Patch-Management

Halten Sie die Updates des Betriebssystems auf allen Geräten aktuell, die Sie verwalten, aus einer einzigen Ansicht heraus.

Der Agent scannt, was auf jedem Gerät fehlt, die Konsole zeigt Ihnen den Zustand Ihres gesamten Geräteparks, und von dort aus installieren Sie, was Sie brauchen: einen einzelnen Patch auf einem Gerät oder einen kompletten Durchlauf auf einer Gruppe von Servern in der Sonntagnacht.

Wo Sie es finden

Seitenmenü, Eintrag "Patches".

Von dort erreichen Sie die zwei Ansichten des Moduls:

• Patches, die Liste aller Ihrer Geräte und deren Status.
• Patch-Gruppen, über die Schaltfläche dieses Namens oberhalb der Tabelle.

Außerdem gibt es auf der Seite jedes Geräts eine Registerkarte Patches, und dort findet die eigentliche Detailarbeit statt.

Was Sie vorher brauchen

• Das Patch-Management ist ab KairosStarter verfügbar.
• Die Berechtigung zum Installieren und Neustarten heißt Geräte verwalten. Ohne sie sehen Sie den Status, können aber nichts ausführen.
• Auf dem Gerät muss der Agent installiert sein und es muss mindestens einmal online gewesen sein.
• Unter Windows nutzt der Agent das Windows Update des Geräts selbst. Zeigt das Gerät auf einen WSUS, respektiert der Scan diese Konfiguration.
• Unter Linux wird der Paketmanager der Distribution verwendet.

Ein Gerät scannen

Der Scan ist das, was der Konsole mitteilt, was auf einem Gerät fehlt. Ohne Scan weiß die Konsole gar nichts.

Er läuft von selbst jede Nacht um 1:00 Uhr für alle Geräte. Wenn Sie den Agent aber gerade erst installiert haben oder das aktuelle Bild sehen wollen, können Sie ihn von Hand anfordern.

1. Gehen Sie auf Patches und klicken Sie auf den Gerätenamen.
2. Wurde das Gerät noch nie gescannt, sagt die Ansicht das unmissverständlich: Das Gerät erscheint als nicht gescannt.
3. Klicken Sie auf Jetzt scannen.
4. Sie erhalten den Hinweis "Scan angefordert. Der Agent führt ihn in seinem nächsten Zyklus aus." und das Kennzeichen Scan läuft.
5. Die Seite aktualisiert sich von selbst, sobald die Daten eintreffen.

Gut zu wissen: Ist das Gerät ausgeschaltet, wird die Anforderung trotzdem gespeichert und wartet. Die Konsole bestätigt, dass sie den Scan angefordert hat, nicht dass das Gerät ihn ausgeführt hat. Sobald das Gerät wieder online ist, führt es ihn aus.

Einen einzelnen Patch installieren

1. Öffnen Sie die Seite des Geräts, Registerkarte Offen.
2. Grenzen Sie die Liste mit den Chips neben Filtern nach ein: Alle, Kritisch, Sicherheit, Definitionen, Treiber, Sonstige.
3. Setzen Sie das Häkchen bei jedem Patch, den Sie einspielen wollen. Für alles, was gerade auf dem Bildschirm steht, gibt es Sichtbare auswählen.
4. Klicken Sie auf Auswahl installieren. Die Schaltfläche nennt Ihnen, wie viele Sie gleich einspielen.
5. Sie erhalten den Hinweis "Installation gestartet. Den Fortschritt sehen Sie unten, nahezu in Echtzeit."
6. Die Fortschrittsanzeige erscheint darunter und zeigt, bei welchem Patch die Installation gerade steht.
7. Am Ende meldet sie Installation abgeschlossen oder, falls etwas fehlgeschlagen ist, in Rot Installationsfehler.

Auf Linux-Geräten bekommen Sie zusätzlich zwei Schaltflächen, die den häufigsten Fall beschleunigen: Alle offenen installieren und Nur Sicherheitsupdates installieren. Unter Windows gibt es sie nicht, dort setzen Sie die Häkchen.

Neu starten, wenn es nötig ist

Viele Windows-Patches sind erst dann fertig eingespielt, wenn das Gerät neu startet. Trifft das auf einen Patch zu, erscheint oben im Gerätedatensatz ein Hinweis auf den ausstehenden Neustart.

1. Klicken Sie auf Gerät neu starten.
2. Bestätigen Sie. Die Konsole erinnert Sie daran, dass der Kunde einen Countdown sieht.
3. Wer gerade an dem Gerät arbeitet, sieht einen Hinweis auf dem Bildschirm und hat 60 Sekunden, um seine Arbeit zu speichern.
4. Wenn Sie es sich anders überlegen, haben Sie diese Minute, um auf Neustart abbrechen zu klicken.

