SPIE OUEST-CENTRE, DPT PROCESS PROTECTION SYSTEMES & RESEAUX Installation d un WSUS Windows 2012R2 DIFFUSION INTERDITE SANS AUTORISATION - Version [Catégorie ] - [Date de publication]
SPIE Ouest-Centre, dpt PROCESS TABLE DES MATIERES 1. INTRODUCTION II 1.1. PRESENTATION II 1.2. PREREQUIS MATERIEL III 1.3. PREREQUIS LOGICIEL III 2. WSUS 1 2.1. INSTALLATION DU ROLE WSUS 1 2.2. CONFIGURATION DU ROLE WSUS POST-INSTALLATION 3 2.3. CONFIGURER DU ROLE WSUS APPROFONDI 4 3. CONFIGURATION DU DOMAINE 11 3.1. CREER UNE GPO 11 3.1.1. Vérification du port d écoute 12 3.2. LA GPO 13 3.2.1. Configuration de la gpo 15 4. UTILISATION DE WSUS 20 5. WSUS DECONNECTER 21 5.1. PREPARATION 21 5.2. EXPORTATION MISE A JOURS WSUS 23 5.3. IMPORTATION MISE A JOURS WSUS 23 5.4. CREER UN TACHE PLANIFIE 24 5.4.1. Créer le Batch 24 5.4.2. Créer la tâche planifier 24 Version [Catégorie ] I
SPIE Ouest-Centre, dpt PROCESS 1. INTRODUCTION 1.1. PRESENTATION Windows Server Update Services, appelé WSUS, est un outil qui permet aux administrateurs de déployer les mises à jour des produits Microsoft sur les postes de travail et serveurs d un réseau qui exécutent un système d exploitation Windows. Ainsi, les mises à jour publiées sur les serveurs Microsoft Update peuvent être distribuées sur le réseau de votre entreprise. Grâce à la mise en place de ce service, vous économisez de la bande passante sur votre réseau puisque le serveur WSUS télécharge une fois les mises à jour sur les serveurs Microsoft, puis ensuite, il les distribue sur les clients enregistrés et concernés. De plus, vous gagnez en simplicité d administration puisque vous pouvez laisser WSUS gérer tout seul la mise à jour des postes clients, selon le paramétrage que vous mettez en place. Il représente également un point d administration unique pour suivre l état des clients au niveau des mises à jour. La version de WSUS intégrée à Windows Server 2012 intègre les améliorations suivantes : Commandlets PowerShell disponibles pour gérer les dix tâches administratives les plus importantes de WSUS. Hachage SHA256 possible afin d améliorer la sécurité Séparation du client et du serveur : des versions de l Agent de mise à jour automatique Windows Update (WUA) peuvent être livrées indépendamment de WSUS Version [Catégorie ] II
SPIE Ouest-Centre, dpt PROCESS 1.2. PREREQUIS MATERIEL La configuration matérielle minimale pour installer une instance de WSUS est la suivante : Processeur : 1,4 GHz et compatible 64 bits Mémoire RAM : 2 Go Espace disque disponible : 10 Go mais 40 Go est recommandé Carte réseau : 100 Mb/s L espace disque n est pas à négliger comme il faudra stocker des dizaines de mises à jour pour des dizaines de produits différents. 1.3. PREREQUIS LOGICIEL Pour suivre ce tutoriel, vous devez être sous Windows Server 2012, WSUS quant à lui requiert : Microsoft.NET Framework 4.5 Microsoft Report Viewer Redistributable 2008 Version [Catégorie ] III
Chapitre 2 - WSUS 2. WSUS 2.1. INSTALLATION DU ROLE WSUS Dans le gestionnaire de serveur, cliquez sur Gérer puis Ajouter des rôles et fonctionnalités. Cliquez sur Suivant, une fois arrivé sur le page d ajout de rôle, sélectionnez Services WSUS (Windows Server Update Services). Puis cliquez sur Suivant. Version [Catégorie ] 1 / 26
Chapitre 2 - WSUS Cochez ces deux case ci-dessous (WID Database ainsi que WSUS Services). Puis cliquez sur Suivant. Indiquez un chemin d accès pour le stockage des MAJs. Puis cliquez sur Suivant. Version [Catégorie ] 2 / 26
Chapitre 2 - WSUS 2.2. CONFIGURATION DU ROLE WSUS POST-INSTALLATION Maintenant que le rôle WSUS est installé sur votre Windows Server, il faut le paramétrer. Je vous rassure, la configuration est très simple grâce à l assistant Windows. L assistant de configuration WSUS s ouvre et vous demande si vous souhaitez exécuter le Post-installation du rôle. Accepté cette fenêtre, le rôle se configure. Version [Catégorie ] 3 / 26
