Patch-Verwaltung
Verstehe, wie octoja Betriebssystem-Updates ausrollt — mit Patch-Richtlinien, Bereitstellungsringen, Wartungsfenstern und Patch-Zyklen.
octoja hält die Betriebssysteme deiner verwalteten Geräte aktuell. Statt jedes Update auf einmal an jedes Gerät zu schieben, rollst du Updates in kontrollierten Stufen aus, prüfst, was installiert wird, und lässt gesunde Rollouts von selbst weiterlaufen. Du beschreibst den Rollout einmal in einer Patch-Richtlinie; octoja erzeugt die Arbeit und installiert nur, was du genehmigst. Die Patch-Verwaltung deckt Windows und macOS ab.
Die Bausteine
Ein Rollout besteht aus vier Teilen.
Wie ein Rollout abläuft
- Du erstellst eine Richtlinie, teilst ihre Geräte in Ringe auf und gibst jedem Ring ein Wartungsfenster.
- octoja erzeugt für jeden Ring nach Zeitplan einen Patch-Zyklus und listet jedes ausstehende Update als Ausstehende Prüfung.
- Du entscheidest über jedes Update — Genehmigen, Ablehnen oder Zurückstellen — und schließt den Zyklus ab.
- Wenn das Wartungsfenster öffnet, installiert der Agent die genehmigten Updates und meldet das Ergebnis jedes einzelnen.
- Ist die automatische Weiterleitung aktiv und der Ring-Rollout gesund, rücken dieselben Updates automatisch in den nächsten Ring vor.
Wie Ringe auswählen, welche Geräte sie patchen
Jeder Ring hat Regeln, die festlegen, welche Geräte zu ihm gehören. Ein Gerät wird von jedem Ring gepatcht, dessen Regeln es erfüllt — octoja ordnet es dir nicht automatisch nur einem einzigen Ring zu. Gib daher jedem Ring eine eigene, klar abgegrenzte Gerätemenge (zum Beispiel per Tag, Gruppe oder Betriebssystem), sodass jedes Gerät in genau einen Ring fällt. Ein Gerät, das zwei Ringe erfüllt, wird von beiden gepatcht.
Ringe haben eine Reihenfolge, und diese Reihenfolge ist die Rollout-Abfolge: Der erste Ring — dein Pilot — installiert zuerst, dann jeder weitere Ring nacheinander. Die Weiterleitung, ob automatisch oder manuell, schiebt Updates immer von einem Ring zum nächsthöheren.
Die Staffelung ist optional. Deaktiviere Bereitstellungsringe verwenden, damit alle von der Richtlinie erfassten Geräte gemeinsam nach einem Zeitplan, in einem Wartungsfenster und mit einem Neustartverhalten gepatcht werden.
Eine Einstellung setzt sich über die Ring-Zugehörigkeit hinweg: Ein Gerät im Wartungsmodus mit pausierten Patches erhält für diese Dauer überhaupt keine Updates — unabhängig davon, welche Ringe auf es zutreffen.
Hinweis: Der Update-Katalog zeigt jedes Gerät unter einem einzigen Ring an, damit die Zählungen pro Ring lesbar bleiben — selbst wenn die Regeln eines Geräts mehrere Ringe überschneiden. Diese Anzeige ändert nichts daran, welche Ringe das Gerät tatsächlich patchen.
Der Lebenszyklus eines Patch-Zyklus
Ein Patch-Zyklus durchläuft eine feste Abfolge von Zuständen.
octoja gleicht offene reguläre Zyklen einmal pro Stunde mit den ausstehenden Updates ihrer Geräte ab. Neue Updates können bei Manueller Freigabe als Ausstehende Prüfung hinzukommen, ohne einen bereits genehmigten Zyklus auf Entwurf zurückzusetzen. Seine bisherigen Entscheidungen und sein geplanter Start bleiben erhalten; neu hinzugekommene, ungeprüfte Updates sind dadurch nicht genehmigt. Richtlinien mit Automatischer Freigabe entscheiden anhand ihrer Regeln über neue Updates. Notfallzyklen behalten ihre ausdrücklich ausgewählte Update-Liste.
Ein Zyklus, der am Ende seines Wartungsfensters noch Entwurf ist, wird Verpasst und installiert nichts. Ein verpasster Zyklus wird nicht erneut versucht: Der Ring macht beim nächsten geplanten Wartungsfenster weiter, sodass noch ausstehende Updates im darauffolgenden Zyklus erscheinen. Nur bei Manueller Freigabe kannst du einen genehmigten Zyklus wieder in den Entwurf zurückversetzen. Bei Automatischer Freigabe bestimmen die Regeln die Entscheidungen.
Automatische Weiterleitung zwischen Ringen
Die automatische Weiterleitung schiebt Updates automatisch in den nächsten Ring, sobald der Rollout des aktuellen Rings gesund aussieht — so genehmigst du einmal, und ein guter Rollout läuft ohne weitere Klicks weiter. Vor der Weiterleitung muss der Ring die von dir gesetzte Schwelle erreichen: eine Mindest-Erfolgsrate, eine Mindestanzahl an Geräten, die ein Ergebnis gemeldet haben, und optional gar keine Fehler. Die Schwelle wird pro Betriebssystem unabhängig geprüft, sodass ein gesunder Windows-Rollout nicht durch macOS-Ergebnisse aufgehalten wird und umgekehrt.
