Windows Server Update Services

Transcription

1 Windows Server Update Services Pierre DOLIS Administrateur système & réseaux Conseil Général du Bas-Rhin

2 Zoom sur les vers et vulnérabilités Prolifération des correctifs Temps avant exploitation en baisse Exploitations plus sophistiquée L approche classique n est pas suffisante 331 Nombre de jours entre le correctif et l exploitation Ni m Sla SQL da mm er 18 We Bl as S l c ter as Na hia ch / se r i

3 Mises à jour Microsoft Update (Windows Update) WindowsDownlo Office Update ad VS Updat Center Update e Hier Maintenant Windows, SQL, Exchange, Office Windows seulement Windows, SQL, Windows seulement Exchange, Office Update SUS Services SMS

4 Processus de gestion des correctifs 1. Évaluer l'environnement auquel le correctif doit être appliqué 2. Identifier de nouveaux correctifs Tâches périodiques A. Créer/tenir à jour des systèmes de référence 1. Évaluer B. Évaluer l'architecture de gestion des correctifs C. Passer en revue l'infrastructure/ la configuration Tâches A. Identifier de nouveaux correctifs B. Déterminer la pertinence des correctifs C. Vérifier l'authenticité et l'intégrité des correctifs Tâches en cours A. Découvrir les ressources B. Clients d'inventaire 4. Déployer 4. Déployer le correctif Tâches A. Distribuer et installer le correctif B. Rédiger un rapport sur l'avancement C. Traiter les exceptions D. Passer en revue le déploiement 2. Identifier 3. Estimer et planifier 3. Estimer et planifier le déploiement des correctifs Tâches A. Obtenir l'approbation nécessaire à déployer le correctif B. Évaluer les risques C. Planifier le processus de publication des correctifs D. Test pour l'acceptation du correctif terminé

5 Automatic Updates (AU) Service de Mises à jour automatiques (le client de WSUS)

6 Architecture Client WU Service or WSUS IE (WU Site) Client WU Custom scripts WU Client API Update handlers Update manager Automatic updates BITS * Content store Metadata Store * Background Intelligent Transfer Service

7 Automatic Updates (AU) Description Service local (Mises à jour automatiques) automatisant l accès à WU permettant : D obtenir automatiquement les mises à jour critiques et de sécurité de Windows dont elle a besoin De les installer automatiquement (si le propriétaire de la machine le souhaite) Quand on le connecte à WU (ou MU) : à destination du grand public et des TPE Quand on le connecte à WSUS, c est LE client WSUS

8 Client Mises à jour automatiques (AutoUpdate) Principe : se connecte à Microsoft Update ou un serveur WSUS pour maintenir la machine à jour Mode pull (tirer) Disponible pour Windows Server 2003 Windows 2000 SP3 Windows XP SP1

9 Installation à l arrêt (XP SP2) Profiter de l arrêt de la machine pour la maintenir à jour Contrôlé par stratégie de groupe

10 Configuration des clients Modes de configuration GPO (implique AD) Modification directe du registre Windows (script) Stratégies locales

11 Configuration des clients Configurer les Mises à jour automatiques (AutoUpdate) Modes d installation : Notifier avant téléchargement/installation Télécharger puis notifier pour installation Télécharger et installer automatiquement selon la planification Autoriser les administrateurs locaux à choisir le mode de configuration (sans pouvoir désactiver AutoUpdate)

12 Configuration des clients Fréquence de détection configurable (du client vers le serveur) : 22 heures par défaut Minimum 1 heure (charge sur le serveur) La durée réelle entre deux détections sera déterminée aléatoirement entre 80% et 100% de la durée paramétrée Délai de redémarrage et intervalle avant nouvelle demande de redémarrage (si redémarrage repoussé) Notification pour les non administrateurs (en fonction du mode d installation) Pas de redémarrage planifié (pour laisser l utilisateur redémarrer quand il le veut) Replanifier les installations planifiées (ex : 5 min après redémarrage) Autoriser l installation immédiate des mises à jour automatiques Notifie l utilisateur si redémarrage nécessaire

