Hallo beisammen,

wir stellen gerade unseren WSUS/unsere GPO um, dass die "Automatische Updates konfigurieren" statt 3 auf 4 steht. Bei meiner Test-Gruppe hat alles soweit geklappt, sodass nur Updates installiert werden, die wir vorher genehmigt haben. Aus diesem Grund habe ich es auf eine größere Gruppe erweitert. Jetzt ist es allerdings so, dass bisher ein PC von 1607 auf 1703 ohne WSUS Genehmigung aktualisiert hat.
Eigentlich sind die meisten PCs noch auf 1511, aber der WSUS tat einige Zeit nicht so wie er sollte. Das war für mich der Grund alle Updates (z.B. KB2919355, KB3095113, KB3159706) zu installieren und den WSUS komplett neu aufzusetzen (DB und Daten löschen, Feature de- und wieder installieren und .esd Mime-Typ setzen im IIS).

Der eigentliche Plan ist 1703 einzuführen, aber ohne dass die Mitarbeiter stundenlang davor sitzen und warten müssen.

GPOs habe ich alle kontrolliert, da scheint kein Fehler drin zu sein. Alle werden sauber übernommen, keine Fehler.

Mir ist es aus diesem Grund ein Rätsel warum dieser PC von 1607 auf 1703 aktualisiert, obwohl er keine Genehmigung vom WSUS dafür hat. Es scheint so, dass das Update aus dem Internet gezogen wurde.

Ist das ein bekanntes Problem?
Habe ich eine GPO übersehen?
Weiß jemand wie ich das verhindern kann?

Vielen Dank im Voraus

Stefan

Sunny schrieb on 08.08.17 um 14:40:54:


Ich habe ein Bild angehängt von allen GPOs die wir für das Thema Update gefunden und konfiguriert haben. Bei den Workstations sind dann nur noch die "Automatische Updates konfigurieren" auf 4, Downloadmodus auf Bypass und "Clientseitige Zielzuordnung aktivieren" gesetzt.
Welche GPO könnte denn da noch fehlen, dass PCs ohne Erlaubnis upgraden?

Sunny schrieb on 08.08.17 um 14:40:54:


Das haben wir damals zu XP Zeiten getestet, leider ist der Test total in die Hose gegangen, da sich viele Worksstations gar nicht haben aufwecken lassen. Kann mir nicht vorstellen, dass es inwischen bei alle 300 PCs sauber funktioniert.

Sunny schrieb on 08.08.17 um 14:40:54:

Ist ein Ansatz. Wir wollten aber eher die Mitarbeiter so viel wie möglich verschonen. Dafür müsste man sich erst mal ein Szenario überlegen.