Windows Server Update Services (WSUS)

Программное обеспечение от Windows Server Update Services (WSUS) позволяет управлять всем процессом обновления компьютеров под управлением операционной системой Microsoft Windows в сетях любого масштаба, в том числе позволяет определить, вручную или автоматически, какие обновления необходимы для компьютеров и когда они будут установлены, а также позволяет отслеживать состояние развертывания обновлений на компьютерах. В частности, WSUS предоставляет возможность составления отчетов, поддерживает установку исправлений для приложений (Exchange, Microsoft Office, Microsoft SQL Server), умеет работать с группами компьютеров при развертывании исправлений и поддерживает концепцию предельного срока действия задания по установке исправлений (на усмотрение администратора). 1. Установка Windows Server Update Services (WSUS)

Для установки WSUS потребуется сервер на платформе Pentium III 750 NHz или выше, оперативная память 512 Mb минмимум, Microsoft Windows Server 2003 или 2000, .NET Framework 1.1, Background Intelligent Transfer Service (BITS) 2.0, Internet Explorer 6 SP1, Internet Information Server 5.0, также при необходимости можно скачать с сайта разработчиков бесплатную версию SQL Server. Если выполнены соответствующие требования к аппаратному обеспечению сервера, установлены необходимые компонеты, то следующий этап – установка WSUS. Инсталляционный файл WSUS размером 130 Mb можно скачать с сервера Microsoft. В самом начале установки требуется ответить на вопрос, будет ли WSUS хранить обновления, получаемые от Microsoft. Можно выбрать один из двух вариантов — хранить обновления на самом сервере WSUS или рассчитывать на то, что клиенты будут самостоятельно обращаться за ними на сервер Microsoft. Дисковое пространство — ресурс исключительно недорогой, в отличие от пропускной способности Internet. Если в организации насчитывается несколько тысяч рабочих станций, попробуйте себе представить, что произойдет, если все они одновременно попытаются загрузить свежие исправления по Internet. Предположим, что для хранения исправлений выбирается локальный каталог на сервере WSUS. Необходимо убедиться, что в указанном каталоге в вашем распоряжении имеется по крайней мере 6 Гбайт свободного дискового пространства. В момент публикации загрузка полного комплекта исправлений (включая поддержку всех языков) потребует около 2 Гбайт дискового пространства. Следует отметить, что после установки можно изменить вариант работы сервера (Интернет или локально). С помощью утилиты WSUSutil.exe, входящей в состав WSUS, можно изменить место хранения обновлений на локальном диске.

WSUS дополнительно нужно 2 Гбайт дискового пространства для размещения собственной базы данных SQL Server, которую WSUS использует для отслеживания служебной информации — например, какие исправления загружены, но не развернуты, каким образом сгруппированы машины, какие исправления (и на каких системах) были успешно развернуты и т. д. Для работы с этой базой данных полновесная система SQL Server в организации не нужна (хотя, конечно, если она уже есть, ею стоит воспользоваться); для WSUS можно задействовать настольный вариант SQL Server. После нескольких экранов, где надо просто подтвердить согласие на установку WSUS, начинается собственно процедура установки. После ее завершения со WSUS можно начинать работать. При обращении к http://localhost/wusadmin пользователь получает доступ ко всем функциям WSUS (все они реализованы в Web-интерфейсе).

