操作系统更新设备策略

Last published : Oct 21, 2026
操作系统更新设备策略允许您部署：
  • 受监管 iOS 设备的最新操作系统更新。
    操作系统更新设备策略仅适用于已注册 Apple 部署计划的受监管设备。
  • 运行 macOS 10.11.5 及更高版本的已注册 Apple 部署计划的 macOS 设备的最新操作系统和应用程序更新。
注意：
Apple 目前仅将操作系统更新限制为主要版本。管理员不允许更新次要版本。有关详细信息，请参阅 Apple 文档中的这篇文章。
  • 运行 Windows 10 或 Windows 11 的受监管桌面和平板电脑设备的最新操作系统更新。
    您还可以使用操作系统更新策略来管理运行 Windows 10（版本 1607 或更高版本）或 Windows 11 的桌面和平板电脑的传递优化设置。传递优化是 Microsoft 为 Windows 10 和 Windows 11 更新提供的点对点客户端更新服务。传递优化的目标是减少更新过程中的带宽问题。通过在多个设备之间共享下载任务来实现带宽减少。有关详细信息，请参阅 Microsoft 文章配置 Windows 10 更新的传递优化。
  • 受管 Android Enterprise 设备（Android 7.0 及更高版本）的最新操作系统更新。
重要提示：
操作系统更新策略不允许您完全禁用更新。要将更新延迟最多 90 天，请创建限制策略。请参阅限制设备策略。
要添加或配置此策略，请转到 配置 > 设备策略。有关详细信息，请参阅设备策略。
Related information
设备策略

iOS 设置

设备策略配置屏幕
以下设置适用于受监管的 iOS 设备。
  • 操作系统更新选项： 这两个选项都会根据操作系统更新频率将最新的操作系统更新下载到受监管的设备。设备会提示用户安装更新。提示在用户解锁设备后可见。
  • 操作系统更新频率： 确定 Citrix Endpoint Management 检查和更新设备操作系统的频率。默认值为 7 天。
  • 操作系统更新版本： 指定用于更新受监管 iOS 设备的版本。默认值为最新版本。
    • 最新版本： 选择更新到最新操作系统版本。
    • 仅限特定版本： 选择更新到特定操作系统版本，然后键入版本号。

macOS 设置

设备策略配置屏幕
  • 软件更新选项： 控制 macOS 设备检查和安装更新的方式。从以下选项中选择：
    • 自动安装 macOS 更新： 更新将自动下载和安装。
    • 有可用更新时下载新更新： 更新已下载，但需要手动安装。
    • 检查更新： 检查是否存在更新，但不会自动下载或安装更新。
    • 不检查更新： 不检查新更新、不下载更新或不自动安装更新。用户仍可手动安装更新。
  • 关键更新： 允许自动安装关键 macOS 更新。
  • 自动安装 xProtect、MRT 和 GateKeeper 更新： 允许 macOS 设备自动安装安全软件更新。
  • 允许安装 macOS 预发布软件： 允许用户安装 macOS 软件的预发布版本。
  • 自动安装 App Store 应用更新： 允许 App Store 应用自动更新。

获取 iOS 和 macOS 更新操作的状态

对于 iOS 和 macOS，Citrix Endpoint Management 不会将“控制操作系统更新”策略部署到设备。相反，Citrix Endpoint Management 使用该策略向设备发送以下 MDM 命令：
  • 安排操作系统更新扫描：请求设备执行操作系统更新的后台扫描。（iOS 可选）
  • 可用操作系统更新：查询设备以获取可用操作系统更新列表。
  • 安排操作系统更新：请求设备执行 macOS 更新、应用程序更新或两者。因此，设备操作系统决定何时下载或安装操作系统和应用程序更新。
“管理 > 设备 > 设备详细信息（常规）”页面显示计划和可用操作系统更新扫描以及计划的 macOS 和应用程序更新的状态。
设备详细信息屏幕
有关更新操作状态的更多详细信息，请转到“管理 > 设备 > 设备详细信息（交付组）”页面。
设备详细信息屏幕
有关可用操作系统更新和上次安装尝试等详细信息，请转到“管理 > 设备 > 设备详细信息（属性）”页面。
设备详细信息屏幕
设备详细信息屏幕

