WSUS技术说明书.doc

wsus全攻略之三：wsus操作指南在安装好wsus服务器之后，你可以通过wsus管理控制台来对wsus服务器进行管理。wsus管理控制台是基于web浏览器的，你可以通过以下地址 3 uz6 i; j : x- e6 3 http:/wsus_website_url/wsusadmin % 5 r7 h i8 fc8 y4 : l来访问wsus管理控制台，在默认情况下wsus web站点使用默认web站点，wsus管理控制台的访问路径是 + % s l3 c: e9 ?http:/servername/wsusadmin 1 3 z6 z8 s) u. m6 p你必须将浏览器配置为允许活动脚本和activex控件。如果在计算机上已启用了internet explorer增强安全配置组件，你应该将wsus管理控制台地址添加到受信任的站点中。 % a7 r8 p8 x! |* 6 f 6 t2 t9 ?wsus安装时将创建一个名为wsus administrators的用户组，这便于你委派用户进行wsus的管理。默认情况下，只有属于内建的administrators组或wsus administrators组的用户可以访问wsus管理控制台。 7 a& j0 i9 z, yj2 j6 v在wsus管理控制台中你可以执行以下任务： p1 d) o, a+ 5 h+ 3 y, s1 p) o. o$ e; d配置wsus服务器选项并进行同步； $ 7 l% ?1 e% k, k2 i: l1 e0 y$ u3 n6 g管理计算机及计算机组； * k) % _/ d/ c7 z$ k/ f6 l& l7 b% e8 t # l9 m管理更新（批准或拒绝更新）； : n6 y+ y7 j r. v& w6 b$ t0 o* j, b! t1 u5 o2 n: a: l3 o+ r通过报告监控wsus服务器的实现情况。 0 e0 lt z+ b) s; 3 p4 s0 s; e9 l 9 e% s# % f4 l2 a ) g: p9 mx. z& ; j: ?配置wsus服务器选项并进行同步 0 o# m 4 c; w) c) z1 g3 d点击开始，再点击管理工具中的microsoft windows server update services进入wsus管理控制台，此时会弹出身份验证对话框，输入具有访问权限的用户账户及密码，然后点击确定，如下图所示， ( b3 ; b( e3 w8 v9 b- + y( g% w7 y3 x& r8 k, t. h5 g由于采用了增强的internet explorer安全配置，在弹出的警告提示框中，点击添加， & _% s6 e) : a3 x, n/ , b b/ o( y3 y$ d) a然后在可信站点对话框上，点击添加。这样就把wsus管理控制台加入了到受信任的站点中，再点击关闭。 1 j, 2 |$ d7 i; a9 g! f6 h0 a: _; o) 0 g进入wsus管理控制台后，主页界面如下图所示，在此你可以看到wsus服务器的运行状态和提醒你需要做的待办事项。由于默认情况下wsus服务器配置为手动进行同步，因此没有任何更新。首先我们需要配置wsus服务器选项，点击右上角wsus管理工具栏中的选项链接。 + + s, 5 b& x q/ w& g& . n5 ( / x3 l$ b8 # b在选项页面中，你可以选择配置以下三种选项： : l5 q- h* i3 a) r j0 y4 f3 k& o4 h0 ow3 s- d# y7 u4 w+ e同步选项；在同步选项中，你可以配置同步的方式 、同步的产品及分类、同步使用的代理服务器及更新源和下载更新的语言； - 6 1 r% i0 y5 a# q* o# e1 1 n% ? n6 # i( v自动批准选项；在自动批准选项中，你可以配置是否批准更新自动进行检测以及选择哪种更新自动进行检测、是否批准更新自动进行安装以及选择哪种更新自动进行安装、是否自动批准更新的修订以及是否自动批准wsus更新； ) y7 e5 l* d* m: b/ d+ l8 n. h, f1 d: v9 sl2 i2 t! u计算机选项；在计算机选项中，你可以选择如何对客户端计算机进行分组，详细信息请参见部署与规划一文。 % i- 0 $ f& a) z v7 t5 l# e: n3 d, m+ m, g/ rr9 d % n: o z# j$ 同步选项 ) d: b* a, v$ ?