Aktualizácie Windows (a ďalších MS produktov). Správa aktualizácií cez Windows Server Update Services (WSUS)

Aktualizované 13.7.2023 (zmeny ružovou)

Aktualizované 9.2.2023 (zmeny zelenou)

Aktualizované 8.10.2021 (zmeny purpurovou)

Aktualizované 18.6.2021 (zmeny červenou)

Úvodné poznámky:

1. Návod platí pre Windows Server 2016, Windows Server 2019 (uvoľnený 18.1.2019), Windows Server 2022, Windows Server 2025. Ja jednoznačne odporúčam zvoliť najnovší Windows Server.
2. Nie je to nič triviálne jednoduché, ale oplatí sa to vyskúšať, a ak sa v tom naučíte chodiť, tak by to malo mať dosť významný prínos pre vašu správu PC. WSUS vyžaduje pravidelné (aj keď možno nie časté) ovládanie.
3. WSUS sa nedá použiť na tých PC sieti, ktoré majú nainštalovaný OS Windows Home. Aby ste mohli doručovať aktualizácie na PC cez WSUS, vaše PC vo firme musia mať nainštalovanú verziu OS Windows Pro. Netestoval som OS Windows XP Home, ani OS Windows 8 Home, ani OS Windows Vista Home, ale predpokladám, že rovnaké obmedzenia platia aj pre tieto OS.
4. WSUS budete využívať len na aktualizácie systému a MS softvéru. Na to, aby ste aktualizovali ovládače hardvéru, budete musieť na ten čas povoliť aktualizácie zo serverov MS. Napr. ak reinštalujete PC a treba nainštalovať ovládače hardvéru, nastavte windows aktualizácie na servery MS (ponechajte nastavenia windows update po reinštalácii nezmenené). Nie je to pravidlo. Niektore hardvérové ovladače sa ponúknu aj cez WSUS a môžete ich povoliť. Ak však reinštalujete PC, odporúčam pre skrátenie času inštalácie na tomto PC sťahovať updaty prvý krát priamo zo serverov MS z internetu.
5. Ak plánujete používať Windows Server 2016/2019/2022/2025 výhradne len pre potreby WSUS, zvážte, či tento OS budete kupovať. Trial verzia má platnosť 180 dní, čo nie je málo. Ak skončí platnosť Trial verzie Windows Server 2016/2019/2022/2025 môžete ju preinštalovať na tom istom hardvéri (aj s vymeneným HDD/SSD) a platnosť bude znovu 180 dní. Celá inštalácia a nastavenie servera trvá cca 1 až 2 dni (celý proces inštalácie sa predlžuje o čas synchronizácie databázy a sťahovania schválených aktualizácií - viď kapitola Globálne manažovanie)). Ak vo vašej sieti používate Windows Server 2016/2019/2022/2025 na ktorom vám bežia aj iné aplikácie, odporúčam pre potreby WSUS používať samostatné PC s Windows Server 2016/2019/2022/2025.
6. Nepotrebujete žiadny brutálne výkonný hardvér. Čím však výkonnejšie PC na ktoré nainštalujete Windows Server, tým pohodlnejšia práca pri správe aktualizácii. Stačí nejaké obyčajné PC o ktorom viete, že na ňom pobeží aj Windows 10. Odporúčam na tomto PC mať SSD disk namiesto HDD. S SSD diskom je to citeľne rýchlejšie.
7. Prípadne žiadajte poskytovateľa Vášho internetového pripojenia, aby neblokoval (neobmedzoval pásmo) IP adresu PC kde bude nainštalovaný Windows Server 2016/2019/2022 na pripájanie na Windows Update Servery.
8. V tomto návode sú uvedené nastavenia v duchu, aby inštalácie updatov na jednotlivých PC v sieti prebiehali bez zásahu používateľa PC. Preto je vhodné vopred si premyslieť v akom čase budete nastavovať na PC nštaláciu aktualizácii. Systém WSUS funguje tak, že:

• WSUS si stiahne zoznam (index) všetkých vydaných aktualizácií z kategórií, ktoré ste pri konfigurácii (obrázky 29, 30, 31) WSUS určili. To ukladá do databázy do C: \ Windows \ WID \ Data \ SUSDB.mdf
• Zo zoznamu aktualizácii si vyberiete, ktoré chcete stiahnuť a distribuovať do PC vo vašej sieti. Robíte to tak, že stav vybratých aktualizácií meníte na “Approved” (schválenie) pre vybratú skupinu PC (obrázok 43 a). Pochopiteľne WSUS možno nastaviť aj tak, aby sa automaticky schvaľovali aktualizácie, bude to bez Vášho zásahu (viď kapitola “Automatické sťahovanie aktualizácií” - pod Obr. 38).
• Nastavíte každé PC v sieti na prijímanie aktualizácií z Windows Server 2016/2019/2022/2025 (WSUS).
• Jednotlivé PC si už vo vlastnom čase aktualizáciu preberú a nainštalujú (Obr. 41 krok 3.).

