Maxime BOURIEAU
62a5081263
- Created a new document for updating Docker Swarm nodes. - Added a guide for updating Ubuntu via APT-Cacher-NG. - Introduced a procedure for updating Ubuntu OS on client platforms using OPS_ANSIBLE. - Documented the deployment and usage of WSUS On-Prem for Windows updates. - Added a procedure for updating Windows OS via centralized WSUS. - Created a patching procedure using N-Central for Windows systems. - Developed a restoration procedure for HYCU. - Documented the configuration steps for setting up a HYCU server.
217 lines
9.9 KiB
Markdown
217 lines
9.9 KiB
Markdown
# Déploiement et utilisation du service WSUS On-Prem
|
|
|
|
## 1. Prérequis réseau
|
|
|
|
Avant de déployer WSUS, mettre en place les flux nécessaires entre les clients, le serveur WSUS et Microsoft Update.
|
|
|
|
| Source | Destination | Ports |
|
|
| --- | --- | --- |
|
|
| `GRP_POSTE` / `GRP_SERVEUR` | `GRP_WSUS` | Tous vers `8530` et `8531` |
|
|
| `GRP_WSUS` | Internet | `80` et `443` vers les URL ci-dessous |
|
|
|
|
URL Microsoft Update à autoriser :
|
|
|
|
```text
|
|
http://.update.microsoft.com
|
|
http://.windowsupdate.com
|
|
http://ntservicepack.microsoft.com
|
|
http://go.microsoft.com
|
|
http://dl.delivery.mp.microsoft.com
|
|
https://.windowsupdate.microsoft.com
|
|
https://.update.microsoft.com
|
|
https://download.microsoft.com
|
|
https://dl.delivery.mp.microsoft.com
|
|
```
|
|
|
|
## 2. Installer le rôle WSUS
|
|
|
|
### 2.1 Configuration recommandée du serveur
|
|
|
|
Il est préférable de réserver une machine dédiée à WSUS avec la configuration suivante :
|
|
|
|
- Système d'exploitation : Windows Server.
|
|
- Processeur : 2 CPU.
|
|
- Mémoire : 8 Go de RAM.
|
|
- Disque `D:` : 100 Go minimum, 200 Go recommandés.
|
|
- Réseau : VLAN MGMT.
|
|
|
|
À défaut, installer WSUS sur une machine Windows peu critique et enregistrer ses informations dans RDM.
|
|
|
|
### 2.2 Installation
|
|
|
|
Sur le serveur choisi :
|
|
|
|
1. Ouvrir le **Gestionnaire de serveur**.
|
|
2. Sélectionner **Gérer > Ajouter des rôles et fonctionnalités**.
|
|
3. Choisir **Installation basée sur un rôle ou une fonctionnalité**.
|
|
4. Sélectionner le serveur concerné.
|
|
5. Dans la liste des rôles, sélectionner **Services WSUS**, puis ajouter les fonctionnalités requises.
|
|
6. Poursuivre l'assistant et vérifier les services de rôle à installer.
|
|
7. Indiquer `D:\WSUS` comme emplacement du contenu.
|
|
8. Poursuivre jusqu'à l'installation et en suivre l'avancement dans le Gestionnaire de serveur.
|
|
9. À la fin de l'installation, cliquer sur **Fermer**. Redémarrer le serveur si cela est demandé.
|
|
|
|
Installer ensuite les deux modules nécessaires à l'affichage des rapports dans la console WSUS :
|
|
|
|
- <https://www.microsoft.com/en-us/download/details.aspx?id=29065>
|
|
- <https://www.microsoft.com/fr-fr/download/details.aspx?id=35747>
|
|
|
|
## 3. Configurer WSUS
|
|
|
|
### 3.1 Configurer IIS
|
|
|
|
Pour éviter les problèmes de mémoire associés à WSUS :
|
|
|
|
1. Ouvrir le **Gestionnaire IIS** depuis le Gestionnaire de serveur.
|
|
2. Ouvrir **Pools d'applications**.
|
|
3. Faire un clic droit sur `WSUSPOOL`, puis choisir **Paramètres avancés**.
|
|
4. Mettre à `0` la limite de mémoire privée du pool d'applications.
|
|
|
|
### 3.2 Effectuer la configuration initiale
|
|
|
|
1. Dans le Gestionnaire de serveur, ouvrir la console **Services WSUS** depuis le menu **Outils**. Pour y accéder plus facilement, épingler le raccourci à la barre des tâches.
