Для централизованной настройки параметров получения и установки обновлений на рабочих станциях и серверах Windows можно использовать групповые политики. В этой статье мы рассмотрим базовые параметры GPO, которые позволяют управлять установкой обновлений на компьютерах, получающих обновления от локального сервера WSUS или напрямую с серверов Windows Update в интернете.
Содержание:
- Настройка параметров получения обновлений клиентам WSUS через GPO
- Назначить групповые политики WSUS на OU с компьютерами
- Применение групповых политик Windows Update на клиентах
- GPO для получения и установки обновлений Windows Update через Интернет
Настройка параметров получения обновлений клиентам WSUS через GPO
Если у вас развернут собственный сервер обновлений Windows Server Update Services (WSUS), вы должны настроить рабочие стации и сервера в вашем домене AD для получения обновлений с него (а не с серверов Microsoft Update через Интернет).
В нашем случае мы хотим создать две разные политики установки обновлений для рабочих станций и серверов. Для этого откройте консоль управления WSUS (
wsus.msc
) на сервере и создайте в разделе Computers -> All Computers две группы компьютеров:
- Workstations
- Servers
Затем перейдите в раздел настройки сервера WSUS (Options), и в параметре Computers измените значение Use Group Policy or registry setting on computers (Использовать на компьютерах групповую политику или параметры реестра).
Эта опция включает client side targeting для клиентов WSUS (таргетинг на стороне клиента). Благодаря этому вы сможете автоматически распределить компьютеры по группам обновлений в консоли WSUS по специальной метке в реестре клиента (такая метка создается через GPO или напрямую в реестре.
Теперь откройте консоль управления доменные групповыми политиками (Group Policy Management) и создайте две новые групповые политики: ServerWSUSPolicy и WorkstationWSUSPolicy.
Начнем с описания серверной политики ServerWSUSPolicy.
Настройки параметров службы обновлений Windows, находятся в разделе GPO: Computer Configuration -> Policies-> Administrative templates-> Windows Component-> Windows Update (Конфигурация компьютера -> Административные шаблоны -> Компоненты Windows -> Центр обновления Windows).
Мы хотим, чтобы продуктивные сервера не устанавливали обновления автоматически и не перезагружались без подтверждения администратора. Для этого настроим GPO так, чтобы сервера автоматически скачивали доступные обновления, но не устанавливали их. Администраторы будут запускать установку обновлений вручную (из панели управления или с помощью модуля PSWindowsUpdate) в согласованные окна обслуживания.
Настроим следующие параметры политики:
- Configure Automatic Updates (Настройка автоматического обновления):
Enable
.
3 – Auto download and notify for install
(Автоматически загружать обновления и уведомлять об их готовности к установке) – клиент автоматически скачивает новые обновлений и оповещает об их наличии; - Specify Intranet Microsoft update service location (Указать размещение службы обновлений Майкрософт в интрасети): Enable. Set the intranet update service for detecting updates (Укажите службу обновлений в интрасети для поиска обновлений):
http://srv-wsus.winitpro.ru:8530
, Set the intranet statistics server (Укажите сервер статистики в интрасети):
http://srv-wsus.winitpro.ru:8530
– здесь нужно указать адрес вашего сервера WSUS и сервера статистики (обычно они совпадают); - No auto-restart with logged on users for scheduled automatic updates installations (Не выполнять автоматическую перезагрузку при автоматической установке обновлений, если в системе работают пользователя):
Enable
– запретить автоматическую перезагрузку при наличии сессии пользователя; - Enable client-side targeting (Разрешить клиенту присоединение к целевой группе):
Enable
. Target group name for this computer (Имя целевой группы для данного компьютера):
Servers
– в консоли WSUS отнести клиенты к группе Servers
Для рабочих станций мы хотим включить автоматическую загрузку и установку Windows Update сразу после получения новых обновлений. Компьютеры после установки обновлений должны перезагружаться автоматически в нерабочее время (с предварительным предупреждением пользователей).
