Sei già un cliente NinjaOne? Effettua il login per visualizzare le altre guide e gli ultimi aggiornamenti.

Patch Management per Windows: FAQ

Argomento

Questo articolo risponde alle domande più frequenti sulla gestione delle patch di Windows. 

Per ulteriori articoli sull'applicazione delle patch in NinjaOne, consulta il nostro Catalogo delle risorse sulle patch.

Ambiente

  • Gestione delle patch in NinjaOne
  • Sistema operativo Windows

Descrizione

Domande frequenti generali

Domande frequenti generali

Come vengono scritte in NinjaOne le impostazioni del Registro di sistema per i server WSUS?

Se la modalità "Controllo" è disabilitata in NinjaOne, gli aggiornamenti automatici del sistema operativo vengono disabilitati. Se si configurano modifiche a WSUS in NinjaOne, tali modifiche vengono applicate anche al registro di sistema.

NinjaOne continuerà a funzionare per applicare le patch al sistema operativo se disabilitiamo gli aggiornamenti di Windows nel GPO? 

Se non si desidera che gli utenti eseguano manualmente Windows Update, è possibile utilizzare questo GPO: https://learn.microsoft.com/en-us/windows/deployment/update/waas-wu-settings#remove-access-to-use-all-windows-update-features.

Esiste un limite al numero di lingue in cui possono essere tradotti i messaggi di riavvio attivati da NinjaOne e dall'icona Systray? C'è un modo per conoscere le lingue tradotte? 

Questo messaggio specifico (e le sue varianti a seconda che il riavvio avvenga entro un determinato periodo di tempo) è disponibile in tutte le lingue che supportiamo: inglese, tedesco, francese, spagnolo, italiano, olandese, svedese, norvegese, danese, portoghese, polacco e russo.

L’agente NinjaRMM è compatibile con Windows 11?

NinjaOne ha testato l’agente NinjaRMM e i suoi componenti integrati sia su installazioni nuove che aggiornate di Windows 11 e lo ha aggiunto come sistema operativo supportato nella documentazione NinjaOne Endpoint Management: Requisiti di sistema e Compatibilità. Contatta l’assistenza se riscontri problemi.

Come classificherà Windows la patch e l’aggiornamento a Windows 11?

Secondo l’articolo di Microsoft dedicato alla panoramica su Windows 11, l’aggiornamento a Windows 11 è classificato come aggiornamento delle funzionalità:

Per gli amministratori che gestiscono i dispositivi per conto della propria organizzazione, Windows 11 sarà disponibile attraverso gli stessi canali già noti utilizzati oggi per gli aggiornamenti delle funzionalità di Windows 10. Sarà possibile utilizzare gli strumenti di distribuzione e gestione esistenti, come Windows Update for Business, Microsoft Endpoint Manager e Windows Autopilot. Per ulteriori informazioni, consultare Pianificazione per Windows 11.

Come posso assicurarmi che i miei dispositivi Windows 10 non vengano aggiornati a Windows 11?

Gli aggiornamenti di Windows funzionano come segue: l’aggiornamento delle funzionalità per Windows 11, 22H2, verrà proposto per i dispositivi Windows 10. Se avete approvato questo aggiornamento delle funzionalità, NinjaOne aggiornerà i vostri dispositivi Windows 10 a Windows 11. Per impedirlo, dovete selezionare “Rimani su Windows 10 per ora” nell’interfaccia grafica locale di Windows Update.

È possibile utilizzare il seguente script per automatizzare il comando:

reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersionInfo /t REG_DWORD /d 1
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersionInfo /t REG_SZ /d 22H2
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v ProductVersion /t REG_SZ /d "Windows 10"

Utilizza questa riga per sbloccare il comando:

reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v TargetReleaseVersion /t REG_DWORD /d 0

In NinjaOne, è possibile trovare le impostazioni di approvazione per il tipo di patch "Aggiornamenti delle funzionalità" in Patch di Windows → Approvazioni avanzate nelle impostazioni della politica di gestione delle patch del sistema operativo.

