Maxime BOURIEAU
116 lines
5.9 KiB
Markdown
116 lines
5.9 KiB
Markdown
# Mise à jour des systèmes Windows via le WSUS centralisé OPS_WSUS
|
|
|
|
## Prérequis
|
|
|
|
- La plateforme du client doit être raccordée au SI-OPS conformément à la nouvelle architecture.
|
|
- La GPO `ALL-SERVERS-AND-WORKSTATIONS-WSUS` doit être appliquée à la racine de l'Active Directory du client.
|
|
- Le serveur de mise à jour configuré dans la GPO doit être : `http://ops-wsus.systel-ops.local:8530`.
|
|
|
|
## 1. Se connecter au serveur OPS-WSUS
|
|
|
|
Ouvrir le bastion OPS à l'adresse suivante :
|
|
|
|
<https://bastion-ops-t1.systel-sa.com/>
|
|
|
|
Se connecter avec le compte personnel fourni par l'équipe SI pour le bastion SI-OPS. En cas d'oubli du mot de passe, contacter l'équipe SI pour le faire réinitialiser.
|
|
|
|
Stocker les identifiants de manière sécurisée dans un gestionnaire de mots de passe, par exemple KeePass.
|
|
|
|
Dans le bastion, ouvrir **T1_OPS_APP > OPS-WSUS**, puis sélectionner l'objet **OPS-WSUS**. Saisir les mêmes identifiants que ceux utilisés pour se connecter au bastion. La session ouvre la machine Windows OPS-WSUS.
|
|
|
|
## 2. Ouvrir la console WSUS
|
|
|
|
Sur le serveur OPS-WSUS, lancer la console WSUS et repérer son arborescence de menus.
|
|
|
|
## 3. Approuver les mises à jour
|
|
|
|
Plusieurs méthodes permettent d'approuver les mises à jour. Pour afficher rapidement les mises à jour nécessaires :
|
|
|
|
1. Ouvrir **Toutes les mises à jour**.
|
|
2. Régler les filtres comme suit :
|
|
- **Approbation** : Toutes les exceptions, sauf celles refusées.
|
|
- **État** : Échec ou nécessaires.
|
|
3. Cliquer sur le bouton d'actualisation. Le serveur affiche les mises à jour nécessaires selon les rapports des machines clientes.
|
|
|
|
> **Attention à la mise à niveau vers Windows 11 :** désapprouver ces mises à jour avant d'approuver les autres, afin d'éviter une mise à niveau non souhaitée.
|
|
|
|
Pour approuver les mises à jour affichées :
|
|
|
|
1. Sélectionner la liste des mises à jour avec **Ctrl+A**.
|
|
2. Faire un clic droit, puis choisir **Approuver...**.
|
|
3. Dans la fenêtre d'approbation, choisir le groupe d'ordinateurs concerné et sélectionner **Approuver pour l'installation**.
|
|
4. Cliquer sur **OK**.
|
|
5. Une fois l'approbation terminée, cliquer sur **Fermer**.
|
|
|
|
Le serveur autorise alors les machines clientes à récupérer les mises à jour depuis OPS-WSUS. Celui-ci télécharge les fichiers nécessaires depuis les serveurs Microsoft Update. Selon les mises à jour, attendre quelques minutes que le téléchargement soit terminé avant de lancer leur recherche sur les machines clientes. Suivre l'avancement dans le menu OPS-WSUS.
|
|
|
|
## 4. Rechercher et installer les mises à jour sur les machines clientes
|
|
|
|
Une fois le téléchargement terminé sur OPS-WSUS, se connecter aux machines clientes et lancer une recherche de mises à jour. Selon la version de Windows, ouvrir **Paramètres** ou le **Panneau de configuration**, puis **Windows Update** ou **Mises à jour et sécurité**, et cliquer sur **Rechercher des mises à jour**.
|
|
|
|
La machine interroge le serveur WSUS, récupère les mises à jour nécessaires et les installe. Certaines mises à jour nécessitent un ou plusieurs redémarrages.
|
|
|
|
## 5. Vérifier l'état des mises à jour
|
|
|
|
Lorsque toutes les mises à jour nécessaires sont installées, vérifier le statut sur la machine cliente.
|
|
|
|
Il est également possible de vérifier l'état depuis le serveur WSUS : ouvrir **Ordinateurs**, puis le sous-groupe contenant la machine concernée. Le rapport peut mettre un certain temps à être généré et transmis à WSUS après l'installation.
|
|
|
|
### Approuver une mise à jour pour une machine précise
|
|
|
|
1. Dans **Ordinateurs**, sélectionner la machine cliente concernée.
|
|
2. Consulter l'état des mises à jour nécessaires pour cette machine.
|
|
3. Cliquer sur **Mises à jour nécessaires**.
|
|
4. Utiliser la flèche bleue pour accéder au rapport détaillé des mises à jour nécessaires.
|
|
5. Pour approuver une mise à jour, cliquer sur **Non approuvé**, puis l'approuver pour le groupe contenant la machine, comme décrit précédemment.
|
|
|
|
Pour obtenir de l'aide, contacter l'équipe SSI.
|
|
|
|
## 6. Dépannage
|
|
|
|
### La machine cliente n'apparaît pas dans le groupe attendu
|
|
|
|
Vérifier les menus **Ordinateurs non attribués** et **Tous les ordinateurs** pour voir si la machine se trouve dans un autre groupe.
|
|
|
|
Pour modifier son groupe, faire un clic droit sur la machine, choisir **Modifier l'appartenance...**, cocher le groupe attendu et décocher le groupe incorrect.
|
|
|
|
### Vérifier la connectivité et la configuration WSUS
|
|
|
|
Sur la machine cliente, tester l'accès réseau au serveur WSUS :
|
|
|
|
```text
|
|
telnet ops-wsus.systel-ops.local 8530
|
|
```
|
|
|
|
Si la connexion fonctionne, vérifier la clé de registre suivante :
|
|
|
|
```text
|
|
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate
|
|
```
|
|
|
|
Les valeurs `UpdateServiceUrl`, `WUServer` et `WUStatusServer` doivent être définies sur `http://ops-wsus.systel-ops.local:8530`. Si ce n'est pas le cas, vérifier l'application des GPO dans Active Directory ainsi que la configuration de la GPO WSUS.
|
|
|
|
### Réinitialiser l'agent Windows Update
|
|
|
|
Si la connectivité et les paramètres de registre sont corrects, exécuter la commande PowerShell suivante :
|
|
|
|
```powershell
|
|
$updateSession = new-object -com "Microsoft.Update.Session"; $updates=$updateSession.CreateupdateSearcher().Search($criteria).Updates
|
|
```
|
|
|
|
Puis exécuter les commandes suivantes dans l'invite de commandes :
|
|
|
|
```cmd
|
|
net stop bits
|
|
net stop wuauserv
|
|
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v AccountDomainSid /f
|
|
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v PingID /f
|
|
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientId /f
|
|
reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate" /v SusClientIDValidation /f
|
|
rd /s /q "C:\WINDOWS\SoftwareDistribution"
|
|
net start bits
|
|
net start wuauserv
|
|
wuauclt /resetauthorization /detectnow
|
|
```
|
|
|
|
Attendre quelques minutes. La machine devrait ensuite apparaître dans **Ordinateurs non attribués**. |