Patchen mehrerer Server

[hammer747 10]

Ich suchte nach Möglichkeiten eine Umgebung von ca. 120 Windows-Servern (Versionen 2003 bis 2012) mit möglichst geringem Aufwand zu warten und überwachen. Ein nicht unerheblicher Aufwand stellt hier das patchen der Rechner dar. Das automatische Patchen der Rechner über WSUS und entsprechenden Gruppenrichtlinieneinstellungen ist zu unflexibel, da es mehrere unterschiedliche Wartungsfenster für die Server gibt, einzelne Rechner nur nach Absprache gepatcht werden können.

Für das patchen der Server habe ich Scripts gefunden (Powershell, AutoIT, ..) mit denen dies erledigt werden kann. Diese sollen von einem zentralen Server aus (per PSEXEC?) Remote zu verschiedenen Zeiten auf den gewünschten Systemen ausgeführt werden. Somit könnten Gruppen von Servern über eine Liste definiert werden, mithilfe derer ein Tool das Patchen automatisch startet.

Hat jemand bereits ähnliches in Betrieb oder alternative Lösungen ?

[Dukel 436]

Es gibt diverse Softwareverteilungs und Patchmanagement Produkte, die du dir anschauen kannst. Ich kenne Matrix42 und wir selbst haben Shavlik (k.a. wem das aktuell gehört und wie das Produkt jetzt heisst) im Einsatz.

[Sunny61 773]

Ich suchte nach Möglichkeiten eine Umgebung von ca. 120 Windows-Servern (Versionen 2003 bis 2012) mit möglichst geringem Aufwand zu warten und überwachen. Ein nicht unerheblicher Aufwand stellt hier das patchen der Rechner dar. Das automatische Patchen der Rechner über WSUS und entsprechenden Gruppenrichtlinieneinstellungen ist zu unflexibel, da es mehrere unterschiedliche Wartungsfenster für die Server gibt, einzelne Rechner nur nach Absprache gepatcht werden können.

Das ist alles kein Problem, erstell dir im WSUS eigene Gruppen für die Server die manuell gepacht werden sollen. Die Gruppen nimmst Du bei der Automatischen Genehmigungsregel eben aus. Weiters kannst Du in einem GPO für die Server die Option 3 verwenden, d.h. es werden die Updates nur angezeigt, downloaden und installieren mußt Du manuell oder per Script.

Für das patchen der Server habe ich Scripts gefunden (Powershell, AutoIT, ..) mit denen dies erledigt werden kann. Diese sollen von einem zentralen Server aus (per PSEXEC?) Remote zu verschiedenen Zeiten auf den gewünschten Systemen ausgeführt werden. Somit könnten Gruppen von Servern über eine Liste definiert werden, mithilfe derer ein Tool das Patchen automatisch startet.

Wenn Du fertige Script hast die auf den Servern zu bestimmten Zeiten ausgeführt werden können, würde ich die Aufgabenplanung von Windows per GPO konfigurieren.

[Doso 77]

Wir machen das über mehrere OUs und zugehörige Gruppenrichtlinien. Server werden dann halt nach Bedarf in die entsprechenden OUs geschoben. Beispiel: 

 

Server

 - WSUS Sonntag 23 Uhr

 - WSUS Montag 0 Uhr

 - WSUS Montag 1 Uhr

 - WSUS Dienstag 11 Uhr

 - WSUS manuell

 - WSUS Donnerstag 6 Uhr