  • Selezionando "Rifiuta", si impedirà l’installazione della patch (e di qualsiasi altro aggiornamento delle funzionalità) sui computer gestiti quando il sistema la rileva durante una scansione.
  • L'opzione "Approva" invierà la patch ai computer gestiti durante il ciclo di applicazione successivo, dopo che il sistema l'avrà individuata durante una scansione.
  • L’opzione "Manuale " vi consentirà di scegliere se rifiutare o approvare la patch quando il sistema la rileva durante una scansione.

policy_windows patches_feature updates_edit approval.png
Figura 1: Modifica dell’approvazione per gli aggiornamenti delle funzioni a livello di politica in NinjaOne

Per altre informazioni sulla configurazione di queste impostazioni, consultare la sezione "Politiche: Gestione delle patch di Windows".

Come funziona lo strumento di gestione delle patch di Windows di NinjaOne?

L'eseguibile dello strumento di gestione delle patch di NinjaOne si trova nella directory di installazione dell'agente NinjaOne. Questo eseguibile gestisce il rilevamento e l'installazione delle patch tramite l'API di Windows Update Agent. A seconda delle configurazioni dei criteri, un tipico ciclo di scansione WPM eseguirà fino a tre scansioni:

  • Una scansione degli aggiornamenti consigliati che include tutto ciò che rientra nella categoria “Importante” nella sezione “Approvazioni” delle impostazioni della politica di patch del sistema operativo.
  • Una scansione degli aggiornamenti "Opzionali " e degli " Aggiornamenti delle funzioni " (se abilitati).
  • Una scansione per i driver (se abilitata).

Quando sarà disponibile la patch di aggiornamento a Windows 11 per i miei computer gestiti tramite lo strumento di gestione delle patch di Windows di NinjaOne?

Per altre informazioni, consultare Gestione delle patch di Windows: disponibilità delle patch. 

Qual è la differenza tra lo strumento di gestione delle patch di Windows di NinjaOne e Windows Update?

Sia la gestione delle patch di Windows di NinjaOne che Windows Update attingono direttamente dal catalogo di Windows Update di tutte le patch disponibili. NinjaOne rileva la cronologia delle patch durante una scansione e segnala le patch installate tramite Windows Update al di fuori di NinjaOne. Tuttavia, è fondamentale notare che NinjaOne non può impedire a un cliente di installare una patch tramite Windows Update.

Cosa succede quando Microsoft rilascia una nuova patch? 

Microsoft distribuisce le patch appena rilasciate tramite i canali di servizio. Se il dispositivo è in grado di rilevare l’aggiornamento durante una scansione degli aggiornamenti locali, NinjaOne può rilevare tali patch anche durante la successiva scansione di gestione delle patch. Se il dispositivo non è in grado di rilevare la patch, nemmeno NinjaOne la visualizza, poiché NinjaOne utilizza i risultati e i dati provenienti da Windows Update.

NinjaOne rileva le patch solo se sono disponibili al momento dell’esecuzione di una scansione delle patch di Windows. È importante notare che l’esecuzione di una scansione delle patch a livello locale su un dispositivo bypassa qualsiasi impostazione delle politiche di gestione delle patch di Windows configurata in NinjaOne.

Ho trovato un aggiornamento di sicurezza disponibile tramite Microsoft, ma non viene rilevato nei cicli di scansione delle patch di NinjaOne. Perché succede questo?

In casi limitati, potrebbe verificarsi un ritardo tra il momento in cui Microsoft rilascia un aggiornamento di sicurezza e quello in cui la patch è disponibile direttamente tramite Windows Update. Il catalogo di Windows Update aggiunge in genere le patch il secondo martedì di ogni mese. NinjaOne non può rilevare queste patch durante un ciclo di scansione finché Windows Update non le aggiunge al catalogo.

Fai clic qui per visualizzare un elenco delle patch recenti disponibili tramite Windows Update e, di conseguenza, tramite la funzionalità di gestione delle patch di NinjaOne. Per ulteriori informazioni sulla disponibilità delle patch, consulta Gestione delle patch di Windows: Disponibilità delle patch.

Come posso impedire l’installazione di una patch specifica sui miei dispositivi?

