Azure Update Manager in Multi-Tier Umgebung

Hallo,

ich teste derzeit Azure Update Manager.
In der Umgebung ist eine Ressourcenbrücke zur VMWare Umgebung, sodass die Verwaltung grundsätzlich möglich ist.
Die Herausforderung ist, viele Server sollen gar kein Internet haben, die Freigabe für Updates lässt sich prinzipiell machen, dann kommen noch unterschiedliche User hinzu, für die Installation des Agents, den Betrieb und ggf. Proxy...

Nachdem das alles einigermaßen funktioniert hat, begegnen mir nun die weiteren Fehler, darunter manuelles Update des Agents oder andere häufige Änderungen, manchmal dann auch die Hauptaufgabe beim Updaten:
Periodic assessment:

ConfigurePatching status not found or stuck in Transitioning.

Sicherheitsseitig ist die ganze Sache problematisch, schon weil nun aus Azure heraus VMs gelöscht werden könnten.

Soll das alles so sein?
Macht es vielleicht mehr Sinn eine Schnittstelle zu schaffen wie z.B. einen WSUS pro Tier bzw. insgesamt?
Mittelfristig kommt noch SIEM dazu und das will auch alle Daten.
Sollten darüber auch Linux Systeme verwaltet werden, wenn bereits Ansible im Einsatz ist?

Danke