Tool um spezielle Windows Updates an alle zu verteilen

[Mac_Leod]

Hi,

ich habe immer wieder das Problem, das ich einen Sicherheitspatch sofort „geforced“ auf diversen Clients installieren muss.
Natürlich geht es per GPO mit dem passenden Template, das alle Clients sofort Windows Updates installieren sollen, und wenn der betreffende Patch dabei ist, hat man gewonnen, nur habe noch nichts gefunden (hab auch noch nicht lang gesucht) um zB.: den KB4503327 auf allen 1809er Windows 10 Systemen instant zu verteilen und zu installieren (mit oder ohne reboot ist erst mal egal)
WSUS ist natürlich vorhanden.

Ein Power Shell Skript was ich per GPO Verteile, welches dann mit "GET-WUInstal....." läuft wäre auch noch eine Idee, nur hat das nichts mit sofort installieren zu tun.

Wie macht ihr das, wenn ihr einen bestimmten Patch verteilen und installieren wollt?

Grüße
Mac

Ergänzung (13. Juni 2019)

Wie pass ich denn die Überschrift nachträglich an? o_O

 

[Darkblade08]

Wenn ein WSUS vorhanden ist, dann kannst du doch das darüber machen. Zu guter letzt passt du die GPO an, dass die Updates sofort installiert werden sollen.

Erst mal musst du ja eh das Update auf dem WSUS freigeben. Vorher hilft dir da kein Skript, wenn dem Client das Update noch gar nicht als "verfügbar gemeldet" wird.

 

[Mac_Leod]

Hi,

Ausgangsbasis ist, das die Patches für die Clients freigegeben sind.
WSUS und GPOs würde ich getrennt voneinander betrachten.

Über den WSUS kann ich zwar Patches und/oder Clients gut Gruppieren, aber nicht sagen das diese sofort installiert werden sollen. Das ist meines Wissens nach, alles in GPOs Ausgelagert.

Das ich ich die GPOs anpassen kann, also vom aktuellen Status auf "installiere sofort alle verfügbaren Updates" ist mir klar, nur möchte ich eben ein einzelnes Update installieren und nicht alle verfügbaren.
Dazu kommt noch das Problem, das die Aktualisierung der Client GPOs, zum teil sehr lang dauert, also wir wieder nicht bei "installiere sofort" sind.

 

[Gulp]

Natürlich kannst Du Updates über den WSUS auch sofort installieren lassen, das kann man zum einen in der GPO entsprechend konfigurieren oder aber man verwendet den Stichtag. Beides hat Vor- und Nachteile, per GPO werden alle Updates immer direkt installiert, was man nicht immer will. Per Stichtag gibt es immer einen Chef der dann eine Präsentation hat, die durch den nach dem Stichtagszeitpunkt fälligen Zwangsneustart ürplötzlich unterbrochen wird.

Granular und deutlich flexibler kann man sowas nur lösen mit dem ein oder anderen Softwareverteilungstool oder aber mit dem System Center Configuration Manager von Microsoft.

Grüsse

Gulp

 

[Mac_Leod]

Natürlich kannst Du Updates über den WSUS auch sofort installieren lassen, das kann man zum einen in der GPO entsprechend konfigurieren oder aber man verwendet den Stichtag.
Gulp

Hmm ich habe doch genau das geschrieben. Ja Man kann updates sofort installieren. Aber eben nur alle und nicht ein spezielles. (oder doch?) Das Problem mit "sofort" und GPOs vertragen sich halt nicht. Es dauert zu lang bis das GPO Update auf alle Rechner gelangt ist. Und ich bin mir gerade nicht sicher, ob ein Neustart benötigt wird, damit Änderungen der WU GPOs live gehen.

Was macht der SCCM anders? Habe aktuell keinen im Einsatz.

Grüße

 

[Gulp]

Den Stichtag regelst Du über die Genehmigung direkt im WSUS und nicht über die GPO, so kann man jedes einzelne Update zum konfigurierten Tag und zur entsprechend hinterlegten Urzeit, danach wird der Client zwangsweise neu gestartet. Der Stichtag hat rein gar nichts mit der GPO zu tun, das hängt wie gesagt an der Genehmigung des Updates.

Der SCCM kann jedes Update einzeln bestimmten Clients zur Installation an Tag X zur Uhrzeit Y zuweisen, das geht auch mit diversen anderen Programmen und noch viel mehr.

Grüsse

Gulp

 

[Vendetta192]

Wie Gulp es bereits geschrieben hat, kann ich die Thematik mit den Updates über den SCCM schon ziemlich granular steuern. Darauf aufbauend kann man die Thematik aber natürlich auch noch ein wenig weiter spinnen und eben nicht nur die Microsoft, sondern auch die Drittanbieter Updates zentral verwalten 😊

 

[Mac_Leod]

Verwendet der SCCM auch GPOs oder gibts kann der Updates direkt verteilen?
So wie bei zB.: Baramundi, wo man mit einem klick eben das Updates sofort installieren.
Zwar läuft auf jedem Client dann ein kleiner Agent, aber wenn dafür die Patches instant bereit gestellt werden, klingt das gar nicht so schlecht.