Per impedire l’installazione sui tuoi dispositivi di una patch non ancora rilevata durante una scansione, puoi aggiungere un rifiuto preventivo per il KB a livello di policy o globale. In alternativa, puoi rifiutare manualmente una patch per i tuoi dispositivi/policy se NinjaOne la rileva durante una scansione. Per ulteriori informazioni, consulta Gestione delle patch di Windows: Approvazione e rifiuto delle patch. 

Come si configura NinjaOne per distribuire driver o aggiornamenti delle funzionalità?

È possibile configurare l’applicazione delle patch per i driver e gli aggiornamenti delle funzionalità in modo simile agli altri tipi di patch. Nelle impostazioni del criterio "Patch di Windows ", accedere alla sezione " Approvazione avanzata", selezionare le caselle accanto a "Driver" e/o "Aggiornamenti delle funzionalità " per abilitarli e specificare l’opzione di approvazione preferita (approva, manuale o rifiuta).

Se si preferisce distribuire gli aggiornamenti delle funzionalità al di fuori della funzionalità di gestione delle patch di NinjaOne, utilizzare la seguente risorsa di script: Script personalizzato: Aggiornamento della build di Windows 10.

Posso configurare le impostazioni di gestione delle patch di Windows per impedire a Windows Defender di distribuire patch (come gli aggiornamenti delle definizioni)?

No. Lo strumento di gestione delle patch di Windows di NinjaOne non può impedire a Windows Defender di distribuire le patch.

Quali versioni di Windows sono compatibili con lo strumento di gestione delle patch di Windows di NinjaOne?

La maggior parte dei sistemi operativi descritti nella nostra documentazione "NinjaOne Endpoint management: Requisiti di sistema e compatibilità " è compatibile con la nostra gestione delle patch di Windows. Tuttavia, molte versioni di Windows Vista, Windows 7 e Windows Server 2008 non supportano la gestione delle patch di Windows poiché Microsoft ha interrotto un endpoint del servizio Windows Update ormai obsoleto (Endpoint basati su SHA-1 di Windows Update interrotti per i dispositivi Windows meno recenti).

È possibile aggiornare i dispositivi che eseguono Windows 7 SP1, Windows Server 2008 R2 SP1 e Windows Server 2008 SP2 per consentire la gestione delle patch di Windows seguendo i passaggi indicati nell’articolo Microsoft collegato sopra.

Da dove provengono i dati nel campo "Riavvio richiesto" quando si visualizza l'elenco delle patch in sospeso/approvate/rifiutate?

Questi dati vengono ricavati direttamente dal Catalogo di Microsoft Update per ciascuna patch.

Cosa significano i dati nel campo "Installato/Tentativo fatto da" quando si visualizza l’elenco delle patch installate o non installate?

  • Un valore indicato come “Aggiornamento pianificato da NinjaRMM” indica che la patch è stata installata durante un ciclo di aggiornamento pianificato per la gestione delle patch di Windows, in base alle impostazioni dei criteri del dispositivo.
  • Un valore indicato come “NinjaRMM: <NOME tecnico>” indica che il tecnico in questione ha avviato un ciclo di aggiornamento ad hoc della gestione delle patch di Windows, che ha installato la patch sul dispositivo.
  • Un valore indicato come " NinjaRMM Update Engine" indica che la patch è stata installata dal motore di aggiornamento legacy di NinjaOne.
  • Qualsiasi altro valore indica che la patch non è stata installata dallo strumento di gestione delle patch di Windows di NinjaOne.

Se la patch non è stata installata da NinjaOne, il valore visualizzato dipende interamente dall’entità che ha installato il software (ad esempio, questo campo potrebbe essere vuoto). Di seguito sono riportati alcuni esempi di altri valori che potrebbero essere visualizzati in questa sezione:

Come è possibile modificare la lingua nella finestra di richiesta di riavvio della Gestione delle patch di Windows?

La richiesta di riavvio della Gestione delle patch del sistema operativo utilizza la lingua del sistema operativo installato. Al momento, supporta francese, tedesco, spagnolo e inglese.

Perché a volte le patch continuano ad apparire nell’elenco “Installate” in NinjaOne, anche se le ho disinstallate localmente dal computer?

Ciò è dovuto alla natura della cronologia di Microsoft. In alcuni casi, quando le patch vengono disinstallate localmente su un computer, continuano a essere visualizzate nell’elenco “Installate” in NinjaOne.

