随着终端数量不断增长，跨设备保持操作系统更新会变得越来越困难，因为 IT 团队需要反复检查可用更新、决定应安装哪些补丁、协调维护时间窗口，并跟进未能成功更新的设备。
Splashtop AEM（Autonomous Endpoint Management）为 Windows 和 macOS 设备提供集中的操作系统补丁管理。IT 团队可以在 Splashtop AEM 中使用 Endpoint Policies，定义受管计算机如何扫描更新、应批准哪些更新、何时安装已批准的更新，以及设备应如何处理所需的重启。策略部署后，管理员可以使用操作系统补丁视图监控补丁状态，并在需要时直接采取操作。
本指南将逐步介绍如何使用 Splashtop AEM 配置自动化操作系统补丁工作流，以及在策略应用后如何监控结果。
自动化 OS 补丁前需要准备什么
您的团队必须启用 Splashtop AEM，才能在 Endpoint Policies 中使用 OS Patch。
Endpoint Policies 是特定于平台的，因此 Windows 和 macOS 的策略需要分别配置。随后可将策略分配给单台计算机或计算机组。
如何使用 Splashtop AEM 自动执行操作系统补丁管理
1. 创建或选择一个终端策略
在 Splashtop 网络控制台中，前往 Automation > Endpoint Policies。
可以创建新策略，也可以编辑现有策略。策略可以创建为启用或禁用状态。Splashtop AEM 还支持策略继承，可在父策略中建立通用设置，并在特定组或计算机需要不同设置时创建子策略。
例如，IT 团队可以为大多数生产设备维护统一的 Windows 终端策略，同时对需要不同补丁设置的计算机使用子策略。
2. 在策略中启用 OS Patch
打开策略后，启用OS Patch功能。
新建 Endpoint Policy 中的功能默认处于禁用状态，因此管理员可选择每项策略控制哪些功能。启用 OS Patch 后，策略会显示用于管理扫描、审批、安装计划和重启行为的设置。
3. 选择操作系统处理更新的方式
更新设置部分用于确定受管端点的基本更新行为。
Splashtop AEM 目前提供三个选项：
让操作系统自动安装更新
下载更新，但让我选择是否安装
检查更新，但让我选择是否下载并安装
第二个选项会下载更新，同时将安装控制权保留给管理员，这是默认设置。
适用的设置取决于希望操作系统本身拥有多大的控制权。随后，其余策略设置可用于定义 Splashtop AEM 如何扫描更新、批准补丁、安排安装以及处理重启。
4. 配置操作系统更新扫描日程
接下来，配置受管端点何时检查可用的操作系统更新。
扫描计划可按以下方式运行：
每天在指定时间
每周在选定日期和指定时间执行
每月在选定日期和指定时间
此外，当计算机错过上一次计划任务时，还可以选择进行扫描。对于新创建或最近修改的策略，该选项将从下一个计划扫描时间开始生效。
扫描日程用于控制 Splashtop AEM 何时检查可用补丁。安装日程需单独配置，让管理员能够控制何时检测更新，以及何时实际安装已批准的更新。
例如，可将设备配置为定期扫描新的补丁，同时将安装限制在已批准的维护窗口内。
5. 设置 OS 补丁审批规则
审批部分用于确定 Splashtop AEM 如何根据补丁的重要性处理补丁。
每个适用类别都可分配以下三种操作之一：
批准：该更新将获批准，并根据配置的更新日程进行安装。
手动：更新将保持待处理状态，直到管理员决定如何处理。
忽略： 更新在可用时会被排除。
Windows 和 macOS 都提供审批规则，但两种平台可用的 OS Patch 控制有所不同。Windows 支持审批、核心更新和补丁覆盖。
（Windows 审批）
macOS 支持的更新管理功能较为有限，目前不支持在 Endpoint Policies 中使用 Core Updates 或 Patch Overrides。
（Mac 审批）
这使得批准配置成为自动化工作流程中的重要组成部分。符合自动部署可信条件的更新可自动继续执行，而需要审核的补丁则可保持待处理状态。
6. 在需要时配置 Windows Core Updates 和补丁例外
Windows 策略还提供了两项额外控制，用于处理需要更具体处理的情况。
核心更新
Splashtop AEM 可以管理 Windows 重大升级的核心更新。这包括从 Windows 10 升级到 Windows 11，或 Windows 功能版本的重大变更。
由于这些更新相比常规补丁可能涉及更大幅度的操作系统变更，且安装时间更长，因此管理员可以将其与标准更新审批分开管理。
补丁覆盖
补丁覆盖允许管理员为特定的 Windows 更新创建例外。
要创建一个覆盖：
通过其 KB 编号添加更新。
输入描述。
专门为该 KB 分配一个批准状态。
然后，该覆盖可对该更新采取与更广泛审批规则不同的处理方式。
例如，如果某个审批策略通常允许某一类更新自动安装，则特定的 KB 可以保留为手动审核或忽略。
7. 设置更新安装计划
在定义应批准哪些更新后，配置这些更新的安装时间。
更新日程提供三种方式：
为特定日期和时间安排安装。
将更新推迟指定时长。
更新获批后立即安装。
日程安排可将补丁审批与补丁安装分开。更新可以在被发现后立即批准，同时仍等待您为安装设定的维护窗口。
这为 IT 团队提供了一种可重复的方法来持续推进更新，无需逐个手动启动每次部署。
8. 配置重启行为
某些操作系统补丁需要重启后，安装过程才能完全完成。Splashtop AEM 允许管理员定义如何将这些必需的重启作为策略的一部分进行处理。
可用选项包括在需要时自动重启端点，或在更新完成后立即重启。
使用自动重启选项时，重启可延迟：
15 分钟
30 分钟
45 分钟
60 分钟
