推送 Windows 更新后是否应该强制重启？

Question

我发现大多数用户都忽略了 WSUS 推送的“有更新准备安装，单击此处进行安装”消息。到目前为止，我们还没有强制安装，但我正在考虑更改组策略以每晚强制更新。这有时需要重新启动，我也想通过 GP 强制执行。

我知道用户会反对，但我想知道这是否是可防御的最佳实践。这似乎是确保 PC 保持最新和安全的正确做法。

Answer 1

我只想暂时使用我的自动重启肥皂盒：根据我的经验，自动/强制重启通常是一个坏主意。

我们的系统管理员通常会有点复杂，要确保在安装最新补丁时就应用了最新补丁，因为 OMG 在那之前系统是未打补丁的。但是，您必须意识到系统管理员至少在理论上是为了让使用系统的人能够完成他们的工作。

如果您在安装补丁后自动重新启动，并且，假设工作站的系统时钟已重置，认为现在是凌晨 2 点，而某个可怜的呆伯特失去了工作，那么您就犯了大错。在我看来，这比网络上暂时未打补丁的系统要严重得多。

根据我的经验，使用某种不可关闭的消息告诉用户重新启动通常是一个更好的主意。让他们完成工作并在午餐时重新启动，或者要求他们在晚上关闭他们的工作站，或者一些非常适合您的组织的东西。

话虽如此，当我帮助管理一所大学的 12 个计算机实验室时，当我们确定没有人会使用任何机器时，我们就定义了停机时间，因为门是锁着的。在这种情况下，自动重启肯定没问题；这只是让我烦恼的自主强制自动停工。

Answer 2

我们自动安装然后将安装的重新启动延迟 30 分钟 - 提示用户现在重新启动，如果在 30 分钟内没有响应，则重新启动机器。最初有一些抱怨，但已经习惯了。如果他们正在处理某些事情，他们可以单击“稍后重新启动”以将重新启动延迟到合适的时间。但是他们会每 30 分钟收到一次提示。在重新启动用户和让他们从不安装更新之间取得了很好的平衡。

编辑：

更新 - 抱歉，在我仔细检查 GPO 设置时错过了设置，重新启动的重新提示是可独立配置的。所以你可以在它再次提示之前设置延迟。这也是针对 2003 年的环境，他们可能在 2008 年添加/更改了选项