Política de dispositivo de actualización del SO
-
La política de dispositivo de actualización del SO te permite implementar:
-
Las últimas actualizaciones del SO en dispositivos iOS supervisados.
La política de dispositivo de actualización del SO solo funciona para dispositivos supervisados inscritos en el Programa de Implementación de Apple.
-
Las últimas actualizaciones del SO y de las aplicaciones en dispositivos macOS inscritos en el Programa de Implementación de Apple que ejecutan macOS 10.11.5 y versiones posteriores.
-
Nota:
Actualmente, Apple limita las actualizaciones del SO solo a las versiones principales. Los administradores no pueden actualizar versiones secundarias. Para obtener más información, consulta este artículo en la documentación de Apple.
-
Las últimas actualizaciones del SO en dispositivos de escritorio y tabletas supervisados que ejecutan Windows 10 o Windows 11.
También puedes usar la política de actualización del SO para administrar la configuración de optimización de entrega para equipos de escritorio y tabletas que ejecutan Windows 10 (versión 1607 o posterior) o Windows 11. La optimización de entrega es un servicio de actualización de cliente punto a punto proporcionado por Microsoft para las actualizaciones de Windows 10 y Windows 11. El objetivo de la optimización de entrega es reducir los problemas de ancho de banda durante el proceso de actualización. La reducción del ancho de banda se logra compartiendo la tarea de descarga entre varios dispositivos. Para obtener más información, consulta el artículo de Microsoft, Configurar la optimización de entrega para las actualizaciones de Windows 10.
-
Las últimas actualizaciones del SO en dispositivos Android Enterprise administrados (Android 7.0 y versiones posteriores).
-
Importante:
-
-
La política de actualización del SO no te permite deshabilitar las actualizaciones por completo. Para retrasar las actualizaciones hasta 90 días, crea una política de restricción. Consulta Política de dispositivo de restricción.
-
Para agregar o configurar esta política, ve a Configurar > Políticas de dispositivo. Para obtener más información, consulta Políticas de dispositivo.
- ## Configuración de iOS
- 
- La siguiente configuración es para dispositivos iOS supervisados.
- **Opciones de actualización del SO:** Ambas opciones descargan las últimas actualizaciones del SO en los dispositivos supervisados según la **frecuencia de actualización del SO**. El dispositivo solicita a los usuarios que instalen las actualizaciones. La solicitud es visible después de que el usuario desbloquea el dispositivo.
- **Frecuencia de actualización del SO:** Determina la frecuencia con la que Citrix Endpoint Management comprueba y actualiza el SO del dispositivo. El valor predeterminado es **7** días.
-
Versión de las actualizaciones del SO: Especifica la versión que se utilizará para actualizar los dispositivos iOS supervisados. El valor predeterminado es Última versión.
- Última versión: Selecciona para actualizar a la última versión del SO.
- Solo versión específica: Selecciona para actualizar a una versión específica del SO y, a continuación, escribe el número de versión.
-
Configuración de macOS
-
Opciones de actualización de software: Controla cómo los dispositivos macOS comprueban e instalan las actualizaciones. Selecciona una de las siguientes opciones:
- Instalar automáticamente las actualizaciones de macOS: Las actualizaciones se descargan e instalan automáticamente.
- Descargar nuevas actualizaciones cuando estén disponibles: Las actualizaciones se descargan, pero requieren instalación manual.
- Buscar actualizaciones: Comprueba si existen actualizaciones, pero no las descarga ni las instala automáticamente.
- No buscar actualizaciones: No busca nuevas actualizaciones, ni las descarga ni las instala automáticamente. Los usuarios pueden seguir instalando las actualizaciones manualmente.
- Actualizaciones críticas: Permite la instalación automática de actualizaciones críticas de macOS.
- Instalar automáticamente las actualizaciones de xProtect, MRT y GateKeeper: Permite que los dispositivos macOS instalen automáticamente las actualizaciones del software de seguridad.
- Permitir la instalación de software de macOS de prelanzamiento: Permite a los usuarios instalar versiones de prelanzamiento del software de macOS.
