Intune update rings: deadlines and expedite

Qué vas a conseguir

Los equipos Windows gestionados por Intune reciben las actualizaciones mensuales en olas (primero IT, luego la mayoría, al final los puestos que no pueden fallar), con plazos que garantizan que se instalan aunque el usuario no reinicie nunca, la versión de Windows controlada, una forma de acelerar un parche de día cero y los controladores aprobados. Y el método para el equipo que lleva tres meses sin actualizar.

Todo esto es Windows Update for Business: Intune no distribuye los parches, le dice a cada equipo cuándo y cómo descargarlos de Windows Update. En el centro de administración de Intune está en Dispositivos › Administrar actualizaciones › Actualizaciones de Windows, con pestañas para anillos, características, calidad y controladores.

Antes de empezar

Rol de Intune Administrator o un rol personalizado con permisos sobre actualizaciones de software.
Grupos de Entra ID de dispositivos para cada anillo: GD-WU-Piloto, GD-WU-General, GD-WU-Trading. Que un equipo esté en un solo anillo.
Para las políticas de características, aceleradas y de controladores: licencia de Windows que las incluya (Windows Enterprise E3/E5, Microsoft 365 E3/E5, Business Premium y equivalentes) y en Administración de inquilinos › Conectores y tokens › Datos de Windows, activadas las características que requieren datos de diagnóstico de Windows. Sin eso, la política se crea y los informes se quedan vacíos.
Si hay co-gestión con MECM: saber en qué posición está la carga de trabajo Directivas de Windows Update. Si está en Configuration Manager, nada de esta guía aplica a esos equipos.

1. Diseñar los anillos

Anillo	Quién	Aplazamiento calidad	Plazo calidad	Gracia	Reinicio
Piloto	IT y 2-3 usuarios por departamento	0 días	2 días	1 día	Automático fuera de horas activas
General	El resto de oficina	3 días	3 días	2 días	Automático fuera de horas activas
Trading	Puestos de sala, críticos	7 días	3 días	2 días	Horas activas amplias, reinicio el fin de semana

El aplazamiento cuenta desde que Microsoft publica el parche; el plazo cuenta desde que el equipo lo ve; el periodo de gracia son los días mínimos que tiene el usuario, una vez vencido el plazo, antes de que el reinicio sea forzoso (pensado para el equipo que estuvo apagado durante el plazo). Juntos dicen "como muy tarde, esto está instalado en N días".
Las horas activas evitan reinicios en horario de trabajo hasta que se cumple el plazo. En los puestos de trading se ponen amplias (por ejemplo, de 6:00 a 22:00) y el plazo se calcula para que caiga en fin de semana.
El anillo de trading no es "no actualizar": es actualizar cuando el piloto ya ha probado las aplicaciones de mercado.

Intune · Dispositivos › Administrar actualizaciones › Actualizaciones de Windows › Anillos de actualización › Crear

NombreWU · Anillo General

Período de aplazamiento de actualizaciones de calidad (días)3

Período de aplazamiento de actualizaciones de características (días)0

Controladores de WindowsPermitir

Comportamiento de las actualizaciones automáticasRestablecer valores predeterminados

Opción para pausar las actualizaciones de WindowsDeshabilitar

Usar la configuración de fecha límitePermitir

Fecha límite para actualizaciones de calidad3 · Período de gracia: 2

Reinicio automático antes de la fecha límiteSí

AsignacionesIncluir: GD-WU-General

Crear

Si usas una política de actualizaciones de características (sección 2), el aplazamiento de características del anillo va a 0: la versión la decide la política, y dos sitios decidiendo lo mismo es el origen de muchos "no sé por qué se ha actualizado".

2. La versión de Windows: política de actualizaciones de características

En Actualizaciones de características › Crear eliges la versión en la que quieres que se queden los equipos (por ejemplo, Windows 11, versión 25H2). Un equipo con una versión anterior sube a esa y no pasa de ahí hasta que cambies la política. Se puede ofrecer cuanto antes, desde una fecha o en un despliegue gradual por grupos de días.

