WSUS服務(wù)器安裝與配置手冊(cè).doc

Microsoft Windows Server Update Services 安裝與配置教程珠江期貨廣州總部技術(shù)部修改日期：2010 年 09 月 03 日摘要本文提供 Microsoft Windows Server Update Services (WSUS) 入門(mén)的分步指導(dǎo)。其中詳述了在網(wǎng)絡(luò)上部署 WSUS 所涉及的基本任務(wù)的說(shuō)明，具體包括在 Microsoft WindowsServer2003 操作系統(tǒng)上安裝 WSUS、配置 WSUS 以獲取更新、將客戶(hù)端計(jì)算機(jī)配置為從 WSUS 安裝更新，以及批準(zhǔn)、測(cè)試和分發(fā)更新。在“部署 Microsoft Windows Server Update Services”白皮書(shū)（文檔可能為英文）中可以找到有關(guān)內(nèi)容的更為全面的闡述。目錄Microsoft Windows Server Update Services 入門(mén)循序漸進(jìn)指南3步驟 1：WSUS 安裝要求3硬件要求3磁盤(pán)要求4軟件要求4步驟 2：在服務(wù)器上安裝 WSUS6步驟 3：部署 WSUS19服務(wù)器端的部署19客戶(hù)端的部署21客戶(hù)端組策略的配置21客戶(hù)端注冊(cè)表的修改26步驟 4：使用 WSUS28發(fā)現(xiàn)客戶(hù)端28同步更新31客戶(hù)端更新32 Microsoft Windows Server Update Services安裝與配置教程 WSUS為在網(wǎng)絡(luò)中管理更新提供了一個(gè)全面的解決方案。本文檔提供了在網(wǎng)絡(luò)上部署 WSUS 時(shí)涉及的基本任務(wù)的分步指導(dǎo)。使用本指南可執(zhí)行以下任務(wù)：在 Microsoft WindowsServer2003 操作系統(tǒng)上安裝 WSUS。將 WSUS 配置為從 Microsoft 獲取更新。將客戶(hù)端計(jì)算機(jī)配置為通過(guò) WSUS 安裝更新。批準(zhǔn)、測(cè)試和分發(fā)更新。步驟 1：WSUS 安裝要求 硬件要求建議使用以下硬件：2 GHz 的處理器 最少1 GB 的 RAM磁盤(pán)要求要安裝 WSUS，服務(wù)器上的文件系統(tǒng)必須滿(mǎn)足以下要求：系統(tǒng)分區(qū)和安裝 WSUS 的分區(qū)都必須使用 NTFS 文件系統(tǒng)進(jìn)行格式化。系統(tǒng)分區(qū)至少需要 10 GB 的可用空間。WSUS 用于存儲(chǔ)內(nèi)容的卷至少需要 6 GB 的可用空間，建議預(yù)留空間為 30 GB。注意：WSUS更新的系統(tǒng)補(bǔ)丁占用空間很大，可以將更新目錄設(shè)置為其他盤(pán)符軟件要求安裝 WSUS之前，需要確認(rèn)操作系統(tǒng)版本以及相應(yīng)補(bǔ)丁是否安裝： 操作系統(tǒng)要求 使用windows 2003 server SP2版注意：使用windows 2000版也可以安裝WSUS，但安裝需要的補(bǔ)丁和配置比較多，這里強(qiáng)烈建議使用windows 2003 server SP2版（SP2補(bǔ)丁一定要打上，否則安裝不能進(jìn)行）Microsoft Internet 信息服務(wù) (IIS) 6.0。安裝方法：“開(kāi)始”“控制面板”“添加或刪除程序”“添加或刪除windows組件”“應(yīng)用程序服務(wù)器”“詳細(xì)信息”選擇“Internet 信息服務(wù)（IIS）”，點(diǎn)擊確定，然后點(diǎn)擊下一步進(jìn)行安裝。完成安裝用于 WindowsServer2003 的 Microsoft .NET Framework 1.1 Service Pack 1。 下載網(wǎng)址為：/fwlink/?LinkId=47358。（在wsus安裝包（wsus_install.rar）中，是 dotnetfx.exe 文件）Background Intelligent Transfer Service (BITS) 2.0。