Konfigurieren von geplantes Patchen auf Azure-VMs für die Geschäftskontinuität

Gilt für: ✔️ Windows-VMs ✔️ Linux-VMs ✔️ Azure-VMs.

Dieser Artikel enthält eine Übersicht über das Konfigurieren des geplanten Patchens und des automatischen Patchen auf virtuellen Gastcomputern (VM) auf Azure-VMs mithilfe der neuen Voraussetzung zur Sicherstellung der Geschäftskontinuität. Die Schritte zum Konfigurieren der Patchingoptionen auf virtuellen Azure Arc-Computern sind identisch.

Derzeit können Sie das automatische Patchen von Gast-VMs (autopatchen) aktivieren, indem Sie den Patchmodus im Azure-Portal auf von Azure orchestriert oder in der REST-API auf AutomaticByPlatform festlegen, bei dem Patches außerhalb der Spitzenzeiten automatisch angewendet werden.

Zum Anpassen der Kontrolle über die Patchinstallation können Sie geplantes Patchen verwenden, um das Wartungsfenster zu definieren. Sie können geplantes Patchen aktivieren, indem Sie den Patchmodus im Azure-Portal auf von Azure orchestriert oder in der REST-API auf AutomaticByPlatform festlegen und einen Zeitplan an die Azure-VM anfügen. Daher konnten die VM-Eigenschaften nicht zwischen geplantem Patchen oder automatischem Patchen von Gast-VMs unterschieden werden, da beide den Patchmodus auf von Azure orchestriert festgelegt hatten.

Wenn Sie den Zeitplan von einer VM entfernen, besteht in einigen Fällen die Möglichkeit, dass die VM automatisch gepatcht und neu gebootet wird. Um die Einschränkungen zu überwinden, haben wir eine neue Voraussetzung ByPassPlatformSafetyChecksOnUserSchedule eingeführt, die jetzt auf true eingestellt werden kann, um eine VM mithilfe von geplantem Patchen identifiziert werden kann. Dies bedeutet, dass VMs, bei denen diese Eigenschaft auf true festgelegt ist, nicht mehr automatisch gepatcht werden, wenn die VMs keine zugeordneten Wartungskonfigurationen haben.

Wichtig

Für eine fortgesetzte Erfahrung für geplantes Patchen müssen Sie sicherstellen, dass die neue VM-Eigenschaft BypassPlatformSafetyChecksOnUserSchedule auf allen Ihren Azure-VMs (vorhanden oder neu), die Zeitpläne angefügt haben, bis zum 30. Juni 2023 aktiviert ist. Diese Einstellung stellt sicher, dass Computer mithilfe ihrer konfigurierten Zeitpläne und nicht automatisch gepatcht werden. Wenn die Aktivierung bis zum 30. Juni 2023 nicht durchgeführt wird, wird ein Fehler zurückgegeben, dass die Voraussetzungen nicht erfüllt sind.

Geplantes Patchen in einem Verfügbarkeitssatz

Es werden nicht alle VMs in einer gemeinsamen Verfügbarkeitsgruppe gleichzeitig aktualisiert.

VMs in einem allgemeinen Verfügbarkeitsgruppe werden innerhalb von Updatedomänengrenzen aktualisiert. VMs über mehrere Updatedomänen hinweg werden nicht gleichzeitig aktualisiert.

In Szenarien, in denen Computer aus derselben Verfügbarkeitsgruppe gleichzeitig in unterschiedlichen Zeitplänen gepatcht werden, ist es wahrscheinlich, dass sie möglicherweise nicht gepatcht werden oder fehlschlagen könnten, wenn das Wartungsfenster überschritten wird. Um dies zu vermeiden, empfehlen wir Ihnen, entweder das Wartungsfenster zu erhöhen oder die zu einer Verfügbarkeitsgruppe gehörenden Rechner auf mehrere Zeitpläne zu unterschiedlichen Zeiten aufzuteilen.

Suchen von VMs mit zugeordneten Zeitplänen

So identifizieren Sie die Liste der VMs mit den zugehörigen Zeitplänen, für die Sie eine neue VM-Eigenschaft aktivieren müssen:

1. Wechseln Sie zur Willkommensseite von Azure Update Manager, und wählen Sie die Registerkarte Computer aus.

2. Wählen Sie im Filter Patchorchestrierung die Option Azure-verwaltet – Sichere Bereitstellung aus.

3. Verwenden Sie die Option Alle auswählen, um die Computer auszuwählen, und wählen Sie dann In CSV exportieren aus.

4. Öffnen Sie die CSV-Datei, und wählen Sie in der Spalte Zugehörige Zeitpläne die Zeilen aus, die einen Eintrag enthalten.

