Rozwiązywanie problemów z usługą Update Management

  • Artykuł

Uwaga

W tym artykule odwołuje się do systemu CentOS — dystrybucji systemu Linux, która zbliża się do stanu zakończenia życia (EOL). Rozważ odpowiednie użycie i planowanie. Aby uzyskać więcej informacji, zobacz wskazówki dotyczące zakończenia życia systemu CentOS.

W tym artykule omówiono problemy, które mogą wystąpić podczas korzystania z funkcji Update Management w celu oceny aktualizacji na maszynach i zarządzania nimi. Istnieje narzędzie do rozwiązywania problemów z agentem hybrydowego procesu roboczego elementu Runbook, aby pomóc w ustaleniu podstawowego problemu. Aby dowiedzieć się więcej na temat narzędzia do rozwiązywania problemów, zobacz Rozwiązywanie problemów z agentem usługi Windows Update i Rozwiązywanie problemów z agentem aktualizacji systemu Linux. Aby uzyskać informacje o innych problemach z wdrażaniem funkcji, zobacz Rozwiązywanie problemów z wdrażaniem funkcji.

Uwaga

Jeśli wystąpią problemy podczas wdrażania rozwiązania Update Management na maszynie z systemem Windows, otwórz Podgląd zdarzeń systemu Windows i sprawdź dziennik zdarzeń programu Operations Manager w obszarze Dzienniki aplikacji i usług na komputerze lokalnym. Poszukaj zdarzeń o identyfikatorze zdarzenia 4502 i szczegółach zdarzenia, które zawierają Microsoft.EnterpriseManagement.HealthService.AzureAutomation.HybridAgent.

Scenariusz: aktualizacja usługi Windows Defender zawsze jest wyświetlana jako brakująca

Problem

Aktualizacja definicji dla usługi Windows Defender (KB2267602) zawsze jest wyświetlana jako brakująca w ocenie, gdy jest zainstalowana i jest wyświetlana jako aktualna po zweryfikowaniu z historii usługi Windows Update.

Przyczyna

Aktualizacje definicji są publikowane wielokrotnie w ciągu dnia. W rezultacie można zobaczyć wiele wersji KB2267602 opublikowanych w ciągu jednego dnia, ale z innym identyfikatorem aktualizacji i wersją.

Ocena rozwiązania Update Management jest uruchamiana raz w ciągu 11 godzin. W tym przykładzie o godzinie 10:00 uruchomiono ocenę, a w tej chwili była dostępna wersja 1.237.316.0. Podczas wyszukiwania tabeli Aktualizacja w obszarze roboczym usługi Log Analytics jest wyświetlana aktualizacja definicji 1.237.316.0 ze stanem UpdateState równym Needed. Jeśli zaplanowane wdrożenie zostanie uruchomione kilka godzin później, załóżmy, że 13:00 i wersja 1.237.316.0 jest nadal dostępna lub nowsza wersja jest zainstalowana, nowsza wersja zostanie zainstalowana i zostanie odzwierciedlona w rekordzie zapisanym w tabeli UpdateRunProgress . Jednak w tabeli Aktualizacja nadal będzie wyświetlana wersja 1.237.316.0 zgodnie ze stanem Needed do momentu uruchomienia następnej oceny. Po ponownym uruchomieniu oceny może nie być dostępna nowsza aktualizacja definicji, więc tabela Update nie będzie wyświetlać aktualizacji definicji w wersji 1.237.316.0 jako brakującej lub nowszej dostępnej w razie potrzeby. Ze względu na częstotliwość aktualizacji definicji w wyszukiwaniu dzienników może być zwracanych wiele wersji.

Rozwiązanie

Uruchom następujące zapytanie dziennika, aby potwierdzić, że zainstalowane aktualizacje definicji są prawidłowo zgłaszane. To zapytanie zwraca czas wygenerowany, wersję i identyfikator aktualizacji KB2267602 w tabeli Aktualizacje. Zastąp wartość Computer w pełni kwalifikowaną nazwą maszyny.

Update
| where TimeGenerated > ago(14h) and OSType != "Linux" and (Optional == false or Classification has "Critical" or Classification has "Security") and SourceComputerId in ((
    Heartbeat
    | where TimeGenerated > ago(12h) and OSType =~ "Windows" and notempty(Computer)
    | summarize arg_max(TimeGenerated, Solutions) by SourceComputerId
    | where Solutions has "updates"
    | distinct SourceComputerId))
| summarize hint.strategy=partitioned arg_max(TimeGenerated, *) by Computer, SourceComputerId, UpdateID
| where UpdateState =~ "Needed" and Approved != false and Computer == "<computerName>"
| render table

Wyniki zapytania powinny zwrócić coś podobnego do następującego:

Przykład przedstawiający wyniki zapytania dziennika z tabeli Aktualizacje.

Uruchom następujące zapytanie dziennika, aby pobrać wygenerowany czas, wersję i identyfikator aktualizacji KB2267602 w tabeli Aktualizacje RunProgress. To zapytanie pomaga nam zrozumieć, czy została zainstalowana z rozwiązania Update Management, czy została ona automatycznie zainstalowana na maszynie z usługi Microsoft Update. Należy zastąpić wartość identyfikatora CorrelationId identyfikatorem GUID zadania elementu runbook (czyli wartości właściwości MasterJOBID z zadania runbook Patch-MicrosoftOMSComputer ) dla aktualizacji i identyfikatorem SourceComputerId identyfikatorem GUID maszyny.

UpdateRunProgress
| where OSType!="Linux" and CorrelationId=="<master job id>" and SourceComputerId=="<source computer id>"
| summarize arg_max(TimeGenerated, Title, InstallationStatus) by UpdateId
| project TimeGenerated, id=UpdateId, displayName=Title, InstallationStatus

Wyniki zapytania powinny zwrócić coś podobnego do następującego:

Przykład przedstawiający wyniki zapytania dziennika z tabeli Aktualizacje RunProgress.

