一、产品概述

补丁管理把主机补丁风险治理串成一条线：配补丁源 → 入库 → 纳管主机 → 建基线 → 评估风险 → 受控安装 / 重启 → 验证结果。适合需要持续识别 Windows / Linux 补丁缺口、并按窗口执行修复的运维团队。

主要功能入口：

• 首页：看纳管规模、合规率、待治理风险与最近任务。
• 风险治理：待治理风险 + 执行记录（安装 / 重启进度与日志）。
• 补丁库：维护已入库的 Windows / Linux 补丁。
• 基线：定义「必须满足的补丁要求」，并绑定主机。
• 目标：手工纳管主机，或从 节点管理 批量纳入。
• 设置：配置补丁源与周期评估。

边界说明：

• 主机纳管可手工录入，也可从 节点管理 纳入已有节点；组织与权限由 系统管理 维护。
• 安装 / 重启过程的排障，优先看本模块「执行记录」；底层执行细节如需核对，可再结合 作业管理。
• 能否进入本模块，以控制台菜单为准。
• 当前不提供通用漏洞情报检索，也不承诺自动发现任意第三方补丁源。

---

二、核心概念与术语

概念	说明
补丁源	可连通的更新来源，如 Windows 更新服务，或 yum / dnf / apt 软件源
补丁库	已选中入库、可供基线引用与治理的补丁目录
目标主机	纳入补丁管理范围的 Windows / Linux 主机
基线	一组「必须满足的补丁要求」；一台主机同时最多绑定一个基线
合规 / 风险	相对基线评估后的结果；只有已绑定基线的主机才产生有效合规风险
治理任务	针对风险发起的安装或重启任务，可立即执行或安排执行窗口
执行记录	治理任务的进度、主机阶段、失败原因与日志
周期评估	按小时 / 每日 / 每周自动发起评估；关闭后仍可手工评估
周期评估通知	只针对全局周期任务，在发现不合规或评估失败主机时按规则发送汇总；手工评估不触发
逐要求评估	对基线中的每项补丁要求实时核对主机状态，结果区分满足、缺失和未知；只有确认缺失的有效要求进入风险

常见技术名词速查（在后文看到不懂的词，回这里查）：

名词	通俗解释
yum / dnf / apt	Linux 常见软件包管理与更新源协议，用于拉取候选补丁
Windows 更新服务	Windows 环境获取更新的来源类型（具体地址与认证以页面配置为准）
执行窗口	允许安装或重启发生的时间段；重启治理必须明确安排窗口
活动治理任务	尚未结束的安装 / 重启任务；同一主机有活动任务时不要重复提交立即治理

原理提示： 风险来自「基线要求」与「主机当前状态」的对比。未绑基线 → 无有效合规风险；改基线或改绑定后，旧评估会失效，需要重新评估。

---

三、支持对象与接入方式

对象	补丁源类型	纳管方式	对象侧前置
Windows 主机	Windows 更新服务	手工录入，或从 节点管理 纳入	支持页面可选架构；可连通；具备可用连接信息；组织范围正确
Linux 主机	yum / dnf / apt	手工录入，或从 节点管理 纳入	支持 x86_64、ARM64 标准架构；软件源可达；组织范围正确

现场可用的操作系统版本、架构、源类型与连接字段，以「设置 → 补丁源」「目标管理」页面展示为准。被基线引用或正在治理中的补丁不可删除。

内置补丁源： 6.11 起可在已开通环境中看到平台内置的 YUM、DNF、APT 公网源。内置源由平台初始化并标记来源，不应当作普通自定义源随意改写；生产环境是否允许访问公网、是否应改用企业内部镜像，须遵循现场网络与安全策略。

---

四、通用流程

1. 配补丁源： 设置 → 新增匹配操作系统的补丁源 → 连通性检测 → 启用。
2. 入库： 在补丁源上同步预览 → 勾选候选补丁 → 入库 → 到补丁库核对。
3. 纳管目标： 目标管理 → 手工录入或从《节点管理》批量纳入 → 连通性检测。
4. 建基线并绑定： 基线管理 → 新建基线 → 添加补丁要求 → 绑定主机 → 发起评估。
5. 治理与验证： 待治理风险 → 创建立即治理或执行窗口任务 → 执行记录跟踪 → 回看合规状态。

评估结果说明： “未知”表示本次取证不足以确认满足或缺失，不会自动扩大为风险；先检查连接、权限和取证日志再重试。当前不要把页面或底层预留的“不适用”状态当作已普遍实现的自动判定能力。

关于入口名称： 控制台中的补丁相关英文入口与中文菜单含义一致，按本指南中文名对应即可。

---

五、新手第一课：完成第一次补丁评估与治理

第一次使用，建议先跑通「一个源 → 几个补丁 → 一台主机 → 一条基线 → 一次评估」的最短闭环。

第 0 步：先确认四件事（最容易卡住）。

1. 你已获得补丁管理的查看、配置与治理权限。
2. 组织内补丁源网络可达（不清楚请联系网络 / 安全管理员）。
3. 至少有一台可纳管的 Windows 或 Linux 主机；也可先在《节点管理》确认节点在线。
4. 控制台菜单中可以进入本模块。

第 1 步：配源并入库。 进入 设置，新增补丁源并做连通性检测；检测通过后启用，再同步预览并勾选少量补丁入库。到 补丁库 确认包信息可见。

第 2 步：纳管主机并建基线。 进入 目标管理 纳管主机并做连通性检测；进入 基线管理 新建对应操作系统基线，把刚入库的补丁加入要求，绑定该主机，发起评估。

第 3 步：看风险并（可选）治理。 进入 风险治理 → 待治理风险，确认风险已出现。若在维护窗口内，可选择风险项创建立即治理或执行窗口任务，再到 执行记录 查看进度。

若没有风险或评估为空，按顺序排查： ① 主机是否已绑定基线；② 基线是否包含补丁要求；③ 评估是否已完成（首页 / 目标列表可看最近评估时间）；④ 补丁源与目标连通是否正常；⑤ 你是否有该主机所属组织的权限。

下一步： 在 设置 → 周期评估 打开定期评估；对需要重启的修复，务必安排明确执行窗口。日常排障优先看本模块「执行记录」。

---

六、产品介绍

1. 产品简介

补丁管理面向需要持续识别和治理主机补丁风险的运维团队。它将补丁源、补丁库、目标主机、合规基线、风险视图和治理记录集中在一个闭环中，帮助团队从“有哪些补丁风险”推进到“如何修复并验证结果”。

2. 核心能力

• 统一补丁目录：集中维护 Windows 与 Linux 补丁，支持从补丁源预览并选择入库。
• 主机合规基线：为不同操作系统建立补丁要求，并将目标主机绑定到适用基线。
• 多视角风险识别：从补丁、主机或基线视角查看当前有效风险及影响范围。
• 受控治理流程：安排立即执行或执行窗口，按需要衔接安装、重启和验证。
• 过程可追踪：记录任务进度、主机阶段、失败原因和执行日志，支持取消未下发操作及失败主机重试。
• 周期评估：按小时、每日或每周发起评估任务，也可随时手工发起；周期调度按当前用户在系统管理中的时区保存和展示，只有已绑定基线的主机产生合规结果。
• 异常汇总通知：可为周期评估选择 系统管理 中已启用的通知渠道；仅在出现不合规或评估失败主机时发送汇总，全部合规时不发送。

3. 适用范围

当前支持 Windows 与 Linux 主机。补丁源范围包括 Windows 更新服务，以及 yum、dnf、apt 软件源。功能以已纳管主机和已配置基线为前提；未绑定基线的主机不会产生有效合规风险。

4. 产品边界

• 一台主机同时最多绑定一个补丁基线。
• 基线当前维护生效中的固定补丁清单，不提供历史版本管理。
• 风险只来自当前有效评估结果，待评估或已经失效的结果不作为当前风险。
• Windows 合规判断当前不追踪替代补丁链。
• 当前不提供通用漏洞情报检索，也不承诺自动发现任意第三方补丁源。

---

七、功能介绍

补丁管理按治理流程组织为首页、风险治理、补丁库、基线管理、目标管理和设置六个功能入口。

1. 首页

• 展示纳管主机、补丁、评估覆盖率（按已绑定基线主机统计）、合规率、不合规主机、未配置基线主机、待治理风险和失败任务等概览。
• 展示合规状态分布、最近治理任务及高频风险补丁。
• 支持对当前可见的纳管主机发起一次即时评估。

2. 风险治理

待治理风险

• 按补丁、主机或基线聚合当前有效风险。
• 支持筛选、查看影响主机、严重级别、合规状态和治理状态。
• 支持选择风险项并创建立即治理或执行窗口任务。
• 支持为待重启主机安排重启窗口。

执行记录

• 查看用户发起的安装与重启根记录。
• 查看任务进度、主机级阶段，以及安装、重启和验证步骤的执行日志。
• 取消尚未下发的主机操作，并对符合条件的失败主机重试。
• 导出全部或选中的执行记录。

3. 补丁库

• 统一查看和维护 Windows、Linux 补丁。
• 按操作系统、严重级别、来源和包状态筛选。
• 查看适用版本、架构、来源及基线引用情况。
• 新增、编辑和删除未被使用的补丁；支持批量选择后删除（被基线引用、正在治理中使用，或无操作权限时不可删除）。
• 为 Windows 补丁上传或替换安装包。

