功能介绍
补丁管理按 首页、风险治理、补丁库、基线管理、目标管理、设置 组织。
1. 首页
核心定位
首页汇总纳管、覆盖、合规、风险和异常，并作为一次全量即时评估的入口。
核心能力
- 治理指标：展示纳管主机、按已绑定基线主机统计的评估覆盖、合规、待治理风险和异常。合规率的分母只包含已经得出明确结果的主机。未配置、待评估、评估失败、未知和不适用不计入合规率。
- 合规分布：按当前用户的数据权限展示主机合规状态分布。
- 最近任务与高频风险：查看近期治理任务，并进入执行记录。高频风险基于当前有效评估计算。
- 即时评估：对当前可见的纳管主机发起评估，不受周期评估开关影响。
界面指引：
界面截图待补充。
- 操作关注点：覆盖率低通常是主机还没绑基线。风险数字只统计已确认缺失的有效要求。
2. 风险治理
2.1 待治理风险
核心定位
从补丁、主机或基线查看现在要处理的缺失项，并安排安装或重启。
核心能力
- 三种视角：按补丁、主机或基线聚合。只显示同时具备主机、补丁和基线数据权限的风险。
- 风险条件：只基于当前有效评估中的缺失项。未知和不适用不生成风险。未配置、待评估、已失效的结果也不作为当前风险。
- 修复安排：立即执行，或放入执行窗口。主机必须绑在包含所选补丁的基线上。同一主机的立即任务互斥。
- 重启：只面向待重启主机，并且必须指定执行窗口。
- 自动复查：安装成功且无需重启时自动复查。需要重启时，主机完成重启并恢复后再复查。安装失败不会创建自动复查任务。
- 超时核验：安装或重启超时后先进入只读核验，避免重复下发可能已经生效的操作。
- 导出：可导出当前页已加载的数据，或导出勾选的聚合项。按钮上的「导出全部」实际范围是当前页已加载数据，不是全库风险。工作簿含汇总和明细，汇总中的「查看明细」跳到该项第一条明细。
2.2 执行记录
核心定位
保留安装和重启任务的进度、主机阶段和日志，便于取消、重试和复盘。
核心能力
- 任务详情：查看用户发起的安装与重启记录。详情按主机的实时状态展示，并用执行栅栏避免陈旧结果覆盖当前状态。
- 取消：只能取消尚未下发的主机操作，且必须填写原因。已下发的操作不会中途打断。
- 重试：对失败、未知或未满足的主机重试，必须指定重试目标。
- 导出：按数据权限导出全部或选中的执行记录。
3. 补丁库
核心定位
统一维护 Windows 与 Linux 补丁，作为基线和治理的依据。
核心能力
- 分栏维护：Windows 与 Linux 分开列表，可检索、查看、新增、编辑和删除。
- 同步入库：从补丁源预览候选，选择后写入补丁库，并可调整严重级别。候选项不能为空。
- Windows 安装包：上传或替换安装包。未选择文件时拒绝。
- 删除保护：被基线引用或正在治理的补丁不可删除，避免执行过程中依据发生变化。
- 严重级别：严重、重要、中等、低、未指定。补丁类型区分安全补丁和通用补丁。
4. 基线管理
核心定位
基线规定某一类操作系统的主机必须满足哪些补丁。
核心能力
- 按系统分开：Windows 与 Linux 基线分别创建。
- 补丁要求：向基线添加或移除补丁。同一基线内同一补丁不重复。
- 主机绑定：一台主机同时最多绑定一个基线。重新绑定时以新基线为准。
- 结果失效：要求或绑定变化后，旧评估失效，主机回到待评估。
- 评估入口：无补丁要求或未绑定主机时不能评估。
- 执行期保护：存在进行中的治理任务时不能修改基线。
- 合规矩阵：从主机和补丁两个视角查看。详情支持多选，并按主机或补丁视角导出评估明细。
- Windows 替代关系：从 Windows 更新服务同步到的替代 KB，可用来判断基线要求是否已被已安装更新满足。
5. 目标管理
核心定位
纳管要评估和安装补丁的主机，并确认连接可用。
核心能力
- 手工录入：按 Windows 或 Linux 填写连接参数。新建前可以检测连通性。
- 节点批量纳入：从节点管理选择节点创建目标，至少选择一个。
- 状态展示：操作系统、架构、来源、连通性、当前基线、最近合规状态和最后评估时间。
- 连接变更：连接信息变化后重新检测，不沿用旧的连通结果。
- 跳转风险：从主机进入它的风险视图。
6. 设置
6.1 补丁源
核心定位
补丁源决定补丁元数据从哪里来。同步预览和选择入库在补丁库完成。
核心能力
- 源类型：Windows 更新服务，以及 yum、dnf、apt。不支持这三类以外的同步协议，也不做任意第三方源的自动发现。
- 内置公网源：提供 YUM、DNF、APT 公网源，便于直接评估。
- 维护：新增、编辑、删除、启停。自定义源创建时归属当前组织。
- 连通性检测：支持用未保存的配置检测，也支持对已保存源单项或批量检测。
6.2 扫描设置
核心定位
配置全局周期评估和通知。手工评估不依赖这个开关。
核心能力
- 启停：周期评估是全局配置。关闭后仍可在首页或基线手工评估。
- 小时：固定小时间隔，至少 1 小时。
- 每天：指定小时和分钟。
- 每周：指定周几和时间，周一至周日。
- 时区：按用户的 IANA 时区调度和展示。
- 通知：发现不合规或评估失败的主机时，可按规则发送汇总。
注意： 当前不提供漏洞情报检索，也不承诺「不适用」会在生产评估里自动判定。Windows 生产采集当前产生满足、缺失和未知。基线是一份当前生效的固定清单，没有历史版本。