Accélérer les mises à jour qualité Windows dans Microsoft Intune

Article
04/18/2024

Avec la stratégie Mises à jour qualité pour Windows 10 et versions ultérieures, vous pouvez accélérer l’installation des mises à jour de sécurité Windows 10/11 les plus récentes sur les appareils que vous gérez avec Microsoft Intune. Le déploiement des mises à jour accélérées s’effectue sans qu’il soit nécessaire de suspendre ou de modifier vos stratégies de mise à jour mensuelle existantes. Par exemple, pour atténuer une menace de sécurité, vous pouvez accélérer une mise à jour spécifique que votre processus normal de mise à jour ne déploierait pas avant un certain temps.

Les mises à jour ne peuvent pas toutes être accélérées. Actuellement, seules les mises à jour de sécurité Windows 10/11 qui peuvent être accélérées sont disponibles pour le déploiement avec la stratégie des mises à jour qualité. Pour gérer les mises à jour de qualité mensuelles régulières, utiliser les anneaux de mise à jour pour Windows 10 et les stratégies ultérieures.

Comment fonctionnent les mises à jour accélérées

Avec les mises à jour accélérées, vous pouvez accélérer l’installation des mises à jour de qualité, telles que la dernière version du correctif mardi ou une mise à jour de sécurité hors bande pour une faille zéro jour.

Les stratégies de mise à jour accélérées remplacent temporairement les reports et d’autres paramètres pour installer les mises à jour aussi rapidement que possible. Ce processus permet aux appareils de démarrer le téléchargement et l’installation d’une mise à jour accélérée sans avoir à attendre que l’appareil case activée les mises à jour.

Le temps réel nécessaire à un appareil pour démarrer une mise à jour dépend de la connectivité Internet de l’appareil, de son heure d’analyse, du fonctionnement des canaux de communication avec l’appareil et d’autres facteurs tels que le temps de traitement cloud.

Pour chaque stratégie de mise à jour accélérée, vous sélectionnez une mise à jour unique à déployer en fonction de sa date de publication. En utilisant la date de publication, vous n’avez pas besoin de créer des stratégies distinctes pour déployer différentes instances de cette mise à jour sur des appareils qui ont des versions différentes de Windows, comme Windows 10 version 1809, 1909, etc.
Windows Update évalue la build et l’architecture de chaque appareil, puis fournit la version de mise à jour qui s’applique.
Seuls les appareils qui ont besoin de la mise à jour reçoivent la mise à jour accélérée :
- Windows Update n’essaie pas d’accélérer la mise à jour sur les appareils qui ont déjà une révision supérieure ou égale à la version de la mise à jour.
- Pour les appareils qui ont une version de build inférieure à celle de la mise à jour, Windows Update vérifie que l’appareil a encore besoin de la mise à jour avant de l’installer.
Importante

Dans certains scénarios, Windows Update peut installer une mise à jour plus récente que la mise à jour que vous spécifiez dans la stratégie de mise à jour accélérée. Pour plus d’informations sur ce scénario, consultez À propos de l’installation de la dernière mise à jour applicable, plus loin dans cet article.
Les stratégies de mise à jour accélérées ignorent et remplacent les périodes de report de mise à jour qualité de la version de mise à jour que vous déployez. Vous pouvez configurer les reports des mises à jour qualité à l’aide d’Intune des anneaux de mise à jour Windows et du paramètre de période de report de mise à jour qualité.
Quand un redémarrage est nécessaire pour effectuer l’installation de la mise à jour, il est géré par la stratégie. Dans la stratégie, vous pouvez configurer un délai pendant lequel les utilisateurs doivent redémarrer l’appareil avant que la stratégie force un redémarrage automatique. Les utilisateurs peuvent également choisir de planifier le redémarrage ou de laisser l’appareil essayer de trouver le meilleur moment en dehors de ses heures d’activité. Avant l’échéance du redémarrage, l’appareil affiche des notifications pour alerter l’utilisateur et propose des options pour planifier le redémarrage.

