Stratégies Windows Update : reports, échéances, redémarrages

Le guide pilier sur les correctifs explique pourquoi les anneaux avec échéances sont la colonne vertébrale d'un processus de correctifs. Ce guide en décrit la couche de configuration : les stratégies exactes du client Windows Update (anciennement Windows Update for Business), l'effet de chaque valeur sur l'appareil, la correspondance entre la stratégie de groupe et Intune sur le même Policy CSP, et la manière de prouver qu'un appareil suit réellement l'anneau auquel vous le croyez rattaché.

Tout ce qui suit s'applique à Windows 11 23H2, 24H2 et 25H2, ainsi qu'à Windows Server lorsqu'il récupère ses mises à jour depuis Windows Update plutôt que depuis WSUS ou Configuration Manager.

Comment le client décide du moment de l'installation

Quatre valeurs pilotent tout le comportement, et il est utile de les voir comme une chronologie pour chaque mise à jour :

1. Publication. Microsoft publie la mise à jour cumulative le Patch Tuesday.
2. Report. L'appareil ne voit pas la mise à jour avant la fin du report (0 à 30 jours pour les mises à jour qualité, 0 à 365 pour les mises à jour de fonctionnalités).
3. Échéance. Comptée à partir du moment où la mise à jour est proposée. Avant, l'utilisateur peut choisir l'heure du redémarrage ; à l'échéance, Windows installe et redémarre en dehors des heures d'activité.
4. Période de grâce. Si l'appareil était éteint ou hors ligne et n'apprend l'existence de la mise à jour que tardivement, il dispose tout de même d'au moins ce nombre de jours avant un redémarrage forcé.

Sans échéance, une mise à jour téléchargée peut attendre un redémarrage indéfiniment, et un appareil qui affiche « redémarrage requis » n'est pas corrigé. L'échéance est le paramètre qui transforme une recommandation en garantie.

Étape 1 : éliminer les paramètres hérités et conflictuels

Avant de configurer les anneaux, supprimez les paramètres qui les écrasent silencieusement. Exécutez gpresult /h C:\Temp\gp.html sur un appareil témoin et recherchez :

• Specify intranet Microsoft update service location (WUServer et WUStatusServer sous HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate). Si un serveur WSUS est configuré, l'appareil analyse WSUS et vos reports ne s'y appliquent pas. Sous Windows 11, utilisez Specify source service for specific classes of Windows Updates si vous devez répartir les classes (par exemple les mises à jour qualité depuis Windows Update, les pilotes depuis WSUS).
• Tout ce qui se trouve dans le dossier Legacy Policies, en particulier No auto-restart with logged on users for scheduled automatic updates installations. Ce paramètre combat les échéances de conformité et constitue la raison la plus fréquente pour laquelle des appareils ne redémarrent jamais.
• Do not allow update deferral policies to cause scans against Windows Update (double analyse). Il ne s'applique pas à Windows 11 ; remplacez-le par la stratégie de service source ci-dessus.
• Les anciennes valeurs de registre poussées par des scripts ou des images sous la même clé WindowsUpdate. Les valeurs de stratégie de cette clé l'emportent toujours sur l'application Paramètres.

Étape 2 : configurer les paramètres de stratégie de groupe

Avec les modèles ADMX de Windows 11, les paramètres se trouvent sous Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Update, répartis entre Manage end user experience et Manage updates offered from Windows Update. Placez dans le magasin central les ADMX de la version de Windows la plus récente que vous exploitez, afin que des modèles plus anciens ne masquent pas de paramètres.

Les mises à jour automatiques elles-mêmes se trouvent un niveau plus bas, dans la sous-clé AU. Les recommandations de Microsoft sur la conformité des mises à jour préconisent de ne pas configurer Configure Automatic Updates une fois les échéances en place, car c'est l'échéance qui pilote l'installation. Si vous devez le définir, utilisez 4 - Auto download and schedule the install (NoAutoUpdate = 0, AUOptions = 4).

