Một trong những nhiệm vụ chính của quản trị viên WSUS (Windows Server Update Services) là quản lý việc phê duyệt bản cập nhật để cài đặt trên máy tính và máy chủ Windows. Sau khi cài đặt và cấu hình, máy chủ WSUS bắt đầu định kỳ tải xuống bản cập nhật mới cho các sản phẩm đã chọn từ máy chủ Microsoft Update.
Quản lý nhóm đích WSUS
Sau khi bản cập nhật đã được tải xuống máy chủ WSUS, bạn có thể triển khai chúng trên máy tính của mình. Trước khi máy tính tải xuống và cài đặt bản cập nhật mới, chúng phải được phê duyệt (hoặc từ chối) bởi quản trị viên WSUS. Quan trọng là lưu ý rằng trong hầu hết các trường hợp, khuyến nghị kiểm tra tất cả bản cập nhật Microsoft mới trên một số trạm làm việc và máy chủ trước khi cài đặt chúng trên máy tính sản xuất.
Để tổ chức việc kiểm tra và cài đặt bản cập nhật trên máy tính và máy chủ miền, quản trị viên WSUS phải tạo nhóm máy tính. Tùy thuộc vào nhiệm vụ kinh doanh, loại trạm làm việc của người dùng và danh mục máy chủ, bạn có thể tạo các nhóm máy tính khác nhau. Nói chung, hợp lý là tạo các nhóm đích WSUS sau trong phần Computers -> All computers của bảng điều khiển WSUS:
- Test_Srv_WSUS — nhóm máy chủ thử nghiệm (máy chủ không quan trọng đối với kinh doanh hoặc máy chủ chuyên dụng với môi trường thử nghiệm giống hệt môi trường sản xuất);
- Test_Wks_WSUS — trạm làm việc thử nghiệm;
- Prod_Srv_WSUS — máy chủ Windows sản xuất;
- Prod_Wks_WSUS — tất cả trạm làm việc của người dùng.
Các nhóm máy tính này có thể được điền bằng đối tượng máy tính thủ công (thường có ý nghĩa cho nhóm thử nghiệm) hoặc bạn có thể liên kết máy tính và máy chủ với nhóm WSUS bằng cài đặt Chính sách nhóm – Enable client-side targeting.
Sau khi các nhóm WSUS đã được tạo, bạn có thể phê duyệt bản cập nhật cho chúng. Có hai cách để phê duyệt bản cập nhật được cài đặt trên máy tính: thủ công hoặc tự động.
Phê duyệt thủ công và cài đặt bản cập nhật bằng WSUS
Mở bảng điều khiển WSUS (Update Services) và chọn Updates section. Nó hiển thị báo cáo tóm tắt của tất cả bản cập nhật có sẵn. Theo mặc định, có 4 tiểu mục: All Updates, Critical Updates, Security Updates và WSUS Updates. Bạn có thể phê duyệt cài đặt bản cập nhật cụ thể bằng cách tìm nó trong một trong các phần này (bạn có thể tìm kiếm theo tên KB trong bảng điều khiển tìm kiếm bản cập nhật hoặc theo số bulletin bảo mật Microsoft) hoặc lọc bản cập nhật theo ngày phát hành.
Hiển thị danh sách bản cập nhật chưa được phê duyệt (sử dụng bộ lọc Approval=Unapproved). Tìm bản cập nhật bạn cần, nhấp chuột phải vào nó và chọn Approve trong menu.
Trong cửa sổ tiếp theo, chọn nhóm máy tính WSUS để phê duyệt cài đặt bản cập nhật này (ví dụ: Test_Srv_WSUS). Chọn Approve for Install. Bạn có thể phê duyệt bản cập nhật cho tất cả các nhóm máy tính cùng lúc bằng cách chọn All Computers, hoặc cho từng nhóm riêng lẻ. Ví dụ, bạn có thể phê duyệt cài đặt bản cập nhật trên nhóm thử nghiệm, và sau 4-7 ngày phê duyệt cho tất cả máy tính nếu không có vấn đề xảy ra.
Một cửa sổ với kết quả phê duyệt bản cập nhật xuất hiện. Nếu bản cập nhật đã được phê duyệt thành công, thông báo Result: Success sẽ được hiển thị. Đóng cửa sổ này.
Như bạn thấy, đó là cách phê duyệt bản cập nhật cụ thể thủ công. Nó khá tốn thời gian, vì bạn phải phê duyệt từng bản cập nhật riêng lẻ. Nếu bạn không muốn phê duyệt bản cập nhật thủ công, bạn có thể tạo một số quy tắc phê duyệt tự động bản cập nhật (auto-approval).
Cách cấu hình quy tắc phê duyệt tự động trong WSUS?
Phê duyệt tự động cho phép bạn phê duyệt bản cập nhật mới xuất hiện trên máy chủ WSUS của mình tự động mà không cần sự can thiệp của quản trị viên và gán cài đặt của chúng trên máy tính đích. Phê duyệt tự động bản cập nhật WSUS dựa trên các quy tắc phê duyệt.