Chapitre 2 - WSUS 2.3. CONFIGURER DU ROLE WSUS APPROFONDI Une fois le Post-installation terminé, allez sur l onglet Options, puis sur Assistant de configuration du serveur WSUS. Une nouvelle fenêtre s ouvre, cliquez sur Suivant. Version [Catégorie ] 4 / 26
Chapitre 2 - WSUS Dans la fenêtre suivante l utilitaire vous demande si vous souhaitez participer au programme d amélioration de Windows Update. Libre à vous de choisir, mais sachez que des informations de votre réseau informatique seront envoyées Décocher la case Oui, je souhaite participer au Programme d amélioration de Microsoft Updates si vous ne voulez pas aider l amélioration, puis cliquez sur Suivant. Version [Catégorie ] 5 / 26
Chapitre 2 - WSUS Cette étape consiste à indiquer si WSUS va utiliser un serveur en amont. Dans notre cas, non puisque c est notre serveur installé et configuré qui ira télécharger les mises à jour disponibles sur Microsoft Update. Choisissez donc l option Synchroniser à partir de Microsoft Update. Si vous possédez un proxy sur votre réseau, c est ici que ça se passe. Si vous n avez pas de proxy pour accéder à internet, cliquez directement sur Suivant. Maintenant que votre serveur est prêt à se connecter et communiquer avec Microsoft Update, il vous suffit de cliquer sur Démarrer la connexion. Version [Catégorie ] 6 / 26
Chapitre 2 - WSUS Cette étape consiste à indiquer si votre serveur WSUS doit télécharger toutes les mises à jour dans toutes les langues ou si vous il doit télécharger les mises à jour en fonction de vos paramètres. Je vous conseille fortement de choisir stratégiquement les langues. En effet, plus il y aura de langues sélectionnées, plus il y aura de MAJs téléchargées. Puis cliquez sur Suivant. WSUS vous demande de choisir les produits pour lesquels il devra aller rechercher et télécharger les mises à jour sur Microsoft Windows. Dans cette liste, presque tous les produits Microsoft sont présents (Office, SQL Server, OS Windows Server, etc). Version [Catégorie ] 7 / 26
Chapitre 2 - WSUS Nul besoin de demander à WSUS de télécharger des mises à jour pour SQL Server si vous n avez pas cet outil sur vos ordinateurs clients. En naviguant dans la liste, vous retrouvez vers le bas le groupe Windows. Il regroupe tous les OS Microsoft. A vous d adapter le choix en fonction de vos besoins. Puis cliquez sur Suivant. Vous pouvez également filtrer le téléchargement des mises à jour. On en retrouve plusieurs, mais les principales à cocher sont lister ci-dessous : On arrive ensuite sur la synchronisation. Version [Catégorie ] 8 / 26
Chapitre 2 - WSUS Choisissez si vous souhaitez synchroniser votre serveur WSUS avec Microsoft Update de manière manuelle ou automatique. Il est préférable de le faire automatiquement et donc régulièrement puis cliquez sur Suivant. Vous pouvez définir combien de fois il y aura de synchronisation par jour et l heure à laquelle elle seront effectué. C est la fin du paramétrage de WSUS, cochez Commencer la synchronisation initiale afin que votre serveur effectue la première connexion avec Microsoft. Enfin cliquez sur Suivant puis Terminer l installation. Version [Catégorie ] 9 / 26
Chapitre 2 - WSUS Pour vérifier que la synchronisation fonctionne entre votre WSUS et Microsoft Update, vous pouvez aller dans l onglet Synchronisation et vérifiez que la synchronisation soit effectuée où qu elle s effectue! Version [Catégorie ] 10 / 26
Chapitre 3 - Configuration du domaine 3. CONFIGURATION DU DOMAINE 3.1. CREER UNE GPO Ouvrez l utilitaire Outils d administration puis cherchez et ouvrez Gestion de stratégie de groupe. Déroulez la liste de gauche jusqu au nom de votre domaine, ensuite Clic Droit sur ce dernier, et cliquez sur Créer un objet GPO dans ce domaine, et le lier ici Une nouvelle fenêtre s ouvre, Nommé la GPO WSUS GPO puis cliquez sur Ok. Version [Catégorie ] 11 / 26
Chapitre 3 - Configuration du domaine 3.1.1. Vérification du port d écoute Pour vérifier que le port utilisé est le 8530, ouvrez la console de gestion IIS sur votre serveur WSUS. Déroulez l arborescence des sites jusqu à trouver votre site WSUS et affichez les paramètres avancésqui se trouve à droite. Vous obtiendrez la fenêtre suivante qui vous donne les informations nécessaires Cette action vous donnera ceci. Version [Catégorie ] 12 / 26