這個(gè)無(wú)需下載，裝好的windows 2003 server SP2版自帶ReportViewer2008這個(gè)文件在wsus_install.rar安裝包中也有步驟 2：在服務(wù)器上安裝 WSUS WSUS 3.0 SP2中文版可以去微軟官方網(wǎng)站下載，下載地址為：/downloads/details.aspx?FamilyId=a206ae20-2695-436c-9578-3403a7d46e40&displaylang=en依照WSUS3的系統(tǒng)要求，事先安裝好IIS、Microsoft .NET Framework 1.1、Microsoft Report Viewer，數(shù)據(jù)庫(kù)使用WSUS3自帶的Windows Internal Database。 安裝與配置： 下載到的WSUS3是一個(gè)自解壓并自動(dòng)執(zhí)行安裝程序的壓縮包，我們可以使用解壓縮軟件事先將其解開(kāi)，這樣做的好處就是當(dāng)執(zhí)行安裝程序時(shí)，如果系統(tǒng)檢測(cè)組件有問(wèn)題，我們不必再次重新執(zhí)行安裝程序經(jīng)歷時(shí)間較長(zhǎng)的解包過(guò)程。 執(zhí)行安裝程序自解包完成后，出現(xiàn)WSUS3的安裝向?qū)Ы缑?，點(diǎn)擊“下一步”。 因?yàn)槭侨掳惭b并且要部署的是完整的WSUS3，所以默認(rèn)選擇“包括管理控制臺(tái)的完整服務(wù)器安裝”，如果你的環(huán)境內(nèi)已經(jīng)存在WSUS3，那么可以選擇第二項(xiàng)只安裝管理控制臺(tái)。點(diǎn)擊“下一步”繼續(xù)。 安裝向?qū)?zhǔn)備安裝并執(zhí)行檢測(cè)。 在許可協(xié)議這個(gè)界面選擇“我接受許可協(xié)議條款”，并點(diǎn)擊“下一步”繼續(xù)。 配置WSUS3“本地存儲(chǔ)更新”（注意：安裝的地方，盡量磁盤(pán)空間盡量大些），如果你已經(jīng)準(zhǔn)備好額外的分區(qū)，那么這里會(huì)默認(rèn)配置到額外分區(qū)上，確定無(wú)誤后點(diǎn)擊“下一步”繼續(xù)。 數(shù)據(jù)庫(kù)選項(xiàng)，因?yàn)槲覀兪褂肳SUS自帶的Windows internal Database服務(wù)，所以保持默認(rèn)。并點(diǎn)擊“下一步”繼續(xù)。配置WSUS網(wǎng)站，這里有兩個(gè)選項(xiàng)可供選擇：“使用現(xiàn)有IIS默認(rèn)網(wǎng)站”用到的是80端口“創(chuàng)建WSUS 3.0網(wǎng)站”注意看下面的提示，用的是8530端口這兩個(gè)網(wǎng)站選項(xiàng)都已經(jīng)通過(guò)了測(cè)試，推薦使用創(chuàng)建WSUS 3.0網(wǎng)站，也就是 8530端口，根據(jù)需要自選即可注意：這里的設(shè)置一定要記住，因?yàn)楹竺媾渲每蛻?hù)端組策略的時(shí)候，需要用到！完成配置向?qū)Ш?，我們就可以正式開(kāi)始安裝WSUS3，確認(rèn)我們的配置，點(diǎn)擊“下一步”開(kāi)始安裝。 安裝過(guò)程中會(huì)先安裝配置Windows Internal Database，接下來(lái)會(huì)將WSUS3安裝到我們的系統(tǒng)最后執(zhí)行ASP.NET環(huán)境的配置等等，整個(gè)過(guò)程耗時(shí)大概5分鐘左右。 至此，我們就完成了WSUS的全新安裝。 在點(diǎn)擊完成安裝后，系統(tǒng)會(huì)自動(dòng)彈出WSUS3的配置向?qū)В覀兺ㄟ^(guò)配置向?qū)Э梢耘渲梦覀円呀?jīng)安裝好的WSUS服務(wù)器，為此點(diǎn)擊“下一步”。 選擇是否加入Microsoft update改善計(jì)劃，根據(jù)自己的需要選擇。配置WSUS3的上游服務(wù)器，如果這臺(tái)服務(wù)器是環(huán)境中的第一臺(tái)WSUS3服務(wù)器，那么你應(yīng)當(dāng)選擇Microsoft Update作為你的上游服務(wù)器，否則請(qǐng)正確地配置此臺(tái)服務(wù)器所要連接環(huán)境中已經(jīng)存在的上游WSUS3服務(wù)器。 