Si l’appareil ne redémarre pas avant l’échéance, le redémarrage peut se produire au milieu de la journée de travail. Pour plus d’informations sur le comportement de redémarrage, consultez Application de délais de conformité pour les mises à jour.
Les mises à jour accélérées ne sont pas recommandées pour la maintenance normale des mises à jour de qualité mensuelles. Mieux vaut utiliser les paramètres d’échéance d’une boucle de mise à jour pour Windows 10 et une stratégie ultérieure. Pour plus d’informations, consultez Utiliser les paramètres d’échéance sous les paramètres d’expérience utilisateur dans les Paramètres Windows Update.

Configuration requise

Importante

Cette fonctionnalité n’est pas prise en charge sur les environnements cloud GCC High/DoD.

L’activation de l’abonnement avec un CONTRAT existant n’est pas applicable aux environnements cloud GCC High/DoD pour les fonctionnalités WuFB-DS.

Voici les exigences qui permettent d’installer des mises à jour qualité accélérées avec Intune :

Licences :

En plus d’une licence pour Intune, votre organization doit avoir l’un des abonnements suivants qui incluent une licence pour le service de déploiement Windows Update entreprise :

Windows 10/11 Entreprise E3 ou E5 (inclus dans Microsoft 365 F3, E3 ou E5)
Windows 10/11 Éducation A3 ou A5 (inclus dans Microsoft 365 A3 ou A5)
Windows Virtual Desktop Access E3 ou E5
Microsoft 365 Business Premium

À compter de novembre 2022, la licence du service de déploiement Windows Update for Business (WUfB ds) sera vérifiée et appliquée.

Si vous êtes bloqué lors de la création de nouvelles stratégies pour les fonctionnalités qui nécessitent WUfB ds et que vous obtenez vos licences pour utiliser WUfB via un Accord Entreprise (EA), contactez la source de vos licences, telle que votre équipe de compte Microsoft ou le partenaire qui vous a vendu les licences. L’équipe de compte ou le partenaire peut confirmer que vos licences clientes répondent aux exigences de licence WUfB ds. Consultez Activer l’activation d’abonnement avec un CONTRAT existant.

Versions de Windows 10/11 prises en charge :

Versions de Windows 10/11 encore comprises dans le support de maintenance, sur une architecture x86 ou x64

Seules les builds de mise à jour qui sont généralement disponibles sont prises en charge. Les builds en préversion, y compris les canaux Bêta et Dev, ne sont pas prises en charge avec des mises à jour accélérées.

Éditions de Windows 10/11 prises en charge :

Professionnel
Entreprise
Formation
Professionnel Éducation
Professionnel pour stations de travail

Les appareils doivent :

Être inscrit à Intune GPM.
Être Microsoft Entra joint ou Microsoft Entra joint hybride. Workplace Join n’est pas pris en charge.
Avoir accès aux points de terminaison. Pour obtenir une liste détaillée des points de terminaison requis pour les services associés répertoriés ici, consultez Points de terminaison réseau.
- Windows Update
- Service de déploiement de Windows Update pour les entreprises
- Services de notification Push Windows : (recommandé, mais pas obligatoire. Sans cet accès, les appareils risquent de ne pas accélérer les mises à jour avant la prochaine vérification quotidienne des mises à jour.)
Être configuré pour recevoir des mises à jour qualité directement à partir du service Windows Update.
Disposez des Outils d’intégrité des mises à jour, qui sont installés avec la mise à jour KB 4023057 pour les composants du Service de mise à jour Windows 10. Pour confirmer la présence des outils d’intégrité des mises à jour sur un appareil :
- Recherchez le dossier C:\Program Files\Microsoft Update Health Tools ou accédez à Ajout/Suppression de programmes et cherchez Microsoft Update Health Tools.
- En tant qu’administrateur, exécutez le script PowerShell suivant :
```
$Session = New-Object -ComObject Microsoft.Update.Session
$Searcher = $Session.CreateUpdateSearcher()
$historyCount = $Searcher.GetTotalHistoryCount()
$list = $Searcher.QueryHistory(0, $historyCount) | Select-Object -Property "Title"
foreach ($update in $list)
{
   if ($update.Title.Contains("4023057"))
   {
      return 1
   }
}
return 0 
```
Si le script retourne une valeur 1, l’appareil a le client UHS. Si le script retourne une valeur 0, l’appareil n’a pas de client UHS.

Paramètres de l’appareil :

Pour éviter les conflits ou les configurations susceptibles de bloquer l’installation des mises à jour accélérées, configurez les appareils de la façon suivante. Vous pouvez utiliser les anneaux de mise à jour Intune pour Windows 10 et les stratégies ultérieures afin de gérer ces paramètres.