Chapitre 3 - Configuration du domaine 3.2. LA GPO Clic Droitsur la stratégie puis Modifier, ce qui ouvre la fenêtre ci-dessous. Allez dans Configuration ordinateur ->Stratégies ->Modèles d'administration ->Composants Windows puis Windows Update. On va configurer plusieurs options à cet endroit, commencer par double-cliquersur Spécifier l'emplacement intranet du service de mise à jour Microsoft, comme le montre l'image ci-dessous. Une fois ceci fait, sa vous ouvre une nouvelle fenêtre. L option permet de spécifier aux ordinateurs où elles doivent récupérer les Mises à jours. Version [Catégorie ] 13 / 26
Chapitre 3 - Configuration du domaine Activez ce paramètre en cochant la case Activé. Au niveau des valeurs, indiquez l URL de votre serveur WSUS. Pourquoi une URL avec https? Tout simplement parce qu on utilise le site IIS dédié à WSUS et on précise le port 8531 parce que ce site écoute sur ce port. Nous pouvons passez à la suite du tutoriel. Version [Catégorie ] 14 / 26
Chapitre 3 - Configuration du domaine 3.2.1. Configuration de la gpo Cherchez Pas de redémarrage automatique [ ] planifié de mises à jours automatiques. Cette option permet de désactiver le redémarrage automatique si une personne est connectée sur la machine, Activé simplement et OK. Puis passer à Fréquence de détection des mises à jour automatiques. Cette option permet de configurer la fréquence de vérification des mises à jour, laissez pardéfaut et cliquez sur OK. Version [Catégorie ] 15 / 26
Chapitre 3 - Configuration du domaine Passez ensuite à Autoriser l'installation immédiate des mises à jour automatique. Cette option permet d'installer immédiatement certaines mises à jour, ici aussi Activé seulement et cliquez sur Ok. Puis passer à Redemander un redémarrage avec les installations planifiées. Cette option permet de redemander un redémarrage de la machine, Activé l option puis mettez le nombre de minute que vous voulez pour déterminer le temps d attente avant une nouvelle demande de redémarrage. Je vous conseille de mettre 1440 pour une demande seulement par jours. Puis passer à Autoriser les non-administrateurs à recevoir les notifications de mise à jour. Version [Catégorie ] 16 / 26
Chapitre 3 - Configuration du domaine Cette option permet à tous les utilisateurs d'être avertis lorsque des mises à jour sont disponibles. Cliquez simplement sur Activé puis Ok. Puis passer à Activer les mises à jour automatique recommandées via le service Mises à jour automatiques. Cette option permet simplement de spécifier que les mises à jour recommandées seront installées automatiquement. Cliquez simplement sur Activé puis Ok. Passer à Configuration du service Mises à jour automatiques. Version [Catégorie ] 17 / 26
Chapitre 3 - Configuration du domaine Cette option permet de configurer le téléchargement et l'installation des mises à jour. Cliquez simplement sur Activé puis choisissez l option 4 - Téléchargement automatique et planification des installations, choisissez lejourdel installation ainsi que l heure puis cliquez sur Ok. Il faut maintenance lier la GPO au domaine, pour cela fait un clic droit puis Lier un objet de stratégie de groupe existant... Version [Catégorie ] 18 / 26
Chapitre 3 - Configuration du domaine Choisissez votre GPO créer précédemment. Une fois choisis cliquez sur Ok. Une fenêtre s ouvre pour vous dire que la gpo est lié au domaine. Fait un clic droit puis sélectionner Appliquer, cela permet de forcer la GPO si l'héritage est coupé. Et voilà c est terminer pour la configuration passons maintenant à son utilisation. Version [Catégorie ] 19 / 26
