Azure 更新管理中心（预览版）-策略不起作用

Question 1

好的，经过很长一段时间我才知道这个问题。微软现在似乎对这些政策存在一些问题，或者至少它们没有反映文档中写的内容（截至 2022 年 9 月 6 日）。

在更新管理中心的文档中（https://docs.microsoft.com/en-us/azure/update-center/support-matrix?tabs=azurevm%2Cazurevm-os#supported-operating-systems) 支持以下 Windows 操作系统：

如果您查看策略定义（“[预览]：配置 Azure 虚拟机上缺少的系统更新的定期检查”），就会发现这些操作系统现在还不在选择范围内：

我所做的是在该列表中添加了其他几个 Windows 操作系统以供选择，并将策略定义保存为包含更多 VM SKU 的副本并将其分配给范围。之后，该策略按预期工作，所有 VM 都被策略选中并（大部分）按预期工作。

我希望这个问题能够在更新管理中心正式发布之前得到解决。

Answer

好的，经过很长一段时间我才知道这个问题。微软现在似乎对这些政策存在一些问题，或者至少它们没有反映文档中写的内容（截至 2022 年 9 月 6 日）。

在更新管理中心的文档中（https://docs.microsoft.com/en-us/azure/update-center/support-matrix?tabs=azurevm%2Cazurevm-os#supported-operating-systems) 支持以下 Windows 操作系统：

如果您查看策略定义（“[预览]：配置 Azure 虚拟机上缺少的系统更新的定期检查”），就会发现这些操作系统现在还不在选择范围内：

我所做的是在该列表中添加了其他几个 Windows 操作系统以供选择，并将策略定义保存为包含更多 VM SKU 的副本并将其分配给范围。之后，该策略按预期工作，所有 VM 都被策略选中并（大部分）按预期工作。

我希望这个问题能够在更新管理中心正式发布之前得到解决。

Question 2

关于问题 1

我在这方面取得了一些进展，但仍然没有 100% 成功。我相信你已经发现，网上没有太多帮助。

首先，您需要根据订阅注册预览更新管理功能。
```
Register-AzProviderFeature -FeatureName InGuestAutoPatchVMPreview  - ProviderNamespace Microsoft.Compute
Register-AzProviderFeature -FeatureName InGuestAutoAssessmentVMPreview -ProviderNamespace Microsoft.Compute
Register-AzProviderFeature -FeatureName InGuestScheduledPatchVMPreview  -ProviderNamespace Microsoft.Compute
```
然后，对于每个预览策略，您需要更新发布者、优惠和 SKUhttps://docs.microsoft.com/en-us/azure/update-center/support-matrix?tabs=azurevm%2Cazurevm-os#supported-operating-systems. 政策如下
```
[Preview]: Configure periodic checking for missing system updates on azure virtual machines
[Preview]: Machines should be configured to periodically check for missing system updates
[Preview]: Schedule recurring updates using Update Management Center
```
当创建新的虚拟机并针对新资源运行策略评估时，您最终应该会看到新更新管理门户中的“补丁编排”和“定期评估”字段已更新以反映您的策略。尽管它似乎与 Windows 虚拟机比 Linux 更一致。

关于问题 2

政策[Preview]: Schedule recurring updates using Update Management Center应该将更改为PatchModeAzure Orchestrated (AutomaticByPlatform)，但整个策略不适用于新创建的资源；它不会将新创建的 VM 分配给维护配置，也不会patchMode按照策略描述中所述将策略更新为 AutomaticByPlatform。
如您所见，您应该能够手动将虚拟机添加到维护配置中，但要做到这一点，您需要先将patchMode虚拟机设置为 AutomaticByPlatform - 因此您需要使用策略来设置它
最后，手动修复[Preview]: Schedule recurring updates using Update Management Center策略似乎确实有效，尽管它不一致，并且资源的合规性信息之后仍然显示不合规。

因此，仍然值得使用上述三种策略，因为它们确实有用。对于我们来说，我们可能只会自动运行脚本来查找没有维护配置分配的虚拟机，然后手动分配它。

最后

通过 Azure 门户检查更新管理设置的状态时要小心。这可能是一个缓存问题，但通常它不会显示正确的结果。通过 powershell 检查结果会更快（请原谅我的初级 powershell 能力）。

你可以使用以下命令获取虚拟机的 patchMode

(get-azvm)[0].OSProfile.LinuxConfiguration.patchsettings.AssessmentMode或者

(get-azvm)[0].OSProfile.WindowsConfiguration.patchsettings.AssessmentMode

或者

$allVMs = get-azvm
foreach ($aVM in $allVMs) {
    if($aVM.OSProfile.LinuxConfiguration.patchsettings.AssessmentMode) 
{$patchsettings = $aVM.OSProfile.LinuxConfiguration.patchsettings.AssessmentMode}
    if($aVM.OSProfile.WindowsConfiguration.patchsettings.AssessmentMode) 
{$patchsettings = $aVM.OSProfile.WindowsConfiguration.patchsettings.AssessmentMode}
    write-host $aVM.name.PadRight(31,' ') " / " $patchsettings.PadRight(28,' ') " / " $aVM.StorageProfile.ImageReference.Publisher.PadRight(22,' ') " / " $aVM.StorageProfile.ImageReference.Offer.PadRight(28,' ') " / " $aVM.StorageProfile.ImageReference.SKU

}

Answer