被基线引用或正在治理任务中使用的补丁不能删除。

4. 基线管理

• 分别创建 Windows 或 Linux 补丁基线。
• 向基线添加或移除补丁要求。
• 将主机绑定到基线，并查看绑定主机的合规分布。
• 点击绑定主机数量可打开「基线合规详情」，在主机视角和补丁视角之间切换，查看评估状态、检测依据、失败原因和评估时间。
• 对基线下全部已绑定主机发起评估。

一台主机同时最多绑定一个基线。基线无补丁要求或未绑定主机时不能评估；存在活动治理任务时不能修改基线。

5. 目标管理

• 手工纳管 Windows 或 Linux 主机。
• 从节点管理批量纳入已有节点。
• 查看并维护主机操作系统、架构、来源、连接状态和组织范围。
• 检测连接可用性。
• 查看当前基线、最近合规状态和评估时间，并跳转查看主机风险。

6. 设置

补丁源

• 新增、编辑、删除和启停补丁源。
• 使用已保存或未保存的配置检测连通性。
• 预览同步候选项，并选择需要写入补丁库的补丁。
• 当前支持 Windows 更新服务及 yum、dnf、apt 软件源。

周期评估

• 启用或关闭全局周期评估。
• 按固定小时间隔、每日指定时间或每周指定时间执行。
• 关闭周期评估不影响用户手工发起评估。
• 只有已绑定基线的主机产生合规结果并刷新风险。
• 可开启「周期评估通知」并按需添加通知方式、渠道和接收人；可选渠道来自 系统管理。
• 通知只作用于全局周期评估，不包含手工评估、基线变更后评估或治理后验证；全部合规时不发送。
• 调度和通知时间采用保存设置时当前用户在系统管理中的时区。跨地区团队应先核对个人时区，避免误判执行时刻。
• 通知规则修改从下一次周期任务开始生效；当前版本不提供通知测试发送或结果跳转入口。

7. 权限与数据范围

补丁源、补丁、目标、基线、风险和治理记录均受角色权限与组织范围约束。批量操作只允许处理当前用户有权访问的全部对象。

---

八、操作指引（快速入门）

本指南介绍如何完成一次“补丁入库 → 主机评估 → 风险修复 → 结果验证”的基本流程。

1. 前置条件

• 已获得补丁管理相应的查看、配置和治理权限。
• 已准备可访问的补丁源。
• 已准备需要纳管的 Windows 或 Linux 主机，以及可用的连接信息；也可以从节点管理选择已有节点。

接入前置条件

• 接入方式： 手工录入目标，或从《节点管理》批量纳入已有节点。
• 执行与排障： 安装 / 重启进度优先在「风险治理 → 执行记录」查看；底层执行细节必要时再结合《作业管理》。
• 对象侧准备： 补丁源网络可达；主机连接信息正确；确认可以进入本模块。

2. 配置补丁源

1. 进入「设置」，新增与操作系统匹配的补丁源。
2. 填写连接信息并执行连通性检测。
3. 检测通过后启用补丁源。

3. 将补丁纳入补丁库

1. 在补丁源上发起同步预览。
2. 搜索并勾选需要治理的候选补丁。
3. 核对严重级别后执行入库。
4. 进入「补丁库」确认补丁信息和包状态。

Windows 补丁也可以在补丁库中手工创建，并上传或替换安装包。

4. 纳管目标主机

1. 进入「目标管理」。
2. 手工录入目标，或从节点管理批量纳入节点。
3. 核对操作系统、连接信息和组织范围。
4. 执行连通性检测，确认目标可用。

5. 创建并应用基线

1. 进入「基线管理」，新建与目标操作系统匹配的基线。
2. 从补丁库添加必须满足的补丁要求。
3. 将目标主机绑定到基线。
4. 发起基线评估。
5. 评估完成后点击基线的绑定主机数量，按主机或补丁视角核对合规明细；失败项可直接查看原因和评估时间。

6. 治理风险

1. 进入「待治理风险」，从补丁、主机或基线视角筛选风险。
2. 选择需要修复的风险项。
3. 选择立即执行或执行窗口，并确认重启安排。
4. 提交治理任务后，在「执行记录」查看每台主机的进度和日志。

7. 确认治理结果

安装或重启完成后，系统会继续执行验证。返回风险视图或目标列表，确认主机合规状态和风险项已经刷新。

8. 注意事项

• 修改基线要求或主机绑定后，旧评估结果会失效，需要重新评估。
• 同一主机已有活动治理任务时，不要重复提交立即治理。
• 取消任务只阻止尚未下发的主机操作，不会强制中断已经下发的操作。
• 重启治理必须安排明确的执行窗口。
• 补丁库支持批量删除未引用补丁；被基线引用、治理中使用或无权限时，删除入口会不可用。

---