Microsoft AZ-801: Aktualizacje Windows Server i zarządzanie poprawkami — Przewodnik do nauki

By Laurynas Brazys · 7 August 2026 · #microsoft #az-801 #certification #exam-prep #study-guide

Część Microsoft Windows Server Hybrid Administrator Associate AZ-801 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Zarządzanie poprawkami w Windows Server obejmuje zarówno obciążenia lokalne (on-premises), jak i te hostowane na platformie Azure, łącząc WSUS do szczegółowych przepływów zatwierdzania, zasady Windows Update for Business (WUfB) do wdrażania opartego na pierścieniach, orkiestrację opartą na Azure w celu skalowania oraz solidne raportowanie zgodności. Skuteczna strategia standaryzuje źródła skanowania, izoluje pierścienie testowe i pilotażowe, kontroluje ponowne uruchomienia w ramach okien konserwacyjnych i stale czyści metadane, aby zapewnić przewidywalną wydajność. Administratorzy hybrydowi muszą również rozumieć nowoczesne możliwości Azure, takie jak Update Management Center, automatyczne instalowanie poprawek w gościnnych maszynach wirtualnych oraz hotpatching dla Windows Server Azure Edition, aby zminimalizować przestoje przy jednoczesnym zachowaniu wysokiego poziomu bezpieczeństwa.

Architektura i administracja WSUS

Dobrze zaprojektowana topologia WSUS zaczyna się od serwera nadrzędnego (upstream), który synchronizuje metadane (i opcjonalnie zawartość) z Microsoft Update. Serwery podrzędne (downstream) subskrybują ten serwer nadrzędny. W trybie repliki serwer podrzędny dziedziczy zatwierdzenia, grupy komputerów i ustawienia z serwera nadrzędnego, co zapewnia scentralizowaną kontrolę – idealne rozwiązanie dla oddziałów firmy. W trybie autonomicznym serwery podrzędne otrzymują metadane aktualizacji, ale podejmują własne decyzje o zatwierdzeniu – jest to przydatne, gdy regionalne zespoły kontrolują konserwację. Synchronizacja metadanych dla wybranych języków, produktów i klasyfikacji powinna być zaplanowana do codziennego wykonywania. W przypadku dużych wdrożeń należy skonfigurować SSL (port 8531), aby chronić ruch związany ze skanowaniem klientów i replikację między serwerami WSUS.

Reguły zatwierdzania operacjonalizują działanie pierścieni. Reguły automatycznego zatwierdzania mogą natychmiast zatwierdzać aktualizacje zabezpieczeń (Security Updates) (i opcjonalnie aktualizacje krytyczne - Critical Updates) dla grupy przedprodukcyjnej, podczas gdy inne pierścienie mają opóźnienie o kilka dni lub tygodni. Do szerokich wdrożeń używaj jawnych zatwierdzeń z terminami ostatecznymi; terminy ostateczne wymuszają instalację do określonego czasu, niezależnie od „godzin aktywnego użytkowania” klienta. Grupy komputerów definiują pierścienie i warstwy obciążeń (serwery pilotażowe, ogólne i krytyczne). Przypisywanie do grup może być realizowane po stronie serwera lub klienta. W przypadku kierowania po stronie serwera nowi klienci pojawiają się w grupie „Unassigned Computers”, a administratorzy przenoszą ich do odpowiednich grup WSUS. W przypadku kierowania po stronie klienta zasada grupy (Group Policy) ustawia

undefined

i

undefined

, dzięki czemu maszyny samodzielnie rejestrują się w nazwanej grupie WSUS podczas pierwszego skanowania – jest to lepsze rozwiązanie dla dynamicznego rozmieszczania na dużą skalę w oparciu o jednostki organizacyjne (OU).

Klienckie obiekty zasad grupy (GPO) muszą wskazywać agentowi Windows Update serwer WSUS poprzez włączenie opcji „Określ lokalizację intranetowej usługi firmy Microsoft do aktualizowania” (zarówno dla usługi aktualizacji, jak i serwera statystyk). Ustaw „Konfigurowanie aktualizacji automatycznych” (np. opcja 4, automatyczne pobieranie i zaplanowana instalacja) oraz „Częstotliwość wykrywania aktualizacji automatycznych”, aby kontrolować częstotliwość skanowania. Dla serwerów ustaw „Brak automatycznego ponownego uruchamiania dla instalacji zaplanowanych, jeśli użytkownicy są zalogowani” oraz „Wyłącz automatyczne ponowne uruchamianie w celu przeprowadzenia aktualizacji w godzinach aktywnego użytkowania”, aby uniknąć uciążliwych restartów; następnie koordynuj zachowanie ponownego uruchamiania za pomocą okien konserwacyjnych lub narzędzi do orkiestracji. Jeśli w środowisku istnieją zasady WUfB, zapobiegaj omijaniu serwera WSUS przez klientów, włączając opcję „Nie zezwalaj na skanowanie w usłudze Windows Update w przypadku zasad odroczenia aktualizacji”.

Utrzymanie wydajności wymaga dbania o higienę WSUS. Kreator oczyszczania WSUS usuwa zastąpione i wygasłe aktualizacje, kasuje przestarzałe pliki aktualizacji i usuwa nieaktywne komputery, które nie kontaktowały się z WSUS w określonym czasie. Zautomatyzuj czyszczenie za pomocą skryptu z poleceniem

undefined

i uruchamiaj je po synchronizacjach importujących duże partie aktualizacji.

