Automatyczne instalowanie poprawek gościnnego systemu operacyjnego dla maszyn wirtualnych platformy Azure i zestawów skalowania

Dotyczy: ✔️ maszyny wirtualne z systemem Linux ✔️ maszyny wirtualne z systemem Windows ✔️ elastyczne zestawy skalowania

Włączenie automatycznego stosowania poprawek w systemie gościa dla maszyn wirtualnych platformy Azure i zestawów skalowania maszyn wirtualnych (VMSS) ułatwia zarządzanie aktualizacjami dzięki bezpiecznemu i automatycznemu instalowaniu poprawek na maszynach wirtualnych w celu utrzymania zgodności z wymaganiami zabezpieczeń, przy jednoczesnym ograniczeniu skali ewentualnych skutków problemów dotyczących maszyn wirtualnych.

Automatyczne stosowanie poprawek gościa maszyny wirtualnej ma następujące cechy:

• Poprawki sklasyfikowane jako Krytyczne lub Zabezpieczenia są automatycznie pobierane i stosowane na maszynie wirtualnej.
• Poprawki są instalowane w godzinach pozaszczytowych na maszynach wirtualnych IaaS zgodnie ze strefą czasową maszyny wirtualnej.
• Poprawki są stosowane przez wszystkie godziny dla usługi VMSS Flex.
• Platforma Azure zarządza orkiestracją poprawek i działa zgodnie z zasadą „dostępność przede wszystkim”.
• Kondycja maszyny wirtualnej określona za pomocą sygnałów kondycji platformy jest monitorowana w celu wykrywania błędów poprawek.
• Kondycję aplikacji można monitorować za pomocą rozszerzenia Application Health.
• Działa dla wszystkich rozmiarów maszyn wirtualnych.

Jak działa automatyczne instalowanie poprawek w systemie gościa maszyny wirtualnej?

Jeśli automatyczne stosowanie poprawek gościa maszyny wirtualnej jest włączone na maszynie wirtualnej, dostępne poprawki krytyczne i poprawki zabezpieczeń są pobierane i stosowane automatycznie na maszynie wirtualnej. Ten proces rozpoczyna się automatycznie co miesiąc po wydaniu nowych poprawek. Ocena poprawek i instalacja są automatyczne, a proces obejmuje ponowne uruchomienie maszyny wirtualnej zgodnie z konfiguracją. Parametr rebootSetting modelu maszyny wirtualnej ma priorytet względem ustawień w innym systemie, takim jak Konfiguracja konserwacji.

Maszyna wirtualna jest okresowo oceniana co kilka dni i wiele razy w dowolnym 30-dniowym okresie w celu określenia odpowiednich poprawek dla tej maszyny wirtualnej. Poprawki można instalować w dowolnym dniu na maszynie wirtualnej poza godzinami szczytu dla maszyny wirtualnej. Ta automatyczna weryfikacja zapewnia, że wszelkie brakujące poprawki zostaną wykryte tak wcześnie, jak to możliwe.

Poprawki są instalowane w ciągu 30 dni od daty publikacji comiesięcznych poprawek, zgodnie z orkiestracją z priorytetem dostępności. Poprawki są instalowane tylko poza godzinami szczytu maszyny wirtualnej w zależności od strefy czasowej maszyny wirtualnej. Maszyna wirtualna musi być uruchomiona w godzinach poza godzinami szczytu, aby poprawki zostały automatycznie zainstalowane. Jeśli maszyna wirtualna jest wyłączona podczas okresowej oceny, platforma automatycznie ocenia i stosuje poprawki (w razie potrzeby) podczas następnej okresowej oceny (zwykle w ciągu kilku dni), gdy maszyna wirtualna jest włączona.

Aktualizacje definicji i inne poprawki niesklasyfikowane jako Krytyczne lub Zabezpieczenia nie będą instalowane w ramach automatycznego instalowania poprawek w systemie gościa maszyny wirtualnej. Aby zainstalować poprawki z innymi klasyfikacjami poprawek lub zaplanować instalację poprawek we własnym niestandardowym oknie obsługi, możesz użyć usługi Menedżer aktualizacji platformy Azure.

Włączenie automatycznego stosowania poprawek gościa na pojedynczych maszynach wirtualnych lub w zestawach skalowania maszyn wirtualnych w trybie elastycznej orkiestracji umożliwia platformie Azure aktualizowanie floty etapami. Wdrożenie etapowe jest zgodne z praktykami bezpiecznego wdrażania platformy Azure i zmniejsza promień wpływu, jeśli jakiekolwiek problemy są identyfikowane z najnowszą aktualizacją. Monitorowanie stanu jest zalecane w przypadku pojedynczych maszyn wirtualnych i wymagane w przypadku zestawów skalowania maszyn wirtualnych w trybie elastycznej orkiestracji, aby wykrywać problemy związane z aktualizacją.

