Procédure WSUS

WSUS

Configuration et administration

Date : 18/12/13

Page : 1 / 18

Retour ausommaine

ObjetCe document a pour but de fournir les différents éléments permettant la maintenance etl'administration du serveur de mises à jour installé dans l'établissement.

VocabulairePas de vocabulaire spécifique.

DiffusionInterne au service informatique de L'institut de La Croix Blanche.

Audit du parc..........................................................................................................3Contraintes liées au parc

Configuration du système......................................................................................4Configuration machineConfiguration logicielleTéléchargement des fichiers d'installation et procédures générales

Installation.............................................................................................................5Configuration initiale

Approbation des mises à jour.................................................................................6Contraintes liées au parcAfficher toutes les mises à jourAfficher les statuts de remplacementConfiguration de l'approbation automatique pour les futures mises à jour.

Inscription des ordinateurs aux mises à jour WSUS...............................................8Script de réinitialisation des connexionsOrdinateurs sur le domaine (déploiement par GPO)Ordinateurs hors domaine (inscriptions dans le registre)

Outils....................................................................................................................10ClientDiagNettoyer le serveurLe fichier WindowsUpdate.log

Incidents...............................................................................................................11Changement de volume de stockageRapport non-remisAutorisations sur dossierRedémarrage intempestif des machinesErreur PTError 0x80072ee6

Annexes................................................................................................................13Script de réinitialisation des connexionsScript de configuration pour les clients hors domaineScript de désinscription aux mises à jour WSUS pour les clients hors domaine

Rédacteur : A. Ducoulombier Réalisé avec Apache OpenOffice Writer 4.0

WSUS


Date : 18/12/13

Page : 2 / 18

Retour ausommaine

Clés de registre liées à Windows Update


WSUS


Date : 18/12/13

Page : 3 / 18

Retour ausommaine

Audit du parc• Les clients nécessitants des mises à jour du serveur WSUS sont présents sur plusieurs domaines

(CBB, MULTIMEDIA et CROIXBLANCHE), et environ 1/4 de la totalité des machines ne font partied'aucun domaine.

• Les systèmes d'exploitation des clients en place sont Windows XP, Windows Vista, Windows 7.L'administrateur du parc souhaite continuer à mettre ses serveurs à jour manuellement.

• Les serveurs ne sont pas virtualisés.

• La totalité du parc présente 3 réseaux différents (192.168.2.0, 192.168.3.0, 192.168.5.0).

Contraintes liées au parc

• Pour ne pas multiplier les équipements, il est nécessaire de n'utiliser qu'une seule machine pourl'ensemble du parc. Elle ne pourra ainsi pas faire partie d'un domaine particuliers et restera enWorkGroup.

• Elle disposera de 3 interfaces réseau pour être en lien direct avec chacun.

• Pour les clients sur un domaine, le déploiement de la configuration est faite avec les GPO.

• Pour les clients hors domaine, le déploiement de la configuration s'effectue à l'aide de scripts àlancer sur chaque client. Les scripts devront pouvoir inscrire les clients aux mises à jour WSUS,mais également les en désinscrire.

• S'agissant d'une installation particulière, le document ci-présent doit présenter la totalité desconfigurations effectuées, les problèmes rencontrés ainsi que leur résolution afin de pouvoirfaire évoluer le serveur dans le temps.


WSUS


Date : 18/12/13

Page : 4 / 18

Retour ausommaine

Configuration du système

Configuration machine

• 4 Go de RAM

• 500 Go de stockage :

◦ Partition système de 100 Go

◦ Partition de stockage pour les mises à jour de 172 Go

Configuration logicielle

• Windows Server 2008 x32

• Les rôles suivants doivent êre installés : Serveur d'application et Serveur IIS.

• Le parefeu Windows et l'anti-virus sont désactivés jusqu'à la validation du bon fonctionnementdu serveur.

• Une connexion à internet doit être disponible lors de l'installation de WSUS.

Téléchargement des fichiers d'installation et procédures générales

Cliquer sur les différents éléments pour accéder à leur page de téléchargement.

