WSUS क्लाइंट कॉन्फ़िगरेशन के लिए ग्रुप पॉलिसी
पिछले लेखों में से एक में हमने विंडोज सर्वर 2012 R2 / 2016 पर WSUS सर्वर की इंस्टॉलेशन का विस्तार से वर्णन किया है। अपडेट सर्वर कॉन्फ़िगर करने के बाद, आपको विंडोज क्लाइंट (सर्वर और वर्कस्टेशन) को कॉन्फ़िगर करना होगा ताकि वे अपडेट प्राप्त करने के लिए WSUS सर्वर का उपयोग करें। इस प्रकार, आपके नेटवर्क पर सभी विंडोज क्लाइंट को इंटरनेट पर माइक्रोसॉफ्ट अपडेट सर्वर के बजाय इंटरनल अपडेट सर्वर से अपडेट प्राप्त करना चाहिए। इस लेख में, हम देखेंगे कि एक्टिव डायरेक्टरी डोमेन ग्रुप पॉलिसी (GPO) का उपयोग करके क्लाइंट को WSUS सर्वर का उपयोग करने के लिए कैसे कॉन्फ़िगर किया जाए।
AD ग्रुप पॉलिसी एडमिनिस्ट्रेटर को कंप्यूटर को विभिन्न WSUS ग्रुप में स्वचालित रूप से असाइन करने की अनुमति देती है, इस प्रकार WSUS एडमिनिस्ट्रेटर को WSUS कंसोल में कंप्यूटर को मैन्युअली ग्रुप के बीच ले जाने और इन ग्रुप को अप-टू-डेट रखने की आवश्यकता नहीं होगी। क्लाइंट को विभिन्न टार्गेट WSUS ग्रुप में असाइन करना क्लाइंट पर रजिस्ट्री में एक लेबल पर आधारित है (लेबल GPO या रजिस्ट्री के सीधे संशोधन द्वारा सेट किए जाते हैं)। इस प्रकार के क्लाइंट को WSUS ग्रुप में असाइन करना क्लाइंट-साइड टार्गेटिंग कहलाता है।
उम्मीद है कि हमारे नेटवर्क में अपडेट के लिए दो अलग-अलग पॉलिसी का उपयोग किया जाएगा: सर्वर के लिए अलग अपडेट पॉलिसी और दूसरी वर्कस्टेशन के लिए। इन दो ग्रुप को WSUS कंसोल में ऑल कंप्यूटर्स सेक्शन में बनाया जाना चाहिए।
टिप: क्लाइंट द्वारा WSUS सर्वर के उपयोग की पॉलिसी काफी हद तक एक्टिव डायरेक्टरी ऑर्गेनाइजेशनल यूनिट (OU) की संगठनात्मक संरचना और कंपनी में अपडेट इंस्टॉलेशन नियमों पर निर्भर करती है। इस लेख में हम विंडोज अपडेट इंस्टॉल करने के लिए ग्रुप पॉलिसी का उपयोग करने के बुनियादी सिद्धांतों को समझने की कोशिश करेंगे।
WSUS कंसोल में कंप्यूटर ग्रुपिंग नियम निर्दिष्ट करना
सबसे पहले, आपको WSUS कंसोल में कंप्यूटर ग्रुपिंग नियम (टार्गेटिंग) निर्दिष्ट करना होगा। डिफ़ॉल्ट रूप से, WSUS कंसोल में कंप्यूटर सर्वर एडमिनिस्ट्रेटर द्वारा मैन्युअली ग्रुप में वितरित किए जाते हैं (सर्वर-साइड टार्गेटिंग)। यह हमें सूट नहीं करता, इसलिए हम निर्दिष्ट करेंगे कि कंप्यूटर को क्लाइंट-साइड टार्गेटिंग (ग्रुप पॉलिसी या रजिस्ट्री पैरामीटर का उपयोग करके) का उपयोग करके ग्रुप में वितरित किया जाना है। ऐसा करने के लिए, WSUS कंसोल में ऑप्शन पर क्लिक करें और कंप्यूटर्स खोलें। मान को "कंप्यूटर पर ग्रुप पॉलिसी या रजिस्ट्री सेटिंग्स का उपयोग करें" में बदलें।
