Trong hướng dẫn này, tôi sẽ chỉ cách tích hợp các gói cập nhật Windows mới vào hình ảnh cài đặt ngoại tuyến của Windows 10 hoặc Windows 8.1 bằng công cụ tích hợp sẵn. Cùng cách này, bạn có thể slipstream các bản vá bảo mật mới nhất vào hình ảnh ISO cài đặt Windows Server 2012 R2 / 2016.
Trong ví dụ này, tôi sẽ trình bày quy trình thêm bản cập nhật bảo mật tích lũy mới nhất (tháng 12 năm 2018) vào hình ảnh cài đặt Windows 10 1803. Vì vậy, chúng ta sẽ cần:
- Hình ảnh cài đặt Windows 10 ISO ở định dạng hoặc file install.wim của nó;
- Cập nhật ở định dạng .MSU cần được tải xuống từ Microsoft Update Catalog (Cách tải xuống file cập nhật msu thủ công).
Điều quan trọng là đảm bảo hình ảnh Windows OS và các bản cập nhật có cùng độ bit và phiên bản, nếu không, lỗi “Update is not applicable to your computer” sẽ xuất hiện khi cài đặt bản cập nhật.
Tạo cấu trúc thư mục sau trên máy tính của bạn:
- C:\updates\mnt là thư mục nơi file install.wim với hình ảnh cài đặt Windows sẽ được mount;
- C:\updates\msu là thư mục nơi bạn cần đặt các bản cập nhật MSU cho phiên bản Windows của bạn (trong ví dụ này, tôi đã tải xuống 2 bản cập nhật bảo mật cho Windows 10 1803, phát hành tháng 12 năm 2018 – KB4471331 và KB4471324);
- C:\updates\Win10Image\ trong thư mục này bạn cần sao chép file install.wim từ hình ảnh cài đặt Windows 10 của bạn. Trong ví dụ của chúng tôi, chúng tôi đã mount và giải nén nội dung của hình ảnh ISO Windows 10 gốc Windows10x64-1803.iso. Tuy nhiên, nó có thể là file wim từ máy ảo, template VM, hình ảnh WDS hoặc hình ảnh được lưu trữ trong phần mềm triển khai OS tự động khác (ví dụ: SCCM), v.v. Nếu hình ảnh ISO Windows 10 của bạn chỉ chứa file c:\sources\install.esd, bạn có thể chuyển đổi file ESD sang file WIM bằng tiện ích DISM:
dism /export-image /SourceImageFile:"C:\updates\Win10Image\install.esd" /SourceIndex:4 /DestinationImageFile:C:\updates\Win10Image\win10pro.wim /Compress:max /CheckIntegrity
Mount hình ảnh cài đặt Windows 10 (install.wim) vào thư mục C:\updates\mnt bằng cách chạy lệnh sau trong command prompt với tư cách quản trị viên:
dism /mount-wim /wimfile:C:\updates\Win10Image\install.wim /index:1 /mountdir:C:\updates\mnt
Mẹo. Nếu hình ảnh WIM của bạn chứa nhiều phiên bản Windows cùng một lúc, trong lệnh này bạn cần chỉ định chỉ mục của phiên bản OS cần thiết, hoặc tích hợp cập nhật cho từng hình ảnh lần lượt. Bạn có thể lấy danh sách các phiên bản Windows chứa trong file WIM bằng lệnh:
DISM /Get-WimInfo /WimFile:C:\updates\Win10\install.wim
Trong ví dụ của chúng tôi, hình ảnh chỉ chứa một phiên bản OS – Windows 10 Pro với chỉ mục 1, do đó trong lệnh chúng ta cần chỉ định install.wim /index:1.
Bây giờ bạn có thể chạy tích hợp các bản cập nhật MSU phù hợp nằm trong thư mục được chỉ định vào hình ảnh Windows 10:
dism /image:C:\updates\mnt /add-package /packagepath:C:\updates\msu
Nếu hệ thống phát hiện bản cập nhật sai (một bản không phù hợp với phiên bản OS và độ bit này, hoặc nếu bản cập nhật đã được cài đặt), nó sẽ bị bỏ qua và thông tin tương ứng sẽ được ghi vào C:\Windows\Logs\DISM\dism.log.
