Pianificare la distribuzione per l'aggiornamento di macchine virtuali Windows in Azure

Se la rete virtuale di Azure è stata bloccata su Internet, è comunque possibile ottenere gli aggiornamenti di Windows Update senza compromettere la sicurezza e senza aprire completamente l'accesso a Internet. Questo articolo contiene raccomandazioni su come configurare una rete perimetrale per ospitare un'istanza di WSUS (Windows Server Update Services) e aggiornare in modo sicuro le reti virtuali senza connettività Internet.

Se si usa Firewall di Azure, usare il WindowsUpdate tag FQDN nelle regole dell'applicazione per consentire il traffico di rete in uscita richiesto attraverso il firewall. Per altre informazioni, vedere Panoramica dei tag FQDN e Pianificare gli aggiornamenti software - Configurare i firewall.

Per implementare le raccomandazioni di questo articolo, è necessario avere familiarità con i servizi di Azure. Le sezioni seguenti descrivono la progettazione della distribuzione consigliata, che usa una configurazione hub-spoke in una singola area o in una configurazione a più aree.

Topologia di rete hub-spoke di rete virtuale di Azure

È consigliabile configurare una topologia di rete del modello hub-spoke creando una rete perimetrale. Ospitare il server WSUS in una macchina virtuale di Azure che si trova nell'hub tra Internet e le reti virtuali. L'hub deve avere porte aperte. WSUS usa la porta 80 per il protocollo HTTP e la porta 443 per il protocollo HTTPS per ottenere gli aggiornamenti da Microsoft. Gli spoke sono costituiti da tutte le altre reti virtuali, che comunicheranno con l'hub e non con Internet. Questa configurazione verrà realizzata creando una subnet, gruppi di sicurezza di rete (NSG) e il peering di reti virtuali di Azure, che consente il passaggio del traffico WSUS bloccando l'altro traffico Internet. Questa immagine illustra un esempio di topologia hub-spoke:

Scaricare un file di Visio di questa architettura.

In questa immagine:

• snet-wsus è la sottorete situata nell'hub della topologia hub-spoke che contiene il server WSUS.
• nsg-ds è una regola del gruppo di sicurezza di rete che consente il traffico per WSUS mentre blocca l'altro traffico internet.
• La macchina virtuale del servizio Windows Server Update è la macchina virtuale di Azure configurata per l'esecuzione di WSUS.
• snet-workload è un esempio di subnet in una rete virtuale spoke collegata tramite peering contenente macchine virtuali Windows.
• nsg-ms è un criterio di gruppo di sicurezza di rete che consente il traffico verso la macchina virtuale WSUS, ma nega altro traffico Internet.

È possibile riutilizzare un server esistente o distribuirne uno nuovo che diventa il server WSUS. La macchina virtuale WSUS deve soddisfare i requisiti di sistema documentati. Poiché si tratta di una funzionalità sensibile alla sicurezza, è consigliabile pianificare l'accesso a questa macchina virtuale usando JIT (Just-In-Time). Vedere Gestire l'accesso alle macchine virtuali usando just-in-time.

La rete avrà più di una rete virtuale di Azure, che può trovarsi nella stessa area o in aree diverse. È necessario valutare tutte le macchine virtuali Windows Server per verificare se è possibile usare come server WSUS. Se sono disponibili migliaia di VM da aggiornare, è consigliabile dedicare una VM Windows Server al ruolo WSUS. È anche consigliabile che le macchine virtuali non usino un server WSUS in un'area diversa come origine primaria.

Se tutte le reti virtuali si trovano nella stessa area, è consigliabile avere un'istanza di WSUS per ogni 18.000 VM. Questo suggerimento si basa su una combinazione dei requisiti delle VM, del numero di VM client da aggiornare e del costo della comunicazione tra reti virtuali. Per altre informazioni sui requisiti di capacità di WSUS, vedere Pianificare la distribuzione di WSUS.

Per determinare il costo di queste configurazioni, usare il calcolatore dei prezzi di Azure. È necessario fornire le specifiche delle macchine virtuali WSUS e le aspettative di rete; stessa area, tra aree. Per il trasferimento dei dati, iniziare con 3 GB. I prezzi variano in base all'area geografica.