|
|
2. Vérifier l'emplacement du contenu, puis lancer les tâches de post-installation.
|
|
3. À la fin des tâches, fermer la fenêtre et suivre l'assistant de configuration WSUS.
|
|
4. Lorsque l'assistant le demande, choisir la synchronisation à partir de **Microsoft Update**.
|
|
5. Ne pas activer l'utilisation d'un serveur proxy pour la synchronisation, puis lancer la connexion.
|
|
6. Attendre la fin de la vérification de la synchronisation avec les serveurs Microsoft Update. Cette opération peut prendre du temps.
|
|
7. Sélectionner les langues nécessaires pour le client.
|
|
8. Sélectionner uniquement les produits présents chez le client. Limiter cette sélection facilite la gestion et réduit la charge du serveur.
|
|
9. Sélectionner les classifications nécessaires, puis conserver la synchronisation manuelle.
|
|
10. Terminer l'assistant.
|
|
|
|
Les produits à sélectionner dépendent des systèmes et des logiciels présents dans l'environnement : versions de Windows Server, postes Windows et, si nécessaire, produits SQL Server. Pour les mises à jour SQL, choisir la version correspondant à celle du client.
|
|
|
|
> **Versions anciennes :** la procédure d'origine indique que Windows Server 2003/2008/2008 R2 et Windows 7 ne sont plus pris en charge et recommande leur migration. Elle mentionne Windows Server 2012 R2 et Windows 10 21H1 comme versions cibles minimales. Ces recommandations sont historiques : vérifier les versions actuellement supportées et la politique du client avant de les appliquer.
|
|
|
|
## 4. Configurer l'exploitation
|
|
|
|
### 4.1 Créer les groupes de déploiement
|
|
|
|
Dans la console WSUS, développer **Ordinateurs**, faire un clic droit sur **Tous les ordinateurs**, puis choisir **Ajouter un groupe d'ordinateurs**.
|
|
|
|
Créer les groupes correspondant à l'architecture Systel :
|
|
|
|
- `PRODUCTION-WORKSTATIONS` : postes opérateurs de production.
|
|
- `TRAINING-WORKSTATIONS` : postes opérateurs de formation.
|
|
- `TEST-WORKSTATIONS` : postes opérateurs de test.
|
|
- `PRODUCTION-SERVERS` : serveurs Windows de production.
|
|
- `TRAINING-SERVERS` : serveurs Windows de formation.
|
|
- `TEST-SERVERS` : serveurs Windows de test.
|
|
- `PRODUCTION-DBSQL` : serveurs de base de données de production.
|
|
- `TRAINING-DBSQL` : serveurs de base de données de formation.
|
|
- `TEST-DBSQL` : serveurs de base de données de test.
|
|
|
|
### 4.2 Créer et configurer la GPO WSUS
|
|
|
|
1. Sur un contrôleur de domaine, ouvrir **Group Policy Management**.
|
|
2. À la racine du domaine, faire un clic droit et choisir **Créer une GPO dans ce domaine et la lier ici**.
|
|
3. Nommer la GPO `ALL-SERVER-AND-WORKSTATIONS-WSUS-SERVICE-CONFIGURATION`.
|
|
4. Faire un clic droit sur la GPO, puis choisir **Modifier**.
|
|
5. Ouvrir le chemin **Configuration ordinateur > Stratégies > Modèles d'administration > Composants Windows > Windows Update**. Le dossier des modèles peut apparaître sous l'intitulé **Modèles d'administration : définitions de stratégies**.
|
|
6. Configurer **Spécifier l'emplacement intranet du service de mise à jour Microsoft** avec le FQDN du serveur WSUS dans les champs prévus.
|
|
7. Activer **Autoriser les mises à jour signées provenant d'un emplacement intranet du service de mise à jour Microsoft**.
|
|
8. Activer **Pas de redémarrage automatique avec des utilisateurs connectés pour les installations planifiées de mise à jour automatique**.
|
|
9. Fermer l'éditeur, faire un clic droit sur la GPO et choisir **Mise à jour de la stratégie de groupe**.
|
|
|
|
Les postes et serveurs peuvent mettre plusieurs heures à apparaître dans la console WSUS. Pour accélérer leur signalement, exécuter les commandes suivantes sur les machines clientes :
|
|
|
|
```cmd
|
|
GPUPDATE /FORCE
|
|
WUAUCLT /REPORTNOW
|
|
```
|
|
|
|
En cas de problème de remontée des clients, consulter la section **Dépannage**.
|
|
|
|
### 4.3 Affecter les clients aux groupes WSUS
|
|
|
|
Dans la console WSUS, ouvrir **Ordinateurs non attribués**. Faire un clic droit sur chaque machine, choisir **Change membership**, puis sélectionner le groupe de destination correspondant.
