Устанавливаем и настраиваем WSUS. Настройка клиентов WSUS групповыми политиками

И/или программного обеспечения, установленного на дочерних терминалах, с относительно недавнего времени может выполняться при помощи специального инструмента, получившего сокращенное название в виде аббревиатуры WSUS. Что это такое? По сути, данное программное обеспечение представляет собой уникальный релиз, позволяющий отказаться от использования каждым компьютером, входящим в локальную сеть, самостоятельного интернет-канала для установки апдейтов. О том, как это все работает, и какие нужно установить настройки, далее и пойдет речь.

Windows Server Update Services: что это и зачем нужно?

Если говорить об этом сервисе простым языком, его можно описать как программное обеспечение для автоматического обновления ОС и ПО, устанавливаемое исключительно на сервер, к которому подключаются остальные пользовательские терминалы, объединенные в единую локальную или виртуальную сеть.

Поскольку обновления корпорация Microsoft для своих продуктов выпускает с завидной регулярностью, устанавливать их нужно на всех машинах в сети, что достаточно проблематично, если их более десятка. Чтобы не заниматься подобными вещами на каждом отдельно взятом терминале, можно использовать функцию WSUS Offline Update, когда основное обновление устанавливается только на сервер, а потом «раздается» на все остальные компьютеры.

Преимущества такого подхода очевидны, ведь снижается использование интернет-траффика (при скачивании сеть не нагружается) и экономится время на установку апдейтов, которая при правильной настройке программного обеспечения на центральном сервере будет производиться автоматически.

Требования к установке

Для службы WSUS настройка и использование невозможны без соблюдения ряда начальных условий. Тут следует обратить внимание на основные компоненты, которые потребуется изначально скачать и инсталлировать на сервер, если они отсутствуют.

В качестве приоритетов можно выделить следующие компоненты:

ОС модификации Windows Server не ниже 2003 (хотя бы с первым сервис-паком);
платформа.NET Framework версии не ниже 2.0;
роли сервера IIS 6.0 или выше;
Report Viewer от Microsoft модификации 2008;
SQL Server версии 2005 со вторым сервис-паком;
Management Console от Microsoft модификации 3.0.

Процесс инсталляции

Собственно, установка WSUS предполагает также резервирование свободного дискового пространства на сервере в размере порядка 100 Гб (расположение папки хранения обновлений указывается на первом шаге после запуска основного инсталлятора).

Параметры баз данных веб-сервера

В принципе, сам установщик по умолчанию предлагает установить внутренние базы данных, но для упрощения процесса можно использовать и имеющийся сервер баз данных.

В данном случае нужно будет самостоятельно прописать его сетевое имя, соответствующее идентификатору терминала в сети. Первые два варианта можно использовать либо для получения апдейтов с сервера Microsoft, либо с внутреннего сервера. Правда, есть еще и третий вариант - установка баз данных на удаленном терминале. Но такая схема применяется в основном только в тех случаях, когда нужно распределять апдейты по удаленным филиалам с дополнительного сервера обновлений.

Выбор порта

На следующем этапе установки WSUS настройка предполагает осуществить выбор порта. К этому нужно отнестись очень внимательно, поскольку ввод некорректных значений может привести только к тому, что вся схема работать не будет.

Обратите внимание, что по умолчанию к использованию предлагается 80-й порт. Можно, конечно, оставить и его, но лучше (и это подтверждается практикой) использовать порт под номером 8530 (8531). Но такой подход применим только в том случае, когда требуется ручная настройка прокси.

Выбор обновлений

Следующий шаг в инсталляции WSUS - настройка параметров получения апдейтов с вышестоящего сервера. Иными словами, нужно указать, откуда именно будут загружаться обновления.

Тут есть два варианта: либо производить синхронизацию с сервером обновления Microsoft, либо с другим удаленным терминалом. Лучше использовать первый вариант.

Настройка WSUS в домене

Устанавливать можно любой из предложенного списка, но английский должен быть выбран в обязательном порядке, поскольку без этого корректная загрузка и распределение апдейтов не гарантируется.

Выбор продуктов

Теперь для WSUS Offline Update следует указать, какие именно программные продукты подлежат обновлению. Как считает большинство специалистов, при выборе желательно не жадничать и отметить максимально возможное количество пунктов в списке.

Но и увлекаться тоже не стоит. Лучше отметить только то, что действительно необходимо. Например, если ни на одной машине в сети версия «Офиса» 2003 не установлена, то и указывать ее обновление не стоит.

Обновление WSUS на следующем этапе предложит выбрать классы программного обеспечения, для которых апдейты будут загружать в первую очередь. Тут - на свой выбор. В принципе, можно не устанавливать галочки напротив установки обновлений драйверов, средств и новых функций. По завершении устанавливается время, когда выбранные обновления будут загружаться и инсталлироваться.

Настройки консоли

Теперь следует вызвать консоль и первым делом установить ручную синхронизацию, чтобы произошла загрузка всех имеющихся на данный момент апдейтов.

После этого придется заняться настройкой групп терминалов. Рекомендуется создать две категории компьютеров. В одной будут находиться серверы, в другой - обычные рабочие станции. Такая настройка позволит ограничить инсталляцию обновлений на серверы.

Поскольку все видимые в сети терминалы на данный момент находятся в категории неназначенных компьютеров, распределять их по соответствующим группам придется вручную.

На следующем этапе настройка WSUS предполагает создание специальных правил обновления, что делается в разделе автоматического одобрения. Для рабочих станций желательно установить правило автоматического одобрения, а для серверов нужно будет дополнительно отметить еще одну соответствующую строку. Кроме того, именно для серверов не рекомендуется выбирать абсолютно все обновления, поскольку это может привести к сбоям в работе.

