Sei già un cliente NinjaOne? Effettua il login per visualizzare le altre guide e gli ultimi aggiornamenti.

Gestione delle patch di Windows: Risoluzione dei problemi

Argomento

Questo articolo descrive le procedure di risoluzione dei problemi più comuni relativi alla gestione delle patch di Windows.

Ambiente

  • Microsoft Windows
  • Gestione delle patch NinjaOne

Descrizione

I problemi relativi alla gestione delle patch di Windows possono variare da scansioni mancate a installazioni di patch non riuscite. Le sezioni seguenti illustrano gli scenari più comuni e le relative soluzioni. Selezionare un argomento per continuare:

Impossibile eseguire la scansione delle patch sui dispositivi Windows Server Update Services

Problema

Per gli endpoint che puntano a Windows Server Update Services (WSUS) nel registro di sistema, NinjaOne non esegue la scansione delle patch sui dispositivi.

Causa

Tra le possibili cause figurano l'inaccessibilità dei server, errori di comunicazione, configurazione errata o altri errori.

Soluzione

Per verificare o disabilitare WSUS localmente sul dispositivo, controllare le seguenti chiavi del Registro di sistema.

In:

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdate]

Cercare i seguenti valori:

  • WUServer
  • WUStatusServer

Verificare che entrambi i valori siano vuoti. Quindi passare a:

[HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAU]

Individuare la chiave denominata UseWUServer, modificarne il valore impostandolo su 0 e riavviare il servizio Windows Update.

Nota: i criteri di gruppo provenienti da un server su cui è attivo WSUS possono reimpostare queste chiavi. Se le chiavi ricompaiono dopo averle cancellate, disabilitare l'oggetto Criteri di gruppo sul server. In caso contrario, il criterio continuerà a impedire a NinjaOne di applicare le patch ai dispositivi.

Aggiornamenti non riusciti

Problema

Quando si tenta di applicare le patch di Windows, alcune di esse non vengono installate correttamente.

Causa

Le patch Microsoft falliscono per molte ragioni, tra cui, a titolo esemplificativo ma non esaustivo:

  • Interruzione della connessione di rete durante la scansione o l'applicazione
  • Patch difettosa o contenente bug
  • Presenza di malware

Soluzione

NinjaOne fornisce soluzioni comuni per le patch non riuscite nel menu delle azioni a destra della patch:

Patch actions menu in the NinjaOne console
Figura 1: Menu delle azioni della patch nella console NinjaOne (clicca per ingrandire)

Inoltre, è possibile seguire questi passaggi per la risoluzione dei problemi:

  • Consultare la Knowledge Base relativa al problema per verificare se si tratta di un problema noto e seguire le linee guida fornite da Microsoft per la risoluzione.
  • Esaminare i registri degli eventi del dispositivo interessato.
  • Utilizzare lo Strumento di risoluzione dei problemi di Windows Update(link esterno) per i dispositivi Windows 7, 8 e 10 interessati.

Le scansioni delle patch durano troppo a lungo

Problema

Le scansioni delle patch di Windows durano troppo a lungo e non vengono mai completate.

Causa

Le impostazioni relative alla durata delle pianificazioni di scansione sono assenti o troppo lunghe.

Soluzione

La durata della scansione delle patch varia a seconda del sistema, ma in genere si completa entro tre ore. In alcuni casi, una scansione può bloccarsi se Windows Update Agent (WUA) o i processi di gestione delle patch di NinjaOne non riescono a completarsi. Ciò potrebbe indicare un problema con il servizio wuauserv e richiede un'analisi locale per identificare la causa principale.

Le impostazioni dei criteri di pianificazione delle scansioni per la gestione delle patch di Windows consentono di impostare limiti di durata per aiutare a controllare i tempi delle scansioni delle patch. Per configurare questa opzione nella console NinjaOne, procedere come segue:

I passaggi riportati di seguito riguardano la durata della scansione delle patch in NinjaOne e non risolvono i problemi sottostanti relativi a WUA che potrebbero causare un'esecuzione di Windows Update più lunga del previsto.
  1. Accedere all’editor delle politiche per cui si desidera impostare una durata della scansione, quindi selezionare la scheda Patch di Windows.
Windows Patches tab in the NinjaOne policy editor
Figura 2: Scheda Patch di Windows nell’editor delle politiche di NinjaOne (clicca per ingrandire)
  1. In " Pianificazione della scansione", fare clic sulla pianificazione corrente per modificarla.
Scan Schedule setting in the NinjaOne policy editor
Figura 3: Impostazione “Pianificazione della scansione” nell’editor delle politiche di NinjaOne (clicca per ingrandire)
  1. Inserisci un valore in ore o minuti per la durata.
Duration field in the scan schedule editor
Figura 4: Campo "Durata" nell’editor della pianificazione della scansione (clicca per ingrandire)
  1. Salva le modifiche.

Se necessario, è possibile applicare le stesse impostazioni di durata alla pianificazione degli aggiornamenti.