Chapitre 4 - Utilisation de WSUS 4. UTILISATION DE WSUS Lancer la console de WSUS, L'image ci-dessous montre le panneau qui permet de voir si votre parc est à jour, plus il y a du vert mieux c'est. Afin de se retrouver lorsqu'on a un gros parc informatique, il est fortement conseillé de créer des groupes comme le montre l'image ci-dessous. Pour cela fait un clic droit puis ajouter un groupe d'ordinateurs... La fenêtre ci-dessous s'ouvre rentrée un nom pour le groupe et cliquer sur Ajouter. Version [Catégorie ] 20 / 26
Chapitre 5 - WSUS Déconnecter 5. WSUS DECONNECTER 5.1. PREPARATION Pour pouvoir utiliser l outil wsusutil.exe qui est un executable d import/export des mises à jours incorporé a WSUS. Clic droit sur l icône Ordinateur de votre Bureau (ou dans le panneau de gauche de l explorateur de fichiers) et dans le menu-contextuel, allez sur Propriétés. Dans la grande fenêtre qui s ouvre, cliquez sur le lien Paramètres système avancés dans la liste de gauche. Version [Catégorie ] 21 / 26
Chapitre 5 - WSUS Déconnecter Dans la nouvelle fenêtre ainsi ouverte, cliquez sur le bouton Variables d environnement Dans cette fenêtre, dans la partie Variables systèmes (la liste du bas), il faut cliquer sur la ligne qui contient Path, de telle sorte qu elle soit sélectionnée (en couleur alors que les autres items de la listes ne le sont pas). Ensuite il faut cliquer sur le bouton Modifier Ce qui vous ouvrira cette fenêtre : Version [Catégorie ] 22 / 26
Chapitre 5 - WSUS Déconnecter ATTENTION!!! Ne retirez rien de cette valeur si vous ne savez pas ce que vous faites. Pour ajouter quelque chose au PATH de Windows, il suffit de le mettre tout collé à la fin, suivit d un ; Pour nous qui voulons rajouter l outil wsusutil.exe afin d y avoir accès partout sur l ordinateur, nous allons ajouter le chemin d accès qui est par défault, celui-ci (vous pouvez faire un copier/coller de cette ligne met avant cela diriger vous a la fin de la ligne PATH.) : ;C:\Program Files\Update Services\Tools\wsusutil.exe 5.2. EXPORTATION MISE A JOURS WSUS Pour exporter les mises à jours, il vous suffi seulement de noter cette ligne de commande dans CMD ou dans un BATCH.. Qui vous permetra ensuite de créer une tâche planifier qui executera la commande a une Heure et un(des) jour(s) précis wsusutil.exe export CheminEmplacementDesMAJsExport\export.cab.gz CheminEmplacementDesMAJsExport\export.log.gz 5.3. IMPORTATION MISE A JOURS WSUS Pour importer les mises à jours, il vous suffit seulement de copier sur une clé les fichiers exportés précédemment puis de copier/coller sur le serveur déconnecter. Ensuite il vous faut noter cette ligne de commande dans CMD et d attendre l importation. wsusutil.exe import CheminEmplacementDesMAJsExport\export.cab.gz CheminEmplacementDesMAJsExport\export.log.gz Version [Catégorie ] 23 / 26
Chapitre 5 - WSUS Déconnecter 5.4. CREER UN TACHE PLANIFIE 5.4.1. Créer le Batch Cliquez droit sur le Bureau, puis faites Nouveau puis Document Texte. Ouvrez le puis notez la ligne De Commande d exportation puis faites Enregistrer sous, nommez ce fichier avec l extension «.bat» à la fin (exemple : Exportation.bat, Fichier.bat). 5.4.2. Créer la tâche planifier Appuyez sur les touches Windows + R, et tapez Taskschd.msc ce qui vous ouvrira ceci : Ensuite aller sur Créer une tâche Version [Catégorie ] 24 / 26
Chapitre 5 - WSUS Déconnecter Ce qui vous ouvrira cette fenêtre : Onglet GENERAL : Onglet Nom : Renseigner le nom de votre tâche. Onglet Déclencheurs : (Cliquez sur Nouveau) A cette emplacement, renseignez les paramètres de votre tâche telque l Heure/Le Jour/Quand démarrer/etc... Version [Catégorie ] 25 / 26
Chapitre 5 - WSUS Déconnecter Onglet Actions : (cliquez sur Nouveau) Onglet Action : Renseigner l action que vous voulez pour cette tâche. (Dans notre cas, Démarrer un programme) Onglet Paramètres : Cliquez sur parcourir et renseignez le chemin d accès au Batch (Exportation.bat) créé précédemment. Ensuite vous pouvez renseigner les autres onglets (Conditions, Paramètres) mais dans notre cas, je ne vois pas trop l intérêt. Sinon cliquez sur Terminé, et voilà votre tâche est créée. Votre Exportation est donc journalières et à une Heure précise! Version [Catégorie ] 26 / 26