Установка параметров обновления в групповых политиках

Когда предварительная настройка основных параметров завершена, следует выполнить еще несколько действий, связанных с разрешениями и одобрениями.

Для этого нужно использовать который проще всего вызвать через консоль «Выполнить» (Win + R) командой gpedit.msc, а не использовать «Панель управления» или раздел администрирования.

Здесь нужно через конфигурацию компьютера и политики добраться до административных шаблонов, где найти «Центр обновления». В нем нас интересует параметр, отвечающий за указание расположения службы обновления в интрасети. Вызывав двойным кликом меню редактирования, службы нужно включить и указать адрес сервера, который обычно выглядит как http://SERVER_NAME, где SERVER_NAME - имя сервера в сети. Можно не использовать такую комбинацию, а просто прописать IP сервера. По завершении настройки через некоторое время дочерние машины начнут получать пакеты апдейтов.

Возможные ошибки

Ошибки WSUS чаще всего связывают с тем, что для серверов включено слишком много ненужных обновлений, о чем было сказано выше.

Однако не менее распространенной проблемой является и тот момент, что обновления устанавливаются не на всех сетевых дочерних терминалах. В данном случае необходимо открыть раздел автоматических одобрений и установить для них именно тип групповых политик, который соответствует автоматической инсталляции критических апдейтов операционной системы и системы безопасности. Соответственно, можно создать и свое новое правило с указанием продуктов и параметров установки обновлений (можно использовать даже ручное одобрение).

Наконец, если не производить полный сброс настроек WSUS, после чего всю процедуру установки параметров придется производить заново, настоятельно рекомендуется хотя бы раз в месяц делать очистку сервера (для этого предусмотрена одноименная функция в виде «Мастера»). Такие шаги помогут удалить из системы невостребованные апдейты, а также существенно уменьшить размер самой базы данных (понятно ведь, что чем боле база, тем большее время требуется на обращение к ней, плюс - чрезмерная нагрузка на вычислительные способности сервера и распределение обновлений по сети).

В некоторых случаях может помочь установка политик не по умолчанию (Default Group Policy), а создание нового типа со всеми активированными параметрами из списка доступных с вводом сетевого адреса сервера (при задействованном порте 8530).

В случае когда используются так называемые мобильные рабочие места, аналогичные настройки можно произвести в разделе локальных политик безопасности, указав соответствующие параметры. Если все выполнено правильно, для группы терминалов Server будут инсталлироваться исключительно критические апдейты, а для компьютеров, входящих в группу Workgroup (или в категорию с другим именем), - абсолютно все обновления, которые были выбраны на начальном этапе настройки.

Вместо итога

Собственно, на этом рассмотрение вопроса о настройке службы автоматического апдейта WSUS можно и закончить. Чтобы все заработало и не вызывало беспокойства у системного администратора в дальнейшем, следует обратить внимание на начальные условия, связанные с установкой дополнительных компонентов. Как считается, серверную версию ОС лучше использовать не 2003, а 2008 R2 или выше, а также обратить внимание на платформу.NET Framework четвертой версии, а не 2.0). Кроме того, особо внимательно следует отнестись к настройкам прокси и выбору портов, поскольку порт 80 по умолчанию может и не работать. Наконец, одним из самых важных аспектов настройки является выбор групп терминалов и устанавливаемых на них обновлений. В остальном же, как правило, проблем быть не должно, хотя при загрузке тяжеловесных апдейтов большого размера при плохом качестве связи кратковременные сбои и ошибки распределения обновлений по сети наблюдаться все-таки могут. Кстати, и чистить сервер время от времени тоже нужно. Если автоматический инструмент по каким-то причинам положительного эффекта не возымеет, можно попытаться хотя бы удалить временные файлы вручную из директории SDTemp. По крайней мере, даже такой тривиальный шаг позволит сразу же снизить нагрузку не только на сам сервер, но и на дочерние терминалы, и на сеть в целом.

Описывался процесс установки этой сетевой службы. В данном посте описан процесс настройки компьютеров на обновление с доступных вам серверов WSUS.

Настройка компьютеров рабочей группы или отдельно стоящих серверов

Для настройки компьютеров в данном случае потребуется оснастка «Редактор объекта групповой политики». Чтобы ее открыть, сделайте следующее:

1. Открыть меню «Пуск» - Выполнить. В строке «открыть» – набрать «mmc» - далее ОК
2. В консоли MMC открыть меню Файл – Добавить или удалить оснастку…
3. Выбрать оснастку «Редактор объектов групповой политики» - Готово – ОК
4. Мы хотим создать правило для обновления ОС компьютера. Поэтому в правой части редактора в кусте «Конфигурация компьютера» открываем ветку Политики – Административные шаблоны – Компоненты Windows – Центр обновления Windows
5. В правой части окна редактора вы увидите правила, описывающие поведение компьютеров, касающиеся процессов обновления. Выберите правило «Настройка автоматического обновления».
6. В окне настройки автоматического обновления включите правило и укажите параметры. По умолчанию будет выбран режим настройки №3 – автоматическая загрузка и уведомление об установке. В этом случае установка будет производиться только после подтверждения на обновление. Возможна так же установка обновлений по расписанию. Выполнив настройки, нажмите кнопки «Применить» и «Следующий параметр»
7. Следующим параметром будет правило «Указать размещение службы обновлений Майкрософт в интрасети», где необходимо указать расположение службы обновлений, а так же сервер статистики (обычно это один и тот же сервер). Нажмите кнопку ОК.В принципе, этого достаточно. Но можно сделать и более тонкую настройку процесса обновления. Почитав встроенные подсказки к правилам, вы поймете, что вам нужно.
8. Закрыть оснастку

Все… правила начнут действовать сразу.

Вообще, таким образом можно настраивать и доменные компьютеры. Но если администратор сети сделал уже эти настройки на уровне домена, то вышеуказанные правила действовать не будут, поскольку будут перекрыты доменными групповыми политиками.