• Configuration système requise (en anglais)

• Installation Pas-à-Pas (en anglais)

• Report Viewer

• WSUS

• Correctif (pour les postes qui n'envoient pas de rapport)

• Utilitaire de diagnostic sur client


http://www.microsoft.com/en-us/download/details.aspx?id=30827

http://www.microsoft.com/fr-fr/download/details.aspx?id=29998

http://www.microsoft.com/en-us/download/details.aspx?id=5216

http://www.microsoft.com/fr-fr/download/details.aspx?id=6442

http://www.google.fr/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&cad=rja&ved=0CDQQFjAA&url=http://download.microsoft.com/download/2/C/2/2C248752-C6AE-4852-BDB1-6F1E7BE48398/WSUS30SP2StepbyStep.pdf&ei=8WGxUp3YMcfS0QWTo4EY&usg=AFQjCNGJhGGkSzKg0LAXp8dbuVfVrnw-dw&bvm=bv.58187178,d.d2k

http://www.google.fr/url?sa=t&rct=j&q=&esrc=s&source=web&cd=1&ved=0CDIQFjAA&url=http://download.microsoft.com/download/A/B/6/AB6DA82D-F0C4-4B1C-85E3-4E79ACC7A2E7/WSUS30SP2ReleaseNotes.pdf&ei=jWGxUq_BD-q60QWl1oHQDw&usg=AFQjCNGC2asocMo5q-MGs3u2tuE4YACGvg&bvm=bv.58187178,d.bGE&cad=rja

WSUS


Date : 18/12/13

Page : 5 / 18

Retour ausommaine

InstallationL'installation consiste à répondre à des suites de questions en fonction du parc. Les éléments sontmodifiables depuis la console d'administration WSUS. WSUS lance une synchronisation au milieu de laconfiguration initiale. L'installation échouera si le serveur n'a pas internet.

Configuration initiale

Certains éléments comme le dossier où sont stockées les mises à jour ne sont plus modifiablesdirectement depuis la console d'administration, le récapitulatif suivant contient ce qui est modifiableaprès l'installation, notament l'Assistant de configuration du serveur WSUS.


WSUS


Date : 18/12/13

Page : 6 / 18

Retour ausommaine

Approbation des mises à jourUne fois la première synchronisation effectuée, il faut sélectionner les mises à jour à installer, et cellesà refuser.

Contraintes liées au parc

• L'administrateur ne ressend pas le besoin de créer des groupes d'ordinateurs, les approbationsse feront donc sur le groupe Tous les ordinateurs.

• Approbation des mises à jour sans informations de remplacement et approbation des mises àjour qui remplacent d'autres mises à jour (et qui ne sont pas remplacées).

• Refus des mises à jour qui sont remplacées par au moins une mise à jour.

Afficher toutes les mises à jour

Déployer et cliquer sur . Veillez à ce que les critères de rechercheen haut de l'écran soient adaptées au type d'éléments recherchés.

Afficher les statuts de remplacement

Clic-droit sur la barre d'intitulés, sélectionner

Légende des symboles :

Qui remplace. Qui remplace et qui est remplacée.

Qui est remplacée.

• Approbation : Clic-droit<Approuver<Tous les ordinateurs<Approuver pour l'installation

• Refus : Clic-droit<Refuser<Oui

Configuration de l'approbation automatique pour les futures mises àjour.

Dans les du serveur, il est possible de configurer les approbations :

Ainsi, dès qu'une synchronisation proposera des révisions sur des mises à jour déjà déployées,l'approbation de la révision sera automatique, et l'ancienne version sera supprimée.


WSUS


Date : 18/12/13

Page : 7 / 18

Retour ausommaine

Il est également possible d'établir des règles d'approbations selon les groupes d'ordinateurs ou le typede mise à jour.

Les règles de mise à jour. Configuration avancée.


WSUS


Date : 18/12/13

Page : 8 / 18

Retour ausommaine

Inscription des ordinateurs aux mises à jour WSUSLes clients ne sont pas immédiatement inscrits sur le WSUS, il faut des fois attendre plusieurs jourspour que la remontée se fasse.

Script de réinitialisation des connexions

Dans les deux cas de figure, il est recommandé d'appliquer un script supplémentaire au démarrage del'ordinateur. Il consiste à réinitialiser toutes les connexions au serveur de mise à jour, et ainsi d'évitercertains problèmes de Rapport non remis. Voir le script en annexe p.13.

