Hallo libe WG!

Habe folgendes Problem:

Nach letzten unkontrolierten Neustarts, habe ich per GPO den AU-Dienst ausgeschaltet.
Jetz gibt es keine Neustarts, aber auch keine Updates ( Ist der GF lieber )
Trotzdem habe ich jetzt eine OU mit ein Paar rechnern die in der Produktion sind. In der OU greifen die AU, die Clients melden sich am WSUS brav an, hollen Updates und sind 100% Upgedatet, ohne Neustarts.

Nur ein Lümmel-PC, der will keine Status beim WSUS abgeben.

Lt. ClientDiag ist alles OK.
RSOP.MSC zeigt alles OK.
WindowsUpdat.Log:
2009-03-31      09:14:42:331      1880      4e4      DnldMgr      Download manager restoring 0 downloads
2009-03-31      09:14:42:346      1880      4e4      AU      ###########  AU: Initializing Automatic Updates  ###########
2009-03-31      09:14:42:346      1880      4e4      AU        # WSUS server: http://dcxxx
2009-03-31      09:14:42:346      1880      4e4      AU        # Detection frequency: 2
2009-03-31      09:14:42:346      1880      4e4      AU        # Approval type: Scheduled (Policy)
2009-03-31      09:14:42:346      1880      4e4      AU        # Scheduled install day/time: Every day at 15:00
2009-03-31      09:14:42:346      1880      4e4      AU        # Auto-install minor updates: No (Policy)
2009-03-31      09:14:42:346      1880      4e4      AU      Setting AU scheduled install time to 2009-03-31 13:00:00
2009-03-31      09:14:42:346      1880      4e4      AU      AU finished delayed initialization
2009-03-31      09:14:42:346      1880      4e4      AU      Windows Update is disabled by policy for user.

Was kann ich machen, damit der Rechner den Status abgibt und Updates zieht.

Bitte um Unterstützung.

Danke im Voruas.

Was hat bitte der cornficker hier verloren.
Der eine Client zeigt im WUlog an, dass WU per GPO gesperrt wurde.
Alle anderen zeigen zeigen, dass die Updates gezogen werden und dass meldungen an den WSUS geschickt werden, was auch stimmt.
Allerdings ist mir eingefallen, dass der eine User in der Gruppe der Adminis ist, vielleicht liegts daran.
Allerdings läuft der Dienst AU ist und ist auch automatisch.

smigi schrieb on 31.03.09 um 11:47:00:


Du hast die Automatischen Updates abgeschaltet, das hat das damit zu tun. Oder verstehst Du den Zusammenhang nicht?

Wenn der Client nach einer Installation bootet, kann die Benutzereinstellung aus der GPO nicht angekommen sein, oder der Benutzer der angemeldet ist, liegt nicht im Verwaltungsbereich der GPO oder hat nicht das Recht die Einstellung der GPO zu übernehmen. Hast Du vielleicht mit Stichtagen gearbeitet?

Um welche Updates handelt sich denn, die zu dem Zeitpunkt installiert wurden?

Und bezüglich Conficker, ich hoffe Du hast die Updates der letzten Monate installiert, denn ansonsten könnte dich das hier treffen: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Und weshalb der eine Client nicht an den WSUS berichtet, lässt sich aus dem geposteten Teil der WindowsUpdate.log nicht raus lesen.

Seufz: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Erste Möglichkeit: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). + zweite Möglichkeit: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

GESCHAFFT!!!

Danke Sunny,

geholfen hat:

das löschen des "SoftwareDistribution"-Ordners und ein Neustart
( (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).)

Wenn die Testrechner nicht selbständig booten. Zumindest eine Zeitlang.

Bei mir leider doch. Obwohl die Testrechner jetzt eine Woche laufen, ohne neu zu starten.

Anbei mein Policy.

Sie unterscheidet sich etwas von der, die du im Forum als Vorlage zur Verfügung gestellt hast, aber ich denke, dass die Grundsachen zum Auschalten von Neustarts stimmen sollten.

Sunny schrieb on 06.04.09 um 11:01:21:

Ja, die wirkt auf alle User, wurde mit RSOP.MSC geprüft.

Die anderen zwei (drei) Punkte wurden soeben geändert.

Danke,

mal schauen wie es wird.

Hi Tom!

Habe alles ersteinmal so eingestellet wie es Sunny empfohlen hat.

