Windows Server 2012 R2 WSUS-5：组策略配置自动更新

若是公司具有域环境的话，咱们能够根据不一样的计算机组的要求，来配置不一样的WSUS的自动更新策略。好比测试机器连接一套GPO，生产服务器连接一套GPO，针对于测试环境和生产环境的服务器和客户端的策略都是不同，能够进行自定义设置的。固然若是机器比较少，环境比较简单，也能够直接新建一个覆盖全域的GPO，来作WSUS的策略。

在个人一级WSUS服务器上，我新建了四个计算机组，这四个计算机组都对应到AD中相应的计算机的OU（关于计算机组的设置和客户端目标的设置将在下篇文章介绍），咱们能够为域级别、测试计算机组OU和生产计算机组OU来制定不一样的WSUS组策略。

首先咱们来在default domain policy作一个影响全域计算机的自动更新策略。

在组策略管理控制台 (GPMC) 中，浏览到默认的default domain policy的 GPO，而后单击“编辑”。

在 GPMC 中，依次展开“计算机配置”、“策略”、“管理模本”和“Windows 组件”，而后单击“Windows Update”。

在详细信息窗格中，双击“配置自动更新”。

单击“已启用”，而后单击“配置自动更新”设置下的如下选项之一：

• 下载通知和安装通知。该选项会在你下载和安装更新以前通知登陆的管理用户。

• 自动下载和通知安装。该选项将自动开始下载更新，而后在安装更新以前通知登陆的管理用户。

• 自动下载和计划安装。该选项自动开始下载更新，而后在你指定的当天和时间安装更新。

• 容许本地管理员选择设置。该选项可以让本地管理员使用控制面板中的自动更新来选择配置选项。例如，他们能够选择计划的安装时间。本地管理员不能仅用自动更新。

这里我选择3-自动下载并通知安装，而后单击“肯定”。

在 Windows Update 详细信息窗格中，双击“指定 Intranet Microsoft 更新服务位置”。

单击“已启用”，而后在“设置 Intranet 更新服务以检测更新”框和“设置 Intranet 统计服务器”框中键入相同 WSUS 服务器的 URL例如，在这两个框中（其中服务器名称是 WSUS 服务器的名称），键入 http://servername，而后单击“肯定”。

当你键入 WSUS 服务器的 Intranet 地址时，确保指定准备使用哪一个端口。默认状况下，WSUS 使用适用于 HTTP 的端口 8530 以及适用于 HTTPS 的端口 8531。例如，若是使用 HTTP，则应键入 http://servername:8530。

能够设置“自动更新检测的频率”，默认是22小时，咱们能够根据实际的须要来调整间隔。如图。

能够启用“对于已登陆用户的计算机，计划的自动更新安装不执行从新启动”，这样的话，当计算机存在已登陆的用户的时候，装完更新是否重启取决于用户的行为，计算机不会强制重启，如图。

对于某些不会中断windows服务，也不会须要重启服务器才生效的更新，咱们能够配置启用“容许自动更新当即安装”，如图。

全域级别的组策略设置完成后，咱们还能够针对测试组合生产组来配置不一样的自动更新策略。

下面咱们来为测试服务器组配置一个自定义的GPO，该GPO的优先级会高于默认的域组策略，因此该GPO所连接到的计算机OU内的计算机客户端都会优先应用该策略。

右击“测试服务器组”计算机OU，选择“在这个域中建立GPO并在此处连接”，如图。

输入新建的GPO的名称，如图。

而后咱们右击新建的GPO，选择编辑，如图。

而后咱们就能够为该GPO设置不一样的自动更新策略了，全部连接到这个策略的计算机OU都会应用该策略。

通常来讲：测试环境的服务器和客户端咱们能够配置自动下载通知安装或者自动下载计划安装，对于生产环境的客户机咱们能够设置自动下载并计划安装，对于生产服务器组，若是须要手动控制打补丁的行为和重启时间，咱们能够配置自动下载并通知安装，具体要看需求。

下图是我为生产客户端计算机组设置的自动下载并计划安装的策略。

设置策略以后，客户端计算机几分钟后，计算机将出如今 WSUS 管理控制台中的“计算机”页上。对于配有基于域的组策略对象的客户端计算机，组策略将花费大约 20 分钟才能将新的策略设置应用于客户端计算机。默认状况下，组策略会在后台每隔 90 分钟更新一次，并将时间做 0 到 30 分钟的随机调整。若是你但愿更快地更新组策略，可在客户端计算机上打开“命令提示符”窗口，并键入 gpupdate /force。