Ordinateurs sur le domaine (déploiement par GPO)

Pour un déploiement par GPO, le script de réinitialisation des connexions est ajouté à la GPO audémarrage de la machine (il peut être sur le serveur dans un dossier partagé) :

• Configuration ordinateur < Paramètres Windows < Scripts (Démarrage/Arrêt).

Pour la configuration même des mises à jour, deux éléments sont indispensables :

• Configuration ordinateur < Modèles d'administration < Composants Windows < WindowsUpdate

Configuration du service Mises à jour automatique Spécifier l'emplacement intranet du service demise à jour Microsoft (l'IP renseignée n'est valableque pour une machine sur le réseau 192.168.2.0)

Il faut également Activer la GPO suivante afin que les postes ne redémarrent pas tant qu'un utilisateurest connecté:

• Configuration ordinateur < Modèles d'administration < Composants Windows < WindowsUpdate < Pas de redémarrage avec des utilisateurs connectés [...]

Ordinateurs hors domaine (inscriptions dans le registre)

Comme il n'est pas possible de déployer des GPO sur le Workgroup, et afin de ne pas perdre de tempsdans les GPO locales, il faut créer un script du type de celui en annexe p.13. Ce dernier va modifier


WSUS


Date : 18/12/13

Page : 9 / 18

Retour ausommaine

certaines clés de registre liées à Windows Update, pour voir la totalité des clés modifiables, voirégalement l'annexe p.15.

Enfin, coller le script de réinitialisation des connexions dans le menu Démarrage de l'ordinateur, il estconseillé d'en faire un fichier caché.


WSUS


Date : 18/12/13

Page : 10 / 18

Retour ausommaine

Outils

ClientDiag

WSUS Client Diagnostic Tools est un petit utilitaire à télécharger. Il permet de tester le bonfonctionnement du client et ses connexions au serveur WSUS.

Cliquer ici pour télécharger Client Diagnostic Tools.

Nettoyer le serveur

Dans les du serveur, il est possible de nettoyer certains éléments pour augmenter l'espacedisponible :

Le fichier WindowsUpdate.log

Pour vérifier le bon fonctionnement des mises à jour automatiques ou pour trouver les messagesd'erreur liés aux problèmes potentiels, WindowsUpdate.log est le fichier de référence.. Il se trouve surle client dans :

• C:\Windows\


http://www.labo-microsoft.org/d/?id=16847

WSUS


Date : 18/12/13

Page : 11 / 18

Retour ausommaine

Incidents

Changement de volume de stockage

Il se peut que lors du choix de la taille du volume qui stocke les mises à jour, le technicien ai vu troppetit. Comme il n'est pas possible d'augmenter la taille d'un volume, le mieux est encore d'en créer unnouveau et de transférer le fichiers avec un utilitaire en ligne de commande.

• Ouvrir une console DOS

Se déplacer dans le dossier qui contient le WSUSTool (par défaut : WSUSInstallationDrive:\ProgramFiles\Microsoft Windows Server Update Services\Tools )

• Taper la ligne de commande suivante (et le nom du fichier de log) :

wsusutil.exe movecontent "volume\dossier de destination" D:\move.log

Rapport non-remis

Le technicien peut se heurter à un problème de "rapport non remis" lorsqu'il consulte les informationsdes ordinateurs sur la console du serveur. Cela signifie que l'ordinateur ne contacte pas le serveur poureffectuer la synchronisation de ses mises à jours. Cela peut être dû à plusieurs causes :

• Le serveur WSUS n'est pas à jour, un correctif corrige ce problème (voir p.4 pour letéléchargement).

• Les informations de connexion du client sont erronées (voir le déploiement des configurationsp.8 et le script de réinitialisation p.13).

Autorisations sur dossier

De base, les clients peuvent ne pas avoir le droit de télécharger les mises à jour sur le WSUS etcontenir des erreurs dans leur fichier de log, ou bien sur la console du serveur. Il faut donc modifier lesparamètres de sécurité sur le dossier qui contient ces mises à jour.

Bien que cela ne soit pas sécuritaire, le réseau de l'établissement contraint de modifier lesautorisations sur le groupe Tout le monde.

• Clic droit sur le dossier WsusContent < Propriétés < Sécurité

• Mettre Tout le monde en Lecture et éxecution, Affichage du contenu et Lecture.

Redémarrage intempestif des machines

La machine de test redémarrait sans laisser le choix à l'utilisateur de remettre cela à plus tard. La GPOPas de redémarrage avec des utilisateurs connectés (équivalent de NoAutoRebootWithLoggedOnUsersdans les clés de registre) a pu régler le problème.