Aktualizacje stawiające na wysoką dostępność

Platforma Azure organizuje proces instalacji poprawek we wszystkich chmurach publicznych i prywatnych dla maszyn wirtualnych, które włączyły automatyczne stosowanie poprawek gościa. Orkiestracja opiera się na zasadach stawiających dostępność na pierwszym miejscu na różnych poziomach dostępności oferowanych przez platformę Azure.

W przypadku grupy maszyn wirtualnych poddawanych aktualizacji platforma Azure organizuje aktualizacje:

Między regionami:

• Comiesięczna aktualizacja jest organizowana na platformie Azure globalnie w sposób etapowy, aby zapobiec awariom wdrożenia globalnego.
• Faza może mieć co najmniej jeden region, a aktualizacja zostanie przeniesiona do następnych faz tylko wtedy, gdy kwalifikujące się maszyny wirtualne w fazie zostaną pomyślnie zaktualizowane.
• Regiony sparowane geograficznie nie są aktualizowane współbieżnie i nie mogą znajdować się w tej samej fazie regionalnej.
• Powodzenie aktualizacji ocenia się na podstawie monitorowania stanu maszyny wirtualnej po jej zainstalowaniu. Kondycja maszyny wirtualnej jest śledzona za pomocą wskaźników kondycji platformy dla maszyny wirtualnej.

W obrębie regionu:

• Maszyny wirtualne w różnych strefach dostępności nie są aktualizowane jednocześnie tą samą aktualizacją.
• Maszyny wirtualne, które nie należą do zestawu dostępności, są grupowane w miarę możliwości, aby uniknąć jednoczesnych aktualizacji wszystkich maszyn wirtualnych w ramach subskrypcji.

W zestawie dostępności:

• Wszystkie maszyny wirtualne we wspólnym zestawie dostępności nie są aktualizowane współbieżnie.
• Maszyny wirtualne w wspólnym zestawie dostępności są aktualizowane w granicach domeny aktualizacji, a maszyny wirtualne w wielu domenach aktualizacji nie są aktualizowane współbieżnie.
• W domenie aktualizacji nie więcej niż 20% maszyn wirtualnych w zestawie dostępności zostaje zaktualizowanych jednocześnie. W przypadku zestawów dostępności z mniej niż 10 maszynami wirtualnymi maszyny wirtualne są aktualizowane pojedynczo w domenie aktualizacji.

Ograniczenie liczby współbieżnych poprawek maszyn wirtualnych w różnych regionach, w regionie lub w zestawie dostępności ogranicza wpływ wadliwej poprawki na dany zestaw maszyn wirtualnych. Dzięki monitorowaniu stanu wszelkie potencjalne problemy są wykrywane, zanim wpłyną na całe obciążenie robocze.

Data instalacji poprawek dla danej maszyny wirtualnej może się różnić od miesiąca do miesiąca, ponieważ określona maszyna wirtualna może być pobierana w innej partii między miesięcznymi cyklami stosowania poprawek.

Które poprawki są zainstalowane?

Zainstalowane poprawki zależą od etapu wdrażania maszyny wirtualnej. Co miesiąc rozpoczyna się nowe globalne wdrażanie, w ramach którego na danej maszynie wirtualnej instalowane są wszystkie poprawki zabezpieczeń i poprawki krytyczne ocenione dla tej maszyny wirtualnej. Wdrożenie jest koordynowane we wszystkich regionach platformy Azure i odbywa się partiami.

Dokładny zestaw poprawek do zainstalowania różni się w zależności od konfiguracji maszyny wirtualnej, w tym typu systemu operacyjnego i czasu oceny. Istnieje możliwość zainstalowania dwóch identycznych maszyn wirtualnych w różnych regionach, jeśli istnieje więcej lub mniej poprawek dostępnych, gdy aranżacja poprawek dociera do różnych regionów w różnym czasie. Podobnie, ale rzadziej maszyny wirtualne w tym samym regionie, ale oceniane w różnym czasie (ze względu na różne partie strefy dostępności lub zestawu dostępności) mogą uzyskać różne poprawki.

Ponieważ funkcja Automatycznego poprawiania systemu gościa maszyny wirtualnej nie konfiguruje źródła poprawek, dwie podobne maszyny wirtualne skonfigurowane do korzystania z różnych źródeł poprawek, takich jak repozytorium publiczne i repozytorium prywatne, mogą również różnić się dokładnym zestawem zainstalowanych poprawek.