Để giảm kích thước hình ảnh bằng cách xóa các tệp cập nhật cũ (xem bài viết về dọn dẹp thư mục WinSxS), chạy lệnh:
dism /image:C:\updates\mnt /Cleanup-Image /StartComponentCleanup /ResetBase /ScratchDir:C:\Temp
Nếu bạn đã có máy tính với phiên bản Windows 10 tương tự đã cài đặt các bản cập nhật bảo mật mới nhất, bạn có thể lấy tất cả các tệp cập nhật cần thiết trực tiếp từ nó. Trong trường hợp này, bạn không cần tải xuống thủ công file cập nhật MSU từ Microsoft Update Catalog. Mẹo là Windows lưu file CAB của các bản cập nhật đã được tải xuống từ máy chủ Windows Update hoặc máy chủ WSUS vào thư mục C:\Windows\SoftwareDistribution\Download.
Sử dụng lệnh sau, bạn sẽ bắt đầu tích hợp các tệp cập nhật vào hình ảnh install.wim đã được tải xuống và cài đặt trên máy tính khác qua mạng cục bộ:
Start /w for /R \\Win10x64AlreadyPatchedPC\C$\Windows\SoftwareDistribution\Download\ %f in (*.cab) do dism /image:C:\updates\mnt /add-package /packagepath:“%f”
Trong ví dụ này, Win10x64AlreadPatchedPC là tên máy tính từ xa mà trên đó các bản cập nhật cần thiết đã được cài đặt (phiên bản OS và độ bit phải khớp). Tất nhiên, máy tính này phải có thể truy cập qua mạng, và tài khoản của bạn phải được thêm vào nhóm quản trị viên cục bộ trên nó. Trong cửa sổ mở ra, bạn có thể xem quá trình cài đặt cập nhật vào hình ảnh Windows ngoại tuyến. DISM sẽ cố gắng thêm vào hình ảnh WIM của bạn mỗi file CAB được tìm thấy trên máy tính từ xa.
Nếu bạn gặp lỗi khi tích hợp cập nhật vào hình ảnh Windows: “Error 0xc0000135 An error occurred while attempting to start the servicing process for the image located at C:\Update\mount. For more information, review the log file”, hãy đảm bảo bạn đang sử dụng phiên bản DISM mới nhất. Ví dụ, bạn đang cố gắng sửa đổi hình ảnh Windows Server 2016 từ Windows 8.1. Cài đặt phiên bản mới nhất có sẵn của Windows Assessment and Deployment Kit (Windows ADK) cho OS của bạn và chạy DISM trực tiếp từ thư mục C:\Program Files (x86)\Windows Kits\10\Assessment and Deployment Kit\Deployment Tools\amd64\DISM.
Và bước cuối cùng là lưu thay đổi và unmount hình ảnh Windows 10:
dism /unmount-wim /mountdir:C:\updates\mnt /commit
dism /Cleanup-Wim
Bạn chỉ cần sao chép install.wim vào thư mục nguồn/máy ảo hoặc xây dựng lại hình ảnh ISO cài đặt, ví dụ, sử dụng oscdimg, UltraISO hoặc Dism++.
Nếu kích thước file install.wim của bạn lớn hơn 4 GB, bạn có thể gặp lỗi “Windows cannot open the required file D:\sources\install.wim. Error code: 0x8007000D” trong quá trình cài đặt Windows trên hệ thống UEFI. Trong trường hợp này, bạn cần chia file install.wim nguồn thành các file nhỏ hơn bằng lệnh:
dism /split-Image /imagefile:C:\Update\Win10Image\install.wim /swmfile:C:\Update\Win10Image\install.swm /filesize:4096
(xem bài viết Cách tạo USB cài đặt Windows 7 boot UEFI và Tạo USB cài đặt Windows Server 2016 bootable).
Sau đó, file install.wim gốc có thể bị xóa.
DISM cũng cho phép bạn thêm driver vào hình ảnh ngoại tuyến. Trước đây, chúng ta đã xem xét cách tích hợp driver vào hình ảnh cài đặt Windows bằng DISM hoặc cmdlet Add-WindowsDriver trên ví dụ Windows 10 / 8.1 / Windows Server 2012 R2 / 2016 hoặc Windows 7 (Thêm driver USB3 vào cài đặt Windows 7).
Bây giờ bạn có thể triển khai hình ảnh cài đặt Windows của mình với các bản cập nhật bảo mật mới nhất đã tích hợp trên các máy tính trong mạng của bạn. Bằng cách thường xuyên tích hợp các bản cập nhật bảo mật mới nhất vào hình ảnh Windows được triển khai trên máy tính mới, bạn tăng cường bảo mật cơ sở hạ tầng của mình chống lại các lỗ hổng mới nhất và giảm nguy cơ nhiễm mã độc cho máy tính mới cho đến khi chúng bắt đầu cập nhật từ WSUS.