Nếu bạn cài đặt cập nhật trên máy tính và máy chủ công ty bằng máy chủ WSUS nội bộ, bạn có thể kiểm tra chúng trước trên các nhóm máy tính hoặc máy chủ thử nghiệm (bạn có thể tách máy tính và máy chủ thành các nhóm đích WSUS khác nhau bằng GPO). Thực tiễn những năm gần đây cho thấy WSUS không nên được cấu hình để tự động phê duyệt tất cả các cập nhật mới để cài đặt trên hệ thống sản xuất (Microsoft thường phát hành các bản cập nhật thô hoặc chưa được kiểm tra kỹ).
Bạn có thể tạo một vài nhóm cập nhật đích khác nhau trên máy chủ WSUS của bạn. Sơ đồ kinh điển để phê duyệt cập nhật mới trên máy chủ WSUS ngụ ý rằng các cập nhật này trước tiên được kiểm tra trên máy tính và máy chủ trong các nhóm thử nghiệm (ví dụ, trong nhóm Workstation_Test và Servers_Test). Các quy tắc phê duyệt tự động tất cả các cập nhật quan trọng và bảo mật được tạo cho các nhóm này trong cài đặt WSUS (WSUS -> Options -> Automatic Approvals -> Default Automatic Approval Rule).
Sau khi các cập nhật mới được cài đặt trên máy tính trong nhóm thử nghiệm và bạn nhận được xác nhận rằng các bản vá không gây ra vấn đề gì (thường mất 3-4 ngày), bạn phải phê duyệt các cập nhật mới để cài đặt trên các nhóm máy tính WSUS sản xuất. Nhưng làm sao để làm điều đó mà không phải chọn và phê duyệt cập nhật mới thủ công trên tất cả máy tính và máy chủ sản xuất? Tôi sẽ chỉ hai cách khá đơn giản để sao chép phê duyệt cập nhật từ nhóm thử nghiệm WSUS sang nhóm sản xuất.
Cách sao chép cập nhật đã phê duyệt thủ công trong WSUS Console
Việc sao chép cập nhật đã phê duyệt từ nhóm thử nghiệm WSUS sang nhóm máy tính/máy chủ sản xuất thủ công khá tiện lợi. Để làm điều đó, bạn phải cấu hình đúng chế độ xem console Update Services.
Trong phần Updates, tạo một view mới cho các cập nhật đã phê duyệt của nhóm thử nghiệm. Để làm điều đó, chọn New Update View từ menu.
Trong wizard xuất hiện, chọn "Updates are approved for a specific group" và chỉ định tên nhóm WSUS thử nghiệm của bạn (Workstation_test). Chỉ định tên view mới.
Chọn view bạn đã tạo và sau đó chọn Approval=”Approved” và Status=”Any” trong menu filter ở dưới cùng. Nhấp vào header bảng để thêm cột ngày phát hành cập nhật (Release Date). Nhấp vào header cột để sắp xếp danh sách cập nhật sao cho các cập nhật mới hiển thị đầu tiên.
Như bạn thấy, bây giờ dễ dàng tìm các cập nhật mới trong danh sách và kiểm tra trạng thái cài đặt của chúng. Sử dụng Shift và/hoặc Ctrl, bạn có thể chọn các cập nhật bạn muốn phê duyệt cho hệ thống sản xuất, chuột phải và chọn Approve trong menu ngữ cảnh. Trong danh sách nhóm WSUS, chọn các nhóm sản xuất mà bạn muốn phê duyệt các cập nhật đã chọn và nhấp Approved for Install.
Sau đó các cập nhật mới sẽ được cài đặt trên hệ thống sản xuất cũng vậy.
Cách sao chép cập nhật đã phê duyệt giữa các nhóm WSUS bằng PowerShell
Nếu bạn có nhiều nhóm cập nhật trên máy chủ WSUS, bạn có thể tự động hóa việc sao chép cập nhật đã phê duyệt từ nhóm thử nghiệm WSUS sang nhóm sản xuất bằng PowerShell. Tôi đã viết script PoSh nhỏ này, trong đó bạn phải nhập tên FQDN của máy chủ WSUS và tên nhóm nguồn và đích WSUS, giữa các nhóm bạn muốn sao chép cập nhật đã phê duyệt.
$WsusServerFqdn='mont-wsus.woshub.com'
$WsusSourceGroup = 'Workstation_Test'
$WsusTargetGroup = 'WorkstationProduction'
[void][reflection.assembly]::LoadWithPartialName( “Microsoft.UpdateServices.Administration”)
$wsus = [Microsoft.UpdateServices.Administration.AdminProxy]::getUpdateServer( $WsusServerFqdn, $False, ‘8530’)
$Groups = $wsus.GetComputerTargetGroups()
$WsusSourceGroupObj = $Groups | Where {$_.Name -eq $WsusSourceGroup}
$WsusTargetGroupObj = $Groups | Where {$_.Name -eq $WsusTargetGroup}
$Updates = $wsus.GetUpdates()
$i = 0
ForEach ($Update in $Updates)
{
if ($Update.GetUpdateApprovals($WsusSourceGroupObj).Count -ne 0 -and $Update.GetUpdateApprovals($WsusTargetGroupObj).Count -eq 0)
{
$i ++
Write-Host (“Approving ” + $Update.Title)
$Update.Approve(‘Install’,$WsusTargetGroupObj) | Out-Null
}
}
Write-Output (“Approved {0} updates for target group {1}” -f $i, $WsusTargetGroup)
Script PowerShell này sẽ liệt kê tuần tự tất cả cập nhật đã phê duyệt cho nhóm nguồn WSUS, và nếu một cập nhật chưa được phê duyệt trên nhóm đích, nó sẽ phê duyệt nó để cài đặt. Trong ví dụ này, script đã phê duyệt 64 cập nhật đã được phê duyệt trên nhóm thử nghiệm và thiếu trên nhóm sản xuất.