Windows Autopatch: cos'è. Gli aggiornamenti si installano da soli

Introdotto a luglio 2022, Windows Autopatch è rapidamente diventato, per Microsoft, la principale soluzione per la gestione degli aggiornamenti in ambito aziendale. Eredita gran parte delle funzionalità del vecchio servizio di distribuzione Windows Update for Business, rendendo il processo più semplice ed efficiente. Integrato in Microsoft Intune, Windows Autopatch si prefigge come obiettivo primario quello di velocizzare e rendere molto più pratica la procedura di installazione degli aggiornamenti per Windows, Microsoft 365 Apps for enterprise, Microsoft Teams e Microsoft Edge.

Con Windows Autopatch gli aggiornamenti non sono più scaricati e installati con Windows Update perché tutto il processo è elaborato sul cloud da parte di Microsoft (transizione verso un modello SaaS, Software-as-a-Service). Il sistema usa comunque alcuni dei componenti software alla base del funzionamento di Windows Update for Business per gestire gli aggiornamenti disponibili.

Cos’è e come funziona Windows Autopatch

Windows Autopatch non può essere utilizzato nell’ambito di domini locali Active Directory ma solo ed esclusivamente con Azure AD, anche in configurazione ibrida. Si rivolge quindi agli utenti in possesso di una licenza Enterprise (come spiegato più avanti) ed è gratuito.

Automatizzando il processo di aggiornamento, Windows Autopatch libera il personale IT da compiti ripetitivi e permette loro di concentrarsi su attività strategiche che aggiungano valore all’organizzazione. L’approccio riduce anche il rischio di errori umani durante l’implementazione degli aggiornamenti.

Windows Autopatch utilizza un approccio sequenziale per il rilascio degli aggiornamenti, monitorando costantemente la loro affidabilità e compatibilità. Ciò consente di ridurre al minimo le interruzioni per gli utenti finali durante gli aggiornamenti.

Il servizio Microsoft è in grado di gestire gli aggiornamenti qualitativi e delle funzionalità (i cosiddetti feature update) di Windows 10 e Windows 11 così come la distribuzione sulle singole macchine dei driver, firmware e delle applicazioni Microsoft 365.

Licenze Business ed Enterprise

Le aziende in possesso di licenze Business Premium e A3+ possono gestire anelli di aggiornamento (ne parliamo nel paragrafo successivo), controllare gli aggiornamenti qualitativi e delle funzionalità, gestire driver e firmware, servirsi dei report Microsoft Intune per monitorare lo stato degli endpoint.

Le licenze Enterprise E3+ e F3 offrono accesso a funzionalità avanzate come la gestione della distribuzione degli aggiornamenti in base ai gruppi di destinatari e la possibilità di creare distribuzioni personalizzate in più fasi.

Come abilitare Windows Autopatch

L’implementazione di Windows Autopatch inizia dal Microsoft Intune Admin Center. Qui gli amministratori possono iscrivere il proprio tenant al servizio. Il processo è progettato per essere intuitivo e senza intoppi, sebbene sia necessario un po’ di tempo per raccogliere le informazioni necessarie sui contatti tecnici.

Dopo aver configurato un tenant in Azure AD, Windows Autopatch suddivide automaticamente i dispositivi usati in azienda in quattro gruppi indicati da Microsoft come “rings“, “anelli” in italiano. Ciascuno di questi gruppi ospita un certo numero di dispositivi.

Come spiegato in precedenza, gli aggiornamenti sono gestiti in automatico appoggiandosi al cloud con l’installazione che parte con i dispositivi “di test”, poi estesa agli altri device aziendali. Una speciale funzione chiamata “Halt and Rollback” permette di bloccare l’invio degli aggiornamenti agli “anelli” di livello superiore.

Una volta registrati i dispositivi in Windows ​​Autopatch, il servizio si occupa di gestire la maggior parte del lavoro sollevando gli amministratori IT dall’occuparsi della distribuzione delle patch. Tramite il pannello di configurazione di Windows Autopatch, è possibile assegnare ciascun dispositivo ai vari “anelli”, controllare la dashboard che offre informazioni sull’integrità del servizio, generare report e presentare richieste di supporto.

Gestione delle configurazioni dei dispositivi

Con Windows Autopatch, gli amministratori possono configurare nuove policy che si applicano ai vari aspetti dell’aggiornamento, versioni di Edge e Office comprese. Tuttavia, è fondamentale monitorare eventuali conflitti con le politiche esistenti in Intune, poiché le nuove impostazioni potrebbero sovrapporsi a quelle già in uso.

Per iniziare a utilizzare Windows Autopatch, è necessario definire i dispositivi partecipanti al servizio tramite il portale di amministrazione. Questa fase include la creazione di gruppi di sicurezza in Entra ID in modo da poter gestire i dispositivi destinati a ricevere gli aggiornamenti.

Come anticipato in precedenza, ogni gruppo Autopatch può essere configurato in maniera tale da attestarsi su diversi anelli di distribuzione degli aggiornamenti. Gli amministratori, ad esempio, possono decidere quali dispositivi devono essere aggiornati a Windows 11 o rimanere su Windows 10, garantendo così un controllo preciso sulle versioni del sistema operativo utilizzate all’interno dell’azienda.

Per semplificare ulteriormente la gestione dei dispositivi, gli amministratori possono utilizzare script PowerShell per automatizzare l’assegnazione dei dispositivi ai gruppi corretti in base alla versione del sistema operativo in uso. Si tratta di uno schema che offre maggiore flessibilità e controllo rispetto all’assegnazione manuale.

Un Azure Runbook può essere configurato per eseguire automaticamente lo script PowerShell a intervalli regolari. In questo modo è possibile avvalersi di una gestione continua, senza intervento manuale, assicurandosi che i device siano sempre assegnati ai gruppi appropriati in base alla versione del sistema operativo.

Facendo riferimento alla documentazione di supporto è possibile raccogliere maggiori informazioni sul funzionamento di Windows Autopatch.