maxime/Procedure-Systel
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
Files
735c4b2d588dca58d68848f5a0965cdd3c644504
Procedure-Systel/Maintenance Préventive/Mise a jour Windows Update via WSUS On Prem.md
T

9.9 KiB
Raw Blame History

Déploiement et utilisation du service WSUS On-Prem

1. Prérequis réseau

Avant de déployer WSUS, mettre en place les flux nécessaires entre les clients, le serveur WSUS et Microsoft Update.

Source Destination Ports
GRP_POSTE / GRP_SERVEUR GRP_WSUS Tous vers 8530 et 8531
GRP_WSUS Internet 80 et 443 vers les URL ci-dessous

URL Microsoft Update à autoriser :

http://.update.microsoft.com
http://.windowsupdate.com
http://ntservicepack.microsoft.com
http://go.microsoft.com
http://dl.delivery.mp.microsoft.com
https://.windowsupdate.microsoft.com
https://.update.microsoft.com
https://download.microsoft.com
https://dl.delivery.mp.microsoft.com

2. Installer le rôle WSUS

2.1 Configuration recommandée du serveur

Il est préférable de réserver une machine dédiée à WSUS avec la configuration suivante :

  • Système d'exploitation : Windows Server.
  • Processeur : 2 CPU.
  • Mémoire : 8 Go de RAM.
  • Disque D: : 100 Go minimum, 200 Go recommandés.
  • Réseau : VLAN MGMT.

À défaut, installer WSUS sur une machine Windows peu critique et enregistrer ses informations dans RDM.

2.2 Installation

Sur le serveur choisi :

  1. Ouvrir le Gestionnaire de serveur.
  2. Sélectionner Gérer > Ajouter des rôles et fonctionnalités.
  3. Choisir Installation basée sur un rôle ou une fonctionnalité.
  4. Sélectionner le serveur concerné.
  5. Dans la liste des rôles, sélectionner Services WSUS, puis ajouter les fonctionnalités requises.
  6. Poursuivre l'assistant et vérifier les services de rôle à installer.
  7. Indiquer D:\WSUS comme emplacement du contenu.
  8. Poursuivre jusqu'à l'installation et en suivre l'avancement dans le Gestionnaire de serveur.
  9. À la fin de l'installation, cliquer sur Fermer. Redémarrer le serveur si cela est demandé.

Installer ensuite les deux modules nécessaires à l'affichage des rapports dans la console WSUS :

3. Configurer WSUS

3.1 Configurer IIS

Pour éviter les problèmes de mémoire associés à WSUS :

  1. Ouvrir le Gestionnaire IIS depuis le Gestionnaire de serveur.
  2. Ouvrir Pools d'applications.
  3. Faire un clic droit sur WSUSPOOL, puis choisir Paramètres avancés.
  4. Mettre à 0 la limite de mémoire privée du pool d'applications.

3.2 Effectuer la configuration initiale

  1. Dans le Gestionnaire de serveur, ouvrir la console Services WSUS depuis le menu Outils. Pour y accéder plus facilement, épingler le raccourci à la barre des tâches.
  2. Vérifier l'emplacement du contenu, puis lancer les tâches de post-installation.
  3. À la fin des tâches, fermer la fenêtre et suivre l'assistant de configuration WSUS.
  4. Lorsque l'assistant le demande, choisir la synchronisation à partir de Microsoft Update.
  5. Ne pas activer l'utilisation d'un serveur proxy pour la synchronisation, puis lancer la connexion.
  6. Attendre la fin de la vérification de la synchronisation avec les serveurs Microsoft Update. Cette opération peut prendre du temps.
  7. Sélectionner les langues nécessaires pour le client.
  8. Sélectionner uniquement les produits présents chez le client. Limiter cette sélection facilite la gestion et réduit la charge du serveur.
  9. Sélectionner les classifications nécessaires, puis conserver la synchronisation manuelle.
  10. Terminer l'assistant.

Les produits à sélectionner dépendent des systèmes et des logiciels présents dans l'environnement : versions de Windows Server, postes Windows et, si nécessaire, produits SQL Server. Pour les mises à jour SQL, choisir la version correspondant à celle du client.

Versions anciennes : la procédure d'origine indique que Windows Server 2003/2008/2008 R2 et Windows 7 ne sont plus pris en charge et recommande leur migration. Elle mentionne Windows Server 2012 R2 et Windows 10 21H1 comme versions cibles minimales. Ces recommandations sont historiques : vérifier les versions actuellement supportées et la politique du client avant de les appliquer.

4. Configurer l'exploitation

4.1 Créer les groupes de déploiement

Dans la console WSUS, développer Ordinateurs, faire un clic droit sur Tous les ordinateurs, puis choisir Ajouter un groupe d'ordinateurs.

Créer les groupes correspondant à l'architecture Systel :

  • PRODUCTION-WORKSTATIONS : postes opérateurs de production.
  • TRAINING-WORKSTATIONS : postes opérateurs de formation.
  • TEST-WORKSTATIONS : postes opérateurs de test.
  • PRODUCTION-SERVERS : serveurs Windows de production.
  • TRAINING-SERVERS : serveurs Windows de formation.
  • TEST-SERVERS : serveurs Windows de test.
  • PRODUCTION-DBSQL : serveurs de base de données de production.
  • TRAINING-DBSQL : serveurs de base de données de formation.
  • TEST-DBSQL : serveurs de base de données de test.

