打“补丁”也自动—部署Micrsoft SUS经验谈

Windows操作系统的安全问题越来越受到大家的关注，每隔一段时间，微软就会发布修复系统漏洞的补丁。但是，由于很多用户不能及时使用这些补丁加固系统，因此往往造成重大损失，所以及时打补丁非常重要。然而，现在局域网的规模越来越大，对网络管理员来说，手工为每台客户机安装补丁的工作量实在太大，很难及时完成。

打补丁不用愁

其实，只要在企业的局域网中架设微软提供的软件升级服务器（Software Update Services，SUS），就可以使客户机定期自动执行升级操作了。

SUS由网络管理员在局域网内部独自构建，通过SUS，可将微软的最新补丁发送给用户。它分为服务器端和客户端两部分，可为1.5万个用户提供升级服务。微软在服务器端（SUS Server）只推出了英文版和日文版，而在客户端则有支持24种语言的版本，包括中文版。SUS Server能为 Windows 2000 +SP2及以上版本、Windows XP、Windows 2003系统提供升级服务，但不支持Windows 98和Windows NT系统。

SUS作为一个解决方案，解决了安装补丁的管理和发布问题。鉴于目前微软推出补丁的频率大大加快，使用类似SUS之类的工具就非常必要，可以使网络管理人员轻松面对在每台客户端机器上安装补丁程序工作量过大的困境。

笔者在根据某些资料对单位PC机进行SUS部署时，曾经遇到过一些与预期不太一致的情况，颇觉困惑。经过一段时间的使用及测试，有些问题有了答案。具体的安装步骤可以按手册进行，下面就谈谈自己在安装过程中的一些体会。

强制安装更新

在部署SUS客户端时，经常遇到的一个问题是：首次用组策略定义了“自动下载更新，并按我指定的计划安装”，但并不按照指定的时间更新。在调试中发现这种情况实际上和DetectionStartTime字串值有关。如果原来已经启动了WindowsUpdate服务，即已在控制面板中设置过WindowsUpdate（注册表中已存在相关值），那么，在用组策略定义了更新方式后，HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\

Windows\CurrentVersion\ WindowsUpdate\Auto Update不会出现字符串值DetectionStartTime。而只要DetectionStartTime值一出现，WindowsUpdate服务会立即查看是否有新的更新存在，然后马上下载，并在指定的时间进行安装。因此，现在的问题是，DetectionStartTime字符串值在何时，或者说在什么情况下可以出现。

我们发现，最简单的方法是：如果在客户端安装了Windows 2000，那么在“控制面板”中启动“自动更新”工具。如果客户端基于Windows XP，用右键单击“我的电脑”，单击“属性”*“自动更新”选项卡。如果已经勾取“自动更新”的复选框，那么将其清空，按“确定”，见图1。

此时，注册表中的值AUState =“7”，AUOptions = “1”，为“自动更新”的初始状态，见图2。

再次选取“自动更新”，并按您希望的方式设置选项。按“确定”（如果不在此处设置更新选项，而是在组策略中设置也是一样的），见图3。

此时，注册表中的值AUState =“2”，AUOptions =选定的值。此时，注册表中会出现一个新值：“ DetectionStartTime”，并且该值显示的应是当前时间，见图4。

然后状态栏很快会出现“自动更新”的小图标，提示您安装（如果您定义AUOptions=3或者您定义了AUOptions=4但更新时间还未到）。几分钟后该值会消失并出现新值“LastWaitTimeout”。

安装策略

1．安装参数的设置

如果希望更新方式、时间按照所定义的立即生效，那么在组策略（gpedit.msc）中启用“指定intranet Microsoft更新服务位置”，并配置为SUS服务器所在位置，最好直接输入IP地址。启用“重新计划自动更新计划的安装”设置为1。启用或不启用“不为计划的自动更新安装重新启动”（取决于您的应用和登录权限等）。

注意：如果这些策略设置是在域级别应用的，则“本地组策略”不能覆盖这些设置。

2．控制面板中执行以下操作

（1）按您希望的方式设置选项。单击以清除“启用自动更新”复选框，然后单击“应用”。

（2）等待几秒钟，单击以选中“启用自动更新”复选框，然后单击“确定”。这将强制执行一个检测周期。

除了首次使用“自动更新”，以后下载、安装更新都会按照您所设置的方法正常运作。注：文章中提到的部署针对的网络环境是：未使用域控制器和目录管理。

相关键值

在部署SUS的过程中，用到以下相关键值，作以下说明。

1．AUState

   AUState = 2 “自动更新”等待检测更新

   AUState = 3 “自动更新”等待下载更新

   AUState = 4 “自动更新”下载更新

   AUState = 5 “自动更新”已下载更新

   AUState = 6 “自动更新”安装更新

   AUState = 7  未启用“自动更新”

   AUState = 8 “自动更新”等待重启完成安装

2．NoAutoRebootWithLoggedOnUsers

如果是没有启动系统权限的普通用户在后台安装好更新需要重启时，如果该值为1，则出现一个通知窗口，提示您是否重启系统，但此时所有选项都不能够选取（见图5），所以只能等待有启动系统权限的用户登录后重启系统。如果该值为0，则出现一个通知窗口，有5分钟的倒计时，5分钟后，机器重启，见图6。

3．RescheduleWaitTime

如果更新还未到安装指定时间机器已关闭。机器重启后，如果该值为1，则启动后，过了该值所设定的时间就自行安装更新，结果见图7。如果该值为0，则必须等待到下次安装更新时间才能实行安装。

注意，MissdScheduledInstall和Reschedule为新增值，而SchedledInstallDate则显示了当前经过改动的具体更新时间。

如果您理解了前文所述的几个方面，并结合具体应用正确地定义了自己的需求，会觉得SUS是非常好用的，可以在计算机安全方面获得很大保证，同时管理工作量大为减少