POSTUP INŠTALÁCIE A KONFIGURÁCIE (demonštrujem na verzii 2019)

1. Stiahnite si inštalačné súbory Windows Server 2019 (ISO) z web lokality: https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server-2019 (trial verzia platná 180 dní). Alebo https://www.microsoft.com/en-us/evalcenter/evaluate-windows-server
   
2. zvoliť: Windows Server 2019 Standard Evaluation (Desktop Experience) - nainštaluje sa server aj s GUI prostredím.
3. pri finalizácii inštalácie na obrazovke “Hi there” zvoliť SK jazyk (to uvidíte). Next
4. zvoľte heslo do servera. Finish
5. PC sa reštartuje
6. po stistnutí Ctrl+Alt+Del prihláste sa s heslom
7. pripojenie Servera na internet
8. nastavte dátum a čas (stále sa nastaví americký)
9. Nastavenie jazyka Windows. Tento krok možno vynechať alebo vykonať neskôr, ale hodí sa ak chcete mať OS v Slovenčine. Existujú prípady, kedy je vhodné nechať OS v Angličtine (napr. niektoré tlačiarne pripojené na Windows Server nemusia správne fungovať, ak je nainštalovaná Slovenčina). Windows Server 2016: V nastaveniach jazyka si cez Related settings/Additional date, time, and regional settings/Language/Slovenčina/Options v sekcii Windows display language kliknite na Download and Install language pack. Nezabudnite ho nastaviť ako prioritný. Potom reštartujete PC (server). Windows Server 2019: (je to inak ako v 2016), postupujte podľa: https://support.microsoft.com/sk-sk/help/4466511/cannot-configure-language-pack-for-windows-server-2019
10. V nastaveniach zmeňte názov PC na ľubovoľný napr. WIN-SERVER 2016
11. V Server Manageri (spustí sa sám, ak sa nespustí, tak ho nájdete v zozname aplikácii pod “S”), v ľavom menu klik na Local Server, nižšie na sekciu Roles and Features, vpravo klik na tlačidlo Tasks, vybrať Add Roles and Features. Môžete ďalej pokračovať podľa tohto návodu:http://thesolving.com/server-room/how-to-install-and-configure-windows-server-update-services-wsus/), alebo podľa tohto návodu ak chcete používať doménovú politiku: Install and configure WSUS on Windows Server 2022 (technowikis.com), alebo podľa môjho, ktorý uvádzam odteraz nižšie:

Obr. 1


Obr. 2


Obr. 3

Ako vidíte, Name je názov PC na ktorom je nainštalovaný Windows Server:

Obr. 4

Ak plánujete používať Windows Server 2016 len kvôli WSUS, tak môžete ponechať označené voľby a úplne dole označte WSUS:

Obr. 5


Obr. 6

Vyberte rolu služby Windows Server Update Services. Predvolená konfigurácia je v poriadku:

Obr. 7


Tu môžete zaškrtnúť Group Policy Management, ak by ste neskôr chceli riešiť doménovú politiku a ak chcete, môžete zaškrtnúť toho viac, čomu rozumiete.
Môže sa neskôr hodiť “Windows Server Backup” a “Windows Server Migration Tools”.
Nemusíte však vyberať nič viac. Ponechajte čo je vybraté a Next:

Obr. 8


Obr. 9


Obr. 10


Obr. 11


Obr. 12

Stačí uviesť priečinok servera, kde budú uložené aktualizácie systému Windows (napr.: C:\WSUS_aktualizacie), alebo iné updaty :

Obr. 13


Obr. 14

Systém bude potrebovať niekoľko minút na nainštalovanie:

Obr. 15


Obr. 16

Potom sa v Správcovi servera zobrazí karta služby WSUS (krok 1. na Obr. 17) .

