Configuration Manager 2609: un aggiornamento di manutenzione, non di funzionalità

Chi segue le release di Microsoft Configuration Manager (ex SCCM) aspettandosi grandi novità in ogni versione resterà spiazzato dalla 2609: come riportato nelle note ufficiali, non ci sono nuove funzionalità in questo rilascio. È un update dedicato quasi esclusivamente a correzioni, consolidamento di hotfix precedenti e alla rimozione di componenti deprecati. Proprio per questo, però, merita attenzione: tra le righe ci sono due cambiamenti che qualunque amministratore di un sito ConfigMgr deve conoscere prima di pianificare l’upgrade, perché possono bloccare il processo a metà strada se non vengono gestiti in anticipo.

La fine del supporto a SQL Server 2016

Il cambiamento più impattante della 2609 è la rimozione del supporto per SQL Server 2016, in tutte le sue edizioni: Standard, Enterprise ed Express. Da questa versione in avanti, la versione minima supportata per il database del sito è SQL Server 2017 Cumulative Update 2 o successiva.

Non si tratta di un avviso cosmetico: il controllo dei prerequisiti dell’installer blocca attivamente l’upgrade se il sito gira ancora su un’istanza SQL Server 2016, qualunque sia la cumulative update installata. Chi gestisce ambienti legacy con SQL Server configurato anni fa e non più toccato dovrebbe quindi pianificare l’aggiornamento del motore di database prima di avviare l’upgrade a 2609, non durante — un lavoro che, su un sito di produzione con un database CMDB di dimensioni consistenti, richiede test e una finestra di manutenzione dedicata.

Le modifiche al Cloud Management Gateway

La seconda area di interesse riguarda una serie di fix relativi al Cloud Management Gateway (CMG), la componente che estende la gestione dei client Configuration Manager anche fuori dal perimetro di rete aziendale tramite Azure:

• Shared key access disabilitato di default sullo storage account usato dal CMG — un irrigidimento della postura di sicurezza in linea con le best practice Azure più recenti, che privilegiano Azure AD/Entra authentication rispetto alle chiavi condivise statiche.
• Scadenza dei secret in Key Vault: alcuni segreti memorizzati in Azure Key Vault per il CMG potevano non avere una data di scadenza impostata, situazione che in molti tenant viola le policy Azure di governance sui secret senza expiration date. La 2609 corregge questo comportamento.
• Upload BITS che si bloccano: in caso di connessione interrotta, gli upload BITS tramite CMG potevano restare bloccati, generando errori HTTP 500 e ritardando gli aggiornamenti dei client — un problema particolarmente fastidioso per i client che si collegano da reti instabili o mobili.
• Provisioning su resource group esistenti: selezionando un resource group Azure già esistente durante il provisioning del CMG, Configuration Manager poteva rimuovere i tag richiesti dalle policy Azure del tenant, causando fallimenti di conformità. Inoltre non veniva validato che il resource group e il CMG si trovassero nella stessa region — un errore di configurazione silenzioso che si scopriva solo a provisioning fallito.
• L’hotfix KB37942646 aggiorna l’immagine della virtual machine scale set usata dal CMG.

Sul fronte della sicurezza generale, la 2609 include anche una correzione relativa alla fiducia dei certificati per CMPivot e la rimozione della dipendenza dalla proprietà TRUSTWORTHY di SQLCLR — un’impostazione da tempo considerata un rischio se lasciata attiva sul database del sito. Viene inoltre introdotto un avviso per i siti che usano ancora l’approvazione automatica dei computer, funzionalità che sarà rimossa in un rilascio futuro.

Prerequisiti per l’upgrade

Prima di avviare l’aggiornamento a 2609, verificare questi punti:

• Il sito corrente deve essere già alla versione 2503 o successiva.
• L’upgrade è bloccato su Windows Server 2012 e 2012 R2 come sistema operativo del site server.
• ODBC Driver 18 per SQL Server deve essere alla versione 18.6.2.1 o successiva. Da evitare in ogni caso la 18.6.1.1, e da evitare la 18.7.1.1 se il sito è ancora sulla versione 2603 o precedente.
• È richiesto un online service connection point configurato e funzionante.
• Vanno rimossi i ruoli enrollment point, enrollment proxy ed device management point prima di procedere.
• In una hierarchy, l’ordine è obbligatorio: si aggiorna prima il CAS, poi ciascun sito child, completando ogni sito prima di passare al successivo.

La 2609 è attualmente distribuita tramite l’early update ring: per riceverla occorre eseguire lo script EnableEarlyUpdateRing2609.ps1 sul site server primario, con la console chiusa.

Procedura di upgrade passo per passo

1. Eseguire lo script di opt-in per l’early update ring. Monitorare il download nel log dmpdownloader.log fino allo stato “Ready to Install”.
2. In Administration > Overview > Updates and Servicing, selezionare l’update 2609 ed eseguire il controllo dei prerequisiti. Esaminare eventuali errori in ConfigMgrPreReq.log — questo è il punto in cui emergerà il blocco per SQL Server 2016, se presente.
3. Fare clic destro sull’update 2609 e selezionare Install Update Pack, scegliendo le feature da abilitare e l’opzione di aggiornamento client, poi accettare i termini di licenza.
4. Monitorare l’avanzamento in Monitoring > Updates and Servicing Status e nel log CMUpdate.log.
5. Aggiornare la console quando richiesto. La versione console attesa al termine è 5.2609.1050.1000.
6. Verificare che la versione del sito sia 5.00.9152.1000 (build 9152).
7. Le boot image si aggiornano automaticamente sui distribution point; se non succede, usare manualmente Update Distribution Points.
8. Aggiornare i client alla versione di produzione 5.00.9152.1004, tramite le impostazioni di aggiornamento automatico client in Hierarchy Settings.

Finestra di supporto e problemi noti

La versione 2609 è supportata dal 28 settembre 2026 al 28 marzo 2028, un orizzonte di circa 18 mesi utile per pianificare con calma il prossimo salto di versione.

Ufficialmente non sono riportati problemi noti per questa release. Tuttavia, segnalazioni non verificate dalla community indicano possibili criticità con il componente WinPE-SecureBootCmdlets nelle boot image, con il PXE su reti che usano certificati PKI, e con lo stato del reporting point SSRS. Chi gestisce ambienti che fanno largo uso di queste componenti farebbe bene a testare l’upgrade in un ambiente di lab prima di toccare la produzione, anche in assenza di problemi noti ufficiali.

Conclusione

La 2609 è il classico aggiornamento “silenzioso” che in realtà nasconde una trappola operativa ben precisa: il drop del supporto a SQL Server 2016. Per chi amministra siti Configuration Manager legati a infrastrutture database datate, questo singolo prerequisito può trasformare un upgrade di routine in un progetto che coinvolge anche il team DBA. La raccomandazione pratica è verificare la versione di SQL Server e la versione dell’ODBC Driver prima di eseguire lo script di opt-in per l’early ring, evitando così di scoprire il blocco a metà di una finestra di manutenzione già pianificata.

Fonte: Prajwal Desai, Petri.com