Jeśli wartość TimeGenerated dla zapytania dziennika wynika z tabeli Aktualizacje jest wcześniejsza niż sygnatura czasowa (czyli wartość TimeGenerated) instalacji aktualizacji na maszynie lub z wyników zapytania dziennika z tabeli UpdateRunProgress, a następnie poczekaj na następną ocenę. Następnie ponownie uruchom zapytanie dziennika względem tabeli Aktualizacje. Aktualizacja KB2267602 nie zostanie wyświetlona lub pojawi się z nowszą wersją. Jednak nawet po najnowszej ocenie, jeśli ta sama wersja jest wyświetlana jako Wymagana w tabeli Aktualizacje, ale jest już zainstalowana, należy otworzyć zdarzenie pomoc techniczna platformy Azure.

Scenariusz: aktualizacje systemu Linux wyświetlane jako oczekujące, a zainstalowane różnią się

Problem

W przypadku maszyny z systemem Linux rozwiązanie Update Management wyświetla określone aktualizacje dostępne w obszarze Zabezpieczenia klasyfikacji i inne. Jednak po uruchomieniu harmonogramu aktualizacji na maszynie, na przykład w celu zainstalowania tylko aktualizacji pasujących do klasyfikacji zabezpieczeń , zainstalowane aktualizacje różnią się od lub podzestawu aktualizacji pokazanych wcześniej pasujących do tej klasyfikacji.

Przyczyna

Po zakończeniu oceny aktualizacji systemu operacyjnego oczekujących na maszynę z systemem Linux pliki Open Vulnerability and Assessment Language (OVAL) udostępniane przez dostawcę dystrybucji systemu Linux są używane przez rozwiązanie Update Management do klasyfikacji. Kategoryzacja jest wykonywana w przypadku aktualizacji systemu Linux jako zabezpieczeń lub innych, na podstawie plików OVAL, które zawierają aktualizacje dotyczące problemów z zabezpieczeniami lub luk w zabezpieczeniach. Jednak po uruchomieniu harmonogramu aktualizacji jest wykonywany na maszynie z systemem Linux przy użyciu odpowiedniego menedżera pakietów, takiego jak YUM, APT lub ZYPPER, aby je zainstalować. Menedżer pakietów dystrybucji systemu Linux może mieć inny mechanizm klasyfikowania aktualizacji, gdzie wyniki mogą się różnić od tych uzyskanych z plików OVAL przez rozwiązanie Update Management.

Rozwiązanie

Możesz ręcznie sprawdzić maszynę z systemem Linux, odpowiednie aktualizacje i ich klasyfikację zgodnie z menedżerem pakietów dystrybucji. Aby zrozumieć, które aktualizacje są klasyfikowane jako Zabezpieczenia przez menedżera pakietów, uruchom następujące polecenia.

W przypadku YUM następujące polecenie zwraca niezerową listę aktualizacji sklasyfikowanych jako Zabezpieczenia według oprogramowania Red Hat. Należy pamiętać, że w przypadku systemu CentOS zawsze zwraca pustą listę i nie ma klasyfikacji zabezpieczeń.

sudo yum -q --security check-update

W przypadku rozwiązania ZYPPER następujące polecenie zwraca niezerową listę aktualizacji sklasyfikowanych jako Zabezpieczenia przez SUSE.

sudo LANG=en_US.UTF8 zypper --non-interactive patch --category security --dry-run

W przypadku narzędzia APT następujące polecenie zwraca niezerową listę aktualizacji sklasyfikowanych jako Zabezpieczenia według dystrybucji Canonical dla systemu Ubuntu Linux.

sudo grep security /etc/apt/sources.list > /tmp/oms-update-security.list LANG=en_US.UTF8 sudo apt-get -s dist-upgrade -oDir::Etc::Sourcelist=/tmp/oms-update-security.list

Na tej liście uruchomisz polecenie grep ^Inst , aby pobrać wszystkie oczekujące aktualizacje zabezpieczeń.

Scenariusz: zostanie wyświetlony błąd "Nie można włączyć rozwiązania aktualizacji"

Problem

Podczas próby włączenia rozwiązania Update Management na koncie usługi Automation występuje następujący błąd:

Error details: Failed to enable the Update solution

Przyczyna

Przyczyny takiej sytuacji mogą być następujące:

  • Wymagania dotyczące zapory sieciowej dla agenta usługi Log Analytics mogą nie być poprawnie skonfigurowane. Taka sytuacja może spowodować niepowodzenie agenta podczas rozpoznawania adresów URL DNS.

  • Określanie wartości docelowej rozwiązania Update Management jest nieprawidłowo skonfigurowane, a maszyna nie otrzymuje aktualizacji zgodnie z oczekiwaniami.

  • Możesz również zauważyć, że na maszynie jest wyświetlany stan Non-compliant w obszarze Zgodność. Jednocześnie usługa Pulpit agenta Analytics zgłasza agenta jako Disconnected.

Rozwiązanie

Scenariusz: zastąpiona aktualizacja wskazana jako brakująca w rozwiązaniu Update Management

Problem

Stare aktualizacje są wyświetlane dla konta usługi Automation jako brakujące, mimo że zostały zastąpione. Zastąpiona aktualizacja jest taka, której nie trzeba instalować, ponieważ dostępna jest nowsza aktualizacja, która poprawia tę samą lukę w zabezpieczeniach. Rozwiązanie Update Management ignoruje zastąpioną aktualizację i sprawia, że nie ma zastosowania na rzecz zastąpionej aktualizacji. Aby uzyskać informacje o powiązanym problemie, zobacz Aktualizacja została zastąpiona.

Przyczyna

Zastąpione aktualizacje nie są odrzucane w usługach Windows Server Update Services (WSUS), dzięki czemu można je uznać za nie dotyczy.

Rozwiązanie

Gdy zastąpiona aktualizacja stanie się 100 procent nie dotyczy, należy zmienić stan zatwierdzenia tej aktualizacji na Declined w programie WSUS. Aby zmienić stan zatwierdzenia dla wszystkich aktualizacji:

  1. Na koncie usługi Automation wybierz pozycję Update Management , aby wyświetlić stan maszyny. Zobacz Wyświetlanie ocen aktualizacji.

