Microsoft AZ-801: Windows Server Update- en Patchbeheer — Studiegids

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Onderdeel van de Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Studiegids. Oefen met geverifieerde antwoorden in het Microsoft-examencentrum, of doe getimede oefentests op ExamRoll.io.

Cloud-georkestreerde updates: WUfB, Update Management Center, VM Guest Patching en Hotpatch

Windows Update for Business bepaalt wanneer apparaten Feature- en Quality-updates rechtstreeks van Microsoft’s CDN ontvangen, met behulp van ring-gebaseerde uitstelperioden en pauzes. Uitstelbeleid (via GPO of Intune) stelt in Select when Preview Builds and Feature Updates are received en Select when Quality Updates are received. Typische waarden zijn 0–365 dagen voor Feature-updates en 0–35 dagen voor Quality-updates. Het pauzeren van updates stopt de installatie van Feature- of Quality-updates voor maximaal 35 dagen vanaf een opgegeven startdatum—handig om een uitrol tegen te houden tijdens het onderzoeken van een probleem. Ringen worden geïmplementeerd als afzonderlijke beleidstoewijzingen met verschillende uitstel- en pauzeparameters, waarbij wordt opgeschaald van IT/Pilot naar ‘Broad’ (breed) naarmate het vertrouwen toeneemt. Gebruik dit wanneer u geen WSUS-goedkeuringen nodig heeft of wanneer de voorkeur uitgaat naar contentlevering en beveiligingsmaatregelen vanuit de cloud.

Update Management Center (UMC) in Azure moderniseert de orkestratie voor Azure VM’s en Arc-enabled servers. Assessment-schema’s bepalen wanneer machines hun ontbrekende updates en compliancestatus berekenen—meestal dagelijks, zodat dashboards actueel blijven. Patch-beleid definieert wat en wanneer er geïnstalleerd wordt: u kiest classificaties, neemt KB’s op of sluit ze uit, definieert onderhoudsvensters met tijdzones, stelt het herstartgedrag in (herstarten indien nodig, altijd of nooit) en selecteert orkestratie-opties. Dynamic scoping koppelt een beleid aan een dynamische set machines op basis van subscriptions, resource groups, locaties of tags; zodra machines met overeenkomende tags worden toegevoegd, worden ze automatisch opgenomen. Dit lost governance op grote schaal op zonder dat doellijsten handmatig onderhouden hoeven te worden. Voor availability sets en scale sets spreidt UMC het patchen over update domains om het quorum en de service health te behouden.

Automatic VM guest patching delegeert de selectie en installatie van Critical- en Security-updates aan het Azure-platform. De assessment wordt uitgevoerd volgens een door Azure beheerd ritme; de patch-orkestratie houdt rekening met beschikbaarheidsconstructies om de impact te minimaliseren. Herstartinstellingen zijn configureerbaar als IfRequired, Always of Never; selecteer Never alleen als u externe coördinatie voor herstarts heeft. Voor servers die meer nodig hebben dan alleen beveiligingsupdates of die specifieke ‘blackout windows’ (onderhoudsvrije periodes) vereisen, gebruikt u de geplande patch-implementaties van UMC in plaats van de volledig automatische modus.

Hotpatching elimineert de noodzaak voor herstarts voor de meeste maandelijkse beveiligingsupdates op ondersteunde Azure-images van Windows Server Azure Edition. Ondersteunde OS-versies zijn onder andere Windows Server 2022 Datacenter: Azure Edition en nieuwere Azure Edition-releases. Het servicing-model wisselt ‘baseline’-maanden en ‘hotpatch’-maanden af. Een ‘baseline’-maand levert een cumulatieve update die een nieuwe baseline vaststelt en één herstart vereist; de daaropvolgende ‘hotpatch’-maanden passen patches toe in het geheugen zonder herstart, wat de downtime aanzienlijk vermindert. Plan onderhoud rond de ‘baseline’-maanden en gebruik UMC of beleid om ervoor te zorgen dat ten minste één baseline per cyclus wordt toegepast om wijzigingen die niet via hotpatching kunnen worden doorgevoerd, op te nemen.