13 Dépannage Vérifier le démarrage du service Vérifier la configuration du client Via l interface graphique (Propriétés du Poste de travail, onglet Mises à jour automatiques) Si stratégie de groupe, vérifier son application (gpresult) Si rafraîchissement de stratégie de groupe nécessaire : gpupdate /force Regarder Journal des événements %windir%\windowsupdate.log %windir%\softwaredistribution\reportingevents.log Forcer une détection : wuauclt.exe /detectnow

14 Windows Server Update Services (WSUS, ex SUS 2.0) Serveur de gestion de mises à jour

15 Architecture Serveur WSUS Servers/MU Clients Reporting Client/Server Web service Web service Admin workstation Admin UI Server/Server Web service Catalog Content sync sync Server API Metadata Store MSDE/SQL File Store (NTFS)

16 Comparatif SUS vs WSUS Fonctionnalités demandées Support des Service Packs Installation sur SBS et sur des contrôleurs de domaine Support d Office et d autres produits Microsoft Support d autres types de mises à jour Désinstallation de mise à jour SUS 1.0 SP1 WSUS Ciblage des mises à jour Amélioration du support pour les réseaux bas débit Réduction de la quantité de données à télécharger Réglage de la fréquence de détection des mises à jour Minimiser l interruption de l utilisateur Déploiement d urgence d un correctif ( gros bouton rouge ) Déploiement de mises à jour d autres applications non Microsoft Support de NT4 *En partie possible via le réglage de la fréquence de détection et des scripts *

17 Produits supportés Client WSUS Windows Office SQL MSDE 2000 / SQL 2005 Exchange Server Office XP SP2 - Office 2003 / 2007 SQL Server Windows 2000 SP3 + Windows XP / Vista Windows Server 2003 (SP1 mini pour versions 64 bits) Exchange Server 2000 et 2003 ISA 2004 Windows Defender Internet Explorer 7.0

18 Produits supportés Serveur WSUS Windows Server 2003 (32 bits) IIS6 BITS 2.0 for Windows Server 2003 Base de données 100% compatible SQL Server (ex : WMSDE pas de limitation à 2Go).NET Framework 1.1 SP1 for Windows Server 2003 Windows 2000 Server SP4 IIS5 BITS 2.0 for Windows 2000 Base de données 100% compatible SQL Server (ex : MSDE 2000) IE 6.0 SP1.NET Framework 1.1 avec SP1

19 Service Pack 1 Les nouveautés apportées par WSUS SP1 concernent : Le support de Windows Vista dans la liste de mises à jour Le support de toutes les langues pour tous les produits Office et pour Windows Vista La mise à jour du moteur de base de données servant à stocker les données de WSUS : il s'agit maintenant de WMSDE SP4 en remplacement de WMSDE SP3 Un code retravaillé afin d'apporter de meilleures performances pour le téléchargement de correctifs et pour l'utilisation de l'interface Web permettant de configurer WSUS Tous les correctifs sur WSUS publiés depuis la sortie de WSUS sont intégrés à WSUS SP1 La possibilité d'utiliser SQL Server 2005 pour stocker les informations de configuration de WSUS à la place de WMSDE ou de SQL Server 2000

20 Aperçu de la solution WSUS Microsoft Update (utilise WSUS) Serveur WSUS WWWii ni nnd dooowwws s U Up ppd daa at ett e S SeS eerr vr vi cci ce es s < < B ab ac kc k F in F inis ish h C ac an cn ec le l Administrateur WSUS Postes de travail (clients WSUS) Groupe cible 1 Serveurs (clients WSUS) Groupe cible 2 L administrateur approuve les mises àcatégories jour met les différents groupes cibles L administrateur Le Les clients s enregistrent souscrit lesclients àauprès mises certaines àjour du jour serveur depuis Microsoft depar mises Update à jour Lesserveur clients télécharge installent mises àdans approuvées l administrateur

21 Pré-installation (selfupdate)

22 Groupes cibles Utilité : cibler des mises à jour sur des machines spécifiques Groupe cible de test Groupe cible de production Deux types de ciblage Côté serveur L administrateur WSUS gère l appartenance aux groupes depuis le site d administration (listes sur le serveur) Côté client Appartenance gérée automatiquement En utilisant des stratégies de groupe (même groupe pour toutes les machines d une même OU d Active Directory) En utilisant le registre