|
|
|
|
## 5. Sélectionner et déployer les mises à jour
|
|
|
|
### 5.1 Sélectionner les mises à jour
|
|
|
|
1. Ouvrir **Updates > All Updates**.
|
|
2. Appliquer les filtres permettant d'afficher les mises à jour en échec ou nécessaires.
|
|
3. Ajouter la colonne **Supersedence** à la liste : faire un clic droit sur la barre des colonnes et sélectionner **Supersedence**.
|
|
4. Trier la liste à l'aide de cette colonne.
|
|
5. Désapprouver les mises à jour remplacées par une mise à jour plus récente ou déjà incluse dans une autre mise à jour. Pour cela, sélectionner les mises à jour concernées, faire un clic droit et choisir **Decline**.
|
|
6. Actualiser la liste et examiner les mises à jour restantes.
|
|
|
|
Pour les correctifs de sécurité, la procédure recommande de sélectionner les mises à jour cumulatives les plus récentes correspondant aux systèmes présents :
|
|
|
|
- `Cumulative Update for Windows Server [version de Windows Server] x64`
|
|
- `Cumulative Update for Windows 7/8/10/11 x64`
|
|
- `Cumulative Update for .NET Framework for Windows Server [version de Windows Server] x64`
|
|
- `Cumulative Update for .NET Framework Windows 7/8/10/11 x64`
|
|
|
|
Des correctifs de sécurité ponctuels peuvent également être publiés hors des mises à jour cumulatives, par exemple :
|
|
|
|
- `Security Update for Microsoft .NET Framework`
|
|
- `Security Update for Windows Server [version de Windows Server]`
|
|
- `Security Update for Windows 7/8/10/11 x64`
|
|
|
|
Le filtre **Failed or Needed** indique que WSUS a détecté que le correctif n'est pas installé sur au moins une machine concernée. Approuver les mises à jour nécessaires selon le périmètre de maintenance.
|
|
|
|
Pour les bases de données SQL Server, les correctifs de sécurité sont également requis. La procédure cite le format suivant :
|
|
|
|
```text
|
|
Security Update for SQL Server [version de SQL Server] RTM GDR
|
|
```
|
|
|
|
Vérifier que seules les mises à jour correspondant aux produits installés chez le client sont sélectionnées.
|
|
|
|
### 5.2 Approuver et installer les mises à jour
|
|
|
|
1. Dans la liste, faire un clic droit sur la mise à jour à déployer et choisir **Approve**.
|
|
2. Sélectionner le groupe de machines concerné.
|
|
3. Répéter l'opération pour les mises à jour et groupes concernés.
|
|
4. Sur chaque machine Windows, ouvrir **Windows Update** et lancer l'installation des mises à jour distribuées par WSUS.
|
|
|
|
## 6. Dépannage
|
|
|
|
### Le client n'apparaît pas dans la console WSUS
|
|
|
|
Vérifier que la GPO s'applique correctement. Sur la machine cliente, exécuter :
|
|
|
|
```cmd
|
|
gpresult /r /scope computer
|
|
```
|
|
|
|
Vérifier ensuite la connectivité entre le client et le serveur WSUS :
|
|
|
|
```text
|
|
telnet [ip du serveur WSUS] 8530
|
|
```
|
|
|
|
Le port `8531` peut également être utilisé selon la configuration.
|
|
|
|
### Vérifier le service Windows Update
|
|
|
|
1. Ouvrir la console des services Windows avec **Démarrer > Exécuter > services.msc**.
|
|
2. Vérifier que le service **Windows Update** est démarré.
|
|
3. S'il ne l'est pas, essayer de le démarrer.
|
|
|
|
Si le service ne démarre pas ou reste bloqué, relever son PID et exécuter les commandes suivantes :
|
|
|
|
```cmd
|
|
sc queryex wuauserv
|
|
```
|
|
|
|
Noter le PID affiché, puis le remplacer à la place de `XXX` dans la commande suivante :
|
|
|
|
```cmd
|
|
taskkill /f /pid XXX
|
|
```
|
|
|
|
Exécuter ensuite :
|
|
|
|
```cmd
|
|
net stop wuauserv
|
|
net stop cryptSvc
|
|
net stop bits
|
|
net stop msiserver
|
|
ren C:\Windows\SoftwareDistribution SoftwareDistribution.old
|
|
ren C:\Windows\System32\catroot2 Catroot2.old
|
|
net start wuauserv
|
|
``` |