Jak integrovat aktualizace zabezpečení do obrazu Windows (ISO/WIM)

Abyste zajistili, že bitová kopie systému Windows, kterou nasadíte do počítačů ve vaší síti, bude mít vždy nejnovější aktualizace zabezpečení, můžete do bitové kopie offline instalace systému Windows pomocí DISM přidat nové aktualizační balíčky. V této příručce vám ukážu, jak vložit bezpečnostní záplaty do instalačního obrazu ISO/WIM Windows 11/10 a Windows Server 2022/2019/2016.

Obsah:

• Jak přidat aktualizace systému Windows k obrázku offline?
• Připojení souboru obrazu Windows (WIM) pomocí DISM
• DISM: Přidání aktualizací MSU a CAB do obrazu Windows WIM

V tomto příkladu vám ukážeme, jak vložit nejnovější kumulativní aktualizaci zabezpečení (duben 2023) do instalační bitové kopie Windows 11 22H2. Chystáme se přidat kumulativní aktualizaciKB5025239k obrazu. Nativní podpora pro řešení hesla místního správce (Windows LAPS) je přidána do Windows 11 s aktualizací KB5025239.

Jak přidat aktualizace systému Windows k obrázku offline?

Budete potřebovat následující soubory:

• Instalační obraz systému Windows ve formátu ISO nebo jeho soubor install.WIM;
• Aktualizační soubor .MSU, který lze stáhnout z katalogu Microsoft Update (Jak ručně stáhnout soubory Windows Update?). Stačí si stáhnout nejnovější kumulativní aktualizaci pro vaši verzi Windows a aktualizaci Service Stack (SSU).

Zkontrolujte, zda bitová verze a verze vaší distribuce Windows odpovídají aktualizacím, které jste stáhli. V opačném případě se při instalaci aktualizace zobrazí následující zpráva: „Aktualizace se nevztahuje na váš počítač“.

Vytvořte v počítači následující adresářovou strukturu:

• C:updatesmnt– je složka, kam připojíme soubor install.wim obsahující instalační obraz Windows;
• C:updatesmsu– je adresář, do kterého potřebujete zkopírovat aktualizační soubory pro vaši verzi Windows ve formátu MSU;
• C:updatesWinImage– zkopírujte soubor install.wim (nebo install.esd) zZdrojeadresář vašeho instalačního obrazu Windows 11 22H2 do tohoto adresáře. Můžete také zkopírovat bitovou kopii WIM ze serveru WDS, MDT, SCCM nebo jakéhokoli jiného nástroje pro nasazení operačního systému používaného k instalaci systému Windows pomocí spouštění ze sítě PXE.
  

Připojení souboru obrazu Windows (WIM) pomocí DISM

Moderní obrazy ISO instalace systému Windows, které jsou vytvořeny pomocí nástroje Media Creation Tool, používají komprimovaný formát ESD namísto souboru WIM. Obraz Windows ve formátu ESD nelze přímo upravit. Proto musíte nejprve soubor ESD převést do formátu WIM pomocí nástroje DISM.

Připojte obraz ISO na virtuální disk:

Mount-DiskImage –ImagePath "C:DIstrisoWindows1122h2.iso"

Vypište edice systému Windows v souboru obrázku ESD/WIM:

DISM /Get-WimInfo /WimFile:"E:sourcesinstall.esd"

V tomto příkladu exportujeme pouze soubor WIM Windows 11 Pro Edition z obrazu ESD (jeho index je6, tak upřesníme/SourceIndex:6v dalším příkazu):

dism /export-image /SourceImageFile:"E:sourcesinstall.esd" /SourceIndex:6 /DestinationImageFile:C:UpdatesWInImagewin11pro.wim /Compress:max /CheckIntegrity

Připojte soubor install.wim obsahující instalační obraz Windows do adresáře C:updatesmnt pomocí DISM:

dism /mount-wim /wimfile:C:UpdatesWinImagewin11pro.wim /index:1 /mountdir:C:updatesmnt

Tip.V tomto případě upřesňujeme/index:1protože obrázek WIM obsahuje pouze jednu edici Windows 11 Pro. Pokud váš obraz WIM obsahuje více edic systému Windows, musíte zadat index požadované edice nebo musíte provést integraci aktualizací postupně pro každou edici.

