Cos’è Windows Autopatch

Windows Autopatch è un servizio cloud gestito, incluso in Microsoft 365, che automatizza il deployment e il monitoraggio degli aggiornamenti su Windows, sollevando l’amministratore dalla configurazione manuale delle policy. Invece di costruire e mantenere a mano gli update ring, si delega a Microsoft l’orchestrazione dell’intero ciclo: pianificazione, distribuzione progressiva, rilevamento delle regressioni e rollback automatico in caso di problemi.

Autopatch non gestisce solo le patch di sistema, ma un catalogo ampio:

  • Windows quality update (patch mensili di sicurezza e affidabilità)
  • Windows feature update (passaggi di versione, es. da 23H2 a 24H2)
  • Driver e firmware distribuiti tramite Windows Update
  • Microsoft 365 Apps (il pacchetto Office) e Microsoft Edge

I deployment ring

Il cuore del servizio sono quattro deployment ring creati e popolati automaticamente:

  • Test — un piccolo gruppo pilota, popolato manualmente, per validare gli aggiornamenti prima di qualsiasi rollout produttivo.
  • First — la prima ondata (circa 1% dei device), che intercetta presto eventuali problemi.
  • Fast — l’ondata intermedia (circa 9%), che allarga la validazione.
  • Broad — la maggioranza del parco macchine (circa 90%), aggiornata solo dopo che gli anelli precedenti hanno confermato la stabilità.

Autopatch assegna i device in modo bilanciato e sfrutta la deployment cadence (deferral e deadline dinamici) per fermare o rallentare la distribuzione se la telemetria segnala anomalie. Con gli Autopatch group è possibile definire più insiemi di anelli con pianificazioni distinte, utili per separare reparti o aree geografiche.

Prerequisiti

Perché un device sia idoneo servono contemporaneamente:

  • Licenza idonea: Windows 10/11 Enterprise E3/E5, oppure inclusa in Microsoft 365 E3/E5/F3, Business Premium e A3/A5.
  • Gestione con Microsoft Intune: i device devono essere enrollati e gestiti da Intune, che resta il piano di controllo su cui Autopatch scrive le policy.
  • Identità in Microsoft Entra ID: i device devono essere Microsoft Entra joined oppure Microsoft Entra hybrid joined. Non sono supportati i device solo registered o workgroup.
  • Edizione Enterprise o Pro di Windows 10/11 supportata.

L’attivazione avviene dall’interfaccia di Intune (Tenant administration): il servizio esegue controlli di prerequisito (readiness) e mette in not ready i device che non rispettano i requisiti, senza gestirli finché non vengono sanati.

Quando conviene rispetto agli update ring manuali

Gli update ring configurati a mano in Intune restano la scelta giusta quando serve controllo granulare — deferral, deadline, feature update policy specifiche, scenari con requisiti di compliance particolari o parchi macchine ridotti dove il carico gestionale è basso.

Windows Autopatch conviene invece quando:

  • il parco macchine è ampio e omogeneo e si vuole ridurre l’onere operativo;
  • si desidera un anello di test/validazione strutturato senza costruirlo manualmente;
  • serve reporting centralizzato e rollback automatico gestito da Microsoft;
  • si vuole coprire in un unico servizio Windows, driver, Microsoft 365 Apps ed Edge.

In sostanza: Autopatch scambia flessibilità fine per automazione, resilienza e minor manutenzione.

La sovrapposizione con gli update ring manuali

Il punto architetturale critico: Autopatch crea e possiede le proprie Windows Update ring policy e le policy di aggiornamento di Microsoft 365 Apps in Intune. Se gli stessi device sono già target di update ring creati manualmente, si generano conflitti di policy (settaggi contrastanti, deferral incoerenti, aggiornamenti che non partono). La regola operativa è chiara: per i device gestiti da Autopatch bisogna escluderli dalle policy manuali o dismetterle, evitando che due sistemi contendano lo stesso device. Non si mescolano i due modelli sullo stesso endpoint.

Trappole tipiche d’esame

  • Scenario: device con licenza Microsoft 365 E3 ma solo Entra registered → non è idoneo; Autopatch richiede Entra join o hybrid join, non la semplice registration.
  • Scenario: dopo l’onboarding, alcuni PC hanno ancora update ring manuali che li targettizzano → rimuovi/escludi quei device dalle policy manuali per evitare conflitti; Autopatch gestisce i propri ring.
  • Scenario: si vuole convalidare le patch su pochi PC pilota prima del rollout generale → assegnali al ring Test, l’unico popolato manualmente.
  • Scenario: serve distribuire anche gli aggiornamenti di Microsoft 365 Apps ed Edge oltre a Windows → è coperto nativamente da Autopatch, non serve una soluzione separata.
  • Scenario: un feature update problematico sta impattando la produzione → Autopatch può fermare (halt) e fare rollback automatico grazie al monitoraggio degli anelli; non è necessario intervenire device per device.