Paramètre des anneaux de mise à jour	Valeur recommandée
Activer les builds en préversion	Ce paramètre doit être défini sur Non configuré. Les builds en préversion, y compris les canaux Bêta et Dev, ne sont pas prises en charge avec des mises à jour accélérées.
Comportement des mises à jour automatiques	Rétablir les valeurs par défaut D’autres valeurs peuvent entraîner une mauvaise expérience utilisateur et ralentir le processus d’accélération des mises à jour.
Changer le niveau de notification de mise à jour	Utilisez une valeur autre que Désactiver toutes les notifications, y compris les avertissements de redémarrage

Pour plus d’informations sur ces paramètres, consultez Fournisseur de services de configuration de stratégie - Mise à jour.

Les paramètres de stratégie de groupe remplacent les stratégies de gestion des appareils mobiles. La liste suivante de paramètres de stratégie de groupe peut interférer avec la stratégie accélérée. Sur les appareils où ces paramètres ont été gérés par une stratégie de groupe, restaurez les valeurs par défaut de l’appareil (Non configuré) :

CorpWuURL : spécifiez l’emplacement intranet du service de mise à jour Microsoft.
AutoUpdateCfg : configurez les mises à jour automatiques.
DeferFeatureUpdates : choisissez le moment où les préversions et les mises à jour de fonctionnalités sont reçues.
Désactiver le balayage double : n’autorise pas les stratégies de report de mise à jour à rechercher des mises à jour dans Windows Update.

Surveillance et création de rapports :

Avant de pouvoir surveiller les résultats et mettre à jour status des mises à jour accélérées, votre locataire Intune doit activer la collecte de données.

Limitations pour les appareils joints à l’espace de travail

Intune stratégies pour les mises à jour qualité pour Windows 10 et versions ultérieures nécessitent l’utilisation de Windows Update for Business (WUfB) et du service de déploiement Windows Update for Business (WUfB ds). Lorsque WUfB prend en charge les appareils WPJ, WUfB ds fournit des fonctionnalités supplémentaires qui ne sont pas prises en charge pour les appareils WPJ.

Pour plus d’informations sur les limitations WPJ pour les stratégies de Intune Windows Update, consultez Limitations des stratégies pour les appareils joints à l’espace de travail dans Gérer les mises à jour logicielles Windows 10 et Windows 11 dans Intune.

Créer et attribuer une mise à jour qualité accélérée

Connectez-vous au Centre d’administration Microsoft Intune.
Sélectionnez Appareils>Windows 10 et mises à jour ultérieures Mises à jour>>de qualitéCreate profil.
Dans Paramètres, entrez les propriétés suivantes pour identifier ce profil :
- Nom: saisir un nom descriptif pour le profil. Nommer vos profils afin de pouvoir les identifier facilement ultérieurement.
- Description : entrez une description pour le profil. Ce paramètre est facultatif, mais recommandé.
Dans Paramètres, configurez Accélérer l’installation des mises à jour qualité si la version de système d’exploitation de l’appareil est antérieure à. Sélectionnez la mise à jour à accélérer dans la liste déroulante. La liste comprend uniquement les mises à jour que vous pouvez accélérer.

Conseil

Les mises à jour qualité facultatives de Windows 10 ne peuvent pas être accélérées et ne seront pas disponibles à la sélection.

