Configuer les clients WSUS en SSL

Transcription

1 Configuer les clients WSUS en SSL Rédacteur : Eric Drezet ASR CNRS-CRHEA 02/2007 Groupe Admin06 - Resinfo But du papier : Sécuriser les communicaitions entre les clients (surtout les clients externes) et un serveur WSUS Préalable : Avoir installé SSL sur le serveur WSUS (cf. le papier «WSUS avec SSL»). Liens : Procédure : Dans un domaine Active Directory, les clients peuvent être paramétrés par stratégie de groupe (cf. le papier «Maj Windows par GPO». Ils peuvent être également paramétrés individuellement par stratégie locale ou par la base de registre. Paramétrage par stratégie locale Pour modifier la configuration AU via la stratégie de groupe locale, l'ajout de l'éditeur d'objet de stratégie de groupe local peut être effectué via la procédure suivante : Dans la barre des tâches et avec les droits d administrateur de la machine, cliquez sur Démarrer, sur Exécuter, tapez MMC, puis cliquez sur OK. Dans la console, sélectionnez le menu Fichier, cliquez sur Ajouter/supprimer un composant logiciel enfichable, puis cliquez sur Ajouter. Dans la boîte de dialogue Ajouter un composant logiciel enfichable autonome, cliquez sur Éditeur d'objet de stratégie de groupe, puis cliquez sur Ajouter. Eric Drezet Administrateur réseau CNRS-CRHEA 1

2 Figure 1. Boîte de dialogue Ajouter un composant logiciel enfichable autonome Dans l'assistant Stratégie de groupe, acceptez Ordinateur local, puis cliquez sur Terminer. Pour afficher toutes les options de stratégie de configuration AU dans l'éditeur d'objet de stratégie de groupe, développez Configuration de l'ordinateur, développez Modèles administratifs, développez Composants Windows, puis cliquez sur Windows Update. Affichez le volet de la console et la description de chaque stratégie associée, (cf. figure 2). Eric Drezet Administrateur réseau CNRS-CRHEA 2

3 Figure 2. Éditeur d'objet de stratégie de groupe pour la stratégie de groupe locale Vous pouvez voir que les options de stratégie de groupe de WSUS incluent également des stratégies qui configurent le serveur WSUS vers lequel les clients doivent pointer (Spécifier l'emplacement du service Microsoft Update sur l'intranet), autorisent la jointure automatique d'un client avec un groupe cible préexistant sur le serveur WSUS (ce qui fait que les approbations pour ce groupe cible s'appliquent également au client spécifié lorsqu'il est activé), et offrent la possibilité de configurer la fréquence selon laquelle un client se connecte à un serveur WSUS (fréquence de détection Automatic Update). Configuration du comportement général de téléchargement et d'installation AU Configurer Automatic Updates est la stratégie globale qui gère le comportement fondamental de téléchargement et d'installation d'au. À partir de cette stratégie, d'autres stratégies peuvent être appliquées afin d'ajouter un niveau de détail au comportement, mais il s'agit de la stratégie de base via laquelle l'une de ses options de configuration détermine comment AU télécharge et installe. Voir figure 3. Eric Drezet Administrateur réseau CNRS-CRHEA 3

4 Figure 3. Options de configuration globales d'automatic Update Sélectionnez les options suivantes : 4 Télécharger et planifier l installation Choisir la fréquence (quotidienne est préférable) et l heure Dans la fenêtre suivante, sélectionnez «Activé» Si le port par défaut pour SSL a été conservé (443), les clients doivent être paramétrés comme suit pour pointer vers le serveur WSUS : (2) (2) Attention à spécifier le nom FQDN du serveur qui correspond au certificat de serveur demandé. Si un autre port a été choisi saisir : port Planifiez ensuite le temps d attente après redémarrage du système pour le cas où les clients auraient raté l heure planifiée plus haut Enfin, n imposez aucun redémarrage automatique pour les clients après mise à jour Eric Drezet Administrateur réseau CNRS-CRHEA 4

5 Paramétrage par la base de registre Si vous ne possédez pas de domaine Active Directory, il est possible de configurer les clients via la base de registre avec toutes les options disponibles dans les stratégies de groupes mais la configuration des machines sera très contraignante. Voici les différentes entrées de la base de registre pour la configuration des clients: Nœud de configuration général: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate Entrée ElevateNonAdmins TargetGroup TargetGroupEnabled WUServer WUStatusServer Description Valeur possible: 0 ou 1 0: Seuls les administrateurs peuvent refuser ou accepter les mises à jour 1: Tout le monde peut refuser ou accepter les mises à jour Permet de spécifier le groupe de mise à jour auquel l'ordinateur appartient (ciblage coté client) Valeur possible: 0 ou 1 0: Désactiver la fonctionnalité de ciblage coté client 1: Activer la fonctionnalité de ciblage coté client Permet de spécifier l'emplacement du serveur WSUS (exemple: ou ServeurWsus.domaine.fr/:8350/). Doit être identique à l'entrée WUStatusServer Permet de spécifier l'emplacement du serveur WSUS (exemple: ou ServeurWsus.domaine.fr/:8350/). Doit être identique à l'entrée WUServer Nœud de configuration pour les mises à jour automatique: HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\WindowsUpdate\AU Entrée Description AUOptions Valeur Possible: 2,3,4 ou 5 Configuration du fonctionnement de la Mise à jour automatique (Notification, téléchargement, planification, interaction avec les stratégies locales) 2: Notification avant téléchargement et notification avant installation des mises à jour 3: Téléchargement automatique des mises à jour et notification avant installation des mises à jour 4: l'installation des mises à jour est automatique et planifié en fonction des valeurs DWORD ScheduledInstallDay et ScheduledInstallTime 5: la planification des mises à jour est configuré mais l'utilisateur final peut le configurer AutoInstallMinorUpdates Valeur possible: 0 ou 1 0: N'installe pas de suite les mises à jours mineurs qui Eric Drezet Administrateur réseau CNRS-CRHEA 5