WSUS क्लाइंट कॉन्फ़िगर करने के लिए GPO बनाना
अब आप WSUS क्लाइंट कॉन्फ़िगर करने के लिए GPO बना सकते हैं। ग्रुप पॉलिसी मैनेजमेंट (GPMC.msc) खोलें और दो नई ग्रुप पॉलिसी बनाएं: ServerWSUSPolicy और WorkstationWSUSPolicy।
विंडोज सर्वर के लिए WSUS ग्रुप पॉलिसी
आइए सर्वर पॉलिसी - ServerWSUSPolicy के विवरण से शुरू करें।
विंडोज अपडेट सर्विस के संचालन के लिए जिम्मेदार ग्रुप पॉलिसी सेटिंग्स निम्नलिखित GPO सेक्शन में स्थित हैं: कंप्यूटर कॉन्फ़िगरेशन -> पॉलिसीज -> एडमिनिस्ट्रेटिव टेम्पलेट्स -> विंडोज कंपोनेंट्स -> विंडोज अपडेट।
हमारे वातावरण में, हम इस पॉलिसी का उपयोग विंडोज सर्वर पर WSUS से अपडेट इंस्टॉल करने के लिए करने का सुझाव देते हैं। इस पॉलिसी के अंतर्गत आने वाले सभी कंप्यूटर WSUS कंसोल में सर्वर ग्रुप को असाइन किए जाते हैं। इसके अलावा, हम अपडेट प्राप्त होने पर सर्वर पर ऑटोमैटिक अपडेट इंस्टॉलेशन को अक्षम करना चाहते हैं। अपडेट क्लाइंट को बस उपलब्ध अपडेट को लोकल ड्राइव पर डाउनलोड करना चाहिए, सिस्टम ट्रे में संबंधित अधिसूचना प्रदर्शित करनी चाहिए और एडमिनिस्ट्रेटर द्वारा मैन्युअल रूप से इंस्टॉलेशन शुरू करने की प्रतीक्षा करनी चाहिए (स्थानीय रूप से या PSWindowsUpdate मॉड्यूल का उपयोग करके दूरस्थ रूप से)। इसका मतलब है कि उत्पादक सर्वर एडमिनिस्ट्रेटर पुष्टिकरण के बिना स्वचालित रूप से अपडेट इंस्टॉल और रीस्टार्ट नहीं करेंगे (आमतौर पर ये कार्य सिस्टम एडमिनिस्ट्रेटर द्वारा मासिक शेड्यूल्ड रखरखाव के हिस्से के रूप में किए जाते हैं)। ऐसी योजना को लागू करने के लिए, आइए निम्नलिखित पॉलिसी सेट करें:
- ऑटोमैटिक अपडेट कॉन्फ़िगर करें: सक्षम। 3 - ऑटो डाउनलोड और इंस्टॉल के लिए सूचित करें - क्लाइंट स्वचालित रूप से नए अपडेट डाउनलोड करता है और आपको उनके बारे में सूचित करता है;
- इंट्रानेट माइक्रोसॉफ्ट अपडेट सर्विस स्थान निर्दिष्ट करें: सक्षम। अपडेट का पता लगाने के लिए इंट्रानेट अपडेट सर्विस सेट करें: https://hq-wsus.woshub.com:8530, इंट्रानेट स्टेटिस्टिक्स सर्वर सेट करें: https://hq-wsus.woshub.com:8530 - लोकल WSUS सर्वर और स्टेटिस्टिक्स सर्वर का एड्रेस सेट करें (आमतौर पर वे समान होते हैं);
- लॉग ऑन उपयोगकर्ताओं के साथ शेड्यूल्ड ऑटोमैटिक अपडेट इंस्टॉलेशन के लिए नो ऑटो-रीस्टार्ट: सक्षम - यदि उपयोगकर्ता सत्र खुला है तो ऑटोमैटिक रीस्टार्ट अक्षम करें;