Настройка компьютеров домена

Для настройки компьютеров домена на обновление с корпоративного сервера WSUS необходимо иметь права администратора домена Windows.

Для настройки вам потребуется оснастка GPMC (Group Policy Management Console - Оснастка Управления Групповой Политикой).

На компьютерах с ОС Windows 7 оснастку лучше установить с комплектом удаленного администрирования RSAT (есть локализованная версия). После установки комплекта удаленного администрирования, не забудьте включить нужные компоненты управления (Панель управления - Программы и компоненты - Включение или отключение компонентов Windows)

Необходимо сделать следующее:
1. Запустить с помощью меню Пуск - Выполнить - GPMC.msc

2. Открыть ветку Домены – Имя_Домена – Объекты групповой политики и правой кнопкой мыши выбрать меню «Создать»
3. В поле «Имя» указать имя нового объекта групповой политики (пусть это будет “WSUS Group Policy”), далее - ОК
4. В правом окне оснастки найдите имя вашего объекта и правой кнопкой выберите меню «Изменить». Откроется оснастка «Редактор управления групповыми политиками»
5. Далее, необходимо выполнить те же самые шаги, что описаны в предыдущем разделе.

Итак, объект групповой политики (GPO) создан, но созданный GPO пока является лишь голой инструкцией. Для того, чтобы инструкция заработала, необходимо сделать привязку этой GPO к соответствующему контейнеру Windows AD. Именно те компьютеры домена, которые находятся в этом контейнере, будут выполнять эти инструкции (т.е. обновляться). Таким контейнером может быть весь домен, сайт или подразделение.
Какой контейнер выбрать – решать вам. Но критерии следующие:

-- Если вы хотите, чтобы обновлялись все компьютеры вашего домена – привязывайте GPO к домену
-- Если вы хотите обновлять только часть компьютеров, например отдельные серверы – создайте подразделение в домене, поместите туда нужные сервера и сделайте привязку к этому подразделению
-- Если ваша сеть имеет несколько площадок в разных городах, то по-хорошему подсети этих площадок должны принадлежать отдельным сайтам. В этом случае, чтобы не нагружать каналы связи между площадками, на каждом сайте имеет смысл установить свой сервер WSUS и создать для каждого отдельный GPO, указывающий именно на него. В дальнейшем, следует сделать привязки их к соответствующим сайтам (см. рисунок ниже)

Дальнейшие шаги описывают процесс привязки созданных вами объектов групповых политик к соответствующим контейнерам Windows AD.

Допустим, вы решили обновлять все компьютеры домена.

1. Тогда в открытой ранее оснастке «Управление групповой политикой» в левой части окна откройте ветку «Лес: Имя_Леса – Домены – Имя_домена»
2. Правой кнопкой мыши на имени вашего домена выбрать меню «Связать существующий объект групповой политики…»
3. В окне «Выбор объекта групповой политики» найти соответствующий GPO, который мы ранее назвали «WSUS Group Policy» и нажать ОК.

Фильтры WMI для GPO

Считаю хорошей практикой обновлять клиентские и серверные ОС с помощью отдельных групповых политик домена. В данном случае я исхожу из того, что:

- серверные ОС лучше обновлять вручную в рамках плановых регламентных работ (в этом случае осторожность вполне уместна);
- клиентские ОС лучше обновлять автоматически. Обновлять их вручную при большом парке компьютеров весьма проблематично, а пользователи это делать вряд ли будут (даже если им показать как).

Что для этого нужно сделать?

Во-первых, в оснастке GPMC.msc следует создать раздельные GPO, например

ServerOS WSUS Group Policy
ClientOS WSUS Group Policy

и настроить их на ручной (автоматическая загрузка и уведомление об установке) и автоматический режимы обновления ОС соответственно.

Во-вторых, в той же оснастке создать два WMI-фильтра. Именно эти фильтры и будут определять, которая из выше указанных GPO будет действовать при обновлении каждого компьютера вашей сети.

В третьих, связать фильтры WMI с соответствующими GPO, а обе эти GPO уже можно будет связать прямо с доменом или сайтом (как вам будет угодно).

Как создать фильтры

В уже открытой оснастке GPMC идем по ветке Лес -- Домены -- _Имя_домена_ -- Фильтры WMI. Правой кнопкой "Создать" создаем фильтр с именем Server OS"s and DC

Добавляем в него запрос в пространство root\CIMv2

ServerOS WSUS Group Policy " работать только с компьютерами под управлением серверных OS Windows (в том числе, с контроллерами домена).

Аналогично создаем фильтр с именем Client OS"s

Добавляем в него запрос в root\CIMv2

Этот фильтр позволит GPO с именем "ClientOS WSUS Group Policy " работать только с компьютерами под управлением клиентских OS Windows независимо от версии (Windows 2000 pro, Windows XP, Vista, Windows 7 и Windows 8)

Фильтры готовы.

Как мы уже писали, нужно связать GPO ServerOS WSUS Group Policy и ClientOS WSUS Group Policy с соответствующими фильтрами. Например, это можно сделать следующим образом: в ветке "Объекты групповой политики" выбрать нужный GPO, далее справа внизу "Фильтр WMI" выбрать нужный фильтр из выпадающего списка.

Итак, теперь клиентские компьютеры домена будут обновляться автоматически, а сервера будут покорно ждать вашего внимания.

На этом настройка закончена.

Как проверить результат?

В результате всех вышеуказанных действий, мы ожидаем начала обновления той части компьютров домена, на которые, по нашему мнению, должна распространяться настроенная политика.

Во-первых, можно посмотреть в журналах оснастки управления сервером WSUS появление записей о состоянии клиентов автоматического обновления.