- Instalar automáticamente las actualizaciones de las aplicaciones de App Store: Permite que las aplicaciones de App Store se actualicen automáticamente.
Obtener el estado de las acciones de actualización de iOS y macOS
- Para iOS y macOS, Citrix Endpoint Management no implementa la directiva Control OS Update en los dispositivos. En su lugar, Citrix Endpoint Management usa la directiva para enviar estos comandos MDM a los dispositivos:
- Programar análisis de actualización del SO: Solicita que el dispositivo realice un análisis en segundo plano para buscar actualizaciones del SO. (Opcional para iOS)
- Actualizaciones del SO disponibles: Consulta el dispositivo para obtener una lista de las actualizaciones del SO disponibles.
-
Programar actualización del SO: Solicita que el dispositivo realice actualizaciones de macOS, actualizaciones de aplicaciones o ambas. Así, el SO del dispositivo determina cuándo descarga o instala las actualizaciones del SO y de las aplicaciones.
-
La página Administrar > Dispositivos > Detalles del dispositivo (General) muestra el estado de los análisis de actualización del SO programados y disponibles, y las actualizaciones programadas de macOS y de aplicaciones.
-
-
Para obtener más detalles sobre el estado de las acciones de actualización, ve a la página Administrar > Dispositivos > Detalles del dispositivo (Grupos de entrega).
-
- Para obtener detalles como las actualizaciones del SO disponibles y el último intento de instalación, ve a la página Administrar > Dispositivos > Detalles del dispositivo (Propiedades).
-
-
Configuración de Windows para equipos de escritorio y tabletas
-
- Seleccionar modo de horas activas: Selecciona un modo para configurar las horas activas para realizar las actualizaciones del SO. Puedes especificar un rango de horas o una hora de inicio y fin. Después de seleccionar un modo, aparecen más opciones: Especificar rango máximo de horas activas o Inicio de horas activas y Fin de horas activas. No configurado permite que Windows realice actualizaciones del SO en cualquier momento. El valor predeterminado es No configurado.
- Comportamiento de actualización automática: Configura el comportamiento de descarga, instalación y reinicio del servicio de actualización de Windows en los dispositivos de los usuarios. El valor predeterminado es Instalación y reinicio automáticos.
- Notificar al usuario antes de descargar la actualización: Windows notifica a los usuarios cuando hay actualizaciones disponibles. Windows no descarga ni instala las actualizaciones automáticamente. Los usuarios deben iniciar las acciones de descarga e instalación.
- Instalación automática y notificación para programar el reinicio del dispositivo: Windows descarga las actualizaciones automáticamente en redes no medidas. Windows instala las actualizaciones durante el Mantenimiento automático cuando el dispositivo no está en uso y no funciona con batería. Si el Mantenimiento automático no puede instalar las actualizaciones durante dos días, Windows Update las instala inmediatamente. Si la instalación requiere un reinicio, Windows solicita al usuario que programe la hora de reinicio. El usuario tiene hasta siete días para programar el reinicio. Después de siete días, Windows fuerza el reinicio del dispositivo. Permitir al usuario controlar la hora de inicio reduce el riesgo de pérdida accidental de datos causada por aplicaciones que no se cierran correctamente al reiniciar.
- Instalación y reinicio automáticos: Configuración predeterminada. Windows descarga las actualizaciones automáticamente en redes no medidas. Windows instala las actualizaciones durante el Mantenimiento automático cuando el dispositivo no está en uso y no funciona con batería. Si el Mantenimiento automático no puede instalar las actualizaciones durante dos días, Windows Update las instala inmediatamente. Si la instalación requiere un reinicio, Windows reinicia automáticamente el dispositivo cuando está inactivo.
- Instalación y reinicio automáticos a una hora especificada: Cuando eliges esta opción, aparecen más configuraciones para que puedas especificar el día y la hora. El valor predeterminado es las 3:00 AM todos los días. La instalación automática se realiza a la hora especificada y el reinicio del dispositivo ocurre después de una cuenta atrás de 15 minutos. Cuando Windows está listo para reiniciar, un usuario que haya iniciado sesión puede interrumpir la cuenta atrás de 15 minutos para retrasar el reinicio.