& 0 4 l首先点击同步选项链接配置同步选项，如下图所示。你可以在计划框架中选择同步的方式，默认为手动同步。你可以设置为手动同步或者每天定时同步；如果使用每天定时同步，则选择每天同步时间，再输入计划进行同步的时间。请根据你的需要来选择同步的方式；如果采用每天定时同步，则根据自己企业的外部网络访问情况来决定何时进行同步，应计划为外部网络访问活动较少的时段，例如凌晨。在此我保留为使用手动同步。 & s1 n! p, ! i; s& . q% l% n4 o5 r在下面的产品和分类框架，你可以选择你想要进行同步更新的产品和更新分类，默认情况下同步所有支持自动更新的windows产品（windows 2000家族，windows xp家族，windows server 2003家族及数据中心版本）的安全更新和关键更新。 # r1 w7 g( / _; h- e点击产品下面的更改按钮进行产品类型的修改，如下图所示。在wsus服务器未和microsoft update进行同步前，只包含windows产品；当和microsoft update进行同步后，wsus服务器还可以支持sql server、exchange 2000/2003、office xp/2003等系统更新的同步，并且将来会支持微软全系列产品的同步。由于选择太多的产品类别会导致下载的更新占用大量的wsus数据库容量和服务器磁盘空间，所以请根据你企业网络中的实际需要，在弹出的添加/删除产品对话框中进行选择。微软的产品按照层次结构显示在其所属的产品系列下，你可以选择需要服务器自动同步更新的产品或产品系列，可以一次指定同一产品系列中的多个产品；在选中父复选框的同时也就选中了其下面的所有项目。对于每种选择，你也会自动选择其未来版本。在此由于我的网络中客户端计算机均为windows server 2003，因此我只保留windows server 2003家族的选择，然后点击确定； f: c _0 x. k: y- e3 d* y/ x9 x2 ! y& a- k q6 x. e, ?; 点击更新分类下面的更改按钮进行更新分类的修改。更新分类代表更新的类型，对于任何给定的产品或产品系列，都可能有多种分类的更新（例如，windows xp系列的关键更新和安全更新）。在wsus服务器中，支持你选择以下类别的更新： b$ a) n# i; a3 n; t1 f0 l1 r0 u1 3 dservice pack：自产品发行以来创建的所有修补程序、安全更新、关键更新和更新的总集合，也可能包括有限多个客户请求的设计更改或功能； ! ( h* e4 n$ 4 f3 u8 |# / j; a: l5 ( + f# u3 j |! 安全更新程序：针对特定产品广泛发行的修补程序，旨在解决安全问题； # x9 ) l6 w q0 y5 t0 ( y3 j) 7 l$ j更新程序：针对特定问题广泛发行的修补程序，旨在解决非关键的非安全错误； 1 h# a |$ _4 f; c. . ?% j) w0 z; u* e* p更新汇总：为简化部署而封装在一起的修补程序、安全更新、关键更新和更新的总集合；通常针对特定的范畴（例如，安全性）或特定的组件（例如，internet信息服务）； ; j) k$ . a0 w# 2 e7 n6 m: b, w6 5 v r7 b! 8 e工具：协助完成一项或一组任务的工具或功能； + u. f# d) 6 w0 rb% ( u5 k j功能包：通常在下一次发行时纳入产品的新功能版本； * a, y$ & 5 e4 a: f: y/ m; w7 o7 $ x3 ?9 - q关键更新：针对特定问题广泛发行的修补程序，旨在解决关键的非安全错误； 6 n; ?4 : f7 j0 m) x/ h. * z1 s/ m s, 4 n* z3 w s6 v驱动程序：旨在支持新硬件的软件组件。 hv5 m, |# f% e0 v由于选择太多的更新分类会导致下载的更新占用大量的wsus数据库容量和服务器磁盘空间，所以请根据你企业网络中的实际需要，在弹出的添加/删除分类对话框上进行选择。在此我只保留安全更新程序，取消勾选关键更新程序，然后点击确定。 3 k6 s* m5 2 f3 b 5 v8 b; l2 l8 7 _- - u2 u2 f yq9 vu2 x在下面的代理服务器框架，你可以配置同步时使用代理服务器连接到microsoft update或上游服务器。