WSUS Einstellungen / Updates beim Herunterfahren zwingend installieren?

[mcdaniels 29]

Hallo zusammen,

ich denke, ich hab irgendwo einen Konfigurations- und/oder Denkfehler in meinem Setup.

 

Server 2019 (WSUS)

Windows 10 Pro Clients

 

Erreichen will ich, dass der User spätestens beim Herunterfahren gezwungen wird, Updates installieren zu lassen, sofern Updates da sind. Wie ich soeben fest stellen musste, funktioniert das nicht so wie ich will.

 

Folgende Einstellungen sind konfiguriert:

• Erinnerungsbenachrichtigungen über den automatischen Neustart zur Updateinstallation: Aktiviert - 60 Minuten
• Erforderliche Benachrichtigung für automatischen Neustart zur Updateinstallation konfigurieren: Aktiviert - 2 Benutzeraktion
• Automatische Updates konfigurieren: 4 - autom. herunterladen und lt. Zeitplan installieren (Installzeit 09:00h)
• Internen Pfad für MS Update angeben: Aktiviert: entspr. WSUS Einstellungen (funktioniert alles)
• Suchhäufigkeit: 2h
• Zugriff auf Updates aussetzen entfernen : Aktiviert
• Wechsel zum erzwungenen Neustart und Benachrichtigungsplan für Updates festlegen: Aktiviert
  • Qualitätsupdates: Wechsel 3 Tage, Verzögern 1 Tag, Frist: 0 Tage (inaktiv) 
  • Funktionsupdate: Wechsel 2 Tage, Verzögern 2 Tage, Frist: 0 Tage (inaktiv)

• Automatische Updates sofort installieren: Aktiviert
• Kein autom. Neustart für geplante Installationen autom. Updates durchführen, wenn Benutzer angemeldet sind: Aktiviert
• Erneut zu einem Neustart für geplante Installation auffordern: Aktiv - 120 Minuten
• Zeitplan für geplante Installationen neu erstellen: Aktiviert - Wartezeit : 5 Minuten
• Anzeigeoptionen für Updatebenachrichtigungen: Aktiviert - 0 Standardmäßige Benachrichtigung
• Option Updates installieren und Herunterfahren im Dialogfeld "Windows herunterfahren" nicht anzeigen: Aktiviert
• Automatische Updates konfigurieren: 4 - autom. herunterladen und lt. Zeitplan installieren
  • Tag: Täglich
  • Zeit: 09:00h
  • Während der autom. Wartung installieren : angehakt
  • Updates für andere MS Produkte installieren: aktiv
• Die Standardoption "Updates installieren und herunterfahren" im Dialogfeld "Windows herunterfahren" nicht anpassen: Nicht konfiguriert

 

Wie müsste man die GPO anpassen, dass Updates spätestens beim Herunterfahren installiert werden, ohne dass der User auch nur irgendeine Möglichkeit hat, die Updates nicht zu installieren.

 

Ich dachte ja, dass die Option:

• Updates installieren und Herunterfahren im Dialogfeld "Windows herunterfahren" nicht anzeigen: Aktiviert

 

bedeutet, dass der User dann nur auf Neustart oder Herunterfahren gehen kann und Updates (wenn vorhanden) gezwungenermaßen installiert werden. Scheint aber nicht so zu sein.

 

Danke jedenfalls schon mal!

bearbeitet 30. Oktober 2023 von mcdaniels

[q617 1]

Warum keine moderne Cloud-Lösung?

[mcdaniels 29]

vor 10 Minuten schrieb q617:

Warum keine moderne Cloud-Lösung?

?

[Damian 1.533]

@mcdaniels q617 ist unser aktueller Foren-Troll. Einfach ignorieren. Danke.

 

VG

Damian

[zahni 554]

Ganz kurz und allgemein: Das ging zum letzten Mal bei Windows XP. Danach hat Microsoft den Update-Client "verbessert".

Eigentlich kann man die Updates nur noch mittags im Hintergrund installieren. Dann werden sie beim Herunterfahren auch aktiviert.

[mcdaniels 29]

Gerade eben schrieb zahni:

Ganz kurz und allgemein: Das ging zum letzten Mal bei Windows XP. Danach hat Microsoft den Update-Client "verbessert".

Eigentlich kann man die Updates nur noch mittags im Hintergrund installieren. Dann werden sie beim Herunterfahren auch aktiviert.

Hi Zahni, danke für die Info.

 

hm...dann müssten meine Settings ja passen mit 09:00h, oder sehe ich das dann falsch?

[zahni 554]

Du musst noch ein Wartungsfenster in dieser Zeit definieren. Per Default liegt das, glaube ich, ub 19:00 Uhr. Und es wird meiner Meinung nach nichts nachgeholt. Wenn der PC um 9.00 Uhr noch nicht eingeschaltet ist, klappt es u.U. nicht.

