自動部署軟體更新

文章
04/04/2023

適用於：Configuration Manager (目前的分支)

使用自動部署規則 (ADR) ，而不是將新的更新新增至現有的軟體更新群組。一般而言，您會使用 ADR 來部署每月軟體更新 (也稱為「週二修補程式」更新) 以及管理 Endpoint Protection 定義更新。如果您需要判斷哪個部署方法適合您的協助，請參閱部署軟體更新。

(ADR) 建立自動部署規則

使用 ADR 自動核准和部署軟體更新。此規則可以在每次執行規則時，將軟體更新新增至新的軟體更新群組，或將軟體更新新增至現有的群組。當規則執行並將軟體更新新增至現有群組時，規則會從群組中移除所有更新。然後，它會將符合您所定義準則的更新新增至群組。

警告

第一次建立 ADR 之前，請確認月臺已完成軟體更新同步處理。當您使用非英文語言執行Configuration Manager時，這個步驟很重要。軟體更新分類會在第一次同步處理之前以英文顯示，然後在軟體更新同步處理完成後以當地語系化語言顯示。同步處理軟體更新之前所建立的規則在同步處理之後可能無法正常運作，因為文字字串可能不相符。

建立 ADR 的程式

在 Configuration Manager 主控台中，移至 [軟體程式庫] 工作區，展開 [軟體更新]，然後選取 [自動部署規則]節點。
在功能區中，按一下 [建立自動部署規則]。
在 [建立自動部署規則精靈] 的 [一般 ] 頁面上，設定下列設定：
- 名稱：指定 ADR 的名稱。名稱必須是唯一的，有助於描述規則的用途，並從Configuration Manager網站中的其他人識別它。
- 描述：指定 ADR 的描述。描述應該提供部署規則的概觀和其他相關資訊，以協助區別規則與其他人。描述欄位是選擇性的、限制為 256 個字元，且預設為空白值。
- 範本：選取部署範本以指定是否要套用先前儲存的 ADR 設定。設定部署範本，其中包含多個常見的更新部署屬性，您可以在建立其他 ADR 時使用這些屬性。這些範本可節省時間，並協助確保類似部署之間的一致性。從下列其中一個內建軟體更新部署範本中選取：
  - 「週二修補程式」範本提供在每月週期部署軟體更新時所要使用的一般設定。
  - Office 365用戶端更新範本提供部署Microsoft 365 Apps用戶端更新時所要使用的一般設定。
    
    注意事項
    
    從 2020 年 4 月 21 日開始，Office 365 專業增強版會重新命名為Microsoft 365 Apps 企業版。如果您的 ADR 依賴「Title」屬性，您必須從 2020 年 6 月 9 日開始編輯它。 Microsoft 365 Apps Update - Semi-annual Channel Version 1908 for x64 based Edition (Build 11929.50000) 是新標題的範例。如需針對標題變更修改 ADR 的詳細資訊，請參閱更新Microsoft 365 Apps通道。如需名稱變更的詳細資訊，請參閱Office 365 專業增強版的名稱變更。
  - SCEP 和 Windows Defender 防病毒軟體更新範本提供部署 Endpoint Protection 定義更新時要使用的一般設定。
- 集合：指定要用於部署的目標集合。集合的成員會接收部署中定義的軟體更新。
- 決定是否要將軟體更新新增至新的或現有的軟體更新群組。在大部分情況下，選擇在 ADR 執行時建立新的軟體更新群組。如果規則是以更積極的排程執行，您可以選擇使用現有的群組。例如，如果您每天針對定義更新執行規則，則可以將軟體更新新增至現有的軟體更新群組。
- 執行此規則之後啟用部署：指定是否要在 ADR 執行之後啟用軟體更新部署。請考慮此設定的下列選項：
  - 當您啟用部署時，符合規則定義準則的更新會新增至軟體更新群組。軟體更新內容會視需要下載。內容會複製到指定的發佈點，而更新會部署到目標集合中的用戶端。
  - 當您未啟用部署時，會將符合規則定義準則的更新新增至軟體更新群組。軟體更新部署內容會視需要下載併發布至指定的發佈點。月臺會在軟體更新群組上建立停用的部署，以防止將更新部署至用戶端。此選項提供時間來準備部署更新、確認符合準則的更新是否足夠，然後啟用部署。
在 [ 部署設定] 頁面上，設定下列設定：
- 部署類型：從 2107 版開始，您可以指定軟體更新部署的部署類型。在 2107 版之前，需要自動部署規則所建立的所有部署。
  - 選 取 [必要 ] 以建立必要的軟體更新部署。軟體更新會在您設定的安裝期限之前自動安裝在用戶端上。
  - 選 取 [可用 ] 以建立選擇性的軟體更新部署。此部署可供使用者從軟體中心安裝。
  注意事項
  
