maxime/Procedure-Systel
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

Add maintenance procedures for Docker, Ubuntu, Windows, and HYCU

Browse Source 
- Created a new document for updating Docker Swarm nodes.
- Added a guide for updating Ubuntu via APT-Cacher-NG.
- Introduced a procedure for updating Ubuntu OS on client platforms using OPS_ANSIBLE.
- Documented the deployment and usage of WSUS On-Prem for Windows updates.
- Added a procedure for updating Windows OS via centralized WSUS.
- Created a patching procedure using N-Central for Windows systems.
- Developed a restoration procedure for HYCU.
- Documented the configuration steps for setting up a HYCU server.
This commit is contained in:
Maxime BOURIEAU
2026-10-15 09:01:01 +02:00
parent 735c4b2d58
commit 62a5081263
8 changed files with 0 additions and 0 deletions
Download Patch File Download Diff File Expand all files Collapse all files
Maintenance Préventive/Windows/Mise a jour Windows Update via WSUS On Prem.md
+217
View File
@@ -0,0 +1,217 @@
# Déploiement et utilisation du service WSUS On-Prem
## 1. Prérequis réseau
Avant de déployer WSUS, mettre en place les flux nécessaires entre les clients, le serveur WSUS et Microsoft Update.
| Source | Destination | Ports |
| --- | --- | --- |
| `GRP_POSTE` / `GRP_SERVEUR` | `GRP_WSUS` | Tous vers `8530` et `8531` |
| `GRP_WSUS` | Internet | `80` et `443` vers les URL ci-dessous |
URL Microsoft Update à autoriser :
```text
http://.update.microsoft.com
http://.windowsupdate.com
http://ntservicepack.microsoft.com
http://go.microsoft.com
http://dl.delivery.mp.microsoft.com
https://.windowsupdate.microsoft.com
https://.update.microsoft.com
https://download.microsoft.com
https://dl.delivery.mp.microsoft.com
```
## 2. Installer le rôle WSUS
### 2.1 Configuration recommandée du serveur
Il est préférable de réserver une machine dédiée à WSUS avec la configuration suivante :
- Système d'exploitation : Windows Server.
- Processeur : 2 CPU.
- Mémoire : 8 Go de RAM.
- Disque `D:` : 100 Go minimum, 200 Go recommandés.
- Réseau : VLAN MGMT.
À défaut, installer WSUS sur une machine Windows peu critique et enregistrer ses informations dans RDM.
### 2.2 Installation
Sur le serveur choisi :
1. Ouvrir le **Gestionnaire de serveur**.
2. Sélectionner **Gérer > Ajouter des rôles et fonctionnalités**.
3. Choisir **Installation basée sur un rôle ou une fonctionnalité**.
4. Sélectionner le serveur concerné.
5. Dans la liste des rôles, sélectionner **Services WSUS**, puis ajouter les fonctionnalités requises.
6. Poursuivre l'assistant et vérifier les services de rôle à installer.
7. Indiquer `D:\WSUS` comme emplacement du contenu.
8. Poursuivre jusqu'à l'installation et en suivre l'avancement dans le Gestionnaire de serveur.
9. À la fin de l'installation, cliquer sur **Fermer**. Redémarrer le serveur si cela est demandé.
Installer ensuite les deux modules nécessaires à l'affichage des rapports dans la console WSUS :
- <https://www.microsoft.com/en-us/download/details.aspx?id=29065>
- <https://www.microsoft.com/fr-fr/download/details.aspx?id=35747>
## 3. Configurer WSUS
### 3.1 Configurer IIS
Pour éviter les problèmes de mémoire associés à WSUS :
1. Ouvrir le **Gestionnaire IIS** depuis le Gestionnaire de serveur.
2. Ouvrir **Pools d'applications**.
3. Faire un clic droit sur `WSUSPOOL`, puis choisir **Paramètres avancés**.
4. Mettre à `0` la limite de mémoire privée du pool d'applications.
### 3.2 Effectuer la configuration initiale
1. Dans le Gestionnaire de serveur, ouvrir la console **Services WSUS** depuis le menu **Outils**. Pour y accéder plus facilement, épingler le raccourci à la barre des tâches.
