So funktioniert die Patch-Verwaltung
Patch-Richtlinien, Ringe, Zyklen und optionale Alarmunterdrückung beim Patchen verstehen.
octoja hält die Betriebssysteme deiner verwalteten Geräte aktuell. Statt jedes Update auf einmal an jedes Gerät zu schieben, rollst du Updates in kontrollierten Stufen aus, prüfst, was installiert wird, und übernimmst Freigaben aus erfolgreichen Rollouts in den nächsten Ring. Du beschreibst den Rollout einmal in einer Patch-Richtlinie; octoja erzeugt die Arbeit und installiert nur, was du genehmigst. Die Patch-Verwaltung deckt Windows und macOS ab.
Die Bausteine
Ein Rollout besteht aus vier Teilen.
Wie ein Rollout abläuft
- Du erstellst eine Richtlinie, teilst ihre Geräte in Ringe auf und gibst jedem Ring ein Wartungsfenster.
- octoja erzeugt für jeden Ring nach Zeitplan einen Patch-Zyklus und listet jedes ausstehende Update als Ausstehende Prüfung.
- Du entscheidest über jedes Update — Genehmigen, Ablehnen oder Zurückstellen — und schließt den Zyklus ab. Bei Automatischer Freigabe entscheidet octoja anhand der Richtlinienregeln und legt die geplanten Zyklen bereits genehmigt an.
- Wenn das Wartungsfenster öffnet, installiert der Agent die genehmigten Updates und meldet das Ergebnis jedes einzelnen.
- Ist die automatische Weiterleitung aktiv und erfüllt der abgeschlossene Ring-Rollout ihre Bedingungen, werden seine Update-Freigaben in einen Entwurf des nächsten Rings übernommen. Prüfe den Zielzyklus und klicke auf Zyklus abschliessen, bevor er installieren kann.
Wie Ringe auswählen, welche Geräte sie patchen
Jeder Ring hat Regeln, die festlegen, welche Geräte zu ihm gehören. Ein Gerät wird von jedem Ring gepatcht, dessen Regeln es erfüllt — octoja ordnet es dir nicht automatisch nur einem einzigen Ring zu. Gib daher jedem Ring eine eigene, klar abgegrenzte Gerätemenge (zum Beispiel per Tag, Gruppe oder Betriebssystem), sodass jedes Gerät in genau einen Ring fällt. Ein Gerät, das zwei Ringe erfüllt, wird von beiden gepatcht.
Die Reihenfolge der Ringe bestimmt das Ziel der automatischen oder manuellen Weiterleitung: den jeweils nächsthöheren Ring. Jeder Ring erzeugt seine Zyklen nach einem eigenen Zeitplan. Ein genehmigter Zyklus startet in seinem Wartungsfenster, auch wenn der vorherige Ring noch nicht abgeschlossen ist oder Fehler gemeldet hat. Bei Automatischer Freigabe gilt das für alle Ringe unabhängig. Soll ein späterer Ring erst nach einem erfolgreichen Piloten laufen, wähle Manuelle Freigabe, plane seine Fenster später und schließe seinen Zyklus erst nach Prüfung der Pilot-Ergebnisse ab.
Die Staffelung ist optional. Deaktiviere Bereitstellungsringe verwenden, damit alle von der Richtlinie erfassten Geräte gemeinsam nach einem Zeitplan, in einem Wartungsfenster und mit einem Neustartverhalten gepatcht werden.
Eine Einstellung setzt sich über die Ring-Zugehörigkeit hinweg: Ein Gerät im Wartungsmodus mit pausierten Patches erhält für diese Dauer überhaupt keine Updates — unabhängig davon, welche Ringe auf es zutreffen.
Hinweis: Der Update-Katalog zeigt jedes Gerät unter einem einzigen Ring an, damit die Zählungen pro Ring lesbar bleiben — selbst wenn die Regeln eines Geräts mehrere Ringe überschneiden. Diese Anzeige ändert nichts daran, welche Ringe das Gerät tatsächlich patchen.
Der Lebenszyklus eines Patch-Zyklus
Ein Patch-Zyklus durchläuft eine feste Abfolge von Zuständen.
octoja gleicht offene reguläre Zyklen einmal pro Stunde mit den ausstehenden Updates ihrer Geräte ab. Neue Updates können bei Manueller Freigabe als Ausstehende Prüfung hinzukommen, ohne einen bereits genehmigten Zyklus auf Entwurf zurückzusetzen. Seine bisherigen Entscheidungen und sein geplanter Start bleiben erhalten; neu hinzugekommene, ungeprüfte Updates sind dadurch nicht genehmigt. Richtlinien mit Automatischer Freigabe entscheiden anhand ihrer Regeln über neue Updates. Notfallzyklen behalten ihre ausdrücklich ausgewählte Update-Liste.
Ein Zyklus, der am Ende seines Wartungsfensters noch Entwurf ist, wird Verpasst und installiert nichts. Ein verpasster Zyklus wird nicht erneut versucht: Der Ring macht beim nächsten geplanten Wartungsfenster weiter, sodass noch ausstehende Updates im darauffolgenden Zyklus erscheinen. Nur bei Manueller Freigabe kannst du einen genehmigten Zyklus wieder in den Entwurf zurückversetzen. Bei Automatischer Freigabe bestimmen die Regeln die Entscheidungen.
Automatische Weiterleitung zwischen Ringen
Nach Abschluss eines Zyklus übernimmt die automatische Weiterleitung dessen Update-Freigaben in einen Entwurf des nächsten Rings, wenn die Bedingungen erfüllt sind. Sie genehmigt den Zielzyklus nicht. Entscheide dort über alle übrigen Updates mit Ausstehende Prüfung und klicke auf Zyklus abschliessen. Das gilt auch für einen durch Weiterleitung angelegten Entwurf in einer Richtlinie mit Automatischer Freigabe. Wenn noch kein Zielentwurf existiert, muss der nächste Ring einen Zeitplan haben, damit octoja ihn anlegen kann.
Vor der Weiterleitung muss der Ring die von dir gesetzte Schwelle erreichen: eine Mindest-Erfolgsrate, eine Mindestanzahl an Geräten, die ein Ergebnis gemeldet haben, und optional gar keine Fehler. Die Schwelle wird pro Betriebssystem unabhängig geprüft, sodass ein gesunder Windows-Rollout nicht durch macOS-Ergebnisse aufgehalten wird und umgekehrt.
Wartungsfenster und Zeitzonen
Ein Wartungsfenster ist ein Zeitplan plus eine Dauer — standardmäßig vier Stunden. Ein Zeitplan kann dem Kalender folgen oder dem Veröffentlichungsrhythmus von Microsoft: Wähle die Vorlage Patch Tuesday um 02:00 und setze dann Tage nach dem Referenz-Dienstag, um einen Ring gegenüber diesem Ankerpunkt zu verschieben. So baust du einen Piloten am Tag selbst und den nächsten Ring eine Woche später.
Fenster werden in der Zeitzone der Richtlinie ausgewertet und können über Mitternacht hinausreichen. Kennt ein Gerät die Zeitzone der Richtlinie nicht, greift es auf seine eigene lokale Zeit zurück — sein Fenster kann sich dann zu einer anderen Uhrzeit öffnen, als der Zeitplan angibt.
Wähle beim Erstellen einer Richtlinie die Zeitzone, auch wenn du eine Vorlage verwendest. Die Auswahl schlägt zunächst die Browser-Zeitzone vor. Im Richtlinieneditor kannst du sie ändern; das Speichern anderer Einstellungen ersetzt die gespeicherte Zone nicht unbemerkt durch die aktuelle Browser-Zeitzone.
Das Neustartverhalten gehört zum Ring: Er legt fest, ob octoja ein Gerät neu starten darf, wenn ein Update das verlangt, wie viele Neustarts ein Durchlauf verbrauchen darf und wie oft ein angemeldeter Benutzer diesen Neustart verschieben darf. Hinweise zu Wartezeiten und zum Abschluss bereits gestarteter Vorgänge findest du in der Einrichtungsanleitung.
Mit Automatischer Wartungsmodus kann eine Richtlinie während der Patch-Ausführung Alarme unterdrücken, höchstens bis zum Ende des Patch-Fensters. Die Option ist standardmäßig aus. Sie pausiert weder Checks noch Patches und lässt andere Wartungsfenster unverändert. Eine separat gesetzte Wartung mit pausierten Patches gilt weiterhin.
Ein Ring mit der Einstellung Nur manuell ausführen (kein Zeitplan) erzeugt keine Zyklen von selbst — du patchst ihn über einen Notfallzyklus oder indem du Updates aus einem früheren Ring hineinschiebst.
Windows und macOS gemeinsam
Eine einzige Richtlinie patcht einen gemischten Windows- und macOS-Bestand. octoja ermittelt das Betriebssystem jedes Geräts und sendet ihm nur seine eigenen Updates, sodass ein Ring und ein Zyklus beide abdecken. Linux-Geräte werden von der Patch-Verwaltung nicht gepatcht.
Solange eine Patch-Richtlinie ein Windows-Gerät erfasst, unterdrückt der Agent die automatischen Windows-Updates auch zwischen Wartungsfenstern. Das ist unabhängig davon, ob du zusätzlich die Windows-Update-Oberfläche sperrst. Bei einer Verbindungsunterbrechung gilt der zuletzt empfangene Zustand weiter. Erst wenn der Agent erfolgreich erkennt, dass keine Richtlinie das Gerät mehr erfasst, gibt er die Update-Steuerung zurück.
Ein bestimmtes Update fernhalten
Manchmal soll ein Update nicht installiert werden — ein fehlerhafter Treiber oder ein problematisches Update, das du noch zurückhalten möchtest. Innerhalb einer Richtlinie kannst du es ausschließen (nach Update, KB-Nummer oder Kategorie). Eine globale Sperre arbeitet mit der KB-Nummer und deckt damit Windows-Updates ab: Eine gesperrte KB erreicht in der gesamten Instanz kein Gerät und wird auch nicht in einen späteren Ring weitergeleitet. Gib einer Sperre ein Enddatum, hebt sie sich mit Ablauf dieses Datums von selbst auf; lässt du das Datum leer, gilt sie, bis du sie entfernst. Für macOS übernimmt eine Ausnahme in der Richtlinie dieselbe Aufgabe.
Eine Richtlinie kann Updates auch von sich aus zurückhalten. Aktiviere Updates mit bekannten Problemen ausschließen, und octoja hält jedes Update zurück, zu dem gerade eine aktive Problemmeldung vorliegt — ein ungelöstes Microsoft-Problem, eine rote oder gelbe Community-Meldung oder Meldungen von anderen octoja-Nutzern. Sobald das Problem behoben ist, wird das Update von selbst wieder ausgeliefert.
Ausnahmen, Sperren und Rückhalte wegen bekannter Probleme greifen alle in dem Moment, in dem Updates an ein Gerät übergeben werden — selbst wenn ein Zyklus sie bereits genehmigt hat.
Sehen, was passiert ist
Der Update-Katalog zeigt jedes Update, das in deinem Bestand gesehen wurde, und wie weit es durch die Ringe vorgerückt ist — wie viele Geräte es erfolgreich installiert, wie viele es nicht geschafft und wie viele es verpasst haben. Er markiert außerdem die Updates, die einen zweiten Blick verdienen: die von dir gesperrten und die mit einem bekannten Problem.
Jeder Zyklus hat eine Ergebnisansicht mit dem Ergebnis pro Gerät, einschließlich Neustarts und gemeldeter Fehler. In einem Windows-Durchlauf trägt jedes Update zusätzlich eine Zeile Auswahl, die begründet, warum es installiert oder ausgelassen wurde — daneben stehen die erfüllten Regeln, die zutreffenden Ausnahmen und gesperrte KBs.
Berechtigungen
Die Patch-Verwaltung nutzt vier Berechtigungen, die pro Gruppe unter Administration → Gruppen vergeben werden:
FAQ
Kann ich den Windows-Update-Dienst deaktivieren, wenn octoja die Updates verwaltet?
Kann ich den Windows-Update-Dienst deaktivieren, wenn octoja die Updates verwaltet?
Nein. octoja nutzt den Windows Update Agent, um Windows-Updates zu suchen, herunterzuladen und zu installieren. Deaktiviere den Windows-Dienst Windows Update (wuauserv) deshalb nicht. octoja ersetzt die Windows-Update-Komponenten nicht durch einen eigenen Installer.
Die Unterdrückung automatischer Windows-Updates durch eine Patch-Richtlinie ist davon getrennt: Sie steuert das automatische Update-Verhalten, ist aber keine Aufforderung, den benötigten Dienst abzuschalten. Nutze dafür die Patch-Richtlinie.
Werden vorab heruntergeladene Windows-Updates immer erneut heruntergeladen?
Werden vorab heruntergeladene Windows-Updates immer erneut heruntergeladen?
octoja übergibt den Download an den Windows Update Agent und prüft danach, ob das Update zur Installation heruntergeladen ist. Daraus folgt weder, dass jedes Update erneut vollständig übertragen wird, noch dass ein vorhandener Download immer wiederverwendet wird. Ein separater Vorabdownload garantiert deshalb keine kürzere Patch-Dauer oder geringeren Datenverkehr.
Verwandte Artikel
War dies hilfreich?
Brauchen Sie noch Hilfe? Team fragen