2. Выбор параметров загрузки WSUS

Интерфейс WSUS содержит пять зон, которые показаны вверху справа как пять значков: Home, Updates, Reports, Computers и Options. Понятно, что, когда WSUS запускается впервые, нет еще никаких обновлений, которые можно было бы принять или отклонить (если только не была произведена модернизация от предыдущей версии Server Update Service). В списке обновлений на начальной странице везде должны стоять нули. Следовательно, прежде всего требуется настроить WSUS на получение всех необходимых обновлений. Но прежде чем нажимать на Synchronize now, следует настроить параметры WSUS. WSUS по умолчанию сама устанавливает некоторые параметры, и одна из этих настроек подразумевает, что будут загружаться все доступные исправления для всех возможных языков. Это приведет к исключительно длительной загрузке на начальном этапе работы WSUS. Если развертываются все языковые версии Windows 2003, Windows XP и Windows 2000, эта настройка может оказаться полезной. Но для большинства сайтов это не так и, следовательно, приведет к бесполезной трате огромного объема дискового пространства (не говоря уже о пропускной способности сайта Microsoft WSUS). Итак, следует выбрать для своей организации только необходимые языки. Для этого нужно щелкнуть значок Options, а затем выбрать Synchronization Options. Пролистайте секцию Update Files and Languages и щелкните Advanced. В Synchronization Options также можно установить, какие типы исправлений надо загрузить и сделать доступными для использования — например, исправления для системы безопасности, пакеты обновлений, драйверы, критические исправления, а также какие программные продукты требуется поддерживать. После того как все параметры будут настроены, следует вернуться на страницу Home и щелкнуть Synchronize now для запуска процесса синхронизации. Если поначалу не все продукты становятся доступными, не стоит беспокоиться; все, что пока недоступно, должно проявиться после начальной синхронизации с Windows Update — оперативной службой загрузки обновлений Microsoft. Начальная синхронизация WSUS займет некоторое время, в зависимости от пропускной способности канала и числа загружаемых исправлений. После завершения процесса синхронизации можно приступать к распространению одобренных исправлений (исправлений, установку которых администратор одобрил) по всей организации. При выполнении начальной синхронизации WSUS загружает только детальную информацию о каждом исправлении. На самом деле исправление не загружается до тех пор, пока администратор не санкционирует его развертывание. Чтобы увидеть все доступные для загрузки исправления, а также те, что уже были одобрены для загрузки на сервер WSUS, сначала нужно щелкнуть значок Updates. Архив, в котором WSUS хранит всю информацию, — это база данных, а значит, все исправления и пакеты обновлений обладают необходимыми атрибутами, по которым можно осуществлять быстрый поиск. Когда вы в первый раз смотрите на страницу Update, то видите поля, связанные с каждым исправлением, например Classification (классификация) и Approval (одобрение). Это всего лишь два из расширенных атрибутов, хранящихся вместе с каждым исправлением, которое прошло через WSUS. Рекомендую найти время, просмотреть список исправлений и определить, что следует одобрить для распространения в организации, а что нет. Чтобы изменить статус Approval исправления, необходимо выделить нужный элемент на виде Update и щелкнуть параметр Change approval в левой части окна. По умолчанию для всех обновлений статус одобрения имеет значение Detect, если только в политике синхронизации не было установлено, что изменения получают автоматическое одобрение. Исправления со статусом одобрения Detect будут просто инспектировать целевые системы для проверки, требуется ли в системе то или иное исправление, и результат этой проверки будет фиксироваться. Чтобы одобрить исправление для распространения, нужно выбрать Install вместо Detect, и исправление начнет распространяться по всей организации. Для некоторых исправлений разработчики Microsoft даже обеспечили возможность удаления, для чего из списка Approval достаточно выбрать параметр Remove. Вместе с тем WSUS не может автоматически удалить исправления, которые не поддерживают возможности удаления для таких исправлений параметр Remove не отображается.

