Como lidar com atualizações que não são apropriadas para as edições do Server Core?

Question

Parece que o WSUS não é inteligente o suficiente para saber quais atualizações são realmente apropriadas para instalações do Windows Server Core. Por exemplo, o WSUS deseja instalar a Atualização do Server 2012 R2 ( KB2919355 ), mas falha (deu uma chance, mas não teve confiança de que seria bem-sucedida.) E o WSUS acredita que ainda há 14 atualizações que esse servidor precisa. Quatro desses são Silverlight.

Agora, eu realmente não sei se a edição Core precisa do Silverlight (isso é sarcasmo) nem sei se a recente "Atualização" para o 8.1 / 2012 R2 é necessária para o Core (não o sarcasmo), mas na superfície ser inadequado.

Prefiro não deixar que este servidor viva sua vida como sempre precisando de mais de 14 atualizações e mais de 1 atualização com falha.

Pensamentos sobre como lidar com isso? Estou um pouco surpreso que a MS não tenha feito acomodações melhores para lidar com atualizações no Core, já que é isso que elas estão pressionando.

atualização

Eu aprendi algumas coisas.

1. O KB2919355 é instalado bem em um servidor 2012 R2 Core. Apenas certifique-se de ter bastante espaço em disco disponível! (ha)
2. O próprio servidor sabe melhor quando se trata de quais atualizações precisam ser instaladas. No caso do Silverlight, o WSUS relatou que meu servidor Core precisava deles, embora eles estivessem definidos como "Não Aprovado" e, quando chegou a hora, o servidor não os tinha na lista de atualizações necessárias. Tal como está, o WSUS diz que o servidor ainda precisa de 4 atualizações, mas isso é impreciso, porque todas elas são para o Silverlight.

Answer 1

Minha sugestão é:

• Mover os Core Servers para o seu próprio grupo de computadores no WSUS
• Recusar quaisquer atualizações não apropriadas para essa edição do Servidor (por exemplo, Silverlight!) (Bem, o Silverlight na verdade não pertence a um servidor - outra história)
• O WSUS apenas faz o que você diz para fazer - você aprovou o Silverlight para o servidor (ou pelo menos não recusou)

Isso deve começar você.
Eu instalei o KB2919355 com sucesso em uma instalação do Núcleo do Servidor.

    

Answer 2

Você não pode recusar uma atualização para um grupo de computadores, tanto quanto eu posso dizer: você só pode não aprová-lo. Uma atualização não aprovada ainda aparece como falha ou é necessária.

    

Answer 3

Se isso estiver realmente incomodando você, você tem várias opções disponíveis, nenhuma delas fácil ou direta, mas algumas consideram que valem a pena:

• A compilação separa os servidores WSUS para Servidores e Estações de Trabalho.

• Ocultar a coluna na interface e usar as categorias de atualização para ver se atualizações importantes não foram aplicadas aos seus sistemas.

• Recusar as atualizações ofensivas e reintroduzi-las como atualizações publicadas localmente. Forneça a eles uma lógica de detecção diferente daquela da atualização original, assim você pode criar uma lógica de detecção apropriada para o seu ambiente.

Advertências: isso exigirá o uso do SCCM / SCUP ou de alguma ferramenta de terceiros, como LUP ou WSUSPackagePublisher, ou o aprendizado da API do WSUS e o desenvolvimento do seu próprio método de publicação de atualizações. Isso também significa que você terá que pesquisar comandos de instalação e métodos de detecção adequados para as atualizações que deseja anular desta maneira.

Benefícios adicionais: Isso seria ter mais controle sobre o software em seu ambiente, já que você pode gerenciar como as atualizações são instaladas que podem ter efeitos colaterais estranhos. Além disso, você pode gerenciar mais do que apenas os produtos da Microsoft usando esse método; Eu usei isso para fornecer atualizações para praticamente todos os aplicativos de usuário em uma empresa de médio porte. Há também empresas que fornecem atualizações para aplicativos de terceiros para uso com o WSUS. A Adobe, por exemplo, fornece atualizações para pelo menos o Acrobat, Reader e Flash Player em seus catálogos.

• Abandonar as ferramentas de relatório incluídas no WSUS. Crie seus próprios relatórios (que podem ser configurados para ignorar determinadas condições, como o Silverlight, que permanece como o peido de maior duração do mundo esperando para ser aprovado para um grupo de servidores).

Advertências: Isso também exigirá que você explore o funcionamento interno do WSUS ou use uma ferramenta / script / solução de terceiros para fornecer o que está procurando.

Benefícios adicionais: a flexibilidade que isso proporciona pode surpreender você: você pode ter um relatório que responde às perguntas que você faz do WSUS, em vez de se decidir pelo que é oferecido no pacote de relatórios.

• Se nenhum dos itens acima for satisfatório, aprenda a liberar essa sensação de 100%. O bolo é uma mentira.