Updatebeheer draagt bij aan de beveiliging en stabiliteit van IT-infrastructuren. Voor bedrijven die servers op locatie en in meerdere clouds gebruiken, vereist het ook een organisatie die werkzaamheden kan coördineren en resultaten kan opvolgen.
Azure Update Manager maakt het mogelijk om de evaluatie en implementatie van updates op ondersteunde servers te centraliseren. Voor machines die buiten Azure worden gehost, legt Azure Arc de verbinding met de Azure-beheerservices.
Deze ontwikkeling kan het beheer van een hybride omgeving vergemakkelijken. Ze moet echter worden voorbereid: Azure Update Manager en WSUS vervullen niet precies dezelfde functies en kunnen naast elkaar blijven bestaan.
WSUS: waarom een overstap overwegen?
Windows Server Update Services (WSUS) maakt het mogelijk om de distributie van Microsoft-updates te centraliseren en de goedkeuring ervan binnen een Windows-omgeving te beheren.
Microsoft heeft aangekondigd dat het product wordt uitgefaseerd: het krijgt geen nieuwe functies meer. Het blijft echter ondersteund voor productieomgevingen en ontvangt nog steeds de beveiligings- en kwaliteitsupdates die binnen de levenscyclus van het product zijn voorzien.
De beslissing om uw omgeving te laten evolueren, moet daarom gebaseerd zijn op uw behoeften: inzicht in meerdere locaties, beheer van Windows- en Linux-servers, gecentraliseerde planning of vermindering van handmatige werkzaamheden.
Om te onthouden: uitfasering betekent niet dat de ondersteuning onmiddellijk stopt. De overstap moet worden gemotiveerd door uw architectuur, de gebruikte versies en uw beheerdoelstellingen.
Azure Arc en Azure Update Manager: twee aanvullende rollen
Azure Arc verbindt servers met Azure-beheer
Azure Arc maakt het mogelijk om servers op locatie of in andere clouds weer te geven als resources die vanuit Azure kunnen worden beheerd.
De machines blijven in hun hostingomgeving. Hun verbinding met Azure Arc betekent niet dat hun toepassingen of bedrijfsgegevens naar Azure worden verplaatst.
Deze verbinding vereist onder meer de installatie van de Azure Connected Machine-agent, passende machtigingen en connectiviteit die voldoet aan de vereisten van Microsoft.
Azure Update Manager stuurt de updates aan
Azure Update Manager maakt het mogelijk om beschikbare updates te evalueren, installaties te starten en onderhoudswerkzaamheden te plannen op ondersteunde Windows- en Linux-servers.
De huidige service is voor zijn updatewerkzaamheden niet afhankelijk van een Azure Automation-account of een Log Analytics-werkruimte. Hybrid Runbook Workers zijn dus geen algemene vereiste voor de werking ervan.
Azure Automation kan wel worden ingezet voor aanvullende automatiseringen wanneer het scenario dat vereist.
Een overstap die WSUS niet automatisch verwijdert
Azure Update Manager respecteert de updatebron die op de machine is geconfigureerd. Een Windows-server kan zijn patches dus blijven ophalen via WSUS, terwijl Update Manager de installatie ervan aanstuurt.
Als het doel is om WSUS te verwijderen, moeten ook de Windows Update-instellingen en de betreffende groepsbeleidsregels worden aangepast. Vervolgens moet de toegang tot de nieuwe updatebron worden gecontroleerd.
Het gaat dus niet om een eenvoudige vervanging van de beheerconsole.
Welke voordelen biedt dit voor het beheer van uw infrastructuur?
Een gecentraliseerd overzicht van updates
Azure Update Manager verzamelt de update-informatie van de machines die onder de service vallen. Teams kunnen vaststellen welke servers een ingreep vereisen en de resultaten van de implementaties bekijken.
Dit inzicht vergemakkelijkt de opvolging van uitbesteed IT-beheer, op voorwaarde dat er een betrouwbare inventaris beschikbaar is en dat niet-verbonden machines of machines met fouten worden aangepakt.
De patchstatus geeft informatie over updates; op zichzelf vormt deze geen bewijs van naleving van regelgeving.
Een planning afgestemd op de bedrijfsvereisten
Met onderhoudsconfiguraties kunnen terugkerende tijdvensters worden vastgelegd en de te installeren updates worden geselecteerd.
Dynamische bereiken kunnen machines groeperen op basis van criteria zoals resourcegroepen of Azure-tags. Het gebruik ervan vereist consistente classificatieregels om te voorkomen dat een server in een verkeerde campagne wordt opgenomen.
Een gefaseerde aanpak blijft de voorkeur genieten: een testomgeving, een pilotgroep en vervolgens de productieomgeving na validatie.
Herstarts die moeten worden georganiseerd
Met de implementatie-instellingen kan het gewenste herstartgedrag worden vastgelegd. Lokale beleidsregels en bestaande configuraties moeten echter worden gecontroleerd om conflicten te voorkomen.
Een onderhoudsvenster garandeert niet dat er geen onderbrekingen zijn. Afhankelijkheden tussen toepassingen, controles na een herstart en herstelprocedures moeten in de voorbereiding worden opgenomen.
Voor een kritieke toepassing moet het technische succes van de installatie worden aangevuld met een controle van de werking ervan.
WSUS en Azure Update Manager vergelijken
Azure Update Manager richt zich op ondersteunde serverbesturingssystemen. Het mag niet worden voorgesteld als een algemene oplossing ter vervanging van WSUS voor Windows 10- en Windows 11-werkstations.
Hoe bereidt u de overstap voor?
1. De bestaande omgeving analyseren
De eerste stap bestaat uit het identificeren van de betrokken servers, hun versies, hun patchbronnen en hun operationele vereisten.