W przypadku typów systemu operacyjnego, które zwalniają poprawki w stałym okresie, maszyny wirtualne skonfigurowane do publicznego repozytorium systemu operacyjnego mogą oczekiwać otrzymania tego samego zestawu poprawek w różnych fazach wdrażania w ciągu miesiąca. Na przykład maszyny wirtualne z systemem Windows skonfigurowane do publicznego repozytorium usługi Windows Update.

W miarę wyzwalania nowego wdrożenia co miesiąc maszyna wirtualna otrzymuje co najmniej jedno wdrożenie poprawek co miesiąc, jeśli maszyna wirtualna jest włączona poza godzinami szczytu. Ten proces gwarantuje, że maszyna wirtualna zostanie poprawiona przy użyciu najnowszych dostępnych poprawek zabezpieczeń i krytycznych poprawek co miesiąc. Aby zapewnić spójność w zestawie zainstalowanych poprawek, możesz skonfigurować maszyny wirtualne w celu oceny i pobierania poprawek z własnych repozytoriów prywatnych.

Obsługiwane obrazy systemu operacyjnego

Obsługiwane obrazy systemu Windows (możliwe do poprawiania)

Obsługiwane obrazy systemu Windows (bez obsługi hotpatch)

Obsługiwane obrazy systemu Linux

Tryby aranżacji poprawek

Maszyny wirtualne na platformie Azure obsługują teraz następujące tryby orkiestracji poprawek:

AutomaticByPlatform (aranżowane stosowanie poprawek na platformie Azure):

• Ten tryb jest obsługiwany zarówno dla maszyn wirtualnych z systemami Linux, jak i Windows.
• Ten tryb umożliwia automatyczne instalowanie poprawek w systemie gościa maszyny wirtualnej, a późniejsza instalacja poprawek jest koordynowana przez Azure.
• Podczas procesu instalacji ten tryb ocenia maszynę wirtualną pod kątem dostępnych poprawek i zapisuje szczegóły w usłudze Azure Resource Graph.
• Ten tryb jest wymagany do stosowania poprawek z priorytetem dostępności.
• Ten tryb jest obsługiwany tylko w przypadku maszyn wirtualnych, które są tworzone przy użyciu obsługiwanych obrazów platformy systemu operacyjnego powyżej.
• W przypadku maszyn wirtualnych z systemem Windows ustawienie tego trybu powoduje również wyłączenie natywnej funkcji Automatyczne aktualizacje na maszynie wirtualnej z systemem Windows, aby uniknąć dublowania.
• Aby użyć tego trybu na maszynach wirtualnych z systemem Linux, ustaw właściwość osProfile.linuxConfiguration.patchSettings.patchMode=AutomaticByPlatform w szablonie maszyny wirtualnej.
• Aby użyć tego trybu na maszynach wirtualnych z systemem Windows, ustaw właściwość osProfile.windowsConfiguration.patchSettings.patchMode=AutomaticByPlatform w szablonie maszyny wirtualnej.
• Włączenie tego trybu powoduje ustawienie klucza rejestru SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate na 1

AutomaticByOS:

• Ten tryb jest obsługiwany tylko w przypadku maszyn wirtualnych z systemem Windows.
• Ten tryb umożliwia automatyczne aktualizacje na maszynie wirtualnej z systemem Windows, a poprawki są instalowane na maszynie wirtualnej za pośrednictwem aktualizacji automatycznych.
• Ten tryb nie obsługuje instalacji poprawek z priorytetem dostępności.
• Ten tryb jest domyślnie ustawiany, jeśli dla maszyny wirtualnej z systemem Windows nie określono innego trybu poprawek.
• Aby użyć tego trybu na maszynach wirtualnych z systemem Windows, ustaw właściwość osProfile.windowsConfiguration.enableAutomaticUpdates=truei ustaw właściwość osProfile.windowsConfiguration.patchSettings.patchMode=AutomaticByOS w szablonie maszyny wirtualnej.
• Włączenie tego trybu powoduje ustawienie klucza rejestru SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate na wartość 0

Instrukcja:

• Ten tryb jest obsługiwany tylko w przypadku maszyn wirtualnych z systemem Windows.
• Ten tryb wyłącza aktualizacje automatyczne na maszynie wirtualnej z systemem Windows. Podczas wdrażania maszyny wirtualnej przy użyciu interfejsu wiersza polecenia lub programu PowerShell, ustawienie --enable-auto-updates na false powoduje również ustawienie patchMode na manual i wyłącza aktualizacje automatyczne.
• Ten tryb nie obsługuje stosowania poprawek z priorytetem dostępności.
• Ten tryb należy ustawić podczas korzystania z niestandardowych rozwiązań do stosowania poprawek.
• Aby użyć tego trybu na maszynach wirtualnych z systemem Windows, ustaw właściwość osProfile.windowsConfiguration.enableAutomaticUpdates=falsei ustaw właściwość osProfile.windowsConfiguration.patchSettings.patchMode=Manual w szablonie maszyny wirtualnej.
• Włączenie tego trybu powoduje ustawienie klucza rejestru SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\NoAutoUpdate na 1