La version cible et le report des mises à jour de fonctionnalités sont deux façons de contrôler ces dernières. Figer une version est plus prévisible : l'appareil reste en 24H2 jusqu'à ce que vous changiez la valeur, puis migre dès que vous le faites. N'utilisez pas les deux pour la même population.

Expérience de redémarrage

Sous Manage end user experience :

• Turn off auto-restart for updates during active hours avec une plage réaliste, ou laissez l'appareil détecter automatiquement ses heures d'activité.
• Specify deadlines... propose aussi l'option Don't auto-restart until end of grace period (ConfigureDeadlineNoAutoReboot = 1). Utilisez-la pour les anneaux de travailleurs du savoir, pour qui un redémarrage inopiné ferait perdre du travail ; laissez-la désactivée pour les bornes et les appareils partagés.
• Display options for update notifications : conservez la valeur par défaut. Le niveau 2 (UpdateNotificationLevel = 2) masque aussi les avertissements de redémarrage, ce qui signifie que les utilisateurs sont redémarrés sans préavis à l'échéance.

Étape 3 : construire les mêmes anneaux dans Intune

Intune écrit les mêmes valeurs via la zone Update du Policy CSP (./Device/Vendor/MSFT/Policy/Config/Update/..., avec des noms tels que DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates, ConfigureDeadlineGracePeriod et SetDisablePauseUXAccess). Vous avez rarement besoin d'OMA-URI bruts :

• Devices > By platform > Windows > Manage updates > Windows updates > Update rings : reports, échéances, période de grâce, redémarrage automatique avant l'échéance, option de pause et paramètres d'expérience utilisateur. Un profil par anneau, affecté à un groupe d'appareils.
• Les profils Feature updates figent une version de Windows. Lorsque vous les utilisez, réglez le report des mises à jour de fonctionnalités de l'anneau sur 0 jour, comme le recommande Microsoft, pour que les deux délais ne s'additionnent pas.
• Les profils Quality updates permettent d'accélérer (expedite) une mise à jour cumulative précise vers les appareils en dessous d'un build donné, en passant outre les reports. C'est l'outil pour une vulnérabilité activement exploitée qui ne peut pas attendre le cycle normal.
• Les profils Driver updates donnent un contrôle d'approbation sur les pilotes et micrologiciels proposés par Windows Update.

Si vous utilisez Windows Autopatch, Autopatch crée et gère ces profils d'anneaux pour vous. Modifiez-les via Autopatch plutôt que de créer des profils parallèles, sinon les deux entreront en conflit.

Ne ciblez pas un même appareil avec un anneau de stratégie de groupe et un anneau Intune. Sur les appareils cogérés, basculez la charge de travail Windows Update vers Intune et retirez la GPO de ces UO. La documentation Windows Update de Microsoft indique que la stratégie de groupe prime sur la MDM pour les paramètres de mise à jour ; le paramètre MDMWinsOverGP décrit dans le guide des référentiels Intune ne change cela que pour les stratégies qu'il couvre. Pour les stratégies de mise à jour, la solution la plus propre est de n'avoir qu'une seule source.

Étape 4 : bloquer une mise à jour défectueuse sans casser le modèle

Les anneaux existent pour pouvoir bloquer une mise à jour qui casse quelque chose. Gardez le mécanisme de blocage entre les mains de l'IT :

• Dans Intune, utilisez Pause sur les mises à jour qualité ou de fonctionnalités d'un profil d'anneau. Les pauses expirent au bout de 35 jours, elles ne peuvent donc pas être oubliées indéfiniment.
• Avec la stratégie de groupe, augmentez DeferQualityUpdatesPeriodInDays sur l'anneau concerné, ou utilisez le paramètre de pause inclus dans Select when Quality Updates are received avec une date de début.
• Désinstaller une mise à jour cumulative sur les appareils déjà touchés doit rester exceptionnel ; consultez d'abord la page Release Health de Microsoft, car les Known Issue Rollbacks corrigent souvent le problème sans désinstallation.