Wartungsfenster und Zeitzonen
Ein Wartungsfenster ist ein Zeitplan plus eine Dauer — standardmäßig vier Stunden. Ein Zeitplan kann dem Kalender folgen oder dem Veröffentlichungsrhythmus von Microsoft: Wähle die Vorlage Patch Tuesday um 02:00 und setze dann Tage nach dem Referenz-Dienstag, um einen Ring gegenüber diesem Ankerpunkt zu verschieben. So baust du einen Piloten am Tag selbst und den nächsten Ring eine Woche später.
Fenster werden in der Zeitzone der Richtlinie ausgewertet und können über Mitternacht hinausreichen. Kennt ein Gerät die Zeitzone der Richtlinie nicht, greift es auf seine eigene lokale Zeit zurück — sein Fenster kann sich dann zu einer anderen Uhrzeit öffnen, als der Zeitplan angibt.
Wähle beim Erstellen einer Richtlinie die Zeitzone, auch wenn du eine Vorlage verwendest. Die Auswahl schlägt zunächst die Browser-Zeitzone vor. Im Richtlinieneditor kannst du sie ändern; das Speichern anderer Einstellungen ersetzt die gespeicherte Zone nicht unbemerkt durch die aktuelle Browser-Zeitzone.
Das Neustartverhalten gehört zum Ring: Er legt fest, ob octoja ein Gerät neu starten darf, wenn ein Update das verlangt, wie viele Neustarts ein Durchlauf verbrauchen darf und wie oft ein angemeldeter Benutzer diesen Neustart verschieben darf. Hinweise zu Wartezeiten und zum Abschluss bereits gestarteter Vorgänge findest du in der Einrichtungsanleitung.
Der Ausführungsablauf ist für alle Patch-Zyklen standardmäßig aktiv, ohne Beta-Schalter. Während einer aktiven Ausführung unterdrückt octoja automatisch Alarme, ohne Checks oder andere Arbeiten zu pausieren. Das ist unabhängig von einer manuell gesetzten Wartung mit pausierten Patches.
Ein Ring mit der Einstellung Nur manuell ausführen (kein Zeitplan) erzeugt keine Zyklen von selbst — du patchst ihn über einen Notfallzyklus oder indem du Updates aus einem früheren Ring hineinschiebst.
Windows und macOS gemeinsam
Eine einzige Richtlinie patcht einen gemischten Windows- und macOS-Bestand. octoja ermittelt das Betriebssystem jedes Geräts und sendet ihm nur seine eigenen Updates, sodass ein Ring und ein Zyklus beide abdecken. Linux-Geräte werden von der Patch-Verwaltung nicht gepatcht.
Solange eine Patch-Richtlinie ein Windows-Gerät erfasst, unterdrückt der Agent die automatischen Windows-Updates auch zwischen Wartungsfenstern. Das ist unabhängig davon, ob du zusätzlich die Windows-Update-Oberfläche sperrst. Bei einer Verbindungsunterbrechung gilt der zuletzt empfangene Zustand weiter. Erst wenn der Agent erfolgreich erkennt, dass keine Richtlinie das Gerät mehr erfasst, gibt er die Update-Steuerung zurück.
Ein bestimmtes Update fernhalten
Manchmal soll ein Update nicht installiert werden — ein fehlerhafter Treiber oder ein problematisches Update, das du noch zurückhalten möchtest. Innerhalb einer Richtlinie kannst du es ausschließen (nach Update, KB-Nummer oder Kategorie). Eine globale Sperre arbeitet mit der KB-Nummer und deckt damit Windows-Updates ab: Eine gesperrte KB erreicht in der gesamten Instanz kein Gerät und wird auch nicht in einen späteren Ring weitergeleitet. Gib einer Sperre ein Enddatum, hebt sie sich mit Ablauf dieses Datums von selbst auf; lässt du das Datum leer, gilt sie, bis du sie entfernst. Für macOS übernimmt eine Ausnahme in der Richtlinie dieselbe Aufgabe.
Eine Richtlinie kann Updates auch von sich aus zurückhalten. Aktiviere Updates mit bekannten Problemen ausschließen, und octoja hält jedes Update zurück, zu dem gerade eine aktive Problemmeldung vorliegt — ein ungelöstes Microsoft-Problem, eine rote oder gelbe Community-Meldung oder Meldungen von anderen octoja-Nutzern. Sobald das Problem behoben ist, wird das Update von selbst wieder ausgeliefert.
Ausnahmen, Sperren und Rückhalte wegen bekannter Probleme greifen alle in dem Moment, in dem Updates an ein Gerät übergeben werden — selbst wenn ein Zyklus sie bereits genehmigt hat.
Sehen, was passiert ist
Der Update-Katalog zeigt jedes Update, das in deinem Bestand gesehen wurde, und wie weit es durch die Ringe vorgerückt ist — wie viele Geräte es erfolgreich installiert, wie viele es nicht geschafft und wie viele es verpasst haben. Er markiert außerdem die Updates, die einen zweiten Blick verdienen: die von dir gesperrten und die mit einem bekannten Problem.
Jeder Zyklus hat eine Ergebnisansicht mit dem Ergebnis pro Gerät, einschließlich Neustarts und gemeldeter Fehler. In einem Windows-Durchlauf trägt jedes Update zusätzlich eine Zeile Auswahl, die begründet, warum es installiert oder ausgelassen wurde — daneben stehen die erfüllten Regeln, die zutreffenden Ausnahmen und gesperrte KBs.
Berechtigungen
Die Patch-Verwaltung nutzt vier Berechtigungen, die pro Gruppe unter Administration → Gruppen vergeben werden: