是时候开始向云更新工具过渡 – WSUS 不再主动开发

        搜索了一下，写的第一篇关于 WSUS 的 Blog 还是在 2007年 - “一步一步体验 WSUS 3.0”，一晃10多年过去了。最近的一篇也是在2019年底写的“HOWTO: 通过 WSUS 推送 Surface 驱动程序”。感觉都是很遥远的事情！就在今年9月下旬微软在“Windows Server 2025 已删除或不再开发的功能”文档中提及了 WSUS，文中描述其不再主动开发，但所有现有功能和内容仍可用于部署。

        这一信息意味着微软不再为 WSUS 投资新功能，也不再接受 WSUS 的新功能请求。但企业 IT 暂时无需担忧，因为微软仍将继续确保现有的 WSUS 功能正常工作，并继续通过 WSUS 渠道发布更新。从现有的信息看，这一支持计划起码维持到 Windows Server 2025 结束。（PS：目前 Windows Server 2025 仍处于预览阶段）

        是时候开始向云更新工具过度了！

        微软基于云的更新工具很成熟，方案也很完整，提供以下选择：

1. Microsoft Intune

    Microsoft Intune 相信大家再熟悉不过，非常强大的 MDM。其中所提供的 Windows Update for Business （以下简称 WUfB）可方便的管理 Windows 客户端的多个类型的更新。

  
• 功能更新，即我们以前说的升级，不仅包含安全和质量补丁，还包含重要的功能添加和更改。例如：Windows 11 24H2 便是一个功能更新。
    
• 质量更新，即我们所说的传统的操作系统补丁更新，通常每月的第二个星期二发布，这些更新包含了安全更新、关键更新和驱动程序更新。
    
• 驱动程序更新，即非微软驱动程序，可通过 Windows Update 获取 Windows OEM 设备的组件驱动更新。
    
• Microsoft 产品更新，即那些基于 MSI 安装的 Office。

        WUfB 基于 WaaS 服务模型，还支持三个预发布频道：Release Preview，Beta，Dev。

PS：本文发布时已经留意到 WUfB将作为单个解决方案集成到 Windows Autopatch 以实现统一管理。

2. Windows Autopatch

    Windows Autopatch 隶属于 Intune，是一项云服务，使组织无需规划和操作更新过程。可自动执行 Windows，Microsoft 365 Apps for enterprise，Microsoft Edge 和 Microsoft Teams 更新。旨在解决以下挑战：

  
• 缩小安全差距，Windows Autopatch使软件保持最新状态，减少设备的漏洞和威胁。
    
• 缩小工作效率差距，Windows Autopath 确保最终用户可以获得最新的工具和功能，以增强他们的协作能力。
    
• 优化 IT 管理员资源，Windows Autopatch可自动执行例行客户端更新，为 IT 管理员节省了时间用于其他更有价值的工作。
    
• 本地基础结构，基于 SaaS 环境，最大程度减少对本地硬件的投资。
    
• 载入新服务，Windows Autopatch可轻松注册，最大程度减少 IT 管理员入门所需的时间。
    
• 最大程度减少最终用户中断，Windows Autopatch在顺序部署中发布更新，并响应可靠性和兼容性信号，最大程度减少因更新而导致的用户中断。

Windows Autopatch 必备条件

3. Azure Update Manager

        对于需要管理的云中还是本地的 Windows Server，微软提供了名为 Azure Update Manager 的云服务，它可用于跨 Azure，本地和多云环境管理和治理 Windows 和 Linux 计算机的软件更新。

  
• 立即检查更新或部署安全或关键更新以帮助保护计算机。
    
• 支持定期评估，每24小时检查一次更新。
    
• 支持灵活的修补选项。如：客户定义的维护计划；Azure VM的自动VM来宾修补和热修补。
    
• 构建用于报告更新状态的自定义报告仪表板并根据某些条件配置提醒。
    
• 通过单一窗格监视 Azure 和本地/其他云环境中由 Azure Arc 连接的整个计算机舰队的更新合规性。可以管理Azure Arc 计算机、VMWare 计算机、SCVMM 计算机，Azure Stack HCI VM。

Azure Update Manager 的工作原理：

HOWTO: 通过 WSUS 推送 Surface 驱动程序

        我们知道 Microsoft 为 Surface 设备提供了灵活的驱动部署支持，可以下载和安装标准的 MSI 驱动程序安装包，也可以将 MSI 展开导入到 WDS 或 MDT 做标准化部署使用。此外，还可以通过 Windows Update 来更新和安装驱动，默认情况下当在 Surface 上安装完系统后无线网卡是会被自动识别和驱动的，这样后续便可以通过 Windows Update 来更新和安装驱动。

        如果企业 IT 人员需要对 Surface 设备进行统一的驱动程序管理，如审计推送 Surface 驱动程序，那么可以利用基于 Windows Server 2016 的 WSUS 来实现这一需求。只需要确保在“产品”和“分类”勾选相关的选项即可，如下图所示：

        在产品列表中确认勾选：

• Windows 10 and later drivers
• Windows 10 and later upgrade & servicing drivers

        其中后者表示用于动态更新的驱动，这在执行 Windows 10 升级时是十分必要的。

        在分类列表中勾选：Drivers，这样才能使 WSUS 获取到驱动同步。之后我们便可以在 WSUS 中对 Surface 的驱动程序进行审批和推送管理。

        如果希望查询或手动下载补丁，可通过 Microsoft Update Catalog: https://www.catalog.update.microsoft.com/Home.aspx

        如果您所在的企业正在使用 SCCM，可以参考这篇知识文章：https://support.microsoft.com/en-us/help/4098906/manage-surface-driver-updates-in-configuration-manager

Windows Server 2012 R2 下安装 WSUS

        Windows XP 的生命周期即将结束，但一些企业迫于某种原因不得不继续使用 XP，那么 IT 人员如何在微软停止服务后，能否继续为重新安装 XP 系统的客户端安装更新补丁呢？虽然目前很多第三方软件提供了 Windows 更新补丁推送服务，但是实际测试发现某些服务商提供的更新内容并不可靠。作为企业，在内网部署一台更新服务器才是明智之举！

        微软已在 Server 版操作系统内置 Windows Server 更新服务（WSUS）角色，在 Windows Server 2012 R2 上只需要启动添加角色和功能向导即可完成 WSUS 的安装。该角色包含三个可选组件：WID 数据库、WSUS 服务和数据库。WID 数据库，即：基于 Windows 内部数据库服务的 WSUS 数据库；WSUS 服务即主要组件；数据库则是基于 SQL Server 的 WSUS 数据库。

        本例中， WSUS 将使用企业内部已有的 SQL Server 作为 WSUS 数据库服务器，所以在安装过程中只需要安装 WSUS 的 WSUS服务和数据库组件即可。此外，在安装过程中还需要为更新内容指定存储位置，所以我们需要事先准备一个至少6GB空间的磁盘或分区卷，并手工创建一个用于存储更新数据的目录，如：WSUSDatas。安装过程可参考以下截图：

        由于我们使用独立的 SQL Server 作为 WSUS 的数据库服务器，所以在安装过程中还需进行数据库的配置过程，而当前安装 WSUS 的域账号应该在 SQL Server 上具有所需的权限。如果权限不当，或安装时未选择数据库组件，那么安装将会失败，我们可在安装日志中看到如下记录：

”2014-01-09 15:17:37  Generation of encryption key to save to the database failed. Error=System.Data.SqlClient.SqlException (0x80131904): 无法打开登录所请求的数据库 "SUSDB"。登录失败。用户 'contoso\wsusadmin' 登录失败。“

        完成 WSUS 的安装后将会进行首次设置，其过程与之前版本并无多大的区别，不再复述，可参见下面截图！

        在安装过程中将会完成 WSUS 的大部分设置，而之后我们也可以通过 WSUS 控制台进行修改。

        针对本例，在微软还未关闭 Windows XP 更新服务前，我们可以在 WSUS 控制台的选项中找到“产品和分类”选项，在产品选项卡中只勾选 Windows XP，并在分类选项卡中复选所有分类。

        然后切换至 WSUS 概览页面，在概述中的同步状态下找到“立即同步”，并点击执行它。在经过一段漫长的等待后，WSUS 将会完成信息同步，现在回到“选项”页面，运行“自动审批”，新建一条审批规则，当更新属于所有分类时，为所有计算机审批更新。之后运行这条规则，因为之前我们仅选择了 Windows XP 产品，和所有更新分类，所以 WSUS将会下载 Windows XP 的所有更新补丁，这样我们便会得到一个完整的 Windows XP 更新库，待微软终止 Windows XP 更新服务后，企业也无需担心那些重新安装 XP 系统又需要打补丁的客户端啦！

        当看到这个消息，相信 ITPro 一定会欣喜若狂！如果之前有阅读过《选择 Microsoft Security Essentials 需知的几点注意》，那么就会明白为什么 ITPro 会高兴。但是高兴地不要太早，虽然 WSUS 支持推送 MSE 更新，那么并不代表 MSE 就完全能够适合在企业中部署和使用。下面是 MU and Microsoft Security Essentials Teams 的一篇 Blog 原文：

Microsoft Security Essentials anti-malware definitions now available via WSUS

WSUS admins,

Microsoft Security Essentials antimalware definitions are now available via WSUS. Microsoft Security Essentials is a core antimalware service for consumers and home-based small businesses that Microsoft released in September of 2009. This was done because academic institutions around the world (particularly in Asia) provide students with low cost or free internet access and provide students with update services through WSUS.  Many students are protecting their computers with Security Essentials, and the universities requested that the definition updates be provided via WSUS.

With this change, there is a new product family (Microsoft Security Essentials) and product name (Security Essentials)  WSUS in the admin console.  Note that the addition of this product family and product name is only to accommodate the definition updates for Security Essentials.  This is not a replacement or a rename for any current Microsoft a/v product.

MU and Microsoft Security Essentials teams

        我们通过上文能够了解到，WSUS 推送 MSE 更新的目的是为了满足学生的需求，因为在众多大学内，学生都携带自己的电脑，并安装有 MSE 来保护自己的 PC，因为通常学校都提供有 WSUS 服务，那么他们可以轻松地通过校内的 WSUS 来进行 MSE 的病毒库更新。但是我想更大的意图也可能是通过此方法来占据更多的市场份额，我们不能忽视那些在使用 WSUS 的中小企业和一些组织机构的用户，虽然 MSE 不支持自动化部署，但是通过预安装的方法也是一种可行的部署方式。

        Windows Server Update Services SP2（WSUSSP2）已经正式发布了，不过貌似微软的 Download Center 并没有提供中文版的下载，但是我们可以在 WSUS 服务器上使用 Microsoft Update 来获取到中文版的 WSUSSP2，如果你还没有启用 Microsoft Update，请先访问 Windows Update 根据网页上的提示升级到 Microsoft Update 就可以获取到更多微软产品的更新。

        WSUSSP2 包含了众多新特性和功能，首先就是与 Windows Server 2008 R2 的集成，并提供了对 BranchCache 功能的支持。此外，还增加了对 Windows 7 的支持。其他新功能还包括，自动审批规则允许为计算机或计算机组指定审批截止日期和时间。对下游服务器的语言选择操作进行改进处理，当决定下载指定语言更新时，会出现一个新的警告对话框。增强的状态报告以及与前一版本间兼容。在 WSUSSP2 中还对 Windows Update Agent 的已知问题进行了解决和修正。

        gOxiA 12分强烈的推荐大家在升级前阅读 WSUSSP2 的 ReleaseNotes，下载地址是：http://www.microsoft.com/downloads/details.aspx?displaylang=zh-cn&FamilyID=ba94a0d3-f22a-4e24-877e-6be6ce5da6d7

