Intune: anillos de Windows Update, plazos, actualizaciones urgentes y un equipo que nunca se parchea

Qué vas a conseguir

Los equipos Windows gestionados por Intune reciben las actualizaciones mensuales en olas (primero IT, luego la mayoría, al final los puestos que no pueden fallar), con plazos que garantizan que se instalan aunque el usuario no reinicie nunca, la versión de Windows controlada, una forma de acelerar un parche de día cero y los controladores aprobados. Y el método para el equipo que lleva tres meses sin actualizar.

Todo esto es Windows Update for Business: Intune no distribuye los parches, le dice a cada equipo cuándo y cómo descargarlos de Windows Update. En el centro de administración de Intune está en Dispositivos › Administrar actualizaciones › Actualizaciones de Windows, con pestañas para anillos, características, calidad y controladores.

Antes de empezar

• Rol de Intune Administrator o un rol personalizado con permisos sobre actualizaciones de software.
• Grupos de Entra ID de dispositivos para cada anillo: GD-WU-Piloto, GD-WU-General, GD-WU-Trading. Que un equipo esté en un solo anillo.
• Para las políticas de características, aceleradas y de controladores: licencia de Windows que las incluya (Windows Enterprise E3/E5, Microsoft 365 E3/E5, Business Premium y equivalentes) y en Administración de inquilinos › Conectores y tokens › Datos de Windows, activadas las características que requieren datos de diagnóstico de Windows. Sin eso, la política se crea y los informes se quedan vacíos.
• Si hay co-gestión con MECM: saber en qué posición está la carga de trabajo Directivas de Windows Update. Si está en Configuration Manager, nada de esta guía aplica a esos equipos.

1. Diseñar los anillos

• El aplazamiento cuenta desde que Microsoft publica el parche; el plazo cuenta desde que el equipo lo ve; el periodo de gracia son los días mínimos que tiene el usuario, una vez vencido el plazo, antes de que el reinicio sea forzoso (pensado para el equipo que estuvo apagado durante el plazo). Juntos dicen "como muy tarde, esto está instalado en N días".
• Las horas activas evitan reinicios en horario de trabajo hasta que se cumple el plazo. En los puestos de trading se ponen amplias (por ejemplo, de 6:00 a 22:00) y el plazo se calcula para que caiga en fin de semana.
• El anillo de trading no es "no actualizar": es actualizar cuando el piloto ya ha probado las aplicaciones de mercado.

Si usas una política de actualizaciones de características (sección 2), el aplazamiento de características del anillo va a 0: la versión la decide la política, y dos sitios decidiendo lo mismo es el origen de muchos "no sé por qué se ha actualizado".

2. La versión de Windows: política de actualizaciones de características

En Actualizaciones de características › Crear eliges la versión en la que quieres que se queden los equipos (por ejemplo, Windows 11, versión 25H2). Un equipo con una versión anterior sube a esa y no pasa de ahí hasta que cambies la política. Se puede ofrecer cuanto antes, desde una fecha o en un despliegue gradual por grupos de días.

3. El parche urgente: actualizaciones aceleradas

Cuando sale un parche fuera de ciclo para una vulnerabilidad explotada, no esperas al aplazamiento del anillo. En Actualizaciones de calidad creas una política de aceleración: eliges el parche por su fecha de publicación (se ofrecen las dos actualizaciones de seguridad más recientes) y los días antes de forzar el reinicio, de 0 a 2.

• Solo lo reciben los equipos que no tienen ese parche o uno más nuevo.
• Con 0 días, el equipo reinicia en cuanto termina con un aviso corto: no para la sala de trading en horario de mercado.
• Pasa por encima del aplazamiento del anillo, pero no lo cambia: cuando el parche está en todos, se elimina la política y los anillos siguen como estaban.