Was mich wundert, die Clients ziehen Updates seit 10 Tagen und haben noch nicht rebootet.
War vorher auch so, nur die Clients haben hin und wieder rebootet.
An manchen Tagen "Haufenweise"

Ja, das stimmt.
Die Benutzerkonfiguration ist hier deaktiviert. Für Benutzer gibt es eigene Policy wo der Maschinenteil deaktiviert ist.

smigi schrieb on 16.04.09 um 09:28:10:


Heute morgen schon wurden die Clients neu gestartet? Irgendwas ist faul bei dir, und zwar ganz gewaltig.

Wird denn auch der Benutzerteil mit übernommen? Sind die Benutzer lokale Admins?

Ich kann mir das nicht vorstellen, das es genauso passiert wie Du es schreibst. Entweder Du verschweigst uns etwas, oder deine Anwender verscheissern dich ganz gewaltig.

Hallo!

@ Sunny:
Es wird alles vom Client übernommen, der Rechner der rebootet hat steht im selben Raum wo ich sitze, der User ist kurz auf's Klo, hat den Rechner aber offen gelassen, dh. er war angemeldet (keine Sperreung, kein Abmelden).

@ Mr. Morini:
Ja solche Meldungen habe ich auch in der Ereignisanzeige, nur dass bei mir verschiedene Uhrzeiten stehen.

Die Installationen sind für 14:00 geplant.
In der Ereignisanzeige steht dann aber: "wird laut plan, um 16:00 ( oder auch andere Zeiten) installiert.
Dann steht: "muss neu gestartet werden um die installation abzuschliessen..." und zu allerletzt: "Winlogon.exe hat den Neustart ... " und das war's.

Hi,

hab mal en Testlauf mit ner neuen OU gemacht...scheint zu laufen!

Wenn der Test zufriedenstellend abgeschlossen ist, schalt ich das ganze noch mal scharf und schaue was passiert. Ist scheinbar en Problem von einzelnen Clients. Bei meinen 1500 Clients hats insgesamt 8 erwischt.

Ist ja noch en akzeptabler Schnitt.

Hi Mr.Morini!

Wie lange daurt der Testlauf bei dir.
Was heisst, es funktioniert?

Ich habe in meiner Test-OU 12 Rechenr, einer davon hat gesponnen.

Guten Morgen!
War die letzten 2 Tage nicht in der Firma.

@ Sunny:
"dann hast Du IMHO ein Uhrzeit-Problem."
Habe Cleient und Sever verglichen, alles OK

"Wird denn auch der Benutzerteil mit übernommen? Sind die Benutzer lokale Admins?"
Client-Teil wird übernommen, Benutzer sind nicht lokale Admins, Benutzer wurde auch nicht in andere Gruppen verschoben.

Das mit der Deadline verstehe ich nicht ganz, wo sollte ich sowas setzen?

Hi Sunny!

Anbei die Eventlogs

Alcatel und die anderen Sachen sind mir mir auch retselhaft.
Das ist aber ein Administrator Rechner, der darf Installieren.

Die RSOP.MSC zum Eventlog ist im Anhang

smigi schrieb on 17.04.09 um 11:25:02:


Dann würde ich an dieser Stelle mal ansetzen. Woher kommt das und warum? Gibts noch eine alte GPO? Ist die Installationssource nicht mehr vorhanden?

smigi schrieb on 17.04.09 um 11:25:02:


Naja, trotzdem sollte es aber nicht so viele Fehler im Eventlog geben.

smigi schrieb on 17.04.09 um 11:25:02:


Glaub ich dir, aber ein sauberes Eventlog sieht anders aus. Möchtest Du die anderen Fragen nicht beantworten oder kannst Du nicht?

Wie gesagt, der PC wird von einem Admin benutzt, der viel herum experimentiert. Wo anders gibt es keine Meldungen über Alcatel-Probleme, auch das UPHC wird per GPO auf die Domain verteilt.
Sorry,
aber eigentlich geht es ja um die Neustarts und die dazugehörigen
Meldungen.
Du wolltest wissen ob der User-Teil der Policy ankommt.
Kommt an.

Auch der Maschinen-Teil wird komplett übernommen. Alles ist gleich auf dem einen Rechner sowie auf den anderen Rechnern in der Test-OU.
Das einzige was mir einfällt ist, dass der User den PC gerade gesperrt hatte als dieser rebootet hat.
Aber eine Sperrung sollte als angemeldeter Benutzer gelten, oder?