[mcdaniels 29]

vor 31 Minuten schrieb zahni:

Du musst noch ein Wartungsfenster in dieser Zeit definieren. Per Default liegt das, glaube ich, ub 19:00 Uhr. Und es wird meiner Meinung nach nichts nachgeholt. Wenn der PC um 9.00 Uhr noch nicht eingeschaltet ist, klappt es u.U. nicht.

sorry, dass ich da jetzt vermutlich nerve. Aber reden wir jetzt nicht vom Installationszeitpunkt? Weil ich kann ihm ja da nur sagen, dass er zum Zeitpunkt X installieren soll und zusätzlich dazu "Während der automatischen Wartung" anhaken.

 

Falls nein: Welche GPO meinst du da?

 

 

EDIT: Du meinst Computerkonfiguration>Richtlinien>Administrative Vorlagen>Windows-Komponenten>Wartungszeitplan

 

So, ich hab jetzt mal bei der Richtlinie für die "Aktivierungsgrenze für die automatische Wartung 12:00" eingestellt und "Richtlinie für die Aktivierung der automatischen Wartung " auf aktiviert gesetzt.

 

Mal schauen, was jetzt passiert...

bearbeitet 30. Oktober 2023 von mcdaniels

[mcdaniels 29]

Hab das jetzt wie oben geschrieben umgesetzt. Der Client installiert die Updates (bei einem User der "Standarduser" ist). Danach sieht man unten rechts die Info, dass ein Neustart ausstehend ist. Wenn der User jetzt auf Ausschalten / Herunterfahren geht, schaltet sich der PC/Notebook etc. einfach ab, ohne die Updates zu installieren.

 

 

Jetzt hätte ich da rund 150+ Clients im Angebot, die sich vermutlich alle so verhalten. Das ist natürlich ganz toll...... :-/ weil da hat man dann gar keine Kontrolle mehr über die Updates bzw. könnte das dann ja gleich alles händisch machen (da ja eigentlich kein wirklicher Automatismus mehr gegeben ist).

 

Sofern ich da jetzt nicht irgendwo einen "Bock" in der Konfiguration / GPO habe (siehe oben), verstehe ich nicht ganz, wieso man eine erzwungene Installation beim Herunterfahren einfach entfernt...

[Sunny61 806]

vor 1 Stunde schrieb mcdaniels:

EDIT: Du meinst Computerkonfiguration>Richtlinien>Administrative Vorlagen>Windows-Komponenten>Wartungszeitplan

 

Nein, nein und nochmal nein. Hier nichts einstellen, da klappt dann nichts mehr.

 

MSFT geht davon aus, dass die Rechner immer alle eingeschaltet sind und sie deshalb die Updates außerhalb einer festgelegten Nutzungszeit installieren können. Also musst Du noch eine Nutzungszeit konfigurieren. Und eine Arbeitszeit von Anfang bis Ende. ;)

 

vor 3 Stunden schrieb mcdaniels:

Option Updates installieren und Herunterfahren im Dialogfeld "Windows herunterfahren" nicht anzeigen: Aktiviert

 

Wenn Du dir die Description zu dieser Einstellungen anschaust, wirst Du feststellen, dass die gar nicht mehr wirkt. ;)

 

Das hier hab ich noch im Angebot:

 

Warnbenachrichtigungszeitplan für den automatischen Neustart zur Updateinstallation konfigurieren Aktiviert  

Geben Sie den Zeitraum für Warn-/Erinnerungsbenachrichtigungen über den automatischen Neustart an: Erinnerung (in Stunden):  4 
Geben Sie den Zeitraum für Warnbenachrichtigungen über einen bevorstehenden automatischen Neustart an: Warnung (Min.):  30 
 

 

vor 15 Minuten schrieb mcdaniels:

weil da hat man dann gar keine Kontrolle mehr über die Updates bzw. könnte das dann ja gleich alles händisch machen (da ja eigentlich kein wirklicher Automatismus mehr gegeben ist).

 

Du könntest die Rechner in der Nacht aufwecken und dann die Updates installieren lassen. Anschließend wieder herunterfahren.

Das ist für Workstations natürlich doof, für Benutzer von Mobil Devices ist es schöner die Auswahl zu haben, ansonsten sitzt man ein paar Minuten da und wartet auf das Ende der Installation.

 

BTW: Wenn ich das jetzt richtig mitbekommen habe, gibt es fast keinen Unterschied mehr, zwischen Herunterfahren und Aktualisieren und Neustart und Aktualisieren. Beide male wird neu gestartet, beim Herunterfahren wird auch fast bis zum Login gestartet um dann wieder abzuschalten. Ist das noch jemandem aufgefallen?

bearbeitet 30. Oktober 2023 von Sunny61

[mcdaniels 29]

vor 39 Minuten schrieb Sunny61:

MSFT geht davon aus, dass die Rechner immer alle eingeschaltet sind und sie deshalb die Updates außerhalb einer festgelegten Nutzungszeit installieren können. Also musst Du noch eine Nutzungszeit konfigurieren. Und eine Arbeitszeit von Anfang bis Ende. ;)

 

Unsere Rechner werden zwischen ca. 06.00 und 10.00 eingeschaltet und können dann theoretisch bis 22.00h laufen (Dienstbetrieb) Das ist vollkommen unterschiedlich.

 

Es ist unmöglich, dass sie 24/7 laufen.