- Instalación y reinicio automáticos sin control del usuario final: Windows descarga las actualizaciones automáticamente en redes no medidas. Windows instala las actualizaciones durante el Mantenimiento automático cuando el dispositivo no está en uso y no funciona con batería. Si el Mantenimiento automático no puede instalar las actualizaciones durante dos días, Windows Update las instala inmediatamente. Si la instalación requiere un reinicio, Windows reinicia automáticamente el dispositivo cuando está inactivo. Esta opción también establece el panel de control del usuario en solo lectura.
- Desactivar actualizaciones automáticas: Desactiva las actualizaciones automáticas de Windows en el dispositivo.
- Buscar actualizaciones de aplicaciones de Microsoft Update: Especifica si Windows acepta actualizaciones para otras aplicaciones de Microsoft del servicio de actualización de Microsoft. El valor predeterminado es No configurado.
- No configurado: Usa esta configuración si no quieres configurar el comportamiento. Windows no cambia la interfaz de usuario relacionada en los dispositivos de los usuarios. Los usuarios pueden aceptar o rechazar las actualizaciones de otras aplicaciones de Microsoft.
- Sí: Windows permite que las actualizaciones de aplicaciones se instalen desde el servicio de actualización de Windows. La configuración relacionada en el dispositivo del usuario está inactiva, por lo que el usuario no puede modificarla.
- No: Windows no permite que las actualizaciones de aplicaciones se instalen desde el servicio de actualización de Windows. La configuración relacionada en el dispositivo del usuario está inactiva, por lo que el usuario no puede modificarla.
-
-
Especificar rama de actualizaciones: Especifica qué rama del servicio de actualización de Windows usar para las actualizaciones. El valor predeterminado es No configurado.
- No configurado: Usa esta configuración si no quieres configurar el comportamiento. Windows no cambia la interfaz de usuario relacionada en los dispositivos de los usuarios. Los usuarios pueden elegir una rama del servicio de actualización de Windows.
- Rama actual: Windows recibe actualizaciones de la Rama actual. La configuración relacionada en el dispositivo del usuario está inactiva, por lo que el usuario no puede modificarla.
- Rama actual para empresas: Windows recibe actualizaciones de la Rama actual para empresas. La configuración relacionada en el dispositivo del usuario está inactiva, por lo que el usuario no puede modificarla.
- Configurar el número de días para aplazar las actualizaciones de características: Si está Activado, Windows aplaza las actualizaciones de características el número de días especificado y el usuario no puede cambiar la configuración. Si está Desactivado, el usuario puede cambiar el número de días para aplazar las actualizaciones de características. El valor predeterminado es Desactivado.
- Configurar el número de días para aplazar las actualizaciones de calidad: Si está Activado, Windows aplaza las actualizaciones de calidad el número de días especificado y el usuario no puede cambiar la configuración. Si está Desactivado, el usuario puede cambiar el número de días para aplazar las actualizaciones de calidad. El valor predeterminado es Desactivado.
-
Pausar actualizaciones de calidad: Especifica si se deben pausar las actualizaciones de calidad durante 35 días. El valor predeterminado es No configurado.
- No configurado: Usa esta configuración si no quieres configurar el comportamiento. Windows no cambia la interfaz de usuario (UI) relacionada en los dispositivos de usuario. Los usuarios pueden elegir pausar las actualizaciones de calidad durante 35 días.
- Sí: Windows pausa la instalación de las actualizaciones de calidad del Servicio de Windows Update durante 35 días. La configuración relacionada en el dispositivo de usuario está inactiva, por lo que el usuario no puede modificarla.
- No: Windows no pausa la instalación de las actualizaciones de calidad del Servicio de Windows Update. La configuración relacionada en el dispositivo de usuario está inactiva, por lo que el usuario no puede modificarla.