  2. Sprawdź zastąpioną aktualizację, aby upewnić się, że nie ma ona zastosowania w 100 procentach.

  3. Na serwerze WSUS maszyny raportują, odrzuć aktualizację.

  4. Wybierz pozycję Komputery i w kolumnie Zgodność wymuś ponowne skanowanie pod kątem zgodności. Zobacz Zarządzanie aktualizacjami maszyn wirtualnych.

  5. Powtórz powyższe kroki dla innych zastąpionych aktualizacji.

  6. W przypadku usług Windows Server Update Services (WSUS) wyczyść wszystkie zastąpione aktualizacje, aby odświeżyć infrastrukturę przy użyciu Kreatora oczyszczania serwera WSUS.

  7. Powtórz tę procedurę regularnie, aby rozwiązać problem z wyświetlaniem i zminimalizować ilość miejsca na dysku używanego do zarządzania aktualizacjami.

Scenariusz: maszyny nie są wyświetlane w portalu w usłudze Update Management

Problem

Maszyny mają następujące objawy:

  • Maszyna jest wyświetlana Not configured z widoku rozwiązania Update Management maszyny wirtualnej.

  • Brak maszyn w widoku rozwiązania Update Management konta usługi Azure Automation.

  • Masz maszyny, które są wyświetlane jako Not assessed w obszarze Zgodność. Jednak dane pulsu są widoczne w dziennikach usługi Azure Monitor dla hybrydowego procesu roboczego elementu Runbook, ale nie dla rozwiązania Update Management.

Przyczyna

Ten problem może być spowodowany problemami z konfiguracją lokalną lub niewłaściwie skonfigurowaną konfiguracją zakresu. Możliwe konkretne przyczyny to:

  • Może być konieczne ponowne zarejestrowanie i ponowne zainstalowanie hybrydowego procesu roboczego elementu Runbook.

  • Być może zdefiniowano limit przydziału w obszarze roboczym, który został osiągnięty i uniemożliwia dalsze przechowywanie danych.

Rozwiązanie

  1. Uruchom narzędzie do rozwiązywania problemów dla systemu Windows lub Linux, w zależności od systemu operacyjnego.

  2. upewnić się, że maszyna raportuje do prawidłowego obszaru roboczego; Aby uzyskać wskazówki dotyczące weryfikowania tego aspektu, zobacz Weryfikowanie łączności agenta z usługą Azure Monitor. Upewnij się również, że ten obszar roboczy jest połączony z kontem usługi Azure Automation. Aby potwierdzić, przejdź do konta usługi Automation i wybierz pozycję Połączony obszar roboczy w obszarze Powiązane zasoby.

  3. Upewnij się, że maszyny są wyświetlane w obszarze roboczym usługi Log Analytics połączonym z kontem usługi Automation. Uruchom następujące zapytanie w obszarze roboczym usługi Log Analytics.

    Heartbeat
| summarize by Computer, Solutions

    Jeśli maszyna nie jest widoczna w wynikach zapytania, nie została ona ostatnio zaewidencjonowana. Prawdopodobnie występuje problem z konfiguracją lokalną i należy ponownie zainstalować agenta.

    Jeśli maszyna znajduje się na liście wyników zapytania, sprawdź właściwość Solutions , która aktualizuje . Sprawdza to, czy jest on zarejestrowany w usłudze Update Management. Jeśli tak nie jest, sprawdź, czy występują problemy z konfiguracją zakresu. Konfiguracja zakresu określa, które maszyny są skonfigurowane dla rozwiązania Update Management. Aby skonfigurować konfigurację zakresu dla maszyny docelowej, zobacz Włączanie maszyn w obszarze roboczym.

  4. W obszarze roboczym uruchom to zapytanie.

    Operation
| where OperationCategory == 'Data Collection Status'
| sort by TimeGenerated desc

    Jeśli otrzymasz Data collection stopped due to daily limit of free data reached. Ingestion status = OverQuota wynik, osiągnięto limit przydziału zdefiniowany w obszarze roboczym, który zatrzymał zapisywanie danych. W obszarze roboczym przejdź do obszaru Zarządzanie woluminami danych w obszarze Użycie i szacowane koszty, a następnie zmień lub usuń limit przydziału.

  5. Jeśli problem jest nadal nierozwiązany, wykonaj kroki opisane w temacie Wdrażanie hybrydowego procesu roboczego elementu Runbook systemu Windows, aby ponownie zainstalować hybrydowy proces roboczy dla systemu Windows. W przypadku systemu Linux wykonaj kroki opisane w artykule Wdrażanie hybrydowego procesu roboczego elementu Runbook systemu Linux.

Scenariusz: Nie można zarejestrować dostawcy zasobów usługi Automation dla subskrypcji

Problem

Podczas pracy z wdrożeniami funkcji na koncie usługi Automation wystąpi następujący błąd:

Error details: Unable to register Automation Resource Provider for subscriptions

Przyczyna

Dostawca zasobów usługi Automation nie jest zarejestrowany w subskrypcji.

Rozwiązanie

Aby zarejestrować dostawcę zasobów usługi Automation, wykonaj następujące kroki w witrynie Azure Portal.

  1. Na liście usługi platformy Azure w dolnej części portalu wybierz pozycję Wszystkie usługi, a następnie wybierz pozycję Subskrypcje w grupie Usługi ogólne.

  2. Wybierz subskrypcję.

  3. W obszarze Ustawienia wybierz pozycję Dostawcy zasobów.

  4. Na liście dostawców zasobów sprawdź, czy dostawca zasobów Microsoft.Automation jest zarejestrowany.

  5. Jeśli nie ma go na liście, zarejestruj dostawcę Microsoft.Automation, wykonując kroki opisane w temacie Rozwiązywanie błędów dotyczących rejestracji dostawcy zasobów.

Scenariusz: Zaplanowana aktualizacja nie poprawia niektórych maszyn

Problem

Maszyny uwzględnione w wersji zapoznawczej aktualizacji nie są wyświetlane na liście maszyn poprawek podczas zaplanowanego uruchamiania lub maszyny wirtualne dla wybranych zakresów grupy dynamicznej nie są wyświetlane na liście wersji zapoznawczej aktualizacji w portalu.

Lista aktualizacji w wersji zapoznawczej składa się ze wszystkich maszyn pobranych przez zapytanie usługi Azure Resource Graph dla wybranych zakresów. Zakresy są filtrowane pod kątem maszyn z zainstalowanym hybrydowym procesem roboczym elementu Runbook i dla których masz uprawnienia dostępu.

