Hotpatch pro aktualizace kvality Windows

Zásady aktualizací kvality Windows v Microsoft Intune podporují funkci nasazení hotpatch, která je navržená tak, aby omezila výpadky zařízení a přerušení provozu uživatelů. Hotpatch aplikuje způsobilé měsíční aktualizace zabezpečení B tak, aby se projevily bez nutnosti okamžitého restartování zařízení.

Hotpatch je rozšíření služba Windows Update a spravuje se prostřednictvím funkce Automatické aktualizace Windows pomocí zásad aktualizace pro zvýšení kvality. Pokud je tato funkce povolená, orchestruje nasazení aktualizací hotpatch do oprávněných zařízení zaregistrovaných v zásadách aktualizace pro zvýšení kvality automatickéhopatch. Tento přístup pomáhá organizacím zajistit dodržování předpisů zabezpečení a současně minimalizovat přerušení pracovních postupů.

Klíčové výhody

• Omezené přerušení: Hotpatch nainstaluje opravňující aktualizace zabezpečení bez nutnosti okamžitého restartování zařízení, což pomáhá uživatelům udržet produktivitu.
• Žádné změny stávajících aktualizačních kanálů: Stávající konfigurace aktualizačního kanálu zůstávají v platnosti a jsou respektovány společně s konfiguracemi hotpatch.
• Viditelnost na úrovni zásad: Sestava aktualizací kvality hotpatch poskytuje zobrazení stavu aktualizací na úrovni zásad pro zařízení, která dostávají aktualizace za chodu.

Požadavky

Hotpatch má stejné požadavky jako zásady aktualizace kvality Windows. Tato část popisuje další požadavky specifické pro hotpatch.

Požadavky na konfiguraci zařízení

Pokud chcete zařízení připravit na příjem aktualizací za provozu, nakonfigurujte na zařízení následující nastavení operačního systému. Tato nastavení musíte nakonfigurovat, aby se zařízení nabízela aktualizace hotpatch a aby se nainstalovaly všechny aktualizace hotpatch.

Zabezpečení na základě virtualizace (VBS)
Aby bylo možné zařízení nabízet aktualizace hotpatch, musí být služba VBS zapnutá. Informace o tom, jak nastavit a zjistit, jestli je povolený VBS, najdete v tématu Zabezpečení na základě virtualizace (VBS).

Poznámka

Zařízení můžou být dočasně nezpůsobilá, protože nemají povolenou službu VBS nebo aktuálně nemají nejnovější základní verzi. Pokud chcete zajistit, aby všechna vaše zařízení s Windows byla správně nakonfigurovaná tak, aby byla způsobilá pro aktualizace za chodu, přečtěte si téma Řešení potíží s aktualizacemi za chodu.

Zařízení Arm 64 musí zakázat zkompilované hybridní využití pe (CHPE) (pouze procesor Arm 64).

Důležité

Podpora zařízení ARM 64 je ve verzi Public Preview.

Pokud chcete zajistit, aby se použily všechny aktualizace hotpatch, musíte nastavit příznak zákazu kompilovaného hybridního přenosného spustitelného souboru (CHPE) a restartovat zařízení, aby se zakázalo používání funkce CHPE. Tento příznak stačí nastavit jenom jednou. Nastavení registru zůstává použito prostřednictvím aktualizací.

Tento požadavek platí pouze pro zařízení s procesorem Arm 64 při použití aktualizací hotpatch. Aktualizace oprav za chodu nejsou kompatibilní s binárními soubory operačního systému CHPE.

Pokud chcete zakázat CHPE, vytvořte nebo nastavte následující klíč registru DWORD:

Cestu: HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management DWORD key value: HotPatchRestrictions=1

Další informace o CHPE najdete tady.

Poznámka

Na zařízeních Arm64 s povoleným CHPE se neplánuje podpora aktualizací hotpatch. Zakázání funkce CHPE se vyžaduje jenom u zařízení s Arm64. Procesory AMD a Intel nemají CHPE. Pokud se rozhodnete, že už nebudete používat aktualizace za provozu, zrušte zaškrtnutí příznaku zákazu funkce CHPE (HotPatchRestrictions=0) a pak restartujte zařízení, aby se využití funkce CHPE zapnulo.

Nezpůsobilá zařízení

Zařízení, která nesplňují jeden nebo více požadavků, automaticky obdrží nejnovější kumulativní aktualizaci (LCU). Nejnovější kumulativní aktualizace LCU (LCU) obsahuje měsíční aktualizace, které nahrazují aktualizace z předchozího měsíce, které obsahují verze zabezpečení i verze nesouvisecí se zabezpečením.

Kumulativní aktualizace LCU vyžadují restartování zařízení, ale kumulativní aktualizace LCU zajišťuje, že zařízení zůstane plně zabezpečené a kompatibilní.

