hallo zusammen

...finde über die suche leider nichts passendes....  Traurig

erstmal zur vorgeschichte:

ich habe hier in dieser neuen umgebung anfangs dezember angefangen und den wsus übernommen.
dieser war noch auf der version 2.0 und seit anfangs november von niemandem mehr betreut worden.
also höchste zeit etwas daran zu machen. als erstes habe ich wsus selbst mal auf die version 3.0 upgedatet was ohne probleme funktioniert hat.
die probleme mit der datenbank habe ich bereits in einem ander thread behoben.

nun würde es an die anpassung der einstellungen und das verteilen der anstehenden updates gehen.
doch leider blicke ich da einfach nicht durch, verstehe das von meinem vorgänger aufgesetzte verhalten der updates nicht ganz.

oder anders gesagt ich blicke da einfach nicht durch wie die sachen zusammenhängen. (hatte länger nichts mit GPO und AD zu tun  )

konkret:

was ist der vorteil wenn ich den wsus über AD und GPO steuere?

ich hab ne menge screenshots angehängt und bin allen dankbar die mir da etwas auf die sprünge helfen können wie die ganzen sachen zusammenhängen.
falls jemand noch screen's braucht -> einfach melden 

vielen dank schon mal an alle
blicke da irgendwie voll nicht durch 

(wie kann ich mehrere anhänge einfügen??) 

..

mamoch schrieb on 03.01.08 um 10:49:41:


(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). hilft beim verstehen vielleicht.


mamoch schrieb on 03.01.08 um 10:49:41:


Moment, Du steuerst nicht den WSUS über AD + GPO, sondern die Clients und deren Verhalten. Was ist der Vorteil an einer GPO? Richtig, zentrale Verwaltung der Einstellungen und Vorgaben. Und die User können sich nicht wehren.

mamoch schrieb on 03.01.08 um 10:49:41:


Das sieht schon recht sauber und ordentlich aus. 2 verschiedene GPOs für Server + Clients. Du könntest noch die beiden erforderlichen Dienste: Automatische Updates + Intelligenter Hintergrundübertragungsdienst via GPO steuern: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).
Einfach in die WSUS-GPO hinzufügen, läuft wie blöd.

Ebenfalls ist für die User auf den Clients (nicht den Admin auf den Servern einschließen) zu empfehlen, die Benutzerkonfig zu aktivieren:  Zugriff auf alle Windows Update Funktionen entfernen.
Damit werden die systemweiten Einträge auf Windows Update entfernt, z.B. im IE ist via das Menü Extras kein Eintrag zu Windows Update mehr vorhanden. Ebenfalls gibt es keine Benachrichtigung, also kein Symbol im Systray, für angemeldete Administratoren. Dies gilt natürlich nur für User, die auch im Verwaltungsbereich der Richtlinie liegen. Obwohl im Explain nicht explizit genannt, kann diese Richtlinie auch unter W2K erfolgreich eingesetzt werden.

Viel wichtiger ist allerdings die Frage, wie weit willst Du die Updates automatisch an die Clients/Server verteilen? Dazu gibts in den Optionen viele Möglichkeiten: Automatische Genehmigungen.

mamoch schrieb on 03.01.08 um 13:09:55:


Warum fragst Du dann, wenn Du eh nix ändern/verbessern willst?


mamoch schrieb on 03.01.08 um 13:09:55:


Siehe oben. Dafür gibts Testaccounts um ein Gefühl zu bekommen.


mamoch schrieb on 03.01.08 um 13:09:55:


Von welcher Gruppe sprechen wir? Testgruppe mit Mitgliedern auf dem WSUS oder TestOU mit Mitgliedern im AD?

Wenn WSUS: Update(s) markieren > Rechtsklick > Genehmigen > im jetzt erscheinenden Fenster kannst Du die Updates nur für bestimmte Gruppen freigeben oder eben auch für alle Computer.

mamoch schrieb on 03.01.08 um 13:09:55:


Ich geh jetzt mal vom WSUS aus. Rechtsklick auf einen Client und Mitgliedschaft ändern wählen.

mamoch schrieb on 03.01.08 um 13:09:55:


Versuchs mal mit der hier: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).


mamoch schrieb on 03.01.08 um 13:09:55:


Nein, es ist natürlich viel einfacher alles via AD + GPO zu steuern. Die WSUS-GPO erstellst Du normalerweise einmal und änderst sie nur ab, wenn sich der Servernamen oder etwas anderes ändert. Den Rest macht man komplett auf dem WSUS.

hmmmm ok hab's geschnallt, ich muss die clients im active directory
rumschieben.

beim betrachten ist mir aber aufgefallen das dort ein client in der WSUS liste fehlt die im AD aber in dieser (test)- gruppe vorhanden ist... ??


...und da soll noch einer nachkommen.... 

mamoch schrieb on 03.01.08 um 15:24:57:


Nein, das geht auch im WSUS > Optionen > Computer.

mamoch schrieb on 03.01.08 um 15:24:57:


Dann schau dir auf dem Client die WindowsUpdate.log an. Dort findest Du die Fehlermeldungen.

mamoch schrieb on 04.01.08 um 08:27:37:


Richtig.

mamoch schrieb on 04.01.08 um 08:27:37:


Nein, die Clients bekommen den WSUS und die Einstellungen aus der GPO. Wie die GPO aussieht ist Deine Sache. Auf dem WSUS plazierst Du die Clients in eigene Gruppen, die Updates kannst Du dann natürlich nur für diese Gruppen zum installieren freigeben. Das hat mit dem AD nichts zu tun.


mamoch schrieb on 04.01.08 um 08:27:37:


Richtig.