Gestion des correctifs natifs cloud avec des serveurs avec Azure Arc

La mise à jour corrective des systèmes d’exploitation est un devoir essentiel pour n’importe quel administrateur système. Traditionnellement, vous pouvez utiliser Windows Server Update Services (WSUS) ou System Center Configuration Manager (SCCM) pour gérer les mises à jour Windows et planifier des fenêtres de maintenance pour les serveurs. Dans l’approche native cloud, Azure Update Manager prend ce rôle, fournissant une solution de gestion des correctifs unifiée pour les serveurs Windows et Linux, qu’il s’agisse de machines virtuelles Azure ou d’ordinateurs locaux avec Arc.

La mise à jour corrective du système d’exploitation native dans le cloud via Azure Update Manager signifie une mise à jour corrective centralisée basée sur des stratégies avec une plus grande flexibilité et un meilleur aperçu. Vous obtenez des fonctionnalités telles que les fenêtres de maintenance et l’automatisation pour les flux de travail complexes. En raison d’innovations telles que le hotpatching, vous pouvez réduire les temps d’arrêt pendant les mises à jour. Pour un administrateur système, les tâches familières sont simplifiées : vous définissez les règles et Azure effectue la mise à jour corrective. Vous pouvez réduire le temps consacré à la gestion manuelle des mises à jour et surveiller tous vos environnements via un rapport de conformité centralisé.

Par exemple, supposons que vous disposez d’un grand nombre de serveurs connectés à Azure Arc. Après avoir activé Azure Update Manager sur vos serveurs, vous pouvez définir des configurations de maintenance. Par exemple, vous pouvez créer un groupe A (Dev) pour obtenir des correctifs chaque semaine, groupe B (Prod) pour corriger chaque mois avec une fenêtre de deux heures, et ainsi de suite. Vous affectez ensuite des serveurs (ou des groupes de ressources entiers) à ces planifications. Vous pouvez éventuellement spécifier des tâches antérieures ou postées à l’aide de runbooks Automation. Lorsque des correctifs sont remis, vous pouvez surveiller la progression dans le portail Azure, puis vérifier ultérieurement si des mises à jour sont toujours en attente.

Examinons plus en plus les fonctionnalités qui permettent une approche modernisée de la gestion des correctifs pour vos serveurs avec Arc.

Tableau de bord de conformité des correctifs unifié

Azure Update Manager vous offre un tableau de bord unique pour surveiller la conformité des mises à jour sur tous vos serveurs. Vous pouvez voir quelles mises à jour sont manquantes sur chaque ordinateur, filtrer par mises à jour critiques/de sécurité et obtenir une vue d’ensemble de votre posture de correctif. Ce tableau de bord affiche des informations similaires à celles trouvées dans les rapports WSUS ou les rapports de conformité de SCCM, mais intégrées au portail Azure et y compris les serveurs locaux, ainsi que les machines virtuelles Azure natives. Pour un environnement hybride, cette fonctionnalité peut gagner du temps en réduisant la nécessité d’agréger des rapports à partir de plusieurs systèmes.

Fenêtres de planification et de maintenance

Vous pouvez créer des configurations de maintenance qui définissent quand des correctifs doivent être appliqués à des groupes d’ordinateurs. Par exemple, vous pouvez définir une fenêtre tous les samedis à 2h pour vos serveurs de développement, et une autre fenêtre le dimanche dernier du mois pour les serveurs de production. Azure Update Manager permet de planifier des mises à jour dans ces fenêtres de maintenance définies par le client. Cette approche est très analogue aux fenêtres de maintenance de SCCM ou aux fenêtres de gestion des modifications. Vous avez un contrôle sur la fréquence, la journée, l’heure et les mises à jour à inclure. Lorsque la fenêtre arrive, Azure orchestre l’installation des mises à jour sur les machines cibles. Vous pouvez également utiliser Azure Policy pour planifier automatiquement les machines nouvellement ajoutées dans une fenêtre de correctif par défaut.