- क्लाइंट-साइड टार्गेटिंग सक्षम करें: सक्षम। इस कंप्यूटर के लिए टार्गेट ग्रुप नाम: सर्वर - WSUS कंसोल में, क्लाइंट को सर्वर ग्रुप में असाइन करें।
नोट: जब आप अपडेट पॉलिसी कॉन्फ़िगर करते हैं, तो हम आपको विंडोज अपडेट GPO सेक्शन में प्रत्येक विकल्प में उपलब्ध सभी सेटिंग्स से परिचित होने और अपने इंफ्रास्ट्रक्चर और संगठन के लिए उपयुक्त पैरामीटर सेट करने की सलाह देते हैं।
विंडोज वर्कस्टेशन के लिए WSUS ग्रुप पॉलिसी
हम मानते हैं कि सर्वर पॉलिसी के विपरीत, क्लाइंट वर्कस्टेशन पर अपडेट प्राप्त होने के तुरंत बाद रात में स्वचालित रूप से इंस्टॉल किए जाते हैं। अपडेट इंस्टॉलेशन के बाद कंप्यूटर को स्वचालित रूप से रीस्टार्ट करना चाहिए (उपयोगकर्ता को 5 मिनट में सूचित करना)।
इस GPO (WorkstationWSUSPolicy) में हम निर्दिष्ट करते हैं:
- ऑटोमैटिक अपडेट तत्काल इंस्टॉलेशन की अनुमति दें: अक्षम - प्राप्त होने के बाद अपडेट की तत्काल इंस्टॉलेशन अक्षम है;
- गैर-एडमिनिस्ट्रेटर को अपडेट अधिसूचना प्राप्त करने की अनुमति दें: सक्षम - गैर-एडमिनिस्ट्रेटर को नए अपडेट की अधिसूचना प्रदर्शित करें और उन्हें मैन्युअली इंस्टॉल करने की अनुमति दें;
- ऑटोमैटिक अपडेट कॉन्फ़िगर करें: सक्षम। ऑटोमैटिक अपडेटिंग कॉन्फ़िगर करें: 4 - ऑटो डाउनलोड और इंस्टॉल शेड्यूल करें। शेड्यूल्ड इंस्टॉल डे: 0 - हर दिन। शेड्यूल्ड इंस्टॉल टाइम: 05:00 - क्लाइंट नए अपडेट डाउनलोड करता है और उन्हें सुबह 5:00 बजे स्वचालित रूप से इंस्टॉल करने की योजना बनाता है;
- इस कंप्यूटर के लिए टार्गेट ग्रुप नाम: वर्कस्टेशन - WSUS कंसोल में, क्लाइंट को वर्कस्टेशन ग्रुप में असाइन करें;
- लॉग ऑन उपयोगकर्ताओं के साथ शेड्यूल्ड ऑटोमैटिक अपडेट इंस्टॉलेशन के लिए नो ऑटो-रीस्टार्ट: अक्षम;
- इंट्रानेट माइक्रोसॉफ्ट अपडेट सर्विस स्थान निर्दिष्ट करें: सक्षम। अपडेट का पता लगाने के लिए इंट्रानेट अपडेट सर्विस सेट करें: https://hq-wsus.woshub.com:8530, इंट्रानेट स्टेटिस्टिक्स सर्वर सेट करें: https://hq-wsus.woshub.com:8530 - कॉर्पोरेट WSUS सर्वर का एड्रेस।
विंडोज 10 1607 और उच्चतर में, इस तथ्य के बावजूद कि आपने इंटरनल WSUS से अपडेट प्राप्त करने के लिए निर्दिष्ट किया है, विंडोज 10 अभी भी इंटरनेट पर विंडोज अपडेट सर्वर तक पहुंचने का प्रयास कर सकता है। इस "फीचर" को डुअल स्कैन कहा जाता है। इंटरनेट से अपडेट प्राप्त करने को अक्षम करने के लिए, आपको अतिरिक्त रूप से पॉलिसी विंडोज अपडेट के खिलाफ स्कैन का कारण बनने वाली अपडेट डिफरल पॉलिसी की अनुमति न दें को सक्षम करना होगा।
टिप: कंपनी में कंप्यूटर को सभी उपलब्ध पैच इंस्टॉल करने देने के लिए, दोनों पॉलिसी को इस तरह कॉन्फ़िगर किया जा सकता है कि क्लाइंट पर अपडेट सर्विस (wuauserv) को शुरू करने के लिए बाध्य किया जाए। ऐसा करने के लिए, कंप्यूटर कॉन्फ़िगरेशन -> पॉलिसीज -> विंडोज सेटिंग्स -> सिक्योरिटी सेटिंग्स -> सिस्टम सर्विसेज के तहत विंडोज अपडेट ढूंढें और इसे ऑटोमैटिक रूप से शुरू करने के लिए सेट करें (ऑटोमैटिक)।
WSUS ग्रुप पॉलिसी को AD OUs में असाइन करना
अगला चरण बनाई गई पॉलिसी को संबंधित एक्टिव डायरेक्टरी कंटेनर (OU) में असाइन करना है। हमारे उदाहरण में OU स्ट्रक्चर अत्यंत सरल है: दो कंटेनर हैं - सर्वर (इसमें डोमेन कंट्रोलर के अपवाद के साथ कंपनी के सभी सर्वर हैं) और WKS (वर्कस्टेशन - उपयोगकर्ताओं के कंप्यूटर)।
टिप: हम केवल WSUS पॉलिसी को क्लाइंट से बाइंड करने का एक काफी सरल तरीका मानते हैं। वास्तविक दुनिया में, एक ही WSUS पॉलिसी को सभी डोमेन कंप्यूटर से लिंक करना संभव है (GPO डोमेन रूट को असाइन की गई है), विभिन्न प्रकार के क्लाइंट को अलग-अलग OUs में वितरित करें (जैसा कि हमारे उदाहरण में, हमने सर्वर और वर्कस्टेशन के लिए अलग-अलग WSUS पॉलिसी बनाई)। बड़े वितरित डोमेन में, विभिन्न WSUS सर्वर को AD साइट्स से लिंक करना उचित है, या WMI फिल्टर के आधार पर GPO असाइन करना, या इन विधियों को संयोजित करना भी।
पॉलिसी को OU में असाइन करने के लिए, ग्रुप पॉलिसी मैनेजमेंट कंसोल में सही OU पर क्लिक करें, मौजूदा GPO लिंक करें चुनें, और फिर उपयुक्त पॉलिसी चेक करें।
टिप: अलग OU - डोमेन कंट्रोलर के बारे में न भूलें। ज्यादातर मामलों में WSUS सर्वर पॉलिसी को इस कंटेनर से लिंक किया जाना चाहिए।
इसी तरह WorkstationWSUSPolicy को WKS नाम के AD कंटेनर में असाइन करें (जहां विंडोज वर्कस्टेशन स्थित हैं)।
क्लाइंट पर ग्रुप पॉलिसी अपडेट करना बाकी है ताकि क्लाइंट को WSUS सर्वर से बांधा जा सके:
gpupdate /force
ग्रुप पॉलिसी के माध्यम से हमारे द्वारा सेट की गई सभी विंडोज अपडेट सेटिंग्स क्लाइंट पर रजिस्ट्री कुंजी HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate में दिखाई देनी चाहिए।
निम्न रेग फाइल का उपयोग उन अन्य कंप्यूटरों पर WSUS सेटिंग्स ट्रांसफर करने के लिए किया जा सकता है जिन पर आप अपडेट सेटिंग्स को GPO का उपयोग करके कॉन्फ़िगर नहीं कर सकते (वर्कग्रुप में कंप्यूटर, आइसोलेटेड सेगमेंट, DMZ, आदि)।
Windows Registry Editor Version 5.00
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="https://hq-wsus.woshub.com:8530"
"WUStatusServer"="https://hq-wsus.woshub.com:8530"
"UpdateServiceUrlAlternate"=""
"TargetGroupEnabled"=dword:00000001
"TargetGroup"="Servers"
"ElevateNonAdmins"=dword:00000000
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000 –
"AUOptions"=dword:00000003
"ScheduledInstallDay"=dword:00000000
"ScheduledInstallTime"=dword:00000003
"ScheduledInstallEveryWeek"=dword:00000001
"UseWUServer"=dword:00000001
"NoAutoRebootWithLoggedOnUsers"=dword:00000001
लागू WSUS सेटिंग्स को क्लाइंट पर rsop.msc स्नैप-इन का उपयोग करके नियंत्रित करना भी सुविधाजनक है।
कुछ समय में (यह अपडेट की संख्या और WSUS सर्वर पर बैंडविड्थ पर निर्भर करता है) जांचें कि ट्रे में नए अपडेट की पॉप-अप अधिसूचना है या नहीं। क्लाइंट (क्लाइंट का नाम, एक IP, एक OS, पैच प्रतिशत और अंतिम स्टेटस अपडेट की तारीख) को WSUS कंसोल में संबंधित ग्रुप में दिखाई देना चाहिए। चूंकि हमने GPO का उपयोग करके कंप्यूटर और सर्वर को विभिन्न WSUS ग्रुप में असाइन किया, वे केवल उन अपडेट को प्राप्त करेंगे जो संबंधित WSUS ग्रुप पर इंस्टॉलेशन के लिए अप्रूव्ड हैं।
नोट: यदि अपडेट क्लाइंट पर दिखाई नहीं देते हैं, तो विंडोज अपडेट सर्विस लॉग (C:\Windows\WindowsUpdate.log) की सावधानीपूर्वक जांच करने की सिफारिश की जाती है। कृपया ध्यान दें कि विंडोज 10 (विंडोज सर्वर 2016) WindowsUpdate.log फाइल के एक अलग फॉर्मेट का उपयोग करता है।
क्लाइंट अपडेट को लोकल फोल्डर C:\Windows\SoftwareDistribution\Download में डाउनलोड करता है।
WSUS सर्वर पर तुरंत नए अपडेट की खोज शुरू करने के लिए, आपको कमांड चलाने की आवश्यकता है:
wuauclt /detectnow
इसके अलावा, कभी-कभी आपको क्लाइंट को WSUS सर्वर पर पुनः पंजीकृत करने के लिए बाध्य करना पड़ता है:
wuauclt /detectnow /resetAuthorization
विशेष रूप से कठिन मामलों में, आप wuauserv सर्विस को ठीक करने का प्रयास कर सकते हैं। यदि क्लाइंट पर अपडेट प्राप्त करते समय त्रुटि 0x80244010 होती है, तो ऑटोमैटिक अपडेट डिटेक्शन फ्रीक्वेंसी पॉलिसी का उपयोग करके WSUS सर्वर पर अपडेट की जांच की आवृत्ति को 3-4 घंटे में बदलने का प्रयास करें।
अगले लेखों में हम WSUS सर्वर पर अपडेट अप्रूवल की विशेषताओं का वर्णन करेंगे, और पावरशेल का उपयोग करके WSUS सर्वर पर ग्रुप के बीच अप्रूव्ड अपडेट कैसे ट्रांसफर करें।
