WSUS update declinen voor een specifieke groep

[Aschtra]

Mijn vraag
Wij hebben hier enkele gebruikers die niet alle updates willen krijgen omdat een bepaalde applicatie dan mogelijk niet meer werkt. Dan moeten zij handmatig de update die problemen veroorzaakt verwijderen en zorgen dat deze niet geïnstalleerd wordt. Vinden de gebruikers irritant en kost hun veel tijd.

Nu is mijn vraag of ik binnen WSUS specifieke updates voor een specifieke groep kan declinen.

Relevante software en hardware die ik gebruik
Windows Server 2012 R2 met WSUS geïnstalleerd

Wat ik al gevonden of geprobeerd heb

Ik kan in WSUS een nieuwe targetgroup maken. Vervolgens in het AD een nieuwe Group Policy maken met als scope die enkele specifieke computers zodat deze in de nieuwe target group komen

Bij onze bestaande TargetGroup (met alle domain computers) is een automatic approval ingesteld voor alle Security Updates.

Voor de 2e target group maak ik dan geen automatic approval aan en doe deze handmatig. Maar mijn vraag is of ik die security updates dan nog wel zie binnen wsus? Ze zijn namelijk al approved voor een andere target group

Als ik binnen WSUS bij het tabje updates-->security updates kijk heb ik volgens mij niet echt zo'n optie daarvoor. Heel misschien met de instellingen approval:approved en status:needed. Echter krijg ik dan ook heel veel superseded updates.

Iemand een idee of dit mogelijk is binnen WSUS?

[Muggie]

Voor zover ik weet kan dit niet, decline geldt voor de hele server. Je kunt wel meerdere target groups maken en bepaalde updates op not approved zetten voor de gewenste group, dan krijgen ze de update niet.

[redfoxert]

Declinen kan inderdaad niet, dit geldt voor de hele server. Een aparte groep maken en die update niet approven is je enige optie.

[Aschtra]

Maar ik heb dus een regel dat alle security updates automatisch approved worden voor 'all clients'
Als ik dan naar het kopje ga 'security updates' zie ik die dan nog wel staan zodat ik individuele updates handmatig kan approven voor die 2e groep?

[HKLM_]

Aschtra schreef op zondag 29 januari 2017 @ 10:55:
Maar ik heb dus een regel dat alle security updates automatisch approved worden voor 'all clients'
Als ik dan naar het kopje ga 'security updates' zie ik die dan nog wel staan zodat ik individuele updates handmatig kan approven voor die 2e groep?

Je zal de updates zien onder approved en kan de updates selecteren en er een andere groep bij approven

[Dennism]

Is het niet beter om een test omgeving in te regelen waarin de updates getest worden voor het uitrollen? Of desnoods een pilot groep als een test omgeving niet mogelijk is.

Een applicatie die mogelijk niet meer draait zou voor mij niet direct een reden zijn een update (zeker als die critical is bijv.) niet uit te rollen. Eerst zeker weten doormiddelen van testen dat de applicatie niet met een security update om kan gaan en dan pas niet uitrollen.

En dan uiteraard direct een support call bij de fabrikant van de applicatie neerleggen. Dat een applicatie niet direct day one compatible is met een feature update is nog tot daar aan toe, maar niet compatible met (mogelijk zeer belangrijke) security updates is imho gewoon not done.

[Aschtra]

Het betreft 5 medewerkers en wij zijn zelf de fabrikant. Echter is het product aan zijn eind en in maart 2018 zijn de laatste klanten weg bij dit product.

Het is ook niet de bedoeling om de security updates helemaal niet uit te rollen, maar later naar die paar personen.

@Downloader,

Er staan 5k updates in de approved updates. Allemaal 1/4 approved (enkel de maingroup) hoe ga ik ze hier uitvissen? Dat lijkt me teveel werk.

[Aschtra]

Ik heb het gevonden denk ik. Je kan bij de updates een filter aanklikken van 'Release Date' dit is voldoende om de speld tussen de hooiberg te vinden.

Bedankt voor het meedenken!