  從 Configuration Manager 2203 版開始，您可以針對 [可用的部署] 選取此部署設定的 [預先下載內容]。此設定可減少用戶端的安裝等候時間，因為在完整下載內容之前，軟體中心不會顯示安裝通知。
  - 如果更新位於用戶端的多個部署中，且 此部署設定的預先下載內容 已針對至少一個部署啟用，則內容將會預先下載。
  - 如果您編輯現有的部署以使用 此部署設定的預先下載內容 ，則只有在用戶端上尚未提供軟體更新時，才會預先下載內容。
- 使用網路喚醒來喚醒需要部署的用戶端：指定是否要在期限啟用網路喚醒。網路喚醒會將喚醒封包傳送至需要部署中一或多個軟體更新的電腦。月臺會在安裝期限時喚醒處於睡眠模式的任何電腦，以便起始安裝。處於睡眠模式且部署中不需要任何軟體更新的用戶端不會啟動。根據預設，此設定不會啟用。使用此選項之前，請先設定網路喚醒的電腦和網路。如需詳細資訊，請參閱如何設定網路喚醒。
- 詳細層級：指定用戶端所報告之更新強制狀態訊息的詳細資料層級。
  重要事項
  - 當您部署定義更新時，請將詳細資料層級設定為 [錯誤]，只有 當定義更新失敗時，用戶端才會報告狀態訊息。否則，用戶端會報告可能會影響月臺伺服器效能的大量狀態訊息。
    僅限錯誤詳細資料層級不會傳送追蹤擱置重新開機所需的強制狀態訊息。
- 授權條款設定：指定是否要使用相關聯的授權條款自動部署軟體更新。某些軟體更新包括授權條款。當您自動部署軟體更新時，不會顯示授權條款，而且沒有選項可接受授權條款。選擇自動部署所有軟體更新，不論相關聯的授權條款為何，或只部署沒有相關聯授權條款的更新。
  - 若要檢閱軟體更新的授權條款，請在 [軟體程式庫] 工作區的 [所有軟體更新] 節點中選取軟體更新。在功能區中，按一下 [ 檢閱授權]。
  - 若要尋找具有相關聯授權條款的軟體更新，請將 [授權條款]資料行新增至 [所有軟體] 更新節點中的結果窗格。按一下資料行的標題，依授權條款的軟體更新進行排序。
在 [軟體更新] 頁面上，設定 ADR 擷取並新增至軟體更新群組的軟體更新準則。
- ADR 中的軟體更新限制為 1000 個軟體更新。
- 如有需要，請在自動部署規則中篩選軟體更新的內容大小。如需詳細資訊，請參閱在下層作業系統上Configuration Manager和簡化 Windows 服務。
- 從 2111 版開始，已在 發行日期或修訂 的搜尋準則中新增下列選項：
  - 超過 30 天
  - 超過 60 天
  - 超過 90 天
  - 超過 6 個月
  - 1 年以上
- 您可以使用 [已部署 ] 作為自動部署規則的更新篩選器。此篩選有助於識別可能需要部署至試驗或測試集合的新更新。軟體更新篩選器也有助於避免重新部署較舊的更新。