В настройках WorkstationWSUSPolicy указываем:
- Allow Automatic Updates immediate installation (Разрешить немедленную установку автоматических обновлений):
Disabled
— запрет на немедленную установку обновлений при их получении; - Allow non-administrators to receive update notifications (Разрешить пользователям, не являющимся администраторами, получать уведомления об обновлениях):
Enabled
— отображать не-администраторам предупреждение о появлении новых обновлений и разрешить их ручную установку; - Configure auto-restart reminder notifications for updates и Configure auto-restart warning notifications schedule for updates – показывать пользователям уведомления о перезагрузке
- Configure Automatic Updates:
Enabled
. Configure automatic updating:
4 — Auto download and schedule the install
. Scheduled install day:
0 — Every day
. Scheduled install time:
05:00
– при получении новых обновлений клиент скачивает в локальный кэш и планирует их автоматическую установку на 5:00 утра; - Enable client-side targeting:
Workstations
– в консоли WSUS отнести клиента к группе Workstations; - No auto-restart with logged on users for scheduled automatic updates installations:
Disabled
— система автоматически перезагрузится через 5 минут после окончания установки обновлений; - Specify Intranet Microsoft update service location: Enable. Set the intranet update service for detecting updates:
http://srv-wsus.winitpro.ru:8530
, Set the intranet statistics server:
http://srv-wsus.winitpro.ru:8530
–адрес WSUS сервера. - Включите опции Do not allow update deferral policies to cause scans against Windows Update (ссылка) и Do not connect to any Windows Update Internet locations. Это позволит предотвратить обращение клиента к серверам Windows Update в интернете.
- Turn off auto-restart for updates during active hours –
Enabled
. Отключить авто перезагрузку после установки обновлений в рабочее время (задать интервал рабочего времени в политике Active Hours Start и Active Hours End. Например, с 8 AM до 5 PM)
В обеих GPO включите принудительный запуск службы Windows Update (
wuauserv
) на компьютерах. Для этого в разделе Computer Configuration -> Policies-> Windows Setings -> Security Settings -> System Services найдите службу Windows Update и задайте для нее автоматический запуск (Automatic).
Назначить групповые политики WSUS на OU с компьютерами
Затем в консоли управления GPO прилинкуйте созданные вами политики к соответствующим контейнерам (подразумевается что для серверов и рабочих станций в AD созданы отдельные контейнеры OU).
Совет. Мы рассматриваем лишь один довольно простой вариант привязки политик WSUS к клиентам. В реальных организациях возможно привязать одну политику WSUS на все компьютеры домена (GPO с настройками WSUS вешается на корень домена), разнести различные виды клиентов по разным OU (как в нашем примере – мы создали разные политики WSUS для серверов и рабочих станций). В больших распределенных доменах можно привязывать различные WSUS сервера к сайтам AD, или же назначать GPO на основании фильтров WMI, или скомбинировать перечисленные способы.
Щелкните в консоли GPMC по нужному OU, выберите пункт меню Link as Existing GPO и привяжите нужную политику WSUS.
Совет. Также привяжите серверную политику WSUS к OU Domain Controllers.
Аналогично назначьте политику для компьютеров на OU с рабочими станциями.
Применение групповых политик Windows Update на клиентах
Дождитесь применения новых настроек GPO на клиентах или обновите их вручную:
gpupdate /force
Чтобы с клиента ускорить процесс регистрации и сканирования состояния на сервере WSUS, выполните команды:
$updateSession = new-object -com "Microsoft.Update.Session"; $updates=$updateSession.CreateupdateSearcher().Search($criteria).Updates
wuauclt /reportnow
Все настройки Windows Update, которые мы задали групповыми политиками должны появится на клиентах в ветке реестре HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate.
Настройки из этой ветки можно экспортировать в REG файл и использовать его для переноса настроек WSUS на другие компьютеры, на которых нельзя задать параметры обновления с помощью GPO (компьютеры в рабочей группе, изолированных сегментах, DMZ и т.д.)