Windows 桌面和平板电脑设置

设备策略配置屏幕
  • 选择活动时间模式： 选择一种模式来配置执行操作系统更新的活动时间。您可以指定一个小时范围或一个开始和结束时间。选择模式后，将出现更多设置：指定活动时间的最大范围或活动时间开始和活动时间结束。未配置允许 Windows 随时执行操作系统更新。默认为未配置。
  • 自动更新行为： 配置用户设备上 Windows 更新服务的下载、安装和重启行为。默认为“自动安装和重启”。
    • 下载更新前通知用户： Windows 在有可用更新时通知用户。Windows 不会自动下载和安装更新。用户必须启动下载和安装操作。
    • 自动安装并通知以安排设备重启： Windows 会在非按流量计费的网络上自动下载更新。Windows 会在设备未使用且未通过电池供电时，在自动维护期间安装更新。如果自动维护在两天内无法安装更新，Windows Update 会立即安装更新。如果安装需要重启，Windows 会提示用户安排重启时间。用户有最多七天的时间来安排重启。七天后，Windows 会强制设备重启。允许用户控制启动时间可降低因应用程序在重启时未正确关闭而导致意外数据丢失的风险。
    • 自动安装和重启： 默认设置。Windows 会在非按流量计费的网络上自动下载更新。Windows 会在设备未使用且未通过电池供电时，在自动维护期间安装更新。如果自动维护在两天内无法安装更新，Windows Update 会立即安装更新。如果安装需要重启，Windows 会在设备处于非活动状态时自动重启设备。
    • 在指定时间自动安装和重启： 选择此选项时，将显示更多设置，以便您可以指定日期和时间。默认设置为每天凌晨 3 点。自动安装在指定时间进行，设备在 15 分钟倒计时后重启。当 Windows 准备重启时，已登录的用户可以中断 15 分钟倒计时以延迟重启。
    • 自动安装和重启，无需最终用户控制： Windows 会在非按流量计费的网络上自动下载更新。Windows 会在设备未使用且未通过电池供电时，在自动维护期间安装更新。如果自动维护在两天内无法安装更新，Windows Update 会立即安装更新。如果安装需要重启，Windows 会在设备处于非活动状态时自动重启设备。此选项还会将用户控制面板设置为只读。
    • 关闭自动更新： 禁用设备上的 Windows 自动更新。
  • 从 Microsoft 更新扫描应用更新： 指定 Windows 是否接受来自 Microsoft 更新服务的其他 Microsoft 应用的更新。默认为“未配置”。
    • 未配置： 如果您不想配置此行为，请使用此设置。Windows 不会更改用户设备上的相关 UI。用户可以接受或拒绝其他 Microsoft 应用的更新。
    • 是： Windows 允许从 Windows 更新服务安装应用更新。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
    • 否： Windows 不允许从 Windows 更新服务安装应用更新。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
  • 指定更新分支： 指定用于更新的 Windows 更新服务分支。默认为“未配置”。
    • 未配置： 如果您不想配置此行为，请使用此设置。Windows 不会更改用户设备上的相关 UI。用户可以选择 Windows 更新服务分支。
    • 当前分支： Windows 从当前分支接收更新。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
    • 业务当前分支： Windows 从业务当前分支接收更新。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
  • 配置推迟功能更新的天数： 如果为“开”，Windows 会将功能更新推迟指定天数，用户无法更改此设置。如果为“关”，用户可以更改推迟功能更新的天数。默认为“关”。
  • 配置推迟质量更新的天数： 如果为“开”，Windows 会将质量更新推迟指定天数，用户无法更改此设置。如果为“关”，用户可以更改推迟质量更新的天数。默认为“关”。
  • 暂停质量更新： 指定是否暂停质量更新 35 天。默认为“未配置”。
    • 未配置： 如果您不想配置此行为，请使用此设置。Windows 不会更改用户设备上的相关 UI。用户可以选择暂停质量更新 35 天。
