Intune’da bir Windows Update politikasının cihaza atanması, hedef güncellemenin kurulduğunu kanıtlamaz. Atama, ayarların uygulanması, güncellemenin sunulması ve kurulum farklı aşamalardır. BT ekibinin raporunda hedef sürüm, kurulum sonucu ve gereken yeniden başlatma durumu birlikte görünmeli.
Microsoft’un Windows güncelleme yönetimi rehberi, bu işlemleri farklı politika türleriyle ele alıyor. Ring, hedef sürüm ve aylık yama politikalarının aynı cihaza etkisini birlikte değerlendirmek, pilot sonuçlarını doğru yorumlamak için gerekli. Sürücü yönetimi ve hotpatch gibi diğer yeteneklerin de ayrı ön koşulları var.
Update ring, hedef sürümle aynı şey değil
Update ring, Windows Update istemcisinin davranışını yönetir. Erteleme süreleri, deadline, aktif saatler, bildirim ve yeniden başlatma ayarları bu kapsamda değerlendirilir. Amaç, güncellemenin cihazlarda ne zaman ve nasıl uygulanacağını kontrol etmektir.
Feature update policy ise cihazları belirli bir Windows sürümüne hedeflemek ve dağıtımı yönetmek için kullanılır. Örneğin bir cihaz grubunu belirli Windows 11 sürümünde tutmak istiyorsanız yalnızca ring ertelemesine güvenmeyin. Hedef sürüm politikası, uygunluk ve safeguard hold durumlarıyla birlikte incelenmeli.
Burada sık yapılan bir genellemeyi düzeltmek gerekiyor: update ring, feature update’lerle hiç ilgisi olmayan bir yapı değildir. Ring içinde feature update ertelemesi gibi ayarlar da bulunur. Ancak bunlar, belirli bir sürümü hedefleyip o sürümde tutmanın yerine geçmez.
Aynı cihazı iki politikayla hedefliyorsanız Microsoft’un feature update rehberi, ring içindeki Feature update deferral period (days) değerini 0 yapmayı ve feature update’lerin duraklatılmadığını doğrulamayı öneriyor. Böylece ring ertelemesi, sürüm politikasıyla yönetilen yükseltmeyi geciktirmez. Deadline ve yeniden başlatma davranışını ise ayrıca değerlendirin.
Quality update ve hızlandırılmış dağıtım
Quality update yönetimi, aylık toplu güvenlik ve güvenilirlik güncellemelerini kapsar. Desteklenen cihazlarda hotpatch ve kritik güncellemeleri hızlandırma gibi senaryolar bulunur. Bunların kullanılabilirliği işletim sistemi, lisans ve hizmet ön koşullarına bağlıdır.
Expedite, uygun bir güvenlik güncellemesinin normal erteleme süresini beklemeden dağıtılmasını sağlar. Ancak hedef cihaz çevrimdışıysa veya ön koşulları karşılamıyorsa güncelleme yalnızca politika oluşturulduğu için hemen kurulmaz. Dağıtım sonucu yine cihaz bazında izlenmelidir.
Hotpatch desteklenen güncellemelerde yeniden başlatma ihtiyacını azaltabilir. Bu, cihazın hiçbir zaman yeniden başlatılmayacağı anlamına gelmez. Bu yüzden başarı ölçütünü her güncellemenin gerçek kurulum ve yeniden başlatma gereksinimine göre tanımlayın.
Önce yönetim kapsamını ve çakışmaları bulun
Cihazın Intune kaydı, Windows sürümü, Entra katılım durumu ve güncelleme uç noktalarına erişimi temel kontrollerdir. Feature, quality ve driver update gibi hizmet destekli politikaların gereksinimleriyle update ring gereksinimlerinin tamamen aynı olduğunu varsaymayın. Uygun cihaz grubunu politika türüne göre belirleyin.
Co-management kullanıyorsanız ilgili Windows Update workload’unun hangi yönetim sisteminde olduğunu kontrol edin. Eski Group Policy, Configuration Manager ve MDM ayarlarını aynı cihazda karşılaştırın. Intune’daki atama ekranı, başka bir kaynaktan gelen bütün ayarların etkisiz olduğunu göstermez.
MDMWinsOverGP için de genel bir çözüm düğmesi gibi davranmayın. Bu ayar yalnızca kapsamına giren Policy CSP politikalarını etkiler. Microsoft’un güncel çatışma yönetimi dokümanı, Windows Update çatışmalarında IgnoreWindowsUpdateGroupPolicies ayarını değerlendirmeyi öneriyor.