 

vor 39 Minuten schrieb Sunny61:

Also musst Du noch eine Nutzungszeit konfigurieren. Und eine Arbeitszeit von Anfang bis Ende. ;)

...und welche GPO ist das nun wieder?

 

vor 39 Minuten schrieb Sunny61:

Das hier hab ich noch im Angebot:

...das kann ich dann aber nicht in Kombination mit meinen GPOs oben verwenden, oder?

 

Danke für die Tipps!

vor 39 Minuten schrieb Sunny61:

 

Du könntest die Rechner in der Nacht aufwecken und dann die Updates installieren lassen. Anschließend wieder herunterfahren.

Das ist für Workstations natürlich doof, für Benutzer von Mobil Devices ist es schöner die Auswahl zu haben, ansonsten sitzt man ein paar Minuten da und wartet auf das Ende der Installation.

 

Wäre eine Möglichkeit, aber das machts dann irgendwie noch komplizierter. Was, wenn die nicht aufwachen, oder es sonstige Troubels gibt etc.

 

vor 39 Minuten schrieb Sunny61:

as hier hab ich noch im Angebot:

 

Warnbenachrichtigungszeitplan für den automatischen Neustart zur Updateinstallation konfigurieren Aktiviert  

Geben Sie den Zeitraum für Warn-/Erinnerungsbenachrichtigungen über den automatischen Neustart an: Erinnerung (in Stunden):  4 
Geben Sie den Zeitraum für Warnbenachrichtigungen über einen bevorstehenden automatischen Neustart an: Warnung (Min.):  30 
 

 

Hab ich jetzt mal zusätzlich zu meinen Einstellungen (ganz oben) gesetzt.

 

Ich denke allerdings dass ich vielleicht einfach auf z.B. PDQ Deploy umsteige... das haben wir eh schon im Einsatz. Dann stampfe ich den WSUS einfach ein und hab dann mit PDQ eventuell mehr Kontrolle.

 

Nutzungszeit hab ich definiert. 

 

Arbeitszeit find ich nicht.

 

Nebenbei erwähnt: Gerade auf die Updatemechanismen sollte man sich verlassen können, .... kann man aber irgendwie auch nicht so recht.

 

 

bearbeitet 30. Oktober 2023 von mcdaniels

[NorbertFe 2.034]

vor einer Stunde schrieb Sunny61:

Beide male wird neu gestartet, beim Herunterfahren wird auch fast bis zum Login gestartet um dann wieder abzuschalten. Ist das noch jemandem aufgefallen?

Ja, damit beim geplanten Neustart dann nicht erst noch alle restlichen Updates fertig installiert werden müssen. Ist aber schon lange so.

[Sunny61 806]

vor 42 Minuten schrieb NorbertFe:

Ist aber schon lange so.

 

Weißt Du seit wann schon? Mir ist es tatsächlich erst dieses Jahr aufgefallen.

vor 1 Stunde schrieb mcdaniels:

Nutzungszeit hab ich definiert. 

 

Arbeitszeit find ich nicht.

Sorry, Arbeitszeit ist die Nutzungszeit. ;)

 

vor 1 Stunde schrieb mcdaniels:

..das kann ich dann aber nicht in Kombination mit meinen GPOs oben verwenden, oder?

Ist bei uns exakt so im Einsatz.

 

Windows Updates beim Shutdown dürften die User schon selbst hinkriegen, ist normalerweise nur einmal im Monat. ;)

[NorbertFe 2.034]

vor 7 Minuten schrieb Sunny61:

Weißt Du seit wann schon? Mir ist es tatsächlich erst dieses Jahr aufgefallen.

vor 2 Stunden schrieb mcdaniels:

Genau weiß ich das nicht mehr, aber mit Sicherheit seit 2H22 sowohl Windows 11 als auch Windows 10.

[mcdaniels 29]

vor 44 Minuten schrieb Sunny61:

Windows Updates beim Shutdown dürften die User schon selbst hinkriegen, ist normalerweise nur einmal im Monat. ;)

 

naja, wenn sie mir dann auf "Herunterfahren" klicken ... dann werden ja die Updates wieder nicht installiert, oder verstehe ich da jetzt etwas falsch.

 

vor 44 Minuten schrieb Sunny61:

Sorry, Arbeitszeit ist die Nutzungszeit. ;)

ok, danke! Hab das jetzt halt von 08:00 bis 15:00 eingestellt und hoffe, dass die Updates dann nach 15:00h installiert werden.

 

Das wird so aber nie und immer zeitgerecht und kontrolliert funktionieren, da bin ich mir ziemlich sicher. Was MS sich da dabei gedacht  hat, möchte ich auch gerne mal verstehen.

 

Alles und jeder redet von Nachhaltigkeit (ich weiß, das ist jetzt nicht das Thema) aber man soll die PCs 24/7 laufen haben, obwohl man sie nicht braucht, nur um die Updates nach einem Schema zu installieren, das halt so ist wie es ist.

 

Echt nicht böse gemeint und nix gegen MS, aber das verstehe ich beim besten Willen nicht.

bearbeitet 30. Oktober 2023 von mcdaniels