Hallo zusammen,
meine bisherige Internetrecherche sowie die Suche hier im Forum hat mir noch keine Lösung gebracht.

Zuerst mal meine Umgebung besteht aus einem zentralen WSUS über den ich die Update Freigabe steuere. Damit sind dann einige Replica Downstream Server verbunden. Kein Client kommuniziert mit  dem Hauptserver alles geschieht in den lokalen Produktionsstätten mit den entsprechenden Downstream Servern.
Das Konstrukt funktioniert sehr gut.
Mit dem Reporting per Powershell habe ich allerdings Probleme. Dies will ich auch zentral auf dem Hauptserver automatisieren.
Zum Beispiel kann ich mir mit

Get-WsusUpdate -Approval Unapproved -Status Needed 

die Updates anzeigen lassen aber die Zahlen wie „ComputersNeedingThisUpdate“ bleiben bei Null. Mir ist auch der Grund bewusst. Es liegt daran das die Clients nur an die Downstream Server berichten und in der GUI gibt es die Option „include status from all replica downstreamservers“.
Beim cmdlet „get-wsuscomputers“ gibt es auch den parameter „-IncludeDownstreamComputerTargets“ aber beim cmdlet „get-wsusupdates“ habe ich nichts dergleichen gefunden.
Eigentlich wollte ich in meiner Automatisierung auch mal prüfen ob „ComputersWithErrors -ne 0“ und mir einen Fehlerreport dazu generieren. In meiner Labor Umgebung ging das alles wunderbar weil ich keine Downstreamserver hatte nur einen WSUS der alles gemacht hat, aber jetzt häng ich ein bisschen in der Luft.
Per Powershell mich mit jedem Server zu verbinden und die gesammelten Daten dann zusammen zufassen ist für mich keine Option.
Ich habe auch noch weitere Ideen für Reporte die ich per Powershell generieren möchte, aber eins nach dem anderem.
Also kann mir jemand helfen? 
Ich freue mich auf eure Antworten.

Danke erstmal für die schnelle Antwort.

Nach langem hin und her überlegen möchte ich die Option allerdings auch nicht akzeptieren.
Jede Produktionsstätte ist ebenfalls eine eigenständige Firma und hat ein eigenes AD. Die ADs haben auch keinen Trust oder derartiges.
Somit müsste ich für alle zupatchende Systeme die Firewall entsprechend öffnen. In jedem AD alle GPOs anpassen lassen.
Sowie das Zertifikat vom Hauptserver auf alle Clients installieren lassen.

Was ich ja nicht verstehe warum die Informationen nicht angezeigt bzw. abgerufen werden können.
Sie sind ja im Upstream/Mainstream Server vorhanden. 

Per GUI sind alle Infos vorhanden. Was ich beim durchforsten als nächsten Weg gefunden hab sind die Daten direkt per SQL Abfrage rauszusuchen, aber das wird fummelig 

Sollte noch jemande eine Idee haben würde ich mich auf Hilfe/Tipps freuen

Moin,

sollte noch jmd mal das Problem haben wollte ich noch mal meinen Lösungsansatz posten um das Thema abzuschließen.

Bei meiner SQL DB musste ich ich Tabellen ComputerSummaryForMicrosoftUpdates und ComputerTarget auf die TargetID joinen, damit man auch den Hostnamen zu den Installations Stati erhält.
Ich habe das SQL Script abgespeichert und rufe das dann mit der Powershell auf und lasse das Ergebnis direkt in eine CSV exportieren.
Das SQL Script sieht ungefähr so aus:

/****** Script for SelectComputerState *****/
SELECT [FullDomainName]
	  ,[Unknown]
      ,[NotInstalled]
      ,[Downloaded]
      ,[Installed]
      ,[Failed]
      ,[InstalledPendingReboot]
      ,[LastChangeTime]
  FROM [<DBNAME>].[dbo].[tbComputerSummaryForMicrosoftUpdates] FULL JOIN [<DBNAME>].[dbo].[tbComputerTarget]
  on [<DBNAME>].[dbo].[tbComputerSummaryForMicrosoftUpdates].[TargetID] = [<DBNAME>].[dbo].[tbComputerTarget].[TargetID]
   

Und im Powershell Script lade ich vorsichtshalber auch noch die SQL Module:

Import-Module sqlps -ErrorAction SilentlyContinue
Invoke-Sqlcmd -ServerInstance <SERVERNAME\INSTANCE> -Database <DBNAME> -InputFile "<Pfad\zum\SQLScript>" | Export-Csv -Path "<Pfad\für\den\SQLReport>" -Delimiter ";" -Encoding UTF8 -NoTypeInformation 

Anhand des Reports kann man die offenen Reboots identifizieren und ggf. erzwingen oder die Computer mit fehlerhaften Installationen herausfiltern und das Troubleshooting veranlassen.