        如果你打算全新安装 WSUSSP2，建议参考 Microsoft Windows Server Update Services 3.0 SP2 循序渐进指南 这篇官方文档。今天 gOxiA 与大家分享的是从现有 WSUSSP1 上升级到 WSUSSP2，其实过程非常 Easy，耗时也能接受！

        在开始前升级前，建议先下载 Report Viewer 2008 Redistributable 并安装它，否则会在升级过程中提示一个警告，当然你完全也可以在升级之后再安装个组件。

        首先，在 WSUS 服务器上打开 Microsoft Update，选中 WSUSSP2 更新进行安装，当 WSUSSP2 下载到本地并执行安装时将弹出向导。虽然跟随向导完成整个升级安装过程。在这一过程中首先会连接到数据库，并卸载掉之前的版本，不用担心虽然卸载了老版本但是相关的信息都还会保留，否则怎么会叫升级！下面是我截取得升级过程截图供大家参考！

        整个升级过程非常顺利，单击完成后会自动运行 Windows server Update Services 配置向导，犹如全新安装一样引导我们对 WSUS 进行相关必要的配置。配置信息可以参考 gOxiA 之前的 Blog 一步一步体验 微软更新服务3.0（Windows Server Update Services 3.0），当然你也可以参考官方的手册，除了循序渐进指南外还可以参考：Microsoft Windows Server Update Services 3.0 SP2 Operations Guide 和 Microsoft Windows Server Update Services 3.0 SP2 Deployment Guide。

目前 WSUS v3.0 with SP1（以下简称：WSUS3SP1） 支持 Windows Server 2008，如果您在安装时阅读了说明文件，那么OK！您可以不用往下看了。

本次评估环境是一台 Dell 2
............
]]> https://maytide.net/read.php/200.htm gOxiA <sufan_cn@msn.com> Tue, 08 May 2007 06:27:39 +0000 https://maytide.net/read.php/200.htm Step-By-Step for Windows Server Update Services 3.0

      五一国际劳动节到了，终于可以好好的休息休息，高兴得同时又感觉几分失落，这一年过得太快了，好像并没有做什么，一年即将过去一半。黄金周这几天过得非常不错，5号那天终于腾出时间好好的上上网浏览一下自己关注的最新资讯，这才发现微软的下载中心在五一期间发布了很多新版本软件，其中就有ITPro们关注的Windows Server Update Services 3.0（以下简称为：WSUS3），真是兴奋！在经历了一段漫长的Beta测试后正式版终于发布了，微软对WSUS3的发布比较低调并没有作过多的宣传，在下载中心同时发布了WSUS3的技术相关文档，非常齐全。有兴趣的朋友可以前往WSUS技术中心获取相关的资讯，网址是：http://www.microsoft.com/technet/windowsserver/wsus/default.mspx

      本来打算看看资料就暂时作罢，待上班后再对WSUS3作安装和使用测试，但一想反正放假晚上也没有太多的事情于是决定对其作一下简单的测试。正好也可以实际感受一下自己心爱的小黑的性能，之前小黑的主要工作压力还是比较轻的，也就上上网，打打字，听听歌曲，连游戏都很少玩。唯一的技术性工作就是部署了一台虚拟的MDaemon 9.x，主要用来协助我做WorldClient的模板开发。话不投机半句多，闲扯的话还是少说为妙。下来就跟随我一起来感受一下WSUS3的新特性。

      首先，让我了解一下什么是WSUS，它是微软设计用来大量精简IT系统在执行重大更新时的程序。WSUS 让系统管理员们能够快速及确实的布署当前的重大更新在他们的系统：Windows2000 Servers/Professional(Service Pack 3 以上版本) 、Windows XP Home/Professional(Service Pack 1 以上版本)、Windows Server 2003、Exchange Server 2000/2003、Office 2002/XP/2003、SQL Server。而WSUS3版本除增加了对微软产品系列的支持（如：Windows Vista、Exchange 2007、Office 2007等等）以外，还重新设计了其管理方式，全面采用基于MMC3.0的管理界面，更加人性化，操作也更加简洁方便。提升了性能和可用性，并增强了更新过滤和报告服务。

