Gestão de patches

Mantenha as atualizações do sistema operacional em dia em todas as máquinas que você gerencia, a partir de uma única tela.

O agente verifica o que falta em cada máquina, o console mostra a situação de todo o seu parque de dispositivos e, a partir dali, você instala o que precisa: um único patch em uma máquina, ou uma rodada completa em um grupo de servidores durante a noite de domingo.

Onde fica

Menu lateral, entrada "Patches".

Dali você chega às duas telas do módulo:

• Patches, a lista de todos os seus dispositivos e a situação deles.
• Grupos de patches, pelo botão com esse nome acima da tabela.

Existe também uma aba Patches dentro da ficha de cada dispositivo, que é onde acontece o trabalho detalhado.

O que você precisa antes

• A gestão de patches está disponível a partir do KairosStarter.
• A permissão para instalar e reiniciar é Gerenciar computadores. Sem ela você vê a situação, mas não consegue executar nada.
• O dispositivo precisa ter o agente instalado e ter estado online pelo menos uma vez.
• No Windows o agente usa o próprio Windows Update da máquina. Se a máquina apontar para um WSUS, a verificação respeita essa configuração.
• No Linux, é usado o gerenciador de pacotes da distribuição.

Verificar um dispositivo

A verificação é o que informa ao console o que falta em uma máquina. Sem verificação, o console não sabe de nada.

Ela roda sozinha toda noite à 1:00 para todos os dispositivos. Mas se você acabou de instalar o agente, ou quer a foto atual, pode pedi-la à mão.

1. Vá em Patches e clique no nome do dispositivo.
2. Se ele nunca foi verificado, a tela diz isso com todas as letras: o dispositivo aparece como não verificado.
3. Clique em Verificar agora.
4. Você recebe o aviso "Levantamento solicitado. O agente executa no próximo ciclo dele." e o badge Verificação em andamento.
5. A página se atualiza sozinha quando os dados chegam.

Vale saber: se a máquina estiver desligada, a solicitação é guardada mesmo assim e fica esperando. O console confirma que pediu a verificação, não que a máquina a executou. Quando a máquina voltar a ficar online, ela executa.

Instalar um único patch

1. Abra a ficha do dispositivo, aba Pendentes.
2. Reduza a lista com os chips ao lado de Filtrar por: Todos, Críticos, Segurança, Definições, Drivers, Outros.
3. Marque a caixa de cada patch que você quer aplicar. Para tudo o que estiver na tela, use Selecionar visíveis.
4. Clique em Instalar selecionados. O botão diz quantos você está prestes a aplicar.
5. Você recebe o aviso "Instalação iniciada. O progresso aparece abaixo, quase em tempo real."
6. O painel de progresso aparece embaixo e acompanha em qual patch ele está.
7. Quando termina, ele diz Instalação concluída, ou Erro na instalação em vermelho se algo falhou.

Em dispositivos Linux você também ganha dois botões que aceleram o caso comum: Instalar todos os pendentes e Instalar somente segurança. Eles não existem no Windows, onde você marca as caixas.

Reiniciar quando for necessário

Muitos patches do Windows só terminam de ser aplicados quando a máquina reinicia. Quando isso acontece, um aviso de reinicialização pendente aparece no topo da ficha.

1. Clique em Reiniciar dispositivo.
2. Confirme. O console lembra que o cliente vai ver uma contagem regressiva.
3. Quem estiver usando a máquina vê um aviso na tela com 60 segundos para salvar o trabalho.
4. Se você mudar de ideia, tem esse minuto para clicar em Cancelar reinicialização.

Para reiniciar várias máquinas de uma vez, volte para a lista Patches e use Reinicialização pendente. A caixa de diálogo mostra a lista inteira, com as máquinas offline marcadas como "(offline, ignorado)".

A reinicialização é sempre imediata, com um minuto de aviso. Não é possível programá-la para as três da manhã por esse botão. É para isso que servem os grupos.

Aplicar patches em várias máquinas de um cliente

A tela Patches não tem instalação em massa: a tabela não tem caixas de seleção por linha. A única ação que funciona em várias máquinas a partir dali é a reinicialização.

Você tem dois caminhos.

Uma de cada vez, com a lista filtrada. Escolha o cliente no seletor, clique em Filtrar e vá máquina por máquina. A tabela é ordenada pela quantidade de críticos, então você começa pelo que é urgente. Isso funciona para parques pequenos ou trabalhos pontuais.

Com um grupo de patches. Esse é o único mecanismo que instala em um conjunto em uma única operação. Você monta o grupo uma vez e depois o executa quando quiser com Executar agora, ou o deixa programado.

Criar um grupo com uma janela programada

Um grupo de patches é um conjunto de máquinas, uma regra do que instalar e uma janela de horário.