Dopo l’esecuzione degli aggiornamenti delle funzionalità sui computer, l’elenco “Installati” appare vuoto. Perché succede?

Ciò è dovuto a una funzionalità di Windows che può cancellare la cronologia locale delle patch da un computer quando viene installato un aggiornamento delle funzionalità. Quando ciò si verifica, l’elenco delle patch installate viene visualizzato come vuoto, ma la versione del sistema operativo del dispositivo si aggiorna per mostrare la versione di Windows prevista.

Quando è abilitata l’opzione per riattivare un sistema per l’applicazione delle patch, in che modo NinjaOne riattiva il dispositivo?

Questa opzione utilizza una funzione API di Windows per impostare l’ora di riattivazione di un dispositivo. I dispositivi possono essere riattivati dallo stato di sospensione. Affinché questa funzionalità funzioni, il sistema deve avere i timer di riattivazione abilitati.

È possibile che i dispositivi richiedano un riavvio dopo un ciclo di scansione, anziché dopo un ciclo di applicazione?

A partire dalla versione 9.0, i cicli di scansione non attivano più i riavvii. Ciò impedisce riavvii imprevisti dei dispositivi e rende sicura l’esecuzione delle scansioni.  

La data dell’ultima analisi elencata in “Visualizza cronologia aggiornamenti” nell’applicazione locale Windows Update riflette le scansioni eseguite tramite NinjaOne?

No. NinjaOne non può aggiornare la "Data ultima analisi" nell’applicazione Windows Update. Tale data indica l’ultima volta in cui è stata eseguita una scansione manuale delle patch da parte di Windows Update, non di NinjaOne. 

Le patch di NinjaOne verranno visualizzate nella sezione “Visualizza cronologia aggiornamenti” a livello locale sul dispositivo?

Le patch installate tramite NinjaOne non vengono visualizzate. Tuttavia, le patch installate localmente vengono comunque mostrate nella sezione "Cronologia aggiornamenti" sul dispositivo.

Perché un'operazione manuale di scansione e applicazione va in timeout?

La durata impostata nel criterio viene applicata anche alle scansioni manuali e ai cicli di applicazione.

NinjaOne esegue gli aggiornamenti del BIOS?

NinjaOne gestisce qualsiasi patch distribuita tramite Microsoft, che occasionalmente include aggiornamenti del BIOS. Per garantire la coerenza, consigliamo di utilizzare script personalizzati per gli aggiornamenti del BIOS, disponibili nel nostro articolo "Script Share: Gestione delle patch". 

Domande frequenti sulla pianificazione delle patch

È possibile programmare l’esecuzione simultanea di un ciclo di scansione e di un ciclo di aggiornamento delle patch di Windows?

Si consiglia di separare le pianificazioni di scansione e aggiornamento di almeno un'ora, in modo da lasciare tempo sufficiente per il completamento di un'azione prima che ne inizi un'altra. Se si pianificano i cicli di scansione e aggiornamento in modo che vengano eseguiti contemporaneamente, oppure se un ciclo di applicazione inizia prima che il ciclo di scansione abbia avuto modo di completarsi, la scansione viene saltata o interrotta e il ciclo di aggiornamento avrà la priorità.

Il ciclo di scansione viene eseguito immediatamente prima dell’avvio del ciclo di applicazione?

Sì. Durante un ciclo di applicazione della gestione delle patch di Windows, viene eseguita una scansione prima dell’applicazione degli aggiornamenti.

Perché ricevo una notifica "Riavvio necessario" per l’applicazione delle patch di Windows e posso impedire che Windows riavvii automaticamente? 

Le notifiche “Riavvio richiesto” derivano dalle opzioni di gestione delle patch configurate a livello di politica. I tecnici possono scegliere tra diverse opzioni, tra cui consentire all’utente finale di accettare il riavvio, riavviare con notifica o riavviare automaticamente. Se la pianificazione della gestione delle patch è stata configurata per richiedere all’utente di riavviare, il tecnico dispone di un’ulteriore opzione per forzare il riavvio dopo un numero specificato di richieste. 