2. Vérifier l'emplacement du contenu, puis lancer les tâches de post-installation.
3. À la fin des tâches, fermer la fenêtre et suivre l'assistant de configuration WSUS.
4. Lorsque l'assistant le demande, choisir la synchronisation à partir de **Microsoft Update**.
5. Ne pas activer l'utilisation d'un serveur proxy pour la synchronisation, puis lancer la connexion.
6. Attendre la fin de la vérification de la synchronisation avec les serveurs Microsoft Update. Cette opération peut prendre du temps.
7. Sélectionner les langues nécessaires pour le client.
8. Sélectionner uniquement les produits présents chez le client. Limiter cette sélection facilite la gestion et réduit la charge du serveur.
9. Sélectionner les classifications nécessaires, puis conserver la synchronisation manuelle.
10. Terminer l'assistant.
Les produits à sélectionner dépendent des systèmes et des logiciels présents dans l'environnement : versions de Windows Server, postes Windows et, si nécessaire, produits SQL Server. Pour les mises à jour SQL, choisir la version correspondant à celle du client.
> **Versions anciennes :** la procédure d'origine indique que Windows Server 2003/2008/2008 R2 et Windows 7 ne sont plus pris en charge et recommande leur migration. Elle mentionne Windows Server 2012 R2 et Windows 10 21H1 comme versions cibles minimales. Ces recommandations sont historiques : vérifier les versions actuellement supportées et la politique du client avant de les appliquer.
## 4. Configurer l'exploitation
### 4.1 Créer les groupes de déploiement
Dans la console WSUS, développer **Ordinateurs**, faire un clic droit sur **Tous les ordinateurs**, puis choisir **Ajouter un groupe d'ordinateurs**.
Créer les groupes correspondant à l'architecture Systel :
- `PRODUCTION-WORKSTATIONS` : postes opérateurs de production.
- `TRAINING-WORKSTATIONS` : postes opérateurs de formation.
- `TEST-WORKSTATIONS` : postes opérateurs de test.
- `PRODUCTION-SERVERS` : serveurs Windows de production.
- `TRAINING-SERVERS` : serveurs Windows de formation.
- `TEST-SERVERS` : serveurs Windows de test.
- `PRODUCTION-DBSQL` : serveurs de base de données de production.
- `TRAINING-DBSQL` : serveurs de base de données de formation.
- `TEST-DBSQL` : serveurs de base de données de test.
### 4.2 Créer et configurer la GPO WSUS
1. Sur un contrôleur de domaine, ouvrir **Group Policy Management**.
2. À la racine du domaine, faire un clic droit et choisir **Créer une GPO dans ce domaine et la lier ici**.
3. Nommer la GPO `ALL-SERVER-AND-WORKSTATIONS-WSUS-SERVICE-CONFIGURATION`.
4. Faire un clic droit sur la GPO, puis choisir **Modifier**.
5. Ouvrir le chemin **Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Windows Update**. Le dossier des modèles peut apparaître sous l'intitulé **Modèles d'administration : définitions de stratégies**.
6. Configurer **Spécifier l'emplacement intranet du service de mise à jour Microsoft** avec le FQDN du serveur WSUS dans les champs prévus.
7. Activer **Autoriser les mises à jour signées provenant d'un emplacement intranet du service de mise à jour Microsoft**.
8. Activer **Pas de redémarrage automatique avec des utilisateurs connectés pour les installations planifiées de mise à jour automatique**.
