Nasazení aktualizací softwaru třetích stran pomocí služby WSUS

Místní server WSUS (Windows Server Update Services) lze použít nejen k nasazení aktualizací pro produkty společnosti Microsoft (Windows, Office), ale také k centrální instalaci a aktualizaci jakéhokoli softwaru třetích stran.

Následující možnosti se obvykle používají k instalaci softwaru třetích stran v sítích Windows: Aplikace zabalené MSI lze nainstalovat pomocí GPO, přihlašovacích skriptů nebo samostatných produktů, jako je ConfigMgr (SCCM). Můžete však instalovat, aktualizovat nebo odinstalovat aktualizace jakéhokoli softwaru třetích stran na počítačích uživatelů pomocí aktualizačního serveru WSUS (například 7-Zip, Adobe Reader, Java, prohlížeče, aktualizace ovladače nebo firmwaru BIOS/UEFI atd.).

Služba WSUS ve výchozím nastavení nepodporuje software třetích stran, ale jakýkoli aktualizační balíček nebo skript lze publikovat a distribuovat prostřednictvím služby WSUS pomocí otevřeného rozhraní WSUS API. V tomto článku se podíváme na to, jak používat open-sourceVydavatel balíčků WSUSvytvořit instalační (aktualizační) balíček pro libovolnou aplikaci, publikovat jej na WSUS, schválit jeho instalaci na počítačích v doméně a sledovat stav jeho nasazení.

Obsah:

• Jak nainstalovat a nakonfigurovat WSUS Package Publisher
• Vytvořte vlastní aktualizační balíček třetí strany k nasazení prostřednictvím služby WSUS

Jak nainstalovat a nakonfigurovat WSUS Package Publisher

Výhody WSUS Package Publisher:

Přečtěte si více:3 způsoby, jak zakázat automatické aktualizace map ve Windows 11

• Integrace WSUS: umožňuje používat infrastrukturu WSUS a existující distribuční skupiny aktualizací;
• Balíčky aktualizací WSUS můžete vytvářet ze souborů MSI/MSP, souborů EXE nebo vlastních skriptů;
• Umožňuje sledovat výsledky instalace aktualizace softwaru na počítačích.

Předpokládáme, že jste již nainstalovali a nakonfigurovali roli WSUS Update Server na Windows Server, nainstalovali rozhraní .NET Framework 3.5 (nebo novější) a vytvořili GPO, aby klienti Windows nasměrovali na server WSUS.

1. Stáhněte siVydavatel balíčků WSUSbinární archiv z GitHubu (https://github.com/DCourtel/Wsus_Package_Publisher/releases) a extrahujte jej do místního adresáře na serveru WSUS;
2. BěhWsus Package Publisher.exe;
3. Připojte se k místnímu serveru WSUS;
4. Při prvním spuštění nástroje budete vyzváni k vytvoření certifikátu, který se bude používat k podepisování aktualizací. VybratNástroje->Certifikáty;
5. Pokud nemáte vlastní infrastrukturu PKI, obslužný program vygeneruje certifikát Code Signing s vlastním podpisem (k vytvoření certifikátu s vlastním podpisem lze použít PowerShell);
6. Exportujte certifikát do a.CERsoubor a nainstalujte jej do počítačů, které budou přijímat aktualizace softwaru ze služby WSUS;
7. Nejjednodušší způsob je nasazení certifikátu do klientských počítačů pomocí GPO. Otevřete konzolu pro správu zásad skupiny domény (gpmc.msc), vyberte GPO obsahující nastavení klienta WSUS. Přejděte na Konfigurace počítače –> Zásady –> Nastavení systému Windows –> Nastavení zabezpečení –> Zásady veřejného klíče –> Důvěryhodné kořenové certifikační úřady a importujte certifikát doDůvěryhodné kořenové certifikační autorityaDůvěryhodní vydavateléobchody;
8. Poté přejděte na Konfigurace počítače -> Zásady -> Šablony pro správu -> Součásti systému Windows -> Windows Update -> Spravovat aktualizace nabízené službou Windows Server Updates a povolte možnostPovolit podepsaný obsah z intranetu umístění služby Microsoft Update. Pokud chcete instalovat aktualizace a programy do počítačů mimo doménu (v pracovní skupině), povolte na klientech následující možnost registru:
   reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v AcceptTrustedPublisherCerts /t REG_DWORD /d 1