4. Controladores

Por defecto, los controladores llegan con las actualizaciones de calidad si el anillo los permite. Una política de actualizaciones de controladores cambia eso: Intune enseña qué controladores aplican a los equipos asignados y los apruebas tú (manual) o se aprueban solos tras unos días (automático). En equipos con hardware delicado (puestos de cuatro monitores con su tarjeta gráfica, bases de conexión), la aprobación manual evita que un controlador nuevo de gráfica llegue un martes a la sala.

5. Los informes

• Informes › Actualizaciones de Windows: estado por política, con los equipos en error, pendientes de reinicio o sin informar.
• Windows Update for Business reports (en Azure Monitor, con un área de trabajo de Log Analytics) da el detalle más fino: equipos que llevan días sin buscar actualizaciones, alertas por equipo y el porcentaje de cumplimiento por versión. Es la cifra que llevas a la reunión de riesgos.

6. El ticket: "este equipo no se ha actualizado desde julio"

MAD-PC-0233 aparece con la acumulativa de julio. Intune dice que el anillo está asignado y que el perfil se aplicó. Se mira de fuera hacia dentro:

1. ¿Quién manda en las actualizaciones de este equipo? Si está en co-gestión, en el portal de Intune el dispositivo muestra la autoridad de cada carga de trabajo, y en el equipo, C:\Windows\CCM\Logs\CoManagementHandler.log. Si Directivas de Windows Update sigue en Configuration Manager para su colección, Intune no manda: o lo parcheas por MECM o mueves la carga de trabajo (o su colección piloto).
2. ¿Hay una GPO de WSUS? Una directiva antigua que apunta a un servidor WSUS que ya no existe deja al equipo buscando en un sitio que no responde.
3. ¿Está funcionando el servicio? wuauserv deshabilitado por una herramienta de "optimización" o por un script antiguo.
4. ¿Ha llegado la directiva de MDM? Los valores del anillo tienen que estar en el registro de PolicyManager.

›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate -ErrorAction SilentlyContinue | Select-Object WUServer, WUStatusServerWUServer               WUStatusServer--------               --------------http://wsus01.contoso.local:8530 http://wsus01.contoso.local:8530›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU | Select-Object UseWUServer, NoAutoUpdateUseWUServer NoAutoUpdate----------- ------------          1            0›Get-ItemProperty HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update | Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdatesDeferQualityUpdatesPeriodInDays ConfigureDeadlineForQualityUpdates------------------------------- ----------------------------------                              3                                  3›Get-Service wuauserv, UsoSvc | Select-Object Name, Status, StartType

Aquí el caso está claro: la directiva de Intune ha llegado, pero una GPO sigue diciendo UseWUServer = 1 y el equipo busca en wsus01, que se apagó hace meses. La solución es quitar esa GPO de la OU de los equipos gestionados por Intune (o, en el período de transición, configurar el origen de las actualizaciones por clase para que la calidad venga de Windows Update), forzar gpupdate /force, sincronizar desde Configuración › Cuentas › Acceso al trabajo o la escuela › Información › Sincronizar y comprobar que busca.

Si ni la GPO ni MECM explican nada, Get-WindowsUpdateLog genera en el escritorio un WindowsUpdate.log legible con el error de la última búsqueda, y la mitad de las veces es falta de espacio en disco o una conexión que el proxy corta.

No metas un equipo en dos anillos "para que se actualice antes". Con dos políticas con valores distintos para el mismo ajuste, Intune marca conflicto y el equipo no aplica ninguno de los dos.

Siguientes pasos

• MECM / SCCM: empaquetado de aplicaciones y la guía de Windows 11 - Migrar los equipos de una sede cubren el otro lado: qué sigue en MECM durante la co-gestión y cómo se mueve una sede entera de versión.
• Intune: Windows, macOS, iOS y Android: el cumplimiento puede exigir una versión mínima del sistema operativo, y un equipo sin parchear acaba sin acceso por acceso condicional.
• Saber qué carga de trabajo está en cada lado y para qué colección es la mitad de este ticket. Es lo que lleva el repositorio 18-mecm-intune-comanagement-tracker de mi GitHub, y el informe de cumplimiento por equipo está en 02-intune-compliance-report.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.