Azure

Azure Update Manager

Overview

Azure Update Manager ist der native Patch-Dienst in Azure für Windows- und Linux-Server. Er deckt Azure-VMs, Arc-fähige Server im eigenen Rechenzentrum oder in anderen Clouds, VMware- und SCVMM-Maschinen sowie Azure Local ab und arbeitet subscriptionübergreifend. Als Update-Quellen dienen Microsoft Update, WSUS und die Paketquellen der Linux-Distributionen.

Der Vorgänger Update Management in Azure Automation wurde zusammen mit dem Log-Analytics-Agent am 31. August 2024 eingestellt. Update Manager braucht weder ein Automation-Konto noch einen Log Analytics Workspace, sondern ist eine native Funktion von Azure-VMs und Arc.

Abgrenzung: Für Windows-Clients sind Windows Update for Business und Windows Autopatch über Intune zuständig, Update Manager zielt auf Server-Betriebssysteme.

How it works

Die Funktionen im Überblick:

  1. Periodische Bewertung: prüft alle 24 Stunden auf fehlende Updates, per Azure Policy großflächig aktivierbar.
  2. Bedarfsgesteuerte Bewertung und Installation: sofort oder zeitversetzt.
  3. Geplante Installation: Wartungskonfigurationen legen Zeitfenster, Wiederholung, Update-Klassifizierungen und Neustartverhalten fest.
  4. Dynamische Bereiche: ordnen Maschinen anhand von Subscription, Resource Group, Region, Betriebssystem oder Tags automatisch Zeitplänen zu.
  5. Hotpatching: installiert kritische Updates auf unterstützten Azure-VMs ohne Neustart, daneben gibt es automatisches Gast-Patching für Azure-VMs.
  6. Berichte über Azure Workbooks und Alarme auf Patchstatus.

Rechte werden über Azure RBAC pro Ressource vergeben.

Benefits

  • Eine Patchsicht für Azure-VMs und lokale Server, ohne eigenen WSUS- oder SCCM-Betrieb nur für Server
  • Kein zusätzlicher Agent für Azure-VMs und keine Abhängigkeit von Log Analytics
  • Dynamische Bereiche per Tag nehmen neue Server automatisch in den richtigen Patchzyklus auf
  • Patchstand ist als Nachweis für Audits jederzeit abrufbar

Practical example

Ein Hersteller von Medizintechnik mit 30 Windows-Servern, davon zehn in Azure und 20 lokal per Arc angebunden, hat bisher WSUS und eine Excel-Liste gepflegt. Die IT legt zwei Wartungskonfigurationen an: Testserver dienstags, Produktivserver donnerstags nach dem Patchday, jeweils nachts mit Neustart. Ein dynamischer Bereich ordnet Server über das Tag Patchgruppe zu. Ein Workbook liefert monatlich den Patchstand für den ISB-Bericht.

Things to keep in mind

  • Falls noch Zeitpläne aus Automation Update Management existieren: Dienst ist seit 31. August 2024 abgeschaltet, Zeitpläne in Wartungskonfigurationen überführen
  • Für Arc-Server vorab klären, ob Software Assurance oder Defender for Servers Plan 2 die Kosten abdecken
  • Patchgruppen staffeln (Test vor Produktion) und Neustartfenster mit den Fachbereichen abstimmen
  • Vor der Installation Backup oder Snapshot einplanen und einen Rückfallweg dokumentieren
  • Domänencontroller und Cluster nicht alle im selben Fenster patchen

Licensing & availability

Für Azure-VMs kostenlos. Arc-fähige Server werden pro Server und Monat abgerechnet, tagesgenau anteilig für Tage, an denen der Server verbunden ist und ein Update-Vorgang oder Zeitplan greift. Ohne Aufpreis bleiben Arc-Server mit Extended Security Updates über Arc, mit Defender for Servers Plan 2 in der Subscription oder mit Windows-Server-Lizenz mit aktiver Software Assurance, Windows Server Subscription oder Pay-as-you-go über Arc. Automation Update Management eingestellt am 31. August 2024. Stand: Oktober 2026.

Conclusion

Update Manager ist der aktuelle Weg für Server-Patches in Azure und hybrid. Plane Wartungsfenster per Tag und prüfe, ob Deine Lizenzen die Arc-Kosten bereits abdecken.

Further reading

Related articles