Windows Server Update Services (WSUS)

 

Windows Server Update Services (WSUS) ermöglichen die Bereitstellung der neuesten Microsoft-Softwareupdates auf Computern mit Windows-Betriebssystemen. Mit WSUS erhalten Administratoren umfassende Verwaltungsmöglichkeiten für die Verteilung von Updates, die über Microsoft Update veröffentlicht werden. (Quelle: Microsoft)

Die folgenden Screenshots sind vorwiegend in englischer Sprache. Eine Serverinstallation in Englisch sollten Sie bevorzugen, da der Umfang an (Support-)Informationen wesentlich größer ist. Wenn Sie tiefergehende Lösungen und Informationen suchen, werden Ihnen z.B. im Microsoft TechNet nur englischsprachige Dokumente weiterhelfen.

Konfiguration des Windows Server Update Services (WSUS)
In der vorhandenen Infrastruktur wurden die WSUS Services als Rolle einer virtuellen Windows Server 2012 Maschine installiert.

Das Hinzufügen von Rollen und Features erfolgt mit dem Server Manager:
Manage -> Add Roles and Features -> Role-based or feature-based Installation -> Select a server -> Windows Server Update Services

Administratoren berichten anfangs oft, dass Client Computer nicht in der WSUS Konsole aufscheinen (Client computers do not appear in the WSUS console). Damit dieses Fehlverhalten nicht auftritt, werden hier einige wichtige Schritte beschrieben und durch Screenshots dargestellt. Diese Beschreibung ist als Ergänzung zu Konfigurieren von WSUS (Microsoft) zu sehen.

Organizational Units und Group Policy Objects erstellen
Erstellen Sie OU’s, die z.B. Server und Clients enthalten.

My Computers
– Server 2012
– Windows 8
– Windows 7

Group Policy Management -> New Organizational Unit

New Organizational Unit

Erstellen Sie GPO’s, die anschließend mit den entsprechenden OU’s verknüpft werden (Link an Existing GPO…).

Group Policy Objects
– WSUS Updates for Server 2012
– WSUS Updates for Windows 8
– WSUS Updates for Windows 7

Group Policy Management -> Group Policy Objects -> New

New Group Policy Object

Nun werden die automatischen Updates konfiguriert.
Achtung: Nehmen Sie die Konfiguration nur bei den GPO’s vor und nicht bei den verknüpften Elementen unterhalb der OU’s.

Edit (Group Policy Management Editor) -> Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Windows Update

Configure Automatic Updates

Beim Eingeben der Intranetadresse des WSUS-Servers muss der zu verwendende Port angegeben werden. Standardmäßig verwendet WSUS den Port 8530 für HTTP und den Port 8531 für HTTPS. Wenn Sie HTTP verwenden, müssen Sie z. B. “http://servername:8530” eingeben.

Specify intranet Microsoft update service location

Weitere gültige Angaben der Serveradresse:

Service location 1Service location 2

Turn on recommended updates via Automatic Updates

Hier wird als Ziel die Organizational Unit (gleicher Name wie oben) angegeben:

Enable client-side targeting

Änderungen in den GPO’s (unten) werden in die verlinkten GPO’s (oben) der OU’s übernommen.
Fertig konfigurierte Gruppenrichtlinie (Klicken zum Vergrößern des Screenshots):

GPO linked to Computers Group

 

Windows Update Einstellungen
Hier sehen Sie einen Windows 8 Client, der die Gruppenrichtlinien noch nicht übernommen hat. Dies ist der Grund dafür, dass dieser Client nicht in der WSUS Konsole aufscheint.

Windows Update on Client before GP applied

Erst wenn der Client die Gruppenrichtlinie übernommen hat, ist er in der WSUS Konsole sichtbar. Ab diesem Zeitpunkt werden die Windows Updates vom Systemadministrator verwaltet und der Client erhält die Updates vom WSUS Server. Eine manuelle Online-Suche nach Updates ist nach wie vor möglich.

Damit der Client die Gruppenrichtlinien sofort übernimmt können Sie folgendes PowerShell Kommando am Client ausführen:

gpupdate /force

Die Richtlinie wird aktualisiert…
Die Aktualisierung der Benutzerrichtlinie wurde erfolgreich abgeschlossen.
Die Aktualisierung der Computerrichtlinie wurde erfolgreich abgeschlossen.

Windows Update on Client after GP applied

Status Reports
Zum Anzeigen von Status Reports wird der “Report Viewer 2008 SP1” benötigt und zusätzlich das .Net Framework 3.5.

ReportViewer Funktion nicht verfügbar

Das .Net Framework 3.5 befindet sich auf der Windows Server 2012 CD unter “\sources\sxs\”. Bei der Feature Installation ist dieser Pfad anzugeben, da das .Net Framework ansonsten nicht installiert werden kann.

ReportViewer add NET for ReportViewer

Anschließend sind noch einige Security Updates erforderlich:

ReportViewer NET35 Updates

Beispiel eines Status Reports:

Updates Report