Impedire l’applicazione di determinate patch

Problema

Esistono patch che non si desidera installare su uno o più dispositivi gestiti.

Causa

Le patch appena rilasciate possono talvolta avere effetti imprevisti o indesiderati sui computer con l’agente, come schermate blu o conflitti tra applicazioni.

Soluzione

In queste situazioni, è possibile rifiutare una patch su più macchine che potrebbero essere interessate. Per ulteriori informazioni sulle opzioni disponibili, consultare Gestione delle patch di Windows: approvazione, rifiuto e disinstallazione delle patch.

Gli aggiornamenti di Windows a livello locale sul computer indicano che il dispositivo non è stato sottoposto a scansione di recente

Problema

Il campo "Ultima scansione " nello strumento "Aggiornamenti di Windows" presente localmente sul computer indica che il dispositivo non è stato sottoposto a scansione di recente.

Causa

"Aggiornamenti di Windows" aggiorna il campo "Ultima scansione " solo in base alle scansioni eseguite tramite la propria applicazione localmente sul dispositivo. Microsoft utilizza un file .XML per impostare questo campo. Quando NinjaOne esegue una scansione delle patch di Windows, "Aggiornamenti di Windows" non rileva né riflette l'avvenuta scansione.

Soluzione

Per verificare che il dispositivo abbia eseguito scansioni tramite NinjaOne, consultare innanzitutto il Feed delle attività. Se non si riscontra una scansione recente in base alle configurazioni del criterio delle patch di Windows, contattare l'assistenza per determinare il motivo per cui la scansione non è stata eseguita.

Nota: se un dispositivo è offline quando è prevista l’esecuzione di una scansione, NinjaOne non eseguirà una scansione di recupero a meno che la funzione di scansione di recupero non sia attiva, come mostrato nella Figura 5.
Makeup scan feature setting in the NinjaOne policy editor
Figura 5: Impostazione della funzione di scansione di recupero nell’editor delle politiche di NinjaOne (clicca per ingrandire)

L’esecuzione di una scansione in "Aggiornamenti di Windows" individua le patch disponibili, anche se la gestione delle patch è configurata in NinjaOne

Problema

Quando si esegue una scansione delle patch localmente su un computer tramite Windows Update, vengono individuate le patch disponibili anche se la gestione delle patch di NinjaOne è configurata per gestire gli aggiornamenti.

Causa

Di seguito sono riportati i motivi più comuni per cui Windows Update a livello locale su un computer potrebbe rilevare patch disponibili:

  1. L'ultimo ciclo di aggiornamento eseguito tramite NinjaOne non è stato completato.
  2. Dall'esecuzione dell'ultimo ciclo di aggiornamento tramite NinjaOne, sono state rese disponibili nuove patch e NinjaOne non ha ancora eseguito il ciclo di aggiornamento successivo.
  3. Ci si trova nel periodo compreso tra il ciclo di scansione e quello di aggiornamento, e tali patch non sono ancora state applicate.
  4. La gestione delle patch di Windows non può effettuare l’aggiornamento finché il dispositivo non viene riavviato.
  5. Le patch sono state rifiutate dallo strumento di gestione delle patch di NinjaOne, manualmente o in base alle impostazioni di approvazione configurate per la propria politica.
  6. Sul computer si sono verificati errori nella gestione delle patch di Windows.

Soluzione

Le seguenti soluzioni corrispondono alle cause sopra elencate:

  1. Controllare il feed delle attività del dispositivo per verificare se l'ultima scansione pianificata non è stata eseguita. La scansione potrebbe non essere stata eseguita se il dispositivo era offline al momento dell'esecuzione pianificata. Per ulteriori informazioni sul motivo per cui la scansione non è stata eseguita, aprire un ticket con l'assistenza.
  2. Questo è normale se si eseguono aggiornamenti mensili su un dispositivo, poiché Microsoft rilascia le patch ogni martedì.
  3. Controllare il dispositivo per verificare se sono presenti aggiornamenti elencati nelle sezioni “In sospeso ” o “Approvati”. 
  4. Se sul dispositivo è in sospeso un riavvio a causa della gestione delle patch di Windows, NinjaOne non può aggiornare il dispositivo finché non avviene il riavvio. Per ulteriori informazioni, consultare la sezione relativa ai riavvii in sospeso.
  5. Controlla il dispositivo per verificare se sono presenti aggiornamenti elencati nella scheda "Rifiutati". Le patch elencate in quella sezione non verranno installate dallo strumento di gestione delle patch di Windows di NinjaOne, ma appariranno comunque come patch disponibili localmente sul computer durante una scansione di Windows Update.
  6. Fare riferimento alla sezione “Patch non riuscite ” sopra riportata.

Una patch non è elencata come installata in NinjaOne, ma è indicata come installata tramite le chiamate Windows Management Instrumentation sul dispositivo

Problema

Una patch specifica non appare come installata in Dispositivo → Patch del sistema operativo → Installate, nonostante sia verificabilmente presente sul dispositivo come installata tramite le chiamate WMI (Windows Management Instrumentation).