Consignez toujours pourquoi un anneau a été suspendu et quand il reprendra. Une pause oubliée est la façon la plus courante dont un anneau entier finit avec un mois de retard.

Vérifier

Sur un appareil, commencez par l'application Paramètres : Settings > Windows Update > Advanced options > Configured update policies liste chaque stratégie en vigueur et indique si elle provient de la stratégie de groupe ou de la gestion des appareils mobiles (MDM). Vérifiez ensuite directement les valeurs :

# Valeurs de stratégie de groupe
Get-ItemProperty 'HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate' |
  Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdates,
    ConfigureDeadlineGracePeriod, SetDisablePauseUXAccess, TargetReleaseVersionInfo, WUServer

# Valeurs fournies par Intune (Policy CSP)
Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update' -ErrorAction SilentlyContinue

# Build et révision actuels
$cv = Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion'
'{0}.{1}' -f $cv.CurrentBuild, $cv.UBR

L'historique d'installation se trouve dans le journal System, source Microsoft-Windows-WindowsUpdateClient : événement 19 (installation réussie), 20 (échec de l'installation) et 43 (installation démarrée). Pour un dépannage plus poussé, Get-WindowsUpdateLog convertit les traces ETW en un WindowsUpdate.log lisible sur le bureau.

Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-WindowsUpdateClient'; Id=19,20} -MaxEvents 20 |
  Format-Table TimeCreated, Id, Message -Wrap

À l'échelle du parc, les Windows Update reports d'Intune (et les rapports Autopatch) montrent la conformité par anneau. Comparez le nombre d'appareils sur la révision courante au nombre d'appareils affectés à chaque anneau, pas seulement le nombre de « réussites » du profil.

Ce qui casse

• Des appareils qui ne redémarrent jamais. Presque toujours une stratégie de redémarrage héritée, une échéance manquante ou un mauvais usage de UpdateNotificationLevel. Corrigez la stratégie, pas l'utilisateur.
• Des reports ignorés. Une valeur WUServer résiduelle envoie l'appareil vers WSUS. Vérifiez le registre, pas seulement la GPO que vous pensez appliquée.
• Une mise à jour de fonctionnalités surprise. Un appareil non couvert par une version figée passe à la version suivante à la fin de son report. Figez la version pour chaque groupe d'appareils.
• Des portables hors ligne qui redémarrent au premier démarrage. C'est la période de grâce qui fonctionne comme prévu ; deux jours sont un compromis raisonnable.
• Des serveurs corrigés par le mauvais outil. Tenez les serveurs à l'écart des stratégies d'anneaux clients et gérez-les comme décrit dans le guide hotpatch et clusters.

Les stratégies du client Windows Update ne couvrent que les mises à jour Microsoft. Les navigateurs, environnements d'exécution et autres applications ont besoin de leur propre processus, traité dans correctifs des applications tierces, et les stratégies présentées ici ont leur place dans la documentation de votre référentiel de sécurité comme n'importe quel autre paramètre. Consultez l'ensemble du domaine correctifs et mises à jour pour le reste du processus.

Liste de contrôle

• Stratégies de redémarrage héritées, double analyse et valeurs WUServer résiduelles supprimées
• Modèles ADMX Windows 11 à jour dans le magasin central
• Report et échéance qualité définis par anneau, période de grâce de 2 jours
• Version de fonctionnalités figée par version cible ou par un profil Intune de mises à jour de fonctionnalités
• Pause retirée de l'application Paramètres ; procédure de pause centralisée documentée
• Une seule source de stratégie par appareil (GPO ou Intune), confirmée dans Configured update policies
• Processus d'accélération prêt pour les vulnérabilités exploitées
• Conformité par anneau mesurée sur la révision du build, pas sur l'état du profil