Konfigurácia služby WSUS
Otvorte konfigurátor systému Windows Server Update Services na karte služby WSUS , ako na obrázku nižšie:

Obr. 17


Obr. 18


Obr. 19


Obr. 20

Spustí sa sprievodca:

Obr. 21

Ak sa nespustí sprievodca, prejdite na kartu Možnosti a spustite sprievodcu:

Obr. 22

Kliknite na tlačidlo Next:

Obr. 23

Kliknite na tlačidlo Next:

Obr. 24

Synchronizujte z Microsoft Update, ak je to váš prvý server služby WSUS :

Obr. 25

Nakonfigurujte nastavenia servera proxy, ak sa na internet pripájate cez proxy:

Obr. 26

Kliknite na tlačidlo Start Connecting a čakajte niekoľko minút:

Obr. 27

Chvíľu to potrvá (táto operácia môže trvať aj niekoľko desiatok minút):

Obr. 28

Po dokončení stlačte “Next”.
Vyberte len potrebné jazyky, šetrí miesto a čas na disku:

Obr. 29

Vyberte produkty, ktoré potrebujete na udržiavanie aktuálnosti (Windows je na konci tabuľky). Pri Office zaškrtnite len Office (a verziu). POZOR ! Nevyberajte hocičo, lebo zo skúsenosti viem, že sa niektoré "Products" "bijú" a WSUS nebude správne fungovať (čo vybrať - a to postačí, uvádzam nižšie):

Obr. 30

 

Určite vybrať: 

"Windows 10, version 1903 and later",

"Windows 10", (obsahujú všetky aktualizácie Windows 10)

"Windows 11" (obsahujú všetky aktualizácie Windows 11).

Klasifikácie. Predvolené nastavenia sú v poriadku. Doplnil by som ešte Driver Sets, Drivers. Nedávajte Feature Packs. Prv než by ste zaškrtli Feature Packs, najprv si prečítajte poslednú kapitolu tohto textu:

Obr. 31

Aktualizácia klasifikácií a ich popis

Critical Updates 

Všeobecne uvoľnené opravy pre špecifické problémy, ktoré sa týkajú kritických chýb súvisiacich s bezpečnosťou. (Odporúčam zaškrtnúť)

Definition Updates

Aktualizácie súborov vírusov alebo iných definícií. (Odporúčam zaškrtnúť)

Drivers

Softvérové komponenty určené na podporu nového hardvéru. (Odporúčam zaškrtnúť)

Driver Sets (Odporúčam zaškrtnúť)

Feature Packs

Nové vydania funkcií, ktoré sa zvyčajne premietajú do produktov pri ďalšom vydaní.

Security updates

Všeobecne uvoľnené opravy pre konkrétne produkty, riešenie bezpečnostných problémov. (Odporúčam zaškrtnúť)

Service Pack

Kumulatívna množina všetkých rýchlych opráv, aktualizácií zabezpečenia, dôležitých
aktualizácií a aktualizácií vytvorených od vydania produktu. Balíky Service Pack môžu obsahovať aj obmedzený počet zmien alebo funkcií, ktoré požaduje zákazník.

Tools 

Nástroje alebo funkcie, ktoré pomáhajú pri realizácii úlohy alebo množiny úloh. (Odporúčam zaškrtnúť)

Update Rollups

Kumulatívna sada rýchlych opráv, aktualizácií zabezpečenia, kritických aktualizácií a
ďalších aktualizácií, ktoré sú spoločne zabalené pre jednoduché nasadenie. Kolekcia je všeobecne zameraná na konkrétnu oblasť, ako je zabezpečenie alebo špecifické komponenty, ako sú napríklad Internetová informačná služba.

Updates

Všeobecne uvoľnené opravy pre špecifické problémy, ktoré sa zaoberajú nekritickými chybami, ktoré sa netýkajú bezpečnosti. (Odporúčam zaškrtnúť)

Upgrades

Nové verzie produktov. Napr. nové vydania Windows pravidelne uvoľňujúce každý rok (napr. verzia 1803, potom 1809 atď.). Túto voľbu zaškrtnite, ak chcete dostávať nové vydania Windows a iných aplikácií. Odporúčam to použiť vzhľadom k tomu, že Microsoft po nejakých rokoch prestáva podporovať aktualizácie pre staršie vydania Windows. Tak nech máte vždy aktuálne vydania. (Odporúčam zaškrtnúť)

Naplánovať synchronizáciu (nastavená denne o 3:00 hod.):

Obr. 32


Obr. 33

Zoznam ďalších krokov (odkazy na web). Kliknite na “Finish”:

Obr. 34

WSUS server je nakonfigurovaný.

Ďalej je nutné nainštalovať 2 malé doplnky pre zobrazenie reportov, ktoré musia fungovať, aby ste vedeli ktorému PC v sieti kedy a čo zaslať.