Poznámka

Pokud zařízení nemají nárok na aktualizace za chodu, nabídne se jim kumulativní aktualizace LCU. LCU zachová vaše nakonfigurovaná nastavení aktualizačního okruhu, ale nezmění nastavení.

Cykly vydávání verzí

Další informace o kalendáři verzí pro aktualizace hotpatch najdete v tématu Poznámky k verzi pro hotpatch.

• Směrný plán: Zahrnuje nejnovější opravy zabezpečení, kumulativní nové funkce a vylepšení. Vyžaduje se restartování.
• Hotpatch: Zahrnuje aktualizace zabezpečení. Nevyžaduje se restartování.

Čtvrtletí	Aktualizace standardních hodnot (vyžadují restartování)	Hotpatch (nevyžaduje se restartování)
1	Leden	Únor a březen
2	Duben	Květen a červen
3	Červenec	Srpen a září
4	Říjen	Listopad a prosinec

Hotpatch on Windows 11 Enterprise or Windows Server 2025

Poznámka

Hotpatch je k dispozici také na Windows Server a Windows 365. Další informace najdete v tématu Hotpatch for Windows Server Azure Edition.

Aktualizace hotpatch jsou podobné mezi Windows 11 a Windows Server 2025.

• Windows Autopatch spravuje Windows 11 aktualizace
• Správce aktualizace Azure a volitelné předplatné Azure Arc pro Windows 2025 Datacenter/Standard Editions (místní prostředí) spravuje Windows Server Datacenter Azure Edition.

Kalendářní data, osm hotpatch měsíců a čtyři základní měsíce naplánovaná každý rok, jsou stejná pro všechny operační systémy podporované hotpatch. Pro jeden operační systém je možné další základní měsíce (například Windows Server 2022), zatímco u jiného operačního systému, jako je Server 2025 nebo Windows 11 verze 24H2, existují horké měsíce. Projděte si poznámky k verzi ze stavu vydání Windows a udržujte si aktuální informace.

Registrace zařízení pro příjem aktualizací hotpatch

Poznámka

Pokud používáte skupiny automatického opravování a chcete, aby vaše zařízení dostávala aktualizace hotpatch, musíte vytvořit zásadu funkce hotpatch a přiřadit k ní zařízení. Zapnutí aktualizací za chodu nezmění nastavení odkladu použité u zařízení ve skupině automatického opravování.

Registrace zařízení pro příjem aktualizací hotpatch:

1. V Centru pro správu Microsoft Intune vyberte Zařízení>Aktualizace Systému Windows.
2. Vyberte kartu Aktualizace kvality .
3. Vyberte Vytvořit a vyberte Zásady aktualizace kvality pro Windows.
4. V části Základy zadejte název nové zásady a vyberte Další.
5. V části Nastavení nastavte možnost Pokud je k dispozici, použít bez restartování zařízení ("hotpatch") na Povolit. Poté vyberte Další.
6. Vyberte příslušné značky oboru nebo ponechte výchozí. Poté vyberte Další.
7. Přiřaďte zařízení k zásadě a vyberte Další.
8. Zkontrolujte zásady a vyberte Vytvořit.

Tímto postupem zajistíte správnou konfiguraci cílových zařízení, která mají nárok na příjem aktualizací hotpatch. Nezpůsobilým zařízením se nabízejí nejnovější kumulativní aktualizace (LCU).

Poznámka

Zapnutí aktualizací hotpatch nezmění stávající konfigurace instalace řízené termíny nebo plánované instalace na spravovaných zařízeních. Nastavení odkladu a aktivní hodiny stále platí.

Vrácení aktualizace za chodu

Automatické vrácení zpět aktualizace za chodu není podporováno, ale můžete je odinstalovat. Pokud se setkáte s neočekávaným problémem s aktualizacemi za chodu, můžete provést šetření odinstalací aktualizace hotpatch, instalací nejnovější standardní kumulativní aktualizace (LCU) a restartováním. Odinstalace aktualizace hotpatch je rychlá, ale vyžaduje restartování zařízení.

Sestava aktualizací kvality hotpatch

Po vytvoření zásady aktualizace kvality pro Windows s povolenými aktualizacemi hotpatch můžete monitorovat výsledky, stav nasazení za provozu a chyby ze sestav.

Tato sestava zobrazuje celkový počet cílových zařízení a aktuální stavy aktualizace všech zařízení s povolenou aktualizací za chodu.

Přístup k sestavě:

1. V Centru pro správu Microsoft Intune vyberte Sestavy.
2. V části Automatické opravy Windows vyberte Aktualizace pro zvýšení kvality Windows.
3. Na kartě Sestavy vyberte Sestava aktualizací kvality za chodu.