Windows updates transparent maken (WSUS)

[Roman]

We hebben hier het volgende probleem. Elke woensdag ochtend worden update's uitgevoerd d.m.v. een WSUS server. Zo veer zo goed. Echter is het niet de bedoeling dat een werknemener er iets van merkt of ergens moet gaan drukken. En ook mag de computer niet opnieuw opstarten. Maar dat werkt niet zoals het zou moeten.

Ik heb het volgende in het register staan:

code:

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"TargetGroup"="Windows XP Professional"
"TargetGroupEnabled"=dword:00000001
"WUServer"="***"
"WUStatusServer"="***"
"ElevateNonAdmins"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"AutoInstallMinorUpdates"=dword:00000001
"DetectionFrequency"=dword:00000016
"DetectionFrequencyEnabled"=dword:00000001
"RebootRelaunchTimeout"=dword:0000001e
"RebootRelaunchTimeoutEnabled"=dword:00000001
"RebootWarningTimeoutEnabled"=dword:00000000
"RescheduleWaitTime"=dword:00000001
"RescheduleWaitTimeEnabled"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000004
"ScheduledInstallDay"=dword:00000007
"ScheduledInstallTime"=dword:00000010
"UseWUServer"=dword:00000001

Dit gaat via een policy. Wat heb ik nou fout gedaan. Kan het niet vinden (of ik kijk er weer eens overheen, is nog vroeg op de dag)....

[SneezyThunder91]

Wat werkt er dan niet? Updaten ze wel? Krijgen ze nog steeds meldingen? Rebooten ze toch nog? En welke versie van WSUS gebruik je?

[Roman]

Hier draait WSUS Build 2.0.0.2620.

Updates werken wel, maar men krijgt dus dat gele uitroepteken onderin en dan moet je op "Installeren" kliken en daarna vraagd die om opnieuw op te starten. En we willen het zo hebben dat de medewerkers er helemaal niets van merken.

[SneezyThunder91]

Windows Update 1

Bovenstaande link kan goed helpen. Met name:

Configure Automatic Updates
No Auto-restart for Scheduled Automatic Update Installation Options
Allow Automatic Update Immediate Installation
Allow Non-administrators to Receive Update Notifications

Verder is het handiger om de policy settings te posten. Is een stuk duidelijker. Probeer als je alles nagelopen hebt op een testmachine ook eens hetvolgende:

gpupdate /boot /force
Evt. hierna opnieuw opstarten indien niet automatisch.

als die opnieuw opgestart is:
wuauclt /detectnow
wuauclt /updatenow

En kijken wat er dan gebeurt.

Nog een laatste vraag: Zit je wel een domein/ad omgeving??? Zo niet kijk ook eens op:

Windows Update 2

En daar de examples bekijken. Zit nu op me werk dus kan even niet thuis kijken hoe het daar geconfigged staat.

[ Voor 59% gewijzigd door SneezyThunder91 op 09-01-2008 09:09 ]

[Roman]

Er draait idd een AD achter.

Hier eenscreendump van de wuau.adm:



Wat ik dan wel raar vind. Hier staat die geconfigureerd om elke zaterdag rond 16:00 te updaten. Maar hij update elke woensdag ochtend.

[ Voor 24% gewijzigd door Roman op 09-01-2008 09:26 ]

[SneezyThunder91]

Ik zou sowieso de volgende op enabled zetten:

Allow Automatic Updates Immediate installation


Is de group policy gelinked aan de juiste OU?

Doe dan nog eens een: gpupdate /force

[ Voor 33% gewijzigd door SneezyThunder91 op 09-01-2008 09:32 ]

[Roman]

deze is dan ook weer vreemd:



Waarom doet die het dan woensdags???

/Edit. Ja ze zijn goed gelinkt. Als ik bij de register code kijke zie ik ook staan Dag 7 (zaterdag) en om 16 uur. Dus ik krijg wel de goede GPO.

Kan helaas niet instellen dat het opnieuw opstarten handmatig moet gebeuren. Of de tijd op b.v. 640minuten zetten (zolang werkt toch nietmand). Mag maximaal 30 zijn.

[ Voor 43% gewijzigd door Roman op 09-01-2008 09:40 ]

[SneezyThunder91]

Zijn de clients Windows XP? Zoja ga eens naar de help van XP en ga dan naar tools. Daar kun je een report samenstellen van alle GPO's die actief zijn in een mooi overzichtje. Het lijkt erop dat je een conflicterende GPO hebt. Misschien een aparte WSUS GPO en toch ook nog iets in de Default Domain Policy (Die leading is).

Download en run deze tool anders eens: GPDBPA
Wel een engelse XP nodig.

[ Voor 23% gewijzigd door SneezyThunder91 op 09-01-2008 09:51 ]

[Roman]

Ik werk hier achter een XP machine.