Во-вторых, можно убедиться, что настроенная политика действует на клиентов WSUS. Откройте Панель управления - Центр обновления Windows, и убедитесь, что в правой части окна Центра обновления появилась надпись: "Контролирует системный администратор" (для Windows 7/Vista/2008/2008R2) Если этого нет - политика не действует.

Но это еще не значит, что вы где то допустили ошибку. Возможно, компьютер еще не обновил свои настройки с контроллера домена.

Это связано с тем, что групповые политики на компьютерах домена применяются не моментально (обновление GP в локальной сети идет по умолчанию с интервалом 15 минут, а межсайтовая репликация происходит еще реже)
Поэтому, можно просто подождать или выполнить обновление групповых политик на компьютерах командой

На компьютере-клиенте WSUS не запущены необходимые службы (такие, как Центр обновления Windows и Клиент групповой политики и т.д.)

Не отработал GPO для отдельных компьютеров. В этом случае прийдется разбираться с каждым отдельно. Рекомендую смоделировать действие групповой политики для проблеммных компьютеров с помощью той же оснастки GPMC.msc. Это позволит убедится, применился ли созданный GPO для анализируемого компьютера. К сожалению, траблешутинг Group Policy Windows AD выходит за рамки этого поста.

Ну и самое главное... лог WSUS-клиента вот тут --> c:\Windows\WindowsUpdate.log

Итак, подразумевается что у Вас имеется установленный Wsus сервер, Групповые политики Active Directory (далее GPO) позволяют системным администраторам автоматически указать клиентов в различные группы WSUS сервера, избавляя от необходимости ручного перемещения компьютеров между группами в WSUS консоли. Такое назначение клиентов к различным группам основывается на основе меток на клиенте, такие метки задаются политикой или простой модификацией реестра. Данный тип соотнесения клиентов к группам WSUS называется Таргетинг на стороне клиента (client side targeting).

Обычно используются две различные политики обновления: для рабочих станций (workstations) и для серверов (Servers). Сначала указываем правило группировки клиентских компьютеров в WSUS консоли. По умолчанию в консоли компьютеры распределяются по группам вручную (server side targeting). Укажем, что клиенты распределяются в группы на основе client side targeting (групповых политик или параметров реестра). Для этого в WSUS консоли перейдите в раздел Options откройте параметр Computers и замените значение на Use Group Policy or registry setting on computers (Использовать групповые политики или значения в реестре, см скрин).

После этого начнем непосредственную настройку клиентов WSUS с помощью групповых политик (GPO). Откройте консоль управления групповыми политиками (Group Policy Management) и создайте две новые групповые политики: ServerWSUSPolicy и WorkstationWSUSPolicy.

Групповая политика установки обновлений WSUS для рабочих станций (WorkstationWSUSPolicy)

Логика политики интуитивно понятна, в нашем случаем мы планируем устанавливать обновления автоматически ночью после их получения. Клиенты после установки обновлений перезагружаются автоматически (предупреждая пользователя за 10 минут). Открываем консоль редактирования GPO (gpmc.msc), переходим в Настройки групповых политик: Конфигурация компьютера -> Политика -> Административные шаблоны -> Компоненты Windows -> Центр обновления Windows (Computer Configuration -> Policies -> Administrative templates -> Windows Component -> Windows Update )

В политике указываем:

Allow Automatic Updates immediate installation: Disabled — запрещаем немедленную установку обновлений при их получении
Allow non-administrators to receive update notifications: Enabled — отображать пользователям предупреждение о появлении новых обновлений и разрешить их ручную установку
Configure Automatic Updates: Enabled . Configure automatic updating: 4 - Auto download and schedule the install. Scheduled install day: 0 - Every day . Scheduled install time : 03:00 – клиентский ПК скачивает новые обновления и планирует их автоматическую установку на 3:00 утра
Target group name for this computer: Workstations – в консоли WSUS отнести клиентов к группе Workstations
No auto-restart with logged on users for scheduled automatic updates installations: Disabled — система автоматически перезагрузится через 10 минут после окончания установки обновлений
Specify Intranet Microsoft update service location: Enable. Set the intranet update service for detecting updates: http://wsus:8530 , Set the intranet statistics server: http://wsus:8530 –адрес корпоративного WSUS сервера

Если Вы указываете адрес http://wsus, убедитесь что данный адрес разрешается ДНС (ping wsus), если нет то добавите адрес в ДНС сервер.

Групповая политика установки обновлений WSUS для серверов (ServerWSUSPolicy )

Напоминаем, что настройки групповых политик отвечающих за работу службы обновлений Windows находятся в разделе GPO: Computer Configuration -> Policies -> Administrative templates -> Windows Component -> Windows Update (Конфигурация компьютера -> Политика -> Административные шаблоны -> Компоненты Windows -> Центр обновления Window).

Данная политика предназначена для серверов, доступность которых нам нужна непрерывная, по крайней мере в рабочее время. Для этого мы запрещаем автоматическую установку обновлений на целевых серверах при их получении. Предпологается, что клиент WSUS сервера должен просто скачать доступные обновления, после чего отобразить оповещение и ожидать подтверждения системного администратора для начала его установки.Таким образом мы гарантируем, что боевые сервера не будут автоматически устанавливать обновления и перезагружаться без контроля администратора.

В политике указываем:

Совет . Рекомендуем в обоих политиках настроить обновлений (wuauserv) на клиенте, чтобы быть уверенным что обновления дойдут до целевого сервера. Для этого в разделе Computer Configuration -> Policies-> Windows Setings -> Security Settings -> System Services (в русской локализации: Конфигурация компьютера -> Политики ->Параметры безопасности->Системные службы), найдите службу Центр обновления Windows (wuauserv) и задайте для нее тип запуска «Автоматически».