ImageDefault:

• Ten tryb jest obsługiwany tylko w przypadku maszyn wirtualnych z systemem Linux.
• Ten tryb nie obsługuje instalowania poprawek z priorytetem dostępności.
• Ten tryb honoruje domyślną konfigurację stosowania poprawek na obrazie użytym do utworzenia maszyny wirtualnej.
• Ten tryb jest domyślnie ustawiany, jeśli dla maszyny wirtualnej z systemem Linux nie określono innego trybu poprawek.
• Aby użyć tego trybu na maszynach wirtualnych z systemem Linux, ustaw właściwość osProfile.linuxConfiguration.patchSettings.patchMode=ImageDefault w szablonie maszyny wirtualnej.

Wymagania dotyczące włączenia automatycznego instalowania poprawek w maszynie wirtualnej

• Maszyna wirtualna musi mieć zainstalowanego agenta maszyny wirtualnej platformy Azure dla systemu Windows lub Linux .
• W przypadku maszyn wirtualnych z systemem Linux agent platformy Azure musi mieć wersję 2.2.53.1 lub nowszą. Zaktualizuj agenta systemu Linux, jeśli bieżąca wersja jest niższa niż wymagana wersja.
• W przypadku maszyn wirtualnych z systemem Windows usługa Windows Update musi być uruchomiona na maszynie wirtualnej.
• Maszyna wirtualna musi mieć dostęp do skonfigurowanych punktów końcowych aktualizacji. Jeśli maszyna wirtualna jest skonfigurowana do używania repozytoriów prywatnych dla maszyn wirtualnych z systemem Linux lub Windows Server Update Services (WSUS), odpowiednie punkty końcowe aktualizacji muszą być dostępne.
• Użyj interfejsu API obliczeń w wersji 2021-03-01 lub nowszej, aby uzyskać dostęp do wszystkich funkcji, w tym oceny na żądanie i stosowania poprawek na żądanie.
• Obrazy niestandardowe nie są obecnie obsługiwane.
• Elastyczna orkiestracja usługi VMSS wymaga zainstalowania rozszerzenia Application Health. Jest to opcjonalne dla maszyn wirtualnych IaaS.

Włączanie automatycznego stosowania poprawek gościa maszyny wirtualnej

Automatyczne instalowanie poprawek w systemie gościa można włączyć dla dowolnej maszyny wirtualnej z systemem Windows lub Linux utworzonej na podstawie obsługiwanego obrazu platformy.

Interfejs API REST dla maszyn wirtualnych z systemem Linux

Poniższy przykład opisuje, jak włączyć automatyczne instalowanie poprawek na maszynie wirtualnej:

PUT on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2020-12-01`

{
  "location": "<location>",
  "properties": {
    "osProfile": {
      "linuxConfiguration": {
        "provisionVMAgent": true,
        "patchSettings": {
          "patchMode": "AutomaticByPlatform"
        }
      }
    }
  }
}

Interfejs API REST dla maszyn wirtualnych z systemem Windows

Poniższy przykład opisuje, jak włączyć automatyczne instalowanie poprawek gościa maszyny wirtualnej:

PUT on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine?api-version=2020-12-01`

{
  "location": "<location>",
  "properties": {
    "osProfile": {
      "windowsConfiguration": {
        "provisionVMAgent": true,
        "enableAutomaticUpdates": true,
        "patchSettings": {
          "patchMode": "AutomaticByPlatform"
        }
      }
    }
  }
}

Program Azure PowerShell podczas tworzenia maszyny wirtualnej z systemem Windows

Użyj polecenia cmdlet Set-AzVMOperatingSystem, aby włączyć automatyczne stosowanie poprawek gościa maszyny wirtualnej podczas tworzenia maszyny wirtualnej.

Set-AzVMOperatingSystem -VM $VirtualMachine -Windows -ComputerName $ComputerName -Credential $Credential -ProvisionVMAgent -EnableAutoUpdate -PatchMode "AutomaticByPlatform"

Program Azure PowerShell podczas aktualizowania maszyny wirtualnej z systemem Windows

Użyj poleceń cmdlet Set-AzVMOperatingSystem i Update-AzVM, aby włączyć automatyczne instalowanie poprawek gościa maszyny wirtualnej na istniejącej maszynie wirtualnej.