Um mehrere Geräte auf einmal neu zu starten, gehen Sie zurück auf die Liste Patches und verwenden Neustart ausstehend. Der Dialog zeigt die vollständige Liste, wobei Geräte im Offline-Zustand mit "(offline, übersprungen)" gekennzeichnet sind.

Der Neustart erfolgt immer sofort, mit einer Minute Vorwarnung. Über diese Schaltfläche lässt er sich nicht auf drei Uhr nachts legen. Dafür sind die Gruppen da.

Mehrere Geräte eines Kunden patchen

Die Ansicht Patches kennt keine Masseninstallation: Die Tabelle hat keine Kontrollkästchen pro Zeile. Die einzige Aktion, die von dort aus über mehrere Geräte läuft, ist der Neustart.

Sie haben zwei Wege.

Eins nach dem anderen, mit gefilterter Liste. Wählen Sie den Kunden im Auswahlfeld, klicken Sie auf Filtern und arbeiten Sie Gerät für Gerät. Die Tabelle ist nach der Anzahl der kritischen Patches sortiert, Sie beginnen also mit dem Dringenden. Das funktioniert für kleine Geräteparks oder für punktuelle Arbeiten.

Mit einer Patch-Gruppe. Das ist der einzige Mechanismus, der in einem einzigen Vorgang auf einer ganzen Menge installiert. Sie bauen die Gruppe einmal auf und führen sie danach mit Jetzt ausführen aus, wann immer Sie wollen, oder lassen sie eingeplant laufen.

Eine Gruppe mit geplantem Fenster erstellen

Eine Patch-Gruppe besteht aus einer Menge von Geräten, einer Regel, was installiert wird, und einem Zeitfenster.

1. Patches, dann Patch-Gruppen, dann Neue Gruppe.
2. Geben Sie ihr einen Namen, der auch in sechs Monaten noch Sinn ergibt. Zum Beispiel "Server Ärztezentrum".
3. Wählen Sie die Klassifizierungen aus, die sie installieren soll.
4. Legen Sie das Fenster fest: Tag, Startzeit und Dauer.
5. Setzen Sie das Häkchen bei Gruppe aktiviert, damit sie sich selbst einplant. Wenn Sie sie nur von Hand ausführen wollen, lassen Sie es leer.
6. Speichern Sie. Sie erhalten "Patch-Gruppe erstellt. Weisen Sie jetzt Geräte zu." und die Konsole bringt Sie in die Detailansicht der Gruppe.
7. Suchen und markieren Sie unter Geräte der Gruppe die Geräte. Für alles, was auf dem Bildschirm steht, gibt es Alle auswählen.
8. Klicken Sie auf Geräte speichern.

Drei Dinge, die Sie beim Aufbau der Gruppen im Hinterkopf behalten sollten:

• Linux-Geräte lassen sich keiner Gruppe zuordnen. Sie erscheinen mit einem Schloss und dem Hinweis "Wird über die eigene Geräteseite gepatcht". Das nach Kalender geplante Patchen gibt es nur für Windows.
• Ein Gerät kann nur zu einer einzigen Gruppe gehören. Überlappende Gruppen gibt es nicht.
• Das Feld Kunde der Gruppe ist eine Kennzeichnung, kein Filter. Die Geräteauswahl bringt Ihnen jedes Gerät Ihrer Organisation, eine Gruppe namens "Kunde A" kann also Geräte von Kunde B enthalten, wenn Sie beim Zuweisen nicht aufpassen.

Nachsehen, was nach einem Fenster passiert ist

1. Gehen Sie auf Patch-Gruppen und klicken Sie auf die Gruppe.
2. Öffnen Sie in der Liste der Durchläufe denjenigen, der Sie interessiert.
3. Dort haben Sie das Ergebnis Gerät für Gerät, mit den Zählern Installiert und Fehlgeschlagen.

Die Status, die Sie pro Gerät sehen werden:

Bei "Neu gestartet" lohnt sich die Genauigkeit: Es bedeutet, dass die Konsole den Befehl gesendet hat, nicht dass das Gerät tatsächlich neu gestartet ist. Bestätigt wird das erst beim nächsten Scan.

Wenn die Konsole nicht sehen kann

Dieser Abschnitt ist wichtiger als jeder andere, denn hier kann ein durchgehend grünes Dashboard Sie in die Irre führen.

Die Konsole unterscheidet sehr wohl zwischen "nie gescannt" und "aktuell". Ein Gerät, das noch nie gescannt wurde, zeigt in den Spalten für offene und kritische Patches einen Strich, und bei Letzter Scan steht "Nie". Eine falsche Null werden Sie nie sehen.