De analyse moet ook betrekking hebben op groepsbeleidsregels, herstarts, back-ups en afhankelijke toepassingen.
Deze voorbereiding maakt het mogelijk om machines die in aanmerking komen te onderscheiden van omgevingen die een andere aanpak vereisen.
2. De doelarchitectuur en verantwoordelijkheden vastleggen
Vervolgens moet worden beslist of WSUS tijdelijk behouden blijft, als patchbron wordt gehandhaafd of geleidelijk wordt verwijderd.
De verantwoordelijkheden moeten worden verduidelijkt: wie geeft toestemming voor de campagnes, wie behandelt fouten en wie keurt de heringebruikname goed?
Bij IT-outsourcing bepalen deze beslissingen de omvang van de opdracht die aan de dienstverlener wordt toevertrouwd.
3. Een pilotgroep verbinden met Azure Arc
De aansluiting moet beginnen binnen een afgebakende, beheersbare omgeving. Zo kunnen de agent, de connectiviteit, de rechten en de evaluatie van patches worden gecontroleerd.
De vereisten moeten voor elke categorie machines worden gecontroleerd voordat de implementatie wordt uitgebreid.
4. De onderhoudscampagnes testen
Een pilotcampagne moet de installatie, de herstarts en de werking van de toepassingen valideren.
Op basis van de resultaten kunnen de tijdstippen, de patchclassificaties en de interventieprocedures worden aangepast.
5. De implementatie uitbreiden en overbodige afhankelijkheden verwijderen
De verdere uitrol kan vervolgens per groep servers gebeuren, afhankelijk van hun kriticiteit.
WSUS mag pas worden verwijderd nadat de resterende afhankelijkheden en de werking van de nieuwe updatebron zijn gecontroleerd.
Acties vóór en na het onderhoud automatiseren
Azure Update Manager biedt gebeurtenissen vóór en na geplande werkzaamheden. Deze kunnen aanvullende processen activeren via Azure Event Grid en componenten zoals Azure Functions of webhooks die aan runbooks zijn gekoppeld.
De Microsoft-documentatie over onderhoudsgebeurtenissen beschrijft deze mogelijkheden.
Voorbeeld: updates coördineren met Centreon
In een omgeving die door Centreon wordt gemonitord, kan een specifieke integratie worden ontwikkeld om:
- de betrokken apparatuur tijdens de interventie in onderhoudsmodus te plaatsen;
- de voorziene voorbereidende acties te activeren;
- Azure Update Manager de campagne te laten uitvoeren;
- het herstel van de services te controleren en de normale monitoring te hervatten.
Dit scenario vereist aangepaste scripts, machtigingen en foutafhandeling. Het gaat niet om een standaardintegratie die automatisch beschikbaar is.
Beveiligingsmaatregelen en stopvoorwaarden voorzien
Een snapshot kan worden overwogen wanneer het virtualisatieplatform dit toelaat en de consistentie ervan met de toepassing wordt gewaarborgd. Het vervangt geen back-up of geteste herstelprocedure.
Een ander belangrijk punt: het mislukken van een voorafgaande actie annuleert de campagne niet automatisch. Als een voorwaarde de updates moet blokkeren, moet de annuleringslogica expliciet worden voorzien.
De voorafgaande en afsluitende acties kunnen ook buiten het onderhoudsvenster plaatsvinden. De benodigde tijd moet in de algemene planning worden opgenomen.
Voordelen die binnen uw omgeving moeten worden gemeten
De waarde van het project moet worden beoordeeld op basis van uw daadwerkelijke werkzaamheden: voorbereidingstijd, opvolging van fouten, betrouwbaarheid van de campagnes en beheersing van onderbrekingen.
De waarde van het project wordt beoordeeld op basis van uw daadwerkelijke werkzaamheden. De opvolging moet het met name mogelijk maken om te controleren of de voorziene servers daadwerkelijk verbonden en geëvalueerd zijn, geslaagde en mislukte installaties te identificeren en machines op te sporen die een ingreep vereisen.
De tijd die aan de voorbereiding en opvolging van de campagnes wordt besteed, vormt eveneens een nuttige indicator. Door deze taken vóór en na de overstap te vergelijken, kunt u de organisatorische verbeteringen beoordelen en de automatiseringen aanpassen. Het naleven van de onderhoudsvensters en de goede werking van de toepassingen na de updates vervolledigen deze evaluatie.
Meetbare voordelen
Volgens een studie van Forrester Consulting zorgt de implementatie van Azure Arc voor:
- 30% minder werklast voor IT-teams
- 80% minder risico op datalekken
- 15% lagere kosten voor tools van derden
- Een ROI van 206% binnen minder dan zes maanden
(Bron: Microsoft Azure)
Uw project voorbereiden met ALL4IT
De overstap moet worden geïntegreerd in het algemene beheer van uw informatiesysteem: serveronderhoud, monitoring, back-ups en beschikbaarheid van toepassingen.
De diensten voor infrastructuurbeheer en cloudbeheer van ALL4IT bieden een kader om deze behoeften te onderzoeken en de omvang van de begeleiding vast te leggen.
Voor uw Azure Update Manager-project moeten onder meer de analyse van de bestaande omgeving, de keuze van de pilotomgeving, de organisatie van het onderhoud en de controles na de interventie worden vastgelegd. Specifieke automatiseringen, met name met monitoring, moeten worden beoordeeld op basis van uw tools en vereisten.
Deze aanpak van uitbesteed IT-beheer en IT-onderhoud heeft als doel de campagnes beter herhaalbaar en de opvolging ervan duidelijker te maken, met behoud van passende herstelprocedures.
Neem contact op met ALL4IT om uw WSUS-omgeving te onderzoeken en de stappen van een overstap naar Azure Update Manager met Azure Arc vast te leggen.