$VirtualMachine = Get-AzVM -ResourceGroupName "myResourceGroup" -Name "myVM"
Set-AzVMOperatingSystem -VM $VirtualMachine -PatchMode "AutomaticByPlatform"
Update-AzVM -ResourceGroupName "myResourceGroup" -VM $VirtualMachine

Interfejs wiersza polecenia platformy Azure dla maszyn wirtualnych z systemem Windows

Użyj az vm create, aby włączyć automatyczne instalowanie poprawek gościa maszyny wirtualnej podczas tworzenia nowej maszyny wirtualnej. Poniższy przykład konfiguruje automatyczne instalowanie poprawek w systemie gościa maszyny wirtualnej dla maszyny wirtualnej o nazwie myVM w grupie zasobów o nazwie myResourceGroup:

az vm create --resource-group myResourceGroup --name myVM --image Win2019Datacenter --enable-agent --enable-auto-update --patch-mode AutomaticByPlatform

Aby zmodyfikować istniejącą maszynę wirtualną, użyj polecenia az vm update

az vm update --resource-group myResourceGroup --name myVM --set osProfile.windowsConfiguration.enableAutomaticUpdates=true osProfile.windowsConfiguration.patchSettings.patchMode=AutomaticByPlatform

Azure Portal

Podczas tworzenia maszyny wirtualnej przy użyciu witryny Azure Portal tryby aranżacji poprawek można ustawić na karcie Zarządzanie dla systemów Linux i Windows.

Wdrażanie i ocena

Gdy dla maszyny wirtualnej jest włączone automatyczne poprawianie gościa maszyny wirtualnej, na maszynie wirtualnej z systemem Linux instalowane jest rozszerzenie maszyny wirtualnej typu Microsoft.CPlat.Core.LinuxPatchExtension, a na maszynie wirtualnej z systemem Windows instalowane jest rozszerzenie maszyny wirtualnej typu Microsoft.CPlat.Core.WindowsPatchExtension. To rozszerzenie nie musi być instalowane ręcznie ani aktualizowane, ponieważ to rozszerzenie jest zarządzane przez platformę Azure w ramach procesu automatycznego stosowania poprawek gościa maszyny wirtualnej.

Włączenie automatycznych aktualizacji gościa maszyny wirtualnej na maszynie wirtualnej może potrwać ponad trzy godziny, ponieważ włączenie jest wykonywane poza godzinami szczytu maszyny wirtualnej. Rozszerzenie jest również instalowane i aktualizowane poza godzinami szczytu dla maszyny wirtualnej. Jeśli godziny poza szczytem maszyny wirtualnej zakończą się, zanim proces włączania zostanie zakończony, proces włączania zostanie wznowiony w następnym dostępnym czasie poza godzinami szczytu.

Platforma wykonuje okresowe wywołania konfiguracji aktualizacji w celu zapewnienia zgodności po wykryciu zmian modelu na maszynach wirtualnych IaaS lub zestawach skalowania w elastycznym zarządzaniu orkiestracją. Niektóre zmiany modelu, takie jak między innymi aktualizacja trybu oceny, trybu poprawek oraz rozszerzenia, mogą spowodować wywołanie konfiguracji poprawek.

Aktualizacje automatyczne są wyłączone w większości scenariuszy, a instalacja poprawek odbywa się w przyszłości przez rozszerzenie. Obowiązują następujące warunki.

• Jeśli na maszynie wirtualnej z systemem Windows automatyczne aktualizacje systemu Windows były wcześniej włączone za pomocą trybu poprawek AutomaticByOS, po zainstalowaniu rozszerzenia zostaną one wyłączone na tej maszynie wirtualnej.
• W przypadku maszyn wirtualnych z systemem Ubuntu domyślne aktualizacje automatyczne zostają wyłączone po zakończeniu włączania funkcji automatycznego stosowania poprawek gościa maszyny wirtualnej.
• W przypadku systemu RHEL aktualizacje automatyczne muszą być ręcznie wyłączone. Wykonaj:

sudo systemctl stop packagekit

sudo systemctl mask packagekit

Aby sprawdzić, czy automatyczne poprawianie systemu gościa maszyny wirtualnej zostało ukończone i czy rozszerzenie do instalowania poprawek jest zainstalowane na maszynie wirtualnej, możesz przejrzeć widok instancji maszyny wirtualnej. Jeśli proces włączania zostanie ukończony, rozszerzenie zostanie zainstalowane, a wyniki oceny maszyny wirtualnej będą dostępne w obszarze patchStatus. Do widoku instancji maszyny wirtualnej można uzyskać dostęp na kilka sposobów, jak opisano poniżej.

interfejs API REST

GET on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine/instanceView?api-version=2020-12-01`

Azure PowerShell

Użyj polecenia cmdlet Get-AzVM z parametrem -Status, aby uzyskać dostęp do widoku wystąpienia dla Twojej maszyny wirtualnej.

