Configurar patches agendados em VMs do Azure para continuidade de negócios

Aplica-se a: ✔️ VMs do Windows VMs ✔️ Linux VMs ✔️ do Azure.

Este artigo é uma visão geral sobre como configurar patches agendados e patches automáticos de máquina virtual convidada (VM) em VMs do Azure usando o novo pré-requisito para garantir a continuidade dos negócios. Os passos para configurar ambas as opções de aplicação de patches nas VM do Azure Arc permanecem os mesmos.

Atualmente, você pode habilitar a aplicação automática de patches de VM convidada (autopatch) definindo o modo de patch como orquestrado pelo Azure no portal do Azure ou AutomaticByPlatform na API REST, onde os patches são aplicados automaticamente fora do horário de pico.

Para personalizar o controle sobre a instalação do patch, você pode usar o patch agendado para definir a janela de manutenção. Você pode habilitar o patch agendado definindo o modo de patch como orquestrado pelo Azure no portal do Azure ou AutomaticByPlatform na API REST e anexando um agendado à VM do Azure. Portanto, as propriedades da VM não podiam ser diferenciadas entre patch agendado ou patch de VM convidado automático porque ambos tinham o modo de patch definido como orquestrado pelo Azure.

Em alguns casos, quando você remove o agendado de uma VM, há uma possibilidade de que a VM possa ser corrigida automaticamente e reinicializada. Para superar as limitações, introduzimos um novo pré-requisito, ByPassPlatformSafetyChecksOnUserScheduleque agora pode ser definido para true identificar uma VM usando patches agendados. Isso significa que as VMs com essa propriedade definida como true não são mais corrigidas automaticamente quando as VMs não têm uma configuração de manutenção associada.

Importante

Para uma experiência contínua de aplicação de patches agendada, você deve garantir que a nova propriedade VM, BypassPlatformSafetyChecksOnUserSchedule, esteja habilitada em todas as suas VMs do Azure (existentes ou novas) que tenham agendas anexadas a elas até 30 de junho de 2023. Essa configuração garante que as máquinas sejam corrigidas usando suas agendas configuradas e não corrigidas automaticamente. Não habilitar até 30 de junho de 2023 dá um erro de que os pré-requisitos não foram atendidos.

Aplicação de patches agendada em um conjunto de disponibilidade

Todas as VMs num conjunto de disponibilidade comum não são atualizadas em simultâneo.

As VMs num conjunto de disponibilidade comum são atualizadas dentro dos limites do Domínio de Atualização. As VMs em vários Domínios de Atualização não são atualizadas simultaneamente.

Em cenários em que as máquinas do mesmo conjunto de disponibilidade estão a ser corrigidas ao mesmo tempo em horários diferentes, é provável que não sejam corrigidas ou que possam falhar se a janela de manutenção for ultrapassada. Para evitar esta situação, recomendamos que aumente a janela de manutenção ou divida as máquinas pertencentes ao mesmo conjunto de disponibilidade por vários programas em alturas diferentes.

Localizar VMs com agendas associadas

Para identificar a lista de VMs com as agendas associadas para as quais você precisa habilitar uma nova propriedade VM:

1. Vá para a home page do Azure Update Manager e selecione a guia Máquinas .

2. No filtro Orquestração de patches, selecione Azure Managed - Safe Deployment.

3. Use a opção Selecionar tudo para selecionar as máquinas e, em seguida, selecione Exportar para CSV.

4. Abra o arquivo CSV e, na coluna Agendas associadas, selecione as linhas que têm uma entrada.

   Na coluna Nome correspondente, você pode exibir a lista de VMs para as quais você precisa habilitar o ByPassPlatformSafetyChecksOnUserSchedule sinalizador.

Habilitar patches agendados em VMs do Azure

Para habilitar a aplicação de patches agendada em VMs do Azure, siga estas etapas.

Portal do Azure

Pré-requisitos

Orquestração de patches = Agendas gerenciadas pelo cliente

Selecione a opção de orquestração de patches como Agendas gerenciadas pelo cliente. A nova opção de orquestração de patches habilita as seguintes propriedades de VM em seu nome após receber seu consentimento:

• Modo de patch = Azure-orchestrated
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar para novas VMs

Você pode selecionar a opção de orquestração de patches para novas VMs que seriam associadas às agendas.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para Máquina virtual e selecione Criar para abrir a página Criar uma máquina virtual.
3. Na guia Noções básicas, preencha todos os campos obrigatórios.
4. Na guia Gerenciamento, em Atualizações do SO convidado, para Opções de orquestração de patches, selecione Orquestrado pelo Azure.
5. Preencha as entradas nas guias Monitoramento, Avançado e Tags .
6. Selecione Rever + Criar. Selecione Criar para criar uma nova VM com a opção de orquestração de patches apropriada.