Najprv nainštalujte Microsoft® System CLR Types for Microsoft® SQL Server® 2012. Choďte na stránku: https://www.microsoft.com/en-us/download/confirmation.aspx?id=29065 . Na stránke kliknite na “+ Install Instructions” a stránku zrolujte nižšie. Hľadajte Microsoft® System CLR Types for Microsoft® SQL Server® 2012 a kliknite na stiahnutie balíka x86, alebo x64.

Potom nainštaluje Report viewer 2012 runtime, ktorý stiahnete z adresy: https://www.microsoft.com/en-us/download/details.aspx?id=35747


Vytvorenie skupín počítačov
Ak máte zobrazené okno Update services (ak nie, začnite ako na Obr. 17), pokračujte:

Obr. 35


Obr. 36

Na paneli služby WSUS vytvorte novú skupinu počítačov:

Obr. 37

Otvorte Add Computer Group a vytvorte novú skupinu. Vytvorte si toľko skupín, koľko potrebujete (premyslite si ako chcete doručovať potom updaty do PC). V zásade platí, že neskôr ak schválite nejakú vydanú aktualizáciu, schválite jej inštaláciu pre skupinu, teda pre všetky PC v sieti, ktoré budú zaradené do konkrétnej skupiny.

POZNÁMKA: v prípade doručovania veľkých aktualizácií (ročné), po ich nainštalovaní je niekedy (môže byť) potrebný aj administrátorský prístup na konkrétnom PC (nastavenia po aktualizácii). Preto je vhodnejšie v organizácii vytvoriť skupiny po oddeleniach, alebo menších celkoch, aby administrátor mal priestor obslúžiť tieto PC po nainštalovaní veľkých aktualizácií ak to bude nutné. Ak by bol zásah administrátora nutný, a Update by sa nainštaloval naraz na všetkých PC v organizácii, administrátor by ich “nestihol” v krátkom čase obslúžiť:

Obr. 38

Na záver sa vráťte na úvodnú obrazovku a spustite synchronizáciu “Synchronize Now” (ako to popisuje Obr. 55 nad dátumom poslednej synchronizácie). Začne sa synchronizovať lokálna databáza WSUS s Windows Update Servermi na internete. Prvá synchronizácia môže trvať aj niekoľko hodín. 

 

Odporúčam až po tejto prvej synchronizácii nastaviť pravidlá pre sťahovanie aktualizácií:

Sťahovanie aktualizácii

WSUS je vo východzom stave nastavený tak, aby správca ručne povoľoval stiahnutie aktualizácií do databázy WSUS a tie sa až po schválení “Approved” stiahnú do WSUS a následné si ich preberú PC v sieti.

Ako automatizovať sťahovanie aktualizácii

Verzia 1 sťahovať vybrané komponenty automaticky

Na konzole WSUS otvorte “Options”. Otvotre "Automatic Approvals". Cez New Rules zadajte podmienku:

Pravidiel môžete vytvoriť viac.

Verzia 2 sťahovať všetko bez rozdielu automaticky

Možno nastaviť aj automatické sťahovanie a doručovanie bez zásahu správcu:

Na konzole WSUS otvorte “Options”. Otvotre “Update files and Language”” a na záložke "Update files" zaškrtnite “Download Express installation files”.

Expresná inštalácia umožňuje rýchlejšie sťahovanie a inštaláciu na počítačoch, ale spôsobuje, že sa predlžujú časy preberania aktualizácií pre váš server. Teda sťahovanie bude zaťažovať internetové pripojenie vo vašej firme.

Expresnú inštaláciu môžete využiť aj v prípade, že nemôžete spravovať aktualizácie (napr. ste dlhšie odcestovaný a pod.).

Nastavenie klientských PC
Keď v PC sieti nemáte nijak nakonfigurované PC (nie sú v nejakej doméne, nie sú spravované doménovou politikou) (toto je najčastejšie), musíte každé PC nastaviť a nasmerovať, aby si updaty sťahovalo každé PC z WSUS. Toto nastavenie sa na PC urobí len raz. Rozhodnutie o doručení konkrétneho update do PC sa robí už zo servera WSUS schválením aktualizácie (Approved) pre konkrétne skupiny PC.

Rovnaké nastavenie urobte aj na serveri, na ktorom beží WSUS, ak ste vybrali produkty pre Windows Server (Obr. 30). Server bude tak sťahovať a inštalovať aktualizácie aj sám pre seba a nebude sa snažiť ich sťahovať z internetu.

Teda na každom PC treba:
spustiť konzolu Local Group Policy Editor. Spustite ju pomocou príkazu gpedit.msc, ktorý napíšete v príkazovom riadku. (Štart/Všetky programy/Systém/Spustiť) (alebo skratka Windows+R)

Potom:

Obr. 39


Obr. 40

Ak máte Windows 11 Pro čítajte aj poznámku na konci tejto kapitoly

2x kliknite (otvorte) položku:
Configure Automatic Update.