Get-AzVM -ResourceGroupName "myResourceGroup" -Name "myVM" -Status

Program PowerShell obecnie udostępnia tylko informacje dotyczące rozszerzenia poprawki. Informacje o patchStatus tym będą również dostępne wkrótce za pośrednictwem programu PowerShell.

Interfejs wiersza polecenia platformy Azure

Użyj polecenia az vm get-instance-view, aby uzyskać dostęp do widoku instancji swojej maszyny wirtualnej.

az vm get-instance-view --resource-group myResourceGroup --name myVM

Opis stanu poprawki dla maszyny wirtualnej

Sekcja patchStatus odpowiedzi widoku instancji zawiera szczegółowe informacje o najnowszej ocenie i ostatniej instalacji poprawek dotyczących maszyny wirtualnej.

Wyniki oceny maszyny wirtualnej można przejrzeć w availablePatchSummary sekcji . Okresowo przeprowadzana jest ocena maszyny wirtualnej z włączonym automatycznym instalowaniem poprawek w systemie gościa. Liczba dostępnych poprawek po ocenie jest podana w wynikach criticalAndSecurityPatchCount i otherPatchCount. Automatyczna instalacja poprawek maszyn wirtualnych instaluje wszystkie poprawki oceniane według klasyfikacji poprawek krytycznych i zabezpieczeń. Wszelkie inne ocenione poprawki są pomijane.

Wyniki instalacji poprawek dla maszyny wirtualnej można przejrzeć w lastPatchInstallationSummary sekcji . Ta sekcja zawiera szczegółowe informacje na temat ostatniej próby instalacji poprawki na maszynie wirtualnej, w tym liczby zainstalowanych poprawek, oczekujących, zakończonych niepowodzeniem lub pominiętych. Poprawki są instalowane tylko w okresie poza godzinami szczytu dla maszyny wirtualnej. Oczekujące i nieudane poprawki są automatycznie ponawiane podczas następnego okna obsługi poza godzinami szczytu.

Obsługa automatycznego stosowania poprawek gościa maszyny wirtualnej po przywróceniu maszyny wirtualnej

Obsługa funkcji Automatyczne poprawki gościa maszyny wirtualnej i Hotpatching może zostać utracona po przywróceniu maszyny wirtualnej z kopii zapasowej, w zależności od użytej metody przywracania.

• Przywracanie do oryginalnej lokalizacji (OLR): Obsługa automatycznego stosowania poprawek gościa maszyny wirtualnej zostaje zachowana, ponieważ oryginalne metadane maszyny wirtualnej, w tym informacje o odwołaniu do obrazu, zostają zachowane.
• Przywracanie do alternatywnej lokalizacji (ALR): Obsługa automatycznego stosowania poprawek w systemie gościa maszyny wirtualnej może zostać utracone, ponieważ operacja przywracania tworzy nowe wystąpienie maszyny wirtualnej, które nie zachowuje oryginalnych metadanych referencji obrazu. Przywrócona maszyna wirtualna może być traktowana jako maszyna wirtualna utworzona z obrazu niestandardowego i może już nie kwalifikować się do automatycznego instalowania poprawek gościa maszyny wirtualnej ani do hotpatchingu. Przywrócona maszyna wirtualna może być traktowana jako niestandardowa maszyna wirtualna obrazu. Ponieważ obrazy niestandardowe nie są obecnie obsługiwane w usłudze automatycznych poprawek gościa maszyny wirtualnej, maszyna wirtualna może już nie kwalifikować się do automatycznych poprawek gościa maszyny wirtualnej ani instalacji poprawek na gorąco.

Aby zachować obsługę automatycznego instalowania poprawek gościa maszyny wirtualnej i funkcji Hotpatching po operacji przywrócenia, używaj przywracania do oryginalnej lokalizacji (OLR), jeśli to możliwe. proces przywracania maszyny wirtualnej Azure

Wyłączanie automatycznego stosowania poprawek gościa maszyny wirtualnej

Automatyczne instalowanie poprawek w systemie gościa maszyny wirtualnej można wyłączyć, zmieniając dla maszyny wirtualnej tryb orkiestracji poprawek.

Aby wyłączyć automatyczne stosowanie poprawek gościa maszyny wirtualnej na maszynie wirtualnej z systemem Linux, zmień tryb poprawek na ImageDefault.