Vytvořte vlastní aktualizační balíček třetí strany k nasazení prostřednictvím služby WSUS

Nyní můžete vytvořit balíček aktualizace (instalace) programu, který bude distribuovat služba WSUS. V tomto příkladu budeme aktualizovat staré verze archivátoru 7-Zip na počítačích připojených k doméně.

1. VybratAktualizace->Vytvořit novou aktualizaci;
2. Stáhněte si nejnovější verzi instalačního programu 7 Zip MSI z oficiálního webu a zadejte cestu k němu;WSUS Package Publisher lze také použít k nasazení souborů EXE. MSI Wrapper lze použít k převodu některých EXE instalačních programů na balíčky MSI.
3. Zadejte název a popis balíčku, který se zobrazí v dialogovém okně Windows Update na klientských počítačích;
4. Dalším krokem je zadání kritérií, podle kterých služba WSUS určí, že tato aktualizace (program)je již nainstalovánna počítači. V příkladu 7 Zip zkontrolujeme, žeHKLMSOFTWAREMicrosoftWindowsCurrentVersionUninstall7-Zipklíč registru má aDisplayVersionparametr s hodnotou23.01(toto je nejnovější verze 7Zip).Toto pravidlo balíčku WSUS bude vypadat takto (Přidat pravidlo -> Verze registru v SZ):

   <bar:RegSz Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWAREMicrosoftWindowsCurrentVersionUninstall7-Zip" Value="DisplayVersion" Comparison="EqualTo" Data="23.01"/>

   Poté vytvořte pravidlo, které zajistí, že máte nainstalovanou verzi x64 Windows:

   <bar:Processor Architecture="9"/>

   

5. KlikněteDalšía vytvořit další pravidlo pro rozhodovánízda aktualizaci nainstalovatna tomto počítači. V tomto příkladu se bude jednat o opačné pravidlo (pokud neexistuje žádná hodnota registru se zadanou hodnotou). Můžete jednoduše povolitObrácené pravidlomožnost v nastavení;V tomto příspěvku jsme udělali pravidlo WSUS trochu jednodušší než ve skutečném životě. Naše pravidlo nainstaluje 7ZIP na jakýkoli počítač, i když ještě není. První věc, kterou byste měli udělat, je zkontrolovat, zda nemáte na svém počítači nainstalovanou jinou verzi 7-ZIP.
6. KlikněteDalší. Vydavatel balíčků WSUS vytvoří a publikuje balíček na server WSUS.

Nyní můžete nasadit balíček aktualizace softwaru do klientů WSUS. Upozorňujeme, že ke správě aktualizací třetích stran musíte použít konzolu WSUS Package Publisher, protože tyto balíčky se nezobrazují ve standardní konzole pro správu služby WSUS.

1. Vyberte svůj aktualizační balíček podAktualizacea klikněteSchvalovat;
2. Vyberte skupinu klientů WSUS, u kterých chcete schválit instalaci programu (Schválit instalaci); Přečtěte si další informace o tom, jak schvalovat aktualizace na WSUS.
3. Po nějaké době vyhledejte aktualizace na klientských počítačích. Klientské počítače stahují a instalují aktualizaci podle nastavení zásad služby WSUS;
4. Na klientovi zkontrolujte, zda byl aktualizační balíček 7-ZIP úspěšně stažen a nainstalován. SpusťteGet-WindowsUpdatepříkaz z modulu PSWindowsUpdate PowerShell.

V konzole můžete sledovat proces nasazení aktualizace na klientských počítačích. Vyberte svůj balíček a přejděte naZprávatab. Zde vidíte počet počítačů, na kterých byl program nainstalován nebo aktualizován.

Pomocí služby WSUS tedy můžete snadno aktualizovat jakýkoli software třetích stran v počítačích ve vaší síti.