要让补丁分发后终端按需重启，需协同时间控制、用户状态判断与重启执行：统一设凌晨2:00为计划安装时间，启用活动时间（8:00–18:00）避免干扰，设30分钟重启截止期限，并屏蔽所有重启提示，最后执行gpupdate /force生效。
要让补丁分发后终端按需重启，不能只依赖“自动安装”开关，关键在于把时间控制、用户状态判断和重启执行三者拧成一股绳——装完不立刻重启，但也不能无限期挂起；用户在岗时不打断，空闲时段又得稳准执行。
统一计划安装时间，锁定低峰窗口
所有终端必须使用同一安装时间点，否则调度就失去意义。推荐设为凌晨2:00，避开业务高峰且便于集中监控。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验
- 启用“配置自动更新”，选模式4（自动下载并计划安装）
- 填入“计划安装时间”为2（即凌晨2点），勾选“将此时间应用于所有计算机”
- 注意：该时间是系统开始安装的时刻，不是重启时刻；实际重启发生在安装完成后、截止期限内
用活动时间替代空闲检测，真正绕过登录干扰
Windows 默认靠“是否有人登录”决定能否重启，但前台办公机常驻登录态，容易卡住。活动时间策略更可靠——它明确告诉系统“几点到几点不准动”，无论用户是否在线。
- 启用“在使用时段关闭针对更新的自动重启”
- 设“活动小时数”为10，“开始时间”为08:00，覆盖常规工作时段（8:00–18:00）
- 该策略优先级高于“有用户登录时不重启”，能确保重启只发生在非工作时段
强制重启要有底线，避免无限等待
装完补丁若不重启，很多更新就未真正生效。但也不能让用户一觉醒来发现电脑已关机。设置重启截止期限，就是给系统一道“最后通牒”。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验的重启
- 启用“在计划的安装期间自动进行重新启动”——这是触发自动重启的核心开关
- 启用“自动更新重新启动截止期限”，设为30或60分钟——表示安装完成后最多再等这么久，超时就强制重启
- 该值不宜过大（否则补丁长期不生效），也不宜过小（否则可能撞上用户刚登录）
静默提示与登录页拦截，消除用户感知
即使后台逻辑跑通了，弹窗、倒计时、登录页强刷按钮仍会让用户反感甚至手动取消。这些提示必须逐项屏蔽。
- 启用“对于已登录的用户，不要显示‘重启现在’对话框”
- 启用“不要在登录页面显示‘重启现在’对话框”
- 启用“有用户登录时，对于计划的自动更新安装不自动重启”（位于 Windows 更新 → Windows 更新代理 路径）
- 若希望完全规避倒计时，可禁用“自动更新重新启动截止期限”，但需同步确保活动时间设置严格，否则可能错过重启
策略配完只是第一步，终端必须执行 gpupdate /force 并重启一次，才能真正加载新规则。验证时重点看注册表 HKLM\Software\Policies\Microsoft\Windows\WindowsUpdate\AU 下是否生成了 AlwaysAutoRebootAtScheduledTime=1 和 AutoRebootDeadlineInMinutes=30 等键值——这才是策略落地的真实凭证。
