Windows Server 2012 R2 WSUS：組策略配置自動(dòng)更新.doc

Windows Server 2012 R2 WSUS-5：組策略配置自動(dòng)更新如果公司具備域環(huán)境的話，我們可以根據(jù)不同的計(jì)算機(jī)組的要求，來(lái)配置不同的WSUS的自動(dòng)更新策略。比如測(cè)試機(jī)器鏈接一套GPO，生產(chǎn)服務(wù)器鏈接一套GPO，針對(duì)于測(cè)試環(huán)境和生產(chǎn)環(huán)境的服務(wù)器和客戶端的策略都是不一樣，可以進(jìn)行自定義設(shè)置的。當(dāng)然如果機(jī)器比較少，環(huán)境比較簡(jiǎn)單，也可以直接新建一個(gè)覆蓋全域的GPO，來(lái)做WSUS的策略。在我的一級(jí)WSUS服務(wù)器上，我新建了四個(gè)計(jì)算機(jī)組，這四個(gè)計(jì)算機(jī)組都對(duì)應(yīng)到AD中相應(yīng)的計(jì)算機(jī)的OU（關(guān)于計(jì)算機(jī)組的設(shè)置和客戶端目標(biāo)的設(shè)置將在下篇文章介紹），我們可以為域級(jí)別、測(cè)試計(jì)算機(jī)組OU和生產(chǎn)計(jì)算機(jī)組OU來(lái)制定不同的WSUS組策略。首先我們來(lái)在default domain policy做一個(gè)影響全域計(jì)算機(jī)的自動(dòng)更新策略。在組策略管理控制臺(tái) (GPMC) 中，瀏覽到默認(rèn)的default domain policy的 GPO，然后單擊“編輯”。在 GPMC 中，依次展開“計(jì)算機(jī)配置”、“策略”、“管理模本”和“Windows 組件”，然后單擊“Windows Update”。在詳細(xì)信息窗格中，雙擊“配置自動(dòng)更新”。單擊“已啟用”，然后單擊“配置自動(dòng)更新”設(shè)置下的以下選項(xiàng)之一： 下載通知和安裝通知。該選項(xiàng)會(huì)在你下載和安裝更新之前通知登錄的管理用戶。 自動(dòng)下載和通知安裝。該選項(xiàng)將自動(dòng)開始下載更新，然后在安裝更新之前通知登錄的管理用戶。 自動(dòng)下載和計(jì)劃安裝。該選項(xiàng)自動(dòng)開始下載更新，然后在你指定的當(dāng)天和時(shí)間安裝更新。 允許本地管理員選擇設(shè)置。該選項(xiàng)可讓本地管理員使用控制面板中的自動(dòng)更新來(lái)選擇配置選項(xiàng)。例如，他們可以選擇計(jì)劃的安裝時(shí)間。本地管理員不能僅用自動(dòng)更新。這里我選擇3-自動(dòng)下載并通知安裝，然后單擊“確定”。在 Windows Update 詳細(xì)信息窗格中，雙擊“指定 Intranet Microsoft 更新服務(wù)位置”。單擊“已啟用”，然后在“設(shè)置 Intranet 更新服務(wù)以檢測(cè)更新”框和“設(shè)置 Intranet 統(tǒng)計(jì)服務(wù)器”框中鍵入相同 WSUS 服務(wù)器的 URL例如，在這兩個(gè)框中（其中服務(wù)器名稱是 WSUS 服務(wù)器的名稱），鍵入 http:/servername，然后單擊“確定”。當(dāng)你鍵入 WSUS 服務(wù)器的 Intranet 地址時(shí)，確保指定準(zhǔn)備使用哪個(gè)端口。默認(rèn)情況下，WSUS 使用適用于 HTTP 的端口 8530 以及適用于 HTTPS 的端口 8531。例如，如果使用 HTTP，則應(yīng)鍵入 http:/servername:8530。 可以設(shè)置“自動(dòng)更新檢測(cè)的頻率”，默認(rèn)是22小時(shí)，我們可以根據(jù)實(shí)際的需要來(lái)調(diào)整間隔。如圖?？梢詥⒂谩皩?duì)于已登錄用戶的計(jì)算機(jī)，計(jì)劃的自動(dòng)更新安裝不執(zhí)行重新啟動(dòng)”，這樣的話，當(dāng)計(jì)算機(jī)存在已登錄的用戶的時(shí)候，裝完更新是否重啟取決于用戶的行為，計(jì)算機(jī)不會(huì)強(qiáng)制重啟，如圖。對(duì)于某些不會(huì)中斷windows服務(wù)，也不會(huì)需要重啟服務(wù)器才生效的更新，我們可以配置啟用“允許自動(dòng)更新立即安裝”，如圖。全域級(jí)別的組策略設(shè)置完成后，我們還可以針對(duì)測(cè)試組合生產(chǎn)組來(lái)配置不同的自動(dòng)更新策略。下面我們來(lái)為測(cè)試服務(wù)器組配置一個(gè)自定義的GPO，該GPO的優(yōu)先級(jí)會(huì)高于默認(rèn)的域組策略，所以該GPO所鏈接到的計(jì)算機(jī)OU內(nèi)的計(jì)算機(jī)客戶端都會(huì)優(yōu)先應(yīng)用該策略。右擊“測(cè)試服務(wù)器組”計(jì)算機(jī)OU，選擇“在這個(gè)域中創(chuàng)建GPO并在此處鏈接”，如圖。輸入新建的GPO的名稱，如圖。然后我們右擊新建的GPO，選擇編輯，如圖。然后我們就可以為該GPO設(shè)置不同的自動(dòng)更新策略了，所有鏈接到這個(gè)策略的計(jì)算機(jī)OU都會(huì)應(yīng)用該策略。一般來(lái)說(shuō)：測(cè)試環(huán)境的服務(wù)器和客戶端我們可以配置自動(dòng)下載通知安裝或者自動(dòng)下載計(jì)劃安裝，對(duì)于生產(chǎn)環(huán)境的客戶機(jī)我們可以設(shè)置自動(dòng)下載并計(jì)劃安裝，對(duì)于生產(chǎn)服務(wù)器組，如果需要手動(dòng)控制打補(bǔ)丁的行為和重啟時(shí)間，我們可以配置自動(dòng)下載并通知安裝，具體要看需求。下圖是我為生產(chǎn)客戶端計(jì)算機(jī)組設(shè)置的自動(dòng)下載并計(jì)劃安裝的策略。設(shè)置策略之后，客戶端計(jì)算機(jī)幾分鐘后，計(jì)算機(jī)將出現(xiàn)在 WSUS 管理控制臺(tái)中的“計(jì)算機(jī)”頁(yè)上。對(duì)于配有基于域的組策略對(duì)象的客戶端計(jì)算機(jī)，組策略將花費(fèi)大約 20 分鐘才能將新的策略設(shè)置應(yīng)用于客戶端計(jì)算機(jī)。默認(rèn)情況下，組策略