      上述涉及到的软件可以通过网址：http://forum.hamstc.org/viewthread.php?tid=771&extra=page%3D1 获取到。

      依照惯例我先介绍一下我的测试环境：

      准备：
      依照WSUS3的系统要求，我已经事先安装好了IIS、Microsoft .NET Framework 2.0、Microsoft Management Console 3.0、Microsoft Report Viewer，数据库使用WSUS3自带的Windows Internal Database。此外请注意：一定要为WSUS系统创建两个分区：一个系统分区、一个更新数据分区。（必需是NTFS格式）

      安装与配置：
      一切准备就绪后，我们即可开始此次体验旅程。

下载到的WSUS3是一个自解压并自动执行安装程序的压缩包，我们可以使用解压缩软件事先将其解开，这样做的好处就是当执行安装程序时，如果系统检测组件有问题，我们不必再次重新执行安装程序经历时间较长的解包过程。

执行安装程序自解包完成后，出现WSUS3的安装向导界面，点击“下一步”。

因为是全新安装并且要部署的是完整的WSUS3，所以默认选择“包括管理控制台的完整服务器安装”，如果你的环境内已经存在WSUS3，那么可以选择第二项只安装管理控制台。点击“下一步”继续。

安装向导准备安装并执行检测。

在许可协议这个界面选择“我接受许可协议条款”，并点击“下一步”继续。

配置WSUS3“本地存储更新”，如果你已经准备好额外的分区，那么这里会默认配置到额外分区上，确定无误后点击“下一步”继续。

数据库选项，因为我使用WSUS自带的Windows internal Database服务，所以保持默认。并点击“下一步”继续。如果你的环境中已经存在SQL数据库服务器可以配置“使用远程计算机上现有的数据库服务器”。注意：如果使用远程计算机上的数据库服务，我们需要事先在数据库服务器上创建WSUS数据库。

配置WSUS网站，这里有两个选项供我们选择，还记得我们使用早期版本的WSUS么？如果我们不使用默认的80端口可能会存在很多的问题，早期的WSUS版本设计非常欠考虑，微软好像就认定了企业会单独部署一台WSUS服务器，但实际环境中我们通常会将WSUS部署在一台多用途的应用服务器上。比如我在规划使用服务器时就不会去修改IIS的默认站点，其中的缘由众说纷纭，但是我的习惯是不会使用并设置它的。所以在这里，我选择为WSUS3单独创建一个网站，默认的配置使用了8530端口。大家请放心，WSUS3在这方便已经作了改进，起码在我安装之后并没有发现出现什么问题。

完成配置向导后，我们就可以正式开始安装WSUS3，确认我们的配置，点击“下一步”开始安装。

安装过程中会先安装配置Windows Internal Database，接下来会将WSUS3安装到我们的系统最后执行ASP.NET环境的配置等等，整个过程耗时大概5分钟左右。

至此，我们就完成了WSUS的全新安装。

在点击完成安装后，系统会自动弹出WSUS3的配置向导，我们通过配置向导可以配置我们已经安装好的WSUS服务器，为此点击“下一步”。

选择是否加入Microsoft update改善计划，根据自己的需要选择。

配置WSUS3的上游服务器，如果这台服务器是环境中的第一台WSUS3服务器，那么你应当选择Microsoft Update作为你的上游服务器，否则请正确地配置此台服务器所要连接环境中已经存在的上游WSUS3服务器。

如果你的WSUS3使用代理方式与外网连接，比如：你的网络出口一是台以代理方式运行的ISA服务器，那么你就需要在这里正确地为你的WSUS3配置使用代理服务器，并点击“下一步”继续。