  - 使用 已部署 作為篩選準則時，請留意您可能已將更新部署到另一個集合，例如試驗或測試集合。
- [架構 ] 的屬性篩選現在可供使用。使用此篩選器來排除較不常見的架構，例如 Itanium 和 ARM64。請記住，在 64 位 (x64) 系統上執行的 32 位 (x86) 應用程式和元件。除非您確定不需要 x86，否則當您選擇 x64 時也請加以啟用。
在 [ 評估排程 ] 頁面上，指定是否要讓 ADR 依排程執行。啟用時，按一下 [自訂] 以設定週期性排程。
- 排程的開始時間設定是以執行 Configuration Manager 主控台之電腦的當地時間為基礎。
- ADR 評估每天可以執行三次。
- 永遠不要以超過軟體更新同步處理排程的頻率來設定評估排程。此頁面會顯示軟體更新點同步排程，以協助您判斷評估排程頻率。
- 若要手動執行 ADR，請在主控台的 [ 自動部署規則 ] 節點中選取規則，然後按一下功能區中的 [ 立即執行]。
- ADR 可以排程以評估基底日期的位移。例如，如果 Patch Tuesday 實際上落在星期三，請將當月第二個星期二的評估排程設定為一天。
  - 當您在當月的最後一周使用位移排程評估時，如果您選擇持續到下個月的位移，網站會排程當月最後一天的評估。
在 [ 部署排程 ] 頁面上，設定下列設定：
- 排程評估：指定Configuration Manager評估可用時間和安裝期限時間的時間。選擇使用國際標準時間 (UTC) 或執行 Configuration Manager 主控台之電腦的當地時間。
  - 當您在這裡選取[用戶端當地時間]，然後針對 [軟體可用時間] 選取 [儘快]，系統會使用執行 Configuration Manager 主控台之電腦上的目前時間來評估更新的可用時間。此行為與 安裝期限 和用戶端上安裝更新的時間相同。如果用戶端位於不同的時區，當用戶端的時間到達評估時間時，就會發生這些動作。
- 軟體可用時間：選取下列其中一個設定，以指定用戶端何時可以使用軟體更新：
  - 儘快：儘快將部署中的軟體更新提供給用戶端。當您建立已選取此設定的部署時，Configuration Manager更新用戶端原則。在下一個用戶端原則輪詢週期中，用戶端會注意到部署，且軟體更新可供安裝。
  - 特定時間：讓部署中包含的軟體更新可在特定日期和時間提供給用戶端。當您建立啟用此設定的部署時，Configuration Manager更新用戶端原則。在下一個用戶端原則輪詢週期中，用戶端會注意到部署。不過，部署中的軟體更新必須等到設定的日期和時間之後才能安裝。
  注意事項
  
