WSUS und GPO

[Oblivion 10]

Hallo Leute,

ich habe eine W2K Domäne und habe WSUS installiert. Ich habe eine OU für WSUS eingerichtet, der ich ein GPO zugewiesen habe. diesem GPO habe ich zunächst zu Testzwecken einen Computer zugewiesen. Leider ist nichts passiert, der Rechner wurde nicht upgedatet. Dann habe ich das GPO mit der Domäne verbunden und sofort haben sich alle Rechner beim WSUS angemeldet. Wie kann ich jetzt aber unterdrücken, dass sich bestimmte Rechner (z.B. die Server) beim WSUS melden, diese Rechner vom Update also ausschließen?

 

Weiß jemand Rat?

 

LG

 

Udo

[004 10]

Hallo Udo,

 

ich empfehle Dir, Deine kritischen Systeme in eine andere OU zu packen und ein anderes Script zu verwenden, welches die Server einer seperaten WSUS-Computergruppe zuordnet.

 

Im WSUS selbst hast Du unter Computer die Möglichkeit diese Gruppen zu erstellen und zu verwalten. Gruppenspezifisch lassen sich dort die Updateeinstellungen anpassen.

 

LG 004

[Oblivion 10]

Danke für deine Antwort.

 

Was für ein Script meinst du? Eine anderes GPO?

 

Ich hatte versucht, ein GPO in einer separaten OU zu verwenden, leider hat sich das GPO erst ausgewirkt (updates verteilt) nach dem ich es der Domäne zugeordnet hatte. Und seit dem gilt es leider für alle Rechner und nicht nur für die in dem GPO hintelegten 'Mitglieder'.

[004 10]

Hallo Udo,

 

Policytechnisch kannst Du den WSUS definieren, aber ich glaube nicht mit allen Parametern.

Mit Script meinte ich ein Registryfile, welches alle benötigten Parameter enthält - u.a kannst Du damit den Rechner einer Computergruppe im WSUS zuordnen und damit genau regeln welcher Rechner welche Updates bekommt/nicht bekommt.

 

LG 004

[Oblivion 10]

Danke 004,

ich weiß leider nicht, wie so ein Registry-File geschrieben wird, aber jetzt habe ich es mit deinem zweiten Tipp geschafft, nämlich die Verteilung der Patches über die Gruppen im WSUS selbst zu steuern. Das scheint ganz prima zu funktionieren.

 

Danke!

 

Udo

[004 10]

:) Freut mich...

 

Eine Registryfile sieht in etwa so aus:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://WSUS-SERVER:8530"
"WUStatusServer"="http://WSUS-SERVER:8530"
"ElevateNonAdmins"=dword:00000001
"TargetGroup"="TARGETGROUP"
"TargetGroupEnabled"=dword:00000001

[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000005
"AutoInstallMinorUpdate"=dword:00000001
"DetectionFrequencyEnabled"=dword:00000004
"DetectionFrequency"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"RebootRelaunchTimeout"=dword:000005A0
"RebootRelaunchTimeoutEnabled"=dword:00000001
"RebootWarningTimeout"=dword:0000001e
"RebootWarningTimeoutEnabled"=dword:00000001
"RescheduleWaitTimeEnabled"=dword:00000001
"RescheduleWaitTime"=dword:0000001e
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000010
"UseWUServer"=dword:00000001
"LastWaitTimeout"=-
"DetectionStartTime"=- 

 

Im WSUS Deployment Guide von MS findest Du die ganzen Einstellungsmöglichkeiten.

Eine gute Seite ist auch http://www.wsus.de mit diversen netten Tools und Tips.

 

LG 004