Do not allow update deferral policies to cause scans against windows update перевод
Microsoft принудительно переведет пользователей на новую версию Windows 10
Компьютеры под управлением ОС Windows 10 версий 1809 и 1903 будут принудительно обновлены до сборки 2004. Она вышла в конце мая 2020 г. и содержит в себе множество нововведений, но и без недочетов не обошлось. Принудительный апдейт связан с тем, что Microsoft готовится к прекращению техподдержки версий 1809 и 1903 в IV квартале 2020 г.
Апдейт по указке
Корпорация Microsoft инициировала перевод компьютеров под управлением ряда старых версий Windows 10 на более новую сборку. Обновление носит принудительный характер, и для определения, что на ПК пользователя установлена определенная версия сборки, Microsoft использует искусственный интеллект (ИИ).
Все устаревшие версии Windows 10, по данным портала Windows Latest, в ближайшем будущем (точные сроки не оговорены) будут обновлены до 2004, также известную как May 2020 Update. По состоянию на 27 июля 2020 г. Это была самая актуальная версия Windows 10, доступная для широкого круга пользователей.
В первую очередь обновление затронет те версии Windows 10, поддержка которых истекает в обозримом будущем. В частности, срок поддержки сборки 1809, вышедшей осенью 2018 г., заканчивается в ноябре 2020 г., а 1903 образца весны 2019 г. – месяцем позже.
Речь идет пока лишь только о пользовательских версиях системы – модификации 1809 и 1903 для корпораций (Enterprise) и образовательных учреждений (Education) Microsoft будет поддерживать до мая 2021 г.
Чем грозит прекращение техподдержки
Поддержка различных сборок одной операционной системы в случае Microsoft означает выпуск для них патчей безопасности, устраняющих те или иные обнаруженные в системе уязвимости или привносящие в нее новые механизмы защиты от атак.
Прекращение техподдержки приведет к тому, что такие пакеты обновлений старые версии сборок получать перестанут.
Принудительное обновление – норма
Для Microsoft перевод ПК на базе сборок 1809 и 1903 до версии 2004 не будет первым опытом по принудительному апдейту компьютеров пользователей. Подобный способ она применяла в середине 2019 г., заставив пользователей версий 1709 и 1803 обновить Windows 10 до 1903.
В целом, принудительное обновление Microsoft использует практически с момента появления первой стабильной версии Windows 10 в конце июля 2015 г. Как сообщал CNews, в октябре 2015 г. пользователи Windows 7 и 8 стали массово жаловаться на несанкционированное обновление до Windows 10. По их словам, установка операционной системы началась самопроизвольно, при этом они ничего не делали для этого специально.
Microsoft не только без спроса загружала на компьютеры пользователей установочные файлы Windows 10, но и без разрешения исполняла их, запуская, таким образом, процесс обновления до Windows 10. Так происходило потому, что в центре обновления Windows запуск загруженных установочных файлов этой ОС выбран по умолчанию.
Вследствие этого, соглашаясь с обновлением текущей версии Windows 7 или 8 (например, с установкой патчей для устранения уязвимостей), пользователь непреднамеренно соглашался и с обновлением до Windows 10, так как он не был в курсе о том, что в разделе опциональных обновлений этот пункт выбран по умолчанию.
Позже Microsoft призналась, что ее сотрудники допустили ошибку, настроив запуск установочных файлов Windows 10 по умолчанию.
Не самый стабильный апдейт
Версия 2004 ОС Windows 10, несмотря на то, что она вышла спустя практически пять лет с момента запуска самой системы, не может считаться стабильной. Ее распространение началось в конце мая 2020 г, и установка ее приводила к ряду проблем с работой аппаратных компонентов компьютеров – пользователи жаловались на сбои при воспроизведении звука и даже невозможность подключения к ноутбуку или ПК более одного устройства по Bluetooth.
В некоторых случаях установка Windows 10 2004 приводила к некорректной работе драйверов видеоподсистемы, в результате чего на экране появлялись «артефакты» в виде линий. Также в этой сборке присутствует баг, о котором CNews сообщал еще в начале июня 2020 г. Он может приводить к сбоям в работе принтеров, подключаемых к компьютеру через порт USB. Баг может проявляться при выключении питания принтера или отсоединении его от ПК в процессе завершения работы последнего. В этом случае при последующей загрузке операционной системе USB-порт, к которому было присоединено «некорректно» отключенное печатающее устройство, окажется недоступным. Он исчезнет из списка доступных для подключения принтера, а Windows не сможет выполнять какие-либо операции с использованием данного порта.
