Server 2019 GPO Wsus Problem

[MurdocX 952]

Manche Probleme sind einfach zu Komplex für ein Forum. Vielleicht ist es zeitlich nun einfacher das System neu aufzusetzen.

[goat82 2]

MurdocX, da hast du wahrscheinlich recht. Schade dass niemand eine Idee mit dem Ordner hat.

Ich hätte gedacht dass man irgendwo nachvollziehen kann, woher die GPo einstellungen in Windows Update kommen, aber anscheinend weiß das niemand hier.

Ich werde die Server so laufen lassen. Bei jedem Update muss ich halt manuell nach Updatessuchen, neustarten und für den Report erneut suchen.

 

[daabm 1.356]

Na, ich würde dann Mark Russinovich folgen: If you don't know what to do, use Process Monitor

 

Wenn die Update-Seite behauptet, daß die Organsiation das festgelegt hat, müssen Reg-Werte dazu vorhanden sein. Wenn ich die lösche und sie automatisch wiederkommen, finde ich mit Procmon heraus, wer das macht. So einfach kann das Leben sein

[goat82 2]

der Gpordner ist doch leer, wie soll ich da in Procmon etwas herausfinden ? Ich kann ja nix löschen was es nicht gibt. Es steht in Windows Update  3 GPOs aktiv und ich will herausfinden woher diese Info kommt oder wie ich das löschen oder verändern kann.

[Sunny61 806]

Lösch in der Registry alle Einträge von Policies:

HKEY_CURRENT_USER\Software\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Policies\Microsoft\Windows\WindowsUpdate

 

Zusätzlich:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\WindowsUpdate

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\PolicyManager\default\Update

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\WindowsUpdate

 

Die Liste erhebt keinen Anspruch auf Vollständigkeit.

 

Wenn es danach immer noch nicht klappt, Server neu installieren.

[goat82 2]

Danke Sunny, hat leider nichts geholfen. Ich werde nun erstmal versuchen Windows 2019 bei den aufwändigen Servers nach einem Snapshot drüber zu installieren ohne Neuinstallation.

Wenn das nicht hilft mache ich alle 4h einen usoclient startscan task. Gpos werden einwandfrei applied, auch funktioniert die Verbindung zum Wsus einwandfrei aber wegen den 3 Gpos die nicht weg gehen eben nicht automatisch, Da Automatische Updates deaktiviert sind. Hab nun 3 Tage lang probiert, komme aber nicht weiter. Habe noch nie erlebt, dass Gpos funktionieren aber bestehende Gpos nicht weggehen, wenn man die Ziel OU mit verknüpften Gpo wechselt. Eventuell liegt es auch am aktiven Insider Program, wer weiß wobei andere Server dieses Problem nicht haben.

Ein Usoclient startscan task wäre das einfachste, wobei ich nicht weiß was sonst noch so nicht funktioniert.

 

 

 

 

bearbeitet 16. März 2021 von goat82

[MurdocX 952]

vor 27 Minuten schrieb goat82:

Eventuell liegt es auch am aktiven Insider Program, wer weiß wobei andere Server dieses Problem nicht haben.

Nimmst du mit deinen Servern am Insider Programm teil? 

[goat82 2]

ja, ich gebe aber nur den Standard über Wsus frei. Also nix zu neues, bin ja kein Versuchskaninchen. Ein echtes Insiderprogram ist es eigentlich nicht. Es war einfach da, ich bekomme aber keine neuen Updates, die andere ohne Insider nicht bekommen. Auch kann ich das Programm nicht verlassen und ich habe mich hierfür auch nie registriert, es wird einfach angezeigt. Kann man das irgendwie einsehen ? Ich sehe zwar das ich teilnehme, aber nicht an welchem Kanal

bearbeitet 16. März 2021 von goat82

[daabm 1.356]

Was war an meinem Tip so unverständlich? Wenn Du wie von @Sunny61 vorgeschlagen diese Keys alle gelöscht hast, kommt einer davon nach einem Reboot wieder? Und "Insider" ist nie "einfach da", da muß man immer aktiv beitreten - hast Du eine Eval-Version?