如果要使用代理服务器，则勾选同步时使用代理服务器，输入代理服务器名称及代理服务端口；如果代理服务器要求进行身份验证，则勾选使用用户凭据连接到代理服务器，然后在相应的文本框中输入用户名、域和用户密码；如果代理服务器要求用户使用基本身份验证，则选中允许基本身份验证(密码以明文文本发送)。 / f6 v i e# u9 # s+ _ f: b: t/ p# n8 c?% d . l# y( w: ( q- u% k9 ?; k在下面的更新源框架指定wsus服务器获取更新程序的位置。你可以选择microsoft update或另一台wsus服务器，这取决于你的wsus服务器部署方式，默认情况下wsus服务器配置为从microsoft update获取更新。 : m+ o4 - q$ y 5 u2 y( n7 o% q9 h6 v# , o7 z0 c# w如果希望wsus服务器直接从microsoft update进行同步，请选择从 microsoft update 进行同步。如果此wsus服务器在复制模式下运行，则此选项不可见； / ! k1 & x* r, w* l ?; d2 f# i2 b b7 p8 i, _5 t r如果要从其他wsus服务器进行同步，请选择从上游 windows server update services 服务器进行同步，然后在服务器名文本框中输入上游服务器的服务器名称，在端口号文本框中输入上游服务器所使用的http协议端口号；如果要在同步更新信息（仅针对同步更新程序的元数据）时使用ssl，请在端口号中输入上游服务器用于ssl连接的端口号，然后勾选同步更新信息时使用 ssl。当wsus服务器配置为此模式时，不能配置下面的更新文件和语言框架中的高级选项，只能继承上游wsus服务器的配置。 5 c1 9 j9 * 3 k4 k) v% kf3 |: i- f- j% ?) k8 t如果wsus服务器在复制模式下运行，则只需在服务器名文本框中输入服务器名；上游服务器不用必须设置为此wsus服务器的管理服务器，也可以是另一台复制模式服务器。 7 0 i6 s7 d4 l- a, b& h9 q: 9 b* t5 ; ? q0 p5 m在底部的更新文件和语言框架，点击高级按钮设置更新文件下载的方式及此wsus服务器进行同步时所下载的更新程序的语言类别。由于修改高级选项将重置该wsus服务器上的更新文件下载状态，在配置完成之前，客户端计算机不能从此wsus服务器获得更新程序，因此，单击高级按钮时wsus服务器会提醒你这一点，在警告对话框上点击确定，就出现了高级同步选项对话框，如下图所示： , w6 s; t4 l/ 1 n& k- f9 m $ ?5 x0 k6 v: p; y+ d在更新文件框架中，你可以配置如下选项（关于这些选项的详细说明，请参见部署与规划一文）： 0 g& f/ d* p7 p/ r3 x4 i0 : fb) 在此服务器上本地存储更新文件；将更新文件存储在wsus服务器上，这节省了企业外部网络连接的带宽，因为客户端计算机直接从wsus服务器获取更新。默认勾选只有在更新得到批准后，才会将更新文件下载到服务器，这将启用wsus服务器的延迟更新下载特性：wsus服务器进行同步时只同步更新文件的元数据，当批准更新安装时才下载更新文件，这将大大的节省了wsus服务器所使用的企业外部网络的带宽，建议你总是使用这一配置。如果你想使用快速安装文件特性，则勾选下载快速安装文件，这以多消耗wsus服务器所使用的企业外部网络带宽为代价来节省企业内部网络中的客户端计算机从wsus服务器下载更新所使用的网络带宽，请根据你的网络情况仔细考虑是否使用这一特性。 ! 8 w) p7 p3 c) l# u: w5 k3 nd0 l& p+ o* g* r) _% x0 x+ m本地不存储更新；客户端从microsoft update 安装；当选择此配置时，更新文件远程存储在microsoft update上。当wsus服务器和microsoft update进行同步时，将只下载元数据；你可以通过wsus控制台批准更新，安装时客户端计算机直接从microsoft update获取更新文件。 + f! p: w9 e: _: a9 x6 a在下部的语言框架中，你可以选择以下三个选项之一： * v j8 k _* h: k( p7 5 e- u2 / x3 t( # j0 m仅下载与该服务器的区域设置匹配的那些更新；wsus服务器只下载和自己的区域设置语言相同的更新程序，在此我的wsus服务器为中文简体版本，所以只会下载中文简体的更新程序； 5 u: m$ g1 w- d, m3 j0 p& h+ n4 me; ?