-
Permitir actualizaciones solo en la lista de aprobación: Especifica si se deben instalar solo las actualizaciones que aprueba un servidor MDM. Citrix Endpoint Management no admite la configuración de una lista de actualizaciones aprobadas. El valor predeterminado es No configurado.
- No configurado: Usa esta configuración si no quieres configurar el comportamiento. Windows no cambia la interfaz de usuario (UI) relacionada en los dispositivos de usuario. Los usuarios pueden elegir qué actualizaciones permitir.
- Sí, instalar solo actualizaciones aprobadas: Permite la instalación solo de las actualizaciones aprobadas.
- No, instalar todas las actualizaciones aplicables: Permite la instalación de cualquier actualización aplicable en el dispositivo.
-
Usar servidor de actualizaciones interno: Especifica si se deben obtener las actualizaciones del servicio de Windows Update o de un servidor de actualizaciones interno a través de Windows Server Update Services (WSUS). Si está Desactivado, los dispositivos usan el servicio de Windows Update. Si está Activado, los dispositivos se conectan al servidor WSUS especificado para obtener actualizaciones. El valor predeterminado es Desactivado.
- Aceptar actualizaciones firmadas por entidades distintas de Microsoft: Especifica si se deben aceptar las actualizaciones firmadas por entidades de terceros distintas de Microsoft. Esta función requiere que el dispositivo confíe en el certificado del proveedor de terceros. El valor predeterminado es Desactivado.
- Permitir conexión al servicio de actualizaciones de Microsoft: Permite que Windows Update en el dispositivo se conecte periódicamente al servicio de actualizaciones de Microsoft, incluso si el dispositivo está configurado para obtener actualizaciones de un servidor WSUS. El valor predeterminado es Activado.
- Servidor WSUS: Especifica la URL del servidor WSUS.
- Servidor de intranet alternativo para alojar actualizaciones: Especifica una URL de servidor de intranet alternativa para alojar actualizaciones y recibir información de informes.
- Configurar la optimización de distribución: Si se debe usar la optimización de distribución para las actualizaciones de Windows 10 y Windows 11. El valor predeterminado es Desactivado.
- Tamaño de la caché: El tamaño máximo de la caché de optimización de distribución. Un valor de 0 significa una caché ilimitada. El valor predeterminado es 10 GB.
- Permitir el almacenamiento en caché entre pares de VPN: Si se debe permitir que los dispositivos participen en el almacenamiento en caché entre pares cuando se conectan a la red de dominio a través de VPN. Cuando está Activado, el dispositivo puede descargar de o cargar a otros dispositivos de la red de dominio, ya sea en VPN o en la red de dominio corporativa. El valor predeterminado es Desactivado.
-
Método de descarga: El método de descarga que la optimización de distribución puede usar para las descargas de actualizaciones de Windows, aplicaciones y actualizaciones de aplicaciones. El valor predeterminado es HTTP combinado con emparejamiento detrás de la misma NAT. Las opciones son:
- Solo HTTP, sin emparejamiento: Deshabilita el almacenamiento en caché punto a punto, pero permite que la optimización de distribución descargue contenido de los servidores de Windows Update o de los servidores de Windows Server Update Services (WSUS).
-
HTTP combinado con emparejamiento detrás de la misma NAT: Habilita el uso compartido entre pares en la misma red. El servicio en la nube de optimización de distribución encuentra otros clientes que se conectan a Internet usando la misma IP pública que el cliente de destino. Estos clientes intentan conectarse a otros pares en la misma red usando su IP de subred privada.
- HTTP combinado con emparejamiento a través de un grupo privado: Selecciona automáticamente un grupo basado en el sitio de Active Directory Domain Services (AD DS) del dispositivo o el dominio al que se autentica el dispositivo. El emparejamiento se produce a través de subredes internas, entre dispositivos que pertenecen al mismo grupo, incluidos los dispositivos en oficinas remotas.
- HTTP combinado con emparejamiento de Internet: Habilita las fuentes de pares de Internet para la optimización de distribución.