Pri tejto položke konfigurujete, kedy sa majú na konkrétnom PC inštalovať aktualizácie, ktoré predtým povolíte na WSUS.

Zvoľte: Enabled, voľbu 4, 0-Every day, a nastavte čas, kedy začne prebiehať inštalovanie aktualizácii a potom ďalšie položky a Apply a OK ako je zobrazené:

Obr. 41

Pochopiteľne s týmito nastaveniami sa môžete pohrať a zvoliť iný režim, napr. aby sa inštalovali aktualizácie len v noci. Ak sa u vás PC na noc nevypínajú a pod..

2x kliknite (otvorte) položku:
Specify Intranet Microsoft Update Service Location. Zvoľte: Enabled, a nastavte kontakt na server. Za http://nasleduje názov servera (názov PC na ktorom beží WSUS) a potom za “:” port:

Obr. 42

2x kliknite (otvorte) položku:
Automatic Updates Detection Frequency. Zvoľte: Enabled, nastavte frekvenciu v hodinách ako často sa ma kontrolovať update na WSUS a Apply a OK. Ja som nastavil 1.

2x kliknite (otvorte) položku:
Do not allow update deferral policies to cause scans against Windows Update. Zvoľte: Enabled, Apply a OK.

 

2x kliknite (otvorte) položku:
Do not connect to any Windows Update Internet locations. Zvoľte: Enabled, Apply a OK.

 

2x kliknite (otvorte) položku:
Allow automatic updates immediate installation. Zvoľte: Enabled, Apply a OK.

2x kliknite (otvorte) položku:
Reschedule automatic updates scheduled installations. Zvoľte: Enabled, 1, Apply a OK.

2x kliknite (otvorte) položku (zacielenie na strane klienta),(súvisí s tým o čom je písané v kapitole Obr. 35-38):
Enable client-side targeting. Zvoľte: Enabled, a zadajte názov skupiny do ktorej sa má PC automaticky zaradiť (napr. “Testovacie PC”). Toto je vhodné napr. na to, že ak bude vydaná nejaká nová aktualizácia, môžete ju vo WSUS schváliť a povoliť jej inštaláciu len pre všetky PC zaradené do konkrétnej skupiny (napr. aby ste otestovali či jej inštalácia nespôsobí problémy vo všetkých vami spravovaných PC cez WSUS). Apply a OK.

UPOZORNENIE:

Vo WSUS sa povoľujú inštalácie len pre skupinu PC. V prípade, že chcete povoľovať aktualizácie pre každé PC samostatne, vyplňte položku "Enable client-side targeting" vlastným jedinečným názvom. Napr. napíšte názov PC. Vo WSUS potom vytvoríte toľko skupín, koľko máte PC. 

 

2x kliknite (otvorte) položku:
Specify source service for specific classes of Windows Updates. Zvoľte: Enabled, ponechajte vo všetkých parametroch "Windows Server Update Services, Apply a OK.

 

Wo Windows 11 Pro: 

Vo Windows 11 Pro sú nastavenia Windows Update oproti Windows 10 Pro rozdelené do 4 priečinkov, no všetky vyššie uvedené nastavenia sú v týchto troch:

Legacy Policies

Manage end user experience

Manage updates offeredfrom Windows Server Update Service 

Manažovanie aktualizácii pre PC v sieti cez WSUS
Keď už máte nakonfigurovaný WSUS, máte nakonfigurované jednotlivé PC (všetko je vyššie popísané), môžete pristúpiť k manažovaniu, kedy a na aké PC povolíte inštaláciu jednotlivých aktualizácií. Celá práca sa vykonáva v konzole (okne) Update Services.

Aby ste mohli zobraziť konzolu “Update Services”, musí na serveri WSUS bežať. Ak sa nedá spustiť konzola “Update Services”, pravdepodobne services WSUS nebežia. Skontrolujte to a spustite cez “Start Services”:

Obr. 43


Samotnú konzolu spustíte tak, ako je zobrazené na Obr. 17.