3. El parche urgente: actualizaciones aceleradas

Cuando sale un parche fuera de ciclo para una vulnerabilidad explotada, no esperas al aplazamiento del anillo. En Actualizaciones de calidad creas una política de aceleración: eliges el parche por su fecha de publicación (se ofrecen las dos actualizaciones de seguridad más recientes) y los días antes de forzar el reinicio, de 0 a 2.

Solo lo reciben los equipos que no tienen ese parche o uno más nuevo.
Con 0 días, el equipo reinicia en cuanto termina con un aviso corto: no para la sala de trading en horario de mercado.
Pasa por encima del aplazamiento del anillo, pero no lo cambia: cuando el parche está en todos, se elimina la política y los anillos siguen como estaban.

4. Controladores

Por defecto, los controladores llegan con las actualizaciones de calidad si el anillo los permite. Una política de actualizaciones de controladores cambia eso: Intune enseña qué controladores aplican a los equipos asignados y los apruebas tú (manual) o se aprueban solos tras unos días (automático). En equipos con hardware delicado (puestos de cuatro monitores con su tarjeta gráfica, bases de conexión), la aprobación manual evita que un controlador nuevo de gráfica llegue un martes a la sala.

5. Los informes

Informes › Actualizaciones de Windows: estado por política, con los equipos en error, pendientes de reinicio o sin informar.
Windows Update for Business reports (en Azure Monitor, con un área de trabajo de Log Analytics) da el detalle más fino: equipos que llevan días sin buscar actualizaciones, alertas por equipo y el porcentaje de cumplimiento por versión. Es la cifra que llevas a la reunión de riesgos.

6. El ticket: "este equipo no se ha actualizado desde julio"

MAD-PC-0233 aparece con la acumulativa de julio. Intune dice que el anillo está asignado y que el perfil se aplicó. Se mira de fuera hacia dentro:

¿Quién manda en las actualizaciones de este equipo? Si está en co-gestión, en el portal de Intune el dispositivo muestra la autoridad de cada carga de trabajo, y en el equipo, C:\Windows\CCM\Logs\CoManagementHandler.log. Si Directivas de Windows Update sigue en Configuration Manager para su colección, Intune no manda: o lo parcheas por MECM o mueves la carga de trabajo (o su colección piloto).
¿Hay una GPO de WSUS? Una directiva antigua que apunta a un servidor WSUS que ya no existe deja al equipo buscando en un sitio que no responde.
¿Está funcionando el servicio? wuauserv deshabilitado por una herramienta de "optimización" o por un script antiguo.
¿Ha llegado la directiva de MDM? Los valores del anillo tienen que estar en el registro de PolicyManager.

PowerShell · en el equipo afectado (como administrador)

›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate -ErrorAction SilentlyContinue | Select-Object WUServer, WUStatusServerWUServer               WUStatusServer--------               --------------http://wsus01.contoso.local:8530 http://wsus01.contoso.local:8530›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU | Select-Object UseWUServer, NoAutoUpdateUseWUServer NoAutoUpdate----------- ------------          1            0›Get-ItemProperty HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update | Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdatesDeferQualityUpdatesPeriodInDays ConfigureDeadlineForQualityUpdates------------------------------- ----------------------------------                              3                                  3›Get-Service wuauserv, UsoSvc | Select-Object Name, Status, StartType

Aquí el caso está claro: la directiva de Intune ha llegado, pero una GPO sigue diciendo UseWUServer = 1 y el equipo busca en wsus01, que se apagó hace meses. La solución es quitar esa GPO de la OU de los equipos gestionados por Intune (o, en el período de transición, configurar el origen de las actualizaciones por clase para que la calidad venga de Windows Update), forzar gpupdate /force, sincronizar desde Configuración › Cuentas › Acceso al trabajo o la escuela › Información › Sincronizar y comprobar que busca.