  從 2203 版開始，現在會根據 ADR 評估的排程和開始時間，計算 ADR 所建立部署的軟體 可用時間 和 安裝期限 。先前，這些時間是根據 ADR 評估完成的時間計算而來。這項變更可讓 部署的軟體可用時間 和 安裝期限 保持一致且可預測。
- 安裝期限：這些選項僅適用于必要部署。選取下列其中一個設定，以指定部署中軟體更新的安裝期限：
  - 儘快：選取此設定，以儘快在部署中自動安裝軟體更新。
  - 特定時間：選取此設定可在特定日期和時間自動在部署中安裝軟體更新。 Configuration Manager會將設定的[特定時間間隔] 新增至 [軟體可用時間]，以決定安裝軟體更新的期限。
    - 實際的安裝期限時間是顯示的期限時間加上最多兩小時的隨機時間量。隨機化可減少集合中的用戶端同時在部署中安裝更新的潛在影響。
    - [電腦代理程式] 群組中的 [停用期限隨機化] 不會覆寫隨機行為。如需詳細資訊，請參閱電腦代理程式用戶端設定。
  注意事項
  
  從 2203 版開始，現在會根據 ADR 評估的排程和開始時間，計算 ADR 所建立部署的軟體 可用時間 和 安裝期限 。先前，這些時間是根據 ADR 評估完成的時間計算而來。這項變更可讓 部署的軟體可用時間 和 安裝期限 保持一致且可預測。
- 根據使用者喜好設定延遲強制執行此部署，最多可達用戶端設定中定義的寬限期：啟用此設定可讓使用者在期限之後有更多時間安裝必要的軟體更新。
  - 當電腦長時間關閉，而且需要安裝許多軟體更新或應用程式時，通常需要此行為。例如，當使用者從假期返回時，他們必須等候很長的時間，因為用戶端會安裝逾期的部署。
  - 使用 [寬限期] 屬性設定此寬限期，以在用戶端設定 中) 部署期限 (小時之後強制執行 。如需詳細資訊，請參閱電腦代理程式一節。強制寬限期適用于已啟用此選項並以您也部署用戶端設定之裝置為目標的所有部署。
  - 在期限之後，用戶端會在第一個非商務視窗中安裝軟體更新，使用者已設定此寬限期。不過，使用者仍然可以開啟軟體中心，並隨時安裝軟體更新。寬限期到期後，強制執行會還原為逾期部署的正常行為。
在 [ 使用者體驗] 頁面上，設定下列設定：
- 使用者通知：指定是否要在設定的軟體 可用時間于軟體中心顯示通知。此設定也會控制是否要通知用戶端上的使用者。
- 期限行為：此設定僅適用于必要部署。指定軟體更新部署到達任何已定義維護期間以外的期限時的行為。選項包括是否要安裝軟體更新，以及是否要在安裝之後執行系統重新開機。如需維護期間的詳細資訊，請參閱如何使用維護時段。
  
  注意事項
  
  這僅適用于針對用戶端裝置設定維護期間時。如果裝置上未定義任何維護時段，安裝和重新開機的更新一律會在期限之後進行。
- 裝置重新開機行為：此設定僅適用于必要部署。指定是否要在需要重新開機才能完成更新安裝時，隱藏伺服器和工作站上的系統重新開機。
  
  警告
  
  隱藏系統重新開機在伺服器環境中，或是您不想要目的電腦預設重新開機時很有用。不過，這樣做可能會讓電腦處於不安全的狀態。允許強制重新開機有助於確保立即完成軟體更新安裝。
- Windows Embedded 裝置的寫入篩選處理：此設定可控制使用寫入篩選器啟用的 Windows Embedded 裝置上的安裝行為。選擇在安裝期限或維護期間認可變更的選項。當您選取此選項時，需要重新開機，而且變更會保存在裝置上。否則，會安裝更新、套用至暫存重迭，稍後再認可。
  - 當您將軟體更新部署至 Windows Embedded 裝置時，請確定裝置是已設定維護期間之集合的成員。
- 重新開機時的軟體更新部署重新評估行為：選取此設定可設定軟體更新部署，讓用戶端在用戶端安裝軟體更新並重新啟動之後立即執行軟體更新合規性掃描。此設定可讓用戶端檢查用戶端重新開機之後會變成適用的其他更新，然後在相同的維護期間安裝更新。
在 [警示]頁面上，設定Configuration Manager如何產生此部署的警示。在 [軟體程式庫] 工作區的 [軟體更新] 節點中，檢閱來自Configuration Manager的最新軟體更新警示。如果您也使用 System Center Operations Manager，也請設定其警示。
在 [ 下載設定] 頁面上，設定下列設定：
- 指定用戶端在使用鄰近或預設月臺界限群組的發佈點時，是否應該下載並安裝更新。
- 指定當目前或鄰近界限群組中的發佈點無法使用軟體更新的內容時，用戶端是否應該從月臺預設界限群組中的發佈點下載並安裝更新。
- 允許用戶端與相同子網上的其他用戶端共用內容：指定是否要針對內容下載啟用 BranchCache。如需詳細資訊，請參閱 BranchCache。 BranchCache 一律會在用戶端上啟用。此設定會移除，因為如果發佈點支援，用戶端會使用 BranchCache。
- 如果目前、鄰近或月臺界限群組的發佈點上無法使用軟體更新，請從 Microsoft 更新下載內容：選取此設定，讓內部網路連線的用戶端在發佈點上無法使用更新時，從 Microsoft Update 下載軟體更新。以網際網路為基礎的用戶端一律會移至 Microsoft Update 以取得軟體更新內容。
- 指定當用戶端使用計量付費網際網路連線時，是否允許用戶端在安裝期限之後下載。當您使用計量付費連線時，網際網路提供者有時會依據您傳送和接收的資料量來收費。
注意事項