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://srv-wsus.winitpro.ru:8530"
"WUStatusServer"="http://srv-wsus.winitpro.ru:8530"
"UpdateServiceUrlAlternate"=""
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Servers"
"ElevateNonAdmins"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000 –
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"ScheduledInstallEveryWeek"=dword:00000001
"UseWUServer"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
Через некоторое время все клиенты появятся в назначенных группах компьютеров в консоли WSUS. Здесь будут видны имена компьютеров, IP адреса, версии ОС, процент их пропатченности и дата последнего сканирования.
Клиенты скачивают CAB файлы обновлений в каталог
%windir%\SoftwareDistribution\Download
. Логи сканирования, загрузки и установки обновлений можно получить из файлов WindowsUpdate.log.
GPO для получения и установки обновлений Windows Update через Интернет
Если у вас отсутствует собственный сервер WSUS, вы можете использовать рассмотренные выше групповые политики для настройки параметров получения и установки обновлений на компьютеры из интернета (с серверов Windows Update).
В этом случае задайте в Not configured все параметры GPO, которые задают получение обновлений с WSUS:
- Specify Intranet Microsoft update service location: Not set
- Target group name for this computer: Not Set
- Do not allow update deferral policies to cause scans against Windows Update: Disabled
- Do not connect to any Windows Update Internet locations: Disabled
Такоие настройки GPO позволяет вам управлять тем, как компьютеры скачивают и устанавливают обновления Windows.
Все способы:
- Способ 1: «Службы»
- Способ 2: «Командная строка»
- Способ 3: «Редактор реестра»
- Способ 4: «Редактор локальной групповой политики»
- Способ 5: «Диспетчер задач»
- Способ 6: Сторонний софт
- Возобновление обновлений
- Вопросы и ответы: 2
Способ 1: «Службы»
Если автоматические обновления отключены, то можно вручную их активировать, перезапустив соответствующую службу:
- Откройте приложение «Службы». Для этого одновременным нажатием на клавиши «Win + R» вызовите диалоговое окно «Выполнить» и пропишите команду
services.msc. - В списке служб найдите «Центр обновления Windows» и дважды щелкните левой кнопкой мыши по названию. Если необходимо, можно нажать на вкладку «Имя» и упорядочить службы по алфавиту, чтобы было проще отыскать строку по имени.
- В новом окошке в меню «Тип запуска» выберите пункт «Автоматически». Нажмите на кнопку «Применить».
- Если служба выключена, то кликните по кнопке «Запустить», затем по «ОК».
Служба автоматического поиска и установки обновлений для операционной системы, программных компонентов и продуктов компании теперь активирована.
Способ 2: «Командная строка»
Включить автообновление в Виндовс 10 можно с помощью специальной команды, введенной в интерфейсе консоли «Командная строка», которая запущена с расширенными правами:
- Откройте средство, введя соответствующий запрос в системной строке поиска. В результате запросов выберите пункт «Запуск от имени администратора».
- В интерфейсе терминала вставьте команду
net start wuauserv, затем нажмите на клавишу «Enter».
В окне консоли отобразится уведомление, что служба успешно активировалась, и она будет действовать в автоматическом режиме.
Способ 3: «Редактор реестра»
Еще один метод активации служб автоматического обновления Windows 10 – это внесение изменений в системный реестр. Следует отметить, что невнимательно выполненные действия могут привести к нарушению работоспособности системы, поэтому можно создать контрольную точку для восстановления состояния, если что-то пошло не так после редактирования.
Читайте также: Инструкция по созданию точки восстановления Windows 10
- Откройте приложение «Редактор реестра». Быстрее всего оно запускается через вызов приложения «Выполнить» (клавиши Win + R) и команду
regedit. - Разверните ветки:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU. В каталоге «AU» отыщите параметр «NoAutoUpdate» и дважды кликните по нему, чтобы перейти в окно с настройкой. - В поле «Значение» введите «0» и щелкните по кнопке «ОК».