3. Настройка исправлений Использование параметров Install и Remove вместе с группами тестовых компьютеров предоставляет администратору механизм тестирования новых исправлений внутри организации. Новые исправления можно назначить выбранной группе тестовых систем, оценить состояние серверов и приложений после обновления и, если все работает нормально, приступить к распространению исправлений на всю организацию. Возможность создавать группы компьютеров — новая функция WSUS, одна из тех, которых так не хватало SUS. Администраторы SUS, как правило, старались не распространять один и тот же набор исправлений на серверы и рабочие станции (например, большинству серверов не нужен медиаплейер — Windows Media Player, WMP, и, соответственно, исправления для него), поэтому все изобретали свои пути выхода из этой ситуации — часто в организации просто создавалось несколько SUS-серверов. WSUS избавляет от необходимости использовать несколько серверов SUS, позволяя администраторам группировать компьютеры в соответствии с выбранными критериями. После того как исправление одобрено для установки, для разных групп компьютеров можно описать различные параметры установки. Например, для серверов можно настроить только инспекцию систем для выяснения, нужно им одобренное исправление или нет, тогда как для рабочих станций указать автоматическое развертывание исправления. Для каждого исправления, хранящегося в WSUS, может быть назначено множество подобных действий с привязкой к определенным группам компьютеров. Помимо описания нужной настройки — detect, install или remove, можно установить дату и время, когда WSUS и Automatic Updates начнут принудительную установку, если она до сих пор не произошла. К этой возможности обычно прибегают в том случае, когда хотят гарантировать, что самые свежие исправления для системы безопасности будут развернуты на всех системах организации за отведенное время. Чтобы назначить для исправления предельный срок действия (deadline), требуется щелкнуть справа от поля Deadline параметр None. На экране появится диалоговое окно Edit Deadline

При назначении конечного срока для развертывания исправления в распоряжении администратора есть три возможности: позволить пользователю применить исправление в любое время (на его усмотрение); позволить пользователю применить исправление в любое время, но по истечении заданной даты и времени приступить к принудительной установке; установить исправление немедленно. Чтобы пользователь мог установить исправление в любое время, нужно просто оставить в поле Deadline значение None. Чтобы гарантировать, что к указанному времени пользователь обязательно установит исправление, необходимо ввести в окне Edit Deadline нужную дату. После того как время назначенного срока истекло, от пользователя в обязательном порядке потребуется установка исправления. И наконец, если исправление нужно развернуть по всей организации в максимально сжатые сроки, просто задайте текущую дату и время, и тогда на всех системах начнется установка обновлений. 4. Настройка клиентов Чтобы клиенты Automatic Updates могли получать исправления от WSUS, на станциях клиентов нужно выполнить некоторые изменения в настройках. Необходимо сообщить клиентам, что вместо указанного по умолчанию сервера Windows Update, поддерживаемого Microsoft, будет использоваться сервер WSUS. По умолчанию клиент Automatic Updates всегда пытается подключиться к серверу Microsoft Windows Update. При использовании WSUS вы фактически работаете со своей версией Windows Update, соответственно, настройки клиента нужно изменить. Даже если прежде вы занимались настройкой Automatic Updates, у вас может возникнуть вопрос — а где же я добавлял или изменял имя нужного сервера? Все правильно, при внесении изменений надо обратиться к реестру. Следует запустить редактор реестра и перейти в раздел HKEY_LOCAL_MACHINE\ SOFTWARE\Policies\Microsoft\Windows. Здесь уже может находиться подраздел WindowsUpdate. Если его там нет, ничего страшного, в некоторых системах этот раздел по умолчанию не создается и его надо создать вручную. Создайте раздел HKEY_LOCAL_ MACHINE\SOFTWARE\Policies\Microsoft\Windows\ WindowsUpdate, если его нет в реестре. Этот раздел будет контейнером для двух параметров, которые также придется создать: один сообщит Automatic Updates, что нужно отыскать сервер WSUS, а другой — где именно WSUS может быть найден. Итак, в разделе WindowsUpdate создайте новый раздел с названием AU, а в нем параметр UseWUServer (тип данных REG_DWORD) и присвойте ему значение 1 (true). Новый параметр сообщит Automatic Updates, что в организации используется сервер WSUS вместо стандартного сервера Windows Update, который поддерживает Microsoft. Не покидайте раздел AU и создайте еще один параметр с именем AUOptions (тип данных REG_DWORD). Этот параметр определяет поведение клиента Automatic Updates: клиент принимает к сведению информацию о наличии исправлений, клиент получает оповещение и загружает исправления или же выполняет полную установку исправления. Рекомендую для начала установить параметр AUOptions равным 3 (извещение и загрузка); позднее его можно будет изменить. Затем следует вернуться в HKEY_LOCAL_MACHINE\ SOFTWARE\Policies\ Microsoft\Windows\WindowsUpdate, добавить в раздел WindowsUpdate два новых параметра, WUServer и WUStatusServer (тип данных обоих REG_SZ). Присвойте обоим параметрам URL сервера WSUS. Эти значения сообщают Automatic Updates, по какому адресу можно найти сервер WSUS. Конечно, внесение изменений в реестр вручную для каждой рабочей станции и сервера в масштабах всей организации — задача непростая. Рекомендую воспользоваться групповой политикой для установки этих параметров или распространить .reg-файл по рабочим станциям (возможно, при помощи сценария регистрации) и применить его настройки на каждой системе. Находясь в реестре, можно изменить и некоторые другие стандартные параметры клиента Automatic Updates. Эти параметры приведены в таблице и расположены в реестре по адресу HKEY_LOCAL_MACHINE\SOFTWARE\Policies\ Microsoft\Windows\ WindowsUpdate\AU. Пример reg-файла: Windows Registry Editor Version 5.00 [HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate] "WUServer"="http://WSUS" "WUStatusServer"="http://WSUS" "ElevateNonAdmins"=dword:00000000 "TargetGroupEnabled"=dword:00000001 "TargetGroup"="Test Group For Client Side Targeting"