Konserwacja bazy danych WSUS jest niezbędna dla zachowania skalowalności i stabilności. Wygasłe aktualizacje powinny być odrzucane; aktualizacje zastąpione można odrzucić, gdy ich zamienniki osiągną stan stabilny w środowisku produkcyjnym. Regularnie reindeksuj i aktualizuj statystyki w bazie

undefined

za pomocą skryptu

undefined

firmy Microsoft. Nie polegaj na operacji zmniejszania (shrinking); skup się na kondycji indeksów. W bardzo dużych środowiskach przeprowadź migrację bazy

undefined

z WID do pełnej instancji SQL Server, aby wykorzystać zaawansowane indeksowanie, lepszą wydajność I/O i natywne harmonogramowanie zadań za pomocą SQL Agent. Unikaj wybierania nadmiernej liczby produktów i języków – ogranicz się do tych, które faktycznie wdrażasz, aby zredukować nadmierną rotację metadanych i narzut związany z zatwierdzaniem.

Aktualizacje orkiestrowane w chmurze: WUfB, Update Management Center, VM Guest Patching i Hotpatch

Usługa Windows Update for Business kontroluje, kiedy urządzenia otrzymują aktualizacje funkcji (Feature updates) i jakości (Quality updates) bezpośrednio z sieci CDN firmy Microsoft, wykorzystując odroczenia i wstrzymania oparte na pierścieniach (rings). Zasady odroczenia (przez GPO lub Intune) ustawiają opcje Select when Preview Builds and Feature Updates are received oraz Select when Quality Updates are received. Typowe wartości to 0–365 dni dla aktualizacji funkcji i 0–35 dni dla aktualizacji jakości. Opcja wstrzymania aktualizacji (Pause updates) zatrzymuje instalację aktualizacji funkcji lub jakości na okres do 35 dni od określonej daty początkowej — jest to przydatne do wstrzymania wdrożenia na czas badania problemu. Pierścienie (rings) są implementowane jako oddzielne przypisania zasad z różnymi parametrami odroczenia i wstrzymania, przechodząc od pierścienia IT/Pilot do pierścienia ogólnego (Broad) w miarę wzrostu zaufania. Użyj tego rozwiązania, gdy nie potrzebujesz zatwierdzeń w WSUS lub gdy preferowane jest dostarczanie zawartości z chmury i jej mechanizmy zabezpieczające.

Update Management Center (UMC) w Azure modernizuje orkiestrację dla maszyn wirtualnych Azure i serwerów z obsługą Arc (Arc-enabled servers). Harmonogramy oceny (Assessment schedules) definiują, kiedy maszyny obliczają brakujące aktualizacje i stan zgodności — zazwyczaj codziennie, aby pulpity nawigacyjne (dashboards) pozostawały aktualne. Zasady instalacji poprawek (Patch policies) definiują, co i kiedy instalować: wybierasz klasyfikacje, dołączasz/wykluczasz artykuły KB, definiujesz okna obsługi (maintenance windows) ze strefami czasowymi, ustawiasz zachowanie po ponownym uruchomieniu (uruchom ponownie, jeśli jest to wymagane; zawsze; lub nigdy) i wybierasz opcje orkiestracji. Dynamiczne określanie zakresu (Dynamic scoping) dołącza zasady do zmiennego zestawu maszyn przy użyciu subskrypcji, grup zasobów, lokalizacji lub tagów; gdy dodawane są maszyny z pasującymi tagami, są one automatycznie uwzględniane. Rozwiązuje to problem zarządzania na dużą skalę bez konieczności ręcznego utrzymywania list docelowych. W przypadku zestawów dostępności (availability sets) i zestawów skalowania (scale sets) UMC rozkłada instalowanie poprawek w czasie między domenami aktualizacji (update domains), aby zachować kworum i kondycję usługi.

Automatyczne stosowanie poprawek w systemie gościa maszyny wirtualnej (Automatic VM guest patching) deleguje wybór i instalację aktualizacji krytycznych (Critical) i zabezpieczeń (Security) do platformy Azure. Ocena jest uruchamiana zgodnie z harmonogramem zarządzanym przez Azure; orkiestracja poprawek uwzględnia konstrukcje dostępności, aby zminimalizować wpływ na działanie. Ustawienia ponownego uruchomienia można skonfigurować jako IfRequired (Jeśli wymagane), Always (Zawsze) lub Never (Nigdy); wybierz opcję Never tylko wtedy, gdy masz zewnętrzną koordynację ponownych uruchomień. W przypadku serwerów, które wymagają więcej niż tylko aktualizacji zabezpieczeń lub potrzebują określonych okien wyłączenia (blackout windows), należy użyć zaplanowanych wdrożeń poprawek w UMC zamiast trybu w pełni automatycznego.

Hotpatching eliminuje potrzebę ponownego uruchamiania dla większości comiesięcznych aktualizacji zabezpieczeń na obsługiwanych obrazach Azure systemu Windows Server Azure Edition. Obsługiwane wersje systemu operacyjnego obejmują Windows Server 2022 Datacenter: Azure Edition i nowsze wydania Azure Edition. Model serwisowania przeplata miesiące bazowe (baseline months) i miesiące z poprawkami hotpatch (hotpatch months). Miesiąc bazowy dostarcza aktualizację zbiorczą, która ustanawia nową linię bazową (baseline) i wymaga jednego ponownego uruchomienia; kolejne miesiące z poprawkami hotpatch stosują poprawki w pamięci bez ponownego uruchamiania, co znacznie skraca przestoje. Planuj prace konserwacyjne w oparciu o miesiące bazowe i użyj UMC lub zasad, aby zapewnić zastosowanie co najmniej jednej linii bazowej na cykl w celu uwzględnienia zmian, których nie można zastosować za pomocą hotpatch.

← Szyfrowanie · Wszystkie domeny · Hyper-V →

Przećwicz te pytania → · Testy na czas na ExamRoll.io →

Przeglądaj Microsoft →