Server 2003 - Trotz WSUS GPO ändert sich Registry

[Maraun 12]

Hallo zusammen,

 

ich hatte gestern und heute zwei Neustarts von Clustern und einem Exchange Server, beides Server 2003 Maschinen. Trotz richtig zugewiesener GPO und Automatischen Updates auf 3 (Auto download and notify for install) wurden die Updates auf diesen beiden Maschinen installiert und danach das System neugestartet.

Auch der Registry Key ist falsch gesetzt (HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU\AUOptions) und steht auf 4, statt auf 3, wie von der GPO vorgegeben. Ein GPO Result zeigt mir an, dass die richtige WSUS GPO zugewiesen ist, allerdings habe ich keine Erklärung, warum sich das bei 3 von 35 Server 2003 Maschinen geändert hat.

Hatte das Problem von Euch schon mal jemand?
Ich werde jetzt den Registry-Key wieder löschen und die GPO erneut ziehen lassen.

 

Danke vorab für Antworten.

 

Grüße

Alex

bearbeitet 14. November 2013 von Maraun

[Sunny61 811]

Das kann eigentlich nur davon kommen, dass kurzfristig/kurzzeitig eine zweite andere GPO zugewiesen war. Von alleine ohne Zutun ändert sich der Wert nicht. Prüf doch auch via GPEDIT.MSC nach, ob dort jemand vielleicht etwas eingetragen hat.

[Maraun 12]

Hi Sunny,

 

danke für die schnelle Antwort. Wir haben keine andere GPO, deren Einstellungen auf sofort installieren steht. Alle WSUS-GPOs sind gleich, downloaden ab 3.00 Uhr Nachts,

aber den User entscheiden lassen, wann die Updates installiert werden sollen. 4 Server hatten jetzt fälschlicherweise den REG-DWord Wert 4 statts 3 eingetragen.

Einfach Key löschen, gpupdate /force und alles passt wieder, aber woher kommt dieser Wert?

Zumal alle Server im gleichen WSUS-Container liegen. Dadurch hätten alle die falsche Einstellung bekommen müssen.
 

Wie oder wo sehe ich denn, ob hier was an den GPO´s geändert wurde?

 

Viele Grüße

Alex

[NorbertFe 2.102]

Ich hatte das Problem auch mal bei ein zwei Servern. Habs nie rausgefunden und das Problem verschwand nach einem Update auf ein neues OS. ;)

[Maraun 12]

Jep, das befürchte ich auch. Hab alles nochmals geprüft, von lokalen Sicherheitslinien über WSUS etc., nix zu finden.
Da ich die Server in absehbarer Zukunft noc nicht update, habe ich mir jetzt mit Powershellskripten beholfen.

1x prüfen, welcher Key in der Registry gesetzt ist und 1x, den Key überschreiben.

Danke für die Antworten.

 

Gruß

Alex

[Sunny61 811]

 

Wie oder wo sehe ich denn, ob hier was an den GPO´s geändert wurde?

Via GPEDIT.MSC siehst Du lokale Einstellungen, hätte ja sein können das jemand da 'rumgespielt' hat und es nicht abgeändert hat.

 

Wenn immer jemand angemeldet ist, kann an einem Server kein automatischer Reboot ausgeführt werden. ;)

[Maraun 12]

Guter Einwand Sunny,

 

aber es gab hier ne Idee/Vorschlag, von nem Sysmanager Kollegen, sämtliche RDP-Sitzungen am Tagesende zu killen. :-)

[Sunny61 811]

aber es gab hier ne Idee/Vorschlag, von nem Sysmanager Kollegen, sämtliche RDP-Sitzungen am Tagesende zu killen. :-)

Das ist in diesem Zusammenhang natürlich kontraproduktiv. ;)