背景
内网环境，通过wsus获取windows补丁更新，补丁手工审批，不设置截止时间
待更新的服务器通过组策略设置wsus获取更新，获取更新后自动下载，通知管理员安装，禁止更新立即安装，安装后有活动用户不自动重启
现象
管理员检测到更新以后，进行安装，然后去忙其他工作，回头来看主机已经重启完成
排查思路
首先查看组策略设置、系统日志、更新日志、cbslog
组策略
完全按照基线设置，无特殊参数
日志
系统日志查看，用户远程桌面会话中断后，补丁触发了重启操作
更新日志显示用户主动下载安装补丁的时间点，和系统日志可以呼应
cbslog详细记录补丁安装过程，需要重启标志，触发重启过程
查找关联资料
发现基线中配置自动更新从2012R2沿用过来，配置参数为3，2016以后版本增加了参数7
7 - 仅) 通知安装并通知重启 (Windows Server 2016 及更高版本 - 使用此选项时，当 Windows
找到适用于此设备的更新时，系统会下载这些更新，然后通知用户更新已准备好安装。 安装更新后，会向用户显示重启设备的通知。
Tips
Windows 安装补丁前做好停服准备，安装完成立即重启验证，不要等系统各种机制综合评判造成被动重启，解决起来更费劲。
如果设置有开机启动脚本或者编排流程，也可以考虑定义好自动重启时间窗口形式规避被动重启