Heb net uit het register het gehele Update gedeelte verwijdert en gpuupdate /force gedaan met dit resultaat:

code:

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://w2k3-nl-wsus01"
"WUStatusServer"="http://w2k3-nl-wsus01"
"ElevateNonAdmins"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
"NoAutoUpdate"=dword:00000000
"AUOptions"=dword:00000004
"ScheduledInstallDay"=dword:00000007
"ScheduledInstallTime"=dword:00000010
"UseWUServer"=dword:00000001
"AutoInstallMinorUpdates"=dword:00000001

Via gpresult ziei k dat hij wel de GPO pakt. Dus dat gaat goed.

[SneezyThunder91]

Hmmz, en alle updates installeren wel goed? Omdat ElevateNonAdmins op 0 staat. Dan mogen gewone gebruikers geen updates installeren.

[Roman]

Bij mij werkt het wel, maarja ik ben admin op mijn machine.

Is dat de "Allow non administrators update notification" in de wuau.adm?

/edit: trouwens "AUOptions"=dword:00000004 betekend dat hij direct zou moeten installeren:
4 = Automatically download updates and install them on the schedule specified below

Dus ze zouden op zaterdag om 16 uur moeten worden geinstalleerd. (dan is er niemand dus das niet handig).

[ Voor 51% gewijzigd door Roman op 09-01-2008 10:58 ]

[SneezyThunder91]

Dat is idd die notification voor zover ik weet. Verder kun je volgens mij dat uitroeptekentje alleen weghalen voor minor updates. Verder zie je het uitroeptekentje maar hij staat toch gescheduled. Als je die notification op enabled zet dan kunnen gebruikers ook zelf nog kiezen om de updates eerder te installeren dan op de scheduled tijd.

[Roman]

Aha, Op een andere site kom ik deze zin tegen "Het feit dat je hier nog geen reactie op kreeg zegt helaas misschien wel dat het niet mogelijk is wat je vraagt."

Dus het uitroepteken is niet te verwijderen, als ik het goed begrijp?

Dan nu nog de vraag waarom hij op woensdag ochtend met de meldingen komt. Waar komt dat vandaan?

/edit: en deze:

If you enable the ElevateNonAdmins AU registry setting (policy title "Allow non-administrators to receive update notifications"), also non-admin users will have "Restart Later" available to them.

Maar dan ook: I forgot one thing, you need to ensure that the NoAutoRebootWithLoggedOnUsers policy is enabled as well... en die staat aan.

Dua als ik het goed heb krijgen alleen admins een melding en normale gebruikers niet. En het word direct geinstalleerd. Maar dat moet ik woensdag testen.

Dan nog de vraag waarom woensdag? Waar staat dat...???

/edit2:

bij de ElevateNonAdmins zie ik dit staan:

If the status is set to Enabled, Automatic Updates will include non-administrators when determining which logged-on user should receive notification.

If the status is set to Disabled or Not Configured, Automatic Updates will notify only logged-on administrators.

Dus als ik het goed begrijp werken de updates wel alleen krijgt een non-admin geen bericht. (of denk ik nu te Novell achtig).....?

Arbeider schreef op woensdag 09 januari 2008 @ 11:09:Als je die notification op enabled zet dan kunnen gebruikers ook zelf nog kiezen om de updates eerder te installeren dan op de scheduled tijd.

Moet ik dan Allow Automatic Updates Immediate installation niet op disabled zetten?

[ Voor 77% gewijzigd door Roman op 09-01-2008 11:34 ]

[SneezyThunder91]

Dat is alleen voor minor updates, dus updates die geen services ofzo hoeven te herstarten.

[Roman]

Okee, dan denk ik dat ik er ben. Zal volgende week woensdag ff kijken wat er gebeurd.

[Jedi Lord]

Volgens mij kan wel datgene wat je wilt, als ik je goed begrijp

Wat wij hier doen is:
- PC's halen approved updates op, middels "Client side targeting"
- word gescheduled voor volgende dag 3.00 uur
- geen notificaties voor Users, enkel users welke local Admin rechten hebben zien notificaties
- updates worden bij shutdown geinstalleerd, als de user in kwestie de default "install updates & shutdown" op dat moment niet wijzigt

De settings:
Configure Automatic Updates: Optie 4, everyday 3.00 uur
Specify intranet Microsoft update service location: enabled http://xxxx
Client targetting: enbled, verzin een logische naam
Reschedule Automatic Updates scheduled instalations: 1 min
No auto-restart for scheduled AU instalation: Enabled
Allow AU inmedialte installation: Disabled
Re-prompt for restart with scheduled installations: Disabled

[Jedi Lord]

Roman schreef op woensdag 09 januari 2008 @ 10:47:
/edit: trouwens "AUOptions"=dword:00000004 betekend dat hij direct zou moeten installeren:
4 = Automatically download updates and install them on the schedule specified below

De nummers in het lijstje met opties komen niet overeen met de registery keys, en dat is ook logisch aangezien 0 ook een valide value in de registery is

[Roman]

Jedi Lord schreef op donderdag 17 januari 2008 @ 12:15:

- geen notificaties voor Users, enkel users welke local Admin rechten hebben zien notificaties

En dan is het het grote nadeel dat er een hoop wel local admin zijn. En die krijgen dus die melding en allen anderen idd niet. Achja je kan niet alles hebben.