Hallo Leute,
zuerst einmal einen Guten Tag euch allen.
Ich hoffe ihr könnt mir bei einem Problem helfen. Ziel ist es, normalen Domänen-Benutzern das Installieren von Windows-Updates in unserer Domäne zu gestatten. Unsere Umgebung:
ActiveDirectory mit Windows 2008
WSUS 3.0 SP2 auf Windows 2012
Clients laufen unter Windows 7 Enterprise x64

Administratoren können ohne Problem nach Updates suchen und diese installieren. Die werden auch von unserem WSUS ausgeliefert, das haben wir anhand der Verbindungsdaten geprüft.
Domänenbenutzer bekommen beim Einloggen auch eine Benachrichtigung, dass Updates verfügbar sind. Klicken die dann aber im geöffneten Windows Update auf "Nach Updates suchen", bekommen sie nur die lapidare Mitteilung "Mit Windows Update kann derzeit nicht nach Updates gesucht werden, da Updates auf diesem Computer vom Systemadministrator gesteuert werden."
Die Gruppenrichtlinie habe ich selbst erstellt und verwalte die selbst, aber irgendwie haut das eben nicht so hin, wie ich mir das vorgestellt habe. 

Hier die relevanten Einstellungen der GPO unter Computer/Richtlinien/Administrative Vorlagen/Windows-Komponenten/Windows Update:

Automatische Updates konfigurieren: Aktiviert - Vor Herunterladen und Installation benachrichtigen
Internen Pfad für den Microsoft Updatedienst angeben: Aktiviert, beide URLS auf (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).
Suchhäufigkeit für Automatische Updates: Aktiviert - 2 Stunden
Nichtadministratoren gestatten, Updatebenachrichtigungen zu erhalten: Aktiviert
Empfohlene Updates über automatische Updates aktivieren: Aktiviert
Clientseitige Zielzuordnung aktivieren: Aktiviert

Die GPO wird korrekt übernommen. Was mache ich falsch? Ich dachte eigentlich anhand der Beschreibung der Richtlinie "Nichtadministratoren gestatten..." wäre das geritzt. Hat da jemand eine Idee?   

Freue mich über jede Anregung.

Gruß
Ralf

Ich kann mich Edelweis nur anschließen, besser ist es den Benutzern gar keine Möglichkeit zu geben, Updates selbst zu installieren. Die Problematik dabei ist immer die gleiche, sehr viele können das nicht entscheiden, oder blenden einzelne Updates aus oder kümmern sich nicht darum. In einer Windows Domain ist das installieren der Updates die Aufgabe des Admin, auch ist es die Aufgabe des Admin den Benutzer nicht mit solchen Dingen zu 'gängeln', die Benutzer müssen/sollen Arbeiten, nicht Updates installieren.

Sieh dir bitte die zweite Benutzereinstellung dieses GPO an, die bewirkt dass die Benutzer die im Verwaltungsbereich des GPO liegen, nichts mehr angezeigt bekommen. Keinen Hinweis auf einen Neustart, keinen Hinweis auf eine neue Version oder ähnliches. Absolut Silent. (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Und wenn Du das dann so eingestellt hast, kannst Du auch 3rd Party Produkte über den WSUS zur Verfügung stellen: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

DesasterRalf schrieb on 23.05.13 um 10:16:21:


Das ist alles kein Problem. Das installieren von Updates ist in der Firma das gleich wie zu Hause, dort funktioniert das ja auch wenn Du vorne mit Outlook arbeitest. Deshalb ist auch ein Neustart dafür verwantwortlich dass Dateien ausgetauscht werden können.

Stell dir vor der Benutzer hat Outlook geöffnet und installiert selbst manuell die Updates. Glaubst Du im Ernst, ein Benutzer schließt dazu vorher Outlook?

Millionen andere Admins und ich haben diese Einstellungen seit vielen Jahren so erfolgreich im Einsatz. Wäre das nicht so, würdest Du von mir keine Empfehlung dazu bekommen.

Schnapp ein paar Testbenutzer und probier es aus. Sag den Leuten aber nichts vom Versuch, frag sie nach den Tests ob sie etwas negatives bemerkt haben. Und dass der Arbeitsablauf in Sachen Performance weniger beinträchtigt wird, haben wir die Installationszeit auf 12.00 Uhr gelegt.

DesasterRalf schrieb on 23.05.13 um 10:16:21:


Schnapp dir einen Testrechner, lass 5 Updates installieren und führe bei der Installation vom zweiten Update einen Neustart durch. Was passiert?

Nicht böse sein, aber diese Fragen solltest Du dir in einem kleinen Test selbst besser beantworten können. Vor allem da Du dann siehst was passiert. Und wenn ein Benutzer um 12.02 Uhr anruft und sich über einen langsamen Shutdown beschwert, kannst Du ihn beruhigen, denn Du hast es ja selbst gesehen was passieren kann.