Aby włączyć automatyczne instalowanie poprawek w systemie gościa na maszynie wirtualnej z systemem Windows, właściwość osProfile.windowsConfiguration.enableAutomaticUpdates określa, które tryby instalowania poprawek można ustawić na tej maszynie wirtualnej, i można ją ustawić tylko podczas tworzenia maszyny wirtualnej. Ma to wpływ na niektóre przejścia w trybie poprawek:

• W przypadku maszyn wirtualnych, które mają osProfile.windowsConfiguration.enableAutomaticUpdates=false, wyłącz automatyczne instalowanie poprawek gościa maszyny wirtualnej, zmieniając tryb poprawek na Manual.
• Dla maszyn wirtualnych, które mają osProfile.windowsConfiguration.enableAutomaticUpdates=true, wyłącz automatyczne instalowanie poprawek gościa maszyny wirtualnej, zmieniając tryb poprawek na AutomaticByOS.
• Przełączanie między trybami AutomaticByOS i Manual nie jest obsługiwane.

Skorzystaj z przykładów z powyższej sekcji dotyczącej włączania dla przykładów użycia interfejsu API, programu PowerShell i interfejsu wiersza polecenia, aby ustawić wymagany tryb poprawek.

Ocena poprawek na żądanie

Jeśli automatyczne poprawianie systemu gościa maszyny wirtualnej jest już włączone dla tej maszyny wirtualnej, w godzinach najmniejszego obciążenia okresowo jest na niej przeprowadzana ocena poprawek. Ten proces jest automatyczny, a wyniki najnowszej oceny można przejrzeć za pośrednictwem widoku wystąpienia maszyny wirtualnej zgodnie z opisem we wcześniejszej części tego dokumentu. Możesz również w dowolnym momencie uruchomić ocenę poprawek na żądanie dla maszyny wirtualnej. Wykonanie oceny poprawek może potrwać kilka minut, a stan najnowszej oceny zostanie zaktualizowany w widoku wystąpienia maszyny wirtualnej.

interfejs API REST

Użyj interfejsu API Oceny poprawek , aby ocenić dostępne poprawki dla maszyny wirtualnej.

POST on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine/assessPatches?api-version=2020-12-01`

Azure PowerShell

Użyj polecenia cmdlet Invoke-AzVmPatchAssessment, aby ocenić dostępne poprawki dla maszyny wirtualnej.

Invoke-AzVmPatchAssessment -ResourceGroupName "myResourceGroup" -VMName "myVM"

Interfejs wiersza polecenia platformy Azure

Użyj az vm assess-patches, aby sprawdzić dostępne poprawki dla swojej maszyny wirtualnej.

az vm assess-patches --resource-group myResourceGroup --name myVM

Instalacja poprawek na żądanie

Jeśli automatyczne stosowanie poprawek gościa maszyny wirtualnej jest już włączone dla maszyny wirtualnej, okresowa instalacja poprawek zabezpieczeń i poprawek krytycznych jest wykonywana na maszynie wirtualnej w godzinach poza godzinami szczytu maszyny wirtualnej. Ten proces jest automatyczny, a wyniki najnowszej instalacji można przejrzeć za pośrednictwem widoku wystąpienia maszyny wirtualnej zgodnie z opisem we wcześniejszej części tego dokumentu.

Możesz również w dowolnym momencie wyzwolić instalację poprawek na żądanie dla maszyny wirtualnej. Instalacja poprawek może potrwać kilka minut, a stan najnowszej instalacji zostanie zaktualizowany w widoku wystąpienia maszyny wirtualnej.

Możesz użyć instalacji poprawek na żądanie, aby zainstalować wszystkie poprawki co najmniej jednej klasyfikacji poprawek. Możesz również uwzględnić lub wykluczyć określone pakiety dla systemu Linux lub określone identyfikatory KB dla systemu Windows. Podczas uruchamiania instalacji poprawek na żądanie upewnij się, że na liście uwzględnianych elementów określono co najmniej jedną klasyfikację poprawek lub co najmniej jedną poprawkę (pakiet dla systemu Linux, identyfikator KB dla systemu Windows).

interfejs API REST

Użyj interfejsu API Install Patches, aby zainstalować poprawki na maszynie wirtualnej.

POST on `/subscriptions/subscription_id/resourceGroups/myResourceGroup/providers/Microsoft.Compute/virtualMachines/myVirtualMachine/installPatches?api-version=2020-12-01`

Przykładowa treść żądania dla systemu Linux:

{
  "maximumDuration": "PT1H",
  "Setting": "IfRequired",
  "linuxParameters": {
    "classificationsToInclude": [
      "Critical",
      "Security"
    ]
  }
}

Przykładowa treść żądania dla systemu Windows:

{
  "maximumDuration": "PT1H",
  "rebootSetting": "IfRequired",
  "windowsParameters": {
    "classificationsToInclude": [
      "Critical",
      "Security"
    ]
  }
}

Azure PowerShell

Użyj polecenia cmdlet Invoke-AzVMInstallPatch, aby zainstalować poprawki na maszynie wirtualnej.

