Update ring e Windows Update for Business

Update ring e Windows Update for Business

Windows Update for Business (WUfB) è la tecnologia che permette di controllare quando e come i dispositivi ricevono gli aggiornamenti direttamente dal servizio Windows Update, senza scaricare i binari su un server on-premises come farebbe WSUS. In un ambiente gestito da Microsoft Intune, non si configura WUfB manualmente tramite CSP o GPO: si crea invece un profilo Update rings for Windows 10 and later, che traduce le impostazioni in policy del client. L’obiettivo dell’associate non è cliccare i menu, ma decidere quali deferral, deadline e comportamenti di riavvio applicare a ciascuna popolazione di dispositivi.

Deferral: quality vs feature

Le due leve principali sono i deferral period, cioè per quanti giorni ritardare l’installazione dopo la pubblicazione:

• Quality update deferral (0–30 giorni): riguarda le patch cumulative mensili di sicurezza e affidabilità, rilasciate il Patch Tuesday (secondo martedì del mese).
• Feature update deferral (0–365 giorni): riguarda i major upgrade di versione (es. 23H2 → 24H2).

Il deferral non parte da quando tu crei la policy, ma dal momento in cui Microsoft rende disponibile l’aggiornamento. Per le quality update questo coincide con il Patch Tuesday: un deferral di 7 giorni significa che il dispositivo inizierà a offrirlo il martedì successivo. Oggi Microsoft consiglia di gestire le feature update con una policy dedicata (Feature updates for Windows 10 and later) che punta a una versione target specifica, lasciando all’update ring il controllo delle quality update e della user experience.

La strategia ad anelli

L’errore classico è applicare gli stessi tempi a tutta l’organizzazione. La best practice è una deployment ring strategy progressiva:

• Pilot / preview ring: piccolo gruppo IT o early adopter, deferral 0 giorni, così i problemi emergono subito su pochi dispositivi.
• Broad ring: la maggioranza degli utenti, deferral di alcuni giorni (es. 5–7) per lasciar validare l’anello pilota.
• Critical ring: dispositivi sensibili (linea produttiva, dirigenza), deferral più lungo e deadline più permissive.

Ogni anello è un profilo Update ring separato assegnato a un gruppo Entra ID distinto. La regola d’oro è: un solo update ring per gruppo di dispositivi.

Deadline, grace period e user experience

I deferral controllano quando l’update viene offerto; le impostazioni di user experience controllano come viene installato e riavviato:

• Automatic update behavior: dalla semplice notifica di download fino all’“auto install and restart” senza controllo utente.
• Active hours: la finestra oraria in cui il dispositivo non deve riavviarsi (default calcolato in base all’attività).
• Deadline for quality/feature updates: dopo N giorni dall’offerta il dispositivo forza l’installazione e il riavvio, ignorando i rinvii dell’utente.
• Grace period: numero minimo di giorni concessi prima del riavvio forzato, anche se la deadline è già scaduta. È fondamentale per i dispositivi rimasti offline a lungo: al rientro non vengono riavviati istantaneamente, ma ottengono comunque il periodo di grazia.

La combinazione deadline + grace period sostituisce le vecchie policy di riavvio rigide e garantisce compliance senza sorprendere l’utente durante una presentazione.

Conflitti di policy

Il punto più insidioso è la sovrapposizione di policy. Se lo stesso dispositivo riceve due update ring, oppure GPO WUfB e Intune contemporaneamente, il client va in stato di conflitto e il risultato diventa imprevedibile (spesso vince l’impostazione più restrittiva, ma non è garantito). La soluzione è consolidare: un unico ring per gruppo, nessuna assegnazione sovrapposta, e in scenari co-managed spostare esplicitamente il workload “Windows Update policies” su Intune per evitare che le GPO restino attive.

Trappole tipiche d’esame

• “Ho impostato un deferral di 5 giorni per le quality update, da quando decorre?” → Dai giorni successivi al Patch Tuesday (data di pubblicazione), non dalla creazione o assegnazione della policy.
• “Due update ring assegnati allo stesso gruppo, comportamento incoerente” → È un conflitto di policy: consolidare in un solo update ring per gruppo, rimuovendo le assegnazioni sovrapposte.
• “I dispositivi devono essere compliant entro X giorni ma senza riavvii improvvisi per chi è stato offline” → Configurare una deadline con grace period: il riavvio forzato non avviene finché il periodo di grazia non è trascorso.
• “Serve validare gli update su pochi PC prima del rollout generale” → Implementare una ring strategy (pilot deferral 0 → broad → critical), non un unico ring per tutta l’azienda.
• “Scenario co-managed: le GPO WUfB continuano ad applicarsi nonostante Intune” → Spostare il workload Windows Update su Intune per far prevalere le policy MDM ed evitare il conflitto GPO/MDM.