Para agendar o patch das VMs recém-criadas, siga o procedimento da etapa 2 na próxima seção, "Habilitar para VMs existentes".

Habilitar para VMs existentes

Você pode atualizar a opção de orquestração de patches para VMs existentes que já têm agendas associadas ou serão recém-associadas a uma agenda.

Se a orquestração de patches estiver definida como orquestrada pelo Azure ou Azure Managed - Safe Deployment (AutomaticByPlatform),BypassPlatformSafetyChecksOnUserSchedule estiver definida como false, e não houver nenhuma agenda associada, as VMs serão corrigidas automaticamente.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para o Azure Update Manager e selecione Atualizar configurações.
3. Em Alterar configurações de atualização, selecione Adicionar máquina.
4. Em Selecionar recursos, selecione as suas VMs e, em seguida, selecione Adicionar.
5. No painel Alterar configurações de atualização, em Orquestração de patches, selecione Agendas gerenciadas pelo cliente e, em seguida, selecione Salvar.

Anexe uma agenda depois de concluir as etapas anteriores.

Para verificar se BypassPlatformSafetyChecksOnUserSchedule está habilitado, vá para a página inicial da máquina virtual e selecione Visão geral>da exibição JSON.

API REST

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar em VMs do Windows

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":true 
          } 
        } 
      } 
    } 
  } 
} 

Ativar em VMs Linux

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true, 
         "patchSettings": { 
           "patchMode": "AutomaticByPlatform", 
           "automaticByPlatformSettings":{ 
             "bypassPlatformSafetyChecksOnUserSchedule":true 
            } 
         } 
      } 
    } 
  } 
} 

PowerShell

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar em VMs do Windows

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Windows -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.WindowsVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Ativar em VMs Linux

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Linux -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.LinuxVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Nota

Agora você pode habilitar o novo pré-requisito para aplicação de patches agendada por meio do portal do Azure, API REST, PowerShell e CLI do Azure.

Habilitar a aplicação automática de patches de VM convidada em VMs do Azure

Para habilitar a aplicação automática de patches de VM convidada em suas VMs do Azure agora, siga estas etapas.

Portal do Azure

Pré-requisito

Modo de patch = Azure-orchestrated

Habilitar para novas VMs

Você pode selecionar a opção de orquestração de patches para novas VMs que seriam associadas às agendas.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para Máquina virtual e selecione Criar para abrir a página Criar uma máquina virtual.
3. Na guia Noções básicas, preencha todos os campos obrigatórios.
4. Na guia Gerenciamento, em Atualizações do SO convidado, para Opções de orquestração de patches, selecione Orquestrado pelo Azure.
5. Preencha as entradas nas guias Monitoramento, Avançado e Tags .
6. Selecione Rever + Criar. Selecione Criar para criar uma nova VM com a opção de orquestração de patches apropriada.

Habilitar para VMs existentes

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para o Update Manager e selecione Atualizar configurações.
3. No painel Alterar configurações de atualização, selecione Adicionar máquina.
4. No painel Selecionar recursos, selecione suas VMs e selecione Adicionar.
5. No painel Alterar configurações de atualização, em Orquestração de patches, selecione Azure Gerenciado - Implantação Segura e selecione Salvar.

API REST

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = FALSO

Habilitar em VMs do Windows

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Ativar em VMs Linux

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true,  
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Cenários do usuário

Cenários	Orquestrado pelo Azure	BypassPlatformSafetyChecksOnUserSchedule	Horário associado	Comportamento esperado no Azure
Cenário 1	Sim	True	Sim	O patch agendado é executado conforme definido pelo usuário.
Cenário 2	Sim	True	Não	O patch automático e o patch agendado não são executados.
Cenário 3	Sim	False	Sim	O patch automático e o patch agendado não são executados. Você recebe um erro informando que os pré-requisitos para o patch agendado não são atendidos.
Cenário 4	Sim	False	Não	A VM é corrigida automaticamente.
Cenário 5	Não	True	Sim	O patch automático e o patch de agendamento não são executados. Você recebe um erro informando que os pré-requisitos para o patch agendado não são atendidos.
Cenário 6	Não	True	Não	O patch automático e o patch agendado não são executados.
Cenário 7	Não	False	Sim	O patch automático e o patch agendado não são executados. Você recebe um erro informando que os pré-requisitos para o patch agendado não são atendidos.
Cenário 8	Não	False	Não	O patch automático e o patch agendado não são executados.

Próximos passos

• Saiba mais sobre o escopo dinâmico, um recurso avançado de aplicação de patches agendada.
• Siga as instruções sobre como gerenciar várias operações de escopo dinâmico
• Saiba como instalar automaticamente as atualizações de acordo com a programação criada para uma única VM e em escala.
• Saiba mais sobre eventos pré e pós para executar tarefas automaticamente antes e depois de uma configuração de manutenção agendada.