Güncellemeleri Dağıtmak için WSUS Grup İlkesi Ayarları

Önceki yazılarımızdan birinde Windows Server 2012 R2/2016 üzerinde WSUS sunucusu kurulumunu detaylı bir şekilde anlatmıştık. Güncelleme sunucusunu yapılandırdıktan sonra, güncellemeleri almak üzere WSUS sunucusunu kullanmak için Windows istemcilerini (sunucu ve iş istasyonları) yapılandırmanız gerekir. Bu nedenle, ağınızdaki tüm Windows istemcileri, güncellemeleri İnternet üzerinden Microsoft Update sunucularından değil, dahili güncelleme sunucusundan almalıdır. Bu makalede, istemcilerin Active Directory etki alanı grup ilkelerini (GPO) kullanarak bir WSUS sunucusu kullanacak şekilde nasıl yapılandırılacağına bir göz atacağız.

AD Grup İlkeleri, yöneticinin bilgisayarları farklı WSUS gruplarına otomatik olarak atamasına izin verir, böylece WSUS yöneticisinin bilgisayarları WSUS konsolundaki gruplar arasında el ile taşıması ve bu grupları güncel tutması gerekmez. İstemcilerin farklı hedef WSUS gruplarına atanması, istemcideki kayıt defterindeki bir etiketi temel alır (etiketler bir GPO veya doğrudan bir kayıt defteri değişikliği tarafından ayarlanır). WSUS gruplarına bu tür istemci atamasına istemci tarafı hedefleme denir.

Ağımızın iki farklı güncelleme politikası kullanması beklenmektedir: Sunucular için ayrı güncelleme politikası ve İş İstasyonları için ayrı güncelleme politikası. Bu iki grubun WSUS konsolunda Tüm Bilgisayarlar bölümünde oluşturulması gerekir.

İpucu. İstemcilerin WSUS sunucusunu kullanma politikası, büyük ölçüde Active Directory organizasyon birimlerinin (OU) organizasyon yapısına ve şirketteki güncelleme kurulum kurallarına bağlıdır. Bu yazıda, Windows güncellemelerini yüklemek için grup ilkelerini kullanmanın temel ilkelerini anlamaya çalışacağız.

Öncelikle WSUS konsolundaki bilgisayarları gruplandırma (hedefleme) kuralını belirlemeniz gerekir. Varsayılan olarak, WSUS konsolundaki bilgisayarlar, sunucu yöneticisi tarafından manuel olarak gruplara dağıtılır (sunucu tarafı hedefleme). Bu bize uymuyor, bu yüzden istemci tarafı hedeflemeyi kullanarak (grup ilkelerini veya kayıt defteri parametrelerini kullanarak) bilgisayarların gruplara dağıtılacağını belirteceğiz. Bunu yapmak için, WSUS konsolunda Seçenekler'i tıklayın ve Bilgisayarlar'ı açın. Değeri "Bilgisayarlarda Grup İlkesi veya kayıt defteri ayarlarını kullan" olarak değiştirin.

Artık WSUS istemcilerini yapılandırmak için bir GPO oluşturabilirsiniz. Grup İlkesi Yönetimi'ni (GPMC.msc) açın ve iki yeni grup ilkesi oluşturun: ServerWSUSPolicy ve WorkstationWSUSPolicy.

Windows sunucuları için WSUS Grup İlkesi

Sunucu politikasının açıklamasıyla başlayalım - ServerWSUSPolicy.

Windows Update hizmetinin çalışmasından sorumlu Grup İlkesi ayarları aşağıdaki GPO bölümünde bulunur: Bilgisayar Yapılandırması -> İlkeler -> Yönetim şablonları-> Windows Bileşeni-> Windows Update.

Ortamımızda, Windows sunucularına WSUS'tan güncellemeler yüklemek için bu ilkeyi kullanmanızı öneririz. Bu ilke kapsamındaki tüm bilgisayarlar, WSUS konsolundaki Sunucular grubuna atanır. Ek olarak, güncellemeler alındığında otomatik olarak sunuculara yüklenmesini devre dışı bırakmak istiyoruz. Güncelleme sırasında istemci, mevcut güncellemeleri yerel sürücüye indirmeli, sistem tepsisinde ilgili bildirimi görüntülemeli ve yöneticinin kurulumu manuel olarak başlatmasını beklemelidir (yerel olarak veya PSWindowsUpdate modülünü kullanarak uzaktan). Bu, üretken sunucuların güncellemeleri otomatik olarak yüklemeyeceği ve yönetici onayı olmadan yeniden başlatılmayacağı anlamına gelir (bu görevler genellikle sistem yöneticisi tarafından aylık planlanmış bakımın bir parçası olarak gerçekleştirilir). Böyle bir şemayı uygulamak için aşağıdaki politikaları belirleyelim:

  • Otomatik Güncellemeleri Yapılandır: Etkinleştir. 3 - Yükleme için otomatik indirme ve bildirim - istemci otomatik olarak yeni güncellemeleri indirir ve bunlar hakkında sizi bilgilendirir;

  • Intranet Microsoft güncelleme hizmeti konumunu belirtin: Etkinleştir. Güncellemeleri algılamak için intranet güncelleme hizmetini ayarlayın: http://hq-wsus. a-d.site:8530, İntranet istatistik sunucusunu ayarlayın: http://hq-wsus.a-d.site:8530 - yerel ağ adresini ayarlayın WSUS sunucusu ve istatistik sunucusu (genellikle aynıdır);

  • Zamanlanmış otomatik güncelleme kurulumları için oturum açmış kullanıcılarla otomatik yeniden başlatma yok: Etkinleştir - kullanıcı oturumu açıksa otomatik yeniden başlatmayı devre dışı bırakın;

  • İstemci tarafı hedeflemeyi etkinleştir: Etkinleştir. Bu bilgisayar için hedef grup adı: Sunucular - WSUS konsolunda, istemcileri Sunucular grubuna atayın.

Not. Güncelleme politikasını yapılandırırken, Windows Update GPO bölümündeki her seçenekte bulunan tüm ayarları tanımanızı, altyapınıza ve kuruluşunuza uygun parametreleri ayarlamanızı öneririz.

Windows İş İstasyonları için WSUS Grup İlkesi

Sunucu politikasının aksine, istemci iş istasyonlarındaki güncellemelerin geceleri, güncellemeleri aldıktan hemen sonra otomatik olarak kurulduğunu varsayıyoruz. Güncellemeler yüklendikten sonra bilgisayarlar otomatik olarak yeniden başlatılmalıdır (kullanıcıya 5 dakika içinde bildirilir).

Bu GPO'da (İş İstasyonuWSUSPolicy) şunları belirtiyoruz:

  • Otomatik Güncelleştirmelerin hemen yüklenmesine izin ver: Devre Dışı - güncellemelerin alındıktan hemen sonra yüklenmesi devre dışı bırakılır;

  • Yönetici olmayanların güncelleme bildirimleri almasına izin ver: Etkinleştirildi - yeni güncellemelerin bildirimlerini yönetici olmayanlara göster ve bunları manuel olarak yüklemelerine izin ver;

  • Otomatik Güncellemeleri Yapılandırın: Etkin. Otomatik güncellemeyi yapılandırın: 4 - Otomatik indirme ve yüklemeyi planlayın. Planlanan yükleme günü: 0 - Her gün. Planlanan yükleme süresi: 05:00 - bir müşteri yeni güncellemeleri indirir ve şunları yapmayı planlar: sabah 5:00'te otomatik olarak kurun;

  • Bu bilgisayar için hedef grup adı: İş İstasyonları - WSUS konsolunda, istemciyi İş İstasyonları grubuna atayın;

  • Zamanlanmış otomatik güncelleme yüklemeleri için oturum açmış kullanıcılarla otomatik yeniden başlatma yok: Devre Dışı;

  • Intranet Microsoft güncelleme hizmeti konumunu belirtin: Etkinleştir. Güncellemeleri algılamak için intranet güncelleme hizmetini ayarlayın: http://hq-wsus.a-d.site:8530, Intranet istatistik sunucusunu ayarlayın: http://hq-wsus.a-d.site:8530 - kurumsal WSUS sunucusunun adresidir.

Windows 10 1607 ve üzeri sürümlerde, güncellemeleri dahili WSUS'tan almayı belirtmiş olmanıza rağmen, Windows 10 yine de İnternet'teki Windows Update sunucularına erişmeyi deneyebilir. Bu "özellik", Çift Tarama olarak adlandırılır. İnternetten güncelleme almayı devre dışı bırakmak için ayrıca Güncelleme erteleme ilkelerinin Windows Update'e karşı taramalara neden olmasına izin verme ilkesini etkinleştirmeniz gerekir.

İpucu. Şirketteki bilgisayarların mevcut tüm yamaları yüklemesine izin vermek için her iki ilke de, güncelleme hizmetinin (wuauserv) istemcide başlamaya zorlanacak şekilde yapılandırılabilir. Bunu yapmak için Bilgisayar Yapılandırması -> İlkeler -> Windows Ayarları -> Güvenlik Ayarları -> Sistem Hizmetleri altında Windows Update'i bulun ve otomatik olarak başlayacak şekilde ayarlayın (Otomatik).

