Windows Server update best practices

Hi,
wir installieren am Wochenende nach dem Patchday die ersten Server. Und den rest an den 2 folgenden.
Haben keine Ressourcen und Kapazitäten für Testsysteme. Versuchen mögliche Probleme bei borncity oder bleeping computer mitzubekommen.

Installation und Neustart laufen automatisch per SCCM.

Backup läuft regelmäßig, Snapshot nein.

SQL händisch, da man hier doch öfter von Problemen liest. Allerdings haben wir hier noch einen Wildwuchs. Falls wir das irgendwann mal gradeziehen. Dann vll die auch automatisch.

Wir haben das genauso. Wobei wir im WSUS noch eine Gruppe mit "sensiblen" Servern haben, deren Updates wir, aufgrund eines 24/7 bzw. 24/5 Produktionsbetriebes nicht Nachts automatisch laufen lassen können. Da werden die Updates dann "kontrolliert" installiert und die Server neugestartet.

Bei sehr kritischen Patsches (z. B. Hafnium), wird von dem Standard abgewichen und schneller/ individueller eingegriffen.

Moin,

das muss man mit Sicherheit auch in Hinblick auf die Größe der Umgebung betrachten. Müssen Dienste wirklich 24/7 laufen? Redundanz vorhanden?

Wir haben eine eher kleine Umgebung, um die 25 Windows-Server. Das Wartungsfenster ist angekündigt. Die Updates laufen direkt Dienstag Abend nach Erscheinen und werden manuell begleitet. So kann eingegriffen werden, wenn etwas schief läuft und / oder man sieht, dass das Update nicht so ganz rund läuft. Backup ist vorher selbstverständlich gelaufen, Snapshots lassen wir bei DCs und Exchange mal schön sein. Bei ausgewählten anderen Systemen kann man das bei Bedarf machen, nutzen wir aber nur bei dezidierten Anwendungsupdates.
Mailarchiv macht Sinn, um ggf. ein "Mail-Delta" abzufangen, wenn etwas schiefgeht.

Tests danach: Eventlogs der wichtigsten Systeme checken, Funktionstests: Webdienste lassen sich noch aufrufen? Einloggen funktioniert? Outlook-Anbindung (intern und extern!) ist noch gegeben? Datenbanken laufen?
Am Morgen danach Check im Internet allgemein, bei Borncity und Reddit im Besonderen. Erneut Kontrolle Eventlogs.
Den Rest der Tests erledigen bei uns mangels Manpower die User, da fahr ich gern die MS-Schiene

Gruß

Moin,
Am Mittwoch nachdem Patchday werden definierte DEV-Systeme aktualisiert.
Am Wochenende nachdem Patchday werden definierte Testsysteme aktualisiert.
In der Woche darauf werden automatisierte und noch ein paar manuelle Tests durchgeführt.
Ist alles in Ordnung wird am Montag und Donnerstag darauf die produktiven Systeme aktualisiert.

Nicht mehr wie sonst. Wobei Die Snapshots und Sicherungen natürlich auf dieses Szenario entsprechend abgestimmt sind.

Alle Jobs werden über ACMP abgebildet und gesteuert.

Wir mischen niemals Windows Server Updates mit Produkt Updates. Weil kommt es zu Probleme, hat man zwei Fehlerquellen. Was (unnötige) Zeit kostet für die Eingrenzung.

Regelarbeitszeit. Wichtige und kritische Systeme sind redundant ausgelegt. So dass der MA davon nichts merkt.


Gruß,
Dani

Bei uns werden alle Sicherheitsupdates ein paar Tage nach dem Patchday automatisiert zwischen 1 Uhr und 5 Uhr (und damit nach der täglichen Datensicherung) installiert. Ohne manuelle Eingriffe. Funktioniert bislang so gut, dass wir das nicht ändern wollen. Die paar seltenen Nacharbeiten (mal ein paar Dienste neu starten) sind im Vergleich zum Aufwand für das manuelle Testen und Installieren vernachlässigbar. Würde ich so empfehlen, falls seltene Störungen einzelner Server keine Katastrophe sind.