Scripts de pré-publication et de mise à jour d’événements

Une fonctionnalité avancée est la possibilité de se connecter à des événements avant et après autour d’une fenêtre de maintenance. Vous pouvez automatiser les tâches à exécuter avant le début de la mise à jour corrective et une fois la mise à jour corrective terminée. Par exemple, les pré-tâches courantes peuvent être « instantanés de la machine virtuelle » ou « arrêter des services spécifiques » avant les mises à jour. Les tâches postérieures peuvent être « démarrer ces services de sauvegarde » ou « envoyer une notification par e-mail » après la mise à jour corrective. Vous pouvez également activer les machines virtuelles qui sont désactivées (afin qu’elles puissent être corrigées), puis les réactiver après les mises à jour. Le contrôle granulaire fourni par les tâches préalables et postérieures peut vous aider à maintenir le temps d’activité maximal, même lorsque des mises à jour sont nécessaires.

Azure Update Manager utilise Event Grid pour déclencher des événements avant et publier des événements. Cela signifie que vous pouvez appeler des runbooksAzure Functions, Azure Logic Apps ou Azure Automation pour les événements de pré-publication. Ces fonctionnalités permettent la mise à jour corrective prenant en charge les applications ; comme vous pouvez utiliser des scripts personnalisés dans SCCM ou des séquences de correctifs orchestrées, vous pouvez obtenir les mêmes fonctionnalités dans Azure dans l’ensemble de votre patrimoine hybride.

Contrôles et séquencement de correctifs granulaires

Azure Update Manager vous permet de regrouper des machines dans une configuration de maintenance, et même de séquencer l’ordre de mise à jour corrective si nécessaire. Par exemple, vous pouvez utiliser des configurations de maintenance distinctes avec offset pour vous assurer que les serveurs web sont corrigés en premier, puis les serveurs d’applications, puis les serveurs de base de données.

Vous pouvez également utiliser des listes d’inclusion ou d’exclusion pour les mises à jour, ce qui vous permet d’appliquer des exigences granulaires. Par exemple, vous pouvez utiliser ces listes pour exclure une mise à jour particulière connue pour provoquer des problèmes ou pour appliquer uniquement des mises à jour liées à la sécurité à vos serveurs.

Hotpatching

Azure Update Manager intègre Hotpatch pour les serveurs avec Arc exécutant Windows Server 2025 Datacenter Edition ou Standard Edition. À l’aide de hotpatching, vous pouvez installer certaines mises à jour de sécurité sans redémarrer les machines, éliminant ainsi le temps d’arrêt requis par un redémarrage. En tant qu’administrateur système, vous planifiez toujours une fenêtre de maintenance, mais si tous les correctifs d’un cycle peuvent être fournis par le biais d’un hotpatching, cette fenêtre peut passer sans redémarrage nécessaire, ce qui optimise la disponibilité du service.

Azure Update Manager gère les cycles hotpatch, avec les mises à jour hotpatch fournies mensuellement. Un redémarrage n’est nécessaire que pour les nouvelles bases de référence (mises à jour cumulatives), généralement remis tous les trois mois.

Prise en charge du système d’exploitation et hybride

Azure Update Manager n’est pas seulement pour Windows. Les serveurs avec Arc qui exécutent Linux sont également pris en charge. Update Manager peut appliquer des mises à jour à partir de référentiels de package Linux, et même effectuer des redémarrages si nécessaire. Vous obtenez des rapports unifiés pour vos machines Linux avec Windows. Par conséquent, si vous êtes également responsable de certains serveurs Ubuntu ou RHEL, Azure couvre désormais ces serveurs en mode natif. Cette large prise en charge souligne l’avantage « administrateur cloud », avec un outil pour toutes les versions du système d’exploitation.

Service de mise à jour automatique Linux

Vous pouvez également utiliser le service intégré de votre distribution Linux pour mettre à jour automatiquement le package d’agent d’ordinateur connecté Azure installé. Cette option vous permet d’intégrer la mise à jour du package d’agent en toute transparence à votre gestionnaire de packages et aux référentiels configurés. Étant donné que les mises à jour de package sont publiées dans le référentiel de packages Microsoft, vous pouvez mettre à jour l’agent à l’aide de vos outils de distribution habituels, que ce soit manuel, géré à distance ou selon une planification gérée par des outils tels que dnf-automatic pour les distributions basées sur RPM et les mises à niveau sans assistance pour les distributions Basées sur Debian.