用戶端會從管理點要求部署中軟體更新的內容位置。下載行為取決於您在此頁面上設定發佈點、部署套件和設定的方式。
在 [ 部署套件] 頁面上，選取下列其中一個選項：
- 選取部署套件：將這些更新新增至現有的部署套件。
- 建立新的部署套件：將這些更新新增至新的部署套件。設定下列其他設定：
  - 名稱：指定部署封裝的名稱。使用描述封裝內容的唯一名稱。限制為 50 個字元。
  - 描述：指定提供部署套件相關資訊的描述。選擇性的描述限制為 127 個字元。
  - 套件來源：指定軟體更新來源檔案的位置。輸入來源位置的網路路徑，例如， \\server\sharename\path 或按一下 [流覽 ] 以尋找網路位置。在繼續進行下一頁之前，請先建立部署套件來源檔案的共用資料夾。
    - 您無法使用指定的位置作為另一個軟體部署套件的來源。
    - 您可以在Configuration Manager建立部署套件之後，變更部署套件屬性中的套件來源位置。如果您這樣做，請先將內容從原始套件來源複製到新的套件來源位置。
    - SMS 提供者的電腦帳戶和執行精靈以下載軟體更新的使用者都必須具有下載位置的寫入許可權。限制下載位置的存取。這項限制可降低攻擊者竄改軟體更新來源檔案的風險。
  - 傳送優先順序：指定部署套件的傳送優先順序。 Configuration Manager會在將套件傳送至發佈點時使用此優先順序。部署套件會依優先順序傳送：高、中或低。具有相同優先順序的套件會依其建立順序傳送。如果沒有待辦專案，封裝會立即處理，而不論其優先順序為何。
  - 啟用二進位差異複寫：啟用此設定以針對部署套件使用二進位差異複寫。如需詳細資訊，請參閱二進位差異複寫。
- 無部署套件：將軟體更新部署到裝置，而不需先下載內容併發布至發佈點。此設定有助於處理極大型的更新內容。當您一律希望用戶端從 Microsoft Update 雲端服務取得內容時，也請使用它。此案例中的用戶端也可以從已經有必要內容的對等下載內容。 Configuration Manager用戶端會繼續管理內容下載，因此可以利用Configuration Manager對等快取功能，或傳遞優化等其他技術。此功能支援Configuration Manager軟體更新管理所支援的任何更新類型，包括 Windows 和Microsoft 365 Apps更新。
  
  注意事項
  
  選取此選項並套用設定之後，就無法再變更。其他選項則呈現灰色。
在 [ 發佈點] 頁面上，指定要裝載軟體更新檔案的發佈點或發佈點群組。如需發佈點的詳細資訊，請參閱發佈點設定。只有當您建立新的軟體更新部署套件時，才能使用此頁面。
在 [ 下載位置 ] 頁面上，指定要從網際網路或從區域網路下載軟體更新檔案。進行下列設定：
- 從網際網路下載軟體更新：選取此設定可從網際網路上的指定位置下載軟體更新。預設會啟用此設定。
- 從區域網路上的位置下載軟體更新：選取此設定可從本機目錄或共用資料夾下載軟體更新。當執行精靈的電腦無法存取網際網路時，此設定會很有用。任何可存取網際網路的電腦都可以預先下載軟體更新。然後將它們儲存在區域網路上可從執行精靈的電腦存取的位置。另一個案例可能是下載透過 System Center 更新 Publisher 或協力廠商修補解決方案發佈的內容。最上層軟體更新點上的 WSUS 內容共用可以輸入為要從中下載的網路位置，例如 \\server\WsusContent 。
在 [ 語言選擇 ] 頁面上，選取網站下載所選軟體更新的語言。只有當這些更新以選取的語言提供時，網站才會下載這些更新。不屬於語言特定的軟體更新一律會下載。根據預設，精靈會選取您在軟體更新點屬性中設定的語言。在繼續下一頁之前，至少必須選取一種語言。當您只選取軟體更新不支援的語言時，更新的下載會失敗。
在 [ 摘要] 頁面上，檢閱設定。若要將設定儲存至部署範本，請按一下 [另 存新檔範本]。輸入名稱並選取您想要包含在範本中的設定，然後按一下 [ 儲存]。若要變更已設定的設定，請按一下相關聯的精靈頁面並變更設定。
- 範本名稱可以包含英數位元 ASCII 字元，以及 \ (反斜線) 或 ' (單引號) 。
按 [下一步 ] 以建立 ADR。

