北京
公司电脑500台，每月补丁日一到就加班到凌晨？这篇把批量补丁+软件分发的完整流程一次讲清楚，用ManageEngine Endpoint Central做演示（免费版支持25台，中小环境可以直接拿真实机器练手）。
一、为什么手动打补丁必死
500台终端，Windows每月第二个周二的补丁日，平均每台机器3-5个补丁。手动路径：远程桌面→Windows Update→等待→重启→下一台。一台10分钟，500台就是80多个小时——还没算部分机器更新失败的返工。
而现实是：不打补丁的机器就是裸奔。勒索病毒（WannaCry类）专门扫445端口未打补丁的机器，2017年那一轮中招的基本都是没打MS17-010的。
所以批量补丁管理的核心诉求：自动检测→自动分发→错峰重启→失败自动重试→全程报表。
二、环境准备
plaintext
1 服务端：Windows Server 2016+，4核8G起（500台建议8核16G）
2 数据库：内置PostgreSQL即可，500台规模无需独立DB
3 网络：服务端到终端445/135/139端口可达（域环境更顺）
安装包从官网下载，装完控制台第一次登录时记得配置：
properties
1 # 计算机名解析方式（域环境用AD，工作组用IP段扫描）
2 ComputerDiscovery = AD / IP Range
3 # 管理凭据：建议域管理员或独立管理账号
4 AdminCredential = DOMAIN\\patch_admin
三、批量打补丁流程（核心步骤）
Step 1 终端纳入管控
AD环境下勾选OU自动发现，工作组环境用IP段扫描。500台机器纳入管理通常半天完成，注意老旧XP/Win7机器要先装代理客户端。
Step 2 补丁库同步
控制台→补丁管理→补丁数据库，同步微软补丁源。建议设置：每月补丁日后48小时再全量分发（等微软修掉补丁本身的bug）。
Step 3 测试组分发
plaintext
1 规则：先测试组分发
2 测试组：IT部20台（自家机器先趟雷）
3 等待：48小时无蓝屏/无兼容问题
4 再全量分发：按部门错峰，每次200台
Step 4 自动化策略配置
补丁分发策略里配三个关键项：
- 缺失补丁自动检测周期：每日一次
- 分发窗口：凌晨2-6点（避开上班时间）
- 重启策略：强制重启前15分钟弹窗预警，用户可延迟一次（最多8小时）
Step 5 报表验收
补丁管理→报表→「缺失补丁分布」「部门合规率」。把「补丁覆盖率」报表设为每月自动发送到老板邮箱——这是向管理层证明IT价值的最好材料。
参考量级：官网公示的英皇集团案例，部署后补丁覆盖率从65%提升到93%，IT人力成本降低30%。（来源：智东西2026年4月报道）
四、批量装软件：OS部署+软件分发
新采购100台电脑，装机怎么办？
方案A：OS镜像部署（裸机）
- 标准机装好系统+基础软件，sysprep封装
- 控制台创建镜像任务，通过PXE网络启动批量推送
- 100台机器插网线开机自动装完，全程无人值守
方案B：软件分发（已有系统）
- 把安装包（exe/msi）上传软件库
- 支持安装前/后执行脚本：
batch
1 REM 安装前脚本示例：清理旧版本
2 if exist "C:\\Program Files\\OldApp" rmdir /s /q "C:\\Program Files\\OldApp"
3 REM 安装后脚本示例：写注册表关闭自启
4 reg add "HKLM\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run" /v OldApp /f /d ""
3. 分发策略勾选「静默安装参数」（每个软件的静默参数官方文档有清单）
五、常见坑
- Win7机器补丁装不上：先确认代理客户端版本，老系统要单独装旧版代理
- 分发卡在99%：检查目标机磁盘空间和445端口
- 重启风暴：务必配置错峰重启，否则500台同时重启交换机扛不住
- 免费版边界：25台以内免费用，超了按需要升级——先把管理流程跑顺，规模是后面的事
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