# # 7 _d下载所有语言的更新，包括新语言；此选项将下载所有语言的更新程序，包括未来的新语言。虽然这是默认选项，但是你应当尽量不使用此选项。 * h# k8 h+ s p* e7 s8 ; l0 n0 o) s仅下载所选语言的更新；下载你所选择的语言的更新程序，选择此项后，在下面的语言列表中勾选你想下载更新程序的语言。 8 h% s b5 a9 k当修改语言选项后，wsus服务器同步时不会下载基于已取消的语言的更新程序版本，但是已下载的基于已取消的语言的更新程序会仍然保留；对于客户端计算机的区域语言设置不符合wsus服务器上下载的更新程序语言时，wsus服务器将不会为该客户端计算机提供服务。当你修改同步选项中的语言选项时，微软建议你立即手动同步主服务器和复制服务器。这避免了当在主服务器上修改了语言选项时，主服务器上批准的更新程序数和复制服务器上批准的更新程序数不匹配。 , |0 / t7 z, q* 6 x# w1 l7 |- n. p在此我选择仅下载与该服务器的区域设置匹配的那些更新，然后点击确定；修改配置后记得点击页面左上角的任务列表中的保存设置连接保存修改后的配置。如果要立即开始同步，则点击立即同步链接，同步时不能修改任何同步选项。 i c- l, p7 a9 i1 b o s# f+ c) d5 $ o9 f你可以在下面的同步状态框架中或者主页的同步状态中看到同步的当前状态，如下图所示： - l( 0 z; r& h7 0 w, q9 t; p8 d: # e* l1 r# b2 v# h r在同步更新的过程中，你不能修改同步选项，但是可以修改其他两个选项。 # a ; k$ i0 u0 b4 h9 t8 , h, v% 9 h: v1 n$ c d) s5 v% k, i; y# ?自动批准选项 + h0 & s$ n# 在选项页点击自动批准选项链接进入自动批准选项设置，自动批准用于当更新程序或者更新元数据下载到wsus服务器后自动进行批准操作，如下图所示： ; o g& e! l3 x4 _+ p7 y3 a# a1 _2 f* pj$ uw9 c# o% n7 : z批准进行检测的含义是当更新程序或更新元数据下载到wsus服务器后，按照定义的配置（是否进行操作、对哪些分类的更新程序进行、对哪些计算机组进行）进行更新程序的自动检测操作，默认情况下自动对所有计算机组进行安全更新程序、关键更新程序的检测操作，在此我接受默认配置，你可以根据你的需求进行配置。 % k u. s z! 2 k, f4 7 u/ q8 b批准进行安装的含义当更新程序或更新元数据下载到wsus服务器后，按照定义的配置（是否进行自动操作、对哪些分类的更新程序进行、对哪些计算机组进行）进行更新程序的自动安装操作，默认不会启用，你可以根据你的需求进行配置。 p7 h0 rk7 i|在下部的更新的修订框架，默认会选择自动批准更新的最新修订。修订是在原有更新基础上的修改，例如，原有更新可能已经过期或者eula已经不适用。如果你取消此选项，你必须手动对新的更新程序进行批准。 ) % 4 ee5 s& e6 ; u最下部还有一个默认启用的选项自动批准wsus更新，它是自动批准wsus服务所使用的更新程序，你应该总是启用此选项。 1 w8 z u( s9 ( s7 l# e2 v$ j. n$ f _/ m) a# p0 z! c x( n修改配置后，记得点击左上角任务列表中的保存设置链接。 8 m0 4 r8 w( u/ r: q$ s+ p: j- |5 u. : v5 u0 w+ b- _计算机选项 ) z/ hn# v8 h9 ox* ! q5 c o计算机选项中配置非常简单，默认选择为使用 windows server update services 中的“移动计算机”任务，这代表采用服务器端定位的计算机分组选项，你必须在wsus管理控制台中手动将客户端计算机对象移动到不同的计算机组中。 ; c& * o; p, d, u如果选择使用计算机上的“组策略”或注册表设置，则代表采用客户端定位的计算机分组选项，你必须通过组策略来告知客户端计算机所加入的计算机组。 4 af- p6 7 d5 p但是无论你选择哪一种定位方式，你都必须先在wsus服务器中创建相应的计算机组。