WSUS Einstellungen / Updates beim Herunterfahren zwingend installieren?

[NorbertFe 1.805]

Was passiert eigentlich bei Windows 10/11 wenn man im WSUS einen Stichtag für Updates definiert? Hab ich nie probiert, wär aber in dem Zusammenhang mal interessant.

[Sunny61 773]

vor 3 Stunden schrieb mcdaniels:

Hab das jetzt halt von 08:00 bis 15:00 eingestellt und hoffe, dass die Updates dann nach 15:00h installiert werden.

 

Das wird so aber nie und immer zeitgerecht und kontrolliert funktionieren, da bin ich mir ziemlich sicher.

Funktioniert bei uns im großen und ganzen recht gut. Am besten auch den Usern mitteilen dass z.B. heute Updates freigegeben worden sind und man bitte beim Herunterfahren an die Updates denken soll.

vor 3 Stunden schrieb NorbertFe:

Was passiert eigentlich bei Windows 10/11 wenn man im WSUS einen Stichtag für Updates definiert? Hab ich nie probiert, wär aber in dem Zusammenhang mal interessant.

Hab ich auch noch nicht probiert, aber wird vermutlich nicht anders sein, als bei W7 oder XP. Harter Neustart. ;)

[NorbertFe 1.805]

Na das wär doch super 😆

[mcdaniels 22]

vor 39 Minuten schrieb Sunny61:

Funktioniert bei uns im großen und ganzen recht gut. Am besten auch den Usern mitteilen dass z.B. heute Updates freigegeben worden sind und man bitte beim Herunterfahren an die Updates denken soll.

 

Danke jedenfalls für deine/eure Hilfe. Ich finde es echt schade, dass das nur so funktioniert und es da immer eine Benutzerinteraktion geben muss. (Das ist nie gut, weil du immer welche dabei hast, die das eben nicht machen, was dann wieder mehr Aufwand bedeutet.) War viel schöner mit Herunterfahren (und dann wurden ganz einfach heruntergeladene Updates installiert).

[Sunny61 773]

Man sieht ja im WSUS welcher Rechner nach einem Reboot verlangt, bei uns hat es schon geholfen, Spezialisten gezielt anzusprechen, danach kam das nicht mehr vor. ;)

[NorbertFe 1.805]

vor 9 Stunden schrieb mcdaniels:

War viel schöner mit Herunterfahren (und dann wurden ganz einfach heruntergeladene Updates installiert).

Auch damals (tm) gabs spezialisten, die dann die steckdosenleiste einfach ausgeschaltet haben, weils zu lange gedauert hat oder sie immer als erstes auch den Monitor ausschalten und dann nicht sehen was da noch steht. ;)

[testperson 1.534]

Ich habe es noch nie versucht, aber ggfs. könnte man mit einem Shutdown Script nachhelfen. Evtl. auch einen Task der beim / vorm Herunterfahren triggert. Dann wäre es am Ende egal, ob "Herunterfahren" oder "Aktualisieren und Herunterfahren" geklickt wurde.

[mcdaniels 22]

vor 2 Stunden schrieb NorbertFe:

Auch damals (tm) gabs spezialisten, die dann die steckdosenleiste einfach ausgeschaltet haben, weils zu lange gedauert hat oder sie immer als erstes auch den Monitor ausschalten und dann nicht sehen was da noch steht. ;)

ja, aber der Mechanismus selbst war für meine Begriffe und unsere Anforderungen weit besser.

 

vor 2 Stunden schrieb testperson:

Ich habe es noch nie versucht, aber ggfs. könnte man mit einem Shutdown Script nachhelfen. Evtl. auch einen Task der beim / vorm Herunterfahren triggert. Dann wäre es am Ende egal, ob "Herunterfahren" oder "Aktualisieren und Herunterfahren" geklickt wurde.

 

Vielleicht schaff ich es ja damit:

 

https://basic-tutorials.de/ratgeber/software/usoclient/

 

vor 2 Stunden schrieb Sunny61:

Man sieht ja im WSUS welcher Rechner nach einem Reboot verlangt, bei uns hat es schon geholfen, Spezialisten gezielt anzusprechen, danach kam das nicht mehr vor. ;)

das hilft hier zu 99,9% nicht.

 

Das Kernproblem ist einerseits die Problematik, dass Updates bei "Herunterfahren" nicht installiert werden und wir beim nächsten Patchday noch nicht mal 50% der "vorhergehenden" Updates installiert haben (Auf den Clients).

 

Das läuft einfach zu unzuverlässig auf die "Standard-Art-und-Weise". Ist auch eine Frage der Zeit (die ich nicht habe): laufendes prüfen ob die Updates eh installiert werden, wenn nicht, prüfen warum (da ist's halt dann weil der User das ums Verrecken nicht macht), dann das ganze händisch anwerfen, damit überhaupt mal etwas weiter geht.... , weil ich auf gefühlten 1000 Baustellen gleichzeitig aktiv bin (innerhalb eines Betriebs), schaff ich das so einfach nicht.

 

Und so kommt es dann, dass man etliche ungepatchte Systeme hat....