- Modo de descarga simple sin emparejamiento: Deshabilita el uso de los servicios en la nube de optimización de distribución. La optimización de distribución cambia a este modo automáticamente en estas condiciones: cuando los servicios en la nube de optimización de distribución no están disponibles, no son accesibles o cuando el tamaño del archivo de contenido es inferior a 10 MB. En este modo, la optimización de distribución proporciona una experiencia de descarga fiable, sin almacenamiento en caché entre pares.
- No usar la optimización de distribución y usar BITS en su lugar: Permite a los clientes usar BranchCache. Para obtener más información, consulta el artículo de Microsoft, BranchCache.
- Ancho de banda máximo de descarga: El ancho de banda máximo de descarga en KB/segundo. El valor predeterminado es 0, lo que significa ajuste dinámico del ancho de banda.
-
Porcentaje del ancho de banda máximo de descarga: El ancho de banda máximo de descarga que la optimización de distribución puede usar en todas las actividades de descarga simultáneas. El valor es un porcentaje del ancho de banda de descarga disponible. El valor predeterminado es 0, lo que significa ajuste dinámico.
- Ancho de banda máximo de carga: El ancho de banda máximo de carga en KB/segundo. El valor predeterminado es 0. Un valor de 0 significa ancho de banda ilimitado.
- Límite mensual de datos de carga: El tamaño máximo en GB que la optimización de distribución puede cargar a pares de Internet en cada mes natural. El valor predeterminado es 20 GB. Un valor de 0 significa cargas mensuales ilimitadas.
Cómo Citrix Endpoint Management gestiona las actualizaciones aprobadas para dispositivos de escritorio y tabletas Windows
Puedes especificar si instalar solo las actualizaciones aprobadas. Citrix Endpoint Management gestiona las actualizaciones de la siguiente manera:
- Para una actualización de seguridad, como las definiciones de Windows Defender, Citrix Endpoint Management aprueba automáticamente la actualización y envía un comando de instalación al dispositivo durante la siguiente sincronización.
-
Para todos los demás tipos de actualización, Citrix Endpoint Management espera tu aprobación antes de enviar el comando de instalación al dispositivo.
- #### Requisitos previos - Debes cargar el certificado raíz de Microsoft en el servidor de Citrix Endpoint Management como un certificado de servidor.
- Para obtener información sobre cómo importar un certificado de servidor, consulta «Para importar un certificado» en Certificados y autenticación.
Para instalar solo las actualizaciones aprobadas
- 1. Ve a **Configurar > Directivas de dispositivo** y abre la directiva de dispositivo de actualización del SO.
- Cambia la configuración Permitir actualizaciones solo en la lista de aprobación a Sí, instalar solo las actualizaciones aprobadas.
Para aprobar una actualización
-
En la directiva de dispositivo de actualización del SO, desplázate hacia abajo hasta la tabla Actualizaciones pendientes. Citrix Endpoint Management obtiene las actualizaciones que aparecen en la tabla de los dispositivos.
-
Busca actualizaciones con un Estado de aprobación de Pendiente.
-
Haz clic en la fila de la actualización que quieres aprobar y, a continuación, haz clic en el icono de edición de esa fila (en la columna Agregar).
-
Para aprobar la actualización, haz clic en Aprobado y, a continuación, haz clic en Guardar.
Nota:
Aunque la tabla Actualizaciones pendientes incluye comandos para agregar y eliminar, esos comandos no producen ningún cambio en la base de datos de Citrix Endpoint Management. La edición del estado de aprobación es la única acción disponible para las actualizaciones pendientes.
Para ver el estado de las actualizaciones de Windows de un dispositivo, ve a Administrar > Dispositivos > Propiedades.
Cuando se publica una actualización, aparece el ID de actualización en la primera columna con un estado (Correcto o Fallido). Puedes crear un informe o una acción automatizada para los dispositivos con actualizaciones fallidas. También aparece la fecha y la hora de la publicación.