Также можно полностью удалить параметр, кликнув по нему правой кнопкой мыши и выбрав соответствующий пункт.
Способ 4: «Редактор локальной групповой политики»
Настройка автоматического обновления через «Редактор локальной групповой политики» подойдет для редакций Pro и Enterprise. Используя средство, можно включить загрузку и установку апдейтов без вмешательства пользователя:
- Через диалоговое окно «Выполнить» перейдите в приложение «Редактор локальной групповой политики», вставив команду
gpedit.msc. - На панели слева раскройте меню «Конфигурация компьютера», затем выберите «Административные шаблоны». В разделе «Компоненты Windows» найдите каталог «Центр обновления Windows». Нажмите на него.
- В главном окне отыщите функцию «Настройка автоматического обновления». Кликните по ней два раза левой кнопкой мыши.
- В новом окне поставьте отметку у пункта «Включено», затем нажмите на кнопку «ОК» для подтверждения действия.
Помимо активации автоматического обновления операционной системы, в окне с настройками можно задать период и время для загрузки апдейтов, определить подходящий вариант обновлений, откладывать процедуру на определенное время.
Способ 5: «Диспетчер задач»
Можно попробовать активировать службу автообновления в Windows 10 через средство «Диспетчер задач», где пользователь может контролировать процессы и управлять ими:
- Запустите «Диспетчер задач». Обычно достаточно щелкнуть правой кнопкой мыши по нижней рабочей панели и выбрать нужное средство в меню.
- Откройте вкладку «Службы» и найдите «wuauserv», отвечающую за «Центр обновления Windows». Работает ли служба, можно посмотреть в столбике «Состояние». Чтобы включить ее, кликните по названию правой кнопкой мыши и выберите пункт «Запустить».
Способ 6: Сторонний софт
Для управления обновлениями используются сторонние утилиты, с помощью которых можно быстро, без ручного редактирования реестра или использования команд, как приостановить, так и включить автообновления в Windows 10. Одним из таких инструментов является бесплатная программа Win Update Stop с простым интерфейсом.
Скачать Win Update Stop с официального сайта
- Скачайте и установите утилиту. После запуска в интерфейсе можно увидеть две кнопки, где «Enable» обозначает включение обновлений операционной системы.
- Принцип работы программы заключается в изменении параметров «Центра обновления Windows». Перейти в раздел «Параметров» можно, нажав на кнопку «Open Windows Updates».
Возобновление обновлений
Через приложение «Параметры» можно не только посмотреть наличие апдейтов, но и настроить автоматическое обновление операционной системы. Если загрузка и установка новых программных компонентов временно отключена, то ее можно возобновить в несколько кликов:
- Щелкните по значку Windows на нижней рабочей панели, затем в меню выберите пункт в виде шестеренки – «Параметры».
- В новом окне перейдите в раздел «Обновление и безопасность».
- На вкладке «Центр обновления Windows» выберите функцию возобновления автообновлений. Также можно настроить автоматические обновления, убрав лимитное подключение или изменив другие настройки. Для этого кликните по строке «Дополнительные параметры».
- Если на компьютере установлены другие продукты компании Microsoft, например Word, то для автоматического обновления программ отметьте соответствующую опцию. Если используется интернет с ограниченным трафиком, то лучше отключить скачивание обновлений через лимитные подключения.
Читайте также: Решение проблем с работоспособностью Центра обновлений Windows 10
Наша группа в TelegramПолезные советы и помощь
Обновленные файлы операционной системы Windows поступают к пользователю при помощи специальной встроенной в систему программы — «Центра обновлений». Она автоматически проверяет наличие новых пакетов на официальном сайте Microsoft и устанавливает их. Также с её помощью можно осуществить откат до предыдущего состояния в том случае, если была проведена неудачная инсталляция.
Большое количество пользователей отключают эту функцию у себя на компьютере, так как после установки апдейтов зачастую появляются ошибки, и система начинает медленно работать. В некоторых сборках Windows данный элемент по умолчанию находится в отключенном состоянии. Далее мы подробно рассмотрим, как можно активировать центр обновлений Windows 10 при помощи нескольких методов, если он по каким-либо причинам он деактивирован.