Distribuzione manuale

Dopo aver identificato la rete virtuale di Azure da usare o determinare la necessità di creare una nuova istanza di Windows Server, è necessario creare una regola del gruppo di sicurezza di rete. La regola consentirà il traffico Internet, che consente ai metadati e al contenuto di Windows Update di eseguire la sincronizzazione con il server WSUS creato. Ecco le regole da aggiungere:

• Regola NSG in ingresso/uscita per consentire il traffico da e verso Internet sulla porta 80 (per contenuti).
• Regola del gruppo di sicurezza di rete (NSG) per consentire il traffico in entrata e in uscita verso Internet sulla porta 443 (per i metadati).
• Regola NSG in ingresso/uscita per consentire il traffico proveniente dalle VM client sulla porta 8530 (impostazione predefinita, salvo diversa configurazione).

Configurare WSUS

Per configurare il server WSUS, sono disponibili due approcci:

• Se gestisci molti server o desideri distribuzioni ripetibili e senza intervento manuale, automatizza la configurazione scrivendo un tuo script PowerShell. Questo approccio configura un server per gestire un carico di lavoro tipico con un'amministrazione minima richiesta.
• Se è necessario gestire migliaia di client che eseguono diversi sistemi operativi e lingue o se si vuole configurare WSUS in modo che uno script non possa gestire, configurare WSUS manualmente. Entrambi gli approcci vengono descritti più avanti in questo articolo.

È anche possibile combinare i due approcci usando uno script per eseguire la maggior parte del lavoro e quindi usando la console di amministrazione wsus per ottimizzare le impostazioni del server.

Configurare WSUS usando uno script di automazione

Per automatizzare questo scenario, creare uno script di PowerShell. WSUS espone una superficie di PowerShell che è possibile usare per installare il ruolo e configurare la sincronizzazione, i prodotti, le classificazioni, le lingue e le approvazioni degli aggiornamenti senza usare la console di amministrazione. Per i cmdlet usati in uno script, vedere il riferimento di WSUS PowerShell (modulo UpdateServices).

Progettare lo script e la relativa configurazione in modo che sia idempotente, in modo che una riesecuzione non interrompa un server in esecuzione. Archiviare le impostazioni in un file di configurazione separato, ad esempio JSON, in modo che gli operatori possano modificare i valori senza modificare la logica dello script. Uno script affidabile gestisce queste responsabilità:

• Installare il ruolo server WSUS e gli strumenti di gestione, quindi eseguire il passaggio di post-installazione necessario per impostare la directory del contenuto.
• Configurare l'origine upstream da cui il server esegue la sincronizzazione, ad esempio Microsoft Update o un altro server WSUS.
• Impostare se i payload di aggiornamento vengono archiviati localmente (e dove) o lasciati nei server Microsoft.
• Selezionare i prodotti, aggiornare le classificazioni e le lingue disponibili nel server.
• Impostare se il server approva automaticamente gli aggiornamenti per l'installazione o li lascia non approvati a meno che un amministratore non li approvi.
• Impostare se il server recupera automaticamente nuovi aggiornamenti da Microsoft e, in tal caso, con quale frequenza.
• Impostare se vengono usati pacchetti di aggiornamento rapido. I pacchetti di aggiornamento rapido riducono la larghezza di banda tra server e client, a scapito dell’utilizzo della CPU e del disco sul client e della larghezza di banda tra server.
• Proteggiti dalle riconfigurazioni indesiderate. Ad esempio, registrare che lo script è già stato eseguito e ignorare le esecuzioni successive a meno che non sia impostato un valore di override, in modo da evitare modifiche accidentali che potrebbero interrompere l'operazione del server.

È possibile eseguire lo script in uno dei due modi seguenti:

• Eseguire lo script manualmente dalla macchina virtuale WSUS. Eseguilo da un prompt dei comandi con privilegi elevati per installare e configurare WSUS.

• È possibile usare l'estensione per script personalizzati per Windows.

  Copiare lo script e il relativo file di configurazione nel proprio contenitore di archiviazione, che dispone di connettività di rete privata verso la macchina virtuale WSUS.