[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU] "NoAutoUpdate"=dword:00000000 "AUOptions"=dword:00000004 "AutoInstallMinorUpdate"=dword:00000001 "DetectionFrequencyEnabled"=dword:00000004 "DetectionFrequency"=dword:00000004 "NoAutoRebootWithLoggedOnUsers"=dword:00000001 "RebootRelaunchTimeout"=dword:000005A0 "RebootRelaunchTimeoutEnabled"=dword:00000001 "RebootWarningTimeout"=dword:0000001e "RebootWarningTimeoutEnabled"=dword:00000001 "RescheduleWaitTimeEnabled"=dword:00000001 "RescheduleWaitTime"=dword:0000001e "ScheduledInstallDay"=dword:00000000 "ScheduledInstallTime"=dword:00000010 "UseWUServer"=dword:00000001 "LastWaitTimeout"=- Следует отметить, что на Windows Server 2003 настройку обновлений можно производить с помощью групповой политики домена, тем самым упростить процедуру подключения клиентских компьютеров к серверу WSUS. 5. Проверка обновлений Пока обновление не будет установлено, нельзя быть уверенным в том, как оно повлияет на работу существующих на компьютере программ. Устанавливая обновление в тестовой среде прежде, чем развернуть его в реальной среде, можно проанализировать и оценить влияние обновления до того, как оно сможет причинить вред рабочим системам. Это позволит предотвратить незапланированные простои и потерю производительности. WSUS позволяет создавать специальные группы компьютеров, которые можно использовать для проверки обновлений. Например, на следующем рисунке показаны три группы компьютеров: две специальные группы, созданные администратором (Тест и Учет), а также встроенная группа Все компьютеры.

В этом примере группа Тест содержит небольшое количество компьютеров, типичных для группы Учет. Таким образом создается виртуальная тестовая лаборатория. Администратор может сначала одобрить обновления для группы Тест. Если проверка прошла успешно, администратор может развернуть обновления в группе Учет. Можно расширить этот простой сценарий с учетом требований тестирования для организации. Например, можно создать несколько тестовых групп компьютеров, аналогичных реальным группам компьютеров, в которые включены компьютеры с различной конфигурацией.

Подробную информацию можно получить на сайте разработчика: 1. http://www.microsoft.com/windowsserversystem/updat... 2. http://support.microsoft.com/default.aspx?scid=kb ;ru;328010 3. http://technet2.microsoft.com/WindowsServer/en/Lib...