Custom Windows Server install ISO maken

[freeco]

In ons Windows 2008 replacement project geven we onze application owners de mogelijkheid om simpelweg een inplace upgrade van hun server te doen naar Win2012R2 (en eventueel nog Win2016 er bovenop). Werkt goed, maar doordat de officiële Windows Server 2012R2 toch ook al een paar jaar oud is, moeten we nadien nog een honderdtal patchen nasturen.
Om wat tijd te besparen heb ik een paar maand geleden een custom iso gemaakt met daarin alle patches tot dat moment erin geslipstreamd via dism.
2 praktische problemen daarmee:

• De install.wim verdubbelt in grootte. Daardoor is er veel meer vrije ruimte nodig op de te upgraden server, terwijl onze system drives relatief klein zijn.
  Ik heb de wim al proberen verkleinen met dism /Image:$MountPath /Cleanup-Image /StartComponentCleanup, maar dat faalt met error "The operation could not be completed due to pending operations"
• Ik probeer nadien de updated install.wim terug in een bootable iso te steken via ImgBurn, maar die blijkt dan enkel bootable op legacy BIOS, niet op UEFI. Ik volgde deze guide.

Ik vond al op een ander forum dat het normaal is dat de component cleanup faalt na patches toe te voegen. Daar werd een export voorgesteld, wat ook een cleanup zal doen. Zoiets dan:
dism /Export-Image /SourceImageFile:$WimFile /SourceIndex:1 /DestinationImageFile:"D:\ISO\install1.wim" /Compress:max /CheckIntegrity
Dat scheelt inderdaad wel iets, maar het kan misschien anders/beter. Ik heb namelijk een ISO met 2 indexes, die zou dan weer moeten samengevoegd worden in 1 wim file.
Nog niet getest, maar daarvoor vond ik dan deze 2 posts waar ImageX gebruikt wordt. Maar op een TechNet forum dat het via dism zou moeten gedaan worden, niet met ImageX (=oud).

Voor het UEFI problem vond ik deze, zei het wel vrij oude KB.
Ik ben nog zover niet geraakt, gezien mijn focus voorlopig op de grootte van de wim file ligt, maar is dit nog de goeie manier om een iso te maken die werkt op zowel BIOS als UEFI?

Iemand tips?
Ik overweeg een licentie van NTLite te vragen, maar ben ook niet zeker of die tool deze 2 problemen beter aanpakt...

[Brahiewahiewa]

Merkwaardige organisatie. Waarom hebben application owners überhaupt iets van doen met het OS?
Die zouden toch enkel precies voldoende rechten moeten hebben om hun applicatie te ownen?

[freeco]

offtopic, maar we kunnen toch niet zomaar hun servers gaan upgraden naar een nieuwer OS als hun applicatie dat OS niet ondersteunt?
Vroeger gaven we ze een nieuwe server en moesten ze hun app maar overzetten, waarna de oude afgezet werd. Maar in veel gevallen was er niet heel veel goodwill van de owners en bleef alles maar aanmodderen.
Het gaat vlotter als we hun oude server upgraden, zo moeten ze enkel nadien nog 's testen of alles nog werkt. In de meeste gevallen is er geen probleem, en is de replacement op een half dagje afgerond.

[Brahiewahiewa]

Euh, dit is niet offtopic. Want het is de oorzaak van het feit dat jij, anno 2018, nog steeds jaren '90 problemen zit op te lossen. Maar ik begrijp dat het hebben van een test-omgeving ook nog niet tot jullie organisatie is doorgedrongen?

[Will_M]

Sowieso al zéér vreemd te noemen dat een applicatiebeheerder local admin rechten meent te moeten hebben op een server (anders kán 'ie 't OS niet eens upgraden) maar daar gaat 't hier even niet om. Vanwege onder andere die clean-up laat ik bij zo'n in-place upgrade van een OS ook bewust de patches door WSUS uitzoeken én installeren ná een schone 2012R2 installatiedisk gebruikt te hebben voor die upgrade, je weet van te voren vaak niet wat je allemaal op zo'n server aan gaat treffen, zeker niet als een applicatiebeheerder local admin op zo'n server is én er dus features en/of roles aangezet kunnen zijn waarvan jij feitelijk geen weet meer hebt als "serverbeheerder"......

KB2919355 is bijvoorbeeld zo'n hele leuke update welke je een hoop ellende op kan gaan leveren als die in het upgrade ISO OS geslipstreamed / verwerkt is...

[Voor 22% gewijzigd door Will_M op 19-09-2018 15:54]

[HKLM_]

@freeco Welke update heb je erin gepropt? Volgens mij kan je ook de laatste Security Monthly Quality Rollup installeren. (New Security Fixes + Non-Security Fixes from last preview Rollup + All previous monthly rollups)

Ben je met 1 update weer up-to-date en scheelt een hoop werk.

https://www.adamfowlerit....onfusion-windows-updates/

https://social.technet.mi...ality?forum=winserverwsus

Hoe upgrade je de servers? (met het handje? of met een deployment tool?)