   In der entsprechenden Spalte Name können Sie die Liste der VMs anzeigen, für die Sie das ByPassPlatformSafetyChecksOnUserSchedule-Flag aktivieren müssen.

Aktivieren des geplanten Patchens auf Azure-VMs

Führen Sie die folgenden Schritte aus, um das geplante Patchen auf Azure-VMs zu aktivieren.

Azure portal

Voraussetzungen

Patchorchestrierung = Vom Kunden verwaltete Zeitpläne

Wählen Sie die Patchorchestrierungsoption als vom Kunden verwaltete Zeitpläne aus. Die neue Patchorchestrierungsoption aktiviert die folgenden VM-Eigenschaften in Ihrem Namen, nachdem Ihre Einwilligung erhalten wurde:

• Patchmodus = Azure-orchestrated
• BypassPlatformSafetyChecksOnUserSchedule = WAHR

Aktivieren für neue VMs

Sie können die Patchorchestrierungsoption für neue VMs auswählen, die den Zeitplänen zugeordnet würden.

So aktualisieren Sie den Patchmodus:

1. Melden Sie sich beim Azure-Portal an.
2. Wechseln Sie zu VM, und wählen Sie Erstellen aus, um die Seite Erstellen einer VM zu öffnen.
3. Füllen Sie auf der Registerkarte Grundlagen alle Pflichtfelder aus.
4. Wählen Sie auf der Registerkarte Verwaltung unter Gastbetriebssystemupdates für Patchorchestrierungsoptionen den Wert Azure-orchestriert aus.
5. Füllen Sie die Einträge auf den Registerkarten Überwachung, Erweitert und Tags aus.
6. Klicken Sie auf Überprüfen + erstellen. Wählen Sie Erstellen aus, um eine neue VM mit der entsprechenden Patchorchestrierungsoption zu erstellen.

Um das Zeitplanpatchen der neu erstellten VMs zu ermöglichen, befolgen Sie das Verfahren aus Schritt 2 im nächsten Abschnitt: „Aktivieren für vorhandene VMs.“

Aktivieren für vorhandene VMs

Sie können die Patchorchestrierungsoption für vorhandene VMs aktualisieren, denen entweder bereits Zeitpläne zugeordnet sind oder die neu einem Zeitplan zugeordnet werden.

Wenn die Patchorchestrierung als Azure-orchestriert oder Azure-verwaltet – Sichere Bereitstellung (AutomaticByPlatform) festgelegt ist, BypassPlatformSafetyChecksOnUserSchedule auf false festgelegt ist und kein Zeitplan zugeordnet ist, dann werden die VMs automatisch gepatcht.

So aktualisieren Sie den Patchmodus:

1. Melden Sie sich beim Azure-Portal an.
2. Wechseln Sie zu Azure Update Manager, und wählen Sie Updateeinstellungen aus.
3. Wählen Sie unter Updateeinstellungen ändern die Option Computer hinzufügen aus.
4. Wählen Sie unter Ressourcen auswählen Ihre VMs und dann Hinzufügen aus.
5. Wählen Sie im Bereich Updateeinstellungen ändern unter Patchorchestrierung die Option vom Kunden verwaltete Zeitpläne (Vorschau) und dann Speichern aus.

Fügen Sie einen Zeitplan an, nachdem Sie die vorherigen Schritte abgeschlossen haben.

Um zu überprüfen, ob BypassPlatformSafetyChecksOnUserSchedule aktiviert ist, wechseln Sie zur VM-Willkommensseite, und wählen Sie Übersicht>JSON-Ansicht aus.

REST-API

Voraussetzungen

• Patchmodus = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = WAHR

Aktivieren auf Windows-VMs

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":true 
          } 
        } 
      } 
    } 
  } 
} 

Aktivieren auf Linux-VMs

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true, 
         "patchSettings": { 
           "patchMode": "AutomaticByPlatform", 
           "automaticByPlatformSettings":{ 
             "bypassPlatformSafetyChecksOnUserSchedule":true 
            } 
         } 
      } 
    } 
  } 
} 

PowerShell

Voraussetzungen

• Patchmodus = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = WAHR

Aktivieren auf Windows-VMs

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Windows -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.WindowsVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Aktivieren auf Linux-VMs

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Linux -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.LinuxVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Hinweis

Sie können jetzt die neue Voraussetzung für das geplante Patchen über das Azure-Portal, die REST-API, PowerShell und Azure CLI aktivieren.