修改配置后记得点击保存设置链接。 s9 h1 a+ q5 ?l/ 2 a+ c x w# k8 y6 g; a) $ e; e8 a 8 : t* a! n! u( m2 e8 b1 8 . d& ?w1 r& j $ l) h, w7 _7 a: p, y2 r& o你可以在主页上观察同步状态，等待同步完成。同步完成后的情况如下图所示： 5 r( g! b9 l7 g3 k) t0 根据我的配置，总共下载了86个更新程序（元数据），由于我已经配置了客户端计算机使用此wsus服务器，所以已经有两台客户端计算机连接到此wsus服务器。由于默认情况下会自动对所有计算机组进行安全更新程序、关键更新程序的检测操作，所以wsus服务器对这两台客户端计算机进行了检测操作，发现有19个更新程序是客户端计算机所需要的。你可以点击对应的链接进行详细的了解。 pd4 | e# g+ y ! _6 + d& h5 l( w6 s* h; u 9 nk& * z& p/ / t: z1 i. e: j& r3 f6 x( & _) 7 q* b y9 y3 $ & |管理计算机及计算机组 0 r; c) i* y6 n现在，我们先针对客户端计算机创建计算机组，然后再对不同的计算机组进行更新的批准，这便于不同更新程序的分发以及测试更新程序。在wsus中内建有两个计算机组：所有计算机和未指定的计算机。默认情况下，任何一个客户端计算机访问wsus服务器时，都将被加入到这两个组中。你可以创建计算机组，并将客户端计算机对象从未指定的计算机组中移动到你所创建的计算机组中，但是你不能将客户端计算机对象从所有计算机组中移动到其他组。这是因为所有计算机组是便于你指定将更新程序应用到所有的客户端计算机，而不同的计算机组则便于你针对不同的客户端计算机应用不同的更新程序。 / o5 m; n5 i9 o% m点击wsus管理工具栏上的计算机链接进入计算机管理控制台，如下图所示。在此你可以在右上部看到连接到本wsus服务器的客户端计算机及各自上一次进行状态报告的时间，当选择某台客户端计算机时，在右下部可以看到它的详细信息，点击状态则可以看到更新程序的安装情况，例如安装了哪些更新程序，需要哪些更新程序，不需要哪些更新程序。 * + w# g$ k! z8 z& o2 o$ ?点击左上方任务列表中的创建计算机组链接创建计算机组，在此我将针对域控制器和域成员服务器来创建两个不同的计算机组。 ( y& . z k p+ 3 o . i* f2 u5 i6 g在弹出的创建计算机组对话框中，输入新计算机组的名称，在此我命名为domain controllers，点击确定； & ?/ k* q0 r4 i# g; m$ p5 s6 t ( s4 w h# ?; j此时，新创建的计算机组domain controllers出现在了左下方的计算机组列表中，在计算机列表中选择域控制器，然后点击任务列表中的移动选定计算机链接。如果要选择多个连续的客户端计算机，请在选择时按住 shift 键；要选择多个不连续的客户端计算机，请在选择时按住 ctrl 键；如果要选择列表中的全部客户端计算机，则可以使用ctrl a 快捷键。注意，如果你在计算机选项中采用客户端定位的方式，则不会出现移动选定计算机链接。 4 o0 t1 z1 , w8 o2 s# / f$ a. d/ u6 s# r, a0 _, ! v1 _3 q; 1 a在弹出的移动计算机对话框中，选择你要将客户端计算机移动到的计算机组，在此我选择domain controllers，点击确定。注意，你不能选择移动到所有计算机或者此客户端计算机属于的原计算机组。 8 x* n: z: 6 u7 v; s6 z; t |! l k2 e g2 n# z% r; |按照同样的方法我创建另外一个名为domain members的计算机组，并将另外一个客户端计算机移动到此计算机组中，完成后的计算机管理页面如下图所示： ! t$ z7 c5 v y( _2 s- - v. d# 2 y; n如果需要删除某个计算机组，则先点击左下方计算机组列表中的对应计算机组，然后在左上方的任务列表中点击删除选定组链接， : ! - w: s+ r. t9 k9 k& ?+ c, v9 u. w3 k在弹出的删除计算机组对话框中，选择一个处理该计算机组所包含的客户端计算机的选项，然后点击确定即可。 