Bu ayarı da bütün cihazlara koşulsuz dağıtmak doğru olmaz. Desteklenen Windows sürümünü, uygulanacak kapsamı ve mevcut güncelleme tasarımını kontrol edin. Değişiklikten sonra cihazın etkin ayarlarını doğrulayın; politika adının doğru olması uygulanmış olduğu anlamına gelmez.
Pilot grubunu ve çıkış kriterini birlikte seçin
Pilot yalnızca BT ekibinin aynı model dizüstülerinden oluşmamalı. Farklı donanım, kritik uygulama, ağ konumu ve çalışma biçimlerini temsil eden cihazlar seçin. VPN üzerinden bağlanan veya uzun süre çevrimdışı kalan cihazların davranışı da önemlidir.
Çıkış kriterini dağıtım başlamadan yazın. Kurulumun tamamlanması, kritik uygulama testleri ve beklenen yeniden başlatma davranışı bu kriterlere dahil olabilir. Evrensel bir başarı yüzdesi veya sabit bekleme süresi yok; kurumun riskine ve güncellemenin aciliyetine göre belirlenir.
Ben raporda başarısızlıkların sayısı kadar nedenlerinin de görünmesini öneriyorum. Disk alanı sorunu, safeguard hold ve uzun süre bağlantı kurmayan cihaz aynı aksiyonla düzelmez. Her hata grubunun sahibi ve sonraki kontrol zamanı belli olmalı.
Üretime geçişi kontrollü dalgalarla yapın. Her dalgada devam etme, duraklatma veya inceleme kararı verilebilsin. İstisnaları kalıcı olarak kapsam dışına çıkarmak yerine gerekçesi ve bitiş tarihiyle kaydedin; aksi halde raporun dışında görünmeyen bir cihaz grubu oluşur.
Atama raporundan kurulum kanıtına geçin
Intune feature update raporları, cihazların hedef sürüme geçişini ve hata durumlarını incelemek için kullanılır. İlgili quality update raporları da aylık güncellemeler için değerlendirilir. Hangi raporun hangi politika türünü gösterdiğini ayırın.
Hedeflenen cihaz, güncellemeyi yükleyen cihaz ve işlem bekleyen cihaz aynı sayaç değildir. Güncelleme sunulmuş ama indirilmemiş olabilir. Kurulum tamamlanmış fakat gerekli restart gerçekleşmemiş olabilir. Bunların her biri farklı operasyon adımı gerektirir.
Raporların güncellenme gecikmesini de hesaba katın. Microsoft, feature update raporlarında hizmet verisi ile cihazdan gelen verinin farklı zamanlarda işlendiğini belirtiyor. Portalda eski durum görünmesiyle cihazın gerçekten eski sürümde olması aynı şey değildir; son veri zamanını kontrol edin.
İstisna incelemesinde cihazın bildirdiği OS build, hedef güncelleme ve ilgili kurulum kaydını karşılaştırın. Gerekli olduğunda Windows Update geçmişini ve hata kodunu cihaz üzerinde kontrol edin. Intune ile cihaz kontrolünde olduğu gibi, tek bir yeşil özet göstergesi yerine aynı cihaz için tutarlı kanıt arayın.
Her dağıtımdan sonra kalan açıkları kapatın
Başarısız cihazları nedenlerine göre ayırın, düzeltmeyi önce sınırlı grupta deneyin. Politika çatışması çözülmüşse yeni tarama ve kurulum sonucunu izleyin. Uygulama uyumsuzluğunda ise güncellemeyi zorlamak yerine ilgili ürün ekibiyle çözüm ve istisna süresini belirleyin.
Bir sonraki aylık dağıtıma geçerken eski istisnaları tekrar değerlendirin. Güncelleme yönetimi yalnızca yeni politikayı dağıtmak değildir; önceki dönemde tamamlanamayan kurulumların da takibini gerektirir. Böylece kapsamınız ve gerçek güncellik durumunuz birbirinden kopmaz.
Raporun odağı cihazın sonucu olsun
- Ring davranışıyla feature update hedefini ayrı yönetin.
- Lisans, cihaz uygunluğu ve yönetim kaynağını doğrulayın.
- Pilot kriterlerini ve istisna sahiplerini önceden belirleyin.
- Kurulum, restart ve rapor güncelliğini birlikte inceleyin.
Bir güncelleme dağıtımını, cihazda beklenen sürüm ve çalışma durumu doğrulandığında tamamlanmış sayın. Sorularınız olursa yorumlarda buluşalım.