Si ni la GPO ni MECM explican nada, Get-WindowsUpdateLog genera en el escritorio un WindowsUpdate.log legible con el error de la última búsqueda, y la mitad de las veces es falta de espacio en disco o una conexión que el proxy corta.

No metas un equipo en dos anillos "para que se actualice antes". Con dos políticas con valores distintos para el mismo ajuste, Intune marca conflicto y el equipo no aplica ninguno de los dos.

Siguientes pasos

MECM / SCCM: empaquetado de aplicaciones y la guía de Windows 11 - Migrar los equipos de una sede cubren el otro lado: qué sigue en MECM durante la co-gestión y cómo se mueve una sede entera de versión.
Intune: Windows, macOS, iOS y Android: el cumplimiento puede exigir una versión mínima del sistema operativo, y un equipo sin parchear acaba sin acceso por acceso condicional.
Saber qué carga de trabajo está en cada lado y para qué colección es la mitad de este ticket. Es lo que lleva el repositorio 18-mecm-intune-comanagement-tracker de mi GitHub, y el informe de cumplimiento por equipo está en 02-intune-compliance-report.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

Windows devices managed by Intune get the monthly updates in waves (IT first, then the majority, last the desks that can't fail), with deadlines that guarantee installation even if the user never restarts, the Windows version under control, a way to expedite a zero-day patch, and approved drivers. And the method for the device that hasn't updated in three months.

All of this is Windows Update for Business: Intune doesn't distribute the patches, it tells each device when and how to download them from Windows Update. In the Intune admin center it lives under Devices › Manage updates › Windows updates, with tabs for rings, feature, quality and driver updates.

Before you start

The Intune Administrator role or a custom role with software update permissions.
Entra ID device groups for each ring: GD-WU-Pilot, GD-WU-Broad, GD-WU-Trading. Each device in one ring only.
For feature, expedited and driver policies: a Windows licence that includes them (Windows Enterprise E3/E5, Microsoft 365 E3/E5, Business Premium and equivalents) and, under Tenant administration › Connectors and tokens › Windows data, the features that require Windows diagnostic data turned on. Without it, the policy gets created and the reports stay empty.
If there is co-management with MECM: know where the Windows Update policies workload sits. If it is on Configuration Manager, nothing in this guide applies to those devices.

1. Designing the rings

Ring	Who	Quality deferral	Quality deadline	Grace	Restart
Pilot	IT and 2-3 users per department	0 days	2 days	1 day	Automatic outside active hours
Broad	The rest of the office	3 days	3 days	2 days	Automatic outside active hours
Trading	Trading floor desks, critical	7 days	3 days	2 days	Wide active hours, restart at the weekend

The deferral counts from when Microsoft releases the patch; the deadline counts from when the device sees it; the grace period is the minimum days the user gets, once the deadline has passed, before the restart is forced (meant for the device that was off during the deadline). Together they say "at the latest, this is installed in N days".
Active hours prevent restarts during working time until the deadline is reached. On trading desks they are set wide (for example, 6:00 to 22:00) and the deadline is worked out so it lands at the weekend.
The trading ring is not "don't update": it is updating once the pilot has tested the market applications.

Intune · Devices › Manage updates › Windows updates › Update rings › Create

NameWU · Broad ring

Quality update deferral period (days)3

Feature update deferral period (days)0

Windows driversAllow

Automatic update behaviorReset to default

Option to pause Windows updatesDisable

Use deadline settingsAllow

Deadline for quality updates3 · Grace period: 2

Auto reboot before deadlineYes

AssignmentsInclude: GD-WU-Broad

Create

If you use a feature update policy (section 2), the ring's feature deferral goes to 0: the policy decides the version, and two places deciding the same thing is the source of many "I don't know why it upgraded".

2. The Windows version: feature update policy

Under Feature updates › Create you choose the version you want devices to stay on (for example, Windows 11, version 25H2). A device on an earlier version moves up to that one and goes no further until you change the policy. It can be offered as soon as possible, from a date, or as a gradual rollout in groups of days.