9. Fermer l'éditeur, faire un clic droit sur la GPO et choisir **Mise à jour de la stratégie de groupe**.
Les postes et serveurs peuvent mettre plusieurs heures à apparaître dans la console WSUS. Pour accélérer leur signalement, exécuter les commandes suivantes sur les machines clientes :
```cmd
GPUPDATE /FORCE
WUAUCLT /REPORTNOW
```
En cas de problème de remontée des clients, consulter la section **Dépannage**.
### 4.3 Affecter les clients aux groupes WSUS
Dans la console WSUS, ouvrir **Ordinateurs non attribués**. Faire un clic droit sur chaque machine, choisir **Change membership**, puis sélectionner le groupe de destination correspondant.
## 5. Sélectionner et déployer les mises à jour
### 5.1 Sélectionner les mises à jour
1. Ouvrir **Updates > All Updates**.
2. Appliquer les filtres permettant d'afficher les mises à jour en échec ou nécessaires.
3. Ajouter la colonne **Supersedence** à la liste : faire un clic droit sur la barre des colonnes et sélectionner **Supersedence**.
4. Trier la liste à l'aide de cette colonne.
5. Désapprouver les mises à jour remplacées par une mise à jour plus récente ou déjà incluse dans une autre mise à jour. Pour cela, sélectionner les mises à jour concernées, faire un clic droit et choisir **Decline**.
6. Actualiser la liste et examiner les mises à jour restantes.
Pour les correctifs de sécurité, la procédure recommande de sélectionner les mises à jour cumulatives les plus récentes correspondant aux systèmes présents :
- `Cumulative Update for Windows Server [version de Windows Server] x64`
- `Cumulative Update for Windows 7/8/10/11 x64`
- `Cumulative Update for .NET Framework for Windows Server [version de Windows Server] x64`
- `Cumulative Update for .NET Framework Windows 7/8/10/11 x64`
Des correctifs de sécurité ponctuels peuvent également être publiés hors des mises à jour cumulatives, par exemple :
- `Security Update for Microsoft .NET Framework`
- `Security Update for Windows Server [version de Windows Server]`
- `Security Update for Windows 7/8/10/11 x64`
Le filtre **Failed or Needed** indique que WSUS a détecté que le correctif n'est pas installé sur au moins une machine concernée. Approuver les mises à jour nécessaires selon le périmètre de maintenance.
Pour les bases de données SQL Server, les correctifs de sécurité sont également requis. La procédure cite le format suivant :
```text
Security Update for SQL Server [version de SQL Server] RTM GDR
```
Vérifier que seules les mises à jour correspondant aux produits installés chez le client sont sélectionnées.
### 5.2 Approuver et installer les mises à jour
1. Dans la liste, faire un clic droit sur la mise à jour à déployer et choisir **Approve**.
2. Sélectionner le groupe de machines concerné.
3. Répéter l'opération pour les mises à jour et groupes concernés.
4. Sur chaque machine Windows, ouvrir **Windows Update** et lancer l'installation des mises à jour distribuées par WSUS.
## 6. Dépannage
### Le client n'apparaît pas dans la console WSUS
Vérifier que la GPO s'applique correctement. Sur la machine cliente, exécuter :
```cmd
gpresult /r /scope computer
```
Vérifier ensuite la connectivité entre le client et le serveur WSUS :
```text
telnet [ip du serveur WSUS] 8530
```
Le port `8531` peut également être utilisé selon la configuration.
### Vérifier le service Windows Update
1. Ouvrir la console des services Windows avec **Démarrer > Exécuter > services.msc**.
2. Vérifier que le service **Windows Update** est démarré.
3. S'il ne l'est pas, essayer de le démarrer.
Si le service ne démarre pas ou reste bloqué, relever son PID et exécuter les commandes suivantes :
```cmd
sc queryex wuauserv
```
Noter le PID affiché, puis le remplacer à la place de `XXX` dans la commande suivante :
```cmd
taskkill /f /pid XXX
```
Exécuter ensuite :
```cmd
net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 Catroot2.old
net start wuauserv
```
Maintenance Préventive/Windows/Mise a jour des OS Windows via le WSUS centralisé OPS_WSUS.md
+116
View File
@@ -0,0 +1,116 @@
# Mise à jour des systèmes Windows via le WSUS centralisé OPS_WSUS
## Prérequis
- La plateforme du client doit être raccordée au SI-OPS conformément à la nouvelle architecture.