Przyczyna

Ten problem może mieć jedną z następujących przyczyn:

  • Subskrypcje zdefiniowane w zakresie zapytania dynamicznego nie są skonfigurowane dla zarejestrowanego dostawcy zasobów usługi Automation.

  • Maszyny nie były dostępne lub nie miały odpowiednich tagów po wykonaniu harmonogramu.

  • Nie masz poprawnego dostępu do wybranych zakresów.

  • Zapytanie usługi Azure Resource Graph nie pobiera oczekiwanych maszyn.

  • Hybrydowy proces roboczy elementu Runbook systemu nie jest zainstalowany na maszynach.

Rozwiązanie

Subskrypcje nieskonfigurowane dla zarejestrowanego dostawcy zasobów usługi Automation

Jeśli subskrypcja nie jest skonfigurowana dla dostawcy zasobów usługi Automation, nie możesz wykonywać zapytań ani pobierać informacji na maszynach w tej subskrypcji. Wykonaj poniższe kroki, aby zweryfikować rejestrację subskrypcji.

  1. W witrynie Azure Portal uzyskaj dostęp do listy usług platformy Azure.

  2. Wybierz pozycję Wszystkie usługi, a następnie wybierz pozycję Subskrypcje w grupie Usługi ogólne.

  3. Znajdź subskrypcję zdefiniowaną w zakresie wdrożenia.

  4. W obszarze Ustawienia wybierz pozycję Dostawcy zasobów.

  5. Sprawdź, czy dostawca zasobów Microsoft.Automation jest zarejestrowany.

  6. Jeśli nie ma go na liście, zarejestruj dostawcę Microsoft.Automation, wykonując kroki opisane w temacie Rozwiązywanie błędów dotyczących rejestracji dostawcy zasobów.

Maszyny nie są dostępne lub nie są prawidłowo oznakowane po wykonaniu harmonogramu

Użyj poniższej procedury, jeśli subskrypcja jest skonfigurowana dla dostawcy zasobów usługi Automation, ale uruchomienie harmonogramu aktualizacji z określonymi grupami dynamicznymi nieodebranych niektórych maszyn.

  1. W witrynie Azure Portal otwórz konto usługi Automation i wybierz pozycję Update Management.

  2. Sprawdź historię rozwiązania Update Management, aby określić dokładny czas uruchomienia wdrożenia aktualizacji.

  3. W przypadku maszyn, których podejrzewasz, że pominięto w usłudze Update Management, użyj usługi Azure Resource Graph (ARG), aby zlokalizować zmiany maszyny.

  4. Wyszukaj zmiany w znacznym okresie, takim jak jeden dzień, przed uruchomieniem wdrożenia aktualizacji.

  5. Sprawdź wyniki wyszukiwania pod kątem wszelkich zmian systemowych, takich jak usuwanie lub aktualizowanie zmian, na maszynach w tym okresie. Te zmiany mogą zmieniać stan maszyny lub tagi, aby maszyny nie były wybierane na liście maszyn podczas wdrażania aktualizacji.

  6. Dostosuj ustawienia maszyn i zasobów zgodnie z potrzebami, aby rozwiązać problemy ze stanem maszyny lub tagiem.

  7. Uruchom ponownie harmonogram aktualizacji, aby upewnić się, że wdrożenie z określonymi grupami dynamicznymi obejmuje wszystkie maszyny.

Nieprawidłowy dostęp do wybranych zakresów

W witrynie Azure Portal są wyświetlane tylko maszyny, dla których masz dostęp do zapisu w danym zakresie. Jeśli nie masz poprawnego dostępu do zakresu, zobacz Samouczek: udzielanie użytkownikowi dostępu do zasobów platformy Azure przy użyciu witryny Azure Portal.

Zapytanie usługi Resource Graph nie zwraca oczekiwanych maszyn

Wykonaj poniższe kroki, aby dowiedzieć się, czy zapytania działają prawidłowo.

  1. Uruchom zapytanie usługi Azure Resource Graph sformatowane, jak pokazano poniżej w bloku Eksplorator usługi Resource Graph w witrynie Azure Portal. Jeśli dopiero zaczynasz korzystać z usługi Azure Resource Graph, zobacz ten przewodnik Szybki start , aby dowiedzieć się, jak pracować z eksploratorem usługi Resource Graph. To zapytanie naśladuje filtry wybrane podczas tworzenia grupy dynamicznej w rozwiązaniu Update Management. Zobacz Używanie grup dynamicznych z rozwiązaniem Update Management.

    where (subscriptionId in~ ("<subscriptionId1>", "<subscriptionId2>") and type =~ "microsoft.compute/virtualmachines" and properties.storageProfile.osDisk.osType == "<Windows/Linux>" and resourceGroup in~ ("<resourceGroupName1>","<resourceGroupName2>") and location in~ ("<location1>","<location2>") )
| project id, location, name, tags = todynamic(tolower(tostring(tags)))
| where  (tags[tolower("<tagKey1>")] =~ "<tagValue1>" and tags[tolower("<tagKey2>")] =~ "<tagValue2>") // use this if "All" option selected for tags
| where  (tags[tolower("<tagKey1>")] =~ "<tagValue1>" or tags[tolower("<tagKey2>")] =~ "<tagValue2>") // use this if "Any" option selected for tags
| project id, location, name, tags

    Oto przykład:

    where (subscriptionId in~ ("20780d0a-b422-4213-979b-6c919c91ace1", "af52d412-a347-4bc6-8cb7-4780fbb00490") and type =~ "microsoft.compute/virtualmachines" and properties.storageProfile.osDisk.osType == "Windows" and resourceGroup in~ ("testRG","withinvnet-2020-01-06-10-global-resources-southindia") and location in~ ("australiacentral","australiacentral2","brazilsouth") )
| project id, location, name, tags = todynamic(tolower(tostring(tags)))
| where  (tags[tolower("ms-resource-usage")] =~ "azure-cloud-shell" and tags[tolower("temp")] =~ "temp")
| project id, location, name, tags

  2. Sprawdź, czy maszyny, których szukasz, są wyświetlane w wynikach zapytania.

  3. Jeśli maszyny nie są wyświetlane, prawdopodobnie występuje problem z filtrem wybranym w grupie dynamicznej. Dostosuj konfigurację grupy zgodnie z potrzebami.

