Servus zusammen,

ich bin seit einiger Zeit dabei, mich ins Thema WSUS einzuarbeiten. Momentan läuft dieser auch schon und die Clients sind zum größten Teil eingebunden. Mittlerweile tun sich jedoch einige Fragen bei mir auf:

1)
Ich habe mehrere Gruppen im WSUS angelegt (XP Client, Win 7 Clients, Server etc.) Die Server sollen keine Updates bekommen, also habe ich die Option "Automatisches Genehmigen" herausgenommen. Kommen neue Updates, muss ich diese manuell genehmigen und die Gruppe Server außen vor lassen, bis die Updates in der Testumgebung für gut befunden wurden.

Meine Frage hierzu: Geht das auch eleganter? Die anderen Gruppen dürfen die Updates ruhig installieren, nur eben nicht die Gruppe Server. Kann man da was über die Gruppenrichtlinien regeln? Oder kann ich das direkt am WSUS Gruppenspezifisch einstellen?

2)
Ist es möglich, die Updates "silent" auf den Rechnern zu verteilen und diese dann zu installieren, wenn der User seinen PC am Feierabend herunterfährt, ohne das er dort eingreifen muss? Momentan herrscht das Problem, dass der WSUS die Updates zwar verteilt, diese aber immer vom Benutzer installiert werden müssen. Leider nehmen einige die Sache nicht so ernst, daher würde ich das gern automatisieren, am besten so, dass der Benutzer dabei nicht gestört wird.

Ich danke euch schonmal für eure Tips

Danke für deine ausführliche Antwort!
Ich habe mir jetzt für die Clients eine passende Regel erstellt (Siehe Anhang)

Für die Server brauche ich ja nur eine Regel, die Updates komplett verbietet. Gehe ich daher richtig der Annahme, dass wenn ich den Servern keine Regel gebe und das automatische Freigeben der Patches von vorherein verboten habe, die Server damit keine Updates abholen können?

€: In den Benutzereinstellungen der GPO´s habe ich nur die Regel: Windows-Updatebenachrichtigungen aktivieren" Das wird nicht die Richtige sein, oder? Wenn ich die Benachrichtigungen ausschalte fährt der Rechner doch ohne Warnung im Betrieb runter, oder sehe ich das falsch?

Die Regel "Zugriff auf alle Windows-Update-Funktionen entfernen" fehlt bei mir gänzlich bzw. ich finde sie nicht

Der WSUS läuft auf einem Win Server 2003 Standard Edition. Dort wollte ich auch entsprechend die Gruppenrichtlinie ändern. Im Anhang mal ein Bild, was ich dort zur Verfügung habe.

Im Reiter "Computerkonfiguration" habe ich mehr zur Auswahl, dass müsste jedoch falsch sein (Anhang 2)

Ich denke ich bin generell irgendwo falsch unterwegs?

Super, danke. Ich war auf dem falschen DC unterwegs...
Auf dem führenden konnte ich jetzt eine GPO erstellen.

Diese muss ich ja jetzt den richtigen Benutzergruppen zuordnen. Geht das über delegieren?

Also alle Benutzer/Gruppen, die dort hinterlegt sind, nutzen diese GPO?

€: Ok, ich habe da jetzt alle relevanten Gruppen hinterlegt. Zusätzlich habe ich die Benutzer, die an den Servern angemeldet sind etc., herausgenommen.

Damit sollten diese doch jetzt keine Updates mehr automatisch installieren, oder muss ich dafür nochmal eine extra GPO anlegen und explizit auf diese verweisen?

Hi, dank dir schonmal.

Kannst du kurz über die Anhänge schauen? So sollten die Kisten doch nicht von selbst neu starten, oder?

(Automatische Updates konfigurieren steht auf 3, zu den Richtlinien habe ich noch die Genehmigung, die ich bereits oben gepostet hatte.)

Ist für die Clients. Ja, die Beispiel-GPO habe ich mir angeschaut. Hatte heute Morgen nur das Problem, dass zwei Clients (komischerweise nur Win 7) automatisch und ohne Warnung heruntergefahren sind. Daraufhin habe ich nochmal etwas geändert. (So wie jetzt im Anhang)

Kannst du mir erklären, warum ich die 4 für die Clients nehmen sollte? Mit Einstellung 3  verstehe ich das so, dass der Benutzer jetzt benachrichtigt wird, wenn die Updates zum installieren bereit sind. Natürlich nicht optimal, da die Updates zwingend installiert werden sollen - Nur nicht während der "Kernzeit", so dass er andauernd neu starten muss bzw. die Kiste von selbst neu startet. -

Bei Einstellung 4 habe ich die Bedenken, dass die Kisten automatisch ohne Warnung neu starten... Der Zeitplan macht mir da etwas sorgen. Wenn ich da jetzt 15:00 Uhr eingeben würde. Startet der Rechner nach der Installation neu?

Heute Morgen war es wohl so, dass kurzzeitig eine Meldung erschien, dass die Kiste in nächster Zeit runterfährt und man doch bitte seine Daten speichern solle. Div. Minuten später dann der Reboot ohne weitere Warnung etc. Verhindern konnte man das wohl auch nicht. Eingestellt war da noch die 4.

Hab das anschl. auf 3 abgeändert, um erstmal sicher zu sein.

Sunny schrieb on 23.08.12 um 09:37:26:


Wie meinst du das? Stichtag vergibt man doch bei der Genehmigung der Updates. In meiner Genehmigung habe ich zumindest keinen Stichtag gesetzt. Damit sollte es doch dann keinen Ärger geben.

Ich nutze am Testsystem mal haargenau deine GPO, mal sehen wie sich das verhält

€; Um sicher zu gehen, die GPO müsste dann aussehen, wie im Anhang, richtig?

Ich werde das jetzt mal über den Tag hinaus beobachten. Wenn alles okay scheint, gebe ich die GPO so an die Clients weiter. Mal sehen, ob mein Kopf morgen noch dran ist

Mit LUP habe ich mich bisher nur ganz kurz auseinandergesetzt. Wird aber sicherlich auch bald interessant werden. Danke für den Tip bzw. deine schnelle Hilfe hier!

Moin Moin,

also:
Es scheint alles wunderbar zu funktionieren. Die Testkiste hat sich nicht neu gestartet und holt die Updates problemlos am Server ab. Werde das ganze dann heute Nachmittag mal live schalten um das ganze über´s Wochenende an unseren Clients zu testen.

Vielen Dank erstmal Sunny, super was du hier leistest!

Falls irgendetwas unerwartetes passiert, mache ich wieder Meldung!

Ahoi!

Kurze Statusmeldung noch:

Habe jetzt über´s Wochenende mal die Clients mit der GPO versorgt und beobachtet, wie sich alles verhält. Die Clients ziehen sich jetzt die Updates im Hintergrund und installieren diese auch Silent und starten NICHT automatisch neu. Also alles, wie gewünscht.

Die Server tun eigentlich garnichts und warten darauf, manuell mit den Patches versorgt zu werden. Hier bin ich gerade dabei, die Patches aufzuspielen. Auch hier läuft also alles so, wie gewünscht.

Sunny schrieb on 24.08.12 um 08:37:20:


Kann ich leider nicht mehr ganz nachvollziehen, da ich beim rumspielen etwas den Überblick verloren habe. Es muss aber mit der Einstellung 3 der GPO zu tun gehabt haben. Da scheint sich was mit der Einstellung für automatisches Neustarten nicht vertragen zu haben.

Nochmals vielen Dank, als nächstes wird dann LUP an die Reihe kommen