặc một phần mềm cụ thể.
Câu hỏi thường gặp
Có nên hoãn bản vá bảo mật hằng tháng không
Chỉ nên đặt độ trễ rất ngắn, vài ngày, đủ để Microsoft phát hiện lỗi nghiêm trọng. Hoãn dài là để máy hở trong khi lỗ hổng đã công bố công khai.
Cần máy chủ riêng không
Không. Windows Update for Business không cần máy chủ, máy vẫn tải trực tiếp từ Microsoft và bạn chỉ kiểm soát thời điểm.
Bản Home áp được không
Không đầy đủ. Bản Home chỉ tạm dừng được một khoảng ngắn, không có các tùy chọn đặt độ trễ và chọn phiên bản mục tiêu như bản Pro.
Làm sao biết máy nào đã cập nhật
Chỉ công cụ quản lý tập trung mới cho báo cáo đầy đủ. Không có thì rà số bản dựng của các máy bằng một lệnh PowerShell chạy từ xa.
Tắt dịch vụ Windows Update có được không
Không nên. Bạn mất luôn bản vá bảo mật và cả định nghĩa của phần mềm bảo vệ. Dùng cơ chế hoãn có sẵn để tách hai loại cập nhật thay vì tắt hết.
Bản Home hoãn được bao lâu
Chỉ tạm dừng được một khoảng ngắn rồi phải cập nhật mới tạm dừng tiếp. Bản Home không có tùy chọn hoãn riêng bản tính năng.
Hoãn tối đa được bao lâu trên bản Pro
Trong thời hạn hỗ trợ của phiên bản đang chạy. Con số cụ thể khác nhau theo phiên bản, tra tài liệu vòng đời chính thức của Microsoft.
Máy sắp hết hạn hỗ trợ thì Windows có tự cập nhật không
Có. Khi gần hết hạn, Windows ép cập nhật bất chấp chính sách hoãn, vì máy hết hạn là máy không nhận bản vá bảo mật.