如果用户已登录，管理员还可以配置如何通知用户，并确定在这些情况下应如何处理重启。
重启设置应与策略涵盖的终端设备相匹配。在整个工作日都会使用的工作站，可能需要与可在维护后立即重启的终端设备不同的重启行为。
9. 将策略分配给计算机或组
配置好 OS patch 设置后，将该策略分配给应遵循该策略的端点。
在 Automation > Endpoint Policies 中，选择相应策略，然后选择 Assign Group and Computer。选择相应的组并分配该策略。
策略也可以通过其他方式分配：
对于单台计算机，打开该计算机的属性并选择该策略。
对于计算机组，请前往 Management > Grouping，创建或编辑该组，并选择相应的策略。
默认情况下，单台计算机遵循其组策略。当终端需要例外时，可以使用计算机级策略。
这样，IT 团队就可以在一组设备中使用通用的补丁配置，同时保留在必要时应用不同策略的能力。
策略部署后如何监控 OS patch 状态
即使实现了自动化，管理员仍应能够了解策略运行后的实际情况。对于日常治理，IT 团队可以先从 Splashtop 仪表盘入手，高层级查看端点和 Windows 更新状态。当某些情况需要更密切关注时，管理员可以深入查看相关的 OS Patch 视图，审查具体更新、受影响的计算机以及可用操作。
在 OS Patch（补丁视图）中查看补丁
当需要更详细的补丁信息时，请前往：
软件 > OS Patch（补丁视图）
选择 Windows 或 macOS 以查看相应更新。
补丁按五个状态选项卡进行分类：
待处理： 等待操作的可用更新
已批准：将在计划时间批准安装的更新
失败：未成功安装且可重试的更新
已安装：成功安装的更新
已忽略： 已排除安装的更新
管理员还可以按组、选择状态、自发布以来的天数和更新类别筛选更新。Windows 补丁可使用 KB 编号或更新标题进行搜索，而 macOS 更新可按补丁名称搜索。
查看哪些计算机会受到更新影响
补丁视图还允许管理员深入查看单个更新。
选择一个更新，以查看哪些计算机可使用该补丁。这样便可直接从整个设备群的补丁可见性深入到受该更新影响的具体设备。
例如，管理员在调查新发布的更新时，可以查看哪些受管端点仍需要该更新，而不必逐台检查计算机。
对待处理或失败的更新采取操作
Endpoint Policies 提供周期性自动化，但当某个特定补丁需要关注时，管理员仍可进行干预。
Patch View 中可用的操作取决于补丁状态：
在待处理中，更新可以被批准、忽略或立即应用。
在 已批准 中，可忽略某个更新或立即应用。
在 失败 中，可再次批准某个更新或再次应用。
在 Ignored 中，可以批准或应用某项更新。
在 已安装 中没有其他可用操作。
当管理员需要在正常计划之外进行操作、重试未成功的安装，或更改某个特定更新的处理方式时，这会很有用。
Patch Tuesday 发布就是这种灵活性发挥作用的一个例子。常规更新可继续按照正常策略计划进行，而与更高优先级或正在被利用的 CVE 相关的补丁，则可在必要时更早审核并应用。
macOS 上的操作系统补丁管理有何不同？
整体工作流程类似，但 macOS 补丁管理有若干要求和限制，管理员应将这些因素考虑在内。
对于 Endpoint Policies 中的 OS Patch：
在执行 macOS 补丁之前，必须先配置本地管理员凭据。
主要的 macOS 升级要求所配置的管理员账户已启用 Secure Token。
较小的 macOS 更新通常不需要 Secure Token。
在终端策略中，Core Updates 和 Patch Overrides 目前不适用于 macOS。
凭据可在 Management > Credential Management 中配置。然后可通过可用的 Credential Management 设置，将这些凭据关联到操作系统补丁操作。只有 Team Owner 和 Super Admin 可以使用 Credential Management。
对于 macOS 的重大升级，IT 团队在依赖该升级工作流程之前，应先验证已配置账户是否启用了 Secure Token。
何时改用 OS Patch（计算机视图）
Endpoint Policies 旨在为受管计算机提供可重复的操作系统补丁自动化。在某些情况下，管理员也可能需要立即对特定端点采取行动。
对于这些情况，Splashtop AEM 提供了 Software > OS Patch (Computer View)。
计算机视图侧重于设备级补丁管理。管理员可以选择计算机、检查可用更新、选择更新并直接应用。
因此，当需要在常规自动化日程之外处理特定终端或一组终端时，计算机视图会非常有用。
例如，如果某个紧急补丁需要立即应用到少量计算机，管理员可以使用 Computer View，而无需等待正常的策略计划。
这两种工作流程用途不同：
Endpoint Policies：建立可重复执行的扫描、审批、安装 和重启行为。
Patch View：跨多台设备监控和管理补丁。
计算机视图：对特定计算机采取有针对性的操作。
这些视图结合起来，让 IT 团队能够自动执行常规操作系统补丁管理，同时在出现需要关注的例外情况时保留直接控制权。
使用 Splashtop AEM 自动化操作系统补丁管理
Splashtop AEM 为 IT 团队提供了一种实用方式，可在保持对审批、安装计划、重启和例外情况控制的同时，自动化管理 Windows 和 macOS 设备上的操作系统补丁。
无需手动逐台检查并为终端设备打补丁，您可以使用 Endpoint Policies 创建可重复执行的补丁工作流，然后通过集中式 OS Patch 视图监控结果，并在需要时进行干预。
立即开始 Splashtop AEM 免费试用，了解自动化 OS 补丁如何融入端点管理工作流程。