完成精靈之後，ADR 就會執行。它會將符合指定準則的軟體更新新增至軟體更新群組。然後，ADR 會將更新下載到月臺伺服器上的內容庫，並將其發佈至設定的發佈點。然後，ADR 會將軟體更新群組部署至目標集合中的用戶端。

將新的部署新增至現有的 ADR

建立 ADR 之後，請將其他部署新增至規則。此動作可協助您管理將不同更新部署至不同集合的複雜性。每個新部署都有完整的功能和部署監視體驗。

將新部署新增至現有 ADR 的程式

在Configuration Manager主控台中，移至 [軟體程式庫] 工作區，展開 [軟體更新]，選取 [自動部署規則]節點，然後選取所需的規則。
在功能區中，按一下 [ 新增部署]。
在 [新增部署精靈] 的 [ 集合 ] 頁面上，設定可用的設定，與 [建立自動部署規則精靈] 的 [ 一般 ] 頁面類似。如需詳細資訊，請參閱上一節建立 ADR 的程式。 [新增部署精靈] 的其餘部分包含下列頁面，其中也符合上述詳細描述：
- 部署設定
- 部署排程
- 使用者體驗
- 警示
- 下載設定

您也可以使用 Windows PowerShell Cmdlet，以程式設計方式新增部署。如需使用這個方法的完整描述，請參閱 New-CMSoftwareUpdateDeployment 。

如需部署程式的詳細資訊，請參閱軟體更新部署程式。

建立自動部署規則資料夾的程式

(從 2207 版開始)

在 Configuration Manager 主控台中，移至 [軟體連結庫] 工作區，然後移至 [自動部署規則]。
從功能區或以滑鼠右鍵按一下功能表，然後在 [自動部署規則] 中選取下列選項：
- 建立資料夾
- 刪除資料夾
- 重新命名資料夾
- 移動資料夾
- 設定安全性範圍

您也可以使用 Windows PowerShell Cmdlet，以程式設計方式新增資料夾建立。如需使用此方法的完整描述，請參閱

已知問題

錯誤碼0x87D20417

場景：執行 Configuration Manager 2010 版時，您可能會注意到自動部署規則失敗，並傳回[上次錯誤碼] 0x87D20417。在 PatchDownloader.log 中，您會在 %temp% 目錄中看到 Failed to create temp file with GetTempFileName() at temp location C:\Windows\TEMP\, error 80 和 0 位元組檔案。

解決方案： 從 PatchDownloader.log 中指定的臨時目錄中移除所有檔案，然後重新執行 ADR。

解析度：安裝KB 4600089、Microsoft 端點更新彙總套件Configuration Manager最新分支 2010 版。

套用自動部署規則之部署套件設定的腳本

如果您使用 [ 無部署套 件] 選項建立 ADR，則無法返回並稍後新增一個。為了協助您解決此問題，我們已將下列腳本上傳至社群中樞：

提示

直接在社群中樞開啟此腳本。如需詳細資訊，請參閱直接連結至社群中樞專案。

<# Apply-ADRDeploymentPackageSettings #>

#=============================================
# START SCRIPT
#=============================================
param
(
[parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[ValidateLength(1,256)]
[string]$sourceADRName,

[parameter(Mandatory = $true)]
[ValidateNotNullOrEmpty()]
[ValidateLength(1,256)]
[string]$targetADRName
)

Try {
       # Source ADR that already has the needed deployment package. You may need to create one if it doesn’t exist.
       $sourceADR = Get-CMSoftwareUpdateAutoDeploymentRule -Name $sourceADRName

       # Target ADR that will be updated to use the source ADR’s deployment package. Typically, this is the ADR that used the “No deployment package” option. 
       $targetADR = Get-CMSoftwareUpdateAutoDeploymentRule -Name $targetADRName

       # Apply the deployment package settings
       $targetADR.ContentTemplate = $sourceADR.ContentTemplate

       # Update the wmi object
       $targetADR.Put()
}
Catch{
       $exceptionDetails = "Exception: " + $_.Exception.Message + "HResult: " + $_.Exception.HResult
       Write-Error "Failed to apply ADR deployment package settings: $exceptionDetails"
}
#=============================================
# END SCRIPT
#=============================================

後續步驟

監視軟體更新