关键在于用组策略实现静默更新：启用“自动下载并计划安装”（模式4），设定低峰安装时间、严格配置活动时间、逐项屏蔽重启提示，并执行gpupdate /force及重启生效。

要让全网终端自动完成补丁更新、不弹窗、不打扰用户，关键不是“关掉提示”，而是用组策略把整个更新流程纳入可控节奏——从下载、安装到重启，全部按预设规则静默执行。

设定自动更新模式与计划安装时间

必须启用“自动下载并计划安装”（模式4），这是实现静默安装的前提。仅选“自动下载”会导致补丁长期挂起，不触发安装；选“通知下载和安装”则必然弹窗。

• 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验
• 启用“配置自动更新”，选择“4 - 自动下载并计划安装”
• 在“计划安装时间”中指定一个低峰时段（如凌晨2点），并勾选“将此时间应用于所有计算机”
• 若需按月调度（如每月第二个周二），可配合“计划安装日期”策略，但注意该设置对质量更新无效，仅影响功能更新

划定活动时间，阻止非工作时段重启

Windows 默认依赖“空闲检测”判断是否可重启，但不可靠。启用“活动时间”后，系统会严格遵守你定义的时间段，即使用户已登录，只要在活动时间内就不会重启。

• 启用“在使用时段关闭针对更新的自动重启”
• 设置“活动小时数”（如10）和“开始时间”（如上午8:00），覆盖实际办公时段
• 该策略优先级高于“有用户登录时不重启”，能真正避免午休或下班前被强制中断

关闭重启提示与强制行为

静默安装 ≠ 静默重启。很多失败源于安装完成后弹出倒计时、登录页强刷重启按钮。这些必须逐项屏蔽：

• 启用“对于已登录的用户，不要显示‘重启现在’对话框”
• 启用“不要在登录页面显示‘重启现在’对话框”
• 启用“有用户登录时，对于计划的自动更新安装不自动重启”（路径在 Windows 更新 → Windows 更新代理）
• 禁用“自动更新重新启动截止期限”，否则系统会在截止后无视活动时间强行重启

验证与生效要点

策略配置完不等于终端立刻执行。需确保客户端刷新并满足触发条件：

• 终端执行 gpupdate /force 强制拉取最新策略
• 重启计算机一次——这是补丁安装动作真正触发的必要条件（尤其首次应用该GPO时）
• 检查事件查看器 → Windows 日志 → System，筛选来源为“Wininit”或“WindowsUpdateClient”的条目，确认安装与重启行为是否符合预期