Globálne manažovanie:

1. zvoľte si skupinu Update, ktorú chcete spravovať
2. zvoľte “Unaproved” a “Any” alebo “Failed or Neeeded”. Refresh
3. cez pravý klik na stĺpec pridajte zo zoznamu stĺpec “Relase Date”
4. zoraďte načítané aktualizácie podľa dátumu vydania (podľa Relase Date). Pravdepodobne vás budú zaujímať najnovšie, ktoré zobrazíte odvrchu
5. vyberte aktualizácie o ktoré nemáte záujem a kliknite vpravo na “Decline”. Pravdepodobne to budú rôzne jazykové verzie, Office balíky, a dátumovo staršie (podľa Relase Date) aktualizácie ktoré nepotrebujete. Vyberte všetky nepotrebné a odstráňte ich cez Decline.
6. vyberte aktualizácie o ktoré máte záujem a kliknite pravý klik a vyberte “Approve”
7. vyberte skupinu, pre ktorú schvaľujete (Approve) tieto aktualizácie
8. ak tieto aktualizácie neboli ešte do WSUS stiahnuté, teraz sa začnú sťahovať, čo uvidíte na hlavnej stránke
9. po dokončení sťahovania budú prístupné a jednotlivé PC si ich podľa požiadaviek a nastavenia budú v stanovenom čase preberať a inštalovať.

Obr. 43 a

Manažovanie jednotlivého PC

Príklad 1: Spustenie aktualizácii na konkrétnom PC (názov PC: desktop-example)

Na konzole Update Services si vyhľadáme v sekcii Computers toto PC. Kliknete naň a dole pri grafe sa zobrazí “Updates needed”, aktualizácie, ktoré treba nainštalovať. Kliknite na “Updates needed”:

Obr. 44

Otvorí sa karta “Report” pre tento PC. Nalistujete nasledujúcu stranu, kde je zoznam všetkých aktualizácii, ktoré je potrebné nainštalovať na tomto PC:

Obr. 45

Tu je zoznam všetkých aktualizácií, ktoré je potrebné nainštalovať:

Obr. 46

Klikom na “Not approved” (neschválený), máte možnosť vybrať (schváliť) tento update pre konkrétnu PC skupinu. Keďže toto PC je v skupine “Pokus1”, povolíme (schválime) túto aktualizáciu pre skupinu Pokus1:

Obr. 47

Potom:

Obr. 48

Kliknite na “Run Report” aby sa obnovilo okno. Portom sa zobrazí zoznam, kde vidíte, že aktualizácia je pripravená na inštaláciu “Install”:

Obr. 49

Teraz už podľa nastavení klienta (kapitola Manažovanie aktualizácii pre PC v sieti cez WSUS), sa aktualizácia do PC “desktop-exampe” stiahne na nainštaluje sa.

Takto môžete postupovať pre povolenie každej jednej aktualizácie jednotlivo (opakujete kroky Obr. 44-49).

Manažovanie skupín PC

Príklad 2: Spustenie vybraných aktualizácii skupine PC

Na konzole Update Services si vyhľadáme v sekcii Updates aktualizácie, ktoré chceme povoliť na inštaláciu. Ak hľadáme ešte neschválené updaty, vyberáme v kroku 1. “Unapproved” updaty. Ak si chceme vybrať z updatov, ktoré sme už schválili, ale nie sú nainštalované na všetkých PC v našej sieti, vyberte “Approved”.

“Computers needing this update” ukazuje na koľkých PC je potrebné tento update inštalovať. Ak chcete otvoriť report, kliknite na “Computers needing this update” a postupujte podobne ako na Obr. 45-48.

Rýchlejšie schválite update vykonaním kroku 4. a následne vyberiete skupinu PC, ktorým inštaláciu tohto update povolíte:

Obr. 50

Pochopiteľne v okne môžete označiť viac updatov a hromadne ich schváliť (Approve) pre skupinu PC.

Po nainštalovaní niektorých závažných aktualizácii je užívateľ (v OS Windows 10 Pro) informovaný nasledujúcimi upozorneniami:

Obr. 51

alebo pri vypínaní PC:

Obr. 52

Osobne odporúčam, aby užívatelia pred odchodom z pracoviska na konci pracovnej doby pri vypínaní PC použili voľbu “Aktualizovať a reštartovať”, vypli monitor (ak sa jedná o desktop PC) a išli domov. Ak by zvolili “Aktualizovať a vypnúť”, ráno po zapnutí môžu byť zdržiavaní, ak sa inštaluje nejaká väčšia aktualizácia, čo môže byť nepríjemné.

POZNÁMKA:

V prípade, že sa na PC používa šifrovanie disku (napr. BitLocker a pod.), teda po zapnutí PC je potrebné najprv zadať PIN/heslo pre odomknutie pevného disku, v tom prípade nie je rozumné použiť voľbu “Aktualizovať a reštartovať”. Použite voľbu “Aktualizovať a vypnúť”. Dôvod je v tom, že ak sa na PC používa šifrovanie disku (napr. BitLocker a pod.), reštart PC a následné dokončenie inštalácie aktualizácií sa nedá vykonať bez prvotného zadania PIN/hesla pre odomknutie pevného disku. Teda inštalácia aktualizácií vyžadujúca reštart nevie obísť šifrovanie pevného disku, aby dokončila inštaláciu.