Aktivieren des automatischen Gast-VM-Patchens auf Azure-VMs

Führen Sie die folgenden Schritte aus, um das automatische Gast-VM-Patchen auf Ihren Azure-VMs jetzt zu aktivieren.

Azure portal

Voraussetzungen

Patchmodus = Azure-orchestrated

Aktivieren für neue VMs

Sie können die Patchorchestrierungsoption für neue VMs auswählen, die den Zeitplänen zugeordnet würden.

So aktualisieren Sie den Patchmodus:

1. Melden Sie sich beim Azure-Portal an.
2. Wechseln Sie zu VM, und wählen Sie Erstellen aus, um die Seite Erstellen einer VM zu öffnen.
3. Füllen Sie auf der Registerkarte Grundlagen alle Pflichtfelder aus.
4. Wählen Sie auf der Registerkarte Verwaltung unter Gastbetriebssystemupdates für Patchorchestrierungsoptionen den Wert Azure-orchestriert aus.
5. Füllen Sie die Einträge auf den Registerkarten Überwachung, Erweitert und Tags aus.
6. Klicken Sie auf Überprüfen + erstellen. Wählen Sie Erstellen aus, um eine neue VM mit der entsprechenden Patchorchestrierungsoption zu erstellen.

Aktivieren für vorhandene VMs

So aktualisieren Sie den Patchmodus:

1. Melden Sie sich beim Azure-Portal an.
2. Wechseln Sie zum Updatemanager, und wählen Sie Updateeinstellungen aus.
3. Wählen Sie im Bereich Updateeinstellungen ändern die Option Computer hinzufügen aus.
4. Wählen Sie im Bereich Ressourcen auswählen Ihre VMs und dann Hinzufügen aus.
5. Wählen Sie im Bereich Updateeinstellungen ändern unter Patchorchestrierung die Option Azure-verwaltet – Sichere Bereitstellung und dann Speichern aus.

REST-API

Voraussetzungen

• Patchmodus = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = FALSCH

Aktivieren auf Windows-VMs

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Aktivieren auf Linux-VMs

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true,  
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Benutzerszenarien

Szenarien	Von Azure orchestriert	BypassPlatformSafetyChecksOnUserSchedule	Zeitplan zugeordnet	Erwartetes Verhalten in Azure
Szenario 1	Ja	True	Ja	Das geplante Patchen wird wie von der benutzenden Person definiert ausgeführt.
Szenario 2	Ja	True	No	Automatisches Patchen und geplantes Patchen werden nicht ausgeführt.
Szenario 3	Ja	False	Ja	Automatisches Patchen und geplantes Patchen werden nicht ausgeführt. Sie erhalten einen Fehler, dass die Voraussetzungen für das geplante Patchen nicht erfüllt sind.
Szenario 4	Ja	False	Nein	Die VM wird automatisch gepatcht.
Szenario 5	Nein	True	Ja	Automatisches Patchen und Zeitplanpatchen werden nicht ausgeführt. Sie erhalten einen Fehler, dass die Voraussetzungen für das geplante Patchen nicht erfüllt sind.
Szenario 6	Nein	True	No	Automatisches Patchen und geplantes Patchen werden nicht ausgeführt.
Szenario 7	Nein	False	Ja	Automatisches Patchen und geplantes Patchen werden nicht ausgeführt. Sie erhalten einen Fehler, dass die Voraussetzungen für das geplante Patchen nicht erfüllt sind.
Szenario 8	Nein	False	No	Automatisches Patchen und geplantes Patchen werden nicht ausgeführt.

Nächste Schritte

• Erfahren Sie mehr über den dynamischen Bereich, eine erweiterte Funktionalität für geplantes Patchen.
• Befolgen Sie die Anweisungen zum Verwalten verschiedener Vorgänge des dynamischen Bereichs
• Erfahren Sie, wie Sie Updates automatisch entsprechend dem erstellten Zeitplan sowohl für eine einzelne VM wie auch im großen Stil installieren.
• Erfahren Sie mehr über Pre- und Postereignisse, um Aufgaben vor und nach einer geplanten Wartungskonfiguration automatisch auszuführen.