1. Patches, depois Grupos de patches, depois Novo grupo.
2. Dê a ele um Nome que ainda faça sentido daqui a seis meses. Por exemplo "Servidores do centro médico".
3. Escolha as classificações que você quer que ele instale.
4. Defina a janela: dia, hora de início e duração.
5. Marque Grupo ativado para que ele se programe sozinho. Se você pretende executá-lo somente à mão, deixe desmarcado.
6. Salve. Você recebe "Grupo de patches criado. Agora atribua os computadores." e o console deixa você no detalhe do grupo.
7. Em Dispositivos do grupo, busque e marque as máquinas. Para tudo o que estiver na tela, Selecionar todos.
8. Clique em Salvar dispositivos.

Três coisas para ter em mente na hora de montar os grupos:

• Dispositivos Linux não podem entrar em um grupo. Eles aparecem com um cadeado e a nota "Recebe patches pela própria página". A aplicação de patches programada por calendário é só para Windows.
• Um dispositivo só pode pertencer a um grupo. Não existem grupos sobrepostos.
• O campo Cliente do grupo é um rótulo, não um filtro. O seletor de dispositivos traz todas as máquinas da sua organização, então um grupo chamado "Cliente A" pode acabar com máquinas do Cliente B se você não prestar atenção ao atribuí-las.

Revisar o que aconteceu depois de uma janela

1. Vá em Grupos de patches e clique no grupo.
2. Na lista de execuções, abra a que interessa a você.
3. Ali você tem o resultado máquina por máquina, com os contadores de Instalados e Com falha.

Os status que você vai ver por dispositivo:

Sobre "Reiniciado" vale ser preciso: significa que o console mandou a ordem, não que a máquina realmente reiniciou. Isso é confirmado na verificação seguinte.

Quando o console não consegue ver

Esta parte importa mais do que qualquer outra, porque é onde um dashboard todo verde pode enganar você.

O console distingue bem "nunca verificado" de "atualizado". Um dispositivo que nunca foi verificado mostra um traço nas colunas de pendentes e críticos, e a Última verificação diz "Nunca". Você nunca vai ver um zero falso.

O console não sinaliza os dispositivos offline nesta tela. Não existe coluna de online. Uma máquina que está desligada há três semanas mostra os contadores de três semanas atrás exatamente igual a uma que reportou dez minutos atrás.

A forma de perceber isso é ler a coluna Última verificação. Se a data for antiga, o número que você está olhando também é antigo. Um dispositivo que mostra "0 pendentes" com uma verificação de vinte dias atrás não está atualizado: ele está desligado.

Se uma verificação devolve algo que o console não consegue interpretar, ela é descartada e os dados anteriores ficam com a data antiga. De novo: a data é o que avisa você.

Erros comuns

O dispositivo aparece como não verificado. Nenhuma verificação rodou até hoje. Clique em Verificar agora e aguarde o próximo ciclo do agente.

A verificação fica "em andamento" e nunca avança. A máquina está offline. A solicitação espera e roda quando ela voltar. Não precisa pedir de novo.

"Erro na instalação." A máquina executou o trabalho e ele falhou. O detalhe do resultado fica abaixo do painel de progresso. As causas típicas são falta de espaço em disco, uma reinicialização pendente anterior bloqueando a instalação, ou um patch que a Microsoft retirou.

"Estes computadores não podem entrar em um grupo de patches." Você está tentando adicionar dispositivos Linux a um grupo. Eles recebem patches pela própria página deles.

Um dispositivo terminou uma execução "Com erros". Pelo menos um patch falhou. O motor não tenta de novo: abra a ficha do dispositivo e aplique-os à mão.

Perguntas frequentes

Com que frequência ele verifica sozinho? Toda noite à 1:00, em todos os dispositivos.

Posso desinstalar um patch que deu errado? Pelo console, não. Não existe rollback nem remoção de atualizações.

Posso cancelar uma execução que já começou? Não. Depois de iniciada, ela vai até o fim ou até o timeout.

Posso excluir um patch específico para que ele nunca seja instalado? Pelo console, não. A filtragem é por classificação, não por patch individual. Se o patch já estiver oculto na máquina, a verificação respeita isso e não o lista.

Posso separar o download da instalação? Não. Baixar e instalar fazem parte da mesma operação.

Posso programar a reinicialização para um horário específico? Somente dentro de um grupo, onde a reinicialização acontece quando a execução fecha. O botão de reinicialização manual é sempre imediato, com um minuto de aviso.

Há quanto tempo este patch está pendente? O console não sabe. Cada verificação substitui a lista de pendentes pela foto atual, então não existe idade por patch.

Por que o histórico de um dispositivo não é atualizado durante a noite? A verificação noturna atualiza os patches pendentes, não o histórico. O histórico é atualizado quando você clica em Verificar agora ou quando uma instalação termina.

O cliente é avisado? Um e-mail sai quando um dispositivo passa de não ter nenhum patch crítico para ter pelo menos um, e somente para os endereços que aquele cliente configurou para a gestão de patches. Se um dispositivo passa de três críticos para quarenta, nenhum aviso novo é gerado.

O que acontece se uma máquina estiver desligada durante a janela do grupo? O motor tenta de novo enquanto a janela ainda estiver aberta. Se a janela fechar e a máquina nunca aparecer, ela fica como Offline.