From b4ea08e0217a5aa89f65735818fbea72dd48210a Mon Sep 17 00:00:00 2001 From: Maxime BOURIEAU Date: Wed, 14 Oct 2026 15:58:55 +0200 Subject: [PATCH] Add documentation for updating Windows systems via centralized WSUS --- ... OS Windows via le WSUS centralisé OPS_WSUS | 116 ++++++++++++++++++ 1 file changed, 116 insertions(+) create mode 100644 Maintenance Préventive/Mise a jour des OS Windows via le WSUS centralisé OPS_WSUS diff --git a/Maintenance Préventive/Mise a jour des OS Windows via le WSUS centralisé OPS_WSUS b/Maintenance Préventive/Mise a jour des OS Windows via le WSUS centralisé OPS_WSUS new file mode 100644 index 0000000..c331f25 --- /dev/null +++ b/Maintenance Préventive/Mise a jour des OS Windows via le WSUS centralisé OPS_WSUS @@ -0,0 +1,116 @@ +# Mise à jour des systèmes Windows via le WSUS centralisé OPS_WSUS + +## Prérequis + +- La plateforme du client doit être raccordée au SI-OPS conformément à la nouvelle architecture. +- La GPO `ALL-SERVERS-AND-WORKSTATIONS-WSUS` doit être appliquée à la racine de l'Active Directory du client. +- Le serveur de mise à jour configuré dans la GPO doit être : `http://ops-wsus.systel-ops.local:8530`. + +## 1. Se connecter au serveur OPS-WSUS + +Ouvrir le bastion OPS à l'adresse suivante : + + + +Se connecter avec le compte personnel fourni par l'équipe SI pour le bastion SI-OPS. En cas d'oubli du mot de passe, contacter l'équipe SI pour le faire réinitialiser. + +Stocker les identifiants de manière sécurisée dans un gestionnaire de mots de passe, par exemple KeePass. + +Dans le bastion, ouvrir **T1_OPS_APP > OPS-WSUS**, puis sélectionner l'objet **OPS-WSUS**. Saisir les mêmes identifiants que ceux utilisés pour se connecter au bastion. La session ouvre la machine Windows OPS-WSUS. + +## 2. Ouvrir la console WSUS + +Sur le serveur OPS-WSUS, lancer la console WSUS et repérer son arborescence de menus. + +## 3. Approuver les mises à jour + +Plusieurs méthodes permettent d'approuver les mises à jour. Pour afficher rapidement les mises à jour nécessaires : + +1. Ouvrir **Toutes les mises à jour**. +2. Régler les filtres comme suit : + - **Approbation** : Toutes les exceptions, sauf celles refusées. + - **État** : Échec ou nécessaires. +3. Cliquer sur le bouton d'actualisation. Le serveur affiche les mises à jour nécessaires selon les rapports des machines clientes. + +> **Attention à la mise à niveau vers Windows 11 :** désapprouver ces mises à jour avant d'approuver les autres, afin d'éviter une mise à niveau non souhaitée. + +Pour approuver les mises à jour affichées : + +1. Sélectionner la liste des mises à jour avec **Ctrl+A**. +2. Faire un clic droit, puis choisir **Approuver...**. +3. Dans la fenêtre d'approbation, choisir le groupe d'ordinateurs concerné et sélectionner **Approuver pour l'installation**. +4. Cliquer sur **OK**. +5. Une fois l'approbation terminée, cliquer sur **Fermer**. + +Le serveur autorise alors les machines clientes à récupérer les mises à jour depuis OPS-WSUS. Celui-ci télécharge les fichiers nécessaires depuis les serveurs Microsoft Update. Selon les mises à jour, attendre quelques minutes que le téléchargement soit terminé avant de lancer leur recherche sur les machines clientes. Suivre l'avancement dans le menu OPS-WSUS. + +## 4. Rechercher et installer les mises à jour sur les machines clientes + +Une fois le téléchargement terminé sur OPS-WSUS, se connecter aux machines clientes et lancer une recherche de mises à jour. Selon la version de Windows, ouvrir **Paramètres** ou le **Panneau de configuration**, puis **Windows Update** ou **Mises à jour et sécurité**, et cliquer sur **Rechercher des mises à jour**. + +La machine interroge le serveur WSUS, récupère les mises à jour nécessaires et les installe. Certaines mises à jour nécessitent un ou plusieurs redémarrages. + +## 5. Vérifier l'état des mises à jour + +Lorsque toutes les mises à jour nécessaires sont installées, vérifier le statut sur la machine cliente. + +Il est également possible de vérifier l'état depuis le serveur WSUS : ouvrir **Ordinateurs**, puis le sous-groupe contenant la machine concernée. Le rapport peut mettre un certain temps à être généré et transmis à WSUS après l'installation. + +### Approuver une mise à jour pour une machine précise + +1. Dans **Ordinateurs**, sélectionner la machine cliente concernée. +2. Consulter l'état des mises à jour nécessaires pour cette machine. +3. Cliquer sur **Mises à jour nécessaires**. +4. Utiliser la flèche bleue pour accéder au rapport détaillé des mises à jour nécessaires. +5. Pour approuver une mise à jour, cliquer sur **Non approuvé**, puis l'approuver pour le groupe contenant la machine, comme décrit précédemment. + +Pour obtenir de l'aide, contacter l'équipe SSI. + +## 6. Dépannage + +### La machine cliente n'apparaît pas dans le groupe attendu + +Vérifier les menus **Ordinateurs non attribués** et **Tous les ordinateurs** pour voir si la machine se trouve dans un autre groupe. + +Pour modifier son groupe, faire un clic droit sur la machine, choisir **Modifier l'appartenance...**, cocher le groupe attendu et décocher le groupe incorrect. + +### Vérifier la connectivité et la configuration WSUS + +Sur la machine cliente, tester l'accès réseau au serveur WSUS : + +```text +telnet ops-wsus.systel-ops.local 8530 +``` + +Si la connexion fonctionne, vérifier la clé de registre suivante : + +```text +HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate +``` + +Les valeurs `UpdateServiceUrl`, `WUServer` et `WUStatusServer` doivent être définies sur `http://ops-wsus.systel-ops.local:8530`. Si ce n'est pas le cas, vérifier l'application des GPO dans Active Directory ainsi que la configuration de la GPO WSUS. + +### Réinitialiser l'agent Windows Update + +Si la connectivité et les paramètres de registre sont corrects, exécuter la commande PowerShell suivante : + +```powershell +$updateSession = new-object -com "Microsoft.Update.Session"; $updates=$updateSession.CreateupdateSearcher().Search($criteria).Updates +``` + +Puis exécuter les commandes suivantes dans l'invite de commandes : + +```cmd +net stop bits +net stop wuauserv +reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f +reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f +reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f +reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientIDValidation /f +rd /s /q "C:\WINDOWS\SoftwareDistribution" +net start bits +net start wuauserv +wuauclt /resetauthorization /detectnow +``` + +Attendre quelques minutes. La machine devrait ensuite apparaître dans **Ordinateurs non attribués**. \ No newline at end of file