Na spustenie inštalácie niektorých update je užívateľ PC upozornený v oznamovacom paneli. Preto je potrebné, aby občas skontroloval oznamovací panel a povolil inštalácie:

Obr. 53


Obr. 54

Ak nespustí inštaláciu užívateľ, alebo administrátor PC, a ak ste nastavili na PC voľbu 4 (Obr. 41), pripravená inštalácia aktualizácií sa automaticky spustí bez zásahu užívateľa PC (môže to byť aj po niekoľkých dňoch).

Niektoré detaily v oknách, ktoré sa oplatí sledovať
Updaty sa začnú sťahovať na server až potom, čo ich schválite (Approved), ak ešte nikdy neboli na server stiahnuté skôr zo serverov Microsoftu.

Obr. 55


Obr. 56

Pri sekcii Update je užitočné zobraziť stĺpce Relase Date (dátum vydania aktualizácie), Status Rollup a Installation Status (výsledok dokončenia inštalácii).

Podľa Relase Date si viete pozrieť a rozhodnúť sa, či túto aktualizáciu chcete, alebo nie. Veľmi staré, alebo vydané v 3. a 4. týždni mesiaca (pozri nasledujúcu kapitolu “Ak ste na Obr. 31 zaškrtli Feature Packs”) pre Vás nemusia byť zaujímavé.

Ak sa objaví červené X pri názve PC, znamená to niektorú z možností:

• na PC sa inštaluje dôležitá aktualizácia, PC nekomunikuje so serverom
• PC je potrebné reštartovať, nie vypnúť
• nastala chyba pri sťahovaní nejakej aktualizácie.

Ak sa červené X pri názve PC zobrazuje dlhšie ako týždeň a PC bolo v prevádzke, môžete znovu spustiť Inštaláciu updatou tohto PC tak, ako je na Obr. 44-49:

Obr. 57

Chyba Error: Connection Error

Môže sa objaviť táto chyba:

V skutočnosti sa vypne služba "WsusPool". Ako sa k nastaveniu tejto služby dostanete je zobrazené nižšie na obrázkoch. 

Bližší popis, čo sa vlastne stalo zistíte na tomto mieste:

Podľa mojich skúseností pomohla na odstránenie chyby kombinácia nastavení, ktoré popisujem nižšie:

 

1. Kliknite na "Reset Server Node". Ak sa po resete načítajú údaje, je všetko OK.

2. Ak krok 1. nepomohol,, alebo sa chyba opakuje, skúste reštartovať server a spustiť konzolu WSUS nanovo. Ak sa po reštarte načítajú údaje, je všetko OK.

3. Ak zlyhá aj krok 2., postupujte takto:

Prístup k nastaveniu služby "WsusPool"

Spustite Server Manager:

Spustite IIS Manager:

Ďalej spustite:

Pravý klik a v kontextovom menu zvoľte "Set Application Pool Defaults...". Potom na riadku Private Memory Limit (KB) zadajte hodnotu "0" (bez obmedzenia). Alebo skúste hodnotu "3145725" (túto hodnotu, teda 3,1 GB vraj odporúča Microsoft), alebo 4294967 (4 GB). Vyskúšajte, čo z toho zaberie.:

-Ďalšia hodnota ktorú môžete skúsiť upraviť: vyššie v sekcii "Rapid-Fail Protection" na riadku Enabled zmeňte hodnotu na False (východzia hodnota je True). Uložte.

-Iná hodnota ktorú môžete skúsiť upraviť: vyššie v sekcii "Process Model" na riadku Shutdown Time Limit (seconds) zmeňťe hodnotu "90" na hodnotu "10000". Uložte.

 

Ďalej službu WsusPool naštartujte:

Koniec.

Ak sa ERROR objaví z nejakej príčiny aj v budúcnosti, skúste použiť kroky 1. alebo 2., ktoré sú uvedené vyššie. Ak to nepomôže, skúšajte upraviť hodnoty popísané v kroku 3.

 

Chyba: No yet reported

V prípade, že ste napríklad reinštalovali Windows Server a nanovo ste nainštalovali WSUS na rovnakom alebo aj inom PC (alebo serveri), môže sa na konzole WSUS objaviť v stĺpci "Last status report" alebo v stĺpci "Last contact" oznam: No yet reported.

Z nejakého dôvodu WSUS síce vzdialené PC vidí, ale nevie s ním komunikovať. 

