In vielen Tenants, die ich mir anschaue, ist das Patch-Management für virtuelle Maschinen und Server ein Dauerthema. Weil Automation Update Management zum 31. August 2024 eingestellt wird, beschäftigen sich gerade viele Teams mit dem Nachfolger Azure Update Manager. Häufig höre ich Fragen wie: „Wie läuft das künftig mit den Wartungsfenstern?“ oder „Brauche ich jetzt noch extra Log Analytics?“ Die Antwort ist erfreulich eindeutig. Azure Update Manager ist mehr als eine Umbenennung, denn das Werkzeug arbeitet deutlich eigenständiger und lässt sich viel flexibler einsetzen.

Azure Update Manager kommt ohne die alten Abhängigkeiten aus

Jahrelang war Automation Update Management der Standard, wenn man Windows- und Linux-Server in Azure und on-premises geordnet patchen wollte. Die größte Hürde: Ohne Automation Account und Log-Analytics-Workspace ging gar nichts. Das machte die Umgebung komplexer, kostete zusätzlich Geld und verursachte organisatorischen Aufwand. Mit Azure Update Manager hat sich das erledigt. Beide Komponenten sind nicht mehr nötig, das Setup fällt schlanker aus, die Oberfläche wirkt moderner, und im Azure-Portal findet man sich schnell zurecht. Besonders gefällt mir, dass sich Update-Assessments regelmäßig und unabhängig auslösen lassen. Das erleichtert das Lifecycle-Management spürbar.

Maintenance Configurations und dynamische Scopes machen Wartungsfenster flexibel

Über Wartungsfenster wird in Projekten immer wieder diskutiert. Azure Update Manager bringt dafür sogenannte „Maintenance Configurations“ mit. Darin legt man genaue Zeitpläne und die Patch-Orchestrierung fest und kann sogar eigene Zeitfenster definieren. Sehr praktisch finde ich die dynamischen Scopes. Mit ihnen fasst man VM-Gruppen anhand von Tags oder anderen Kriterien zusammen und bestimmt gezielt, wann und wie diese Maschinen gepatcht werden. Bei der alten Lösung musste man jedes neue System oft noch von Hand anbinden, insofern ist das ein deutlicher Fortschritt. Mehr zu geplanten Patching-Szenarien findet ihr in der offiziellen Dokumentation (Scheduled patching).

Viele Admins freuen sich außerdem, dass sich Azure-Arc-aktivierte Server jetzt einfach einbinden lassen, ganz gleich, ob sie on-premises, in anderen Clouds oder im Edge-Bereich laufen. Die Abrechnung erfolgt pro angeschlossenem Server und Monat über Azure Arc.

flowchart TD
  Gruppe["VM-Gruppe (Tags/Scope)"] --> Config["Maintenance Configuration"]
  Config --> Zeit["Zeitplan"]
  Config --> Orchestration["Patch-Orchestrierung"]
  Config --> Assessment["Update-Assessment"]
  Gruppe --> Arc["Arc-aktivierte Server"]

Abbildung: Wartungskonfiguration und dynamische Zielgruppen in Azure Update Manager.

Regelmäßige Update-Assessments zeigen jederzeit den Patch-Status

In der Praxis nutze ich das regelmäßige Update-Assessment besonders gern. Die Prüfung lässt sich inzwischen unabhängig von einem Wartungsfenster starten und zeigt jederzeit, welche Updates auf welcher Maschine fehlen. Kombiniert man das mit der detaillierten Patch-Orchestrierung, die etwa Optionen für das Reboot-Verhalten oder für Sequenzen bietet, sinkt das Risiko beim Patchen erheblich. In Umgebungen mit vielen Abhängigkeiten zahlt sich das besonders aus. Wer sich näher mit Migration und Automatisierung befassen möchte, findet im Leitfaden von Microsoft weitere Hinweise (Leitfaden zur Migration von Automation Update Management).

Mein Tipp: In produktiven Umgebungen solltet ihr die Update-Assessments täglich laufen lassen, mindestens aber vor jedem geplanten Patchlauf. Neue Schwachstellen und Abweichungen von den Compliance-Vorgaben fallen dann rechtzeitig auf, und ihr könnt früh gegensteuern.

Die Umstellung von Automation Update Management sollte jetzt beginnen

Bis Automation Update Management im August 2024 offiziell ausläuft, bleibt nicht mehr viel Zeit, um bestehende Prozesse und Wartungspläne umzustellen. Microsoft stellt dafür eine eigene Migrationsanleitung bereit und hilft bei der Übernahme der Konfigurationen. In der Praxis bleibt trotzdem oft Handarbeit übrig, vor allem bei dynamischen Gruppen und speziellen Wartungsfenstern. Beachten solltet ihr außerdem, dass auch die Log Analytics Agents (MMA) eingestellt werden. Für Monitoring-Szenarien führt deshalb kein Weg am Azure Monitoring Agent (AMA) vorbei. Die Patch-Steuerung selbst arbeitet dagegen völlig eigenständig und braucht keinen separaten Workspace mehr.

So sieht zum Beispiel eine typische Maintenance Configuration im JSON-Format aus:

{
  "properties": {
    "maintenanceScope": "OSUpdate",
    "schedule": {
      "frequency": "Weekly",
      "interval": 1,
      "startTime": "2024-02-01T02:00:00Z"
    },
    "duration": "PT2H"
  }
}

In größeren Umgebungen lohnt es sich, frühzeitig zu planen. Dann gibt es zum Abschalttermin keine bösen Überraschungen.

Hotpatching und Azure Arc erweitern den Funktionsumfang

In einigen Azure-Projekten bin ich auf Hotpatching für Windows Server Azure Edition gestoßen. Damit lassen sich kritische Sicherheitsupdates ohne Neustart einspielen, was bei hochverfügbaren Systemen enorm hilft. Allerdings gibt es die Funktion nur für bestimmte VM-Typen und Windows-Versionen (Azure Edition). Ebenso wichtig ist die umfassende Unterstützung von Azure Arc. Darüber holt man auch „klassische“ On-Premises-Server, etwa aus Rechenzentren oder Produktionsumgebungen, in die einheitliche Patch-Verwaltung, mit dynamischen Scopes sogar automatisiert. Wie Arc abgerechnet wird und was es kostet, seht ihr im Abrechnungsbereich des Azure-Portals.

Der Wechsel ist eine gute Gelegenheit, das Patch-Management neu aufzustellen

Microsoft hat das Patch-Management in Azure und in hybriden Umgebungen mit Azure Update Manager deutlich weiterentwickelt. Dass die alten Abhängigkeiten von Workspace und Automation Account wegfallen, erleichtert mir die Arbeit enorm. Dazu kommt, dass sich Wartungsfenster und dynamische Zielgruppen wesentlich flexibler verwalten lassen, sodass man Update-Prozesse solide und sicher aufsetzen kann. Wer jetzt umsteigt, vermeidet Zeitdruck und gewinnt mehr Transparenz und Automatisierung. Und wer ohnehin gerade an seiner Azure-Infrastruktur arbeitet, sollte sich Azure Update Manager unbedingt ansehen, bevor es ab August 2024 keine Alternative mehr gibt.