Compliancerapportage en verouderd Azure Update Management

Rapportage over updatecompliance moet zowel inzicht bieden aan het management als operationele oorzaakanalyse mogelijk maken. Rapporten van Windows Update for Business bieden inzichten op apparaatniveau en geaggregeerd niveau over de updatestatus, safeguard holds, de adoptie van feature-versies en diagnostische gegevens over fouten. Apparaten sturen de vereiste diagnostische gegevens naar een Log Analytics-workspace die aan de rapportageoplossing is gekoppeld; onboarding kan worden uitgevoerd via Intune, GPO-registersleutels voor de Commercial ID, of Azure Arc voor servers. Gebruik de ingebouwde Azure Monitor-werkmappen om compliance te segmenteren op ring, OS-versie en updatecategorie; pin kritieke grafieken vast aan Azure-dashboards voor zichtbaarheid in het NOC.

Azure Update Management (legacy) combineerde een Azure Automation-account met een Log Analytics-workspace. Machines (Azure VM’s en servers met Azure Arc) rapporteerden evaluatiegegevens aan Log Analytics; geplande implementaties riepen Automation-runbooks aan om de installatie van patches te orkestreren binnen gedefinieerde onderhoudsvensters. Parameters die werden beheerd, omvatten classificaties, in- en uitgesloten KB’s, pre- en post-scripts en het herstartbeleid. Hoewel het is vervangen door Update Management Center, blijft het verouderde Update Management belangrijk in brownfield-omgevingen; bij de migratieplanning moeten schema’s, scopes en runbook-gedragingen worden gemapt naar de patchbeleidsregels en dynamische scoping van UMC.

Patchclassificatie en ernst (severity) worden vaak door elkaar gehaald, maar beide zijn van belang voor het beleid. ‘Security updates’ is de classificatie voor updates die kwetsbaarheden verhelpen. Binnen beveiligingsupdates zijn de ernstniveaus van Microsoft’s Security Response Center ‘Critical’, ‘Important’, ‘Moderate’ en ‘Low’. ‘Critical’ duidt doorgaans op de mogelijkheid van remote code execution of een wijdverspreide ‘wormable’ impact; ‘Important’ omvat vaak ’elevation of privilege’ of het openbaar maken van informatie; ‘Moderate’ en ‘Low’ weerspiegelen beperkte exploiteerbaarheid of de aanwezigheid van mitigerende factoren. Geef in WSUS en Azure-beleid de voorkeur aan het snel implementeren van ‘Security updates’ (alle ernstniveaus) naar pilot-ringen en breid dit uit zodra telemetrie de stabiliteit bevestigt, terwijl niet-beveiligingsgerelateerde ‘Quality updates’ worden gepland op basis van de zakelijke tolerantie voor veranderingen.

Houd tot slot een operationeel ritme aan. Wijs verlopen en vervangen updates na validatie regelmatig af, voer maandelijks de opschoonwizard en het SQL-indexonderhoud uit, breng clients die geen contact opnemen met WSUS of Azure binnen de SLA in overeenstemming, en evalueer continu de uitstelperiodes en pauzelogica van de ringen. Standaardiseer voor hybride omgevingen op ofwel WSUS ofwel WUfB als de scanbron per apparaat; gebruik niet beide op één server. Gebruik Azure Arc om het beheer te verenigen, zodat cloud- en on-premise servers in één enkele compliance-structuur verschijnen.

Praktijkscenario

Fabrikam, Inc. beheert 600 Windows Server-machines: 250 on-premise achter strikte egress-controles, 250 Azure VM’s die gelaagde applicaties hosten, en 100 Azure VM’s met Windows Server 2022 Datacenter: Azure Edition. Ze hebben voorspelbaar patchen op dinsdag nodig met minimale downtime, gecentraliseerde rapportage en zonder handmatige toewijzing.

1. Scanbronnen en ringen opzetten

• Voor on-premise servers: implementeer een centrale upstream WSUS-server in het datacenter met twee downstream replica-servers in de filialen. Dwing client-side targeting af via GPO, zodat servers zichzelf registreren in de WSUS-groepen Pilot-Servers, Broad-Servers en Finance-Servers. Dit zorgt voor deterministische goedkeuring van content zonder dat er via internet wordt gescand.
• Voor Azure VM’s: gebruik Update Management Center met dynamische scoping op basis van tags zoals Ring=Pilot of Ring=Broad om handmatig onderhouden lijsten te vermijden. Dit lijnt cloudmachines automatisch uit met de bedoeling van de ring zodra ze worden geprovisioneerd. Waarom: WSUS voldoet aan de egress-beperkingen en maakt fijnmazige goedkeuringen mogelijk; UMC biedt orkestratie op cloudschaal en tag-gestuurd beheer.