WSUS


Date : 18/12/13

Page : 12 / 18

Retour ausommaine

Erreur PTError 0x80072ee6

Les premiers postes à être ajoutés au serveur par script ne s'inscrivent pas sur le serveur. Après desrecherches sur TechNet, l'erreur 0x80072ee6 peut être associée à une mauvaise configuration de l'URLdu serveur.

En effet, après avoir remplacé 192.168.X.X par http://192.168.X.X:80 dans les scripts, les infosremontent correctement.


WSUS


Date : 18/12/13

Page : 13 / 18

Retour ausommaine

Annexes

Script de réinitialisation des connexions

reg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate /v AccountDomainSid /freg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate /v PingID /freg delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate /v SusClientId /fcls@echo Triggering detection after resetting WSUS client identitynet stop wuauservnet start wuauservwuauclt /resetauthorization /detectnowpause

Script de configuration pour les clients hors domaine

@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer /t REG_SZ /d http://192.168.5.200:80 /f

@echo Modification/Ajout de la cle de registre WUServer : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate" /v WUStatusServer /t

REG_SZ /d http://192.168.5.200:80 /f@echo Modification/Ajout de la cle de registre WUStatusServer : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v AUOptions /t

REG_DWORD /d 4 /f@echo Modification/Ajout de la cle de registre AUOptions : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v NoAutoUpdate /t

REG_DWORD /d 0 /f


WSUS


Date : 18/12/13

Page : 14 / 18

Retour ausommaine

@echo Modification/Ajout de la cle de registre NoAutoUpdate : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v ScheduledInstallDay /t

REG_DWORD /d 0 /f@echo Modification/Ajout de la cle de registre ScheduledInstallDay : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v

ScheduledInstallTime /t REG_DWORD /d 12 /f@echo Modification/Ajout de la cle de registre ScheduledInstallTime : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v UseWUServer /t

REG_DWORD /d 1 /f@echo Modification/Ajout de la cle de registre UseWUServer : %errorlevel%@echo .@REG ADD "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v

NoAutoRebootWithLoggedOnUsers /t REG_DWORD /d 1 /f@echo Modification/Ajout de la cle de registre NoAutoRebootWithLoggedOnUsers : %errorlevel%@echo .@pause

Script de désinscription aux mises à jour WSUS pour les clients horsdomaine

@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate" /v WUServer /f@echo Suppression de la cle de registre WUServer : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate" /v WUStatusServer /f@echo Suppression de la cle de registre WUStatusServer : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v AUOptions /f


WSUS


Date : 18/12/13

Page : 15 / 18

Retour ausommaine

@echo Suppression de la cle de registre AUOptions : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v NoAutoUpdate /f@echo Suppression de la cle de registre NoAutoUpdate : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v

ScheduledInstallDay /f@echo Suppression de la cle de registre ScheduledInstallDay : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v

ScheduledInstallTime /f@echo Suppression de la cle de registre ScheduledInstallTime : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v UseWUServer /f@echo Suppression de la cle de registre UseWUServer : %errorlevel%@echo .@REG DELETE "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU" /v

NoAutoRebootWithLoggedOnUsers /f@echo Suppression de la cle de registre NoAutoRebootWithLoggedOnUsers : %errorlevel%@echo .@pause

Clés de registre liées à Windows Update

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate

ElevateNonAdmins

• Valeur possible: 0 ou 1

• 0: Seuls les administrateurs peuvent refuser ou accepter les mises à jour

• 1: Tout le monde peut refuser ou accepter les mises à jour

TargetGroup

• Permet de spécifier le groupe de mise à jour auquel l'ordinateur appartient (ciblage coté client)

TargetGroupEnabled


WSUS


Date : 18/12/13

Page : 16 / 18

Retour ausommaine


• 0: Désactiver la fonctionnalité de ciblage coté client

• 1: Activer la fonctionnalité de ciblage coté client

WUServer

• Permet de spécifier l'emplacement du serveur WSUS (exemple: http://wsus.supinfo.lan/ ouhttp://wsus.supinfo.lan:8350/). Doit être identique à l'entrée WUStatusServer