Quand vous sélectionnez une mise à jour :
- Les mises à jour sont identifiées par leur date de publication et vous pouvez en sélectionner une seule par stratégie.
- Les mises à jour dont le nom comprend la lettre B représentent les mises à jour publiées dans le cadre d’un événement Patch Tuesday. La lettre B indique que la mise à jour a été publiée le deuxième mardi du mois.
- Les mises à jour de sécurité pour Windows 10/11 publiées hors bande à l’occasion d’un Patch Mardi peuvent être accélérées. Au lieu de la lettre B, les versions de patch hors bande ont des identificateurs différents.
- Pendant le déploiement de la mise à jour, Windows Update garantit que chaque appareil qui reçoit la stratégie installe une version de la mise à jour qui s’applique à son architecture et à sa version actuelle de Windows, par exemple, 1809, 2004, etc.
Accélération non liée à la sécurité Mises à jour : inclut des correctifs de qualité après la version précédente de B/Security. Les administrateurs peuvent accélérer l’installation de la dernière mise à jour qualité applicable sur les appareils, sans attendre la période de report.
- Mises à jour sans le mot SecurityUpdate indiquent qu’il ne s’agit pas d’une mise à jour de sécurité. Mises à jour qui incluent la lettre D dans leur nom identifient les mises à jour publiées depuis la dernière semaine de sécurité du mardi correctif. Vous pouvez également voir la mise à jour OOB 2024.01 (versions de correctifs hors bande ). Mise à jour mensuelle Windows expliquée
- Les mises à jour non liées à la sécurité s’affichent uniquement lorsqu’il s’agit de la version la plus récente. La liste déroulante est mise à jour pour afficher les deux mises à jour de sécurité les plus récentes, y compris si l’une est une mise à jour hors bande. Si la mise à jour non relative à la sécurité la plus récente est plus récente que la mise à jour de sécurité la plus récente, la mise à jour non liée à la sécurité est également incluse dans la liste déroulante. Par conséquent, parfois, deux mises à jour sont affichées et, à d’autres moments, trois mises à jour sont affichées.
  
  Conseil
  
  Pour plus d’informations, consultez le blog Windows 10 update servicing cadence - Microsoft Tech Community.
- Les mises à jour accélérées non liées à la sécurité s’appliquent aux appareils Windows 11. Si Windows 10 appareils sont affectés à une stratégie d’accélération qui définit une version D, ces appareils ne sont pas accélérés et affichent une alerte dans les rapports suivants.
  - Rapports>Windows Mises à jour>Onglet Rapports>Rapport de mise à jour accélérée Windows
  - Dispositifs>Windows 10 et les mises à jour ultérieuresSurveiller les stratégies > de mise à jour de la qualité accélérée de l’onglet > avec la vignette d’alertes, puis cliquez sur le titre.
Dans Paramètres, configurez le Nombre de jours avant le redémarrage forcé. Pour ce paramètre, sélectionnez le délai après installation de la mise à jour avant le redémarrage automatique d’un appareil pour terminer l’installation de la mise à jour. Vous pouvez choisir entre zéro et deux jours. Le redémarrage automatique est annulé si un appareil redémarre manuellement avant l’échéance. Si une mise à jour ne nécessite pas de redémarrage, ce paramètre n’est pas appliqué.
- Le paramètre 0 jour signifie que dès que l’appareil installe la mise à jour, l’utilisateur est averti du redémarrage et dispose d’une durée limitée pour enregistrer son travail.
  
  Importante
  
  Cette expérience peut impacter la productivité de l’utilisateur. Utilisez-la pour les mises à jour qui doivent se terminer et redémarrer l’appareil le plus rapidement possible.
- Le paramètre 1 jour ou 2 jours permet aux utilisateurs de l’appareil de gérer le redémarrage avant qu’il ne soit forcé. Ces paramètres accordent un délai de redémarrage automatique de 24 ou 48 heures après l’installation de la mise à jour sur l’appareil.
Dans Attributions, sélectionnez Ajouter des groupes, puis sélectionnez les groupes d’utilisateurs ou d’appareils auxquels attribuer la stratégie.
Dans Vérifier + créer, sélectionner Créer. Une fois la stratégie créée, elle est déployée sur les groupes attribués.

Identifier la dernière mise à jour applicable

Dans certains scénarios, votre stratégie d’accélération de mise à jour entraîne l’installation d’une mise à jour plus récente que celle spécifiée dans la stratégie. Ce résultat se produit quand la mise à jour plus récente comprend la mise à jour spécifiée et la dépasse, et qu’elle est disponible avant qu’un appareil effectue un check-in pour installer la mise à jour qui est spécifiée dans la stratégie d’accélération de mise à jour. Un exemple détaillé de ce scénario est fourni plus loin dans cet article.

L’installation de la dernière mise à jour qualité réduit les interruptions de l’appareil et de l’utilisateur tout en appliquant les avantages de la mise à jour prévue. De cette façon, vous n’avez pas besoin d’installer plusieurs mises à jour, qui peuvent nécessiter des redémarrages distincts.