AD OU'lara WSUS Grup İlkelerini Atama

Bir sonraki adım, oluşturulan politikaları karşılık gelen Active Directory kapsayıcılarına (OU) atamaktır. Örneğimizde OU yapısı son derece basittir: iki kapsayıcı vardır - Sunucular (etki alanı denetleyicileri hariç şirketin tüm sunucularını içerir) ve WKS (İş istasyonları - kullanıcıların bilgisayarları).

İpucu. WSUS ilkelerini istemcilere bağlamanın yalnızca oldukça basit bir yolunu düşünüyoruz. Gerçek dünyada, tek bir WSUS politikasını tüm etki alanı bilgisayarlarına bağlamak (etki alanı köküne bir GPO atanır), farklı türde istemcileri farklı OU'lara dağıtmak (örneğimizde olduğu gibi, sunucular ve sunucular için farklı WSUS ilkeleri oluşturduk) mümkündür. iş istasyonları). Büyük dağıtılmış etki alanlarında, farklı WSUS sunucularını AD sitelerine bağlamaya veya WMI filtrelerine dayalı bir GPO atamaya ve hatta bu yöntemleri birleştirmeye değer.

İlkeyi kuruluş birimine atamak için, Grup İlkesi Yönetim Konsolu'nda doğru kuruluş birimini tıklayın, Mevcut Bir GPO'yu Bağla'yı seçin ve ardından uygun ilkeyi kontrol edin.

İpucu. Ayrı kuruluş birimini (Etki Alanı Denetleyicileri) unutmayın. Çoğu durumda WSUS Sunucu ilkesi bu kapsayıcıya bağlanmalıdır.

WKS (Windows iş istasyonlarının bulunduğu yer) isimli AD container'ına da aynı şekilde WorkstationWSUSPolicy atamanız gerekmektedir.

İstemciyi WSUS sunucusuna bağlamak için istemcilerdeki grup ilkelerini güncellemek kalır:

gpupdate /force

Grup ilkeleri aracılığıyla belirlediğimiz tüm Windows güncelleme ayarları, istemcinin HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate kayıt defteri anahtarında görünmelidir.

Aşağıdaki reg dosyası, WSUS ayarlarını, GPO kullanarak güncelleme ayarlarını yapılandıramadığınız diğer bilgisayarlara (bir çalışma grubundaki bilgisayarlar, yalıtılmış segmentler, DMZ vb.) aktarmak için kullanılabilir.

Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://hq-wsus.a-d.site:8530"
"WUStatusServer"="http://hq-wsus.a-d.site:8530"
"UpdateServiceUrlAlternate"=""
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Servers"
"ElevateNonAdmins"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000 -
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"ScheduledInstallEveryWeek"=dword:00000001
"UseWUServer"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001

İstemcilerde uygulanan WSUS ayarlarını rsop.msc ek bileşenini kullanarak denetlemek de uygundur.

Bir süre sonra (güncellemelerin sayısına ve WSUS sunucusunun bant genişliğine bağlıdır) tepside yeni güncellemelere ilişkin açılır bir bildirim olup olmadığını kontrol edin. İstemciler (istemcinin adı, bir IP, bir işletim sistemi, yama yüzdesi ve son durum güncellemesinin tarihi) WSUS konsolundaki ilgili gruplarda görünmelidir. Bilgisayarları ve sunucuları GPO kullanarak farklı WSUS gruplarına atadığımız için, yalnızca ilgili WSUS gruplarına yüklenmesi onaylanan güncellemeleri alacaklardır.

Not. Güncelleştirmeler istemcide görünmüyorsa, Windows güncelleme hizmeti günlüğünü (C:\Windows\WindowsUpdate.log) dikkatlice incelemeniz önerilir. Lütfen Windows 10'un (Windows Server 2016) WindowsUpdate.log dosyasının farklı bir biçimini kullandığını unutmayın.

İstemci güncellemeleri yerel C:\Windows\SoftwareDistribution\Download klasörüne indirir.

WSUS sunucusunda yeni güncellemeleri aramaya hemen başlamak için şu komutu çalıştırmanız gerekir:

wuauclt /detectnow

Ayrıca, bazen istemciyi WSUS sunucusuna yeniden kaydolmaya zorlamanız gerekir:

wuauclt /detectnow /resetAuthorization

Özellikle zor durumlarda wuauserv hizmetini aşağıdaki gibi düzeltmeyi deneyebilirsiniz. İstemcilerde güncellemeleri alırken 0x80244010 hatası oluşursa, Otomatik Güncelleme algılama sıklığı politikasını kullanarak WSUS sunucusundaki güncellemeleri kontrol etme sıklığını 3-4 saat olarak değiştirmeyi deneyin.

Sonraki makalelerde, WSUS sunucusundaki güncelleme onayının özelliklerini ve onaylanan güncellemelerin gruplar arasında PowerShell kullanılarak bir WSUS sunucusuna nasıl aktarılacağını açıklayacağız.

İlgili makaleler