8 3 c6 z% r+ l; x9 b1 k ) z5 r6 w p4 n% u# t5 c1 d1 q7 其中从 windows server update services 删除则将该计算机组中所包含的客户端计算机全部从wsus服务器列表中删除，而移动到“未指定的计算机”组则将该计算机组中所包含的客户端计算机全部移动到未指定的计算机组中。 , 7 m8 w$ w4 c 3 p* b你同样可以删除某个客户端计算机，在右上方的计算机列表中选择某台客户端计算机，然后点击左上方任务列表中的删除选定计算机链接，如果此客户端计算机不属于未指定的计算机计算机组，则提示你选择删除此客户端计算机对象或者将此客户端计算机对象移动到未指定的计算机组中。如果将某个客户端计算机从wsus服务器的计算机列表中删除，则wsus服务器不再保存此客户端计算机的相关信息，此客户端计算机也不能连接到wsus服务器获取相关更新。不过等待客户端计算机再次和wsus服务器进行通讯后，它将再次出现在wsus服务器的计算机列表中，只是属于未指定计算机组。 8 o% p. o& j3 m6 b6 f2 v5 k( x7 b& f& d3 0 o7 r) t6 _3 z2 t8 k9 y& h! 管理更新 5 u, m& h7 m+ a8 g* u4 你可以在wsus管理工具栏上点击更新链接进入更新管理页面。默认情况下将对更新列表进行筛选，从而只显示那些批准在客户端计算机上进行检测的关键更新和安全更新，如下图所示： + k5 r2 s. f) q$ 1 d/ t8 l/ v( s9 y. w* 你可以在左下方的查看框架中修改筛选更新程序的方式，你可以根据更新程序的产品和分类、批准状态、同步时间或者包含文本进行筛选。其中包含文本是从更新程序的标题、描述和知识库文章号中进行检索。 4 r! u# b/ j( b( r5 r f在右上方选择某个更新程序后，你可以在右下方详细信息中了解此更新程序的完全属性，例如更新针对的程序、适用的操作系统等等，你也可以在状态中查看不同计算机组对此更新程序的部署情况，例如是否已安装、是否需要等等。 8 d% e1 z m 3 z* i ?( e. 6 b3 z + z b# _% v5 i2 h 2 g: |- c当wsus服务器同步后，将根据配置情况获得相应的更新列表。你需要对更新进行批准，以便进行安装或检测；你可以选择一个或多个更新进行批准，如果选择多个更新，那么客户端计算机会一次性进行安装。批准更新的方式有以下五种： 7 s+ 7 c y2 h+ b# f1、仅检测 4 h6 k2 x* t& y当你批准更新只是进行检测时，更新并不会在客户端计算机上进行安装。但是，wsus会在批准更新对话框上所应用到的计算机组上进行检测，以确定此更新是否适合客户端计算机或者客户端计算机是否需要。此检测动作计划在当客户端计算机下次和wsus服务器进行通讯时发生，你可以通过更新报告状态或者在更新页面点击更新程序的状态标签来查看结果。如果显示为需要，则表明客户端计算机需要此更新。默认情况下，关键更新和安全更新将自动批准进行检测。 , f8 t: l1 ) j2、安装 5 8 a! v3 v; c批准更新在批准更新对话框所指定的计算机组中进行安装。在批准更新时，你可以选择客户端计算机安装更新的不同方式： - z; t1 0 d, y# q4 m1 b/ v: g) z; t$ q使用客户端计算机的设置来决定如何安装更新。当你使用此方式时，批准更新所应用到的计算机组中的客户端计算机将根据自己的设置来决定如何安装更新程序，可能会提示当前的用户进行安装，也可以根据组策略的设置自动进行安装。 8 b2 i0 n, m3 d. v9 m& m! v, o$ |9 6 f% t- aw# p定义自动安装的最后期限。当你使用此方式，你可以指定更新程序在客户端计算机上安装的日期和时间，此设置会覆盖客户端计算机上的任何设置。你可以指定一个过去的时间，这样会导致客户端计算机在下次访问wsus服务器时立刻进行安装操作。注意，你不能为需要用户输入的更新程序进行最后期限定义的自动安装，否则安装会失败。你可以在更新程序的详细信息中查看可能要求用户输入字段来确定更新程序是否需要用户输入，并且在批准更新时在批准更新对话框上也会有相应的提示。 ( r sc6 l6 n# u) q3、拒绝更新7 6 v& m# n! s! e/ a8 g此选项只是存在于更新页面的更新任务列表中。如果你选择此选项，此更新将从可用更新列表中删除，而不再进行任何其他操作。只有在查看视图中选择查看已拒绝或者所有更新类别的更新程序时才可见。