23 Abonnements Permet de choisir quelles mises à jour télécharger et quand Produit / Type de mise à jour (sécu, SP,FP, pilote,etc ) En fait une mise à jour est composée de deux éléments Par défaut : Un correctif Les méta données décrivant le correctif seules les méta données sont téléchargées (catalogue) les correctifs sont téléchargés s ils sont approuvés (contenu) Synchro Manuelle Automatique

24 Approbation de mise à jour Vérification avant déploiement (détection) Évalue l impact d une mise à jour sur le réseau avant qu elle ne soit déployée Au niveau de l approbation d une mise à jour, choisir l action Detect only Après un cycle de détection des clients, la rubrique Status de la mise à jour indique le nombre de machines qui nécessitent la mise à jour

25 Approbation automatique? Par défaut, «détection» automatique pour Par défaut, aucune approbation automatique pour l installation En cas de révision d une mise à jour, la nouvelle version obtient le même niveau d approbation que l ancienne (désactivable pour effectuer un choix manuel) Les mises à jour critiques et de sécurité Tous les groupes cibles On pourrait choisir des types de mises à jour, et des groupes cibles

26 Rapports Rapport standard consolidé Par machine / par mise à jour / par groupe cible Succès et échecs des téléchargements et installations avec les détails sur les erreurs Rapport sur les synchros Nouveautés, changements

27

28

29 Installation avec date butoir

30 Communications Configuration des paramètres de proxy (éventuellement compte + mot de passe) Faible utilisation de la bande passante BITS pour les téléchargements client-serveur et serveurserveur Mise à jour par abonnement (par produit/par type) Support des technologies delta compression Téléchargement dissocié des correctifs et de leurs méta données Port utilisé : 80 ou 8530 (attention, dans ce cas pour mettre à jour de «vieux» clients, il faut maintenir un site sur le port 80)

31 Options de déploiement des serveurs Déploiement hiérarchique Serveurs indépendants Serveurs miroirs («replica») Serveurs non connectés à Internet

32 Serveurs WSUS Microsoft Update Serveur WSUS Postes de travail Clients Serveur WSUS Postes de travail Clients

33 Hiérarchie Attention : il est conseillé de ne pas dépasser 3 niveaux dans la hiérarchie pour des questions de latence de propagation des mises à jour Mode replica (miroir), ou pas, se définit à l installation seulement

34 Express Installation Files Différence entre le mode d installation standard et le mode Express (Option valable uniquement si l on stocke les mises à jours localement)

35 Remote Stockage Les clients téléchargent les mise à jours approuvées via Microsoft Upate

36 Serveurs non connectés Microsoft Update Importation et exportation manuelles Serveur WSUS Serveur WSUS (autonome) Postes de travail Clients

37 Procédure S assurer que sur les serveurs les options avancées de synchronisation (installation express, langues) sont les mêmes Copier les mises à jour depuis \WSUS\WSUSContent (utilitaire de sauvegarde de Windows, en mode incrémental par ex.) Exporter les méta données de la base de données les catégories de produits, le proxy WSUSutil.exe (32 bits seulement; il faut être admin) Copier le contenu sur le serveur destination Puis importer les méta données avec WSUSutil.exe

38 Stockage Base de données pour gérer tout ce qui n est pas contenu Prise en compte des dépendances entre les mises à jour MSDE vs SQL Server MSDE a une limite de 2Go Mises à jour hébergées sur Microsoft Update (WSUS sert alors seulement de point de contrôle) Filtrage de contenu Ne garder que les plateformes et langues dont vous avez besoin Dimensionnement Prévoir une croissance annuelle x nb de langues

39 Sécurité Sur le client et sur le serveur Vérification de signature des contenus téléchargés Permissions sur les contenus téléchargés Mise en place de SSL pour l échange des métadonnées A faire sur votre serveur (mentionné sur la page d accueil de WSUS)