Назначаем политику WSUS на OU (контейнер) в Active Directory

Далее назначим стандартным способом политику на имеющиеся у нас контейнеры, в нашем случае это два контейнера для рабочих станций (workstations ) и для серверов (Servers ). В данном примере мы рассматриваем самый простой вариант привязки политик WSUS к компьютерам. В реальных условиях можно распространить одну политику WSUS на всех доменах (GPO привязывается к корню домена) или разнести различных клиентов на разные контейнеры. Для больших и распределенных сетей стоит привязывать различные WSUS сервера к сайтам AD, или же назначать GPO на основании фильтров WMI, или скомбинировать перечисленные выше способы.

Чтобы привязать созданную политику к контейнеру запустите оснастку редактирования групповых политик (gpmc.msc ), нажмите правой кнопкой на контейнер -> Привязать существующий обьект групповой политики, и указать контейнер с серверами, в нашем примере сервера в контейнере Servers. Также это можно сделать перетащив групповую политику drag&drop в контейнер, автоматически создастся ссылка на политику (черная стрелка), что означает политика привязана к контейнеру. Далее нажмите на контейнере правой кнопкой и -> обновление групповой политики.

Для ускорения получения политики на клиенте можно выполнить команду: gpupdate /force , данная команда инициирует немедленное применение групповой политики.

И через небольшой промежуток времени можно проверить клиентов на наличие всплывающего оповещений о наличии новых обновлений. В WSUS консоли в соответствующих группах должны появиться клиенты (в таблице отображается имя клиента, IP, ОС, процент их «обновленности» и дата последнего обновлений статуса).

Для управления Windows Server Update Services (WSUS) и службой Wuauclt имеется , самые распространенные из них:

/DetectNow - поиск обновлений

/ResetAuthorization - запрос на обновление авторизации

runas /user:admin «wuauclt /detectnow» - поиск обновлений под определенным пользователем

/ReportNow - сформировать отчет

В одной из предыдущих статей по службам Windows Server Update Services, а именно в статье «Планирование архитектуры WSUS», я говорил, что для каждой модели развертывания серверов WSUS целесообразно использовать группы компьютеров. Группы позволяют вам предотвратить развертывание обновлений, которые могут ухудшить работоспособность операционной системы ваших сотрудников. Например, вы можете создать группы для тестирования и пилотного развертывания обновлений, предназначенные для лабораторного тестирования новых обновлений, а также развертывания в испытательной группе, сотрудники которой являются компетентными ИТ-специалистами, помогающими идентифицировать и устранять возникшие неполадки. Помимо этого, вы можете создавать дополнительные группы для развертывания обновлений для различных моделей компьютеров, например, отдельные группы для почтовых серверов, для контроллеров домена, а также группы, в которые будут входить ваши пользователи. Настройка пользователей на конкретные группы позволяет вам гарантировать, что каждый компьютер получит нужное рабочее обновление в удобное для пользователя время. Стоит обратить внимание, что каждый клиентский компьютер может быть настроен на подключение только к одному серверу обновлений. Другими словами, если в вашей организации разворачивается дополнительный WSUS-сервер и компьютер пользователя перенаправляют на второй WSUS-сервер, он автоматически перестает подключаться к первому серверу. Несмотря на это, на том сервере обновлений, который использовался клиентом ранее, клиентский компьютер все еще останется в списке компьютеров и групп, а сам сервер будет вам периодически напоминать о времени последнего подключения компьютера к данному серверу.

По умолчанию на серверах WSUS созданы две группы: «Все компьютеры» и «Неназначенные компьютеры» , куда изначально входят все клиентские компьютеры, подключенные к WSUS-серверу. Группы вы можете создавать вручную, образовывая так называемую иерархию. Количество групп может быть не ограниченным. В этой статье вы узнаете о самом процессе создания групп, а также о настройке клиентских компьютеров средствами групповой политики.

Создание групп компьютеров и назначение компьютеров в группы со стороны сервера

Создание групп компьютеров с помощью оснастки «Update Services» – процесс довольно таки простой. Для того чтобы создать дополнительную группу, выполните следующие действия:

Если в вашей организации для назначения компьютеров в группы компьютеров не используется назначение со стороны клиентов средствами параметров групповых политик или системного реестра, вы можете назначать клиентские компьютеры в группы со стороны сервера, а именно средствами оснастки «Update Services» . Для того чтобы назначить компьютер в группу компьютеров со стороны сервера, выполните следующие действия:

В оснастке «Update Services» , в дереве консоли разверните узлы «Компьютеры» и «Все компьютеры» , после чего выберите группу «Неназначенные компьютеры» , где должны отображаться компьютеры, которые не были назначены в конкретные группы;
Выделите компьютер, который следует поместить в определенную группу, щелкните на нем правой кнопкой мыши и из контекстного меню выберите команду «Изменить членство» ;
В диалоговом окне «Настройка членства в группах компьютеров» установите флажок для одной или нескольких групп, в которые нужно включить компьютер и нажмите на кнопку «ОК» .

Назначение клиентских компьютеров в группы компьютеров со стороны клиента

В большинстве случаев, в организациях принято назначать клиентские компьютеры в группы компьютеров со стороны клиента, а именно средствами групповых политик. Данный способ позволяет автоматически назначать все настройки клиентам, которые добавляются в сеть. Прежде чем переходить к процедуре назначения компьютера в группу компьютеров средствами групповых политик, рассмотрим параметры групповой политики, доступные для управления клиентскими компьютерами Windows Server Update Services:

Включить рекомендуемые обновления через автоматическое обновление . Используя этот параметр групповой политики, вы можете определить, будет ли на клиентском компьютере служба автоматического обновления Windows доставлять обновления, которые помечены как важные и рекомендуемые из Центра обновления Windows. В том случае, если вы отключите данный параметр, то будут доставляться только важные обновления;
Включить уведомление о наличии программ . Этот параметр позволяет вам отображать подробные расширенные уведомления от службы центра обновления Майкрософт пользователям, что ускоряет установку и использование дополнительных приложений;
Задержка перезагрузки при запланированных установках . При помощи этого параметра вы можете указать промежуток времени, в течение которого операционная система будет ожидать перед плановой перезагрузкой. Данный параметр применяется для службы автоматического обновления только в том случае, если установка обновлений настроена по расписанию, в противном случае вам придется выполнять перезагрузку в ручном режиме. Если данный параметр политики отключен, то перед перезагрузкой компьютер будет ожидать 15 минут, если же вы включите данный параметр, то промежуток времени будет изменен до 5 минут;
Настройка автоматического обновления . Данный параметр групповой политики позволяет вам определить, как именно клиентский компьютер будет получать обновления для операционной системы и приложений. Если вы включите данный параметр, вам нужно будет выбрать один из четырех параметров, которые выполняют те же функции, что и параметры, расположенные в раскрывающемся списке «Важные обновления» в окне настроек параметров центра обновления Windows. Если вы выберите параметр «2 – уведомление о загрузке и установке» , то при обнаружении операционной системой новых обновлений, в области уведомлений будет отображаться значок, свидетельствующий о том, что вы можете загрузить и установить обновления. После того как будут выбраны обновления, необходимые для загрузки, они будут загружены в фоновом режиме и вам нужно будет их установить. Данный вариант приемлем для персонала, тестирующего обновления, а также для некоторых домашних пользователей, но его ни в коем случае не стоит выбирать для пользователей в организации, так как следить за состоянием своей операционной системы будет от силы один из десяти ваших пользователей. Если установить параметр , что равносильно значению «Загружать обновления, но решение об установке принимается мной» в графическом пользовательском интерфейсе, то после того как операционная система обнаружит новые обновления, она их автоматически загрузит на компьютер в фоновом режиме и вам нужно будет только установить загруженные обновления. Выбрав параметр , то обновления будут автоматически загружены и установлены в указанное в данном параметре время, причем, если для завершения установки понадобится перезагрузить компьютер, он будет перезагружен в автоматическом режиме. Установив параметр под номером 5, вы разрешите локальным администраторам выбирать режим вывода уведомлений об обновлениях и их установке, что, по моему мнению, стоит выбирать только в самых крайних случаях.
Не выполнять автоматическую перезагрузку при автоматической установке обновлений, если в системе работают пользователи . Этот параметр групповой политики позволяет для завершения установки обновлений по расписанию запретить автоматическую перезагрузку компьютера, тем самым дав пользователям возможность перезагружать систему автоматически при первом входе в систему;
Не задавать по умолчанию параметр «Установить обновления и завершить работу» в диалоговом окне «Завершение работы Windows» . Используя текущий параметр, вы можете определить, будет ли в диалоговом окне завершения работы операционной системы по умолчанию отображаться команда . В том случае, когда завершение установки обновления требует перезагрузки, то отображается именно эта команда, но если включить данный параметр групповой политики, то в диалоговом окне завершения работы операционной системы будет установлена по умолчанию та команда, которая задана в настройках операционной системы;
Не отображать параметр «Установить обновления и завершить работу» в диалоговом окне «Завершение работы Windows» . Многие из вас знают, что если на компьютере есть обновления, которые будут установлены после перезагрузки компьютера, то команда «Завершить работу» меняется на «Установить обновления и завершить работу» . Такое название команды может довести некоторых пользователей практически до предынфарктного состояния. Чтобы избежать таких ситуаций вы можете воспользоваться данным параметром групповой политики. При включенном параметре команда «Завершение работы» всегда будет иметь такое название даже в том случае, если на компьютере присутствуют обновления, которые будут установлены после перезагрузки или выключения компьютера;
Перенос запланированных автоматических установок обновлений . Данный параметр групповой политики позволяет вам указать период ожидания после загрузки операционной системы до выполнения пропущенной ранее установки обновлений по расписанию. По умолчанию пропущенная установка обновлений по расписанию выполняется через одну минуту после загрузки системы, при отключении данного параметра, система будет ждать до следующей установки по расписанию. Если же вы включите данный параметр, то сможете указать период времени, в течение которого операционная система будет ждать до выполнения установки пропущенных обновлений;
Повторный запрос для перезагрузки при запланированных установках . Периодически практически у каждого пользователя случаются такие ситуации, когда он загружает и устанавливает обновления, но не хочет перезагружать компьютер для завершения установки некоторых обновлений. В этом случае каждые 10 минут выскакивает предупреждающее приглашения с предложением перезагрузить компьютер, которое может действовать некоторым людям на нервы. Если вы относитесь к таким пользователям, то этот параметр групповой политики разработан специально для вас. При помощи этого параметра вы можете определить период времени, через который пользователь увидит запрос для перезагрузки компьютера;
Разрешить пользователям, не являющимся администраторами, получать уведомления об обновлениях . По умолчанию, в том случае если у вас не выбрана установка обновлений по расписанию, только локальные администраторы компьютеров могут получать уведомления об обновлениях. Если же перед вами стоит задача дать наряду с локальными администраторами обычным пользователям возможность получать уведомления, а также устанавливать важные, рекомендуемые и необязательные обновления, то вам нужно воспользоваться текущим параметром групповой политики, причем, для установки обновлений пользователи даже не увидят диалогового окна UAC;
Разрешить клиенту присоединение к целевой группе . Именно при помощи этого параметра вы можете назначить клиентский компьютер в группу компьютеров сервера Windows Server Update Services. Если группа не указана, а пользователь подключается к WSUS-серверу, то вы сможете найти этот компьютер в группе «Неназначенные компьютеры» . Если же вам нужно поместить пользователя не в одну группу, а в несколько, то разделите группы точками с запятой;
Разрешить немедленную установку автоматических обновлений . Помимо обновлений, которые для завершения установки требуют перезагрузку компьютера, есть и такие обновления, которые могут устанавливаться в работающей операционной системе без всяких перезагрузок компьютера. При помощи текущего параметра групповой политики вы можете задать службе автоматического обновления немедленную установку обновлений без прерывания каких-либо служб операционной системы или ее перезагрузки;
Разрешить прием обновлений с подписью из службы обновлений Майкрософт в интрасети . Если помимо обновлений из серверов Microsoft, ваш WSUS-сервер распространяет обновления, разработанные другими компаниями, которые подписаны сертификатом, расположенным в хранилище «Доверенные издатели» на локальном компьютере, то данный параметр групповой политики позволит вам устанавливать такие обновления. Если же данный параметр отключен, то на клиентские компьютеры будут распространяться только обновления для продуктов компании Microsoft;
Разрешить управлению электропитанием центра обновления Windows выводить систему из спящего режима для установки запланированных обновлений . Если в вашей организации обновления устанавливаются автоматически по расписанию, то целесообразно устанавливать время расписания установки обновлений на ночь и не выключать полностью компьютеры, а переводить их в режим гибернации. Данный параметр групповой политики позволяет вам для установки обновлений переводить компьютер в обычный режим для установки обновлений;
Указать размещение службы обновлений Майкрософт в интрасети . По умолчанию, ваши клиентские компьютеры не знают, установлен ли в вашей организации WSUS-сервер. Используя этот параметр групповой политики, вы можете указать путь к WSUS-серверу, который будет служить внутренним сайтом служб обновлений в вашей организации. Здесь вам необходимо указать два параметра, а именно имя сервера, на котором будет выполняться поиск и загрузка обновлений, а также сервер, на который будет выполняться статистика. В большинстве случаев это один и тот же сервер;
Частота поиска автоматических обновлений . При помощи текущего параметра групповой политики вы можете указать промежуток времени между поиском новых обновлений на своем WSUS-сервере. По умолчанию доступные обновления проверяются с интервалом в 22 часа. Если вы включите данный параметр, то можете указать время ожидания в часах путем вычитания от 0 до 20% от установленного вами времени. Данную политику указывать бессмысленно в том случае, если у вас настроен параметр групповой политики «Настройка автоматического обновления» ;
Запретить использование любых средств Центра обновления Windows . Данный параметр групповой политики доступен только в разделе конфигурации пользователя и позволяет полностью запретить доступ к центру обновления Windows. Не рекомендую использовать данный параметр в производственной среде.