8 h0 w# a- s, / g+ ?1 n4、删除) b5 ?( co! _3 l你可以批准某个更新进行删除，即从相应的客户端计算机上进行卸载。此选项只有更新程序支持删除时才会出现。针对删除更新操作，你也同样可以定义最后期限，当你想让客户端计算机立即执行时，你可以指定一个过去时间为最后期限。 / l7 y: gt$ p0 f5、未许可& a+ w: y5 e! z! m这是默认的批准选项。wsus服务器同步更新程序后，更新程序的默认状态即为未许可。在此状态下，wsus服务器不会对更新程序进行任何操作，客户端计算机也不能对此更新进行检测或安装，你必须手动批准更新进行安装或检测。 4 r( qe, r a- x 6 w5 m5 & r以上五个批准操作方式中，除了拒绝更新是通过点击更新页面的更新任务列表中的拒绝更新链接来实现外，其他均通过点击更改批准链接实现。 + e3 u8 a* ii& g+ zl l7 i) t4 p0 g 1 ; c: xi7 ?6 j首先在更新列表上，选择要批准安装的更新。如果要选择多个连续的更新，请在选择时按住 shift 键；要选择多个不连续的更新，请在选择时按住 ctrl 键；如果要选择列表中的全部更新，则可以使用ctrl a 快捷键。 : a z; a# y+ s# y. , s) h然后在更新任务下，根据不同的批准操作方式，点击不同的链接，如果是拒绝更新，则点击单击拒绝更新（选定单个更新）或者拒绝选定的更新（选定多个更新）链接；如果是其他操作方式，点击更改批准链接。 6 k. n: s. w, t在此我决定向domain members计算机组部署部分更新，并且想让客户端尽快安装更新。则首先选中我想要部署的更新，然后点击更改批准链接，弹出的批准更新对话框如下图所示， ( u0 3 y1 a: g( u+ v0 d- o2 o9 g1 b由于我只是想为domain members计算机组部署这些更新，所以我将默认对所有计算机的选定采取仅检测的批准方式，然后点击domain members的批准方式，将其从默认的与“所有计算机”组相同修改为安装，如下图所示， 5 f3 y1 p4 t% + i. g/ q, % j2 f# e - t* j% d g4 y6 p+ a因为我想让它们尽快在客户端计算机上进行安装，所以我将最后期限设置为一个过去的时间，点击最后期限列的无，在弹出的编辑最后期限对话框中，选择按选定的日期和时间安装更新，然后输入一个过去的日期，这样会导致客户端计算机在下次访问wsus服务器时立刻进行安装操作，最后点击确定按钮。 ) m& e1 f3 _8 x3 m- _) r8 k$ h; c9 a6 w然后在批准更新对话框上点击确定， , s; _1 v) c4 l5 c/ - h1 * t x2 j! p点击确定按钮，由于这些更新都已经被自动批准为检测，所以wsus服务器提示你替换现有的批准还是仅添加新批准项，在此我选择替换现有的批准，然后点击确定。 l& a; v9 f( c+ 9 s - # 1 l8 % 9 u此时，wsus服务器就将进行批准操作。由于wsus服务器所采用延迟更新下载特性，只有当某个更新被批准安装时，wsus服务器才会从windows update进行更新文件的下载，所以wsus现在开始进行更新程序的下载，你可以在首页上看到更新下载的状态。当某个被更新批准应用到的客户端计算机下次和wsus服务器进行同步时，将按照更新批准中的设置进行更新的安装。 1 f% x% b- e9 k# rg+ m2 t如下图所示，蓝色的图标表示更新文件已经下载到本地wsus服务器，而灰色的图标表示更新文件并未下载到本地。批准列的值指明了批准的方式，由于我不是对所有计算机进行相同的操作，所以显示为混合式，你可以点击下半部的状态来查看此更新程序的具体批准情况。 5 i, c8 k, & m$ u 4 w8 u, r. _+ j- q5 p# k1 q! b, j2 a当客户端计算机连接到wsus服务器获取更新后，由于此更新批准的最后期限是过去的时间，所以客户端计算机会自动安装更新程序，如果更新程序需要重启计算机，则会强制重启计算机，如下图所示： / e& y1 m, j/ h$ z4 ! |! q5 : x. z5 c6 a4 ? , c- b! q: v# h. f3 v6 s: d9 u j而批准更新时没有设置最后期限或者在客户端计算机连接到wsus服务器获取更新时没有超出最后期限，