    • 是： Windows 会暂停从 Windows 更新服务安装质量更新 35 天。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
    • 否： Windows 不会暂停从 Windows 更新服务安装质量更新。用户设备上的相关设置处于非活动状态，因此用户无法修改该设置。
  • 仅允许批准列表中的更新： 指定是否仅安装 MDM 服务器批准的更新。Citrix Endpoint Management 不支持配置批准的更新列表。默认为“未配置”。
    • 未配置： 如果您不想配置此行为，请使用此设置。Windows 不会更改用户设备上的相关 UI。用户可以选择允许哪些更新。
    • 是，仅安装批准的更新： 仅允许安装批准的更新。
    • 否，安装所有适用的更新： 允许在设备上安装任何适用的更新。
  • 使用内部更新服务器： 指定是通过 Windows 更新服务还是通过 Windows Server Update Services (WSUS) 从内部更新服务器获取更新。如果为“关”，设备将使用 Windows 更新服务。如果为“开”，设备将连接到指定的 WSUS 服务器以获取更新。默认为“关”。
    • 接受非 Microsoft 实体签名的更新： 指定是否接受由 Microsoft 以外的第三方实体签名的更新。此功能要求设备信任第三方供应商证书。默认为“关”。
    • 允许连接到 Microsoft 更新服务： 允许设备上的 Windows 更新定期连接到 Microsoft 更新服务，即使设备配置为从 WSUS 服务器获取更新。默认为“开”。
    • WSUS 服务器： 指定 WSUS 服务器的服务器 URL。
    • 备用内部网服务器以托管更新： 指定备用内部网服务器 URL 以托管更新并接收报告信息。
  • 配置传递优化： 是否对 Windows 10 和 Windows 11 更新使用传递优化。默认值为 关闭。
  • 缓存大小： 传递优化缓存的最大大小。值为 0 表示缓存无限制。默认值为 10 GB。
  • 允许 VPN 对等缓存： 设备通过 VPN 连接到域网络时，是否允许其参与对等缓存。当设置为 开 时，设备可以从其他域网络设备（无论是在 VPN 上还是在公司域网络上）下载或上传。默认值为 关闭。
  • 下载方法： 传递优化可用于下载 Windows 更新、应用程序和应用程序更新的下载方法。默认值为 HTTP 与同一 NAT 后面的对等互连混合。选项包括：
    • 仅 HTTP，无对等互连： 禁用点对点缓存，但允许传递优化从 Windows Update 服务器或 Windows Server Update Services (WSUS) 服务器下载内容。
    • HTTP 与同一 NAT 后面的对等互连混合： 在同一网络上启用对等共享。传递优化云服务会查找使用与目标客户端相同的公共 IP 连接到 Internet 的其他客户端。然后，这些客户端会尝试使用其专用子网 IP 连接到同一网络上的其他对等设备。
    • HTTP 与跨专用组的对等互连混合： 根据设备 Active Directory 域服务 (AD DS) 站点或设备进行身份验证的域自动选择组。对等互连发生在内部子网之间，在属于同一组的设备之间，包括远程办公室中的设备。
    • HTTP 与 Internet 对等互连混合： 为传递优化启用 Internet 对等源。
    • 无对等互连的简单下载模式： 禁用传递优化云服务的使用。在以下情况下，传递优化会自动切换到此模式：当传递优化云服务不可用、无法访问或内容文件大小小于 10 MB 时。在此模式下，传递优化提供可靠的下载体验，且不进行点对点缓存。
    • 不使用传递优化，而是使用 BITS： 使客户端能够使用 BranchCache。有关详细信息，请参阅 Microsoft 文章 BranchCache。
  • 最大下载带宽： 最大下载带宽，单位为 KB/秒。默认值为 0，表示动态带宽调整。
  • 最大下载带宽百分比： 传递优化在所有并发下载活动中可以使用的最大下载带宽。该值是可用下载带宽的百分比。默认值为 0，表示动态调整。
  • 最大上传带宽： 最大上传带宽，单位为 KB/秒。默认值为 0。值为 0 表示带宽无限制。
  • 每月上传数据上限： 传递优化在每个日历月可以上传到 Internet 对等设备的 GB 最大大小。默认值为 20 GB。值为 0 表示每月上传无限制。