[goat82 2]

Ich nutze vmware 6.7 und ms datacenter volume Lizenzen die auf auf unsere CPU angepasst ist und natürlich 2019er cals. Es ist ein Produktivsystem. Insider haben wir nie bewusst aktiviert. Es kann sein, dass dies im Image bereits enthalten war. Vorabversion oder so bekommen wir aber nie. Es muss ja eh alles über Wsus freigegeben werden. Insider kann auch nicht deaktiviert werden.

Kann man das Isider beimn Imageherunterladen von MS bereits aktiviert worden sein ?

Ich bin mir sicher, dass wir niemals es bewusst aktivert haben, es war aber immer aktiviert.

 

Das 2019er Datacenter image haben wir direkt bei MS im Lizenzportal passend zu unserem Lizenzvertrag heruntergeladen, es ist eine offizielle und keine Evo Version/Image. So genau habe ich mir das Image aber nie angesehen, daher wäre es gut möglich, dass im Image das Insiderprogramm bereits aktiviert wurde?

 

Ich dachte immer das muss man aktiv machen und muss da auch Rückmeldung usw geben und bekommt immer die neusten, ungetesteten Updates. In Wsus kommen nur die aktuellsten, keine Beta usw. Kanns ein dass ich das in Wsus aber auch explizit so eingestellt habe. Ich bin mir nicht sicher ob ich Previews usw in Wsus aktivieren kann. Generell gebe ich Updates immer erst nach einer Woche frei. In meiner Laufbahn kam es bereits zu 2 größeren Vorfällen wo MS durch ein defektes Update die Lan Verbindung usw. gekappt hat. Darum gebe ich die Updates immer erst nach einer Woche frei. Wenn es etwas kravierendes ist, dann schießt MS gleich ein Hotfix hinterher. Bei Featureupdates bin ich sogar noch vorsichtiger, hier warte ich deutlich länger und gebe erstmal in einer Test-OU frei bevor ich das Featureupdate auf alle loslasse.

 

bearbeitet 17. März 2021 von goat82

[goat82 2]

Zu den Keys:

Kann nicht gelöscht werden  / Fehler beim Löschen des Schlüssels. Insbesondere Windows Update Ordner kommt nach dem Löschen und F5 direkt wieder

HKEY_LOCAL_MACHINE\SOFTWARE\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies

 

Kann nicht gelöscht werden  / Fehler beim Löschen des Schlüssels

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\WindowsUpdate

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate

 

Alle anderen Keys können problemlos gelöscht werden

 

[Sunny61 806]

Und ws macht man, wenn man keine Rechte hat Keys zu lsöchen? Man übernimmt den Besitz und löscht dann, wie bei Ordnern oder Dateien.

[goat82 2]

Danke, für den Hinweis. Es lassen sich 2 Keys nicht löschen.

Bin als Domainadmin an der Kiste angemeldet, regedit als Admin, Ordner Berechtigung geändert, Besitz übernommen als Domainadmin. Domainadmin auf Order Vollzugriff, Vererbung deaktiviert.

Löschen weiterhin nicht möglich.

Ich bin doch nicht b***d, irgendetwas passt da nicht. Andere Keys konnte ich mit den selben Berechtigungen (Besitz übernehmen) löschen

 

Als lokaler Admin konnte ich ENDLICHALLE Keys löschen, leider immer noch keine Abhilfe. 3 Einstellungen sind immernoch aktiv, wenn ich Windows Update öffne.

Dann habe ich nach Updates gesucht und die gelöschten Ordner in der Registry überprüft.

Folgende gelöschte Einstellungen sind erneut wieder da:

HKEY_CURRENT_USER\Software\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\Policies

HKEY_LOCAL_MACHINE\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies

 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsUpdate

bearbeitet 17. März 2021 von goat82

[Sunny61 806]

Spätestens jetzt solltest Du die Reißleine ziehen und den Server neu machen. Für mich ist hier Schluß.

[NorbertFe 2.045]

vor 1 Stunde schrieb goat82:

sind erneut wieder da:

Und, wo kommen die her? Wie man sowas rausfindet wurde dir ja nu oft genug geschrieben