Možné riešenie:

Chyba nie je na strane vzdialených PC, ktoré sa pripájajú k WSUS, ale na strane WSUS.

Postupujte takto:

1. Cez Server manager/Local Server (ako je na Obr. 1) cez Remove Roles and Features odoberte Web server (IIS) aj WSUS

2. po reštarte znovu spustite inštaláciu WSUS ako je popísané vyššie od Obr. 1

3. začnú sa klienti na WSUS pripájať

4. Po dokončení spustite prvú synchronizáciu WSUS

 

 

Nastavenie PC tak, aby ignoroval WSUS a naďalej sťahoval aktualizácie priamo zo serverov Microsoft Update

 

Z nejakého dôvodu môžete potrebovať presmerovať PC tak, aby sťahovalo aktualizácie priamo zo serverov Microsoftu (napr. chyba na serveri WSUS). Buď vrátite naspäť zmeny v nastaveniach politiky na každom PC ako je popísané vyššie (kapitola Nastavenie klientských PC), alebo ka konkrétnom PC urobíte zmenu v registroch: 

1) Na klávesnici stlačte súčasne kláves s logom Windows  + R. 

2) Do poľa Spustiť zadajte príkaz regedit a kliknite na tlačidlo OK .

3) Prejdite na HKEY_LOCAL_MACHINE > Softvér > Policies > Microsoft > Windows > WindowsUpdate .

4) Kliknite na AU vo WindowsUdpate a nájdite  UseWUServer.

5) Nahraďte všetko, čo je v údajoch o hodnote registra v pravom paneli, hodnotou 0 ( nula ).

6) Kliknutím na tlačidlo OK uložte.

7) Reštartujte počítač. Aktualizácie sa budú sťahovať zo serverov Microsoftu.
 

 

Poznámka: zmenu lokácie intranetového pripojenia (Obr. 42) možno vykonať aj cez regedit, z umiestnenia:
HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\WindowsUpdate a položky WUServer a WUStatusServer  

alebo

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate a položky WUServer a WUStatusServer 

 

Ak ste na Obr. 31 zaškrtli Feature Packs
Microsoft vydáva pravidelnú mesačnú aktualizáciu vždy v druhý utorok daného mesiaca. Táto aktualizácia má interné označenie B, pretože druhé písmeno v abecede označuje druhý týždeň v mesiaci. V rámci B aktualizácie získajú používatelia všetky dovtedy vydané opravy, vylepšenia a bezpečnostné aktualizácie. B aktualizácia sa automaticky stiahne všetkým používateľom na svete a to bez ohľadu na to, či vedia o existencii nastavenia s názvom Windows Update alebo nie.

Počas tretieho a štvrtého týždňa v mesiaci vydáva Microsoft voliteľné aktualizácie (Feature Packs ?), ktoré majú interné označenie C a D. Logika ich označovania je totožná. C a D aktualizácie sú „predfinálne verzie„, ktoré Microsoft ponúka „technicky pokročilým“ používateľom. Teda tým, ktorí si spustia Windows Update a kliknú na tlačidlo Vyhľadať aktualizácie. Títo používatelia následne testujú predfinálne opravy a vylepšenia a pokiaľ je všetko v poriadku, novinky z C a D aktualizácií sa následne objavia v B aktualizácii v ďalšom mesiaci.

Aby sme to teda zhrnuli. Pokiaľ nechcete vaše zariadenia vo vašej PC sieti so systémom Windows 10 vystavovať predfinálnym aktualizáciám, ktoré môžu teoreticky obsahovať chyby, povoľte “approve” len pre aktualizácie, ktoré boli publikované len druhý utorok v danom mesiaci. V našich končinách to teda znamená druhá streda, alebo štvrtok v mesiaci. Alebo vypnite nastavenia Klasifikácie Feature Packs na Obr. 31.

https://blogs.windows.com/windowsexperience/2018/12/10/windows-monthly-security-and-quality-updates-overview/#6bUD0GCsskwIGobt.97

Záver

V prípade, že pozorujete, že na niektorých PC sa nič neinštaluje a nič nedeje, hoci komunikujú so serverom, je potrebný zásah administrátora (spustiť aktualizácie ručne, alebo je potrebné preinštalovať Windows? (chyba v systéme)).

Do vypracovania tohto návodu som investoval veľa síl a času. A to len preto, aby som mohol nezištne pomôcť iným, aby som urobil nejaký dobrý skutok. Ak Vám tento návod aspoň trochu pomohol, urobte aj Vy nejaký dobrý skutok zadarmo a nezištne niekomu inému.