在 Azure Stack Hub 上的 Azure 应用服务中更新 Windows OS

Azure Stack Hub资源提供程序上的Azure 应用服务由各种角色组成，每个角色在Windows Server实例上运行。在Azure Stack Hub更新应用服务时，更新过程将应用最新的Windows Server更新包和服务堆栈。

控制来自Windows 更新的修补程序的频率

Azure Stack Hub管理员可以从三种模式中进行选择，以搜索并应用基础Windows OS 的更新。

自动：启用Windows 更新服务。 Windows 更新确定更新的方式和时间。
已管理：禁用 Windows 更新服务。 Azure 应用服务会在各个角色实例的 OnStart 期间执行一次 Windows 更新周期。每当平台或管理员重新启动实例，或在 Azure Stack Hub 上的应用服务更新期间，此周期都会运行。
已禁用：禁用Windows 更新服务。使用 Azure Stack Hub 上的 Azure 应用服务发布版本中包含的 KB 更新 Windows。

若要更改操作模式，请执行以下步骤：

Note

这些步骤不包括支持文件服务器和SQL Server基础结构，因为此基础结构是客户管理的和支持。

默认情况下，Windows Server使用公共Microsoft更新服务来获取更新包。某些客户已使用或想要使用 Windows Server Update Services，以在其网络中提供已部署的基础结构的更新包。

若要将 WSUS 用作应用服务 RP 角色的 Windows 更新源，必须满足以下要求：

Azure Stack Hub必须在 Azure Stack Hub 版本 2022 H1 或更高版本上运行Azure 应用服务。如果Azure Stack Hub运行旧版本，请在设置此配置之前对其进行升级。
Windows Server更新服务必须已设置和配置。
所有客户端（应用服务角色实例 - 控制器、管理服务器、前端、发布者和辅助角色）都必须使用 HTTPS 连接到 WSUS 服务点（默认值为 8531）。

Important

此配置不会更改应用服务角色上Windows 更新的行为。它仅更改Windows Server更新包的源。

按照以下步骤在应用服务角色上配置 Microsoft 更新，使其使用 WSUS 作为 Microsoft 更新包的来源。

在Azure Stack Hub管理门户中，转到网络安全组并查看 ControllersNSG 网络安全组。
默认情况下，所有应用服务基础结构角色都禁用远程桌面。将 Inbound_Rdp_3389 规则操作更改为 “允许 访问”。
转到包含应用服务资源提供程序部署的资源组。默认情况下，名称为 AppService。<region>. 连接到 CN0-VM。
启动 Web 云管理控制台。
转到 “设置” 并选择 AlternativeWSUSServer 设置。
在菜单栏中选择 “编辑设置” ，在 https://< WSUSEndpoint>：<WSUS 服务端口>的窗体中输入 WSUS 终结点，然后选择“ 确定 ”以应用。
断开 RDP 会话的连接。
在Azure Stack Hub管理员门户中，返回到 ControllersNSG 网络安全组。
更改 Inbound_Rdp_3389 规则以拒绝访问。
转到 WorkerNSG 网络安全组。
添加新的 出站安全规则 ，以允许访问 WSUS 服务终结点。
- 源：任意
- 源端口范围： *
- 目的地：IP 地址
- 目标 IP 地址范围：WSUS 服务终结点的 IP 范围
- 目标端口范围：8531
- 协议：任意
- 操作：允许
- 优先级：760
- 名称：Outbound_Allow_Outbound_to_WSUS