  Nelle configurazioni tipiche di VM e rete virtuale di Azure, l'estensione per script personalizzati richiede solo i due parametri seguenti per l'esecuzione corretta. Sostituire i valori mostrati qui con gli URL per i percorsi di archiviazione e i nomi dei file.

  settings: {
    fileUris: [
      'https://yourstorageaccount.blob.core.windows.net/wsus/Configure-WSUSServer.ps1'
      'https://yourstorageaccount.blob.core.windows.net/container/WSUS-Config.json'
    ]
    commandToExecute: 'powershell.exe -ExecutionPolicy Unrestricted -File .\Configure-WSUSServer.ps1 -WSUSConfigJson .\WSUS-Config.json'
  }
  

Fare in modo che lo script avvii la sincronizzazione iniziale che rende disponibili gli aggiornamenti per i computer client, ma non richiede che attenda il completamento della sincronizzazione. A seconda dei prodotti, delle classificazioni e delle lingue selezionate, la sincronizzazione iniziale potrebbe richiedere diverse ore. Tutte le sincronizzazioni successive dovrebbero essere più veloci.

Configurare WSUS manualmente

Dalla macchina virtuale WSUS seguire le istruzioni disponibili in Installare il ruolo del server WSUS

Durante la sincronizzazione, WSUS determina se sono stati resi disponibili aggiornamenti dall'ultima sincronizzazione effettuata. Se è la prima volta che si sincronizza WSUS, i metadati vengono scaricati immediatamente. Il payload viene scaricato solo se è stata attivata l'archiviazione locale e l'aggiornamento è stato approvato per almeno un gruppo di computer.

Configurare le reti virtuali per la comunicazione con WSUS

Successivamente, configurare il peering di rete virtuale di Azure oppure il peering globale di rete virtuale per comunicare con l'hub. È consigliabile configurare un server WSUS in ogni area in cui è stata eseguita la distribuzione per ridurre al minimo la latenza.

In ogni rete virtuale di Azure che funge da spoke, è necessario creare un criterio del NSG con queste regole:

• Regola NSG in ingresso/in uscita per consentire il traffico verso la VM WSUS sulla porta 8530 (impostazione predefinita, salvo diversa configurazione).
• Regola NSG in ingresso/uscita per rifiutare il traffico verso Internet.

Successivamente, creare il peering della rete virtuale di Azure dalla rete spoke alla rete hub.

Configurare le macchine virtuali client

WSUS può essere usato per aggiornare qualsiasi macchina virtuale che esegue Windows. Per configurare i client tramite criteri di gruppo, consulta Configurare i computer client per ricevere gli aggiornamenti dal server WSUS.

Per gli amministratori che gestiscono una rete di grandi dimensioni, è consigliabile leggere l'articolo Configurare gli aggiornamenti automatici e il percorso del servizio di aggiornamento per informazioni su come usare le impostazioni di Criteri di gruppo per configurare automaticamente i client.

Gestore aggiornamenti di Azure

È possibile usare Gestione aggiornamenti di Azure per gestire e pianificare gli aggiornamenti del sistema operativo per le macchine virtuali sincronizzate con WSUS. Lo stato della patch della VM (ovvero le patch mancanti) viene valutato in base all'origine con cui la macchina virtuale è configurata per la sincronizzazione. Se la VM Windows è configurata per l'invio di report a WSUS, i risultati possono differire da quanto visualizzato da Microsoft Update in base a quando WSUS ha eseguito l'ultima sincronizzazione con Microsoft Update. Dopo aver configurato l'ambiente WSUS, è possibile abilitare Gestione aggiornamenti. Per altre informazioni, vedere la panoramica di Gestore aggiornamenti di Azure.

Collaboratori

Questo articolo viene gestito da Microsoft. Originariamente è stato scritto dai seguenti contributori.

Autore principale:

• Paul Reed | Senior Program Manager di Conformità di Azure

Passaggi successivi

• Per altre informazioni sulla pianificazione di una distribuzione, vedere Pianificare la distribuzione di WSUS.
• Per altre informazioni sulla gestione di WSUS, su come configurare la pianificazione della sincronizzazione con WSUS e altro ancora, vedere Amministrazione di WSUS.

Risorsa collegata

• Eseguire una macchina virtuale Windows su Azure