Przykład instalacji niektórych pakietów na maszynie wirtualnej z systemem Linux:

Invoke-AzVmInstallPatch -ResourceGroupName "myResourceGroup" -VMName "myVM" -MaximumDuration "PT90M" -RebootSetting "Always" -Linux -ClassificationToIncludeForLinux "Security" -PackageNameMaskToInclude ["package123"] -PackageNameMaskToExclude ["package567"]

Przykład instalacji wszystkich poprawek krytycznych na maszynie wirtualnej z systemem Windows:

Invoke-AzVmInstallPatch -ResourceGroupName "myResourceGroup" -VMName "myVM" -MaximumDuration "PT2H" -RebootSetting "Never" -Windows   -ClassificationToIncludeForWindows Critical

Przykład instalowania wszystkich poprawek zabezpieczeń na maszynie wirtualnej z systemem Windows, w tym i wykluczania poprawek z określonymi identyfikatorami KB oraz wykluczania poprawek wymagających ponownego uruchomienia:

Invoke-AzVmInstallPatch -ResourceGroupName "myResourceGroup" -VMName "myVM" -MaximumDuration "PT90M" -RebootSetting "Always" -Windows -ClassificationToIncludeForWindows "Security" -KBNumberToInclude ["KB1234567", "KB123567"] -KBNumberToExclude ["KB1234702", "KB1234802"] -ExcludeKBsRequiringReboot

Interfejs wiersza polecenia platformy Azure

Użyj az vm install-patches, aby zainstalować poprawki na maszynie wirtualnej.

Przykład instalacji wszystkich poprawek krytycznych na maszynie wirtualnej z systemem Linux:

az vm install-patches --resource-group myResourceGroup --name myVM --maximum-duration PT2H --reboot-setting IfRequired --classifications-to-include-linux Critical

Przykład instalacji wszystkich poprawek krytycznych i zabezpieczeń na maszynie wirtualnej z systemem Windows z wyłączeniem wszystkich poprawek wymagających ponownego uruchomienia:

az vm install-patches --resource-group myResourceGroup --name myVM --maximum-duration PT2H --reboot-setting IfRequired --classifications-to-include-win Critical Security --exclude-kbs-requiring-reboot true

Ścisłe bezpieczne wdrażanie na obrazach Canonical

Firma Microsoft i Canonical nawiązali współpracę, aby ułatwić naszym klientom aktualizowanie aktualizacji systemu operacyjnego Linux oraz zwiększenie bezpieczeństwa i odporności obciążeń systemu Ubuntu na platformie Azure. Dzięki użyciu usługi migawki firmy Canonical platforma Azure stosuje teraz ten sam zestaw aktualizacji systemu Ubuntu spójnie do floty w różnych regionach.

Platforma Azure przechowuje aktualizacje związane z pakietem w repozytorium klienta przez maksymalnie 90 dni, w zależności od dostępnego miejsca. Dzięki temu klienci mogą aktualizować swoją flotę, korzystając ze Ścisłego Bezpiecznego Wdrażania maszyn wirtualnych, które mają zaległości do trzech miesięcy w aktualizacjach.

Nie jest wymagana żadna akcja dla klientów, którzy włączyli automatyczne stosowanie poprawek. Platforma instaluje pakiet, który jest domyślnie zrzutowany do konkretnego momentu w czasie. W przypadku, gdy nie można zainstalować aktualizacji opartej na migawkach, platforma Azure stosuje najnowszy pakiet na maszynie wirtualnej, aby upewnić się, że maszyna wirtualna pozostaje bezpieczna. Aktualizacje z określonego punktu w czasie są spójne na wszystkich maszynach wirtualnych we wszystkich regionach, aby zapewnić jednorodność. Klienci mogą wyświetlić informacje o dacie opublikowania zastosowanej aktualizacji w usłudze Azure Resource Graph i w widoku wystąpienia maszyny wirtualnej.

Koniec cyklu życia obrazu systemu (EOL)

Wydawcy mogą po określonej dacie przestać obsługiwać tworzenie nowych aktualizacji swoich obrazów. Jest to często nazywane end-of-life (EOL) dla obrazu. Platforma Azure nie zaleca używania obrazów systemowych po dacie zakończenia wsparcia, ponieważ naraża to usługę na luki w zabezpieczeniach lub problemy z wydajnością. Usługa stosowania poprawek dla gości Azure (AzGPS) komunikuje niezbędne kroki dla klientów i dotkniętych partnerów. AzGPS usuwa obraz z listy pomocy technicznej po dacie EOL. Maszyny wirtualne korzystające na platformie Azure z obrazu, którego cykl życia dobiegł końca, mogą nadal działać po upływie tej daty. Jednak wszelkie problemy występujące przez te maszyny wirtualne nie kwalifikują się do pomocy technicznej.

Następne kroki