Esistono vari modi per interrogare gli aggiornamenti installati su un computer Windows. I risultati ottenuti con metodi diversi possono variare a seconda di ciò che viene interrogato. L’articolo di TechNet “Windows: Come elencare tutti gli aggiornamenti di Windows e del software applicati a un computer(link esterno) ” fornisce approfondimenti sui metodi utilizzati in questa documentazione.

Le figure 6 e 7 mettono a confronto gli aggiornamenti installati elencati nella console NinjaOne con quelli interrogati tramite WMI. Come mostrato, in entrambi i casi vi sono aggiornamenti che non vengono elencati dall’altro metodo. Nello specifico, KB4524569, KB4528759 e KB4528760 risultano installati nei risultati della query WMI, ma non appaiono come installati nella console NinjaOne. Al contrario, KB4533002, KB4530684, KB4528760, KB2267602, KB4052623 e KB890830 compaiono nella console NinjaOne ma non sono elencati nei risultati della query WMI.

Installed updates as listed in the NinjaOne console
Figura 6: Aggiornamenti installati elencati nella console NinjaOne (clicca per ingrandire)
Installed updates as returned by a WMI query
Figura 7: Aggiornamenti installati restituiti da una query WMI (clicca per ingrandire)

Causa

Ciò si verifica perché ciascun metodo interroga posizioni diverse per gli aggiornamenti installati. NinjaOne interroga gli aggiornamenti installati tramite Windows Update, Microsoft Update, Aggiornamenti automatici, WSUS o Configuration Manager (ConfigMgr), che sono generalmente installati utilizzando un Microsoft Installer (MSI). Le installazioni di questi pacchetti vengono registrate nel datastore Software Distribution e nel Registro di sistema. NinjaOne interroga queste posizioni per raccogliere informazioni sulle patch installate.

WMI utilizza la classe Win32_QuickFixEngineering, che restituisce solo gli aggiornamenti forniti da Component Based Servicing (CBS). Questi aggiornamenti sono in genere di piccole dimensioni e riguardano l’intero sistema; sono comunemente denominati “quick-fix” o “hotfix”. Per ulteriori informazioni, consultare la documentazione relativa alla classe Win32_QuickFixEngineering(link esterno).

Nota: Microsoft potrebbe mantenere elenchi che indicano quali articoli KB specifici sono installati e con quali metodi. Tuttavia, non siamo in grado di fornire queste informazioni, poiché potrebbero essere soggette a modifiche a discrezione di Microsoft.

Soluzione

Poiché questi aggiornamenti non vengono registrati nel Registro di sistema, NinjaOne non è attualmente in grado di interrogarli per verificarne l’esistenza. In alcuni casi, un aggiornamento potrebbe essere installato tramite un aggiornamento del sistema operativo (ad esempio alla versione 1903 o 1909) e rimanere inattivo sul sistema, come descritto in questo articolo del supporto tecnico di Microsoft(link esterno).

Nel caso specifico di KB4528759 e KB4528760, Microsoft ha incluso l’aggiornamento nei pacchetti di aggiornamento per Windows 10 alla build attuale della versione 1903 (18362.592) e della versione 1909 (18363.592). Di conseguenza, il numero di build del sistema operativo installato sul computer agente è fondamentale per determinare se sia installato KB4528759 o KB4528760.

L'aggiornamento a Windows 11 viene installato in modo imprevisto sui computer con Windows 10

Problema

L'aggiornamento a Windows 11 viene approvato e installato automaticamente sui computer con Windows 10 in modo imprevisto.

Causa

Microsoft assegna lo stesso numero KB a diversi tipi di aggiornamento a seconda della versione del sistema operativo. Un KB che rappresenta un aggiornamento cumulativo di routine su Windows 11 può rappresentare un aggiornamento delle funzionalità (l’aggiornamento a Windows 11) su Windows 10. Questo comportamento è determinato da Microsoft e non è controllato da NinjaOne. Se NinjaOne è configurato per approvare automaticamente le patch in base al numero KB, ciò può comportare un aggiornamento involontario del sistema operativo sui computer con Windows 10.

Soluzione

Come best practice, evitare di approvare automaticamente le patch in base al numero KB, poiché i numeri KB non sono univoci tra le diverse versioni del sistema operativo.

Per impedire che l’aggiornamento a Windows 11 venga proposto sui dispositivi Windows 10, eseguire lo script del Registro di sistema allegato. Ciò produce lo stesso risultato che si otterrebbe facendo clic su «Rimani su Windows 10» nel pannello «Aggiornamenti di Windows» sul dispositivo.

Importante: si consiglia di testare tutti gli script personalizzati su un numero limitato di dispositivi prima di eseguirli su larga scala.

Se il problema riscontrato non è elencato sopra, o se è necessaria ulteriore assistenza dopo aver provato i passaggi di risoluzione dei problemi consigliati, contattare l’assistenza NinjaOne.

Domande frequenti

Passi successivi