Configurar patch de agendamento em VMs do Azure para continuidade de negócios

Aplica-se a: ✔️ VMs do Windows VMs Linux VMs ✔️ ✔️ do Azure.

Este artigo é uma descrição geral dos procedimentos a seguir para configurar a aplicação de patches de agendamento e a aplicação de patches automática de máquina virtual convidada (VM) nas VM do Azure utilizando o novo pré-requisito para garantir a continuidade dos negócios. Os passos para configurar ambas as opções de aplicação de patches nas VM do Azure Arc permanecem os mesmos.

Atualmente, você pode habilitar a aplicação automática de patches de VM convidada (autopatch) definindo o modo de patch como orquestrado pelo Azure no portal do Azure ou AutomaticByPlatform na API REST, onde os patches são aplicados automaticamente fora do horário de pico.

Para personalizar o controle sobre a instalação do patch, você pode usar o agendamento de patches para definir sua janela de manutenção. Você pode habilitar o patch de agendamento definindo o modo de patch como orquestrado pelo Azure no portal do Azure ou AutomaticByPlatform na API REST e anexando um agendamento à VM do Azure. Portanto, as propriedades da VM não podiam ser diferenciadas entre patch de agendamento ou patch de VM convidado automático porque ambos tinham o modo de patch definido como orquestrado pelo Azure.

Em alguns casos, quando você remove o agendamento de uma VM, há uma possibilidade de que a VM possa ser corrigida automaticamente e reinicializada. Para superar as limitações, introduzimos um novo pré-requisito, ByPassPlatformSafetyChecksOnUserScheduleque agora pode ser definido para true identificar uma VM usando patch de agendamento. Isso significa que as VMs com essa propriedade definida como true não são mais corrigidas automaticamente quando as VMs não têm uma configuração de manutenção associada.

Importante

Para uma experiência contínua de aplicação de patches agendada, você deve garantir que a nova propriedade VM, , BypassPlatformSafetyChecksOnUserScheduleesteja habilitada em todas as suas VMs do Azure (existentes ou novas) que tenham agendas anexadas a elas até 30 de junho de 2023. Essa configuração garante que as máquinas sejam corrigidas usando suas agendas configuradas e não corrigidas automaticamente. Não habilitar até 30 de junho de 2023 dá um erro de que os pré-requisitos não foram atendidos.

Agendar aplicação de patches em um conjunto de disponibilidade

Todas as VMs em um conjunto de disponibilidade comum não são atualizadas simultaneamente.

As VMs em um conjunto de disponibilidade comum são atualizadas dentro dos limites do Domínio de Atualização. As VMs em vários domínios de atualização não são atualizadas simultaneamente.

Em cenários em que máquinas do mesmo conjunto de disponibilidade estão sendo corrigidas ao mesmo tempo em agendas diferentes, é provável que elas não sejam corrigidas ou possam falhar se a janela de manutenção for excedida. Para evitar isso, recomendamos que você aumente a janela de manutenção ou divida as máquinas pertencentes ao mesmo conjunto de disponibilidade em várias agendas em horários diferentes.

Localizar VMs com agendas associadas

Para identificar a lista de VMs com as agendas associadas para as quais você precisa habilitar uma nova propriedade VM:

1. Vá para a home page do Azure Update Manager e selecione a guia Máquinas .

2. No filtro Orquestração de patches, selecione Azure Managed - Safe Deployment.

3. Use a opção Selecionar tudo para selecionar as máquinas e, em seguida, selecione Exportar para CSV.

4. Abra o arquivo CSV e, na coluna Agendas associadas, selecione as linhas que têm uma entrada.

   Na coluna Nome correspondente, você pode exibir a lista de VMs para as quais você precisa habilitar o ByPassPlatformSafetyChecksOnUserSchedule sinalizador.

Ativar o agendamento da aplicação de patches nas VMs do Azure

Para habilitar o patch de agendamento em VMs do Azure, siga estas etapas.

Portal do Azure

Pré-requisitos

Orquestração de patches = Agendas gerenciadas pelo cliente

Selecione a opção de orquestração de patches como Agendas gerenciadas pelo cliente. A nova opção de orquestração de patches habilita as seguintes propriedades de VM em seu nome após receber seu consentimento:

• Modo de patch = Azure-orchestrated
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar para novas VMs

Você pode selecionar a opção de orquestração de patches para novas VMs que seriam associadas às agendas.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para Máquina virtual e selecione Criar para abrir a página Criar uma máquina virtual.
3. Na guia Noções básicas, preencha todos os campos obrigatórios.
4. Na guia Gerenciamento, em Atualizações do SO convidado, para Opções de orquestração de patches, selecione Orquestrado pelo Azure.
5. Preencha as entradas nas guias Monitoramento, Avançado e Tags .
6. Selecione Rever + Criar. Selecione Criar para criar uma nova VM com a opção de orquestração de patches apropriada.

Para agendar o patch das VMs recém-criadas, siga o procedimento da etapa 2 na próxima seção, "Habilitar para VMs existentes".

Habilitar para VMs existentes

Você pode atualizar a opção de orquestração de patches para VMs existentes que já têm agendas associadas ou serão recém-associadas a uma agenda.

Se a orquestração de patches estiver definida como orquestrada pelo Azure ou Azure Managed - Safe Deployment (AutomaticByPlatform),BypassPlatformSafetyChecksOnUserSchedule estiver definida como false, e não houver nenhuma agenda associada, as VMs serão corrigidas automaticamente.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para o Azure Update Manager e selecione Atualizar configurações.
3. Em Alterar configurações de atualização, selecione Adicionar máquina.
4. Em Selecionar recursos, selecione suas VMs e selecione Adicionar.
5. No painel Alterar configurações de atualização, em Orquestração de patches, selecione Agendas gerenciadas pelo cliente e, em seguida, selecione Salvar.