完成上述配置后，我们就可以在此界面点击“开始连接”与Microsoft Update通讯并取得下载更新信息，完成连接后点击“下一步”继续。

选择我们需要下载那种语言版本的更新，为了减小磁盘空间的占用，请根据自己的环境需要选择适当的语言版本。

选择我们需要下载更新的产品，在这里我们几乎可以选择到微软所有的主流产品，是不是很满足。

选择我们需要下载的更新分类，根据需求配置。

配置同步计划，如果你希望减轻服务器的负担你可以选择手工同步，如果你希望减轻自己的负担就配置为自动同步即可。值得注意的是在配置自动同步时，我们应该将自动同步的时间安排在半夜，这样以来，服务器的同步过程中的压力就小得多，而且也不会影响到你的网络质量。

OK，到这里我们基本上就算结束了。根据需要复选在完成配置后自动运行WSUS管理管制台并自动开始初始同步。之后我们可以选择“下一步”获得额外的信息，当然你也可以直接点击“完成”。如果是第一次安装WSUS3，我强烈建议在这里选择点击“一下步”。

这个界面为我们准备了非常有用的产品使用帮助链接，不妨先看看这些帮助。 操作与管理： WSUS3的安装比起之前的WSUS2更加的贴近人心，并且使我深刻的感受到微软对这个免费产品的重视，使我认定WSUS3才是微软真正完整可靠的更新服务。早前的版本太多的问题困扰着我们，因此才没有真正地在企业环境中部署，现在我坚信时机已经成熟，我们是时候为企业内部部署一台WSUS3服务器，快速有效地更新我们使用的微软产品。接下来就让我们实际感受一下WSUS3的操作和使用。

打开WSUS的管理控制台，是不是令我们眼前一亮。这种管理方式对于使用过ISA2004或ISA2006的朋友并不陌生，整体界面非常的直观，在默认页我们可以看到WSUS3简洁的报告。

展开我们的WSUS3服务器，可以看到相关的操作和功能。

点击“更新”，在界面的中间窗体就会显示相关的信息报告，非常的直观。

通过选择“所有更新”、“关键更新”或“安全更新”，我们可以针对性地对其进行管理，如审批更新、拒绝更新，或获取更新的详细信息等等。

计算机下我们可以监视或管理受WSUS支持的客户端。

在同步下我们可以监视到同步进度等信息，同时也可以手工地执行或停止同步。

这里我们可以体验一下WSUS3全新的报告功能，它更加详细、更加直观。

在选项下，WSUS3为我们提供并增加了很多有用的设置。

我们可以设置规则，来自动执行审批。

WSUS3还为我们增加了清理功能，有效地解决了日后磁盘空间占用的问题。

此外，WSUS3还为我们提供了电子邮件通知功能，通过它我们可以定期地将WSUS状态报告发送到指定的邮件地址中。

此外我们可以配置我们需要使用的SMTP服务器信息，并且支持SMTP需要验证的服务器。

最后来看看WSUS3的另外一个新功能，就是Microsoft Update Catalog，通过访问Catalog网站可以使我们的WSUS3服务器获得更多的Microsoft Update在线信息。

      总结
      因为我是在虚拟环境下作的测试，并且使用的是无线连接，但是整体来说我对初始同步的完成时间还是非常满意的。与微软在线更新的连接速度还是非常快的，而且也很稳定。在同步过程中，CPU占用相对于WSUS2有了很大的改进，起码在同步过程中我的虚拟机依然可以执行其他操作，不过在宿主机的任务管理器里能看到资源占用也是相当高的，两个CPU核心的占用都接近70%。由于资源占用问题，我并没有去实际测试更新的下载速度和稳定性，有条件的朋友可以实际测试一下。

      在看完这篇文章后，你是不是也有想马上部署WSUS3的强烈欲望，呵呵！如果你正面临企业内部大规模的微软产品更新部署工作？！或者你一直对WSUS2有着不满而迟迟未部署更新服务？！别再犹豫，WSUS3绝对不会令你失望。

      作者：gOxiA
      日期：2007-5-8
      Blog：http://goxia.maytide.net
      QQ：12110534
      MSN：goxia@hotmail.com
      网站：http://forum.maytide.net
               http://forum.hamstc.org

      原创文章，如需转载请务必保留版权，谢谢你对作者的尊重。

步骤如下：

1、准备MSDE

2、启动MSDE

3、安装WSUS