4.2 Créer et configurer la GPO WSUS

  1. Sur un contrôleur de domaine, ouvrir Group Policy Management.
  2. À la racine du domaine, faire un clic droit et choisir Créer une GPO dans ce domaine et la lier ici.
  3. Nommer la GPO ALL-SERVER-AND-WORKSTATIONS-WSUS-SERVICE-CONFIGURATION.
  4. Faire un clic droit sur la GPO, puis choisir Modifier.
  5. Ouvrir le chemin Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Windows Update. Le dossier des modèles peut apparaître sous l'intitulé Modèles d'administration : définitions de stratégies.
  6. Configurer Spécifier l'emplacement intranet du service de mise à jour Microsoft avec le FQDN du serveur WSUS dans les champs prévus.
  7. Activer Autoriser les mises à jour signées provenant d'un emplacement intranet du service de mise à jour Microsoft.
  8. Activer Pas de redémarrage automatique avec des utilisateurs connectés pour les installations planifiées de mise à jour automatique.
  9. Fermer l'éditeur, faire un clic droit sur la GPO et choisir Mise à jour de la stratégie de groupe.

Les postes et serveurs peuvent mettre plusieurs heures à apparaître dans la console WSUS. Pour accélérer leur signalement, exécuter les commandes suivantes sur les machines clientes :

GPUPDATE /FORCE
WUAUCLT /REPORTNOW

En cas de problème de remontée des clients, consulter la section Dépannage.

4.3 Affecter les clients aux groupes WSUS

Dans la console WSUS, ouvrir Ordinateurs non attribués. Faire un clic droit sur chaque machine, choisir Change membership, puis sélectionner le groupe de destination correspondant.

5. Sélectionner et déployer les mises à jour

5.1 Sélectionner les mises à jour

  1. Ouvrir Updates > All Updates.
  2. Appliquer les filtres permettant d'afficher les mises à jour en échec ou nécessaires.
  3. Ajouter la colonne Supersedence à la liste : faire un clic droit sur la barre des colonnes et sélectionner Supersedence.
  4. Trier la liste à l'aide de cette colonne.
  5. Désapprouver les mises à jour remplacées par une mise à jour plus récente ou déjà incluse dans une autre mise à jour. Pour cela, sélectionner les mises à jour concernées, faire un clic droit et choisir Decline.
  6. Actualiser la liste et examiner les mises à jour restantes.

Pour les correctifs de sécurité, la procédure recommande de sélectionner les mises à jour cumulatives les plus récentes correspondant aux systèmes présents :

  • Cumulative Update for Windows Server [version de Windows Server] x64
  • Cumulative Update for Windows 7/8/10/11 x64
  • Cumulative Update for .NET Framework for Windows Server [version de Windows Server] x64
  • Cumulative Update for .NET Framework Windows 7/8/10/11 x64

Des correctifs de sécurité ponctuels peuvent également être publiés hors des mises à jour cumulatives, par exemple :

  • Security Update for Microsoft .NET Framework
  • Security Update for Windows Server [version de Windows Server]
  • Security Update for Windows 7/8/10/11 x64

Le filtre Failed or Needed indique que WSUS a détecté que le correctif n'est pas installé sur au moins une machine concernée. Approuver les mises à jour nécessaires selon le périmètre de maintenance.

Pour les bases de données SQL Server, les correctifs de sécurité sont également requis. La procédure cite le format suivant :

Security Update for SQL Server [version de SQL Server] RTM GDR

Vérifier que seules les mises à jour correspondant aux produits installés chez le client sont sélectionnées.

5.2 Approuver et installer les mises à jour

  1. Dans la liste, faire un clic droit sur la mise à jour à déployer et choisir Approve.
  2. Sélectionner le groupe de machines concerné.
  3. Répéter l'opération pour les mises à jour et groupes concernés.
  4. Sur chaque machine Windows, ouvrir Windows Update et lancer l'installation des mises à jour distribuées par WSUS.

6. Dépannage

Le client n'apparaît pas dans la console WSUS

Vérifier que la GPO s'applique correctement. Sur la machine cliente, exécuter :

gpresult /r /scope computer

Vérifier ensuite la connectivité entre le client et le serveur WSUS :

telnet [ip du serveur WSUS] 8530

Le port 8531 peut également être utilisé selon la configuration.

Vérifier le service Windows Update

  1. Ouvrir la console des services Windows avec Démarrer > Exécuter > services.msc.
  2. Vérifier que le service Windows Update est démarré.
  3. S'il ne l'est pas, essayer de le démarrer.

Si le service ne démarre pas ou reste bloqué, relever son PID et exécuter les commandes suivantes :

sc queryex wuauserv

Noter le PID affiché, puis le remplacer à la place de XXX dans la commande suivante :

taskkill /f /pid XXX

Exécuter ensuite :

net stop wuauserv
net stop cryptSvc
net stop bits
net stop msiserver
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
ren C:\Windows\System32\catroot2 Catroot2.old
net start wuauserv
Reference in New Issue View Git Blame Copy Permalink