如果你的WSUS3使用代理方式與外網(wǎng)連接，比如：你的網(wǎng)絡(luò)出口一是臺(tái)以代理方式運(yùn)行的ISA服務(wù)器，那么你就需要在這里正確地為你的WSUS3配置使用代理服務(wù)器，并點(diǎn)擊“下一步”繼續(xù)。 完成上述配置后，我們就可以在此界面點(diǎn)擊“開(kāi)始連接”與Microsoft Update通訊并取得下載更新信息，完成連接后點(diǎn)擊“下一步”繼續(xù)。 選擇我們需要下載那種語(yǔ)言版本的更新注意：為了減小磁盤(pán)空間的占用，這里我們只選擇中文。 選擇我們需要下載更新的產(chǎn)品，在這里我們幾乎可以選擇到微軟所有的主流產(chǎn)品，選擇自己需要的更新產(chǎn)品即可，一般為office 2003，windows XP，windows 2003 server等選擇我們需要下載的更新分類(lèi)，根據(jù)需求配置。 配置同步計(jì)劃，如果你希望減輕服務(wù)器的負(fù)擔(dān)你可以選擇手工同步，如果你希望減輕自己的負(fù)擔(dān)就配置為自動(dòng)同步即可。值得注意的是在配置自動(dòng)同步時(shí)，我們應(yīng)該將自動(dòng)同步的時(shí)間安排在半夜，這樣以來(lái)，服務(wù)器的同步過(guò)程中的壓力就小得多，而且也不會(huì)影響到你的網(wǎng)絡(luò)質(zhì)量。 OK，到這里我們基本上就算結(jié)束了。根據(jù)需要復(fù)選在完成配置后自動(dòng)運(yùn)行WSUS管理管制臺(tái)并自動(dòng)開(kāi)始初始同步。之后我們可以選擇“下一步”獲得額外的信息，當(dāng)然你也可以直接點(diǎn)擊“完成”。如果是第一次安裝WSUS3，我強(qiáng)烈建議在這里選擇點(diǎn)擊“下一步”。 這個(gè)界面為我們準(zhǔn)備了非常有用的產(chǎn)品使用幫助鏈接，不妨先看看這些幫助。 注意：安裝完畢以后，WSUS不會(huì)在桌面上生成快捷方式，在程序中也不會(huì)顯示新添加的程序，需要從控制面板管理工具M(jìn)icrosoft windows server update serverces 3.0 打開(kāi)步驟 3：部署 WSUS 部署WSUS主要分為兩個(gè)部分：服務(wù)器端的部署客戶(hù)端的部署服務(wù)器端的部署開(kāi)始運(yùn)行g(shù)pedit.msc計(jì)算機(jī)配置管理模板windows組件windows update這里有很多設(shè)置，服務(wù)器端只需要設(shè)置“允許非管理員用戶(hù)接收更新通知”選擇“已啟用”，確定即可客戶(hù)端的部署客戶(hù)端的部署可以有2種方法：方法一：客戶(hù)端組策略的配置方法二：客戶(hù)端注冊(cè)表的修改注意：客戶(hù)端組策略的配置也可以通過(guò)修改注冊(cè)表來(lái)實(shí)現(xiàn)，所以選擇其中一種方法就可以啦，推薦使用方法二，易于操作客戶(hù)端組策略的配置開(kāi)始運(yùn)行g(shù)pedit.msc計(jì)算機(jī)配置管理模板windows組件windows update這里我們從“配置自動(dòng)更新”開(kāi)始這里選擇“已啟用”，“自動(dòng)下載并計(jì)劃安裝”，“每星期一 17：00”，表示每周一的17：00分客戶(hù)端會(huì)自動(dòng)從服務(wù)器端下載更新并自動(dòng)安裝，安裝后會(huì)提示是否要重啟。（這里只是舉例，具體操作可以根據(jù)實(shí)際需求來(lái)配置）配置完，這一項(xiàng)，點(diǎn)擊“下一設(shè)置”這里選擇“已啟用”，“為檢測(cè)更新設(shè)置Internet 更新服務(wù)”按照?qǐng)D示設(shè)置為服務(wù)器端的IP地址，格式為：http:/WSUS的服務(wù)器地址：端口號(hào)是否需要在IP地址后面添加端口號(hào)，取決于之前安裝WSUS網(wǎng)站首選項(xiàng)的設(shè)置，如果為IIS默認(rèn)，則不需要添加端口號(hào)；如果為創(chuàng)建，則需要添加端口號(hào)8530（不能改動(dòng)）點(diǎn)擊“下一設(shè)置”這里可以先選擇“未配置”，點(diǎn)擊“下一設(shè)置”這里保持默認(rèn)，點(diǎn)擊“下一設(shè)置”這里選擇“已啟用”，點(diǎn)擊“下一設(shè)置”這里選擇“已啟用”，“間隔（小時(shí)）檢查更新”默認(rèn)為22個(gè)小時(shí)，意思是客戶(hù)端每隔22個(gè)小時(shí)才會(huì)訪(fǎng)問(wèn)服務(wù)器端，查看是否有適合自己的新的更新，所以我們這里可以設(shè)置的小一點(diǎn)，比如5個(gè)小時(shí)。