- Включение через PowerShell или Командную строку
- Включение через редактирование настроек локальной групповой политики
- Включение через запуск центра обновлений из диспетчера задач
- Включение через программу Win Updates Disabler
Общие сведения
Для того чтобы пользователю не приходилось скачивать каждое обновление по отдельности, корпорация Microsoft создала специальный центр обновлений. Такое решение достаточно удобно, однако и оно имеет свои недостатки. Установочные пакеты скачиваются в фоновом режиме, потребляя трафик, и устанавливаются автоматически, что в некоторых случаях приводит к появлению ошибок и замедлении работы системы.
Исходя из вышесказанного, многие пользователи не спешат с их установкой и отключают эту функцию. К тому же всегда можно обновить Windows вручную, убедившись, что новые файлы не нарушают нормальное функционирование системы.
Варианты включения центра обновлений
Чтобы включить службу в Windows 10, можно воспользоваться как имеющимися в системе настройками, так и использовать сторонние приложения. Рассмотрим каждый способ.
Вариант № 1: PowerShell или Командная строка
При помощи командной строки Windows можно без особого труда запустить службу, которая отвечает за автоматическое обновление системы. Для этого потребуется проделать следующие шаги:
- Открываем PowerShell или «Командную строку» из контекстного меню кнопки «Пуск». Запускать программу следует с правами администратора.
Запускаем PowerShell из меню кнопки «Пуск»
- Далее в появившееся окно вписываем команду net start wuauserv и нажимаем «Enter».
Вводим команду для запуска центра обновлений
- После этого появится сообщение о запуске службы, и через несколько секунд программа уведомит пользователя о том, что центр обновления Windows успешно запущен.
Оповещение об успешном запуске службы
Вариант №2: Редактирование настроек локальной групповой политики
Данный вариант включения центра обновлений потребует от пользователя произвести больше операций (по сравнению с предыдущим методом), но при его использовании имеется возможность установить дополнительные настройки, включая время и периодичность обновлений. Чтобы это осуществить, проделаем следующее:
- Запускаем диалоговое окно «Выполнить», воспользовавшись клавиатурной комбинацией «Win + R».
- В появившуюся строку вписываем gpedit.msc
- Кликаем по кнопке «OK».
Запускаем редактор групповых политик
- В открывшемся редакторе групповых политик переходим по адресу:
«Конфигурация компьютера»> «Административные шаблоны»> «Компоненты Windows»> «Центр обновления Windows»
- Кликаем по папке «Центр обновления Windows».
- В правой части окна находим параметр «Настройка автоматического обновления».
Открываем параметр «Настройка автоматического обновления»
- Нажимаем по нему мышкой дважды.
- Далее в новом окне устанавливаем переключатель в положение «Включено».
В разделе параметров имеется возможность настроить тип обновления и его расписание. Устанавливать эти настройки можно только в том случае, если задано значение «4». Более подробно функция каждого параметра описана в блоке справки.
- После внесения всех изменений кликаем по кнопке «ОК».
Включаем обновления и задаем настройки
Вариант №3: Запуск центра обновлений из диспетчера задач
При помощи встроенного в систему диспетчера задач также можно запустить сервис центра обновлений. Для этого проделаем следующие шаги:
- Открываем «Диспетчер задач», нажав клавиатурную комбинацию «Ctrl + Shift + Esc» или выбрав соответствующий пункт из контекстного меню кнопки «Пуск».
Запускаем «Диспетчер задач» из меню кнопки «Пуск»
- После этого переходим на вкладку «Службы».
- В появившемся списке ищем «wuauserv».
- Нажимаем по нему правой кнопкой мыши и в меню выбираем вариант «Запустить».
Запускаем службу обновлений
После проделанных операций сервис запустится. Центр обновлений готов к работе!