Hybrydowy proces roboczy elementu Runbook nie jest zainstalowany na maszynach

Maszyny są wyświetlane w wynikach zapytania usługi Azure Resource Graph, ale nadal nie są wyświetlane w wersji zapoznawczej grupy dynamicznej. W takim przypadku maszyny mogą nie być wyznaczone jako hybrydowe procesy robocze elementu Runbook, a tym samym nie mogą uruchamiać zadań usługi Azure Automation i Rozwiązania Update Management. Aby upewnić się, że maszyny, które oczekujesz, są skonfigurowane jako hybrydowe procesy robocze elementu Runbook systemu:

  1. W witrynie Azure Portal przejdź do konta usługi Automation dla maszyny, która nie jest wyświetlana poprawnie.

  2. Wybierz pozycję Grupy hybrydowych procesów roboczych w obszarze Automatyzacja procesów.

  3. Wybierz kartę Grupy hybrydowych procesów roboczych systemu.

  4. Sprawdź, czy hybrydowy proces roboczy jest obecny dla tej maszyny.

  5. Jeśli maszyna nie jest skonfigurowana jako systemowy hybrydowy proces roboczy elementu Runbook, zapoznaj się z metodami włączania przy użyciu jednej z następujących metod:

    • Na koncie usługi Automation dla co najmniej jednej maszyny platformy Azure i maszyn spoza platformy Azure, w tym serwerów z obsługą usługi Azure Arc.

    • Za pomocą elementu Runbook Enable-AutomationSolutionmożna zautomatyzować dołączanie maszyn wirtualnych platformy Azure.

    • Dla wybranej maszyny wirtualnej platformy Azure na stronie Maszyny wirtualne w witrynie Azure Portal. Ten scenariusz jest dostępny dla maszyn wirtualnych z systemami Linux i Windows.

    • W przypadku wielu maszyn wirtualnych platformy Azure wybierz je na stronie Maszyny wirtualne w witrynie Azure Portal.

    Metoda włączania jest oparta na środowisku, w którym jest uruchomiona maszyna.

  6. Powtórz powyższe kroki dla wszystkich maszyn, które nie były wyświetlane w wersji zapoznawczej.

Scenariusz: składniki rozwiązania Update Management są włączone, a maszyna wirtualna nadal jest wyświetlana jako skonfigurowana

Problem

Po rozpoczęciu wdrażania na maszynie wirtualnej w ciągu 15 minut po rozpoczęciu wdrażania jest wyświetlany następujący komunikat:

The components for the 'Update Management' solution have been enabled, and now this virtual machine is being configured. Please be patient, as this can sometimes take up to 15 minutes.

Przyczyna

Przyczyny takiej sytuacji mogą być następujące:

  • Komunikacja z kontem usługi Automation jest blokowana.

  • Istnieje zduplikowana nazwa komputera z różnymi identyfikatorami komputerów źródłowych. Ten scenariusz występuje, gdy maszyna wirtualna o określonej nazwie komputera jest tworzona w różnych grupach zasobów i raportuje do tego samego obszaru roboczego Agent logistyki w subskrypcji.

  • Wdrożony obraz maszyny wirtualnej może pochodzić z sklonowanej maszyny, która nie została przygotowana przy użyciu przygotowania systemu (sysprep) z zainstalowanym agentem usługi Log Analytics dla systemu Windows.

Rozwiązanie

Aby ułatwić określenie dokładnego problemu z maszyną wirtualną, uruchom następujące zapytanie w obszarze roboczym usługi Log Analytics połączonym z kontem usługi Automation.

Update
| where Computer contains "fillInMachineName"
| project TimeGenerated, Computer, SourceComputerId, Title, UpdateState

Komunikacja z zablokowanym kontem usługi Automation

Przejdź do obszaru Planowanie sieci, aby dowiedzieć się, które adresy i porty muszą być dozwolone, aby rozwiązanie Update Management działało.

Zduplikowana nazwa komputera

Zmień nazwę maszyn wirtualnych, aby zapewnić unikatowe nazwy w ich środowisku.

Wdrożony obraz ze sklonowanej maszyny

Jeśli używasz sklonowanego obrazu, różne nazwy komputerów mają ten sam identyfikator komputera źródłowego. W takim przypadku:

  1. W obszarze roboczym usługi Log Analytics usuń maszynę wirtualną z zapisanego MicrosoftDefaultScopeConfig-Updates wyszukiwania konfiguracji zakresu, jeśli jest wyświetlana. Zapisane wyszukiwania można znaleźć w obszarze Ogólne w obszarze roboczym.

  2. Uruchom następujące polecenie cmdlet.

    Remove-Item -Path "HKLM:\software\microsoft\hybridrunbookworker" -Recurse -Force

  3. Uruchom polecenie Restart-Service HealthService , aby ponownie uruchomić usługę kondycji. Ta operacja ponownie tworzy klucz i generuje nowy identyfikator UUID.

  4. Jeśli takie podejście nie działa, najpierw uruchom narzędzie sysprep na obrazie, a następnie zainstaluj agenta usługi Log Analytics dla systemu Windows.

Scenariusz: Podczas tworzenia wdrożenia aktualizacji dla maszyn w innej dzierżawie platformy Azure występuje błąd połączonej subskrypcji

Problem

Podczas próby utworzenia wdrożenia aktualizacji dla maszyn w innej dzierżawie platformy Azure wystąpi następujący błąd:

The client has permission to perform action 'Microsoft.Compute/virtualMachines/write' on scope '/subscriptions/00000000-0000-0000-0000-000000000000/resourceGroups/resourceGroupName/providers/Microsoft.Automation/automationAccounts/automationAccountName/softwareUpdateConfigurations/updateDeploymentName', however the current tenant '00000000-0000-0000-0000-000000000000' is not authorized to access linked subscription '00000000-0000-0000-0000-000000000000'.