點(diǎn)擊“下一設(shè)置”這里選擇“已啟用”，點(diǎn)擊“下一設(shè)置”到此為止，客戶(hù)端組策略的設(shè)置基本完成了，其中的一些細(xì)節(jié)需要自己在使用的過(guò)程中進(jìn)行修改?？蛻?hù)端注冊(cè)表的修改當(dāng)客戶(hù)端為administration權(quán)限時(shí)，客戶(hù)端是不需要修改注冊(cè)表就可以進(jìn)行更新程序的，在我們實(shí)際使用中，很多用戶(hù)都屬于user組權(quán)限，當(dāng)客戶(hù)端屬于user組時(shí)（并非guest組），需要對(duì)注冊(cè)表進(jìn)行以下修改才可以進(jìn)行更新。Windows Registry Editor Version 5.00HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateElevateNonAdmins=dword:00000001設(shè)置為1時(shí)，非管理組成員才可以為計(jì)算機(jī)打補(bǔ)丁TargetGroupEnabled=dword:00000001只有設(shè)置了這個(gè)，客戶(hù)端的計(jì)算機(jī)才能被wsus的服務(wù)器檢測(cè)到！TargetGroup=目標(biāo)組就是客戶(hù)端自動(dòng)注冊(cè)到wsus服務(wù)器的哪個(gè)計(jì)算機(jī)組，可以為空。注意：以上三項(xiàng)都是需要手動(dòng)添加的，注意前兩個(gè)需要新建為dword值，后一個(gè)需要新建為字符串值到此，客戶(hù)端的設(shè)置就完成了建議：當(dāng)你設(shè)置完組策略后，可以到HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateHKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAU這兩個(gè)目錄下查看注冊(cè)表發(fā)生了哪些變化，就可以發(fā)現(xiàn)組策略跟注冊(cè)表之間的關(guān)系了，具體實(shí)施時(shí)，就不需要每臺(tái)電腦單獨(dú)設(shè)置組策略，只要寫(xiě)好一個(gè)修改注冊(cè)表的文件就可以了。以下是注冊(cè)表的部分介紹，僅供參考！具體見(jiàn)“部署 Microsoft Windows Server Update Services”白皮書(shū)（文檔可能為英文）中可以找到有關(guān)內(nèi)容的更為全面的闡述：HKEY_LOCAL_MACHINESOFTWAREPoliciesMicrosoftWindowsWindowsUpdateAUNoAutoUpdate=dword:00000000設(shè)置為0，表明自動(dòng)升級(jí)AUOptions=dword:00000004設(shè)置為4，表示下載后自動(dòng)安裝。3是提醒安裝ScheduledInstallDay=dword:00000000設(shè)置為0，表示每天都檢測(cè)升級(jí)ScheduledInstallTime=dword:0000000a設(shè)置安裝補(bǔ)丁的時(shí)間，因?yàn)锳UOptions設(shè)置為4，所以這里設(shè)置自動(dòng)安裝的時(shí)間為a，也就是十進(jìn)制的上午十點(diǎn)，到上午十點(diǎn)，自動(dòng)安裝補(bǔ)丁。UseWUServer=dword:00000001/表明使用wsusserver，也就是你自己搭建的wsus服務(wù)器，而不是去微軟公司的網(wǎng)站升級(jí)。AutoInstallMinorUpdates=dword:00000001設(shè)置為1，表明后臺(tái)安裝，就是悄悄地，補(bǔ)丁已經(jīng)打上了。