Une mise à jour plus récente est déployée quand les conditions suivantes sont remplies :

L’appareil n’est pas ciblé avec une stratégie de report qui bloque l’installation d’une mise à jour plus récente. Dans ce cas, la mise à jour pouvant être installée est la plus récente disponible qui n’est pas reportée.
Pendant le processus d’accélération d’une mise à jour, l’appareil exécute une nouvelle analyse qui détecte la mise à jour plus récente. Cela peut se produire en fonction du moment où :
- L’appareil redémarre pour terminer l’installation
- L’appareil exécute son analyse quotidienne
- Une nouvelle mise à jour est disponible
Quand une analyse identifie une mise à jour plus récente, Windows Update tente d’arrêter l’installation de la mise à jour d’origine, d’annuler le redémarrage, puis de démarrer le téléchargement et l’installation de la mise à jour la plus récente.

Les stratégies d’accélération de mise à jour remplacent un report de mise à jour pour la version de mise à jour spécifiée dans la stratégie, mais elles ne remplacent pas les reports en place pour les autres versions de mise à jour.

Exemple d’installation d’une mise à jour accélérée

La séquence d’événements suivante illustre comment deux appareils, Test-1 et Test-2, installent une mise à jour en fonction d’une stratégie de mise à jour qualité Windows 10 et ultérieure attribuée aux appareils.

Chaque mois, les administrateurs Intune déploient les dernières mises à jour qualité de Windows 10 le quatrième mardi du mois. Ils disposent donc de deux semaines après l’événement Patch Tuesday pour valider les mises à jour dans leur environnement avant de forcer l’installation de la mise à jour.
Le 19 janvier 2021, les appareils Test-1 et Test-2 installent la dernière mise à jour qualité issue de la version Patch Tuesday du 12 janvier. Le lendemain, les deux appareils sont désactivés par leurs utilisateurs qui partent tous deux en vacances.
Le 9 février, l’administrateur Intune crée une stratégie pour accélérer l’installation de la version Path Tuesday Mises à jour de sécurité pour Windows 10 - 02/09/2021 – 2021.02 B afin de sécuriser les appareils de l’entreprise contre une menace critique résolue par la mise à jour. La stratégie d’accélération est attribuée à un groupe d’appareils qui comprend Test-1 et Test-2. Tous les appareils actifs de ce groupe reçoivent et installent la stratégie de mise à jour accélérée.
Pendant l’événement Patch Tuesday du 9 mars, une nouvelle mise à jour qualité est publiée sous Mises à jour de sécurité pour Windows 10 - 03/09/2021 – 2021.03 B. Aucun problème critique ne nécessite de déploiement accéléré de cette mise à jour, mais les administrateurs détectent un conflit possible. Afin de se donner le temps d’examiner le problème potentiel, les administrateurs utilisent une stratégie d’anneau de mise à jour Windows pour créer une stratégie de report de sept jours. Tous les appareils gérés ont l’impossibilité d’installer cette mise à jour avant le 14 mars.
Voyons maintenant les résultats suivants concernant Test-1 et Test-2, en fonction du moment où ils ont chacun été réactivés :
- Test-1 : le 12 mars, Test-1 est rallumé, se connecte au réseau et reçoit les notifications de mise à jour accélérée :
  1. Windows Update détermine que Test-1 a encore besoin d’accélérer l’installation des mises à jour, d’après la stratégie.
  2. Comme la mise à jour du 9 mars remplace la mise à jour de février, Windows Update peut installer la mise à jour du 9 mars.
  3. Un report actif est défini sur la mise à jour de mars qui reste valide jusqu’au 14 mars.
  Résultat : comme la stratégie de report de la mise à jour de mars est toujours active et bloque l’installation de cette mise à jour, Test-1 installe la mise à jour de février, comme configuré dans la stratégie.
- Test-2 : le 20 mars, Test-2 est rallumé, se connecte au réseau et reçoit les notifications de mise à jour accélérée :
  1. Windows Update détermine que Test-2 a encore besoin d’accélérer l’installation des mises à jour, d’après la stratégie.
  2. Comme la mise à jour du 9 mars remplace la mise à jour de février, Windows Update peut installer la mise à jour du 9 mars.
  3. Le report défini sur la mise à jour de mars n’est plus actif.
  Résultat : comme la stratégie de report de la mise à jour de mars a expiré, Test-2 installe la mise à jour la plus récente de mars en ignorant la mise à jour de février et en installant une mise à jour ultérieure à celle spécifiée dans la stratégie.