40 Mise en place de SSL? Pour protéger le transfert des méta données Ne pas appliquer sur tout le site car une partie du trafic doit se faire en HTTP (en clair) SSL sur SimpleAuthWebService DSSAuthWebService ServerSyncWebService WSUSAdmin ClientWebService Mais pas sur Content ReportingWebService SelfUpdate Port : 443 ou 8531 (si port personnalisé en 8530 pour le trafic normal) Sur les serveurs subordonnés, importer le certificat dans le magasin des autorités de certification racines de confiance de l ordinateur local ou dans le magasin des autorités de certification racines de confiance de Windows Server Update Services

41 Mise en place de SSL? Inconvénients Perte de 10% de performance sur le serveur La connexion entre le serveur et la base de données n utilise pas SSL Les mettre sur la même machine Ou sur un même réseau privé Ou utiliser Ipsec Configuration des clients Changer l URL du serveur WSUS (ex : Importation du certificat dans le magasin des autorités de certification racines de confiance de l ordinateur local ou dans le magasin des autorités de certification racines de confiance du service Mises à jour automatiques

42 Flexibilité Changement des ports Sauf pour contacter Microsoft Update Infrastructure et plateforme Option en ligne de commande pour déclencher une détection côté client : wuauclt.exe /detectnow API du client en COM exécutables à distance et scriptables API du serveur basées sur.net Framework

43 Exemple de script Le serveur et le client exposent tous les deux des API scriptables Détection Dim update, i set AutoUpdate = CreateObject("Microsoft.Update.AutoUpdate") Autoupdate.DetectNow() set UpdateSession = CreateObject("Microsoft.Update.Session") set UpdateSearcher = UpdateSession.CreateUpdateSearcher() set SearchResult= UpdateSearcher.Search("") set Updates = SearchResult.Updates set UpdatesToInstall = CreateObject("Microsoft.Update.UpdateColl") For i = 0 to (Updates.Count-1) UpdatesToInstall.Add(Updates.Item(i)) Approbation Next set Installer = UpdateSession.CreateUpdateInstaller() Installer.Updates = UpdatesToInstall Installation set InstallationResult = Installer.Install()

44 Best Practices pour WSUS

45 Mises à jour de serveurs Suggestions Définir des groupes cibles (GPO ou interface d administration WSUS) Configurer les clients Mises à jour automatiques (GPO ou registre) Installation auto ou notification avant installation Si notification, ouverture de session ou script pour installation

46 Mises à jour de serveurs Suggestions Pour les serveurs avec des fenêtres de maintenance, configurer les Mises à jour automatiques pour une installation planifiée durant la fenêtre Pour les serveurs sans créneaux de maintenance : Configurer les Mises à jour automatiques pour notifier avant l installation Ouvrir une session sur le serveur (Installation manuelle)

47 Mises à jour de serveurs Suggestions Datacenters Utiliser les stratégies BITS pour limiter la bande passante et les fenêtres de téléchargement Configurer les Mises à jour automatiques pour notifier avant l installation Clusters Scripter la mise à jour nœud après noeud

48 Connexion à Microsoft Update Ouverture du pare-feu HTTP 80 et HTTPS 443 pour joindre les serveurs Microsoft sur le Web Liste des domaines :

49 Filtrage d URL (type URLScan) Si vous l utilisez, il faut : autoriser les extensions de type.exe Les enlever de la section [DenyExtensions] Autoriser dans [AllowVerbs] GET HEAD POST OPTIONS

50 Dimensionnement du serveur Jusqu à 500 clients Minimum Recommandé 750 MHz 512 Mo WMSDE/MSDE 1 GHz ou + 1 Go WMSDE/MSDE Minimum Recommandé Processeur 1 GHz ou + RAM Base de données 1 Go SQL Server 2000 SP4 Bi-processeur à 3 GHz ou + (2 processeurs pour plus de clients) 1 GB SQL Server 2000 SP4 Processeur RAM Base de données De 500 à clients

51 Espace disque NTFS requis Partition système : 1 Go libre au moins Partition stockant le contenu WSUS : 6 Go mini (30 Go recommandés) Partition où la base de données sera installée : 2 Go minimum