Теперь, после того как вы узнали о параметрах групповой политики, позволяющих управлять настройками центра, попробуем назначить на контроллере домена клиентский компьютер в группу компьютеров. Для этого выполните следующие действия:

После того как объект групповой политики будет окончательно настроен, для того чтобы на клиентских компьютерах моментально обновились параметры групповой политики вам нужно будет на каждом клиентском компьютере в командной строке выполнить команду «gpupdate /force» от имени учетной записи, которая входит в группу администраторов.

Заключение

В этой статье вы узнали о том, как можно создавать и управлять группами компьютеров. Также были рассмотрены способы назначения клиентских компьютеров в группы компьютеров на стороне сервера, а именно средствами оснастки «Update Services» и со стороны клиента, т.е. при помощи групповых политик. Помимо этого были подробно рассмотрены все параметры групповой политики, которые имеют отношение к центру обновлений Windows и службе автоматического обновления.

Владельцы компьютерных сетей сталкивались хоть раз с проблемой обновления программ. Делать это самостоятельно, без помощи специального софта, почти невозможно, так как занимает немыслимое количество времени. А время самый ценный ресурс. Если бы была служба, которая поможет решить эту проблему, автоматизируя процесс поиска, обновления и установки новых версий всех программ компании.

Такая система существует. Microsoft ещё в 2005 году выпустил службу Windows Server Update Services. Основное её предназначение - исправление и обновление продуктов Microsoft во всей компьютерной сети. Причём размер последней не играет никакой роли. Вы можете установить и настроить WSUS как для двух компьютеров, так и для пары сотен. Всё зависит исключительно от ваших требований. Новые версии выпускаются и поддерживаются и по сей день

Требования к системе

Настройка WSUS на Server 2012 не требует от пользователя глубоких познаний в программировании и компьютерных сетях. Интерфейс интуитивно понятный и удобный. Ориентация сделана на широкий круг лиц, которые будут использовать их продукт.

К тому же требования для нормальной работы службы довольно низкие, особенно по современным меркам. Например, для поддержания высокой работоспособности сервера, в сеть которого включено до пяти сотен компьютеров, рекомендуемый размер оперативной памяти должен быть не меньше 1 Гб. А тактовая частота процессора выше 1 ГГц. Согласитесь, даже старенькие офисные компьютеры обладают большими характеристиками.

Подготовка всего необходимого для WSUS

Итак, вы решились использовать для своих сетей WSUS. Установка и настройка не должна вызвать затруднений, если вы правильно подготовите для этого компьютер.

Раздел диска, на который вы собрались устанавливать WSUS, а также предназначенный для системы обязательно отформатируйте в NTFS.
Убедитесь, что компьютер имеет по меньшей мере 1 гигабайт оперативной памяти.
В зависимости от количества компьютеров в сети, выделите нужное свободное дисковое пространство. Для небольших сетей необходимо минимум 6 гигабайт. Исходя из опыта пользователей, рекомендуется выделить 30 гигабайт памяти на том диске, где будут храниться данные WSUS. Служба будет скачивать и устанавливать дополнительное программное обеспечение, поэтому лучше добавить больше памяти и быть уверенным в стабильной работе, чем пожалеть и постоянно проверять её работу.