Вариант №4: Программа Win Updates Disabler
При помощи этого маленького приложения можно настраивать различные системные функции, а также включать или отключать обновления Windows. С официального сайта программы имеется возможность загрузить как инсталляционный пакет, так и портативную версию приложения. Оба варианта не отличаются по размеру и весят всего лишь примерно 2 МБ.
Загрузить Win Updates Disabler с официального сайта (сайт может не работать на территории РФ).
После скачивания файла установите программу или сразу запустите её, распаковав архив в случае использования портативной версии. Чтобы включить центр обновлений, сделаем следующее:
- Переходим на вкладку «Включить».
- Ставим галочку в пункте «Включить обновления Windows».
- Нажимаем на кнопку «Применить сейчас».
Включаем обновления на соответствующей вкладке
- Появится окно, которое предложит перезагрузить компьютер. Соглашаемся, кликнув по кнопке «Да».
Вот такими способами можно включить центр обновлений в Windows 10. Надеемся, что при помощи нашей инструкции вам удастся сделать это без особых затруднений.
Загрузка …
Post Views: 49 843
GPO – Configure automatic updates on Windows
GPO – Configure automatic updates on Windows
Would you like to learn how to use a group policy to configure automatic updates on Windows? In this tutorial, we will show you how to configure automatic updates on Windows using a GPO.
• Windows 2012 R2
• Windows 2016
• Windows 2019
• Windows 10
• Windows 7
Equipment list
The following section presents the list of equipment used to create this tutorial.
As an Amazon Associate, I earn from qualifying purchases.
Windows Related Tutorial:
On this page, we offer quick access to a list of tutorials related to Windows.
Tutorial GPO – Disable automatic updates on Windows
On the domain controller, open the group policy management tool.
Create a new group policy.
Enter a name for the new group policy.
In our example, the new GPO was named: MY-GPO.
On the Group Policy Management screen, expand the folder named Group Policy Objects.
Right-click your new Group Policy Object and select the Edit option.
On the group policy editor screen, expand the Computer configuration folder and locate the following item.
Access the option named Windows Update.
Enable the option named Configure automatic updates and perform the following configuration.
• Configure automatic updating – Auto download and schedule the install.
• Scheduled install day – Every day.
• Scheduled install time – 09:00.
Click on the OK button.
Change the download and scheduling settings to suit your needs.
In our example, we configured Windows to download automatically the updates.
In our example, we configured the system to automatically install the updates every day at 9 AM.
To save the group policy configuration, you need to close the Group Policy editor.
Congratulations! You have finished the GPO creation.
Tutorial – Applying the GPO to configure automatic update
On the Group policy management screen, you need to right-click the Organizational Unit desired and select the option to link an existent GPO.
In our example, we are going to link the group policy named MY-GPO to the root of the domain.
After applying the GPO you need to wait for 10 or 20 minutes.
During this time the GPO will be replicated to other domain controllers.
On a remote computer, verify the Windows update settings.
In our example, we enabled the Windows automatic updates on all domain computers using a GPO.
VirtualCoin CISSP, PMP, CCNP, MCSE, LPIC22021-02-13T13:44:54-03:00
Related Posts
Page load link
Ok
I am still pretty early in my journey of learning how to manage Windows 10 Pro updates, but I am a little encouraged to find that there are several setting in Group Policy that are not available in the UI. If it works as expected (and documented), at least with build 1709, you have these capabilities:
- Extend maximum Active Hours from 12 to 18
- Schedule updates e.g. during the night; can even restrict to certain days of the week and/or weeks of the month
- Prevent restarts if a user is logged on
The two key article on this are Build deployment rings for Windows 10 updates and Walkthrough: use Group Policy to configure Windows Update for Business (currently only updated to version 1607).
Manage device restarts after updates has valuable info on group policy settings and the corresponding registry keys for gaining control over restarts.
Even if the machine is not domain-joined, if it’s Pro, you can set these values directly in the registry. Configure Automatic Updates using Registry Editor is a reference of all registry settings.
Group Policy Setup
To see these features in Group Policy Management, you’ll have to install the latest Administrative Templates (.admx) for group policy. The 1709 templates are here.
Loosely following the “Build deployment rings” article above, I decided to create three policies:
- Windows 10 Update – Common Settings (uses WMI to target Windows 10 computers)
- Windows 10 Update – Broad Ring (uses WMI to target Windows 10 computers)
- Windows 10 Update – Fast IT Ring (applies only to my own management computer)
Note If you set your Windows 10 WMI filter to
select * from Win32_OperatingSystem Where Version like '10.%'
it will also include (and apply these policies to) Windows Server 2016. This filter forces it to apply to Windows 10 clients only:
select * from Win32_OperatingSystem Where Version like '10.%' and ProductType='1'
I’ll post my current settings in each policy below.
Windows 10 Update – Common Settings
Note that Allow Telemetry must be at least 1 for any of this to work, and Automatic updating must be 4 for scheduled updates to work. I’m doing 3am updates every day, don’t restart if someone is logged on, use an 18-hour Active Hours window of 6am to midnight, and block preview builds.
Update April 9, 2018 4/9/2018 If you use WSUS, under Windows Components > Windows Update, enable “Do not allow update deferral policies to cause scans against Windows Update” per Susan Bradley’s recommendation here. See more info in this TechNet article. The setting has no effect if you’re not using WSUS.
Update May 26, 2020 It turns out that “Turn off auto-restart for updates during active hours” has no effect when “No auto-restart with logged on users” is enabled (see the instructions in the GPO itself). I have now disabled “Turn off auto-restart for updates during active hours.” This allows machines to automatically reboot after installation of updates, as long as no one is logged in. Paired with a script that automatically logs off users each evening, this works pretty well to get Windows 10 machines patched without further intervention.
Windows 10 Update – Broad Ring
Yes, 11 days, thinking that if an update comes out on Tuesday, I want it installed on Saturday.
Windows 10 Update – Fast IT Ring
Not dropping to Semi-Annual (Targeted) as recommend by Microsoft; just getting the Semi-Annual Channel after 60 days instead of 120 and quality updates after 4 days.
Client View
After setting up and applying the policies, it takes awhile (20-30 minutes?) until the Settings app reflects the change. The Active hours option disappears:
Restart options shows the time, but gives the option to change the schedule:
Advanced options was originally showing the 120- and 11-day values, grayed out. Maybe they will return once updates have installed.
View configured update policies shows what settings are coming from Group Policy, but not what the values are:
I left my computer logged on last night. It apparently installed updates overnight, but the restart was blocked by policy. I see this now:
Registry values
Most of the settings wind up in HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate and the AU subkey. Here’s what those keys look like in a domain-joined Windows 10 1709 machine (paste to a .reg file if you want to import). This list does not include “Do not allow update deferral policies to cause scans against Windows Update” as it was created for a non-WSUS environment.
Update May 26, 2020 This now shows a Windows 10 1909 machine with the SetActiveHours option disabled. See details above.
Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate] "DeferFeatureUpdates"=dword:00000001 "BranchReadinessLevel"=dword:00000020 "DeferFeatureUpdatesPeriodInDays"=dword:00000078 "PauseFeatureUpdatesStartTime"="" "DeferQualityUpdates"=dword:00000001 "DeferQualityUpdatesPeriodInDays"=dword:0000000b "PauseQualityUpdatesStartTime"="" "ManagePreviewBuilds"=dword:00000001 "ManagePreviewBuildsPolicyValue"=dword:00000000 "DisableDualScan"=dword:00000001 "SetActiveHours"=dword:00000000 [HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU] "NoAutoRebootWithLoggedOnUsers"=dword:00000001 "NoAutoUpdate"=dword:00000000 "AUOptions"=dword:00000004 "ScheduledInstallDay"=dword:00000000 "ScheduledInstallTime"=dword:00000003 "ScheduledInstallEveryWeek"=dword:00000001 "AllowMUUpdateService"=dword:00000001