- La GPO `ALL-SERVERS-AND-WORKSTATIONS-WSUS` doit être appliquée à la racine de l'Active Directory du client.
- Le serveur de mise à jour configuré dans la GPO doit être : `http://ops-wsus.systel-ops.local:8530`.
## 1. Se connecter au serveur OPS-WSUS
Ouvrir le bastion OPS à l'adresse suivante :
<https://bastion-ops-t1.systel-sa.com/>
Se connecter avec le compte personnel fourni par l'équipe SI pour le bastion SI-OPS. En cas d'oubli du mot de passe, contacter l'équipe SI pour le faire réinitialiser.
Stocker les identifiants de manière sécurisée dans un gestionnaire de mots de passe, par exemple KeePass.
Dans le bastion, ouvrir **T1_OPS_APP > OPS-WSUS**, puis sélectionner l'objet **OPS-WSUS**. Saisir les mêmes identifiants que ceux utilisés pour se connecter au bastion. La session ouvre la machine Windows OPS-WSUS.
## 2. Ouvrir la console WSUS
Sur le serveur OPS-WSUS, lancer la console WSUS et repérer son arborescence de menus.
## 3. Approuver les mises à jour
Plusieurs méthodes permettent d'approuver les mises à jour. Pour afficher rapidement les mises à jour nécessaires :
1. Ouvrir **Toutes les mises à jour**.
2. Régler les filtres comme suit :
- **Approbation** : Toutes les exceptions, sauf celles refusées.
- **État** : Échec ou nécessaires.
3. Cliquer sur le bouton d'actualisation. Le serveur affiche les mises à jour nécessaires selon les rapports des machines clientes.
> **Attention à la mise à niveau vers Windows 11 :** désapprouver ces mises à jour avant d'approuver les autres, afin d'éviter une mise à niveau non souhaitée.
Pour approuver les mises à jour affichées :
1. Sélectionner la liste des mises à jour avec **Ctrl+A**.
2. Faire un clic droit, puis choisir **Approuver...**.
3. Dans la fenêtre d'approbation, choisir le groupe d'ordinateurs concerné et sélectionner **Approuver pour l'installation**.
4. Cliquer sur **OK**.
5. Une fois l'approbation terminée, cliquer sur **Fermer**.
Le serveur autorise alors les machines clientes à récupérer les mises à jour depuis OPS-WSUS. Celui-ci télécharge les fichiers nécessaires depuis les serveurs Microsoft Update. Selon les mises à jour, attendre quelques minutes que le téléchargement soit terminé avant de lancer leur recherche sur les machines clientes. Suivre l'avancement dans le menu OPS-WSUS.
## 4. Rechercher et installer les mises à jour sur les machines clientes
Une fois le téléchargement terminé sur OPS-WSUS, se connecter aux machines clientes et lancer une recherche de mises à jour. Selon la version de Windows, ouvrir **Paramètres** ou le **Panneau de configuration**, puis **Windows Update** ou **Mises à jour et sécurité**, et cliquer sur **Rechercher des mises à jour**.
La machine interroge le serveur WSUS, récupère les mises à jour nécessaires et les installe. Certaines mises à jour nécessitent un ou plusieurs redémarrages.
## 5. Vérifier l'état des mises à jour
Lorsque toutes les mises à jour nécessaires sont installées, vérifier le statut sur la machine cliente.
Il est également possible de vérifier l'état depuis le serveur WSUS : ouvrir **Ordinateurs**, puis le sous-groupe contenant la machine concernée. Le rapport peut mettre un certain temps à être généré et transmis à WSUS après l'installation.