Citrix Endpoint Management 如何处理 Windows 桌面和平板电脑设备的批准更新

您可以指定是否仅安装已批准的更新。Citrix Endpoint Management 按如下方式处理更新：
  • 对于安全更新（例如 Windows Defender 定义），Citrix Endpoint Management 会自动批准更新并在下次同步期间向设备发送安装命令。
  • 对于所有其他更新类型，Citrix Endpoint Management 会等待您的批准，然后才向设备发送安装命令。

先决条件

  • 您必须将 Microsoft 根证书作为服务器证书上传到 Citrix Endpoint Management 服务器。
  • 有关导入服务器证书的信息，请参阅 证书和身份验证 中的“导入证书”。

仅安装已批准的更新

  1. 转至 Configure > Device Policies（配置 > 设备策略），然后打开 OS Update 设备策略。
  2. 将 Allow updates only in approval list（仅允许批准列表中的更新）设置更改为 Yes, install only approved updates（是，仅安装已批准的更新）。

批准更新

  1. 在 OS Update 设备策略中，向下滚动到 Pending updates（待处理更新）表。Citrix Endpoint Management 从设备获取表中列出的更新。
  2. 搜索 Approval status（批准状态）为 Pending（待处理）的更新。
  3. 单击要批准的更新所在行，然后单击该行（在 Add（添加）列中）的编辑图标。
    设备策略配置屏幕
  4. 要批准更新，请单击 Approved（已批准），然后单击 Save（保存）。
    设备策略配置屏幕
注意：
尽管“待处理更新”表包含添加和删除命令，但这些命令不会对 Citrix Endpoint Management 数据库造成任何更改。编辑批准状态是待处理更新唯一可用的操作。
要查看设备的 Windows 更新状态，请转至 管理 > 设备 > 属性。
设备配置屏幕
更新发布后，更新 ID 将显示在第一列中，并带有状态（成功或失败）。您可以为更新失败的设备创建报告或自动化操作。发布日期和时间也会显示。

首次部署和后续部署的更新工作方式

操作系统更新设备策略对设备的影响在首次部署和设备获取更新后的部署之间有所不同。
  • 要使 Citrix Endpoint Management 查询设备的更新，您必须配置至少一个操作系统更新设备策略并将其分配给交付组。
    Citrix Endpoint Management 在设备 MDM 同步期间查询设备以获取可安装的更新。
  • 首次部署操作系统更新设备策略后，Windows 更新列表为空，因为尚未有设备报告。
  • 当分配的交付组中的设备报告更新时，Citrix Endpoint Management 会将其保存到数据库中。要批准任何报告的更新，请再次编辑策略。
    更新批准仅适用于您正在编辑的策略。在一个策略中批准的更新不会在另一个策略中显示为已批准。设备下次同步时，Citrix Endpoint Management 会向设备发送命令，指示更新已获批准。
  • 对于第二个操作系统更新设备策略，更新列表包含存储在 Citrix Endpoint Management 数据库中的更新。请为每个策略批准更新。
    在每次设备同步期间，Citrix Endpoint Management 都会查询设备的已批准更新状态，直到设备报告更新已安装。对于安装后需要重新启动的更新，Citrix Endpoint Management 会查询更新状态，直到设备报告更新已安装。
  • Citrix Endpoint Management 不会按交付组或设备限制策略配置页面中显示的更新。设备报告的所有更新都会显示在列表中。

安卓企业设置

设备策略配置屏幕
  • 系统更新策略： 确定系统更新何时发生。
    • 自动： 在更新可用时安装更新。
    • 窗口化： 在开始时间和结束时间中指定的每日维护窗口内自动安装更新。
      • 开始时间： 维护窗口的开始时间，以设备本地时间从午夜开始的分钟数（0 - 1440）衡量。默认值为0。
      • 结束时间： 维护窗口的结束时间，以设备本地时间从午夜开始的分钟数（0 - 1440）衡量。默认值为120。
    • 推迟： 允许用户将更新推迟最多 30 天。
    • 默认： 将更新策略设置为系统默认值。
  • 允许无线升级： 如果禁用，用户设备将无法无线接收软件更新。默认值为开。
  • 冻结期： 如果设置为开，则在为自动、推迟和窗口化更新策略指定的日期范围内，设备上不会安装操作系统更新。一次只能为一个设备设置一个冻结期。冻结期的长度不能超过 90 天。
    • 开始日期/结束日期： 如果启用了冻结期，则在此日期范围内不安装操作系统更新。
  • 冻结期： 如果设置为开，则在为自动、推迟和窗口化更新策略指定的日期范围内，设备上不会安装操作系统更新。一次只能为一个设备设置一个冻结期。冻结期的长度不能超过 90 天。
    • 开始日期/结束日期： 如果启用了冻结期，则在此日期范围内不安装操作系统更新。