3. The urgent patch: expedited updates

When an out-of-band patch ships for an exploited vulnerability, you don't wait for the ring's deferral. Under Quality updates you create an expedite policy: you pick the patch by its release date (the two most recent security updates are offered) and the days before a restart is forced, from 0 to 2.

Only devices without that patch or a newer one receive it.
With 0 days, the device restarts as soon as it finishes, with a short warning: not for the trading floor during market hours.
It overrides the ring's deferral but doesn't change it: once the patch is everywhere, you delete the policy and the rings carry on as before.

4. Drivers

By default, drivers arrive with quality updates if the ring allows them. A driver updates policy changes that: Intune shows which drivers apply to the assigned devices and you approve them (manual) or they approve themselves after some days (automatic). On devices with sensitive hardware (four-monitor desks with their graphics card, docking stations), manual approval keeps a new graphics driver from reaching the trading floor on a Tuesday.

5. The reports

Reports › Windows updates: status per policy, with devices in error, pending restart or not reporting.
Windows Update for Business reports (in Azure Monitor, with a Log Analytics workspace) gives the finest detail: devices that haven't scanned for updates in days, per-device alerts and the compliance percentage by version. It is the figure you take to the risk meeting.

6. The ticket: "this device hasn't updated since July"

MAD-PC-0233 shows the July cumulative. Intune says the ring is assigned and the profile applied. Look from the outside in:

Who is in charge of updates on this device? If it is co-managed, the Intune portal shows each workload's authority for the device, and on the device, C:\Windows\CCM\Logs\CoManagementHandler.log. If Windows Update policies is still on Configuration Manager for its collection, Intune isn't in charge: either patch it through MECM or move the workload (or its pilot collection).
Is there a WSUS GPO? An old policy pointing at a WSUS server that no longer exists leaves the device scanning a place that doesn't answer.
Is the service running? wuauserv disabled by an "optimisation" tool or an old script.
Has the MDM policy arrived? The ring's values must be in the PolicyManager registry.

PowerShell · on the affected device (as administrator)

›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate -ErrorAction SilentlyContinue | Select-Object WUServer, WUStatusServerWUServer               WUStatusServer--------               --------------http://wsus01.contoso.local:8530 http://wsus01.contoso.local:8530›Get-ItemProperty HKLM:\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU | Select-Object UseWUServer, NoAutoUpdateUseWUServer NoAutoUpdate----------- ------------          1            0›Get-ItemProperty HKLM:\SOFTWARE\Microsoft\PolicyManager\current\device\Update | Select-Object DeferQualityUpdatesPeriodInDays, ConfigureDeadlineForQualityUpdatesDeferQualityUpdatesPeriodInDays ConfigureDeadlineForQualityUpdates------------------------------- ----------------------------------                              3                                  3›Get-Service wuauserv, UsoSvc | Select-Object Name, Status, StartType

Here the case is clear: the Intune policy has arrived, but a GPO still says UseWUServer = 1 and the device scans wsus01, which was switched off months ago. The fix is to remove that GPO from the OU of Intune-managed devices (or, during the transition, configure the update source per class so quality updates come from Windows Update), run gpupdate /force, sync from Settings › Accounts › Access work or school › Info › Sync and check that it scans.

If neither the GPO nor MECM explains anything, Get-WindowsUpdateLog writes a readable WindowsUpdate.log to the desktop with the error from the last scan, and half the time it is low disk space or a connection the proxy cuts.

Don't put a device in two rings "so it updates sooner". With two policies holding different values for the same setting, Intune flags a conflict and the device applies neither.

Next steps

MECM / SCCM: app packaging and the Windows 11 - Migrating a site's devices guide cover the other side: what stays in MECM during co-management and how a whole site moves version.
Intune: Windows, macOS, iOS and Android: compliance can require a minimum OS version, and an unpatched device ends up without access through Conditional Access.
Knowing which workload sits on which side, and for which collection, is half of this ticket. That is what the 18-mecm-intune-comanagement-tracker repository on my GitHub keeps track of, and the per-device compliance report is in 02-intune-compliance-report.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →