Как управлять обновлениями Windows в небольшом офисе

В небольшом офисе обновления Windows обычно живут сами по себе: кто-то отключил их полгода назад, у кого-то компьютер перезагрузился посреди отчёта, а на сервере 1С последнее обновление ставили при установке. Отключать обновления совсем нельзя — это прямой путь к шифровальщику, но и пускать их на самотёк неудобно. Ниже — схема, которой я пользуюсь в офисах на 5–50 компьютеров.

Коротко: для рабочих станций достаточно встроенных политик Windows Update (раньше назывались Windows Update for Business): задаёте отсрочку для ежемесячных и годовых обновлений, часы активности и крайний срок перезагрузки. Разбиваете ПК на тестовую и основную группы. WSUS нужен редко — когда важно вручную одобрять каждое обновление или экономить внешний трафик. Серверы обновляете отдельно, по расписанию и после резервной копии. Проверка — Get-HotFix, журнал Windows Update и история обновлений в «Параметрах».

Что вообще прилетает через Windows Update

  • Обновления качества — ежемесячные накопительные обновления с исправлениями безопасности. Обычно выходят во второй вторник месяца, но могут выйти и в любой другой день.
  • Обновления компонентов (feature updates) — новая версия Windows 11, раз в год. По сути переустановка системы поверх с сохранением данных, занимает заметное время и иногда ломает старое оборудование или ПО.
  • Драйверы — от производителей оборудования через Windows Update. Удобно, но иногда приходит драйвер хуже того, что стоял.
  • Обновления других продуктов Microsoft — Office и т. п., если включена соответствующая опция.

Отдельно про Windows 10: поддержка Windows 10 22H2 закончилась в октябре 2025 года, обновления безопасности дальше получают только устройства, подключённые к программе расширенных обновлений (ESU). Если в офисе остались такие ПК, их обновление до Windows 11 или замену стоит планировать, а не откладывать.

Политики Windows Update через GPO

В домене всё настраивается одной-двумя групповыми политиками. Без домена те же параметры задаются локально через gpedit.msc на каждом ПК с редакцией Pro или выше. В Windows Home редактора групповой политики нет, там остаются только настройки в «Параметрах».

Все нужные параметры лежат в Computer ConfigurationAdministrative TemplatesWindows ComponentsWindows Update. В свежих административных шаблонах Windows 11 отсрочки вынесены в подпапку Manage updates offered from Windows Update, в старых шаблонах она называлась Windows Update for Business. Если у вас в центральном хранилище политик лежат шаблоны времён Windows 10, обновите их — иначе части параметров для Windows 11 просто не будет видно.

Отсрочка обновлений

  • Select when Quality Updates are received — отсрочка ежемесячных обновлений, до 30 дней. Здесь же можно поставить паузу (до 35 дней от указанной даты).
  • Select when Preview Builds and Feature Updates are received — отсрочка обновлений компонентов, до 365 дней. В документации Microsoft часть вариантов этой политики помечена как устаревшая и неприменимая к Windows 11, поэтому версией Windows 11 я управляю через следующую политику.
  • Select the target Feature Update version — зафиксировать версию Windows 11, на которой должны оставаться ПК. Удобно, если какое-то ПО ещё не проверено на новой версии: компьютеры не уйдут на новый выпуск, пока вы не поменяете значение.
  • Do not include drivers with Windows Updates — не получать драйверы через Windows Update. Я включаю это, если в офисе специфичное оборудование (кассы, сканеры, плоттеры) и драйверы для него ставятся вручную.

Тестовая и основная группы

Самая полезная практика даже для маленького офиса — две группы компьютеров. В тестовую попадают два-три ПК, лучше разных моделей и с типовым набором ПО, включая 1С и банк-клиенты. Им ставится отсрочка 0 дней. Основная группа получает обновления качества с отсрочкой в несколько дней — этого обычно хватает, чтобы заметить проблему на тестовых машинах и поставить паузу для остальных. В домене группы удобно делать отдельными подразделениями (OU) или фильтрацией GPO по группам безопасности.

Часы активности и перезагрузки

Больше всего жалоб пользователей не на сами обновления, а на перезагрузки. Здесь помогают три параметра в той же папке Windows Update:

  • Turn off auto-restart for updates during active hours — часы активности, в которые Windows не будет перезагружаться автоматически. По умолчанию это 8:00–17:00, максимальная длина периода — 18 часов. Для офиса с работой с 8 до 20 так и задаю.
  • Specify active hours range for auto-restarts — максимальная длина периода, которую может выставить сам пользователь, если вы не задаёте часы жёстко.
  • Политики крайних сроков. На Windows 11 22H2 и новее это Specify deadline for automatic updates and restarts for quality update и отдельная политика для feature update; на Windows 10 — Specify deadlines for automatic updates and restarts. Задаётся, через сколько дней обновление должно установиться и сколько дней «льготного периода» даётся на перезагрузку, прежде чем она станет принудительной.

Крайний срок — важная вещь. Без него находится сотрудник, который не перезагружает компьютер месяцами, и обновления у него висят в состоянии «ожидает перезагрузки». С крайним сроком пользователь сначала получает уведомления и может сам выбрать время, а по истечении срока перезагрузка произойдёт независимо от часов активности. Политику No auto-restart with logged on users for scheduled automatic updates installations Microsoft сама не рекомендует для этой задачи: на практике она может привести к тому, что машины, где пользователи не выходят из системы, вообще не перезагружаются.

Без домена часы активности пользователь может задать сам: «Параметры» → «Центр обновления Windows» → «Дополнительные параметры».

WSUS: когда он действительно нужен

Windows Server Update Services — роль Windows Server, которая скачивает обновления из Microsoft один раз и раздаёт их в локальной сети, а администратор вручную одобряет, что и каким группам ставить. Клиенты направляются на WSUS политикой Specify intranet Microsoft update service location.

Нужен WSUS, если:

  • требуется явное одобрение каждого обновления (например, на производственных ПК, где непроверенное обновление недопустимо);
  • канал в интернет узкий или тарифицируется по трафику;
  • часть компьютеров не имеет доступа в интернет вообще.

Для офиса на десяток-другой ПК с нормальным интернетом WSUS скорее лишняя нагрузка: его база разрастается, требует периодической очистки, сервер нужно обслуживать. Кроме того, в сентябре 2024 года Microsoft объявила WSUS устаревшим компонентом: новых функций не будет, но роль остаётся в Windows Server 2025, а обновления через неё продолжают публиковаться.

Серверы — отдельно от рабочих станций

Серверы я никогда не включаю в общую политику с рабочими станциями. Для них отдельная OU и отдельная GPO:

  1. В политике Configure Automatic Updates выбираю вариант 3 — Auto download and notify for install или 7 — Notify for install and notify for restart (последний доступен на Windows Server 2016 и новее). Обновления скачиваются заранее, а устанавливаются тогда, когда я решу.
  2. Определяю окно обслуживания — например, вечер после закрытия офиса или выходные. Пользователей терминального сервера предупреждаю заранее.
  3. Перед установкой проверяю, что есть свежая резервная копия или снимок виртуальной машины, а для сервера 1С — копия баз.
  4. Если серверов несколько, обновляю по одному: сначала второстепенные, потом контроллеры домена (по одному, с проверкой репликации), в конце — сервер 1С и терминальный сервер.
  5. После перезагрузки проверяю, что службы поднялись: сервер 1С, СУБД, лицензирование RDS, общие папки.

Учтите, что Windows Server не получает обновления компонентов через Windows Update, — переход на новую версию сервера всегда отдельный проект. Если своих серверов несколько и на их обслуживание не хватает времени, такую работу можно передать на настройку и сопровождение серверов.

Как проверить, что обновления установлены

Самая быстрая проверка — Get-HotFix. Последнее установленное обновление на локальном ПК:

(Get-HotFix | Sort-Object -Property InstalledOn)[-1]

Проверить наличие конкретного обновления на списке компьютеров и записать в файл те, где его нет:

Get-Content .computers.txt | ForEach-Object {
  if (-not (Get-HotFix -Id KB0000000 -ComputerName $_ -ErrorAction SilentlyContinue)) {
    Add-Content -Path .missing.txt -Value $_
  }
}

Вместо KB0000000 подставьте номер нужного обновления. Ограничение: Get-HotFix берёт данные из класса Win32_QuickFixEngineering и показывает только обновления, установленные через компонентный механизм обслуживания Windows. Обновления, установленные через MSI, а также определения антивируса и часть других пакетов он не покажет.

Другие источники:

  • «Параметры» → «Центр обновления Windows» → «Журнал обновлений» — для разовой проверки на одном ПК;
  • журнал событий Microsoft-Windows-WindowsUpdateClient/Operational, событие 19 — успешная установка обновления: 
    Get-WinEvent -FilterHashtable @{LogName='Microsoft-Windows-WindowsUpdateClient/Operational'; Id=19} -MaxEvents 20 |
  Select-Object TimeCreated, Message
  • Get-WindowsUpdateLog — собирает трассировку Windows Update в читаемый файл WindowsUpdate.log на рабочем столе. Нужен, когда обновление не ставится и надо понять почему.

Сводка: что и где настроить

Задача Где настроить
Отложить ежемесячные обновления Select when Quality Updates are received
Не переходить на новую версию Windows 11 Select the target Feature Update version
Не перезагружать в рабочее время Turn off auto-restart for updates during active hours
Гарантировать установку и перезагрузку Политики крайних сроков (Specify deadline…)
Не ставить драйверы автоматически Do not include drivers with Windows Updates
Серверы — установка вручную Configure Automatic Updates, вариант 3 или 7
Локальный сервер обновлений WSUS + Specify intranet Microsoft update service location

Подробное описание параметров есть в документации Microsoft по политикам клиента Windows Update.

Частые вопросы

Можно ли просто отключить обновления на компьютере с 1С, чтобы ничего не сломалось?

Можно, но это плохая идея. Компьютер без обновлений безопасности — лёгкая цель, а бухгалтерский ПК с банк-клиентом и ЭЦП — как раз та машина, которую атакуют чаще всего. Правильнее включить такой ПК в основную группу с отсрочкой, а не в тестовую, и следить за проблемами на тестовых машинах.

Что делать, если обновление сломало программу?

Поставить паузу обновлений качества для остальных компьютеров через ту же политику, на проблемном ПК удалить обновление через «Журнал обновлений» → «Удалить обновления» и сообщить разработчику программы. Когда выйдет исправление, снять паузу.

Почему политика задана, а компьютер её не применяет?

Проверьте результат командой gpresult /r или gpresult /h report.html: применилась ли GPO и не перекрывает ли её другая. Частая причина — устаревшие административные шаблоны: параметра для Windows 11 в старом шаблоне просто нет, и задать его не получается.

Нужно ли обновлять компьютеры, которые не выходят в интернет?

Да, если они в одной сети с остальными: заражение может прийти с флешки или с соседнего ПК. Для таких машин как раз и пригодится WSUS или ручная установка накопительных обновлений из каталога Центра обновления Майкрософт.