Implantando atualizações de software de terceiros com o WSUS

O servidor WSUS (Windows Server Update Services) local pode ser usado não apenas para implantar atualizações para produtos Microsoft (Windows, Office), mas também para instalar e atualizar centralmente qualquer software de terceiros.

As opções a seguir são normalmente usadas para instalar software de terceiros em redes Windows: Os aplicativos empacotados com MSI podem ser instalados usando o GPO, scripts de logon ou produtos separados, como ConfigMgr (SCCM). No entanto, você pode instalar, atualizar ou desinstalar atualizações de qualquer software de terceiros nos computadores dos usuários usando seu servidor de atualização WSUS (por exemplo, 7-Zip, Adobe Reader, Java, navegadores, atualização de driver ou firmware BIOS/UEFI, etc.).

O WSUS não oferece suporte a software de terceiros por padrão, mas qualquer pacote/script de atualização pode ser publicado e distribuído por meio do WSUS usando a API aberta do WSUS. Neste artigo, veremos como usar o código abertoEditor de pacotes WSUSpara criar um pacote de instalação (atualização) para qualquer aplicativo, publicá-lo no WSUS, aprová-lo para instalação em computadores de domínio e rastrear seu status de implantação.

Conteúdo:

Como instalar e configurar o editor de pacotes WSUS
Crie um pacote de atualização personalizado de terceiros para implantar via WSUS

Como instalar e configurar o editor de pacotes WSUS

Vantagens do editor de pacotes WSUS:

Integração WSUS: permite usar a infraestrutura WSUS e grupos de distribuição de atualizações existentes;
Você pode criar pacotes de atualização do WSUS a partir de arquivos MSI/MSP, arquivos EXE ou scripts personalizados;
Permite acompanhar os resultados da instalação da atualização de software nos computadores.

Presumimos que você já instalou e configurou a função WSUS Update Server no Windows Server, instalou o .NET Framework 3.5 (ou mais recente) e criou o GPO para apontar clientes Windows para o servidor WSUS.

Baixe oEditor de pacotes WSUSarquivo binário do GitHub (https://github.com/DCourtel/Wsus_Package_Publisher/releases) e extraia-o para um diretório local no servidor WSUS;
CorrerWsus Package Publisher.exe;
Conecte-se ao servidor WSUS local;
Na primeira vez que você executar a ferramenta, será solicitado que você crie um certificado que será usado para assinar atualizações. SelecioneFerramentas->Certificados;
Se você não tiver sua própria infraestrutura PKI, o utilitário gerará um certificado de assinatura de código autoassinado (o PowerShell pode ser usado para criar um certificado autoassinado);
Exporte o certificado para um.CERarquivo e instale-o em computadores que receberão atualizações de software do WSUS;
A maneira mais fácil é implantar um certificado em computadores clientes usando GPO. Abra o console de gerenciamento de Política de Grupo de Domínio (gpmc.msc), selecione seu GPO que contém as configurações do cliente WSUS. Navegue até Configuração do Computador –> Políticas –> Configurações do Windows –> Configurações de Segurança –> Políticas de Chave Pública –> Autoridades de Certificação Raiz Confiáveis e importe o certificado para oAutoridades de certificação raiz confiáveiseEditores confiáveislojas;
Em seguida, vá para Configuração do Computador -> Políticas -> Modelos Administrativos -> Componentes do Windows -> Windows Update — > Gerenciar atualizações oferecidas pelo Serviço de Atualizações do Windows Server e habilite a opçãoPermitir conteúdo assinado do local do serviço de atualização da intranet da Microsoft. Se desejar instalar atualizações e programas em computadores que não sejam de domínio (em um grupo de trabalho), habilite a seguinte opção de registro nos clientes:
reg add HKLMSOFTWAREPoliciesMicrosoftWindowsWindowsUpdate /f /v AcceptTrustedPublisherCerts /t REG_DWORD /d 1

Crie um pacote de atualização personalizado de terceiros para implantar via WSUS

Agora você pode criar um pacote de atualização (instalação) do programa que o WSUS distribuirá. Neste exemplo, atualizaremos versões antigas do arquivador 7-Zip em computadores associados ao domínio.

SelecioneAtualizações->Criar nova atualização;
Baixe a versão mais recente do instalador 7 Zip MSI do site oficial e especifique o caminho para ele;O WSUS Package Publisher também pode ser usado para implantar arquivos EXE. MSI Wrapper pode ser usado para converter alguns instaladores EXE em pacotes MSI.
Especifique o nome e a descrição do pacote que será exibido na caixa de diálogo do Windows Update nos computadores clientes;
A próxima etapa é especificar os critérios pelos quais o WSUS determinará que esta atualização (programa)já está instaladono computador. No exemplo 7 Zip, verificaremos se oHKLMSOFTWAREMicrosoftWindowsCurrentVersionUninstall7-Zipchave de registro tem umDisplayVersionparâmetro com valor de23.01(esta é a versão mais recente do 7Zip).Esta regra de pacote WSUS será semelhante a esta (Adicionar regra -> Versão do registro em SZ):
<bar:RegSz Key="HKEY_LOCAL_MACHINE" Subkey="SOFTWAREMicrosoftWindowsCurrentVersionUninstall7-Zip" Value="DisplayVersion" Comparison="EqualTo" Data="23.01"/>
Em seguida, crie uma regra para garantir que você tenha a versão x64 do Windows instalada:
<bar:Processor Architecture="9"/>
CliquePróximoe crie outra regra para decidirse deseja instalar a atualizaçãoneste computador. Neste exemplo, será a regra oposta (quando não há valor de registro com o valor especificado). Você pode simplesmente ativar oRegra reversaopção nas configurações;Neste post, tornamos a regra do WSUS um pouco mais simples do que na vida real. Nossa regra instalará o 7ZIP em qualquer computador, mesmo que ainda não esteja. Em um ambiente do mundo real, a primeira coisa que você deve fazer é verificar se possui outra versão do 7-ZIP instalada em seu computador.
CliquePróximo. O WSUS Package Publisher criará e publicará o pacote no servidor WSUS.

Agora você pode implantar o pacote de atualização de software em clientes WSUS. Observe que você deve usar o console do WSUS Package Publisher para gerenciar atualizações de terceiros, pois esses pacotes não aparecem no console de administração padrão do WSUS.

Selecione seu pacote de atualização emAtualizaçõese cliqueAprovar;
Selecione o grupo de clientes WSUS que você deseja aprovar a instalação do programa (Aprovar para instalação); Saiba mais sobre como aprovar atualizações no WSUS.
Depois de algum tempo, procure atualizações nos computadores clientes. Os computadores clientes baixam e instalam a atualização de acordo com as configurações de política do WSUS;
No cliente, verifique se o pacote de atualização 7-ZIP foi baixado e instalado com sucesso. Execute oGet-WindowsUpdatecomando do módulo PSWindowsUpdate PowerShell.

No console, você pode monitorar o processo de implantação de atualização em computadores clientes. Selecione seu pacote e acesseRelatórioguia. Aqui você pode ver o número de computadores nos quais o programa foi instalado ou atualizado.