RebootRelaunchTimeoutEnabled=dword:00000001/設(shè)置為1才可以設(shè)置下面的參數(shù)RebootRelaunchTimeout=dword:00000014表明提示重啟動(dòng)間隔時(shí)間，這里設(shè)置為20分鐘，十六進(jìn)制DetectionFrequencyEnabled=dword:00000001這里設(shè)置為1，下面的參數(shù)才有效DetectionFrequency=dword:00000005設(shè)置檢測(cè)的頻率，這里為了測(cè)試用，所以頻率設(shè)置為了5，應(yīng)該設(shè)置為22即可，一天一次NoAutoRebootWithLoggedOnUser=dword:00000001設(shè)置為1，表明用戶(hù)可以選擇是否等一會(huì)在重新啟動(dòng)，設(shè)置為0的話(huà)，5分鐘之內(nèi)重啟動(dòng)RebootWarningTimeout=dword:00000010安裝計(jì)劃的升級(jí)后，提示重啟的時(shí)間RebootWarningTimeoutEnabled=dword:00000001設(shè)置為1，上面的健設(shè)置才有效。設(shè)置為0的話(huà)，默認(rèn)為10分鐘RescheduleWaitTime=dword:00000005如果一個(gè)更新錯(cuò)過(guò)了安裝時(shí)間后，下次開(kāi)機(jī)提示的時(shí)間，比如，你上午十點(diǎn)的時(shí)候沒(méi)開(kāi)機(jī)，自然沒(méi)安裝，設(shè)置這個(gè)參數(shù)后，表示開(kāi)機(jī)5分鐘以后，提示你安裝。RescheduleWaitTimeEnabled=dword:00000001在附近中，會(huì)提供 客戶(hù)端使用注冊(cè)表的實(shí)例步驟 4：使用 WSUS發(fā)現(xiàn)客戶(hù)端WSUS的界面以及使用操作延續(xù)了Microsoft的風(fēng)格，人性化，好操作，容易懂！運(yùn)行WSUS程序：控制面板管理工具M(jìn)icrosoft windows server update serverces 3.0 打開(kāi)打開(kāi)WSUS的管理控制臺(tái)，整體界面非常的直觀(guān)，在默認(rèn)頁(yè)我們可以看到WSUS3簡(jiǎn)潔的報(bào)告。 展開(kāi)我們的WSUS3服務(wù)器，可以看到相關(guān)的操作和功能。 點(diǎn)擊“更新”，在界面的中間窗體就會(huì)顯示相關(guān)的信息報(bào)告，非常的直觀(guān)。 通過(guò)選擇“所有更新”、“關(guān)鍵更新”或“安全更新”，我們可以針對(duì)性地對(duì)其進(jìn)行管理，如審批更新、拒絕更新，或獲取更新的詳細(xì)信息等等。 計(jì)算機(jī)下我們可以監(jiān)視或管理受WSUS支持的客戶(hù)端。 這里可以看到四臺(tái)已經(jīng)監(jiān)視到的計(jì)算機(jī)，前面的感嘆號(hào)表示客戶(hù)端還沒(méi)有將更新的信息上報(bào)給服務(wù)器端。你可以添加一些分組，比如我這里添加了財(cái)務(wù)部，風(fēng)控部，技術(shù)部，結(jié)算部，將相應(yīng)的客戶(hù)端放進(jìn)各自分組便于管理。注意：這是檢查客戶(hù)端設(shè)置是否正確的第一步，服務(wù)器端不會(huì)立刻將客戶(hù)端讀取上來(lái)，一般要等5到10分鐘時(shí)間，如果依然讀取不到客戶(hù)端，請(qǐng)檢查客戶(hù)端組策略中“指定intranet Microsoft 更新服務(wù)位置”處是否設(shè)置正確（IP地址和端口）！同步更新同步時(shí)可以進(jìn)行手動(dòng)的“立即同步”，同步后的補(bǔ)丁信息會(huì)在窗口顯示出來(lái)雙擊后我們可以看到所有新的更新！注意：并不是這里所有的更新都適用于客戶(hù)端的每臺(tái)電腦！我們可以查看每臺(tái)客戶(hù)端真正需要的更新，不過(guò)為了省事，也可以將所有更新都審批安裝，只是不需要的客戶(hù)端會(huì)顯示更新?tīng)顟B(tài)為不適用客戶(hù)端更新雙擊任意一個(gè)客戶(hù)端這里可以看到客戶(hù)端的一些更新?tīng)顟B(tài)，我們可以在“包括