Przyczyna

Ten błąd występuje podczas tworzenia wdrożenia aktualizacji z maszynami wirtualnymi platformy Azure w innej dzierżawie uwzględnionej we wdrożeniu aktualizacji.

Rozwiązanie

Użyj następującego obejścia, aby pobrać te elementy zgodnie z harmonogramem. Aby utworzyć harmonogram, możesz użyć polecenia cmdlet New-AzAutomationSchedule z parametrem ForUpdateConfiguration . Następnie użyj polecenia cmdlet New-AzAutomationSoftwareUpdateConfiguration i przekaż maszyny w innej dzierżawie do parametru NonAzureComputer . Poniższy przykład pokazuje, jak to zrobić:

$nonAzurecomputers = @("server-01", "server-02")

$startTime = ([DateTime]::Now).AddMinutes(10)

$s = New-AzAutomationSchedule -ResourceGroupName mygroup -AutomationAccountName myaccount -Name myupdateconfig -Description test-OneTime -OneTime -StartTime $startTime -ForUpdateConfiguration

New-AzAutomationSoftwareUpdateConfiguration  -ResourceGroupName $rg -AutomationAccountName $aa -Schedule $s -Windows -AzureVMResourceId $azureVMIdsW -NonAzureComputer $nonAzurecomputers -Duration (New-TimeSpan -Hours 2) -IncludedUpdateClassification Security,UpdateRollup -ExcludedKbNumber KB01,KB02 -IncludedKbNumber KB100

Scenariusz: Niewyjaśnione ponowne rozruchy

Problem

Mimo że opcja Ponowne uruchamianie kontrolki została ustawiona na Nigdy nie uruchamiaj ponownie, maszyny są nadal ponownie uruchamiane po zainstalowaniu aktualizacji.

Przyczyna

Usługa Windows Update może być modyfikowana przez kilka kluczy rejestru, z których dowolne może modyfikować zachowanie ponownego uruchamiania.

Rozwiązanie

Przejrzyj klucze rejestru wymienione w sekcji Konfigurowanie automatycznego Aktualizacje, edytując rejestr i klucze rejestru używane do zarządzania ponownym uruchomieniem, aby upewnić się, że maszyny są prawidłowo skonfigurowane.

Scenariusz: na maszynie jest wyświetlany komunikat "Nie można uruchomić" we wdrożeniu aktualizacji

Problem

Na maszynie Failed to start jest wyświetlany stan lub Failed . Podczas wyświetlania szczegółowych informacji dotyczących maszyny zostanie wyświetlony następujący błąd:

For one or more machines in schedule, UM job run resulted in either Failed or Failed to start state. Guide available at https://aka.ms/UMSucrFailed.

Przyczyna

Ten błąd może mieć jedną z następujących przyczyn:

  • Maszyna już nie istnieje.
  • Maszyna jest wyłączona i nie jest osiągalna.
  • Maszyna ma problem z łącznością sieciową, dlatego hybrydowy proces roboczy na maszynie jest niemożliwy do osiągnięcia.
  • Nastąpiła aktualizacja agenta usługi Log Analytics, która zmieniła identyfikator komputera źródłowego.
  • Przebieg aktualizacji został ograniczony w przypadku przekroczenia limitu 200 współbieżnych zadań na koncie usługi Automation. Każde wdrożenie jest uznawane za zadanie, a każda maszyna we wdrożeniu aktualizacji liczy się jako zadanie. Każde inne zadanie automatyzacji lub wdrożenie aktualizacji aktualnie uruchomione na koncie usługi Automation jest liczone do limitu współbieżnych zadań.

Rozwiązanie

Więcej szczegółów można uzyskać programowo, używając interfejsu REST API. Zobacz Uruchamianie maszyny konfiguracji aktualizacji oprogramowania, aby uzyskać informacje na temat pobierania listy przebiegów maszyny konfiguracji aktualizacji lub pojedynczej maszyny konfiguracji aktualizacji oprogramowania uruchamianej według identyfikatora.

Jeśli ma to zastosowanie, użyj grup dynamicznych dla wdrożeń aktualizacji. Ponadto możesz wykonać następujące kroki.

  1. Sprawdź, czy maszyna lub serwer spełnia wymagania.
  2. Sprawdź łączność z hybrydowym procesem roboczym elementu Runbook przy użyciu narzędzia do rozwiązywania problemów z hybrydowym agentem procesu roboczego elementu Runbook. Aby dowiedzieć się więcej na temat narzędzia do rozwiązywania problemów, zobacz Rozwiązywanie problemów z agentem aktualizacji.

Scenariusz: Aktualizacje są instalowane bez wdrożenia

Problem

Po zarejestrowaniu maszyny z systemem Windows w rozwiązaniu Update Management aktualizacje są instalowane bez wdrożenia.

Przyczyna

W systemie Windows aktualizacje są instalowane automatycznie, gdy tylko będą dostępne. To zachowanie może spowodować zamieszanie, jeśli nie zaplanowano wdrożenia aktualizacji na maszynie.

Rozwiązanie

Klucz HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU rejestru jest domyślnie ustawiany na wartość 4: auto download and install.

W przypadku klientów rozwiązania Update Management zalecamy ustawienie tego klucza na wartość 3: auto download but do not auto install.

Aby uzyskać więcej informacji, zobacz Konfigurowanie automatycznego Aktualizacje.

Scenariusz: Maszyna jest już zarejestrowana na innym koncie

Problem

Zostanie wyświetlony następujący komunikat o błędzie:

Unable to Register Machine for Patch Management, Registration Failed with Exception System.InvalidOperationException: {"Message":"Machine is already registered to a different account."}

Przyczyna

Maszyna została już wdrożona w innym obszarze roboczym dla usługi Update Management.

Rozwiązanie

  1. Wykonaj kroki opisane w sekcji Maszyny nie są wyświetlane w portalu w obszarze Update Management , aby upewnić się, że maszyna raportuje właściwy obszar roboczy.
  2. Wyczyść artefakty na maszynie, usuwając grupę hybrydowych elementów runbook, a następnie spróbuj ponownie.