Данный сбой затрагивает все актуальные редакции и версии Windows 10, начиная с 1903, но Microsoft наличие этой проблемы признала.
Управление обновлениями функций и качества с помощью групповых политик Manage feature and quality updates with group policies
Применимо к: Windows10 Applies to: Windows 10
Обновление Windows для бизнеса позволяет пользователям контролировать, когда устройства должны получать обновления функций или качества из Обновления Windows. Windows Update for Business allows users to control when devices should receive a feature or quality update from Windows Update. В зависимости от размера организации может потребоваться развертывание обновлений по волне. Depending on the size of your organization you may want to do a wave deployment of updates. Первым шагом в этом процессе является определение уровня готовности ветви, на котором должна быть организация. The first step in this process is to determine which Branch Readiness Level you want your organization on. Дополнительные сведения о том, какой уровень является правильным для вашей организации, читайте в обзоре «Windows как услуга». For more information on which level is right for your organization review Overview of Windows as a service.
Следующие политики позволяет настроить, когда устройство должно видеть обновление функции и качества из Обновления Windows. The following policies let you configure when you want a device to see a feature and or quality update from Windows Update.
Обзор политики Policy overview
| Имя политики Policy name | Описание Description |
|---|---|
| Выберите, когда будут получены обновления качества Select when Quality Updates are received | Настраивает, когда устройство должно получать качественное обновление. Configures when the device should receive quality update. В этой политике также можно выбрать дату для приостановки получения обновлений качества до тех пор, пока. In this policy you can also select a date to pause receiving Quality Updates until. |
| Выберите, когда будут получены предварительные & обновления функций Select when Preview Builds & feature Updates are received | Настраивает, когда устройство должно получать обновление функций. Configures when the device should receive a feature update. Вы также можете настроить уровень готовности ветви. You can also configure your branch readiness level. Эта политика также позволяет «приостановить» обновления до определенной точки. This policy also provides the ability to «pause» updates until a certain point. |
| Не разрешайте политикам отсрочки обновления вызывать проверки в Отношении Обновления Windows Do not allow update deferral policies to cause scans against Windows Update | Если этот момент включен, политики отсрочки не позволят сканировать Обновления Windows. When enabled will not allow the deferral policies to cause scans against Windows Update. |
Рекомендуемая конфигурация для развертывания без волн Suggested configuration for a non-wave deployment
Если вам не требуется развертывание волн и вы можете управлять небольшим набором устройств, рекомендуется следующая конфигурация: If you don’t need a wave deployment and have a small set of devices to manage, we recommend the following configuration:
| Политика Policy | Расположение Location | Рекомендуемая конфигурация Suggested configuration |
|---|---|---|
| Выберите, когда будут получены обновления качества Select when Quality Updates are received | GPO: конфигурация компьютера > административные шаблоны > компоненты Windows > Windows > Windows Update for Business > Select when Quality Updates are received GPO: Computer Configuration > Administrative Templates > Windows Components > Windows Update > Windows Update for Business > Select when Quality Updates are received | Состояние: включено State: Enabled Отложить получение на это количество дней: 0 Defer receiving it for this many days: 0 Приостановка обновлений качества: пусто Pause Quality Updates: Blank *Note: use this functionality to prevent the device from receiving a quality update until the time passes *Note: use this functionality to prevent the device from receiving a quality update until the time passes |
| Выберите, когда будут получены предварительные & обновления функций Select when Preview Builds & feature Updates are received | GPO: конфигурация компьютера > Административные шаблоны > Компоненты Windows > Обновления Windows > Обновление Windows для бизнеса > Выберите, когда будут получены предварительные сборки и обновления компонентов GPO: Computer Configuration > Administrative Templates > Windows Components > Windows Update > Windows Update for Business > Select when Preview Builds and Feature Updates are received | Состояние: включено State: Enabled Выбор уровня готовности Windows: SAC Select Windows Readiness Level: SAC Отложить получение на это количество дней: 0–365 Defer receiving for this many days: 0-365 Приостановка обновлений функций: пусто Pause Feature Updates: Blank *Note: use this functionality to prevent the device from receiving a feature update until the time passes *Note: use this functionality to prevent the device from receiving a feature update until the time passes |
| Не разрешайте политикам отсрочки обновления вызывать проверки в Отношении Обновления Windows Do not allow update deferral policies to cause scans against Windows Update | GPO: конфигурация компьютера > административные шаблоны > компоненты Windows > Обновления Windows > Не разрешайте политики отсрочки обновления, чтобы вызвать проверку на обновление Windows GPO: Computer Configuration > Administrative Templates > Windows Components > Windows Update > Do not allow update deferral policies to cause scans against Windows Update | Состояние: отключено State: Disabled |
Рекомендуемая конфигурация для развертывания волн Suggested configuration for a wave deployment
Ранняя проверка и тестирование Early validation and testing
В зависимости от размера организации и требований вы можете протестировать обновления функций ранее, чтобы определить, есть ли влияние на бизнес-приложения. Depending on your organizational size and requirements you might be able to test feature updates earlier to identify if there are impacts to Line of Business applications. Мы зарегистрировать набор устройств, которые хорошо представлены в экосистеме устройств (например, устройства с программным обеспечением бухгалтерского учета или программным обеспечением). Our recommendation is to enroll a set of devices that are a good representation of your device ecosystem (for example, devices with accounting software or engineering software). Узнайте больше о различных кругах развертывания. Learn more about different deployment rings.
