Configuration WSUS pour les clients Windows 8.1

Windows Server & IT Pro WSUS & Patch Tuesday
1

J’ai configuré WSUS 2.0 (sur 2008 R2). Toutes les machines clientes fonctionnent sous Windows 8.1.

À la demande des utilisateurs, j’ai fonctionné avec la configuration GPO ci-dessous pour que WSUS soit moins intrusif et n’éteigne pas automatiquement leurs machines, etc. Ma compréhension était qu’en désactivant « Ne pas afficher l’option “Installer les mises à jour et arrêter” dans la boîte de dialogue Arrêter Windows », cela se comporterait comme la description l’indique :

Si vous désactivez ou ne configurez pas ce paramètre de stratégie, l’option « Installer les mises à jour et arrêter » sera disponible dans la boîte de dialogue Arrêter Windows si des mises à jour sont disponibles lorsque l’utilisateur sélectionne l’option Arrêter dans le menu Démarrer.

J’ai également désactivé « Ne pas modifier l’option par défaut en “Installer les mises à jour et arrêter” dans la boîte de dialogue Arrêter Windows » ce qui, selon moi, signifierait que l’option par défaut à l’arrêt serait d’installer les mises à jour et d’arrêter. Selon sa description :

Si vous désactivez ou ne configurez pas ce paramètre de stratégie, l’option « Installer les mises à jour et arrêter » sera l’option par défaut dans la boîte de dialogue Arrêter Windows si des mises à jour sont disponibles pour installation au moment où l’utilisateur sélectionne l’option Arrêter dans le menu Démarrer.

J’ai quelques VM de test sous Win7 et cela fonctionne comme prévu. Cependant, les utilisateurs sous Win8.1 n’obtiennent pas cette option à l’arrêt. Ils doivent toujours ouvrir Windows Update et cliquer manuellement sur « Installer les mises à jour »… pas idéal de mon point de vue, car comme vous pouvez l’imaginer, certains utilisateurs ne les installent pas du tout.

Y a-t-il un moyen de rendre cette option disponible sous Win8.1, ou la seule option est-elle de changer « Configurer les mises à jour automatiques » en option 4 et de définir un calendrier d’installation ? Je veux éviter cela si possible.

Ma configuration GPO actuelle est la suivante. Quelqu’un a-t-il des idées ?

Do not display install updates and shut down option.... : Disabled
Do not adjust option to install and shut down......     : Disabled
Enabling Windows Update Power Mgt to automatically Wake up system : Enabled
Configure Automatic Updates : option 3 : Enabled
Specify intranet MS update location : Enabled
Automatic Updates frequency : Enabled
Allow Automatic Updates immediate installation : Enabled

Tout le reste est défini sur « non configuré ».

2

Il y a deux paramètres principaux que vous voudrez configurer :

Premièrement, vous voudrez activer Pas de redémarrage automatique avec des utilisateurs connectés pour les installations planifiées de mises à jour automatiques. Ce paramètre garantira que l’ordinateur ne redémarrera jamais automatiquement pour l’installation de mises à jour si un utilisateur est connecté, empêchant efficacement quiconque d’être interrompu en plein travail.

Deuxièmement, vous devez activer et configurer la stratégie Configurer les mises à jour automatiques. Vous devrez choisir l’option 4 et définir un calendrier pour le moment où vous souhaitez que les mises à jour s’installent. Si ce calendrier chevauche les heures d’utilisation des ordinateurs, elles seront simplement installées en arrière-plan et attendront que l’utilisateur redémarre manuellement ou se déconnecte.

Le résultat net de ces deux paramètres est que les mises à jour s’installent toujours à l’heure planifiée. Si l’ordinateur est inactif (aucun utilisateur connecté/présent), le redémarrage est automatique. Si un utilisateur est connecté, le redémarrage est reporté jusqu’à ce que l’utilisateur redémarre manuellement, ou jusqu’à la prochaine période d’installation planifiée lorsque l’ordinateur est inactif.

En plus de ces deux paramètres, je recommanderais également d’activer Redemander le redémarrage pour les installations planifiées et de définir un délai long. Ce paramètre vous permet d’empêcher la boîte de dialogue récurrente « Redémarrer ou Reporter » de réapparaître constamment. Dans mon environnement, j’ai réglé cela sur 1440 minutes, soit 24 heures. Nous avons une politique demandant aux utilisateurs de redémarrer en fin de poste, donc ce rappel n’est pas nécessaire.