Scenariusz: Maszyna nie może komunikować się z usługą

Problem

Wyświetlany jest jeden z następujących komunikatów o błędzie:

Unable to Register Machine for Patch Management, Registration Failed with Exception System.Net.Http.HttpRequestException: An error occurred while sending the request. ---> System.Net.WebException: The underlying connection was closed: An unexpected error occurred on a receive. ---> System.ComponentModel.Win32Exception: The client and server can't communicate, because they do not possess a common algorithm

Unable to Register Machine for Patch Management, Registration Failed with Exception Newtonsoft.Json.JsonReaderException: Error parsing positive infinity value.

The certificate presented by the service <wsid>.oms.opinsights.azure.com was not issued by a certificate authority used for Microsoft services. Contact your network administrator to see if they are running a proxy that intercepts TLS/SSL communication.

Access is denied. (Exception form HRESULT: 0x80070005(E_ACCESSDENIED))

Przyczyna

Serwer proxy, brama lub zapora może blokować komunikację sieciową.

Rozwiązanie

Przejrzyj ustawienia sieciowe i upewnij się, że odpowiednie porty i adresy są dozwolone. Zapoznaj się z wymaganiami sieciowymi, aby uzyskać listę portów i adresów wymaganych przez rozwiązanie Update Management i hybrydowych procesów roboczych elementów Runbook.

Scenariusz: Nie można utworzyć certyfikatu z podpisem własnym

Problem

Wyświetlany jest jeden z następujących komunikatów o błędzie:

Unable to Register Machine for Patch Management, Registration Failed with Exception AgentService.HybridRegistration. PowerShell.Certificates.CertificateCreationException: Failed to create a self-signed certificate. ---> System.UnauthorizedAccessException: Access is denied.

Przyczyna

Hybrydowy proces roboczy elementu Runbook nie może wygenerować certyfikatu z podpisem własnym.

Rozwiązanie

Sprawdź, czy konto systemowe ma dostęp do odczytu do folderu C:\ProgramData\Microsoft\Crypto\RSA i spróbuj ponownie.

Scenariusz: zaplanowana aktualizacja nie powiodła się z powodu błędu MaintenanceWindowExceeded

Problem

Domyślna długość okna obsługi w przypadku aktualizacji to 120 minut. Okno obsługi można zwiększyć do maksymalnie 6 godzin lub 360 minut. Może zostać wyświetlony komunikat o błędzie For one or more machines in schedule, UM job run resulted in Maintenance Window Exceeded state. Guide available at https://aka.ms/UMSucrMwExceeded.

Rozwiązanie

Aby zrozumieć, dlaczego wystąpiło to podczas przebiegu aktualizacji po pomyślnym uruchomieniu, sprawdź dane wyjściowe zadania z maszyny, której dotyczy problem, w przebiegu. Możesz znaleźć konkretne komunikaty o błędach ze swoich maszyn, które możesz badać i podejmować względem nich działania.

Więcej szczegółów można uzyskać programowo, używając interfejsu REST API. Zobacz Uruchamianie maszyny konfiguracji aktualizacji oprogramowania, aby uzyskać informacje na temat pobierania listy przebiegów maszyny konfiguracji aktualizacji lub pojedynczej maszyny konfiguracji aktualizacji oprogramowania uruchamianej według identyfikatora.

Edytuj wszystkie nieudane zaplanowane wdrożenia aktualizacji i wydłuż okno obsługi.

Aby uzyskać więcej informacji na temat okien obsługi, zobacz Instalowanie aktualizacji.

Scenariusz: maszyna jest wyświetlana jako "Nie oceniono" i pokazuje wyjątek HRESULT

Problem

  • Masz maszyny, które są wyświetlane jako Not assessed w obszarze Zgodność i zobaczysz poniżej komunikat o wyjątku.
  • W portalu zostanie wyświetlony kod błędu HRESULT.

Przyczyna

Agent aktualizacji (Windows Update Agent w systemie Windows; menedżer pakietów dystrybucji systemu Linux) nie jest poprawnie skonfigurowany. Rozwiązanie Update Management opiera się na agencie aktualizacji maszyny w celu zapewnienia potrzebnych aktualizacji, stanu poprawki i wyników wdrożonych poprawek. Bez tych informacji rozwiązanie Update Management nie może prawidłowo zgłaszać poprawek, które są wymagane lub zainstalowane.

Rozwiązanie

Spróbuj przeprowadzić aktualizacje lokalnie na maszynie. Jeśli ta operacja zakończy się niepowodzeniem, zazwyczaj oznacza to, że występuje błąd konfiguracji agenta aktualizacji.

Ten problem jest często spowodowany problemami z konfiguracją sieci i zaporą. Aby rozwiązać ten problem, skorzystaj z poniższych kontroli.

Jeśli zobaczysz wartość HRESULT, kliknij dwukrotnie wyjątek wyświetlany na czerwono, aby zobaczyć cały komunikat o wyjątku. Przejrzyj poniższą tabelę, aby zapoznać się z potencjalnymi rozwiązaniami lub zalecanymi akcjami.

Wyjątek Rozwiązanie lub akcja
Exception from HRESULT: 0x……C Wyszukaj odpowiedni kod błędu na liście kodów błędów aktualizacji systemu Windows, aby znaleźć dodatkowe szczegóły dotyczące przyczyny wyjątku.
0x8024402C
0x8024401C
0x8024402F		 Te kody wskazują problem z łącznością sieciową. Upewnij się, że maszyna ma łączność sieciową z usługą Update Management. Zobacz sekcję planowania sieci, aby zapoznać się z listą wymaganych portów i adresów.
0x8024001E Operacja aktualizacji nie została ukończona, ponieważ trwało wyłączanie usługi lub systemu.
0x8024002E Usługa Windows Update jest wyłączona.
0x8024402C Jeśli używasz serwera WSUS, upewnij się, że wartości rejestru dla WUServer i WUStatusServer w kluczu HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate rejestru określają prawidłowy serwer WSUS.
0x80072EE2 Wystąpił problem z łącznością sieciową lub problem dotyczący komunikacji ze skonfigurowanym serwerem WSUS. Sprawdź ustawienia usługi WSUS i upewnij się, że jest ona dostępna z poziomu klienta.
The service cannot be started, either because it is disabled or because it has no enabled devices associated with it. (Exception from HRESULT: 0x80070422) Upewnij się, że usługa Windows Update (wuauserv) jest uruchomiona i nie jest wyłączona.
0x80070005 Błąd odmowy dostępu może być spowodowany przez jedną z następujących przyczyn:
Zainfekowany komputer
Ustawienia usługi Windows Update nie są poprawnie skonfigurowane
Błąd uprawnień pliku z folderem %WinDir%\SoftwareDistribution
Za mało miejsca na dysku systemowym (C:).
Wszelkie inne wyjątki ogólne Przeprowadź w Internecie wyszukiwanie możliwych rozwiązań i współpracuj z lokalną pomocą techniczną IT.

