关键在于通过组策略统一管控全链路：指定内网wsus源、启用模式4自动下载并计划安装、严格设定活动时间、逐项屏蔽重启提示，并执行gpupdate /force及重启生效。
要让终端系统安全补丁真正实现自动、静默、可控部署，关键不是简单打开“自动更新”，而是通过组策略（gpo）把下载、安装、重启全链路纳入统一节奏——尤其在域环境下，这是避免补丁时间混乱、用户被中断、关键漏洞滞留的唯一可靠方式。
指定内网更新源（WSUS）
所有终端必须指向内部 WSUS 服务器，否则补丁来源不可控、审批无法落地、安装时间无法统一。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 指定 Intranet Microsoft 更新服务位置
- 启用策略，填入 WSUS 地址（如 http://wsus.corp:8530），同时设置统计服务器为同一地址
- 确保终端能解析该地址且端口可达；若使用 HTTPS，需提前部署对应证书
启用静默安装模式并设定计划时间
仅“自动下载”会导致补丁长期挂起；“通知式更新”必然弹窗。必须选择模式 4，并绑定具体安装时刻。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 配置自动更新
- 启用后选择“4 - 自动下载并计划安装”
- 在“计划安装时间”中设固定小时（如 3 表示凌晨 3:00），务必勾选“将此时间应用于所有计算机”
- 如需按月调度（如每月第二个周二），可配合“计划安装日期”策略，但注意它只对功能更新生效
严格定义活动时间，阻断非授权重启
Windows 默认依赖“空闲检测”判断是否可重启，极不可靠。启用活动时间后，系统会严格遵守你划定的办公时段，即使用户已登录也不会重启。
- 路径：计算机配置 → 管理模板 → Windows 组件 → Windows 更新 → 管理最终用户体验
- 启用“在使用时段关闭针对更新的自动重启”
- 设“活动小时数”为实际工作时长（如 10），起始时间设为上午 8:00，覆盖完整办公周期
- 该策略优先级高于“有用户登录时不重启”，是防止午休或下班前被强制中断的核心防线
逐项屏蔽重启提示与强制行为
静默安装 ≠ 静默重启。安装完成后弹出倒计时、登录页强刷按钮、截止后无视活动时间强行重启——这些都必须单独关闭。
- 启用“对于已登录的用户，不要显示‘重启现在’对话框”
- 启用“不要在登录页面显示‘重启现在’对话框”
- 启用“有用户登录时，对于计划的自动更新安装不自动重启”（路径在 Windows 更新 → Windows 更新代理）
- 禁用“自动更新重新启动截止期限”，否则系统会在截止后绕过活动时间强制重启
策略配置完成后，终端需执行 gpupdate /force 并重启一次才能真正触发首次静默安装流程。建议在事件查看器中筛选“WindowsUpdateClient”和“Wininit”日志，确认安装与重启行为是否符合预期。
