核心是将更新从“终端自发”转为“中心可控”：指定内网wsus源、启用模式4自动下载并计划安装、设定低峰安装时间、严格配置活动时间、逐项屏蔽重启提示，并执行gpupdate /force及重启生效。
用组策略实现企业级终端安全补丁管理，核心是把更新行为从“终端自发”转为“中心可控”——不是让每台电脑自己连微软、自己决定何时装、装完要不要重启，而是通过域控统一指定源、设定节奏、屏蔽干扰、保障业务不中断。
指定内网更新源（WSUS）
所有终端必须指向内部 WSUS 服务器，否则无法集中审批、无法分批上线、也无法规避公网更新带来的时间与内容不可控问题。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 指定 Intranet Microsoft 更新服务位置
- 启用后填写 WSUS 地址，例如：http://wsus.corp:8530
- 同时勾选“设置统计服务器”，填入相同地址，确保安装状态能回传到控制台
启用静默自动更新并锁定安装时间
仅开启自动下载不行，必须选“自动下载并计划安装”（模式4），再配合固定时间点，才能真正实现无人值守、不弹窗、不挂起。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 配置自动更新
- 选择4 - 自动下载并计划安装
- 在“计划安装时间”中设为低峰时段（如凌晨3:00），务必勾选“将此时间应用于所有计算机”
- 若需按月调度（如每月第二个周二），可启用“计划安装日期”，但注意该设置仅对功能更新生效
严格管控重启行为，避免业务中断
静默安装≠静默重启。用户正在开会、处理报表时被强制重启，往往源于策略未覆盖“提示层”和“执行层”两个维度。
- 启用“在使用时段关闭针对更新的自动重启”，设置活动时间为实际办公时段（如上午8:00起10小时）
- 启用三项关键屏蔽策略：
– 对于已登录的用户，不要显示‘重启现在’对话框
– 不要在登录页面显示‘重启现在’对话框
– 有用户登录时，对于计划的自动更新安装不自动重启（该策略位于 Windows 更新 → Windows 更新代理） - 禁用“自动更新重新启动截止期限”，防止系统在截止后无视活动时间强行重启
策略下发与验证要点
组策略配置完成只是第一步，终端是否真正按预期执行，取决于刷新机制与触发条件是否到位。
- 域内终端执行 gpupdate /force 强制拉取最新策略
- 首次应用该 GPO 时，必须重启一次计算机，补丁安装动作才可能真正触发
- 检查事件查看器 → Windows 日志 → System，筛选来源为 WindowsUpdateClient 或 Wininit 的条目，确认安装与重启是否发生在设定窗口内