Cómo funcionan las actualizaciones para implementaciones iniciales y posteriores
El efecto de la directiva de dispositivo de actualización del SO en los dispositivos difiere para una implementación inicial en comparación con una implementación después de que los dispositivos reciban actualizaciones.
-
Para que Citrix Endpoint Management consulte un dispositivo en busca de actualizaciones, debes configurar y asignar a un grupo de entrega al menos una directiva de dispositivo de actualización del SO.
Citrix Endpoint Management consulta un dispositivo en busca de actualizaciones instalables durante una sincronización MDM del dispositivo.
- Después de que se implemente la primera directiva de dispositivo de actualización del SO, la lista de actualizaciones de Windows estará vacía porque ningún dispositivo ha informado todavía.
-
Cuando los dispositivos del grupo de entrega asignado informan de las actualizaciones, Citrix Endpoint Management guarda esas actualizaciones en su base de datos. Para aprobar las actualizaciones informadas, modifica la directiva de nuevo.
La aprobación de la actualización se aplica solo a la directiva que estás modificando. Las actualizaciones aprobadas en una directiva no aparecen como aprobadas en otra directiva. La próxima vez que un dispositivo se sincronice, Citrix Endpoint Management envía un comando al dispositivo para indicar que la actualización está aprobada.
-
Para una segunda directiva de dispositivo de actualización del SO, la lista de actualizaciones contiene las actualizaciones almacenadas en la base de datos de Citrix Endpoint Management. Aprueba las actualizaciones para cada directiva.
Durante cada sincronización del dispositivo, Citrix Endpoint Management consulta el dispositivo para conocer el estado de la actualización aprobada hasta que el dispositivo informa de que se ha instalado una actualización. Para las actualizaciones que requieren un reinicio después de una instalación, Citrix Endpoint Management consulta el estado de la actualización hasta que el dispositivo informa de que la actualización se ha instalado.
- Citrix Endpoint Management no restringe las actualizaciones que se muestran en la página de configuración de la directiva por grupo de entrega o dispositivo. Todas las actualizaciones informadas por los dispositivos aparecen en la lista.
Configuración de Android Enterprise
-
Directiva de actualización del sistema: Determina cuándo se producen las actualizaciones del sistema.
- Automática: Instala una actualización cuando está disponible.
-
Con ventana: Instala una actualización automáticamente dentro de la ventana de mantenimiento diaria especificada en la Hora de inicio y la Hora de finalización.
- Hora de inicio: El inicio de la ventana de mantenimiento, medido como el número de minutos (0 - 1440) desde la medianoche en la hora local del dispositivo. El valor predeterminado es 0.
- Hora de finalización: El final de la ventana de mantenimiento, medido como el número de minutos (0 - 1440) desde la medianoche en la hora local del dispositivo. El valor predeterminado es 120.
- Posponer: Permite a un usuario posponer una actualización hasta 30 días.
- Predeterminada: Establece la directiva de actualización en el valor predeterminado del sistema.
-
Permitir actualización inalámbrica: Si está deshabilitada, los dispositivos de los usuarios no pueden recibir actualizaciones de software de forma inalámbrica. El valor predeterminado es Activado.
-
Período de congelación: Si está Activado, las actualizaciones del SO no se instalan en el dispositivo durante el rango de fechas especificado para las directivas de actualización Automática, Posponer y Con ventana. Solo se puede establecer un período de congelación para un dispositivo a la vez. La duración del período de congelación no puede exceder los 90 días.
- Fecha de inicio/Fecha de finalización: El rango de fechas en el que no se instalan las actualizaciones del SO si el Período de congelación está habilitado.
-
Período de congelación: Si está Activado, las actualizaciones del SO no se instalan en el dispositivo durante el rango de fechas especificado para las directivas de actualización Automática, Posponer y Con ventana. Solo se puede establecer un período de congelación para un dispositivo a la vez. La duración del período de congelación no puede exceder los 90 días.
- Fecha de inicio/Fecha de finalización: El rango de fechas en el que no se instalan las actualizaciones del SO si el Período de congelación está habilitado.