| Политика Policy | Расположение Location | Рекомендуемая конфигурация Suggested configuration |
|---|---|---|
| Выберите, когда будут получены предварительные & обновления функций Select when Preview Builds & feature Updates are received | GPO: конфигурация компьютера > Административные шаблоны > Компоненты Windows > Обновления Windows > Обновление Windows для бизнеса > Выберите, когда будут получены предварительные сборки и обновления компонентов GPO: Computer Configuration > Administrative Templates > Windows Components > Windows Update > Windows Update for Business > Select when Preview Builds and Feature Updates are received | Состояние: включено State: Enabled Выбор уровня готовности Windows: быстрая или медленная WIP WIP Select Windows Readiness Level: WIP Fast or WIP slow Отложить получение на это количество дней: 0 Defer receiving for this many days: 0 Приостановкаобновлений функций : пусто *Примечание. Используйте эту функцию, чтобы запретить устройству получать обновление функций до тех пор, пока не пройдет время. Pause Feature Updates: Blank *Note: use this functionality to prevent the device from receiving a feature update until the time passes. |
| Выберите, когда будут получены обновления качества Select when Quality Updates are received | GPO: конфигурация компьютера > административные шаблоны > компоненты Windows > Windows > Windows Update for Business > Select when Quality Updates are received GPO: Computer Configuration > Administrative Templates > Windows Components > Windows Update > Windows Update for Business > Select when Quality Updates are received | Состояние: включено State: Enabled Отложить получение на это количество дней: 0 Defer receiving it for this many days: 0 Приостановка обновлений качества: пусто Pause Quality Updates: Blank *Note: use this functionality to prevent the device from receiving a quality update until the time passes *Note: use this functionality to prevent the device from receiving a quality update until the time passes |
Развертывание волн для обновлений функций Wave deployment for feature updates
Если вы хотите развертывать обновления функций волнами, рекомендуем использовать следующую конфигурацию. If you want to deploy feature updates in waves we suggest using the following configuration. В течение отложенных дней рекомендуется использовать их с 1-месячной отсрочкой. For the deferral days we recommend staging them out in 1-month increments. Управляйте рисками, размещая критически важные устройства позже в волне (отсрочки > 30 или 60 дней) и размещая устройства с низким уровнем риска ранее в волне (отсрочки Manage your risk by placing critical devices later in the wave (deferrals > 30 or 60 days) while placing your low risk devices earlier in the wave (deferrals Использование дней отсрочки — отличный способ управления развертыванием волн. Using deferrals days is a great method to manage your wave deployment. Использование этого в сочетании с рекомендуемой ранней проверкой поможет вам подготовить среду к обновлению последних версий Windows. Using this in combination with our suggested early validation will help you prepare your environment for the latest updates from Windows.
Эффект Dual Scan в Windows 10 и проблемы обновления со WSUS
Лично для меня было открытием, что в некоторых случаях компьютеры с Wiindows 10 могут не получать обновления со внутреннего WSUS сервера, вместо этого обращаясь в Интернет к серверам обновления Microsoft, хотя WSUS сервер для клиентов жестко установлен стандартной групповой политикой. Данная проблема связан с термином Dual Scan (не встречал на русском расшифровку термина, пусть это будет двойное сканирование).
Понятие Dual Scan представляет собой такую комбинацию настроек в Windows 10 1607 и выше, при которой клиенты начинают игнорировать настройки локального WSUS сервера, параллельно обращаясь для сканирования на наличие новых обновлений на внешние сервера Windows Update. Первые обращения с подобными проблемами были еще в мае 2017 года.
Сканирование обновлений выполняется одновременно и на WSUS сервере и на серверах WU, однако клиент принимает апдейты только от серверов WU. Таким образом, все обновления/патчи с локального WSUS, относящиеся к категории Windows будут игнорироваться такими клиентами. Т.е. обновления Windows в таком режиме получаются из интернета, а обновления драйверов и других продуктов со WSUS.
В моем случае на проблемном клиенте, в разделе Computer Configuration\Administrative Templates\Windows Components\Windows Update были включены две стандартные политики для обновления ПК со внутреннего WSUS:
При такой комбинации настроек клиенты перестают получать обновления Windows со внутреннего WSUS сервера.
Таким образом, ситуация Dual Scan возникает при следующих комбинациях политик (или эквивалентных ключей реестра или настроек на клиентах Windows 10):
Чтобы исключить ситуацию с Dual Scan, а клиенты выполняли поиск обновлений Windows только на внутреннем WSUS сервере, нужно включить политику Do not allow update deferral policies to cause scans against Windows Update в разделе Computer Configuration\Administrative Templates\Windows Components\Windows Update.
Данная политика присутствует в Windows 10 1607, однако в Windows 10 версии 1703 ее по умолчанию нет. Чтобы данная настройка GPO появилась, нужно установить обновление KB4034658 от 8 августа 2017.
Как открыть редактор локальных групповых политик gpedit.msc в Windows 10 Home
Для чего необходимы групповые политики
Говоря простым языком, Групповая политика — это инструмент архитектуры Active Directory, который позволяет управлять настройками серверов и рабочих терминалов, подключенных к домену, централизованно. Также, с помощью групповых политик достаточно просто распространить программное обеспечение. Администратор может указать политики для группы в одном месте, а затем применить их к целевой группе пользователей.
Во многих компаниях, как правило, применяется деление на отделы: отдел кадров, бухгалтерия, юристы, отдел системного администрирования. Предположим, что каждому отделу необходим собственный минимальный набор программного обеспечения, а рабочие станции должны быть настроены для конкретных нужд и под конкретные задачи. Благодаря групповым политикам появляется возможность создать настройки для конкретных групп пользователей в домене. При помощи Active Directory GPO администратор может устанавливать и управлять стандартизированными наборами настроек, конкретно для бухгалтерии или отдела кадров.
Настроить рабочие места (компьютеров и пользователей) проще и эффективнее потому что расположены по тому что располагаются централизованно и требуют дублирования на каждом ПК.
Политика установки обновлений WSUS для рабочих станций
Мы предполагаем, что обновления на клиентские рабочие станции, в отличии от серверной политики, будут устанавливаться автоматически ночью сразу после получения обновлений. Компьютеры после установки обновлений должны перезагружаться автоматически (предупреждая пользователя за 5 минут).
В данной GPO (WorkstationWSUSPolicy) мы указываем:
В Windows 10 1607 и выше, несмотря на то, что вы указали им получать обновления с внутреннего WSUS, все еще могут пытаться обращаться к серверам Windows Update в интернете. Эта «фича» называется Dual Scan. Для отключения получения обновлений из интернета нужно дополнительно включать политику Do not allow update deferral policies to cause scans against Windows Update (ссылка).
Компоненты GPO
Выделяют два компонента групповых политик — клиентский и серверный, т.е. формируется структура “клиент-сервер”.
Серверный компонент представляет оснастка MMC (Microsoft Management Console), предназначенная для настройки групповой политики. MMC можно использовать для создания политик, а также для контроля и управления административными шаблонами, настройками безопасности (установка ПО, скрипты и т.п.). Обобщенное название “возможностей” называется расширением. Каждое расширение может иметь дочернее расширение, которое разрешает добавление новых или удаление старых компонентов, а также их обновление.
Клиентский компонент получает и применяет настройки групповой политики. Клиентские расширения являются компонентами запускаемыми на клиентской ОС, которые отвечают за интерпретацию и обработку объектов групповой политики.
Для администрирования GPO используют оснастки MMC — Group Policy Management Console (GPMC) и Group Policy Management Editor.
Сценарии использования Active Directory GPO:
Оснастка управления групповыми политиками
Сперва следует установить роль сервера Active Directory Domain Service (AD DS) на контроллер домена. После этого будет доступна оснастка Group Policy Management, для ее запуска вызываем окно “Выполнить” (Windows + R). В открывшемся окне вводим команду:
И нажимаем “OK”.
Возможно оснастка не сможет открыться т.к. не была установлена ранее. Исправим это.
1. Открываем диспетчер серверов и выбираем установку ролей и компонентов.
2. На этапе выбора типа установки, отметим параметр “Установка ролей и компонентов”. Кликаем по кнопке “Далее”.
3. Так как установка выполняется для текущего сервера — нажимаем “Далее”.
4. Установку серверных ролей пропускаем нажатием на кнопку “Далее”.
5. На этапе выбора компонентов отметим галкой “Управление групповой политикой”. Кликаем по кнопке “Далее”.
Завершаем установку компонентов как обычно.
Окно оснастки управления групповой политикой выглядит так:
С помощью командной строки
Начнем с командной строки. Наведите курсор на кнопку «Пуск», после чего нажмите на правую клавишу мыши — появится меню. В этом меню достаточно один раз кликнуть ЛКМ по строке «Командная строка».
Подсказка: то же самое меню можно вызвать, нажав на клавиши Win+X на клавиатуре.
Командная строка открыта, вам нужно ввести команду gpedit.msc и нажать клавишу Enter.
Создание объектов групповой политики
Добавим новый объект групповой политики. В левой части, проследуем по пути: Лес → Домены → → Объекты групповой политики.
В правой части окна, кликаем правой кнопкой мыши в свободном месте. В открывшемся контекстном меню, выбираем “Создать”.
В открывшемся окне, вводим имя новой политики. Нажимаем “OK”.
Добавленный объект появится в общем списке:
Policy Plus
Есть утилита, создающая графический интерфейс редактора в любой из версий Windows 10. Называется она Police Plus и скачивается вот здесь (https://github.com/Fleex255/PolicyPlus). Пролистайте страницу до конца и кликните по активной ссылке «Download a Debug build».
Запускайте exe-файл, соглашайтесь на продолжение (в случае возникновения ошибки) – и работайте в интерфейсе локальных политик. Главный недостаток утилиты – она полностью на английском языке.
Настроим созданный объект
Для настройки нового объекта кликаем по нему правой кнопкой мыши. В контектстном меню выбираем “Изменить”.
Откроется окно редактора управления групповыми политиками. Займемся “полезным” делом — удалим папку со стандартными играми из меню Пуск. Для этого, в меню слева проследуем по пути Конфигурация пользователя Конфигурация пользователя → Политики → Административные шаблоны: получены определения политик (ADMX-файлы) с локального компьютера → Меню “Пуск” и панель задач.
В правой части окна найдем параметр “Удалить ссылку “Игры” из меню “Пуск””. Для удобства поиска можно воспользоваться сортировкой по имени, вверху окна.
Кликаем по этому параметру правой кнопкой мыши, выбираем “Изменить”.
В открывшемся окне изменим состояние на “Включено”. В поле комментария рекомендуем не игнорировать. Для завершения настройки нажимаем “OK”.
Создание объектов можно считать оконченным.
Устанавливаем редактор на Windows 10 Home
Теперь разберемся с домашней версией «десятки». В ней нет локальных политик по умолчанию, то есть нет редактора с доступным графическим интерфейсом. Все изменения, которые доступны в редакторе, нужно делать через реестр. А это менее наглядно и неудобно.
Но попробуем установить редактор на Home-версию. Для этого запускаем командную строку от имени администратора. Здесь подробно описано, как это сделать.
Нам нужно прописать по очереди две команды:
*.mum») DO (DISM /Online /NoRestart /Add-Package:»%F»)
После установки пакетов редактора попробуйте его открыть. Воспользуйтесь любым вышеописанным способом.
Обратите внимание! Многие параметры, даже при успешной установке редактора, будут недоступны в Home версии.
Поиск объектов
В корпоративных средах, как правило, создается большое количество объектов GPO. Хорошо было бы уметь находить нужный объект. У консоли есть данный функционал. Для этого, в левой части окна кликаем правой кнопкой мыши по лесу. В открывшемся меню выбираем “Найти…”
В открывшемся окне выбираем в каком домене выполнять поиск. Можно выполнить поиск и по всем доменам, но это может занять продолжительное время.
Попробуем найти созданный ранее объект.
В поле “Элемент поиска” из выпадающего списка выбираем “Имя объекта групповой политики”. В условии оставляем вариант “Содержит”. В “Значение“ указываем имя созданной ранее политики. Именно по этой причине следует создавать понятные имена политик. Нажимаем кнопку “Добавить”.
Критерии поиска заданы. нажимаем кнопку “Найти” и просматриваем результаты поиска.
Окно «Выполнить»
Нужно вызвать окно «Выполнить». Для этого можно, к примеру, нажать Win+R на клавиатуре.