6 ne nécessite pas de redémarrage de l'ordinateur ou de service 1: Installe de suite les mises à jours mineurs qui ne nécessite pas de redémarrage de l'ordinateur ou de service DetectionFrequency Valeur possible: de 1 à 22 Durée en heure entre chaque vérification de mise à jour (de -20% à 0%) sur le serveur WSUS DetectionFrequencyEnabled Valeur possible: 0 ou 1 0: Utilise la valeur par défaut de la durée entre chaque vérification de mise à jour (par défaut: 22 heures, donc vérification après une durée de 18h24 et 22h) 1: Utilise la valeur renseigné par la valeur DWORD DetectionFrequency (toujours de -20% à 0%) pour la durée entre chaque vérification de mise à jour NoAutoRebootWithLoggedOnUsers Valeur possible: 0 ou 1 0: l'ordinateur redémarre la machine dans les 5 minutes qui suivent la mise à jour de la machine 1: l'utilisateur a le choix de redémarrer ou non la machine NoAutoUpdate Valeur possible: 0 ou 1 0: Mise à jour automatique désactivé 1: Mise à jour automatique activé RebootRelaunchTimeout Valeur possible: de 1 à 1440 Durée en minute entre chaque demande de redémarrage à l'utilisateur de l'ordinateur RebootRelaunchTimeoutEnabled Valeur possible: 0 ou 1 0: Le temps entre chaque demande de redémarrage à l'utilisateur est celle par défaut (10 minutes) 1: Le temps entre chaque demande de redémarrage à l'utilisateur est celle renseigne par la valeur DWORD RebootRelaunchTimeout RebootWarningTimeout Valeur possible: de 1 à 30 Durée en minutes du compteur avant redémarrage de la machine pour les mises à jour planifiées ou obligatoires RebootWarningTimeoutEnabled Valeur possible: 0 ou 1 0: Le temps initial en minute du compteur avant redémarrage pour les mises à jour planifiées ou obligatoires est celle par défaut (5 minutes) 1: Le temps initial en minute du compteur avant redémarrage pour les mises à jour planifiées ou obligatoires est celle renseigné par la valeur DWORD RebootRelaunchTimeout RescheduleWaitTime Valeur possible: entre 1 et 60 Temps en minute pour l'attente depuis le démarrage de la machine avant installation des mises à jour planifié raté. Cette politique ne s'applique pas aux mises à jour qui ont une échéance spécifique. Si l'échéance d'une mise à jour est dépassé alors celle-ci est installé de suite. RescheduleWaitTimeEnabled Valeur possible: 0 ou 1 Eric Drezet Administrateur réseau CNRS-CRHEA 6

7 0: Les mises à jour planifiées ratées seront reportés lors de prochaine planification 1: Les mises à jour planifiées ratées seront installés après le laps de temps spécifié par la valeur DWORD RebootRelaunchTimeout ScheduledInstallDay Valeur possible: entre 0 et 7 0: Mise à jour planifié tous les jours de 1 à 7: jour de la semaine de dimanche (1) à samedi (7) Cette option ne marche seulement si l'entrée AUOption est configurée à la valeur 4 ScheduledInstallTime Valeur possible: entre 0 et 23 Heure de la journée pour les mises à jour planifié Cette option ne marche seulement si l'entrée AUOption est configurée à la valeur 4 UseWUServer Valeur possible: de 0 à 1 0: Utilise Windows Update 1: Utilise votre serveur WSUS Authentifier la communication entre les clients et le serveur Pour que les clients puissent communiquer avec le serveur (et le serveur avec luimême en tant que client), il faut lui installer les certificats racines de l autorité de certification dans le magasin de l odinateur (et non dans le magasin utilisateur). Pour ce faire, utiliser soit les stratégies de groupes (cf. «Installer les certificats racines par GPO») soit la console mmc équipée du logiciel enfichable «Certificats» et importer les certificats racines dans le magasin «Autorités de certifications racines de confiance» de l ordinateur local. Eric Drezet Administrateur réseau CNRS-CRHEA 7