Hallo zusammen,

ich bin etwas verunsichert und deshalb möchte ich zur Sicherheit noch mal nachfragen.

Ich möchte, dass die User eine Benachrichtung erhalten - das alle 2 Stunden. Der PC soll aber nicht automatisch neu gestartet werden und die Updates automatisch installiert werden. Dazu habe ich die GPO wie folgt konfiguriert:

Automatische Updates konfigurieren: Aktiv mit Wert 4
Internen Pfad für Updatedienst: Aktiv
Automatische Updates installieren: Aktiv
Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen: Aktiv
Erneut zu einem Neustart für geplante Installationen auffordern: Aktiv mit Wert 120
Neustart für geplante Installationen verzögern: Nicht konfiguriert
Zeitplan für geplante Installationen neu erstellen: Aktiv mit Wert 30

Was ich nicht ganz verstehe, was ist mit diesen beiden Richtlinien gemeint bzw. widersprechen die sich nicht...?

"Erneut zu einem Neustart für geplante Installation auffordern"
Verstehe ich so, dass nach der Meldung "möchten Sie den PC neustarten, Updates wurden installiert" die angegebene Zeit vergeht bevor die Meldung wieder erscheint.

"Neustart für eine geplante Installtion verzögern"
In der GPO Erklärung steht: Quote:

Das klingt für mich, wenn ich diese Richtline nicht konfiguriere oder deaktiviere wird nach 15 Minuten der PC automatisch neu gestartet. Wenn ich sie aktiviere, müsste ich aber einen festen Wert angeben nach dem der PC neu automatisch neu gestartet wird. Nun bin ich total verwirrt, ich will ja gar keinen automatischen Neustart, deshalb habe ich ja die Richtlinie "Keinen automatischen Neustart für geplante Installationen..." aktiviert. Oder gilt dann die "verzögern" Richtlinie gar nicht.

Wäre für eine kurze Aufklärung sehr dankbar

Gruß,
Steffen

Hallo Sunny, da gebe ich dir erstmal vollkommen Recht.
Das Problem ist folgendes. Ich bin erst neu in der Firma und die IT Umgebung ist deutlich anders als ich es bisher kannte (User haben hier lokale Admin Rechte, WSUS gab es keinen - der Azubi ist einmal im Monat rumgelaufen und hat die Updates bei ca. 80 PCs eingespielt, die Rechner laufen oft mehrere Tage einfach durch usw....)

Normalerweise habe ich den WSUS auch so konfiguriert, dass keine Benachrichtung erscheint. Da ich mir hier aber erstmal nicht sicher bin ob User Ihren PC überhaupt runterfahren, möchte ich erstmal die Benachrichtung einschalten um Sie auf Updates aufmerksam zu machen. Ist sicherlich nicht die optimale Lösung aber erstmal muss ich versuchen etwas Struktur in die Umgebung zu bekommen.

Was ich mich zu der GPO "Neustart für eine geplante Installtion verzögern" Frage. Ist damit wirklich gemeint, dass der PC nach der angegebenen Zeit einfach neu startet? Wenn das so wäre, hätte ich ja keine Möglichkeit den automatischen Neustart zu verhindern, da bei aktivierter GPO meine Zeiteinstellung gilt und bei deaktiverter GPO die Standard Zeit von 15 Minuten.

Oder überschreibt die GPO "Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen" diese?

Erstmal bin ich ganz froh das ich doch nicht ganz falsch ticke... Ich war und bin immer noch ganz überrascht und entsetzt was hier für Strukturen herschen. Ganz abgesehen von Berechtigungen auf dem file-server usw. Aber gut, dass ist ein anderes Thema.

Vielleicht hast Du da Recht, lieber ein Ende mit Schrecken als ein Schrecken ohne Ende Ich bin jetzt 3 Wochen da und so langsam muss mal aufgeräumt werden.

Wenn ich Dich richtig verstehe, konfiguriere ich die GPO einfach mit folgenden Optionen:
Automatische Updates konfigurieren: Aktiv mit Wert 4
Internen Pfad für Updatedienst: Aktiv
Automatische Updates installieren: Aktiv
Keinen automatischen Neustart für geplante Installationen automatischer Updates durchführen: Aktiv
Zeitplan für geplante Installationen neu erstellen: Aktiv mit Wert 30

Dazu noch die Einstellungen in den Benutzereinstellungen der GPO unter "Windows Update" mit Benachrichtigung ausblenden.

Somit werden die Updates zum gewünschten Zeitpunkt installiert, die User erhalten keine Info und bei einem Neustart werden sie automatisch installiert.

Hallo Winfried,

ja, dass kann gut sein. Ich bin mir selber aber noch nicht sicher wieviel Veränderungen Sie wirklich wollen
Werde versuchen nichts zu überstürzen, auch wenn es mich in den Fingern juckt und ich hier gerne etwas aufräumen würde. Gerade eben hat mir doch glatt ein User das Domain Admin Passwort gesagt

Vielen Dank für die GPO - ich habe sie so ähnlich aufgebaut und werde Sie jetzt ohne Benachrichtugng verteilen.
Allerdings habe ich gerade beschlossen, dass es definitiv wichtigere Themen als den WSUS gibt und wir wohl viel tiefer bei den Veränderungen ansetzen müssen....

Danke Dir trotzdem für deine Hilfe!

Vielen Dank für die beiden Links. Vor allem das erste Script ist sehr hilfreich, da mein erster Gedanke war - wie bekomme ich jetzt alle Task-Konten raus bei denen der Admin verwendet wurde. Hier wird sehr viel mit selbst geschriebenen Programmen und Tasks gearbeitet und da ist sicherlich fast überall der Domain Admin eingetragen.... Das script hilft mir da sehr.

Keepass setze ich auch schon seit ein paar Jahren ein und hat sich bis jetzt sehr bewährt. War mit das erste Tool das ich hier eingeführt habe, da hier keine Passwörter oder ähnliches dokumentiert sind.

Die User auf den Servern werden auch eine Aufgabe sein, dass stimmt.
Ich werde jetzt erstmal versuchen die Kollegen zu sensibilisieren und hoffe das dies auch verstanden wird.

Danke - kann ich gut gebrauchen
Vielen Dank noch mal für die Tips!