Trong bảng điều khiển quản lý WSUS, mở Options và chọn Automatic Approvals.
Trong cửa sổ tiếp theo, chỉ có một quy tắc với tên Default Automatic Approval Rule (nó bị vô hiệu hóa theo mặc định) trong tab Update Rules.
Để tạo quy tắc mới, nhấp New Rule.
Cấu hình quy tắc phê duyệt bao gồm 3 bước. Bạn phải chọn thuộc tính bản cập nhật, nhóm máy tính đích WSUS bạn muốn cài đặt bản cập nhật và tên quy tắc.
Nếu bạn nhấp vào liên kết màu xanh, cửa sổ thuộc tính tương ứng sẽ xuất hiện.
Ví dụ, bạn có thể bật phê duyệt tự động bản cập nhật bảo mật cho máy chủ thử nghiệm của mình. Để làm điều đó, trong phần Choose Update Classifications chọn Critical Updates, Security Updates, Definition Updates (bỏ chọn tất cả các tùy chọn khác). Sau đó, trong hộp thoại Approve the update for chọn nhóm WSUS có tên Test_Srv_WSUS.
Trong tab Advanced, bạn có thể tích các tùy chọn tương ứng: nếu bạn muốn tự động phê duyệt bản cập nhật cho chính sản phẩm WSUS hoặc tự động phê duyệt các bản cập nhật đã được Microsoft thay đổi. Thường thì tất cả các tùy chọn trong tab này đều được tích.
Bây giờ, khi máy chủ WSUS của bạn tải xuống bản cập nhật mới vào thứ Ba thứ hai tiếp theo của tháng (hoặc nếu bạn nhập chúng thủ công), chúng sẽ được phê duyệt và tự động cài đặt trên nhóm máy chủ thử nghiệm. Theo mặc định, Windows quét máy chủ WSUS của bạn để tìm bản cập nhật mới mỗi 22 giờ. Để máy tính quan trọng nhận bản cập nhật mới sớm nhất có thể, bạn có thể thay đổi tần suất đồng bộ hóa bằng chính sách Automatic Update detection frequency (xem trường hợp lỗi WSUS: Exceeded max server round trips) và đặt nó thành một lần trong vài giờ (bạn cũng có thể quét bản cập nhật thủ công bằng mô-đun PSWindowsUpdate).
Nếu có nhiều máy khách trên máy chủ WSUS của bạn (hơn 2.000 máy tính), hiệu suất của máy chủ cập nhật với cấu hình tiêu chuẩn có thể thấp với lỗi liên tục 0x80244022 trong windowsupdate.log, vì vậy nó phải được tối ưu hóa (xem bài viết này).
Cách từ chối bản cập nhật đã cài đặt trong WSUS?
Nếu một trong các bản cập nhật đã phê duyệt đã gây ra bất kỳ vấn đề nào trên máy tính hoặc máy chủ, quản trị viên WSUS có thể từ chối nó. Để làm điều đó, hãy tìm bản cập nhật trong bảng điều khiển WSUS, nhấp chuột phải vào nó và chọn Decline.
Sau đó chọn nhóm WSUS bạn muốn hủy cài đặt cho và chọn Approved for Removal. Sau một thời gian, bản cập nhật sẽ bị xóa trên máy khách WSUS (quy trình được mô tả chi tiết trong bài viết Cách gỡ cài đặt bản cập nhật Windows).
Các cách phê duyệt bản cập nhật WSUS cho môi trường sản xuất
Sau khi bạn đã cài đặt và kiểm tra bản cập nhật trong các nhóm thử nghiệm và đảm bảo rằng không có vấn đề gì (thường việc kiểm tra mất 3-6 ngày), bạn có thể phê duyệt bản cập nhật mới trên hệ thống sản xuất. Tuy nhiên, bạn không thể tự động phê duyệt cài đặt bản cập nhật trong hệ thống sản xuất với một chút độ trễ (ví dụ: sau 7 ngày).
Thật không may, bảng điều khiển WSUS không cung cấp bất kỳ cơ hội nào để sao chép tất cả bản cập nhật đã phê duyệt từ một nhóm máy tính WSUS sang nhóm khác. Bạn phải tìm kiếm bản cập nhật mới thủ công và phê duyệt chúng để cài đặt trong các nhóm máy chủ và máy tính sản xuất. Điều này khá tốn thời gian.
Tôi đã viết một tập lệnh PowerShell đơn giản thu thập danh sách bản cập nhật đã phê duyệt cho nhóm thử nghiệm và tự động phê duyệt tất cả bản cập nhật tìm thấy cho nhóm sản xuất (xem bài viết Sao chép phê duyệt giữa các nhóm đích WSUS). Tôi chạy tập lệnh sau 7 ngày kể từ khi bản cập nhật đã được cài đặt và kiểm tra trên các nhóm máy tính thử nghiệm. Nếu có bất kỳ bản vá gây vấn đề nào, chúng phải bị từ chối cho nhóm thử nghiệm.