Anexe uma agenda depois de concluir as etapas anteriores.

Para verificar se BypassPlatformSafetyChecksOnUserSchedule está habilitado, vá para a página inicial da máquina virtual e selecione Visão geral>da exibição JSON.

API REST

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar em VMs do Windows

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":true 
          } 
        } 
      } 
    } 
  } 
} 

Ativar em VMs Linux

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true, 
         "patchSettings": { 
           "patchMode": "AutomaticByPlatform", 
           "automaticByPlatformSettings":{ 
             "bypassPlatformSafetyChecksOnUserSchedule":true 
            } 
         } 
      } 
    } 
  } 
} 

PowerShell

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = VERDADEIRO

Habilitar em VMs do Windows

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Windows -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.WindowsConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.WindowsVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Ativar em VMs Linux

$VirtualMachine = Get-AzVM -ResourceGroupName "<resourceGroup>" -Name "<vmName>"
Set-AzVMOperatingSystem -VM $VirtualMachine -Linux -PatchMode "AutomaticByPlatform"
$AutomaticByPlatformSettings = $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings
 
if ($null -eq $AutomaticByPlatformSettings) {
   $VirtualMachine.OSProfile.LinuxConfiguration.PatchSettings.AutomaticByPlatformSettings = New-Object -TypeName Microsoft.Azure.Management.Compute.Models.LinuxVMGuestPatchAutomaticByPlatformSettings -Property @{BypassPlatformSafetyChecksOnUserSchedule = $true}
} else {
   $AutomaticByPlatformSettings.BypassPlatformSafetyChecksOnUserSchedule = $true
}
 
Update-AzVM -VM $VirtualMachine -ResourceGroupName "<resourceGroup>"

Nota

Atualmente, você só pode habilitar o novo pré-requisito para agendar patches por meio do portal do Azure, da API REST e do PowerShell. Ele não pode ser habilitado por meio da CLI do Azure.

Habilitar a aplicação automática de patches de VM convidada em VMs do Azure

Para habilitar a aplicação automática de patches de VM convidada em suas VMs do Azure agora, siga estas etapas.

Portal do Azure

Pré-requisito

Modo de patch = Azure-orchestrated

Habilitar para novas VMs

Você pode selecionar a opção de orquestração de patches para novas VMs que seriam associadas às agendas.

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para Máquina virtual e selecione Criar para abrir a página Criar uma máquina virtual.
3. Na guia Noções básicas, preencha todos os campos obrigatórios.
4. Na guia Gerenciamento, em Atualizações do SO convidado, para Opções de orquestração de patches, selecione Orquestrado pelo Azure.
5. Preencha as entradas nas guias Monitoramento, Avançado e Tags .
6. Selecione Rever + Criar. Selecione Criar para criar uma nova VM com a opção de orquestração de patches apropriada.

Habilitar para VMs existentes

Para atualizar o modo de patch:

1. Inicie sessão no portal do Azure.
2. Vá para o Update Manager e selecione Atualizar configurações.
3. No painel Alterar configurações de atualização, selecione Adicionar máquina.
4. No painel Selecionar recursos, selecione suas VMs e selecione Adicionar.
5. No painel Alterar configurações de atualização, em Orquestração de patches, selecione Azure Gerenciado - Implantação Segura e selecione Salvar.

API REST

Pré-requisitos

• Modo de patch = AutomaticByPlatform
• BypassPlatformSafetyChecksOnUserSchedule = FALSO

Habilitar em VMs do Windows

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 

  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "windowsConfiguration": { 
        "provisionVMAgent": true, 
        "enableAutomaticUpdates": true, 
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Ativar em VMs Linux

PATCH on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2023-03-01` 

{ 
  "location":"<location>", 
  "properties": { 
    "osProfile": { 
      "linuxConfiguration": { 
        "provisionVMAgent": true,  
        "patchSettings": { 
          "patchMode": "AutomaticByPlatform", 
          "automaticByPlatformSettings":{ 
            "bypassPlatformSafetyChecksOnUserSchedule":false 
          } 
        } 
      } 
    } 
  } 
} 

Cenários do usuário

Cenários	Orquestrado pelo Azure	BypassPlatformSafetyChecksOnUserSchedule	Horário associado	Comportamento esperado no Azure
Cenário 1	Sim	True	Sim	O patch de agendamento é executado conforme definido pelo usuário.
Cenário 2	Sim	True	Não	O patch automático e o patch de agendamento não são executados.
Cenário 3	Sim	False	Sim	O patch automático e o patch de agendamento não são executados. Você recebe um erro informando que os pré-requisitos para o patch de agendamento não foram atendidos.
Cenário 4	Sim	False	Não	A VM é corrigida automaticamente.
Cenário 5	Não	True	Sim	O patch automático e o patch de agendamento não são executados. Você recebe um erro informando que os pré-requisitos para o patch de agendamento não foram atendidos.
Cenário 6	Não	True	Não	O patch automático e o patch de agendamento não são executados.
Cenário 7	Não	False	Sim	O patch automático e o patch de agendamento não são executados. Você recebe um erro informando que os pré-requisitos para o patch de agendamento não foram atendidos.
Cenário 8	Não	False	Não	O patch automático e o patch de agendamento não são executados.

Próximos passos

• Saiba mais sobre o escopo dinâmico, um recurso avançado de correção de agendamento.
• Siga as instruções sobre como gerenciar várias operações de escopo dinâmico
• Saiba como instalar automaticamente as atualizações de acordo com a programação criada para uma única VM e em escala.
• Saiba mais sobre eventos pré e pós para executar tarefas automaticamente antes e depois de uma configuração de manutenção agendada.