Przejrzenie pliku %Windir%\Windowsupdate.log może również pomóc w ustaleniu możliwych przyczyn. Aby uzyskać więcej informacji na temat sposobu odczytywania dziennika, zobacz Jak odczytywać plik Windowsupdate.log.

Możesz również pobrać i uruchomić narzędzie do rozwiązywania problemów z usługą Windows Update, aby sprawdzić, czy na maszynie nie występują problemy z usługą Windows Update.

Uwaga

Dokumentacja narzędzia do rozwiązywania problemów z usługą Windows Update wskazuje, że jest ona używana na klientach systemu Windows, ale działa również w systemie Windows Server.

Scenariusz: uruchomienie aktualizacji zwraca stan Niepowodzenie (Linux)

Problem

Uruchomienie aktualizacji jest uruchamiane, ale występuje błędy podczas przebiegu.

Przyczyna

Możliwe przyczyny:

  • Menedżer pakietów jest w złej kondycji.
  • Agent aktualizacji (WUA dla systemu Windows, menedżer pakietów specyficzny dla dystrybucji dla systemu Linux) jest nieprawidłowo skonfigurowany.
  • Określone pakiety zakłócają stosowanie poprawek opartych na chmurze.
  • Maszyna jest niemożliwa do osiągnięcia.
  • Aktualizacje miały zależności, które nie zostały rozwiązane.

Rozwiązanie

Jeśli błędy wystąpią podczas uruchomienia aktualizacji po pomyślnym uruchomieniu, sprawdź dane wyjściowe zadania z maszyny, której dotyczy problem, w przebiegu. Możesz znaleźć konkretne komunikaty o błędach ze swoich maszyn, które możesz badać i podejmować względem nich działania. Rozwiązanie Update Management wymaga, aby menedżer pakietów był w dobrej kondycji w przypadku pomyślnych wdrożeń aktualizacji.

Jeśli określone poprawki, pakiety lub aktualizacje są widoczne bezpośrednio przed niepowodzeniem zadania, możesz spróbować wykluczyć te elementy z następnego wdrożenia aktualizacji. Aby zebrać informacje dziennika z usługi Windows Update, zobacz Pliki dziennika usługi Windows Update.

Jeśli nie możesz rozwiązać problemu z poprawkami, utwórz kopię pliku /var/opt/microsoft/omsagent/run/automationworker/omsupdatemgmt.log i zachowaj go do celów rozwiązywania problemów przed rozpoczęciem następnego wdrożenia aktualizacji.

Poprawki nie są zainstalowane

Maszyny nie instalują aktualizacji

Spróbuj uruchomić aktualizacje bezpośrednio na maszynie. Jeśli maszyna nie może zastosować aktualizacji, zapoznaj się z listą potencjalnych błędów w przewodniku rozwiązywania problemów.

Jeśli aktualizacje są uruchamiane lokalnie, spróbuj usunąć i ponownie zainstalować agenta na maszynie, postępując zgodnie ze wskazówkami w artykule Usuwanie maszyny wirtualnej z rozwiązania Update Management.

Wiem, że aktualizacje są dostępne, ale nie są one wyświetlane jako dostępne na moich maszynach

Dzieje się tak często, jeśli maszyny są skonfigurowane do pobierania aktualizacji z programu WSUS lub programu Microsoft Configuration Manager, ale programy WSUS i Configuration Manager nie zatwierdziły aktualizacji.

Sprawdź, czy maszyny są skonfigurowane dla usług WSUS i SCCM, odwołując UseWUServer się krzyżowo do kluczy rejestru w sekcji Konfigurowanie automatycznego Aktualizacje, edytując rejestr w tym artykule.

Jeśli aktualizacje nie są zatwierdzone w programie WSUS, nie są zainstalowane. Możesz sprawdzić dostępność niezatwierdzonych aktualizacji w usłudze Log Analytics, uruchamiając następujące zapytanie.

Update | where UpdateState == "Needed" and ApprovalSource == "WSUS" and Approved == "False" | summarize max(TimeGenerated) by Computer, KBID, Title

Aktualizacje są wyświetlane jako zainstalowane, ale nie mogę ich znaleźć na swojej maszynie

Aktualizacje są często zastępowane przez inne aktualizacje. Aby uzyskać więcej informacji, zobacz Aktualizacja została zastąpiona w przewodniku rozwiązywania problemów z usługą Windows Update.

Instalowanie aktualizacji według klasyfikacji w systemie Linux

Wdrażanie aktualizacji w systemie Linux według klasyfikacji („Aktualizacje krytyczne i zabezpieczeń”) ma ważne zastrzeżenia, szczególnie w przypadku systemu CentOS. Te ograniczenia zostały opisane na stronie omówienia rozwiązania Update Management.

Stale brakuje aktualizacji KB2267602

KB2267602 to aktualizacja definicji usługi Windows Defender. Są one aktualizowane codziennie.

Następne kroki

Jeśli nie widzisz problemu lub nie możesz go rozwiązać, spróbuj wykonać jedną z następujących kanałów, aby uzyskać dodatkową pomoc techniczną.

  • Uzyskaj odpowiedzi od ekspertów platformy Azure za pośrednictwem forów platformy Azure.
  • Połączenie za pomocą @AzureSupport oficjalne konto platformy Microsoft Azure w celu poprawy jakości obsługi klienta.
  • Zgłoś zdarzenie pomoc techniczna platformy Azure. Przejdź do witryny pomoc techniczna platformy Azure i wybierz pozycję Uzyskaj pomoc techniczną.