 

Für mein Umfeld gibt es nur eine Möglichkeit, bezogen auf die Updateeinspielung und das ist das Zauberwort "Zwang". (leider).

 

 

bearbeitet 31. Oktober 2023 von mcdaniels

[testperson 1.534]

Hi,

 

jetzt könnte man noch einwerfen, dass WSUS / WU evtl. nicht zu euren Anforderungen passt. Hast du mal in Richtung 3rd Party Patchmanagement / Endpoint Management geschaut? Das ist sicherlich kein Alleinstellungsmerkmal von Manage Engine Endpoint Central, aber da gibt es bspw. das automatisierte Patch-Management:

Zitat

Jedes Mal, wenn ein Computer im Netzwerk offline geht, kann es – zu dem Zeitpunkt, an dem die Netzwerkverbindung wiederhergestellt wird – neue Patches geben, die dem Computer fehlen. Sobald der Endpoint-Central-Agent allerdings dann wieder Kontakt mit dem Server herstellen kann, wird er im nächsten Aktualisierungszyklus von Endpoint Central automatisch gescannt. Dabei werden die fehlenden Patches erkannt und auf dem Server aktualisiert. Anschließend installiert der Agent diese im nächsten Aktualisierungszyklus während des festgelegten Patch-Deployment-Fensters. Die Patch-Verteilung im Agent wird so lange fortgesetzt, bis alle Patches installiert wurden, auf die die vorher festgelegten Kriterien zutreffen.

(Patches vieler Hersteller einfach verwalten - mit Endpoint Central (manageengine.de) / Automated Patch Deployment - Deploy missing patches | ManageEngine)

 

Zusätzlich zum Patchmanagement bringt Endpoint Central noch einige weitere nette Features mit.

 

Gruß

Jan

[mcdaniels 22]

vor 9 Minuten schrieb testperson:

jetzt könnte man noch einwerfen, dass WSUS / WU evtl. nicht zu euren Anforderungen passt. Hast du mal in Richtung 3rd Party Patchmanagement / Endpoint Management geschaut?

ich habe PDQ Deploy im Einsatz, das allerdings wiederum nur mit PDQ-Inventory wohl die Dinge machen könnte, die du oben erwähnst. Sind halt wieder Zusatzkosten.

 

Im Grunde kann man aber wohl sagen: Der WSUS ist -Stand heute- nicht dafür ausgelegt, in einer Umgebung eingesetzt zu werden, in der die PC nicht 24/7 durch laufen und es innerhalb dieses Zeitrahmens keine Leerlaufzeiten gibt, in denen er (WSUS) die Updates installieren könnte und ohne Userinteraktion dann neu startet. Finde ich ehrlich gesagt richtig schwach.

bearbeitet 31. Oktober 2023 von mcdaniels

[NorbertFe 1.805]

vor 24 Minuten schrieb mcdaniels:

das hilft hier zu 99,9% nicht.

In welcher Branche bist du denn? 🤔😬😂

[mcdaniels 22]

vor 2 Minuten schrieb NorbertFe:

In welcher Branche bist du denn? 🤔😬😂

in der Branche in der alles strikt vorgegeben werden muss, ohne jemals eine Option offen zu lassen.

[NorbertFe 1.805]

abgesehen von Vorgaben der IT, denn die muss man nicht befolgen. Schließlich ist die IT dafür zuständig, dass ich hier einen sicheren pc habe. ;) Ich kann hier nicht den Job der IT übernehmen. 

[mcdaniels 22]

vor 7 Minuten schrieb NorbertFe:

abgesehen von Vorgaben der IT, denn die muss man nicht befolgen. Schließlich ist die IT dafür zuständig, dass ich hier einen sicheren pc habe. ;) Ich kann hier nicht den Job der IT übernehmen. 

[Sunny61 773]

vor 2 Stunden schrieb mcdaniels:

das hilft hier zu 99,9% nicht.

 

Dann dürften diese MA doch eigentlich keinen PC bedienen, wenn sie schon das nicht schaffen.

 

vor 1 Stunde schrieb mcdaniels:

Im Grunde kann man aber wohl sagen: Der WSUS ist -Stand heute- nicht dafür ausgelegt, in einer Umgebung eingesetzt zu werden, in der die PC nicht 24/7 durch laufen und es innerhalb dieses Zeitrahmens keine Leerlaufzeiten gibt, in denen er (WSUS) die Updates installieren könnte und ohne Userinteraktion dann neu startet. Finde ich ehrlich gesagt richtig schwach.

 

Stimmt so nicht, es gibt genügend Umgebungen in denen das funktioniert, eine davon ist unsere. Es liegt nicht an der Technik, bei euch versagt der Mensch.

 

Und noch eine Korrektur: Der WSUS installiert nichts, gar nichts, der Client holt vom WSUS ab und der Client installiert.

 

Bezüglich ohne Userinteraktion, probier das doch einfach mal mit ein paar Testclients in einer Testgruppe. Wenn Du ein Update genehmigst, kannst Du dafür auch einen Stichtag festlegen, an dem wird das Update installiert. Und vermutlich wird auch neu gestartet, so war es zu Zeiten von W7 noch. Da gab es keinen Hinweis auf den Neustart, das hatten nicht alle so gewollt.