Di seguito è riportato un esempio di notifica "Riavvio richiesto" così come la vede l’utente finale e le opzioni di configurazione del riavvio così come le vede il tecnico. I tecnici dispongono inoltre di una finestra di dialogo per aggiungere messaggi personalizzati, pertanto il messaggio della notifica "Riavvio richiesto" può variare in base alle specifiche del cliente. 

NewUI_PebootDialog.png
Figura 2: Esempio di richiesta "Riavvio necessario" (clicca per ingrandire)

reboot req prompt ex.png
Figura 3: Esempio di configurazione del messaggio «Riavvio necessario» (clicca per ingrandire)

Domande frequenti sulla disponibilità delle patch

Di seguito è riportato un elenco delle domande più frequenti relative alla disponibilità delle patch con lo strumento di gestione delle patch di Windows di NinjaOne.

Come fa NinjaOne a sapere quali patch applicare?

Microsoft distribuisce le patch appena rilasciate tramite i canali di servizio.

  • Se il dispositivo è in grado di rilevare l’aggiornamento in questione durante una normale scansione locale degli aggiornamenti, NinjaOne potrà rilevarle a sua volta durante la successiva scansione di gestione delle patch.
  • Se il dispositivo non è in grado di rilevare la patch, NinjaOne non la visualizza, poiché si avvale dei risultati e dei dati provenienti da Windows Updater.

NinjaOne rileva le patch solo se sono disponibili al momento dell’esecuzione di una scansione delle patch di Windows. È importante notare che una patch di Windows in esecuzione localmente su un dispositivo aggira qualsiasi impostazione delle politiche di gestione delle patch di Windows configurata in NinjaOne (quindi, le patch non verrebbero approvate o rifiutate in base alle impostazioni delle politiche configurate).

Cosa succede se una patch non è disponibile?

In casi limitati, potrebbe verificarsi un ritardo tra il momento in cui Microsoft rilascia un aggiornamento di sicurezza e quello in cui tale patch è disponibile direttamente tramite Windows Update. Microsoft distribuisce gradualmente le patch a tutti i dispositivi Windows nel corso del tempo; questo spiega perché potresti vederle disponibili su un dispositivo ma non su un altro, anche se esegui un aggiornamento manuale direttamente sui dispositivi. Clicca qui per un elenco degli aggiornamenti di sicurezza di Microsoft.

Microsoft aggiunge in genere le patch al catalogo di Windows Update il secondo martedì di ogni mese. Prima che queste patch vengano aggiunte, NinjaOne non può rilevarle durante un ciclo di scansione. Clicca qui per un elenco delle patch recenti disponibili tramite Windows Update e, di conseguenza, tramite la funzionalità di gestione delle patch di NinjaOne.

Come posso installare una patch se non è disponibile in NinjaOne?

Se il servizio Windows Update del dispositivo non rileva ancora la patch disponibile da Microsoft, è necessario installarla manualmente.

Se non si desidera attendere che Microsoft comunichi al dispositivo la disponibilità della patch, ci sono due opzioni:

  • Eseguire manualmente Windows Update sui dispositivi per scaricare la patch non appena è disponibile. Potrebbe essere necessario ripetere l’operazione più volte se la patch non è ancora disponibile da Microsoft.
  • Scaricare la patch dal catalogo Microsoft Update e installarla manualmente tramite la riga di comando o uno script personalizzato.

Perché questa operazione deve essere fatta manualmente?

  • NinjaOne non dispone di un repository di patch per la distribuzione delle patch ai dispositivi.
  • NinjaOne utilizza il servizio locale di Windows Update sul singolo dispositivo, il quale a sua volta contatta i server Microsoft per individuare le patch disponibili in base a diversi fattori. Una volta che il servizio di aggiornamento ottiene il catalogo delle patch disponibili, NinjaOne comunica al dispositivo quando installarle in base alle impostazioni configurate nella console di NinjaOne.

Il riavvio automatico pianificato avverrà anche se gli utenti sono ancora connessi ma non stanno utilizzando attivamente il computer?

No. Inoltre, sconsigliamo di effettuare il riavvio di un computer inattivo, poiché si potrebbero perdere dati importanti non salvati e lavori aperti e non completati.

Domande frequenti

Passi successivi