52 Configuration du client Suggestions Choix de l heure d installation (possibilité de répartir les heures selon les machines via GPO) Fréquence de détection configurable (du client vers le serveur, de 1H à 22H, par défaut 22H et durée effective tirée aléatoirement entre 80% et 100% de la durée indiquée) : 12H pour la production et 1H pour le Pilote Délai de redémarrage et intervalle avant nouvelle demande de redémarrage (si redémarrage repoussé) : 45 min

53 Choisir une solution de gestion des correctifs Scénario Client Grande ou moyenne entreprise Petite entreprise Besoin d'une solution unique et flexible de gestion des mises à jour avec un niveau élevé de contrôle et de distribution pour TOUTES les versions de Windows et d'applications, ainsi qu'une solution de gestion du parc intégré Choix SMS 2003 Besoin seulement d'une solution de mise à jour simple pour les produits Microsoft, et dans un premier temps Windows (2000 et ultérieur), Office (2003 & XP), Exchange 2003, SQL Server 2000 et MSDE 2000 WSUS* Au moins un serveur et un administrateur WSUS* Tous les autres scénarios Consommateur Tous les scénarios Microsoft Update* Microsoft Update* *utilisation de Windows Update, d'un autre outil de mise à jour ou mise à jour manuelle pour les systèmes et applications non supportés par WSUS ou Microsoft Update

54 Comparaison de Microsoft Update, WSUS et SMS 2003 Capacité Microsoft Update WSUS SMS 2003 Logiciels et contenus supporté supportés Logiciels supporté supportés pour le contenu Pareil que WSUS + WinXP édition familiale Win2K, WS2003, WinXP Pro, Office Idem WSUS + NT 4.0 & Win98 + peut 2003, Office XP, Exchange 2003, SQL mettre à jour n n importe quel logiciel Server 2000, MSDE fonctionnant sur Windows Types de contenu supporté supportés Toutes les mises à jour de logiciels, mises à jour critiques de pilotes, Service Packs & Feature Packs Toutes les mises à jour de logiciels, mises à jour critiques de pilotes, Service Packs & Feature Packs Toutes les mises à jour de logiciels, Service Packs & Feature Packs + support la mise à jour et l l installation d appli Windows Capacité Capacités de gestion des mises à jour Ciblage de contenu à certains systè systèmes N/A Simple Avancé Avancé Optimisation de la bande passante ré réseau Oui Oui Oui Contrôle de la distribution des correctifs N/A Simple Avancé Avancé Installation de correctif & flexibilité flexibilité de la planification Manuelle & contrôlé contrôlée par l utilisateur final Simple Avancé Avancé Rapport sur les installations de correctifs Erreurs d d installation rapporté rapportées à l l utilisateur. Liste les mises à jour manquantes pour la machine connecté connectée Simple Avancé Avancé Planification du dé déploiement N/A Simple Avancé Avancé Gestion de l l inventaire N/A Non Oui Vérification de conformité conformité N/A Non rapport de statut seulement Avancé Avancé

55 Migration de SUS1 vers WSUS Pas de mise à jour mais une migration des mises à jour et des approbations (et c est tout) WSUSutil.exe SUS1 et WSUS peuvent cohabiter sur un même serveur

56 Limites de la migration WSUS et SUS 1.0 ne peuvent pas synchroniser leurs méta données l un avec l autre Pas de migration des paramètres de proxy Pas de migration des paramètres d IIS Migration unidirectionnelle de SUS 1.0 vers WSUS La migration des approbations de mises à jour écrase les approbations existantes d un groupe d ordinateurs

57 Références Site sécurité : Newsgroup : microsoft.public.fr.update_services Gestion des mises à jour de sécurité : Wiki WSUS : Site WSUS (en anglais) : windowsserversystem/updateservices Téléchargement des fichiers d installation Livres blancs Step-by-Step Guide to Getting Started with Microsoft Windows Server Update Services Deploying Microsoft Windows Server Update Services Microsoft Windows Server Update Services Operations Guide Outils de dépannage :