### Approuver une mise à jour pour une machine précise
1. Dans **Ordinateurs**, sélectionner la machine cliente concernée.
2. Consulter l'état des mises à jour nécessaires pour cette machine.
3. Cliquer sur **Mises à jour nécessaires**.
4. Utiliser la flèche bleue pour accéder au rapport détaillé des mises à jour nécessaires.
5. Pour approuver une mise à jour, cliquer sur **Non approuvé**, puis l'approuver pour le groupe contenant la machine, comme décrit précédemment.
Pour obtenir de l'aide, contacter l'équipe SSI.
## 6. Dépannage
### La machine cliente n'apparaît pas dans le groupe attendu
Vérifier les menus **Ordinateurs non attribués** et **Tous les ordinateurs** pour voir si la machine se trouve dans un autre groupe.
Pour modifier son groupe, faire un clic droit sur la machine, choisir **Modifier l'appartenance...**, cocher le groupe attendu et décocher le groupe incorrect.
### Vérifier la connectivité et la configuration WSUS
Sur la machine cliente, tester l'accès réseau au serveur WSUS :
```text
telnet ops-wsus.systel-ops.local 8530
```
Si la connexion fonctionne, vérifier la clé de registre suivante :
```text
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
```
Les valeurs `UpdateServiceUrl`, `WUServer` et `WUStatusServer` doivent être définies sur `http://ops-wsus.systel-ops.local:8530`. Si ce n'est pas le cas, vérifier l'application des GPO dans Active Directory ainsi que la configuration de la GPO WSUS.
### Réinitialiser l'agent Windows Update
Si la connectivité et les paramètres de registre sont corrects, exécuter la commande PowerShell suivante :
```powershell
$updateSession = new-object -com "Microsoft.Update.Session"; $updates=$updateSession.CreateupdateSearcher().Search($criteria).Updates
```
Puis exécuter les commandes suivantes dans l'invite de commandes :
```cmd
net stop bits
net stop wuauserv
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientIDValidation /f
rd /s /q "C:\WINDOWS\SoftwareDistribution"
net start bits
net start wuauserv
wuauclt /resetauthorization /detectnow
```
Attendre quelques minutes. La machine devrait ensuite apparaître dans **Ordinateurs non attribués**.
Maintenance Préventive/Windows/Procédure de patching via N-CENTRAL.md
+102
View File
@@ -0,0 +1,102 @@
# Procédure de patching via N-Central
## Prérequis
- Le client doit être raccordé au SI-OPS.
- Les règles réseau nécessaires au fonctionnement de N-Central et au téléchargement des correctifs doivent être en place.
- La probe et les agents N-Central doivent être déployés sur l'infrastructure du client.
- Une règle de détection automatique doit être configurée pour les machines de l'infrastructure afin de répertorier les correctifs nécessaires.
## Se connecter et sélectionner un client
Depuis le réseau Systel, se connecter à N-Central à l'adresse suivante :
<https://n-central-web-ops-t1.systel-sa.com/>
Depuis une TELEMW du client, utiliser cette adresse :
<https://n-central-ops-t1.systel-sa.com/>
Saisir l'identifiant `systel-ops.local\ops_XXX` et le mot de passe associé.
L'accès à N-Central est protégé par une authentification multifacteur (MFA). Saisir le code si le jeton MFA est déjà enregistré; sinon, suivre les instructions pour l'enregistrer.
Une fois connecté, sélectionner le client concerné dans le menu déroulant situé en haut à gauche.
## Approuver les mises à jour
Après avoir sélectionné le client, ouvrir **Actions > Patch Approvals**.
Trois méthodes d'approbation sont disponibles :
- **Automatic Approvals** : à utiliser uniquement pour les politiques de patching automatique validées avec le client.
- **By Device** : pour appliquer des correctifs à une ou plusieurs machines.
- **By Patch** : pour appliquer un correctif précis à une ou plusieurs machines.