Als je bijvoorbeeld al WDS/MDT hebt zou je een upgrade task kunnen maken die de upgrade naar 2012R2 uitvoert (En daarna 2016) via de task sequence kan je de update files laten installeren of je machine gelijk met wsus laten connecten zodat hij ze gelijk update. (Andere acties kan je ook automatiseren) Hoef je het alleen maar aan te zetten en met de voetjes op de tafel wachten tot die klaar is

[Voor 48% gewijzigd door HKLM_ op 19-09-2018 15:54]

[freeco]

Jongens, voor de duidelijkheid: wij doen de in-place upgrade zelf. Niet de application owner... Die moet enkel z'n applicatie testen nadien. En ja, er is ook een testomgeving etc. Ik ga hier niet onze bedrijfspolicies en procedures helemaal gaan uitleggen/verdedigen. Het enige wat ik wil weten is of en hoe ik een ISO kan maken me alle patches erin.

@HKLM_ Dat klopt voor Win2016. Gewoon de laatste servicing stack update + de laatste cumulative update is voldoende. De update voor de ingebakken Flash Player eventueel ook nog… That's it. De Win2016 ISO is ook niet direct mijn prioriteit daardoor. Al zou een custom iso wel de tijd van het updaten ook nog inkorten.
Voor Win2012R2 gaat de cumulative update maar terug tot 10/2016. Er zijn nog tientallen oudere patches die niet in de rollup zitten. Via WSUS Offline heb ik de recentste servicing stack update en 171 updates binnengehengeld. En da's inclusief de laatste rollup.

Het update process is simpelweg de ISO mounten en de setup draaien. Zoals je het thuis zo doen eigenlijk. Werkte prima, alleen heb je dan een OS dat patches mist. Onze SCCM duwt die wel, maar dat duurt effe...
We zouden de upgrade ook kunnen automatiseren via een task sequence in SCCM, maar mijn collega is daar nog niet aan uitgeraakt, toch niet dat met 1 manier die voor alle situaties werkt.

[Voor 18% gewijzigd door freeco op 19-09-2018 16:00]

[HKLM_]

freeco schreef op woensdag 19 september 2018 @ 15:56:
Jongens, voor de duidelijkheid: wij doen de in-place upgrade zelf. Niet de application owner... Die moet enkel z'n applicatie testen nadien. En ja, er is ook een testomgeving etc. Ik ga hier niet onze bedrijfspolicies en procedures helemaal gaan uitleggen/verdedigen. Het enige wat ik wil weten is of en hoe ik een ISO kan maken me alle patches erin.

@HKLM_ Dat klopt voor Win2016. Gewoon de laatste servicing stack update + de laatste cumulative update is voldoende. De update voor de ingebakken Flash Player eventueel ook nog… That's it. De Win2016 ISO is ook niet direct mijn prioriteit daardoor. Al zou een custom iso wel de tijd van het updaten ook nog inkorten.
Voor Win2012R2 gaat de cumulative update maar terug tot 10/2016. Er zijn nog tientallen oudere patches die niet in de rollup zitten. Via WSUS Offline heb ik de recentste servicing stack update en 171 updates binnengehengeld. En da's inclusief de laatste rollup.

Het update process is simpelweg de ISO mounten en de setup draaien. Zoals je het thuis zo doen eigenlijk. Werkte prima, alleen heb je dan een OS dat patches mist. Onze SCCM duwt die wel, maar dat duurt effe...
We zouden de upgrade ook kunnen automatiseren via een task sequence in SCCM, maar mijn collega is daar nog niet aan uitgeraakt, toch niet dat met 1 manier die voor alle situaties werkt.

Maakt toch niet uit dat het even duurt, als je in je task sequence gelijkt een Windows update task implementeer dan duurt het net zo lang als de updates los installeren. Dan komt alles uit WSUS en weet je 100% zeker dat die updates goedgekeurd zijn. Of weet je dat nu ook met je gedownloade updates?

Een upgrade task zou toch niet zo moeilijk moeten zijn, het is eigenlijk bijna het zelfde als de iso mounten en upgraden alleen dan automatisch dat zou niet per machine uit moeten maken.

Nlite ervaring: mijn nlite ervaring is dat het traag is en niet doet wat ik wil

[freeco]

De task sequence op zich was ook niet direct het probleem. Heb mn collega ook niet alle details gevraagd maar hij kreeg het niet werkend voor alle verschillende situaties. We hebben liever 1 uniforme manier die altijd werkt, dan een paar verschillende mogelijkheden. Anders geraakt onze frontoffice er toch geen wijs uit...