DISM: Přidání aktualizací MSU a CAB do obrazu Windows WIM

Nyní můžete zahájit proces integrace vhodných aktualizací MSU ze zadaného zdrojového adresáře do offline obrazu Windows.

dism /image:C:updatesmnt /add-package /packagepath:C:updatesmsu

Další čtení:Plán kontinuity podnikání v oblasti kybernetické bezpečnosti: Jak integrovat BCP a zmírnit rizika

Pokud DISM detekuje chybnou aktualizaci (neodpovídá verzi OS, bitness nebo pokud je aktualizace již nainstalována), přeskočí ji a zapíše informaci doC:WindowsLogsDISMdism.log.

Pokud nechcete ručně stahovat aktualizační soubory MSU z webu Microsoft Update, můžete použít referenční počítač se stejnou verzí systému Windows, který již má jako zdroj nainstalovány nejnovější aktualizace zabezpečení, a získat všechny potřebné aktualizační soubory přímo z něj. Systém Windows uloží všechny opravy (soubory CAB), které obdrží ze serverů Windows Update nebo serveru WSUS, doC:WindowsSoftwareDistributionDownloadadresář.

Následující příkaz spustí integraci aktualizačních souborů, které již byly staženy a nainstalovány na vzdáleném počítači (nazývaném PC1234) do obrazu install.wim:

Start /w for /R \PC1234C$WindowsSoftwareDistributionDownload %f in (*.cab) do dism /image:C:updatesmnt /add-package /packagepath:"%f"

Přečtěte si, jak ručně nainstalovat aktualizace systému Windows ze souborů CAB a MSU.

V tomto příkladu přistoupíme k adresáři aktualizací na vzdáleném počítači přes administrativní sdílenou složku C$. Zobrazí se okno, které vám umožní sledovat proces instalace aktualizace pro offline bitovou kopii Windows. DISM se pokusí přidat každý soubor CAB, který najde ve vzdáleném počítači, do bitové kopie Windows WIM.

Velikost bitové kopie WIM můžete zmenšit odstraněním nepoužívaných aktualizačních souborů (přečtěte si článek Vyčištění složky WinSxS ve Windows). Spusťte příkaz:

dism /image:C:updatesmnt /Cleanup-Image /StartComponentCleanup /ResetBase /ScratchDir:C:Temp

Posledním krokem je uložení změn a odpojení bitové kopie Windows WIM.

dism /unmount-wim /mountdir:C:updatesmnt /commit
dism /Cleanup-Wim

Po instalaci aktualizací můžete ověřit, zda byly aktualizace úspěšně integrovány do bitové kopie systému Windows. Vypište aktualizace, které byly dnes nainstalovány do připojené bitové kopie Windows WIM

DISM /Image:C:updatesmnt /Get-Packages /format:table | select-string "4/20/2023"

Můžete také zobrazit seznam nainstalovaných aktualizací v offline obrazu WIM:

Dism /image:C:UpdatesWinImagewin11pro.wim /Get-Packages

Pokud je výsledný soubor install.wim větší než 4 GB, nebudete jej moci použít k instalaci systému Windows do počítače s UEFI. Chcete-li nainstalovat systém Windows na zařízení UEFI, měli byste instalační médium naformátovat na FAT32. Soubory větší než 4 GB nejsou podporovány systémem souborů FAT32 (Jak vytvořit spouštěcí USB flash disk UEFI pro instalaci Windows?).

V tomto případě musíte rozdělit původní soubor install.wim na menší soubory SWM:

dism /split-Image /imagefile:C:UpdateWinmageinstall.wim /swmfile:C:UpdateWinImageinstall.swm /filesize:4096

Zbývá pouze zkopírovat výsledný obraz install.wim (nebo soubory SWM) do zdrojového adresáře na vašem médiu nebo na virtuální počítač nebo znovu vytvořit instalační ISO obraz pomocí nástrojů jako oscdimg/UltraISO/Dism++.

Ukázkový příkaz pro vytvoření obrazu ISO instalace systému Windows s podporou UEFI a BIOS z místní složky (oscdimg.exe je součástí sady Windows ADK, Assessment and Development Kit):

oscdimg.exe -h -m -o -u2 -udfver102 -bootdata:2#p0,e,bc:win11isobootetfsboot.com#pEF,e,bc:win11isoefimicrosoftbootefisys.bin -lWin10 c:iso c:win11.iso

DISM lze také použít k přidání ovladačů do obrazu instalace systému Windows. Můžete například vložit ovladače řadiče PCI Express (NVMe) nebo USB 3.0 do instalačního média Windows.