OK, après avoir passé 3 semaines avec le département de support technique de Microsoft, nous avons résolu le problème.
Le problème vient du Dual Scan qui essaie de se connecter à Windows Update (en ligne) et échoue. Quand il échoue, le système arrête simplement d'essayer et refuse de se connecter à WSUS.
Le problème supplémentaire est que le média d'installation du serveur a un bug qui empêche le Dual Scan de changer. Il ignore simplement la stratégie et garde la source de mise à jour par défaut Windows Update.
Voici ce que vous devez faire pour corriger :
Exécutez les commandes suivantes dans PowerShell sur le serveur problématique :
$MUSM = New-Object -ComObject "Microsoft.Update.ServiceManager"
$MUSM.Services | select Name, IsDefaultAUService
Vous obtiendrez quelque chose comme :
Windows Update Standalone Installer - False
Windows Server Update Service - False
Windows Update - True
Si c'est « Windows Update - True », c'est votre source par défaut, peu importe ce que dit votre GPO...
La première chose à faire est de vous assurer que les correctifs suivants sont installés sur votre serveur.
kb4103720 et kb4462928
Vous avez besoin des DEUX. Ils sont tous les deux volumineux, ils prennent tous les deux une éternité à installer et ils nécessitent tous les deux un redémarrage du serveur.
Ces KB corrigent le problème du Dual Scan pour que le serveur réponde à la GPO lui indiquant quelle source par défaut utiliser.
Maintenant vous devez configurer la stratégie de groupe pour indiquer au serveur de n'utiliser que le serveur WSUS. Selon Microsoft, voici les paramètres requis (j'ai des doutes sur certains, mais je n'ai pas testé chacun... Je suis juste content que ça fonctionne enfin)
Computer Configuration > Policies > Administrative Templates > System > Device Installation
Specify the search server for device driver source locations
Set to "Enabled"
Select search order: "Do not search Windows Update"
Specify the search server for device driver updates
Set to "Enabled"
Select Update Server: "Search Managed Server"
Computer Configuration > Policies > Administrative Templates > System > Internet Communication Management > Internet Communication Settings
Turn off access to all Windows Update features (En langage Microsoft, cela signifie leur serveur en ligne, pas « empêcher les mises à jour »)
Set to "Enabled"
Turn off access to the Store
Set to "Enabled"
Computer Configuration > Policies > Administrative Templates > Windows Components > Windows Update
Do not allow update deferral policies to cause scans against Windows Update
Set to "Enabled"
No auto-restart with logged on users for scheduled automatic updates installations
Set to "Enabled"
Specify intranet Microsoft update service location
Set to "Enabled"
Set the intranet update service for detecting updates: "http://[YOUR SERVER]:8530"
Set the intranet statistics server:"http://[YOUR SERVER]:8530"
Set the alternate download server: "http://[YOUR SERVER]:8530"
Uncheck the box Download files with no Url in the metadata if alternate download server is set
Déplacez vos serveurs dans une OU avec cette GPO activée. J'ai créé une OU séparée dans mon OU Serveurs juste pour les serveurs 2016 et j'y ai lié cette GPO.
Exécutez à nouveau les commandes PowerShell ci-dessus.
Cela devrait maintenant afficher
Name IsDefaultAUService