Geräte im Offline-Zustand kennzeichnet die Konsole in dieser Ansicht nicht. Es gibt keine Online-Spalte. Ein Gerät, das seit drei Wochen ausgeschaltet ist, zeigt seine drei Wochen alten Zähler genauso wie eines, das vor zehn Minuten gemeldet hat.

Der Weg, das zu bemerken, ist die Spalte Letzter Scan. Ist das Datum alt, ist auch die Zahl alt, die Sie gerade ansehen. Ein Gerät, das "0 offen" mit einem Scan von vor zwanzig Tagen zeigt, ist nicht aktuell: Es ist ausgeschaltet.

Liefert ein Scan etwas zurück, das die Konsole nicht interpretieren kann, wird er verworfen, und die bisherigen Daten bleiben mit ihrem alten Datum stehen. Noch einmal: Es ist das Datum, das Sie warnt.

Häufige Fehler

Das Gerät erscheint als nicht gescannt. Es ist bis heute kein Scan gelaufen. Klicken Sie auf Jetzt scannen und warten Sie den nächsten Zyklus des Agents ab.

Der Scan bleibt bei "läuft" stehen und kommt nie weiter. Das Gerät ist offline. Die Anforderung wartet und läuft, sobald es zurückkommt. Sie müssen sie nicht erneut stellen.

"Installationsfehler." Das Gerät hat den Auftrag ausgeführt und er ist fehlgeschlagen. Die Details zum Ergebnis stehen unterhalb der Fortschrittsanzeige. Typische Ursachen sind fehlender Speicherplatz auf dem Datenträger, ein vorheriger ausstehender Neustart, der die Installation blockiert, oder ein Patch, den Microsoft zurückgezogen hat.

"Diese Geräte können keiner Patch-Gruppe beitreten." Sie versuchen, Linux-Geräte in eine Gruppe aufzunehmen. Die werden über ihren eigenen Gerätedatensatz gepatcht.

Ein Gerät hat einen Durchlauf "Mit Fehlern" beendet. Mindestens ein Patch ist fehlgeschlagen. Die Engine versucht es nicht erneut: Öffnen Sie den Gerätedatensatz und spielen Sie die Patches von Hand ein.

Häufige Fragen

Wie oft scannt das System von selbst? Jede Nacht um 1:00 Uhr, auf allen Geräten.

Kann ich einen Patch deinstallieren, der schiefgegangen ist? Über die Konsole nicht. Es gibt weder ein Rollback noch das Entfernen von Updates.

Kann ich einen bereits gestarteten Durchlauf abbrechen? Nein. Einmal gestartet, läuft er bis zum Ende oder bis zum Timeout.

Kann ich einen bestimmten Patch ausschließen, damit er nie installiert wird? Über die Konsole nicht. Gefiltert wird nach Klassifizierung, nicht nach einzelnem Patch. Ist der Patch auf dem Gerät bereits ausgeblendet, respektiert der Scan das und listet ihn nicht auf.

Kann ich das Herunterladen von der Installation trennen? Nein. Herunterladen und Installieren gehören zum selben Vorgang.

Kann ich den Neustart auf eine bestimmte Uhrzeit legen? Nur innerhalb einer Gruppe, wo der Neustart beim Abschluss des Durchlaufs erfolgt. Die Schaltfläche für den manuellen Neustart wirkt immer sofort, mit einer Minute Vorwarnung.

Wie lange ist dieser Patch schon offen? Das weiß die Konsole nicht. Jeder Scan ersetzt die Liste der offenen Patches durch das aktuelle Bild, ein Alter pro Patch gibt es also nicht.

Warum aktualisiert sich der Verlauf eines Geräts nachts nicht? Der nächtliche Scan aktualisiert die offenen Patches, nicht den Verlauf. Der Verlauf wird aktualisiert, wenn Sie auf Jetzt scannen klicken oder wenn eine Installation abgeschlossen ist.

Wird der Kunde benachrichtigt? Eine E-Mail geht raus, wenn ein Gerät von keinem kritischen Patch auf mindestens einen wechselt, und nur an die Adressen, die dieser Kunde für das Patch-Management hinterlegt hat. Geht ein Gerät von drei kritischen Patches auf vierzig, entsteht kein neuer Hinweis.

Was passiert, wenn ein Gerät während des Fensters der Gruppe ausgeschaltet ist? Die Engine versucht es erneut, solange das Fenster noch offen ist. Schließt das Fenster und das Gerät ist nie aufgetaucht, bleibt es als Offline stehen.