Win 10 clients bekommen nicht alle updates die sie brauchen

[codeslayer 10]

Ich habe bei manchen unserer Win 10 clients (ca. 50 PCs) die Meldung:
"Your device is missing important security and quality fixes." (manuelles "check for updates" kommt mit gleicher meldung wieder)

 

Zentraler WSUS ist seit Jahren im im Einsatz und von allen clients erreichbar. Update settings sind per group policy ausgerollt.

Windows revision liegt relativ breit gestreut - so zw. 1903 und 21H2 - Die Windows revision upgrades wurden bewusst im WSUS abgeschaltet um Inkompatibilitäten mit neuen revisions zu vermeiden.

Mittlerweile wollen wir aber zumindest auf die vorletzte Windows Version automatisch upgraden lassen.

 

Im WSUS is Autoapproval für:
Critical , Definition , Security Updates, Update Rollups, Updates
...eingeschaltet

Kann ich irgendwie an den Clients selbst nachsehen was sie glauben zu "vermissen" ? Gibt es irgendein PowerShell Kommanda das man absetzen kann? Im Update log konnte ich nichts wirklich erkennen was ihnen fehlen könnte.

Ich kann mir nur vorstellen, dass es im WSUS bei der Auswahl der "Products" (und "Classifications") etwas fehlen könnte.
Ich habe für in dem "Windows" Baumzweig folgendes aktiviert:
Microsoft Defender Antivirus
Microsoft Defender for Endpoint
Microsoft Edge

Windows 10 Feature on Demand
Windows 10 (ohne weitere versionsangabe)

Muss man vielleich alle
Windows 10 version #### and later, Upgrade & Servicing Drivers
Windows 10 version #### and later, Serviicing Drivers
Windows 10 version #### and later

mit auswählen? (obwohl ich eigentlich nicht unbedingt driver updates will)
...oder zählen machne driver auch zu den "security & quality fixes" dazu?

Was sollte man in dem Products Baum für  Windows 10 clients generell auswählen - hab da leider überhaupt keine gute Referenz. Gibt es irgendwo offizielle Erklärungen was genau bei diesen Einträgen genau gemeint ist? Manche sind etwas "schwammig" bzw. unklar verfasst da sich bei MS oft die Benennung macher Produkte bzw. deren Versionen ändert und auch inkonsistent ist.


 

[Sunny61 772]

Wie sieht denn das GPO für den WSUS aus, das die Clients bekommen? Treiber auswählen solltest Du nicht, da kommen zu viele uralte Treiber mit, die META-Daten alleine sind schon viel zu viel.

 

Wähle so wenig wie möglich aus, so viel wie nötig. Bei W10 gibt es doch nur 3 Arten von Updates. Das monatliche CU für Windows, ein CU für alle möglichen und unmöglichen .Net Framework Versionen und die Servicing Stack Updates. Die Kategorien reichen aus. In diesem Artikel, ganz unten sind die Artikel der Vorjahre gelistet, findest Du die Updates und die dazugehörenden Kategorien. https://support.microsoft.com/de-de/topic/hinweise-zu-inhaltlichen-änderungen-bei-software-update-services-und-windows-server-update-services-im-jahr-2022-kb894199-0c540f4f-60c8-7dc2-23c9-48153749966d

Weiter solltest Du nicht vergessen, alte, nicht mehr benötigte Updates abzulehnen und immer wieder den Serverbereinigungsassistenten ausführen zu lassen, das hält das Content schmal. ;)