Нужные компоненты

Не забывайте, что WSUS - это система для обновления программ и должна быть установлена в операционную систему семейства Windows. Также подготовьте и другие компоненты из этого списка перед установкой:

Microsoft Internet Information Services (IIS) 6.0.
Microsoft .NET Framework 1.1 с пакетом обновления 1 или выше.
Background Intelligent Transfer Service (BITS) 2.0.

Кроме подготовки сервера нужно включить в работу все клиентские компьютеры сети. Включите на них автоматическую службу обновления. Во всех операционных системах от Microsoft она присутствует. После завершения этого подготовительного этапа можно смело переходить к следующему.

Процесс установки

Установить сервис WSUS можно, только обладая администраторскими правами. Поэтому зайдите с учётной записи администратора. После этого запустите файл WSUSSetup. Он имеет расширение.exe и весит совсем немного - около 130 мегабайт.

Откроется стандартное окно Мастера установки. В нём прочитайте и примите лицензионное соглашение. В следующем окне появится возможность выбора источника обновления. Можно выбрать локальное хранение данных на сервере, либо загрузку с узлов Microsoft.

Для экономии трафика рекомендуется выставить локальный тип. В этом случае вы не только снизите затраты компании на Интернет, но и увеличите скорость установки обновлений на клиентских компьютерах. Не стоит сильно придавать этому выбору значения, всё равно за вами останется возможность настроить её позже по вашему усмотрению.

Следующее окно предлагает выбрать, какие параметры будут установлены для баз данных:

Вместе с WSUS дополнительно установится WMSDE. Он входит в состав программы и платить за него не нужно. Поэтому большинство пользователей устанавливают именно его. Причин отказа от него нет, да и к тому же это помогает избежать проблем в будущем.
Во втором случае устанавливаться WMSDE не будет. Вместо него будут использованы существующие базы данных от Microsoft SQL. При выборе этого пункта при длительной работе могут возникнуть сложности с тем, что данные могут устареть, и когда выйдет обновление на компьютерах, не сразу появится возможность обновиться.

В следующем окне вам предоставляют выбор веб-узла, который будет использовать сервер WSUS. Настройка здесь не требуется и в большинстве случаев используются стандартные предложенные параметры. Это узел IIS и порт с номером 80.

В последнем окне установки выбирается управляющая роль сервера. Если в вашей сети этот сервер первый и единственный, то смело пропускайте.

В случае когда сервер уже не первый, окно «Параметры зеркального обновления» нужно правильно настроить. Если этого не сделать, то могут возникать конфликты между этими серверами. На втором и последующих серверах установите галочку и введите имя сервера, который был установлен изначально.

Запуск консоли администрирования

Сразу после успешной установки WSUS пользователю предлагается запустить консоль администрирования. Сделать это возможно не только с сервера, но и с любого другого компьютера сети. Но стоит запомнить, что сделать это может только пользователь, который обладает правами администратора. Расположена консоль по следующему адресу: http://имя сервера/wsusadmin.

Настраиваем WSUS

В службе WSUS после установки можно настроить следующие параметры:

создание группы компьютеров;
синхронизацию;
автоматическое обновление.

Создание группы компьютеров

Самый важный момент, без которого не может обойтись настройка WSUS 2012 r2, - это создание группы компьютеров. Это нужно для удобного обновления программ для определённых компьютеров, выполняющих разные задачи.

Есть два способа добавления компьютеров в группы:

Со стороны сервера.
Со стороны клиента.

Чем они отличаются? Возможностью автоматизации процесса. В первом случае придётся назначать каждый отдельный компьютер вручную, используя консоль. Во втором случае потребуется настроить групповую политику и реестр операционной системы.

Для добавления компьютеров откройте страницу с их параметрами. Далее выберите способ назначения.

Чтобы создать группу, откройте вкладку «Компьютеры» в консоли. Там находится кнопка «Создать группу компьютеров». Будет создана группа, в которую уже добавляются компьютеры исходя из ваших требований.

Настройка параметров синхронизации

После создания групп настройка WSUS требует выбора параметров для загрузки обновлений. Вы можете выбрать ручной режим запуска синхронизации или автоматический по указанному расписанию.

Открыв раздел «Продукты и классы», укажите те программы, которые должны обновляться. Для передачи обновлений с сервера на компьютеры отметьте в списках программы, которые соответствуют требованиям.

Загружать таким способом можно не только программы, но и многое другое: драйверы, критические исправления для операционных систем, пакеты обновлений, ключи для систем безопасности. Изменить эти параметры можно в любой момент.

Настройка источников обновления

В том случае, если WSUS установлен впервые и нет других серверов, оставьте всё по умолчанию. Загрузка будет производиться с официального узла Microsoft Update.

Если сервер не первый, то указывайте данные главного WSUS.

Настройка автоматического одобрения

Ещё одним важным параметром автоматизации процесса является автоматическое одобрение. Это позволит не отвлекаться и не подтверждать вручную скачивание и передачу новых обновлений. Эта настройка WSUS находится в консоли.

Настройка синхронизации

Последний этап в настройке параметров - синхронизация. Она служит для проверки всего программного обеспечения сети на соответствие с последними обновлениями.

В случае подключения компьютера к сети сервер определит версию программ на нём и, если они отличаются от последних, отправит все обновления на него.

Небольшое послесловие

Как вы уже поняли, установка и проста и понятна. У системного администратора не должно возникнуть проблем с установкой и настройкой сервера. При этом использоваться может любая версия. Между собой никакой разницы в плане настройки WSUS Windows Server 2012 и любой другой версии нет . Каждая более новая версия работает быстрее и стабильнее, эффективнее использует ресурсы компьютера.

В то же время служба крайне полезна и функциональна. Она просто незаменима для предприятий любого уровня. С помощью WSUS вы сможете сэкономить драгоценные нервы и время. Не просто так её рекомендуют использовать все.