Die anderen Sachen sind mir auch aufgefallen, sind aber momentan nicht wichtig. Werden später bechandelt.

smigi schrieb on 17.04.09 um 11:55:00:


Ja ist schon klar. Wenn ich dann ein solches Log lese, kann alles mögliche zusammen kommen, das solltest Du selbst wissen.

smigi schrieb on 17.04.09 um 11:55:00:


Kontrollier bitte in der Registry diesen Punkt. HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\WindowsUpdate\AU

smigi schrieb on 17.04.09 um 11:55:00:


Ja, das darf nichts ausmachen. Wenn es also nur um diesen einen Rechner geht, dann würde ich mir keine Gedanken mehr dazu machen, sondern die Kiste einfach mal neu installieren. Nicht das dort schon soviel im argen ist, und dadurch alles mögliche durcheinander gekommen ist.

smigi schrieb on 17.04.09 um 11:55:00:


Viel Erfolg.

es könnte etwas an sich haben.

Am Client der nicht neugestartet wurde, gibt es in windowsupdate.log keinen Eintrag mit "deadline expired update",
Am Client der rebootet hat findet sich der Eintrag aber am Tag vorher. Ca 24Std früher als der gestartet wurde.
Und der Rechner wird jeden Tag abgeschaltet.
Das durchlaufen kommt nicht in Frage.

Grad hab ich es gefunden: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Deadline = Stichtag.

Hi Dani,

das sieht doch schon mal gut aus!

Noch was gefunden.

(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Harry Johnston [MVP] schreibt, dass Deatlinesettings die sonstige Konfiguration überschreibt. Da hilft wohl auch kein "Nicht automatisch neustarten!".

Gruß Dani

Und hier noch ein paar klärende Worte von Lawrence Garvin [MVP]:

(Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

DESoft schrieb on 17.04.09 um 14:56:03:


Das hat Marco auch schon 2006 geschrieben: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen).

Oh ... ich sollte wohl öffters auch bei WSUS 2.0 reinschauen ... das ist ja richtig erleuchtend.

@Markus: Ebenso schönes WE und Danke für die Rückmeldung.

Gruß Dani

Welche von den 3 Zeilen meinst Du?

smigi schrieb on 20.04.09 um 10:46:52:


Dann kommt auf diesen Clients die Benutzereinstellung NICHT an. Nur wenn die Einstellung ankommt, ist auch der Eintrag im Log zu finden.

smigi schrieb on 20.04.09 um 12:26:26:


Sorry, das war eine Falschinformation von mir.

Clients, die im Log "Windows Update is disabled by policy for user" stehen haben, ziehen die Benutzereinstellung. Alle anderen IMHO nicht. Mit GPUPDATE /FORCE könntest Du das übernehmen der GPOs forcieren. Das macht man aber nur, wenn es eilig ist, ansonsten holen sich die Clients die GPOs selbst alle 90 Minuten. Natürlich nur wenn sich etwas geändert hat, so ist zumindest mein Stand.

smigi schrieb on 21.04.09 um 09:19:56:


Sollte, ja. Ob das jetzt so richtig ist oder nicht, weiß ich nicht. Aber IMHO ist es so, zeigt dir RSOP nicht das richtige an, hast Du Fehlermeldungen im Eventlog oder der Client/User liegt nicht im richtigen Verwaltungsbereich oder wird rausgefiltert.

Das sind jetzt aber Dinge, die man aus der Ferne nicht prüfen kann, das solltest Du vor Ort in den Griff bekommen. Wenn nicht, mußt Du dir einen externen Dienstleister holen. Ich bin jetzt erstmal raus an dieser Stelle.

smigi schrieb on 21.04.09 um 09:19:56:


Nein, Du denkst schon richtig.

Na da schau her! Wo kommt denn das her? Gibts dazu auch eine GPO? Eigentlich sollte jetzt alles funktionieren, ich drück dir die Daumen. Danke für die Rückmeldung.

smigi schrieb on 11.05.09 um 13:43:13:


Wie bitte? Sind das lokale GPOs oder wie darf man das verstehen?

smigi schrieb on 15.05.09 um 10:05:59:


Die WSUS-GPO hat ja auch eine Nummer, mit der man sie im Sysvol finden kann. Wenn Du die GPO in der GPMC siehst, dann klick auf den Reiter Details, unten gibts die Eindeutige Kennung. Schreib dir die auf. Lösch die GPO komplett raus, replizieren alle DCs durch und kontrollier jetzt im Filesystem ob Du die GPO mit der Nummer noch findest. Wenn ja, wird das Objekt wohl nicht sauber gelöscht.

Lies dir auch mal diesen Thread durch: (Du musst Dich Einloggen oder Registrieren um Multimediadateien oder Links zu sehen). Könnte in die gleiche Richtung gehen.

Zu dem Thema GPOs kann ich dir leider nicht mehr weiterhelfen, evtl. versuchst Du es ja direkt in der Newsgroup, Mark kann dir bestimmt weiterhelfen.