Windows Updates Remote installieren

[Scharping-FVB 13]

Liebes Forum,

 

ich möchte Windows Updates Remote installieren.

 

Über die Befehle:

Invoke-Command -ComputerName SERVER-FQDN -Credential $Credentials -ScriptBlock {
    Import-Module PSWindowsUpdate
Get-WindowsUpdate -Install -AcceptAll -IgnoreReboot -KBArticleID KB5002588
}

bekomme ich einen Fehler:

Access is denied. (Exception from HRESULT: 0x80070005 (E_ACCESSDENIED))
    + CategoryInfo          : NotSpecified: (:) [Get-WindowsUpdate], UnauthorizedAccessException
    + FullyQualifiedErrorId : System.UnauthorizedAccessException,PSWindowsUpdate.GetWindowsUpdate

Ich verwende als Credentials Domänen Admin Daten.

 

Verwende ich die falschen Befehle oder woran kann es noch liegen?
Lokal funktioniert es mit

Import-Module PSWindowsUpdate
Get-WindowsUpdate -Install -AcceptAll -IgnoreReboot -KBArticleID KB5002588

Daran kann es also eigentlich nicht liegen, es muss etwas mit Remote Powershell zu tun haben. Ein Enter-PSSession funktioniert, ich kann dann mit Get-WUList die Update-Liste abrufen (klappt auch mit Invoke-Command).
 

Irgendwo dazwischen klappt es nicht mit dem Installieren.

 

Hilfe :-(

 

Viele Grüße
Davorin

[Sunny61 823]

Ausführen als Administrator dürfte der Unterschied zwischen Lokal und Remote sein. Alternativ mit PSEXEC probieren.

[Scharping-FVB 13]

vor 11 Minuten schrieb Sunny61:

Ausführen als Administrator dürfte der Unterschied zwischen Lokal und Remote sein. Alternativ mit PSEXEC probieren.

Die ISE, in der ich die Remote-PS aufbaue ist Admin-elevated, auf einem Server, an dem ich als Domain Admin angemeldet bin.

 

[Dukel 465]

Versuche einmal:

Invoke-WUjob

 

In deinem Fall:

 

$script = { Get-WindowsUpdate -Install -AcceptAll -IgnoreReboot -KBArticleID KB5002588 }
Invoke-WUjob -ComputerName Server-FQDN -Script $Script -RunNow

 

[Scharping-FVB 13]

Am 17.4.2025 um 13:26 schrieb Dukel:

Versuche einmal:

Invoke-WUjob

 

In deinem Fall:

 

$script = { Get-WindowsUpdate -Install -AcceptAll -IgnoreReboot -KBArticleID KB5002588 }
Invoke-WUjob -ComputerName Server-FQDN -Script $Script -RunNow

 

Das klappt leider noch weniger, da gibt es keine Rückmeldung. Die Updates werden nicht installiert.

[cj_berlin 1.417]

Am 17.4.2025 um 13:15 schrieb Scharping-FVB:

Die ISE, in der ich die Remote-PS aufbaue ist Admin-elevated, auf einem Server, an dem ich als Domain Admin angemeldet bin.

 

...aber bist Du auch lokaler Admin auf der Zielmaschine? Kannst Du mal den obigen Invoke-Copmmand, aber mit dem folgenden Scriptblock laufen lassen:
 

$currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
$currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

Wenn $false zurückkommt, weißt Du auch schon bescheid

[Dukel 465]

Die PSWindowsUpdates funktionieren nicht mit Invoke-Command / Enter-PsSession Remote. Dafür braucht es Invoke-WUJob.

[Scharping-FVB 13]

vor 8 Minuten schrieb cj_berlin:

...aber bist Du auch lokaler Admin auf der Zielmaschine? Kannst Du mal den obigen Invoke-Copmmand, aber mit dem folgenden Scriptblock laufen lassen:
 

$currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
$currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

Wenn $false zurückkommt, weißt Du auch schon bescheid

Wenn ich dies laufen lasse:

Invoke-Command -ComputerName "fs1.abc.xyz.de" -ScriptBlock {
    $currentPrincipal = New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())
    $currentPrincipal.IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
}

kommt "True" zurück.
Mein Administrator ist in "Protected Users", vielleicht ist da auch das Problem. Wobei, wenn ich den da raus nehme, macht das auch keinen Unterschied.
Kann Remote Credential Guard da rein grätschen?