Pour une opération de maintenance, la méthode **By Device** est généralement la plus simple :
1. Cocher les serveurs auxquels appliquer les mises à jour, puis cliquer sur **Next**.
2. Cocher les mises à jour à appliquer, puis cliquer sur **Next**.
3. Dans la colonne **New Approval**, sélectionner **Approved for Install** pour chaque machine concernée.
4. Accepter les EULA des logiciels tiers en cochant les cases correspondantes. Il est également possible de cliquer sur **Read**, puis sur **Accepter**. Cliquer ensuite sur **Next**.
5. Vérifier le résumé des mises à jour et des approbations, puis cliquer sur **Finish**.
6. Dans la dernière fenêtre, vérifier les nouvelles approbations, puis cliquer sur **Close Wizard**.
### Approuver et lancer un correctif depuis l'hôte
Il est également possible d'approuver et de lancer le déploiement d'un correctif depuis **Tools > Applications**, dans le menu de gestion de l'hôte. Cliquer sur l'icône d'avertissement, puis sur **INSTALL PATCH NOW**.
## Suivre le déploiement des mises à jour
Le suivi de l'installation est disponible à plusieurs endroits :
- Sur l'hôte, dans **Overview > Patch Summary**.
- Dans **All Devices**, sélectionner le client puis la machine concernée et consulter les informations de l'onglet **Overview**.
- Dans **Asset > Patches**.
Le téléchargement et l'installation peuvent prendre du temps, selon les mises à jour approuvées.
Certaines mises à jour, notamment les mises à jour de sécurité Windows, peuvent nécessiter un redémarrage. Vérifier son état dans l'onglet **Overview**.
Si un redémarrage est nécessaire pour poursuivre l'installation, le lancer depuis l'hôte dans N-Central via **ADD TASK > Power Management**.
## Dépannage
### Vérifier le service Windows Update
Le module PME (Patch Management) de N-Central s'appuie sur le service Windows Update. Si ce service n'est pas démarré, les correctifs ne peuvent pas être appliqués. Vérifier son état dans **Overview** ou, plus précisément, dans **Monitoring**.
Survoler l'indicateur avec la souris pour afficher son statut. Le statut **Failed** peut notamment indiquer que des correctifs de priorité haute ou moyenne n'ont pas été approuvés. Si le module est indiqué comme non fonctionnel, vérifier que le service Windows Update est démarré.
Dans N-Central, ouvrir **Tools > Services** pour accéder aux services de la machine. Rechercher **Windows Update**, cocher la case correspondante, puis cliquer sur **Start**. Si le service n'est pas configuré pour démarrer automatiquement, régler **Startup Type** sur **Automatic**.
### Réinitialiser l'agent Windows Update
Si le problème persiste, réinitialiser la configuration de l'agent Windows Update en exécutant les commandes PowerShell suivantes :
```powershell
net stop bits
net stop wuauserv
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientIDValidation /f
rd /s /q "C:\WINDOWS\SoftwareDistribution"
net start bits
net start wuauserv
wuauclt /resetauthorization /detectnow
```
Relancer ensuite un scan de détection sur la machine concernée.
### Vérifier les flux de téléchargement des logiciels tiers
Lorsqu'une mise à jour approuvée ne s'installe pas, la probe installée sur la TELELMW1 peut ne pas disposer des flux réseau nécessaires pour télécharger les paquets depuis les sites des éditeurs.
Consulter la base de données N-ABLE des logiciels tiers à l'adresse suivante :
<https://sis.n-able.com/3rdPartySw/ThirdPartySoftware.html>
Rechercher le logiciel concerné. S'il est répertorié, ses mises à jour sont prises en charge par N-Central. L'URL de téléchargement du logiciel apparaît dans les informations du logiciel.
Pour autoriser le flux, se connecter au pare-feu du client et ouvrir **Embedded URL Database**. Ajouter le nom DNS présent dans l'URL afin que la probe de la TELEMW1 puisse accéder au site et télécharger la mise à jour.