WUStatusServer

• Permet de spécifier l'emplacement du serveur WSUS (exemple: http://wsus.supinfo.lan/ ouhttp://wsus.supinfo.lan:8350/). Doit être identique à l'entrée WUServer

HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU

AUOptions

• Valeur Possible: 2,3,4 ou 5. Configuration du fonctionnement de la Mise à jour automatique(Notification, téléchargement, planification, interaction avec les stratégies locales)

• 2: Notification avant téléchargement et notification avant installation des mises à jour

• 3: Téléchargement automatique des mises à jour et notification avant installation desmises à jour

• 4: l'installation des mises à jour est automatique et planifié en fonction des valeursDWORD ScheduledInstallDay et ScheduledInstallTime

• 5: la planification des mises à jour est configuré mais l'utilisateur final peut le configurer

AutoInstallMinorUpdates


• 0: N'installe pas de suite les mises à jours mineurs qui ne nécessite pas de redémarragede l'ordinateur ou de service

• 1: Installe de suite les mises à jours mineurs qui ne nécessite pas de redémarrage del'ordinateur ou de service

DetectionFrequency

• Valeur possible: de 1 à 22

• Durée en heure entre chaque vérification de mise à jour (de -20% à 0%) sur le serveur WSUS

DetectionFrequencyEnabled

Valeur possible: 0 ou 1

• 0: Utilise la valeur par défaut de la durée entre chaque vérification de mise à jour (pardéfaut: 22 heures, donc vérification après une durée de 18h24 et 22h)

• 1: Utilise la valeur renseigné par la valeur DWORD DetectionFrequency (toujours de -20%à 0%) pour la durée entre chaque vérification de mise à jour

NoAutoRebootWithLoggedOnUsers


• 0: l'ordinateur redémarre la machine dans les 5 minutes qui suivent la mise à jour de lamachine


WSUS


Date : 18/12/13

Page : 17 / 18

Retour ausommaine

• 1: l'utilisateur a le choix de redémarrer ou non la machine

NoAutoUpdate


• 0: Mise à jour automatique désactivé

• 1: Mise à jour automatique activé

RebootRelaunchTimeout


• Durée en minute entre chaque demande de redémarrage à l'utilisateur de l'ordinateur

RebootRelaunchTimeoutEnabled


• 0: Le temps entre chaque demande de redémarrage à l'utilisateur est celle par défaut (10minutes)

• 1: Le temps entre chaque demande de redémarrage à l'utilisateur est celle renseigne parla valeur DWORD RebootRelaunchTimeout

RebootWarningTimeout

• Valeur possible: de 1 à 30. Durée en minutes du compteur avant redémarrage de la machinepour les mises à jour planifiées ou obligatoires

RebootWarningTimeoutEnabled


• 0: Le temps initial en minute du compteur avant redémarrage pour les mises à jourplanifiées ou obligatoires est celle par défaut (5 minutes)

• 1: Le temps initial en minute du compteur avant redémarrage pour les mises à jourplanifiées ou obligatoires est celle renseigné par la valeur DWORDRebootRelaunchTimeout

RescheduleWaitTime

Valeur possible: entre 1 et 60

• Temps en minute pour l'attente depuis le démarrage de la machine avant installation des misesà jour planifié raté. Cette politique ne s'applique pas aux mises à jour qui ont une échéancespécifique. Si l'échéance d'une mise à jour est dépassé alors celle-ci est installé de suite.

RescheduleWaitTimeEnabled


• 0: Les mises à jour planifiées ratées seront reportés lors de prochaine planification

• 1: Les mises à jour planifiées ratées seront installés après le laps de temps spécifié par lavaleur DWORD RebootRelaunchTimeout

ScheduledInstallDay

• Valeur possible: entre 0 et 7

• 0: Mise à jour planifié tous les jours


WSUS


Date : 18/12/13

Page : 18 / 18

Retour ausommaine

• de 1 à 7: jour de la semaine de dimanche (1) à samedi (7)

• Cette option ne marche seulement si l'entrée AUOption est configurée à la valeur 4

ScheduledInstallTime

• Valeur possible: entre 0 et 23

• Heure de la journée pour les mises à jour planifié

• Cette option ne marche seulement si l'entrée AUOption est configurée à la valeur 4

UseWUServer


• 0: Utilise Windows Update

• 1: Utilise votre serveur WSUS


Documents

Procédure WSUS