Parcheo con gestores de flota

Una línea base de parches es una regla: qué clasificaciones de parche se aprueban, con cuántos días de espera desde su publicación y si se permite reiniciar. La espera existe para que un parche defectuoso se descubra en otro lado antes de llegar a producción. La línea base no instala nada por sí sola: decide qué se considera «aprobado» para las máquinas que la usan.

Abre lineas-base-de-parches.txt. Verás que la base de producción y la de Windows aprueban solas a los pocos días, y que la heredada exige una aprobación manual de Operaciones.

Un parche aprobado no se instala hasta que hay un momento autorizado para hacerlo. Las máquinas se organizan en grupos y cada grupo se asigna a una ventana de mantenimiento. Un grupo sin ventana puede tener la línea base más estricta del mundo: nada se instalará nunca por el camino automático.

Cruza informe-parches.csv (que dice a qué grupo pertenece cada instancia) con ventanas-de-mantenimiento.txt (que dice a qué grupos se asignó cada ventana).

Un informe de cumplimiento cuenta lo que el agente de la máquina le contó al gestor en su último escaneo. Si el agente dejó de reportar, el número que ves es el último que se recibió, no el estado actual. Una máquina sin agente en línea no está «con 2 críticos»: está sin evaluar.

Mira la columna agente del informe y la fecha del último escaneo de rep-prod-01.

Para priorizar el trabajo de una ventana se ordena por lo que más duele: los parches críticos que faltan. Entre las máquinas con agente en línea, una destaca claramente. Ten en cuenta que ese número se refiere solo a lo que el gestor sabe; otras máquinas pueden estar peor sin que lo sepa.

La frescura de un informe es parte de su calidad. Resta la fecha del último escaneo de rep-prod-01 a la fecha del inventario (la del encargo) y cuenta días naturales. Si el resultado es de semanas, la máquina lleva ese tiempo fuera de la gestión de parches sin que nadie lo notara.