Gérer les stratégies pour accélérer les mises à jour qualité

Dans le Centre d’administration, accéder à Appareils>les mises à jour qualité de Windows>pour Windows 10 et versions ultérieures et sélectionner la stratégie que vous souhaitez gérer. La stratégie s’ouvre sur son volet Vue d’ensemble.

Dans ce volet, vous pouvez :

Sélectionner Supprimer pour supprimer la stratégie dans Intune. La suppression d’une stratégie la supprime d’Intune, mais ne la désinstalle pas si elle l’est déjà. Windows Update tente d’annuler toutes les installations en cours, mais cette annulation n’est pas garantie.
Sélectionner Propriétés pour modifier le déploiement. Dans le volet Propriétés, sélectionnez Modifier pour ouvrir les Paramètres, Étiquettes d’étendue ou Attributions, où vous pouvez ensuite modifier le déploiement.

Analyse et rapports

Avant de pouvoir surveiller les résultats et mettre à jour status des mises à jour accélérées, votre locataire Intune doit activer la collecte de données.

Dès qu’une stratégie est créée, vous pouvez superviser les résultats, l’état de mise à jour et les erreurs à partir des rapports suivants.

Rapport de synthèse

Ce rapport montre l’état actuel de tous les appareils du profil, et fournit une vue d’ensemble du nombre d’appareils pour lesquels une mise à jour est en cours d’installation, est installée ou a une erreur.

Connectez-vous au Centre d’administration Microsoft Intune.
Sélectionnez Rapports>Mises à jour Windows. Sous l’onglet Récapitulatif, vous pouvez voir le tableau des Mises à jour qualité Windows accélérées.
Pour plus d’informations, sélectionnez l’onglet Rapports, puis Rapport des mises à jour Windows accélérées.
Cliquez sur le lien Sélectionner un profil de mise à jour accélérée.
Dans la liste des profils affichée à droite de la page, sélectionnez un profil pour voir les résultats.
Sélectionnez le bouton Générer le rapport.

Rapport d’appareil

Ce rapport peut vous aider à trouver les appareils qui ont des alertes ou des erreurs, et peut vous aider à résoudre les problèmes de mise à jour.

Connectez-vous au Centre d’administration Microsoft Intune
Sélectionnez Appareils>Superviser.
Dans la liste des rapports de supervision, accédez à la section Mises à jour de logiciel et sélectionnez Échecs des mises à jour Windows accélérées.
Dans la liste des profils affichée à droite de la page, sélectionnez un profil pour voir les résultats.

États de mise à jour

État de mise à jour	Sous-état de mise à jour	Définition
Pending	Validation	L’appareil a été ajouté à la stratégie dans le service, et le processus validant que l’appareil peut être accéléré a commencé.
Pending	Scheduled	L’appareil a été validé et peut être accéléré.
Offre	OfferReady	Les instructions d’accélération ont été envoyées à l’appareil.
En cours d'installation	OfferReceived	L’appareil a recherché les mises à jour dans Windows Update. La mise à jour est applicable, mais n’a pas encore été téléchargée.
En cours d'installation	DownloadStart	L’appareil a commencé à télécharger la mise à jour.
En cours d'installation	DownloadComplete	L’appareil a téléchargé la mise à jour.
En cours d'installation	InstallStart	L’appareil a commencé l’installation de la mise à jour.
En cours d'installation	InstallComplete	L’appareil a installé la mise à jour. À moins que la mise à jour n’ait une erreur de mise à jour, l’appareil doit passer rapidement à l’état RestartRequired ou UpdateInstalled.
En cours d'installation	RestartRequired	L’installation est effectuée et nécessite un redémarrage.
En cours d'installation	RestartInitiated	L’appareil a commencé le redémarrage.
En cours d'installation	RestartComplete	L’appareil a été redémarré.
Installé	UpdateInstalled	La mise à jour est terminée.

Prochaines étapes

Configurer des anneaux de mise à jour pour Windows 10 et versions ultérieures
Configurer les mises à jour des fonctionnalités pour Windows 10 et versions ultérieures
Utiliser les Rapports de compatibilité des mises à jour Windows
Afficher des Informations sur les versions de Windows