2. Goedkeurings- en uitstelstrategie definiëren

• In WSUS: keur ‘Security Updates’ voor Pilot-Servers onmiddellijk automatisch goed; keur ze goed voor Broad-Servers met een deadline van 7 dagen. Niet-beveiligingsgerelateerde ‘Quality updates’ worden eerst goedgekeurd voor Pilot-Servers en na verificatie gepromoveerd.
• In UMC: maak twee patchbeleidsregels aan: ‘Pilot’ installeert ‘Security’ en ‘Quality updates’ de dag na Patch Tuesday; ‘Broad’ stelt ‘Quality updates’ 7 dagen uit. Beide gebruiken ‘reboot if required’ binnen een onderhoudsvenster van 2 uur. Waarom: Ringen vangen regressies vroegtijdig op, terwijl de time-to-remediation voor kwetsbaarheden kort blijft.

3. Hotpatching inschakelen op Azure Edition-servers

• Migreer de betreffende Azure Edition VM’s naar images waarvoor hotpatching is ingeschakeld en neem ze op in UMC-patchbeleidsregels die rekening houden met de basislijnmaanden. Zorg ervoor dat er per basislijncyclus ten minste één basislijn wordt toegepast. Waarom: Hotpatching elimineert de meeste herstarts op de 100 Azure Edition-servers, waardoor de SLA behouden blijft terwijl de maandelijkse beveiligingsfixes toch worden toegepast.

4. Automatisch patchen van VM-gasten configureren voor uitzonderingsgevallen

• Voor utility-VM’s met een laag risico: schakel ‘Automatic VM guest patching’ (AutomaticByPlatform) in, beperkt tot ‘Security updates’ met ‘reboot if required’, buiten kantooruren. Waarom: Vermindert de operationele last op systemen waar granulair beheer niet nodig is.

5. GPO voor WSUS-clients versterken (hardenen)

• Stel ‘Specify intranet Microsoft update service location’, ‘Configure Automatic Updates’, ‘detection frequency’ en ‘Do not allow update deferral policies to cause scans against Windows Update’ in. Configureer ‘No auto-restart with logged on users’ voor servers. Waarom: Voorkomt conflicten met scanbronnen en ongewenste herstarts tijdens service-uren.

6. Compliancerapportage implementeren

• Onboard alle servers naar de rapporten van Windows Update for Business met behulp van Azure Arc voor on-premise servers en native integratie voor Azure VM’s, en stuur de vereiste diagnostische gegevens naar een speciale Log Analytics-workspace. Publiceer Azure Monitor-werkmappen die zijn gesegmenteerd op ring en omgeving. Waarom: Single-pane rapportage over de gehele hybride omgeving, met drill-down naar diagnostische gegevens over fouten.

7. Gezondheid en databaseprestaties van WSUS onderhouden

• Voer maandelijks de WSUS Cleanup Wizard uit (verwijderen van verlopen/vervangen updates, verouderde computers), wijs vervangen updates na validatie af en voer WSUSDBMaintenance.sql uit om SUSDB opnieuw te indexeren. Beperk de producten/talen tot wat Fabrikam daadwerkelijk gebruikt. Waarom: Houdt synchronisatie- en goedkeuringsoperaties snel, verkort de scantijden van clients en voorkomt database-bloat.

8. Veilige uitrolvensters orkestreren

• Stel in UMC de parallelliteit zo in dat er rekening wordt gehouden met availability sets en zones, om gespreid patchen te garanderen. Coördineer voor on-premise clusters met cluster-aware updating of patch nodes sequentieel via onderhoudsschema’s. Waarom: Behoudt de beschikbaarheid van applicaties terwijl updates worden toegepast.

Deze aanpak combineert WSUS waar de internet-scoping beperkt is, Azure-native orkestratie voor elasticiteit, hotpatching om herstarts te minimaliseren, en uniforme compliancerapportage — allemaal gekoppeld aan ring-gebaseerd beheer dat een balans vindt tussen de snelheid van beveiliging en stabiliteit.

← Encryptie · Alle domeinen · Hyper-V →

Oefen deze vragen → · Getimede oefening op ExamRoll.io →

Blader door Microsoft →